[論文レビュー] On Ring Learning with Errors over the Tensor Product of Number Fields

Alberto Pedrouzo-Ulloa, Juan Ramón Troncoso-Pastoriza+1 more|arXiv (Cornell University)|Jul 18, 2016

Coding theory and cryptography被引用数 4

ひとこと要約

本稿は、数体のテンソル積上の多変数ラップ・ラーニング・ウィズ・エラーズ（m-RLWE）問題を導入し、形式化する。これは、標準的なRLWEを多次元代数的構造へ一般化したものである。本稿では、最悪ケースから平均ケースへのハードネス還元を確立し、m-RLWEの安全性がアイディアル格子における格子問題の難易度に依存することを示し、多次元信号処理においてより効率的で暗号長の短い暗号方式の実現を可能にする。

ABSTRACT

The "Ring Learning with Errors" (RLWE) problem was formulated as a variant of the "Learning with Errors" (LWE) problem, with the purpose of taking advantage of an additional algebraic structure in the underlying considered lattices; this enables improvements on the efficiency and cipher expansion on those cryptographic applications which were previously based on the LWE problem. In Eurocrypt 2010, Lyubashevsky et al. introduced this hardness problem and showed its relation to some known hardness problems over lattices with a special structure. In this work, we generalize these results and the problems presented by Lyubashevsky et al. to the more general case of multivariate rings, highlighting the main differences with respect to the security proof for the RLWE counterpart. This hardness problem is denoted as "Multivariate Ring Learning with Errors" ($m$-RLWE or multivariate RLWE) and we show its relation to hardness problems over the tensor product of ideal lattices. Additionally, the $m$-RLWE problem is more adequate than its univariate version for cryptographic applications dealing with multidimensional structures.

研究の動機と目的

• 数体のテンソル積を用いた多変数多項式環へのRLWE問題の一般化。
• 多次元信号を処理する際の従来のRLWEおよびLWE方式における非効率性と高い暗号長の問題に対処すること。
• 最悪ケース格子問題から平均ケースm-RLWE問題への形式的セキュリティ還元を提供し、暗号的妥当性を保証すること。
• m-RLWEが、安全な信号処理応用における、一変数RLWEよりも効率的な同型暗号および信号パッケージングを可能にすることを実証すること。

提案手法

• 数体のテンソル積上にm-RLWE問題を形式化し、一変数多項式を超える代数的構造へ拡張する。
• Lyubashevskyらの手法を援用し、アイディアル格子を用いて多変数設定における最悪ケースから平均ケースへの還元技術を適応する。
• 球対称ノイズおよびガウス分布サンプリング技術を用いて、双対格子および商環の性質を活用した不問別還元を構築する。
• 統計的距離の境界に依存し、次第に次元が増加する分布の区別に複数のサンプルを用いた変換に基づく還元を実施する。
• マルコフおよび集中不等式を用いて、特定のノイズパラメータ下での受容確率の非無視的差を示す。
• 鍵となるパラメータ条件を導出：ξ = α(nl/log(nl))^{1/4}、これは還元の統計的セキュリティを保証する。

実験結果

リサーチクエスチョン

• RQ1 どのようにして、数体のテンソル積を用いてRLWE問題を多次元代数的構造へ一般化できるか？
• RQ2 RLWEを多変数環へ拡張した場合のセキュリティ的影響は何か？また、一変数RLWEと比較して、ハードネス仮定の難易度はどのように異なるか？
• RQ3 多変数設定において、最悪ケース格子問題を平均ケースm-RLWE問題へ還元できるか？暗号的セキュリティが保証されるか？
• RQ4 どのようなパラメータ選択が、多変数環設定におけるm-RLWEサンプルと一様分布との間の統計的不問別性を保証するか？

主な発見

• m-RLWE問題が、数体のテンソル積のアイディアル格子における最悪ケース格子問題を解くのと同等の難易度であることが示された。
• m-RLWEに対して最悪ケースから平均ケースへの還元が確立され、m-RLWEを解くことが、対応する最悪ケース問題を解くのと同等に難しいことが証明された。
• セキュリティ還元は、パラメータ条件ξ = α(nl/log(nl))^{1/4} に依存しており、これが分布間の統計的距離が有界に保たれることを保証する。
• m-RLWEフレームワークは、複数の信号を1つの暗号文に効率的にパッケージング可能であり、多次元信号処理応用における暗号長の短縮を実現する。
• 提案されたフレームワークにより、安全な信号処理に適したより効率的な同型暗号方式が実現可能となり、鍵長および暗号文長の点で、一変数RLWEおよびPaillierを上回る性能を示した。
• 現在のところ、m-RLWEに対して、標準的なRLWEよりも多変数構造をより効果的に利用する攻撃は知られていないため、そのセキュリティ仮定は支持される。