[論文レビュー] Solving the Shortest Vector Problem in $2^n$ Time via Discrete Gaussian Sampling

Divesh Aggarwal, Daniel Dadush+2 more|arXiv (Cornell University)|Dec 26, 2014

Cryptography and Data Security参考文献 40被引用数 41

ひとこと要約

この論文は、短縮ベクトル問題（SVP）を $2^{n+o(n)}$ 時間および空間で解くための確率的アルゴリズムを提示する。その中心的貢献は、任意のパラメータで $2^{n/2}$ 個のベクトルを $2^{n+o(n)}$ 時間で抽出できる、新たな離散ガウス分布サンプリング（DGS）技術の導入である。この技術により、SVP、CVP、SIVP に対する改善されたアルゴリズムが得られ、従来手法に比べて顕著な実行時間の短縮が達成される。

ABSTRACT

We give a randomized $2^{n+o(n)}$-time and space algorithm for solving the Shortest Vector Problem (SVP) on n-dimensional Euclidean lattices. This improves on the previous fastest algorithm: the deterministic $\widetilde{O}(4^n)$-time and $\widetilde{O}(2^n)$-space algorithm of Micciancio and Voulgaris (STOC 2010, SIAM J. Comp. 2013). In fact, we give a conceptually simple algorithm that solves the (in our opinion, even more interesting) problem of discrete Gaussian sampling (DGS). More specifically, we show how to sample $2^{n/2}$ vectors from the discrete Gaussian distribution at any parameter in $2^{n+o(n)}$ time and space. (Prior work only solved DGS for very large parameters.) Our SVP result then follows from a natural reduction from SVP to DGS. We also show that our DGS algorithm implies a $2^{n + o(n)}$-time algorithm that approximates the Closest Vector Problem to within a factor of $1.97$. In addition, we give a more refined algorithm for DGS above the so-called smoothing parameter of the lattice, which can generate $2^{n/2}$ discrete Gaussian samples in just $2^{n/2+o(n)}$ time and space. Among other things, this implies a $2^{n/2+o(n)}$-time and space algorithm for $1.93$-approximate decision SVP.

研究の動機と目的

• n次元格子における短縮ベクトル問題（SVP）をより高速に解くアルゴリズムを開発すること。
• 特に大きなパラメータに限らない、任意のパラメータで効率的な離散ガウス分布サンプリング（DGS）アルゴリズムを設計すること。
• SVP、CVP、SIVP を含む正確および近似格子問題の時間および空間計算量を改善すること。
• SVP の指数時間アルゴリズムの指数部分を $4^n$ から $2^n$ に低減することで、画期的な進展を達成すること。
• DGS と SVP および他の格子問題との間の効率的な還元を用いた、新たなフレームワークを提供すること。

提案手法

• 著者らは、任意のパラメータで $2^{n/2}$ 個の離散ガウス分布サンプルを $2^{n+o(n)}$ 時間および空間で生成できる、新たな DGS アルゴリズムを導入する。
• 彼らは、滑らかさパラメータと尾部確率の境界を活用した、格子上の離散ガウス分布に基づく再帰的サンプリング戦略を用いる。
• この手法は、SVP から DGS への還元に依存しており、短縮ベクトルは離散ガウス分布によるサンプリングを経て、ノルムの境界を用いてフィルタリングされる。
• 重要な技術的要素として、定数割合のサンプルが所望のノルム範囲内に収まるように保証する、離散ガウス分布の尾部確率境界の利用がある。
• アルゴリズムは、正しさと効率性を確保するため、再試行サンプリング技術と格子構造を組み合わせて用いる。
• 滑らかさパラメータを超えるパラメータにおいては、$2^{n/2+o(n)}$ 時間および空間で動作する洗練された DGS アルゴリズムを設計する。

実験結果

リサーチクエスチョン

• RQ1 短縮ベクトル問題（SVP）は、$2^{n+o(n)}$ 時間および空間で解けるか？ これは、従来の $\widetilde{O}(4^n)$ の境界を改善するものか？
• RQ2 特に大きなパラメータに限らない、任意のパラメータで効率的な離散ガウス分布サンプリング（DGS）が可能か？ これにより、格子問題への新たな還元が可能になるか？
• RQ3 DGS アルゴリズムは、近似 CVP や SIVP を指数時間未満で解くために使用可能か？
• RQ4 離散ガウス分布の構造を活用することで、SVP や関連問題の時間計算量を低減できるか？
• RQ5 DGS フレームワークは、$2^{n/2+o(n)}$ 時間で有界距離デコーディング（BDD）を解くために適応可能か？

主な発見

• この論文は、$2^{n+o(n)}$ 時間および空間で短縮ベクトル問題（SVP）を解くアルゴリズムを提示し、従来の $\widetilde{O}(4^n)$ 時間のアルゴリズムを改善している。
• 任意のパラメータで適用可能で、$2^{n/2}$ 個のサンプルを $2^{n+o(n)}$ 時間および空間で生成できる離散ガウス分布サンプリング（DGS）アルゴリズムを導入している。
• このアルゴリズムにより、$1.97$-近似 CVP に対して $2^{n+o(n)}$ 時間で解けるようになり、従来の指数時間境界を改善している。
• 滑らかさパラメータを超えるパラメータに対しては、$2^{n/2+o(n)}$ 時間および空間で動作する洗練された DGS アルゴリズムが得られ、$1.93$-近似意思決定 SVP に対して $2^{n/2+o(n)}$ 時間で解ける。
• このフレームワークにより、$\alpha$-有界距離デコーディング（BDD）が $\alpha \approx 0.422 - o(1)$ の条件下で $2^{n/2+o(n)}$ 時間で解ける。
• 論文は、$\gamma$-SIVP から $\frac{1}{2}$-DGS への還元を確立し、$\gamma = O(\sqrt{n\log n})$ の場合、$2^{n/2+o(n)}$ 時間で解けることを示している。