[논문 리뷰] Just Take the Average! An Embarrassingly Simple $2^n$-Time Algorithm for SVP (and CVP)

Divesh Aggarwal, Noah Stephens-Davidowitz|arXiv (Cornell University)|2017. 09. 05.

Cryptography and Data Security인용 수 4

한 줄 요약

이 논문은 단순한 '페어링 및 평균화' 절차를 통해 복잡한 기각 샘플링을 대체함으로써, 짧은 벡터 문제(SVP) 및 가장 가까운 벡터 문제(CVP)에 대해 $2^{n+o(n)}$-시간 알고리즘을 제안한다. 이 절차는 격자 벡터들에 대해 $(\boldsymbol{X}_i + \boldsymbol{X}_j)/2$를 계산한다. 주요 기여는 이 맥락에서 기각 샘플링이 불필요하다는 것을 증명한 것으로, 개념적으로 더 단순하면서도 점근적으로 최적의 알고리즘이다.

ABSTRACT

We show a $2^{n+o(n)}$-time (and space) algorithm for the Shortest Vector Problem on lattices (SVP) that works by repeatedly running an embarrassingly simple "pair and average" sieving-like procedure on a list of lattice vectors. This matches the running time (and space) of the current fastest known algorithm, due to Aggarwal, Dadush, Regev, and Stephens-Davidowitz (ADRS, in STOC, 2015), with a far simpler algorithm. Our algorithm is in fact a modification of the ADRS algorithm, with a certain careful rejection sampling step removed. The correctness of our algorithm follows from a more general "meta-theorem," showing that such rejection sampling steps are unnecessary for a certain class of algorithms and use cases. In particular, this also applies to the related $2^{n + o(n)}$-time algorithm for the Closest Vector Problem (CVP), due to Aggarwal, Dadush, and Stephens-Davidowitz (ADS, in FOCS, 2015), yielding a similar embarrassingly simple algorithm for $γ$-approximate CVP for any $γ= 1+2^{-o(n/\log n)}$. (We can also remove the rejection sampling procedure from the $2^{n+o(n)}$-time ADS algorithm for exact CVP, but the resulting algorithm is still quite complicated.)

연구 동기 및 목표

• 상태의 최신 $2^{n+o(n)}$-시간 알고리즘에서 복잡한 기각 샘플링 단계를 제거하여 SVP 및 CVP 알고리즘을 단순화한다.
• 격자 스크린 알고리즘에서 원하는 분포적 성질을 확보하기 위해 기각 샘플링이 필수적이지 않음을 입증한다.
• 최적의 점근적 실행 시간을 유지하면서도 SVP 및 CVP에 대해 더 직관적이고 구현 가능한 알고리즘을 제공한다.
• 일부 기각 샘플링 절차를 안전하게 제거할 수 있는 일반적인 메타정리(메타정리)를 수립한다.

제안 방법

• 동일한 $2\mathcal{L}$ 코셋에서 온 벡터 쌍을 사용해 차이를 평균으로 대체하는 '페어링 및 평균화' 스크린 절차를 제안한다.
• 복잡한 기각 샘플링을 피하기 위해 라벨 $2\mathcal{L}$ 모듈로의 코셋 구조만을 활용하여 쌍을 형성한다.
• 기각 샘플링을 사용하는 알고리즘은 항상 간단한 버전으로 대체 가능함을 증명하는 메타정리를 적용한다. 이는 모든 쌍을 처리하는 방식이다.
• 이산 가우시안 샘플링을 기반 분포로 사용하여 반복 과정에서 짧은 벡터로 수렴함을 보장한다.
• 일부 조건 하에서 평균화가 가우시안 혼합 분포를 유지함을 활용하여 짧은 벡터로의 수렴을 가능하게 한다.
• 단순화된 알고리즘의 출력 분포가 원래 알고리즘의 출력 분포를 지배함을 증명함으로써, 정확성과 완전성을 보장한다.

실험 결과

연구 질문

• RQ1 ADR 및 ADS 알고리즘에서 복잡한 기각 샘플링 단계를 제거해도 SVP 및 CVP의 정확성이나 점근적 성능이 손상되지 않을 수 있는가?
• RQ2 벡터 차이를 평균으로 대체함으로써 SVP 및 CVP에 대해 $2^{n+o(n)}$ 시간을 달성하는 더 단순한 알고리즘이 존재하는가?
• RQ3 기각 샘플링의 부재가 격자 스크린 알고리즘이 짧은 벡터로 수렴하기 위해 필요한 분포적 성질에 영향을 주는가?
• RQ4 일반적인 원칙을 수립하여 넓은 범위의 격자 알고리즘에서 기각 샘플링을 제거할 수 있는가?
• RQ5 기각 샘플링을 균일한 쌍 형성 전략으로 대체할 경우, 격자 스크린의 수렴성과 정확성에 어떤 영향을 미치는가?

주요 결과

• 제안된 알고리즘은 SVP에 대해 $2^{n+o(n)}$ 시간 및 공간 복잡도를 달성하며, 이는 기존의 최고 성능 알고리즘과 동일하다.
• 알고리즘은 ADR 및 ADS 알고리즘의 모든 기각 샘플링 단계를 제거함으로써 더 직관적이고 구현 가능한 절차로 단순화된다.
• 기각 샘플링이 불필요하다는 새로운 메타정리를 통해 단순화된 알고리즘의 정확성이 보장된다. 이는 알고리즘이 코셋 정보만을 다룰 경우에 적용된다.
• 단순화된 알고리즘의 출력 분포가 원래 알고리즘의 출력 분포를 지배함을 보여, 원래 알고리즘이 찾은 모든 벡터가 단순화된 알고리즘에서도 발견됨을 보장한다.
• 이 방법은 정확한 SVP 및 CVP뿐만 아니라 근사율 $\gamma = 1 + 2^{-o(n/\log n)}$을 갖는 근사 CVP에도 적용 가능하며, 유사하게 단순한 알고리즘을 제공한다.
• 결과적으로, 격자 스크린의 핵심 난이도가 기각 샘플링에 있지 않고, 오히려 코셋 정보를 효율적으로 샘플링하고 관리하는 데 있음을 시사한다.