[論文レビュー] Classical Hardness of Learning with Errors

Zvika Brakerski, Adeline Roux-Langlois+3 more|arXiv (Cornell University)|Jun 3, 2013

Cryptography and Data Security参考文献 8被引用数 42

ひとこと要約

この論文は、学習誤差（LWE）問題に対する最初の古典的ハードネス還元を確立し、多項式サイズの法のもとでも、標準的な最悪ケースラティス問題と同等に難しいことを証明した。完全準同型暗号の技術を活用し、次元と法の間のトレードオフを精緻化することで、LWEに基づく暗号の古典的セキュリティ基盤を構築した。これは、ラティス暗号分野における長年の未解決問題を解決した。

ABSTRACT

We show that the Learning with Errors (LWE) problem is classically at least as hard as standard worst-case lattice problems, even with polynomial modulus. Previously this was only known under quantum reductions. Our techniques capture the tradeoff between the dimension and the modulus of LWE instances, leading to a much better understanding of the landscape of the problem. The proof is inspired by techniques from several recent cryptographic constructions, most notably fully homomorphic encryption schemes.

研究の動機と目的

• 量子還元を古典的還元に置き換えることで、LWEのハードネスに関する理解のギャップを埋めること。
• 古典的計算モデルにおいて、多項式法を用いたLWEが最悪ケースラティス問題と同等に難しいことを確立すること。
• LWEインスタンスの次元と法の間のトレードオフを明確にし、問題のパrameter空間の理解を深めること。
• 完全準同型暗号やその他の高度なプリミティブを含む、安全で古典的還元可能なラティスベース暗号構成の基盤を提供すること。
• 法が指数的ではなく多項式的である場合に、LWEが古典的還元においても依然として難しいかどうかという未解決の問いを解消すること。

提案手法

• GPVフレームワークからのサンプリング手順を改造し、ラティス上での離散ガウス分布のサンプルを正しくかつ効率的に生成すること。
• サンプラーの出力分布を補正するためにリジェクトサンプリングを用い、目的の離散ガウス分布 $ D_{\Lambda + \mathbf{c}, r} $ と一致させること。
• ポアソン和公式を適用して、$ r \geq 1 $ の場合に正規化因子 $ \rho_r(\mathbb{Z} + c) $ を効率的に計算し、多項式時間での近似を可能にすること。
• リジェクトサンプリングの確率が $ e^{-2} $ 以上に下限され、期待される反復回数が定数（最大 $ e^2 $）に保たれることを確立すること。
• 得られたサンプラーが入力サイズおよび所望の精度に関して多項式時間で実行されることを証明し、暗号応用に適していることを示すこと。
• 短いベクトル問題（GapSVP）の古典的ハードネスと、双対問題による最悪ケースから平均ケースへの還元を活用し、還元において量子計算を回避すること。

実験結果

リサーチクエスチョン

• RQ1 学習誤差（LWE）問題のハードネスを、量子計算を一切用いずに最悪ケースラティス問題に還元することは可能か？
• RQ2 法が多項式的であるLWEは、古典的還元のもとで標準的なラティス問題と同等に難しいか？
• RQ3 LWEインスタンスにおいて、次元 $ n $ と法 $ q $ の間の正確なトレードオフは何か？ これは古典的ハードネスを維持するために重要である。
• RQ4 量子アルゴリズムや非標準的仮定に依存せずに、LWEの古典的ハードネスを確立することは可能か？
• RQ5 古典的多項式時間内で、ラティス上での離散ガウス分布からの効率的かつ正確なサンプリングはどのように達成できるか？

主な発見

• 本論文は、多項式法を用いたLWEに対して、最悪ケースから平均ケースへの古典的還元を確立し、短いベクトル問題（GapSVP）を多項式要因の範囲で近似するのと同等に難しいことを証明した。
• 還元は効率的であり、量子計算を必要とせず、ラティス暗号分野における長年の未解決問題を解決した。
• サンプリング手順における期待反復回数は最大 $ e^2 \approx 7.39 $ であり、実用的な効率性が保証された。
• 正規化因子 $ \rho_r(\mathbb{Z} + c) $ は、精度のビット数に関して多項式時間で任意の所望の精度まで計算可能である。
• 次元 $ n $ と法 $ q $ の間のタイトなトレードオフを達成し、$ q $ が $ n $ に関して多項式的であってもLWEが依然として難しいことを示した。
• この結果により、量子還元に依存せずに、安全で後量子的な暗号スキームをLWEに基づいて構築する強固な基盤が得られた。