[논문 리뷰] A Note on Discrete Gaussian Combinations of Lattice Vectors

Divesh Aggarwal, Oded Regev|arXiv (Cornell University)|2013. 08. 11.

Cryptography and Data Security참고 문헌 9인용 수 7

한 줄 요약

이 논문은 독립적인 이산 가우시안 분포에 의해 가중된 격자 벡터의 합이 격자 위의 이산 가우시안 분포와 통계적으로 가까워지는 조건을 확립한다. 생성 행렬의 구조를 분석하고 Kuperberg, Lovett, Peled의 기법을 새로운 방식으로 적용하여 연속 최소값에 대한 경계를 활용함으로써, 저자들은 벡터 수 $ m $ 에 대한 의존도를 크게 향상시켰으며, Agrawal 등(AGHS13)이 제기한 열린 문제를 해결한다.

ABSTRACT

We analyze the distribution of $\sum_{i=1}^m v_i \bx_i$ where $\bx_1,...,\bx_m$ are fixed vectors from some lattice $\cL \subset \R^n$ (say $\Z^n$) and $v_1,...,v_m$ are chosen independently from a discrete Gaussian distribution over $\Z$. We show that under a natural constraint on $\bx_1,...,\bx_m$, if the $v_i$ are chosen from a wide enough Gaussian, the sum is statistically close to a discrete Gaussian over $\cL$. We also analyze the case of $\bx_1,...,\bx_m$ that are themselves chosen from a discrete Gaussian distribution (and fixed). Our results simplify and qualitatively improve upon a recent result by Agrawal, Gentry, Halevi, and Sahai \cite{AGHS13}.

연구 동기 및 목표

• 이산 가우시안 조합에서 필요로 하는 분산 매개변수 $ r $ 가 벡터 수 $ m $ 에 따라 어떻게 의존하는지에 대한 Agrawal 등(AGHS13)의 열린 문제를 해결하기 위해.
• 행렬 $ X $ 와 $ \mathbf{v} \sim \mathcal{D}_{\mathbb{Z}^m, r} $ 에 대해 분포 $ \mathcal{E}_{X,r} = X \cdot \mathbf{v} $ 가 격자 $ \mathbb{Z}^n $ 위의 이산 가우시안 분포와 통계적으로 가까운 데 필요한 충분조건을 설정하기 위해.
• 생성 벡터 $ \mathbf{x}_1, \dots, \mathbf{x}_m $ 가 이산 가우시안 분포에서 샘플링된 경우, 통계적 가까움을 위한 조건이 높은 확률로 만족됨을 보여주기 위해.
• 결과를 $ \mathbb{Z}^n $ 이외의 일반적인 격자 $ \mathcal{L} \subset \mathbb{R}^n $ 로 일반화하여, $ \mathbb{Z}^n $ 을 넘는 프레임워크로 확장하기 위해.

제안 방법

• 생성 벡터의 구조를 반영하는 행렬 $ X $ 의 수직 격자 $ A \subset \mathbb{Z}^m $ 의 마지막 연속 최소값 $ \lambda_{m-n}(A) $ 을 bounds하는 것으로 문제를 축소한다.
• Kuperberg, Lovett, Peled(KLP12)의 기법을 적용하여, $ X $ 가 작은 성분을 가지며 $ X \mathbf{u}_i = \mathbf{e}_i $ 를 만족하는 짧은 벡터 $ \mathbf{u}_1, \dots, \mathbf{u}_n \in \mathbb{Z}^m $ 를 갖는다면 $ \lambda_{m-n}(A) $ 가 작다는 것을 보인다.
• 고양이우물 원리(pigeonhole principle)를 사용하여, $ (\mathcal{D}_{\mathbb{Z}^n, S})^m $ 에서 샘플링된 랜덤 행렬 $ X $ 가 필요한 짧은 쌍대 벡터 조건을 높은 확률로 만족함을 증명한다.
• 적절한 매개변수 제약 조건 하에서 $ \mathcal{E}_{X,r} $ 와 $ \mathcal{D}_{\mathbb{Z}^n, rX^T} $ 간의 통계적 거리가 $ \varepsilon $ 이하임을 확립한다.
• 기저 $ B $ 와의 조합을 통해 결과를 일반적인 격자 $ \mathcal{L} $ 로 일반화하여, $ \mathcal{E}_{X,R,\mathbf{c}} $ 가 $ \mathcal{D}_{\mathcal{L} + X\mathbf{c}, RX^T} $ 와 통계적으로 가까워짐을 보인다.
• 이산 가우시안 분포의 농도 경계와 尾확률 추정을 사용하여, 구성 과정에서 실패할 확률를 제어한다.

실험 결과

연구 질문

• RQ1 이산 가우시안 분포에서 $ v_i \sim \mathcal{D}_{\mathbb{Z}, r} $ 인 $ v_i $ 를 사용하여 $ \sum_{i=1}^m v_i \mathbf{x}_i $ 를 구할 때, 이 합이 격자 $ \mathbb{Z}^n $ 위의 이산 가우시안 분포와 통계적으로 가까워지는 조건은 무엇인가?
• RQ2 AGHS13에서 제기한 바와 같이, 필요로 하는 분산 매개변수 $ r $ 의 $ m $ 에 대한 의존도를 선형 의존도를 넘어서 개선할 수 있는가?
• RQ3 격자 벡터 $ \mathbf{x}_i $ 로 구성된 행렬 $ X $ 의 어떤 구조적 성질이 합 분포가 이산 가우시안 분포와 가까워지도록 보장하는가?
• RQ4 열거된 이산 가우시안 분포에서 샘플링된 열벡터를 가진 랜덤 행렬 $ X $ 가 합이 이산 가우시안 분포와 가까워지도록 하는 데 필요한 쌍대 벡터 조건을 만족할 확률은 얼마인가?
• RQ5 결과를 $ \mathbb{Z}^n $ 에서 일반적인 격자 $ \mathcal{L} \subset \mathbb{R}^n $ 로 어떻게 일반화할 수 있는가?

주요 결과

• 적절한 매개변수 제약 조건 하에 $ m = \operatorname{\tilde{\Omega}}(n \sqrt{\log(1/\varepsilon)}) $ 이고 $ r = \tilde{\Omega}(n s \sqrt{\log(1/\varepsilon)}) $ 이며 $ s = \Omega(\sqrt{\log(n/\varepsilon)}) $ 이면, $ \mathcal{E}_{X,r} $ 와 $ \mathcal{D}_{\mathbb{Z}^n, rX^T} $ 간의 통계적 거리는 확률 $ 1 - 2^{-n} $ 에서 $ \varepsilon $ 이하이다.
• $ r $ 의 $ m $ 에 대한 의존도가 AGHS13에서의 선형 의존도에서 보다 부분선형(sublinear)으로 개선되었으며, 그 작업에서 제기된 열린 문제를 해결하였다.
• 높은 확률로, $ (\mathcal{D}_{\mathbb{Z}^n, s})^m $ 에서 샘플링된 행렬 $ X $ 는 $ X \mathbf{u}_i = \mathbf{e}_i $ 를 만족하는 짧은 쌍대 벡터 $ \mathbf{u}_1, \dots, \mathbf{u}_n \in \mathbb{Z}^m $ 의 존재를 만족하며, 이는 결과에 핵심적인 조건이다.
• 결과는 일반적인 격자 $ \mathcal{L} $ 로 일반화되었으며, 동일한 매개변수 제약 조건 하에 $ \mathcal{E}_{X,R,\mathbf{c}} $ 는 $ \mathcal{D}_{\mathcal{L} + X\mathbf{c}, RX^T} $ 와 통계적으로 가까워진다.
• KLP12의 기법에 기반한 증명 기법은 수직 격자의 연속 최소값 분석을 깔끔하고 모듈러하게 가능하게 하여 더 날카운 경계를 이끌어낸다.
• 분석 결과, 필요한 분산 $ r $ 가 $ \tilde{\Omega}(n s \sqrt{\log(1/\varepsilon)}) $ 로 스케일링됨을 보여주었으며, 이는 이전 작업의 선형 의존도에 비해 크게 향상된 것이다.