[論文レビュー] Security considerations for Galois non-dual RLWE families

Hao Chen, Kristin Lauter+1 more|arXiv (Cornell University)|Oct 9, 2017

Cryptography and Data Security参考文献 17被引用数 9

ひとこと要約

本稿は、ガロア数体における非双対離散リングLWE（RLWE）問題のセキュリティを調査し、特定の環に対しては攻撃を改善し、新たな脆弱なガロア体の族を構築する。ガウス和の境界を適用することで、2乗根の巡回体環で、分岐していない法が与えられた場合、誤差分布と法の素イデアルにおける一様分布との間の統計的距離が無視できるほど小さくなるため、これらの攻撃に対して安全であることが示される。

ABSTRACT

We explore further the hardness of the non-dual discrete variant of the Ring-LWE problem for various number rings, give improved attacks for certain rings satisfying some additional assumptions, construct a new family of vulnerable Galois number fields, and apply some number theoretic results on Gauss sums to deduce the likely failure of these attacks for 2-power cyclotomic rings and unramified moduli.

研究の動機と目的

• 標準的な巡回体構成を超える一般の数体環における非双対離散RLWE問題の困難さを調査すること。
• 既存の弱いRLWEインスタンスに対する攻撃の効率を、アルゴリズム的技術の精錬によって向上させること。
• 相対的標準偏差が増加しても、これらの攻撃に対して脆弱である新たな無限族のガロア数体を構築すること。
• 特に法が分岐していない場合で、残差次数が小さいときの2乗根の巡回体環の耐性を分析すること。
• RLWE誤差分布と素イデアルを法とする一様分布との間の統計的距離に対する理論的境界を確立すること。

提案手法

• 特定のガロア構造をもつ数体上で、[9]の攻撃を最適化したサンプリングおよび削減プロセスにより、攻撃を改善する。
• 有限体におけるガウス和に関する数論的結果を適用し、キャラクター和の大きさを制限することで、誤差分布の歪みを制御する。
• 正規埋め込みとイデアル格子上の離散ガウス分布を用いて、環内でのRLWE誤差分布をモデル化する。
• 素イデアルを法とする削減誤差分布と一様分布との間の統計的距離に対する上界を導出する。
• 特にトレース関数とキャラクター和を用いた有限体上のフーリエ解析を用いて、分布の一様性を分析する。
• 定理5.2を証明し、法のサイズ、環の次数、誤差パラメータを用いた統計的距離の定量的境界を示す。

実験結果

リサーチクエスチョン

• RQ1 追加の代数的構造を持つ特定の数体環において、非双対RLWEに対する既存攻撃の実行時間を著しく短縮できるか？
• RQ2 相対的標準偏差が誤差分布に対して増加しても、[9]の攻撃フレームワークに脆弱である新たなガロア数体の族は何か？
• RQ3 分岐していない法が与えられた2乗根の巡回体環において、ガウス和の境界が攻撃の成功をどの程度防ぐか？
• RQ4 このような環において、素イデアルを法とするRLWE誤差分布と一様分布との統計的距離はどのように振る舞うか？
• RQ5 統計的距離の理論的境界を用いて、実用的なパrameter選択のもとで2乗根の巡回体RLWEインスタンスの安全性を証明できるか？

主な発見

• 改善された攻撃により、[9]で以前に特定された弱いインスタンスの実行時間が著しく短縮され、より実用的に攻撃可能になる。
• 相対的標準偏差が無限大に近づいても、攻撃に対して脆弱である無限族のガロア数体が構築された。
• 分岐していない法 q と小さな残差次数（1または2）を持つ2乗根の巡回体環では、素イデアルを法とする誤差分布と一様分布との統計的距離が、m → ∞ のとき O(q · 2^{-m}) で有界である。
• 表3の数値結果から、n ≥ 100 かつ多項式サイズの q に対して、統計的距離は無視できるほど小さく、カイ二乗検定により誤差が一様に分布していることが確認された。
• 法 q の残差次数 f > 1 の場合、トレース関数を用いた一般化が可能であり、表4から、より大きな q に対しても統計的距離が小さいことが示された。
• β = (1 + √q/m)/2 とすると、ε(m,q,k) ≤ (q−1)/2 · β^{km/4} が成り立ち、β^{k/4} < 1/2 のとき、誤差分布は一様に統計的に近いことが保証され、このようなパrameterでは安全性が保証される。