15、格密码学中的LWE与Ring - LWE问题研究

格密码学中的LWE与Ring - LWE问题研究

一、引言

在过去十年间，格在密码学领域成为了极具吸引力的基础。基于格的密码原语之所以备受青睐，主要原因在于其安全性通常能基于最坏情况的困难性假设，并且即便面对量子计算机，它们似乎仍能保持安全。

二、SIS与LWE问题概述

2.1 SIS问题

• 定义 ：SIS（短整数解）问题可视为特定加法群上子集和问题的变体。设整数维度 (n \geq 1)，整数模数 (q \geq 2)，给定多项式数量的随机且独立的 (a_i \in \mathbb{Z}_q^n)，目标是找到这些 (a_i) 的“小”整数组合，使其在 (\mathbb{Z}_q^n) 中求和结果为 (0)。
• 困难性 ：Ajtai的开创性工作表明，SIS问题至少和在多项式因子内近似几个格问题（如（间隙）最短向量问题）一样困难。

2.2 LWE问题

• 定义 ：LWE（带误差学习）问题是区分被少量噪声干扰的随机线性方程和真正均匀的线性方程。具体来说，要区分多项式数量的形如 ((a_i, b_i \approx \langle a_i, s \rangle) \in \mathbb{Z}_q^n \times \mathbb{Z}_q) 的对和均匀随机且独立的对。其中 (s \in \mathbb{Z}_q^n) 是均匀随机的秘密（对所有对保持不变），每个 (a_i \in \mathbb{Z}_q^n) 是均匀随机且独立的，每个内积 (\langle a_i,