Рейтинг:4

Каково влияние двойных подрешеток низкого ранга на атаку двойной решетки на LWE?

флаг ru

В двойной решетчатой ​​атаке Эспитау, Жу и Харченко (О двойном/гибридном подходе к маленькому секрету LWE), авторы предлагают различать (и впоследствии восстанавливать секретные значения) выборки LWE $(A,\mathbf b)=(A,A\mathbf s+\mathbf e)$ путем нахождения двойственных векторов $(\mathbf х^T|\mathbfy^T)$ такие, что компоненты векторов малы (за исключением, возможно, небольшого подмножества компонент векторов). $\mathbf у$) и $\mathbf х ^ TA = \ mathbf у ^ T $. В этом случае, если $\mathbf б$ взято из распределения LWE $\mathbf x^T\mathbf b=\mathbf y^T\mathbf s+\mathbf x^T\mathbf e$ и вклад в это выражение от малых компонент $\mathbf х$ и $\mathbf у$ должен сам в среднем быть небольшим по сравнению с униформой $\mathbf б$ кейс. Найдя много независимых двойных векторов, это должно позволить подсчитать выборки $\mathbf б$ и выхлоп над компонентами $\mathbf с$ чтобы найти небольшие скоринговые значения.

В недавней статье группы MATZOV (Отчет о безопасности улучшенной двойной решетки LWE) рассматривается ряд вариаций атаки EJK, которые могут иметь отношение к безопасности схем KYBER, SABRE и DILITHIUM среди прочего. Одно из их предложений заключается в создании множества коротких двойственных векторов в разделе 4 их статьи. Они предлагают сокращение компонентов дуального базиса блочным методом Коркина-Золотарёва (БКЗ) с размером блока $\бета_1$ а затем с помощью решетчатого «просеивания» сокращенных базисных векторов для создания множества коротких двойственных векторов. Их метод просеивания ограничивается первым $\бета_2$ векторов в базисе БКЗ, и хотя они заявляют, что векторы могут быть получены из нескольких редукций и сит, в замечании 4.3 они отмечают, что одна редукция и сито кажутся оптимальными.

Это означает, что все двойственные векторы, которые они используют для получения своей оценки, лежат в ранге $\бета_2$ подрешетка двойственного пространства. Интуитивно чувствуется, что если $\бета_2$ мала, то вклады различных векторов в оценку не будут независимыми. Это было бы нарушением их предположения 4.4. Существуют ли какие-либо теоремы или эвристики относительно того, насколько маленькая ранговая подрешетка может использоваться таким образом, при этом производя оценку, достаточно мощную для распознавания/восстановления выборок/секретов LWE?

флаг sa
TMM
Может быть, задать «более простой» вопрос: очевидно ли, что если $\beta_2$ является, скажем, малой константой, различитель уже не такой мощный, как когда все векторы рисуются из всей решетки?
Рейтинг:1
флаг ru

Это не ответ.

В надежде помочь любому, кто думает об этом, и в свете комментария @TMM, вот немного больше плоти вокруг утверждения: «Интуитивно кажется, что если $\бета_2$ мала, то вклады различных векторов в оценку не будут независимыми».

Рассмотрим случай $\бета_2=1$. В этом случае все наши $(\mathbf х^T,\mathbfy^T)$ векторы будут кратны одному производящему вектору, скажем $\альфа(\mathbfx_0^T,\mathbfy_0^T)$ с $\альфа$ возможно, какой-то дискретный гауссов в зависимости от количества векторов. Теперь есть $q^{n-1}$ векторы $\mathbfv$ такой, что $\mathbfx_0^T\cdot\mathbfv=0$. Рассмотрим любой вектор вида $\mathbf v+\mathbf е$ куда $\mathbf$ взято из того же распределения, что и выборка LWE. Мы ожидаем, возможно $O(\sigma^nq^{n-1})$ таких векторов (векторы с двумя такими представлениями должны быть редки) и для больших $n$ мы могли бы ожидать, что они покроют большую часть пространства. Оценка таких векторов определяется выражением $\alpha\mathbfx_0^T\mathbfe$ и оценка причинных решений определяется как $\alpha(\mathbf x_0^T\mathbf e+\mathbf y_0^T\mathbf s)$. Пространство причинных векторов было бы неразличимо.

В более общем плане для $\бета_2=к$ исправлено, будет основа $к$ $(\mathbfx_i^T,\mathbfy_i^T)$ векторов с нашим тестовым набором, сформированным из линейных комбинаций базисных векторов, где коэффициенты являются гауссовыми (?). Опять будет набор $q^{nk}$ векторы $\mathbfv$ перпендикулярно всем $\mathbfx_i^T$ и, возможно, окрестности $O(\sigma^nq^{nk})$ некаузальных векторов с низкой оценкой.

Это, кажется, предполагает, что $\бета_2$ должно быть по крайней мере $n\log\sigma/(\log q)$, но могут быть и другие структурные, но не причинные наборы, а также неструктурные низкие оценки. Точно так же аргументы в пользу отсутствия перекрытия в окрестностях и между каузальными наборами в лучшем случае эвристичны.

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.