17、环上理想格与带误差学习的研究与应用

环上理想格与带误差学习的研究与应用

1. 环上带误差学习（R - LWE）的优势

1.1 生成值的成本与效率

在环上带误差学习（R - LWE）中，我们可以生成任意数量的标量值，且生成成本较低。利用快速傅里叶变换（FFT），多项式乘法能在 (O(n \log n)) 次标量运算内完成。特别是当选择多项式 (f(x) = x^n + 1) 和模数 (q = 1 \mod 2n) 时，可实现一种完全在域 (Z_q) 上运行的优化实现，在现代架构上速度极快。

1.2 密钥大小的优化

在大多数应用中，来自 R - LWE 分布的每个样本 ((a, b) \in R_q \times R_q) 可以替代标准 LWE 分布中的 (n) 个样本 ((a, b) \in Z_q^n \times Z_q)，从而将公钥（通常还有私钥）的大小缩小 (\Theta(n)) 倍。这对于基于格的密码系统至关重要，因为密钥大小可能是具有严格安全分析的实用格密码系统的主要障碍。

2. 示例密码系统

2.1 密钥生成

我们以一个简单的语义安全公钥密码系统为例，利用 R - LWE 分布的伪随机性来构建。密钥生成算法步骤如下：
1. 选择 (m \approx \lg q = O(\log n)) 个均匀随机且独立的元素 (a_i \in R_q)。
2. 选择 (m) 个随机的“小”环元素 (r_i \in R)（例如，将其视为多项式时，系数为均匀随机且独立的 0 - 1）。
3. 计算 (a_{m + 1} = \sum_{i \in [m]} r_i \cdot a_i)。