42、二进制LWE的格解码攻击

二进制LWE的格解码攻击

1. 引言

学习带误差（LWE）问题在密码学中是一个具有重要意义的计算问题。给定一个 $m × n$ 矩阵 $A$ 和向量 $b \equiv As + e \pmod{q}$，其中 $e \in \mathbb{Z}_q^m$ 是一个“短”误差向量，目标是计算出 $s \in \mathbb{Z}_q^n$。

近年来，一些研究人员考虑了LWE问题的变体，即秘密向量的元素从 ${0, 1}^n$ 或 ${-1, 0, 1}^n$ 中均匀选取，这种变体被称为二进制LWE。自然地，人们期望二进制LWE问题比标准LWE问题更容易，但具体容易多少仍是一个待解决的问题。

本文的目标是开发和分析针对二进制LWE问题的改进算法。首先将问题转化为非齐次短整数解（ISIS）问题，然后对格进行重新缩放，同时也探讨了模切换方法。实验结果表明，使用二进制LWE时需要增加参数 $n$，例如对于标准LWE中 $n = 256$ 的情况，大约 $n = 440$ 可能就足以达到相同的安全级别。

2. LWE

• 离散高斯分布 ：设 $\chi \in \mathbb{R} {>0}$，定义 $\sigma(x) = \exp(-x^2/(2\chi^2))$ 和 $\sigma(\mathbb{Z}) = 1 + 2\sum {x = 1}^{\infty} \sigma(x)$。离散高斯分布 $D_{\sigma}$ 是在 $\mathbb{Z}$ 上的分布，它将概率 $\sigma(x)/\sigma(\mathbb{Z})$ 赋予 $x \in \mathbb