[논문 리뷰] Classical Hardness of Learning with Errors

Zvika Brakerski, Adeline Roux-Langlois외 3명|arXiv (Cornell University)|2013. 06. 03.

Cryptography and Data Security참고 문헌 8인용 수 42

한 줄 요약

이 논문은 학습 오차(LWE) 문제에 대한 첫 번째 고전적 경감을 확립하여, 다항식 크기의 모듈러스를 가질 경우에도 표준 최악의 경우 격자 문제만큼 어려운 것으로 증명한다. 완전한 동형 암호화 기법을 활용하고 차원과 모듈러스 사이의 트레이드오프를 정교화함으로써, 저자들은 LWE 기반 암호의 고전적 보안 기반을 확립하며, 격자 암호에서 오랫동안 남아 있던 열린 문제를 해결한다.

ABSTRACT

We show that the Learning with Errors (LWE) problem is classically at least as hard as standard worst-case lattice problems, even with polynomial modulus. Previously this was only known under quantum reductions. Our techniques capture the tradeoff between the dimension and the modulus of LWE instances, leading to a much better understanding of the landscape of the problem. The proof is inspired by techniques from several recent cryptographic constructions, most notably fully homomorphic encryption schemes.

연구 동기 및 목표

• 양자 감소를 고전적 감소로 대체함으로써 LWE 경감에 대한 이해 격차를 해소하기 위해.
• 다항식 모듈러스를 가진 LWE가 고전 계산 모델에서 최악의 경우 격자 문제만큼 어려운지 입증하기 위해.
• LWE 인스턴스의 차원과 모듈러스 사이의 트레이드오프를 명확히 하여 문제의 매개변수 환경에 대한 이해를 향상시키기 위해.
• 완전한 동형 암호화 및 기타 고급 원리와 같은 고전적으로 감소 가능한 격자 기반 암호 구조의 안전한 기반을 마련하기 위해.
• 모듈러스가 지수적일 때가 아니라 다항식일 때 LWE가 여전히 고전적 감소 하에 어려운지 여부라는 열린 질문을 해결하기 위해.

제안 방법

• GPV 프레임워크에서 유래한 샘플링 절차를 변형하여 격자 위에서 이산 가우시안 분포 샘플을 생성함으로써 정확성과 효율성을 확보하기 위해.
• 샘플러의 출력 분포를 교정하기 위해 기각 샘플링을 사용하여, 이것이 원하는 이산 가우시안 분포 $ D_{\Lambda + \mathbf{c}, r} $ 와 정확히 일치하도록 하기 위해.
• 정규화 인자 $ \rho_r(\mathbb{Z} + c) $ 를 $ r \geq 1 $ 인 경우에 효율적으로 계산하기 위해 파울슨 합공식을 적용하여 다항식 시간 근사가 가능하도록 하기 위해.
• 기각 샘플링 확률가 $ e^{-2} $ 이하로 제한됨을 입증하여, 평균적으로 상수 개수의 반복(최대 $ e^2 $)이 이루어지도록 하기 위해.
• 결과로 얻어진 샘플러가 입력 크기와 원하는 정밀도에 대해 다항식 시간 내에 실행됨을 증명하여 암호 응용에 적합함을 보장하기 위해.
• 최단 벡터 문제(GapSVP)의 고전적 경감과 이중 문제를 통한 최악의 경우에서 평균의 경우로의 경감을 활용하여, 감소 과정에서 양자 계산을 피하기 위해.

실험 결과

연구 질문

• RQ1 학습 오차(LWE) 문제의 경감이 오직 고전적 계산을 사용하여 최악의 경우 격자 문제로 내릴 수 있는가?
• RQ2 다항식 모듈러스를 가진 LWE가 고전적 감소 하에 표준 격자 문제만큼 어려운가?
• RQ3 LWE 인스턴스에서 차원 $ n $ 과 모듈러스 $ q $ 사이의 정밀한 트레이드오프는 무엇인가? 이를 통해 고전적 경감을 유지할 수 있는가?
• RQ4 양자 알고리즘이나 비표준 가정에 의존하지 않고도 LWE의 고전적 경감을 확립할 수 있는가?
• RQ5 어떻게 하면 고전적 다항식 시간 내에 격자 위의 이산 가우시안 분포에서 효율적이고 정확한 샘플링을 수행할 수 있는가?

주요 결과

• 논문은 다항식 모듈러스를 가진 LWE에 대해 최악의 경우에서 평균의 경우로의 고전적 경감을 확립하여, LWE가 다항 인자 범위 내에서 최단 벡터 문제(GapSVP)를 근사하는 것만큼 어려운 것으로 증명한다.
• 이 경감은 효율적이며 양자 계산을 필요로 하지 않아, 격자 기반 암호에서 오랫동안 남아 있던 열린 문제를 해결한다.
• 샘플링 절차에서의 평균 반복 수는 최대 $ e^2 \approx 7.39 $ 이하로 제한되어 실용적 효율성을 보장한다.
• 정규화 인자 $ \rho_r(\mathbb{Z} + c) $ 는 정밀도 비트 수에 대해 다항식 시간 내에 임의의 정밀도로 계산 가능하다.
• 이 방법은 차원 $ n $ 과 모듈러스 $ q $ 사이에 날카운 트레이드오프를 달성하여, $ q $ 가 $ n $ 에 대해 다항식일 때조차도 LWE가 여전히 어려운 것으로 유지됨을 보여준다.
• 결과적으로, 양자 감소에 의존하지 않고도 안전한 양자 이후 암호 체계를 구축하기 위한 강력한 기반을 제공한다.