2021SC@SDUSC PALISADE开源库（二）CKKS讲解系列（三）加密和解密

最新推荐文章于 2024-10-12 22:24:09 发布

小河豚oO

最新推荐文章于 2024-10-12 22:24:09 发布

阅读量2k

点赞数 2

分类专栏：软件工程应用与实践文章标签：线性代数算法 python 区块链神经网络

本文链接：https://blog.youkuaiyun.com/qq_47876165/article/details/120786480

版权

软件工程应用与实践专栏收录该内容

14 篇文章

订阅专栏

2021SC@SDUSC

介绍

在上一篇文章 PALISADE开源库（二）CKKS讲解系列（二）完整编码和解码中，我们看到了如何实现CKKS的编码器和解码器，这使得我们能够将向量转化为多项式，反之亦然。这一步是必然的，因为我们将看到使用多项式要比直接使用向量更有效地构建同态加密方法。

我们将在本文中看到如何使用困难问题（例如LWE或RLWE）来构建近似同态加密方案。CKKS 使用近似算术而不是精确算术，从某种意义上说，一旦我们完成计算，我们可能会得到与直接进行计算的结果略有不同的结果。这意味着，如果您加密 2 和 3，添加它们的密文，然后解密，您可能会得到类似 4.99 或 5.01 而不是 5 的结果。 BFV 等其他方案是精确的，这意味着它们将产生恰好 5。

那么为什么要使用 CKKS 呢？CKKS 更适合实数算术，我们可以得到近似但接近的结果，而 BFV 更适合整数算术。

我们将在本文中看到如何使用 LWE 和 RLWE 实现近似算术同态加密方案的加密和解密。

错误学习

CKKS 是一种公钥加密方案，其中生成密钥和公钥。公钥用于加密，可以共享，私钥用于解密，必须保密。

CKKS和其他许多同态加密方案的基础是错误学习(LWE)问题，LWE问题是为了区分

这个问题会变得容易得多，因为我们可以用高斯消去法来解线性方程组。

我们都知道，LWE问题的难度不亚于量子计算机的最坏情况格点问题。因此，我们可以利用发现秘密s(ai, < ai, s > +ei)这一事实。

假设我们生成一个秘钥：

事实上，我们将使用 p = (-A.s + e, A) - A.s A.s

然后使用公钥和秘钥对一条μ∈Znq的消息进行加密和解密，可以采用以下方案:

使用p加密μ：输出

c = (μ, 0) + p = (μ − A.s + e, A) = (c0, c1).

使用s解密c：输出

μ' = c0 + c1.s = μ − A.s + e + A.s = μ+e ≈ μ

在加密阶段，我们使用公钥，用它来掩盖信息μ。因此，消息被隐藏在带有掩码−A.s的密文的第一个坐标中。记住A是均匀采样的，所以它确实有效地掩盖了μ。为了去掉它，我们可以使用c的第二个坐标，它只存储A，并与秘钥s结合，得到的解密结果是μ+e。注意这里，我们并没有精确地得到原始信息μ，而是μ加上一些噪声e，这就是为什么我们说我们有一个近似的算术方案。如果e足够小，则解密将接近于原始的μ。

因此，我们已经在这里看到了如何使用LWE问题来构建一个可以安全抵御量子攻击的公开加密方案。上述实现的问题是，虽然秘钥的大小是O(n)，但由于矩阵A，公钥的大小是O(n^2)，计算也需要O(n^2)操作。因为n将决定我们方案的安全性，如果我们使用LWE来构造我们的方案，在实践中它将非常低效，因为O(n^2)密钥大小和复杂性将使它太不切实际。

环形学习错误

环形学习错误是LWE的一个变体，但在环上。Znq不是使用向量，我们将工作在多项式Zq [X] / (X^N + 1)(我们假设这里N是2的幂)。现在我们画一个圆和e来自Zq [X] / (X^N + 1)，仍然是均匀采样的，圆是一个小秘密多项式和e是一个小噪声多项式。切换到RLWE有两个主要优点:

密钥的大小不再是二次的而是线性的，因为我们现在输出公钥p = (−a.s + e, a)，其中a.s表示a与s的多项式乘积。因为所有的操作都是在多项式之间完成的，所以私钥和公钥的大小都是O(n)。
乘法是在多项式上做的，因此它可以用离散傅里叶变换来完成复杂度为O(nlog(n))的多项式乘法，而不是O(n^2)因为我们必须做矩阵向量乘法。

所以用RLWE代替LWE，我们的key会小很多，运算会更快，所以前面的方案就更实用了。而且，RLWE 仍然是一个难题，并提供了强大的安全保证，因此使用 RLWE 仍然提供了一个安全方案。