[論文レビュー] Hardness of the (Approximate) Shortest Vector Problem: A Simple Proof via Reed-Solomon Codes

Huck Bennett, Chris Peikert|arXiv (Cornell University)|Feb 15, 2022

Cryptography and Data Security被引用数 2

ひとこと要約

本稿では、任意の p ≥ 1 および定数 γ < 2^{1/p} に対して、ℓp 範囲における近似短縮ベクトル問題 (γ-GapSVPp) の NP 困難性の簡略化された証明を提示する。Reed-Solomon コードを用いた Construction A を用いて局所的に稠密な格子を構築し、これらの格子の陪集合における基本的な点数数え上げの議論を活用したスムーズな還元により、確率的還元下で達成可能な最高の近似要因が得られる。

ABSTRACT

$ ewcommand{\NP}{\mathsf{NP}} ewcommand{\GapSVP}{ extrm{GapSVP}}$We give a simple proof that the (approximate, decisional) Shortest Vector Problem is $\NP$-hard under a randomized reduction. Specifically, we show that for any $p \geq 1$ and any constant $γ&lt; 2^{1/p}$, the $γ$-approximate problem in the $\ell_p$ norm ($γ$-$\GapSVP_p$) is not in $\mathsf{RP}$ unless $\NP \subseteq \mathsf{RP}$. Our proof follows an approach pioneered by Ajtai (STOC 1998), and strengthened by Micciancio (FOCS 1998 and SICOMP 2000), for showing hardness of $γ$-$\GapSVP_p$ using locally dense lattices. We construct such lattices simply by applying "Construction A" to Reed-Solomon codes with suitable parameters, and prove their local density via an elementary argument originally used in the context of Craig lattices. As in all known $\NP$-hardness results for $\GapSVP_p$ with $p &lt; \infty$, our reduction uses randomness. Indeed, it is a notorious open problem to prove $\NP$-hardness via a deterministic reduction. To this end, we additionally discuss potential directions and associated challenges for derandomizing our reduction. In particular, we show that a close deterministic analogue of our local density construction would improve on the state-of-the-art explicit Reed-Solomon list-decoding lower bounds of Guruswami and Rudra (STOC 2005 and IEEE Trans. Inf. Theory 2006). As a related contribution of independent interest, we also give a polynomial-time algorithm for decoding $n$-dimensional "Construction A Reed-Solomon lattices" (with different parameters than those used in our hardness proof) to a distance within an $O(\sqrt{\log n})$ factor of Minkowski's bound. This asymptotically matches the best known distance for decoding near Minkowski's bound, due to Mook and Peikert (IEEE Trans. Inf. Theory 2022), whose work we build on with a somewhat simpler construction and analysis.

研究の動機と目的

• ℓp 範囲における近似短縮ベクトル問題 (γ-GapSVPp) の NP 困難性証明を単純化すること。
• Reed-Solomon コードを Construction A を用いて適用し、従来の手法よりも洗練された解析が可能な局所的に稠密な格子を構築すること。
• 点数数え上げ関数の滑らかな代理関数を検討することで、還元の決定的代替経路を提供し、確率的還元の脱確率化を試みること。
• Construction A を用いた Reed-Solomon 格子のデコーディングアルゴリズムを改善し、Minkowski の境界から O(√log n) の距離内に収まるようにすること。

提案手法

• Reed-Solomon コード C ⊆ F_q^n を用い、L = C + qZ^n とすることで格子を構築する。
• Craig 格子にインspiredされた基本的な点数数え上げの議論を用いて、これらの格子の局所的稠密性を証明する。
• 指数和 Θ_p(τ) = ∑_{v∈x+L} exp(−τ‖v‖_p^p) を用いた解析的手法を [MO90, EOR91] から借用し、短いベクトルの数を抑え込む。
• µ_p(τ) と Hp(τ,δ) の不等式を用いて、ℓp 範囲の p 階モーメントとベクトル数の関係を確立する。
• ln Θ_p(τ) が正の二階微分を持つ単調減少かつ凸関数としての性質を分析し、分散に基づく境界を得る。
• 点数数え上げのための滑らかな関数を代理として提案し、決定的還元の可能性を検討するが、決定的陪集合における短いベクトルの下界については明確な証明は得られていない。

実験結果

リサーチクエスチョン

• RQ1 従来の局所的に稠密な格子を用いた手法よりも、γ-GapSVPp の NP 困難性証明をより単純な構成で行えるか？
• RQ2 Reed-Solomon コードを Construction A を用いて適用することで、γ < 2^{1/p} を満たす硬さを示すのに十分な局所的稠密性を持つ格子が得られるか？
• RQ3 確率的還元の決定的類似物が存在するか、NP ⊆ P を示す可能性があるか。その障壁は何か？
• RQ4 Construction A を用いた Reed-Solomon 格子のデコーディング距離を、Minkowski の境界に一致または近づけることができるか？
• RQ5 [MO90, EOR91] で用いられた解析的手法を、Reed-Solomon に基づく非整数格子に適応し、短いベクトルの数を抑え込むことができるか？

主な発見

• 本稿では、任意の p ≥ 1 および定数 γ < 2^{1/p} に対して、γ-GapSVPp が RP に属しないこと（NP ⊆ RP でない限り）を示し、[Mic98] で得られた最高の硬さ結果と一致する。
• Reed-Solomon コードと Construction A を用いた格子の構築は、従来の手法よりも単純かつ明確な局所的稠密性の道筋を提供する。
• n 次元の Construction A Reed-Solomon 格子に対して、O(√log n)-近似デコーディングアルゴリズムが与えられ、[Mook-Peikert 2022] で得られた最高の境界と一致するが、構築がより単純である。
• 方程式 (19)、N_p(r) ≤ exp(τ r^p) · Θ_p(τ) が適切な τ に対してかなりタイトであることが示され、指数和が短いベクトルの真の数を指数的要因を除いて正しく捉えている可能性を示唆する。
• 点数数え上げ関数の滑らかな代理関数を用いるアプローチは、脱確率化の観点で有望であるが、決定的陪集合における短いベクトルの下界が明確に証明されたわけではない。
• 還元の脱確率化と Reed-Solomon コードの明示的リストデコーディング下界の改善との間には、複雑性理論と符号理論の深い関係が示唆される。