[論文レビュー] Number Theoretic Transform and Its Applications in Lattice-based Cryptosystems: A Survey

Zhichuang Liang, Yunlei Zhao|arXiv (Cornell University)|Nov 24, 2022

Coding theory and cryptography被引用数 15

ひとこと要約

本調査では、格子暗号における数論的変換（NTT）について包括的な分析を提供し、さまざまな環における多項式乗算の効率化におけるその役割を詳述している。Kyber、Dilithium、Falcon、NTRU Prime などのNIST PQC最終候補者において、高性能で安全な実装を可能にするために、従来のパrameter制約を緩和する先進的なNTT技術——不完全FFTテクニック、リング分割、大規模モジュラス法——を提示している。

ABSTRACT

Number theoretic transform (NTT) is the most efficient method for multiplying two polynomials of high degree with integer coefficients, due to its series of advantages in terms of algorithm and implementation, and is consequently widely-used and particularly fundamental in the practical implementations of lattice-based cryptographic schemes. Especially, recent works have shown that NTT can be utilized in those schemes without NTT-friendly rings, and can outperform other multiplication algorithms. In this paper, we first review the basic concepts of polynomial multiplication, convolution and NTT. Subsequently, we systematically introduce basic radix-2 fast NTT algorithms in an algebraic way via Chinese Remainder Theorem. And then, we elaborate recent advances about the methods to weaken restrictions on parameter conditions of NTT. Furthermore, we systematically introduce how to choose appropriate strategy of NTT algorithms for the various given rings. Later, we introduce the applications of NTT in the lattice-based cryptographic schemes of NIST post-quantum cryptography standardization competition. Finally, we try to present some possible future research directions.

研究の動機と目的

• 格子暗号における多項式乗算に向けたNTTの理論的・実用的基盤を体系化すること。
• 実世界の暗号スキームにおいて、NTTがNFTフレンドリーなパrameter（特定の素数や次数）を必要とするという制限に対処すること。
• リング構造とパrameter制約に基づいて、最適なNTT戦略を選択するための比較フレームワークを提供すること。
• NIST後量子暗号（PQC）最終候補者におけるNTTの役割を分析し、パフォーマンスとセキュリティのトレードオフを強調すること。
• 実用的展開における側面から攻撃に強いNTT実装における未解決の課題を特定し、今後の研究の方向性を示唆すること。

提案手法

• 中国剰余定理（CRT）とFFTベースの分解を用いて、巡回的およびネガティブラップ型の畳み込みにおける基数2高速NTTアルゴリズムを導出する。
• 不完全FFTテクニックを導入し、計算オーバーヘッドを低減することで、NTTフレンドリーでないリングへのNTT適用範囲を拡大する。
• 非2の累乗次数の多項式をNTTフレンドリーな部分環に分解するためのリング分割技術——Pt-NTT、K-NTT、H-NTT——を提案する。
• NTTフレンドリーな素数、剰余数体系（RNS）、合成モジュラス環を含む大規模モジュラス法を適用し、任意の環におけるNTTを可能にする。
• GoodのテクニックとSch"{o}nhage-Strassen形式の変換を用いて、非2の累乗次数の環（例：$\mathbb{Z}_q[x]/(x^n - x - 1)$）をNTTフレンドリーな構造へマッピングする。
• 信号フローフェイルス解析とインプレイス計算戦略を用いて、メモリアクセスを最適化し、NTT実装における計算複雑度を低減する。

実験結果

リサーチクエスチョン

• RQ1 非NTTフレンドリーな多項式環（例：2の累乗でない次数、特殊でないモジュラスを有するもの）にNTTをどのように効率的に適用できるか。
• RQ2 標準NTTに必要な厳密なパrameter制約（素数モジュラス、2の累乗次数）を緩和するのに最も効果的な技術は何か。
• RQ3 不完全FFT、リング分割、大規模モジュラスなどの異なるNTTバージョンは、さまざまな格子暗号スキームにおいて、パフォーマンスと実装複雑度の観点でどのように比較されるか。
• RQ4 NIST PQC最終候補者で使用されている具体的なNTTベースの最適化は何か。それらはどのように効率性とセキュリティに寄与しているか。
• RQ5 実用的展開に向けた側面から攻撃に強いNTT実装を設計するにあたり、未解決の課題は何か。

主な発見

• 不完全FFTテクニックにより、$\mathbb{Z}_q[x]/(x^n+1)$ および $\mathbb{Z}_q[x]/(x^n-1)$ においても、$n$ が2の累乗でない場合でもNTTが可能となり、NTTの適用範囲が顕著に拡大された。
• Pt-NTT、K-NTT、H-NTT などのリング分割法により、多項式環をより小さなNTTフレンドリーなコンponentsに分解することで、NTTフレンドリーでないリングでも効率的なNTT計算が可能になった。
• RNSや合成モジュラス環を含む大規模モジュラス技術により、2の累乗でない次数やNTTフレンドリーでない素数を有する環でもNTTが可能となり、$n=761$ を有するNTRU Primeで実証された。
• Goodのテクニックにより、$h=3$、$k=9$、$N=6984193$ または $N=q_1q_2q_3$ を用いて、$\mathbb{Z}_q[x]/(x^n - x - 1)$ において効率的なNTTが可能になった。この場合、$\mathbb{Z}_N[x]/(x^{n'}-1)$（$n' = 1536$）にマッピングされる。
• NTTはNIST PQC最終候補者におけるコアな最適化技術である：Kyber、Dilithium、Falcon、Saber、NTRU、NTRU Prime はすべて、パラメータ選定を最適化したNTTベースの多項式乗算を採用している。
• Sch"{o}nhageおよびNussbaumerのテクニックにより、$\mathbb{Z}_q[x]/(x^n - x - 1)$ における計算が、$\mathbb{Z}_q[x]/(x^{64}+1)$ における乗算に還元され、完全なNTTサポートが可能になった。