27、基于狄利克雷L - 函数上下界的短生成元恢复问题分析

基于狄利克雷L - 函数上下界的短生成元恢复问题分析

1. 引言

在密码学领域，构建全同态加密（FHE）方案和密码多线性映射一直是备受期待的目标。FHE方案允许在不进行解密的情况下对明文（数值数据）进行任意次数的加、减和乘法运算，在云计算等领域有广泛应用；密码多线性映射则可用于构建多方Diffie - Hellman密钥交换协议和高效广播加密方案。

早期，很长时间内都没有提出有效的FHE方案或多线性映射。直到Gentry和Garg等人分别首次提出了基于2k次分圆域上理想格问题难度的FHE方案和名为GGH映射的多线性映射候选方案。此后，还出现了如SV - FHE和GGHLite等改进方案，它们同样基于此类理想格。

这些加密方案和多线性映射有两个共同特点：一是2k次分圆域主理想的一个整基被用作公钥或可从公共数据中获取；二是满足特定条件的生成元（短生成元）被用作私钥。因此，通过解决主理想问题（PIP）和短生成元恢复问题（RSGP），就可以恢复这些方案中的短生成元（私钥）。

Biasse和Song展示了在广义黎曼假设（GRH）下，针对任意数域的PIP可以用多项式时间的量子算法解决。此外，Espitau等人宣布在经典计算机上可以用亚指数时间解决2k次分圆域上的PIP，并展示了如何恢复SV - FHE方案中最小推荐参数下的私钥（短生成元）。

另一方面，Bernstein和Campbell等人分别展示了针对2k次分圆域上RSGP的求解算法，其思路是将RSGP转化为分圆域上对数单位格的有界距离解码（BDD）问题。Campbell等人建议使用Babai舍入算法和分圆单位群的典范生成元，这种方法被称为RSG攻击。

Cramer等人、Okum