[논문 리뷰] Number Theoretic Transform and Its Applications in Lattice-based Cryptosystems: A Survey

Zhichuang Liang, Yunlei Zhao|arXiv (Cornell University)|2022. 11. 24.

Coding theory and cryptography인용 수 15

한 줄 요약

이 종합적 서베이는 격자 기반 암호에서 수론적 변환(NTT)의 포괄적인 분석을 제공하며, 다양한 링에서 효율적인 다항식 곱셈에 있어서 그 역할을 상세히 기술한다. NTT에 대한 고도의 최적화 기법—예를 들어, 완전하지 않은 FFT 기법, 링 분할 기법, 대량 모듈러스 방법—을 제시하여 기존의 매개변수 제약 조건을 완화함으로써, NIST PQC 최종 후보인 Kyber, Dilithium, Falcon, NTRU Prime 등에서 고성능이고 안전한 구현을 가능하게 한다.

ABSTRACT

Number theoretic transform (NTT) is the most efficient method for multiplying two polynomials of high degree with integer coefficients, due to its series of advantages in terms of algorithm and implementation, and is consequently widely-used and particularly fundamental in the practical implementations of lattice-based cryptographic schemes. Especially, recent works have shown that NTT can be utilized in those schemes without NTT-friendly rings, and can outperform other multiplication algorithms. In this paper, we first review the basic concepts of polynomial multiplication, convolution and NTT. Subsequently, we systematically introduce basic radix-2 fast NTT algorithms in an algebraic way via Chinese Remainder Theorem. And then, we elaborate recent advances about the methods to weaken restrictions on parameter conditions of NTT. Furthermore, we systematically introduce how to choose appropriate strategy of NTT algorithms for the various given rings. Later, we introduce the applications of NTT in the lattice-based cryptographic schemes of NIST post-quantum cryptography standardization competition. Finally, we try to present some possible future research directions.

연구 동기 및 목표

• 격자 기반 암호에서 다항식 곱셈을 위한 NTT의 이론적 및 실용적 기초를 체계화하기 위해.
• 실세계 암호 시스템에서 NTT가 요구하는 NTT 우호적 매개변수(특정 소수 및 차수 등)의 제약을 해결하기 위해.
• 링의 구조와 매개변수 제약 조건에 기반하여 최적의 NTT 전략을 선택하기 위한 비교 프레임워크를 제공하기 위해.
• NIST 양자군계 암호(PQC) 최종 후보에서 NTT의 역할을 분석하여 성능과 보안 간의 상충 관계를 규명하기 위해.
• 실세계 구현을 위한 사이드 채널에 강건한 NTT 구현 설계에서의 열린 과제를 규명하고 향후 연구 방향을 제안하기 위해.

제안 방법

• 중국의 나머지 정리(CRT)와 FFT 기반 분해를 사용하여 순환 및 음성 래핑 컨볼루션에 적합한 라디우스-2 빠른 NTT 알고리즘을 유도한다.
• 완전하지 않은 FFT 기법을 도입하여 계산 오버헤드를 줄임으로써 NTT 적용 가능 범위를 NTT 우호적이지 않은 링으로 확장한다.
• 비2의 거듭제곱 차수 다항식을 NTT 우호적인 부분 링으로 분해하기 위한 링 분할 기법—Pt-NTT, K-NTT, H-NTT—을 제안한다.
• NTT 우호적 소수, 잔여수 체계(RNS), 복합 모듈러스 링을 포함한 대량 모듈러스 기법을 적용하여 임의의 링에서도 NTT를 가능하게 한다.
• 굿의 기법과 쇤헤이지-스트라센 스타일의 변환을 활용하여 비2의 거듭제곱 차수 링(예: $\mathbb{Z}_q[x]/(x^n - x - 1)$)을 NTT 우호적인 구조로 매핑한다.
• 신호 흐름 분석과 인-place 계산 전략을 활용하여 NTT 구현에서 메모리 접근을 최적화하고 계산 복잡도를 감소시킨다.

실험 결과

연구 질문

• RQ1 NTT가 비NTT 우호적 다항식 링(예: 비2의 거듭제곱 차수 또는 특수한 모듈러스가 아닌 경우)에 어떻게 효율적으로 적용될 수 있는가?
• RQ2 표준 NTT에 요구되는 엄격한 매개변수 제약 조건(예: 소수 모듈러스, 2의 거듭제곱 차수)을 완화하기 위해 가장 효과적인 기법은 무엇인가?
• RQ3 다양한 격자 기반 암호 시스템에서 완전하지 않은 FFT, 링 분할, 대량 모듈러스 등의 NTT 변종 간 성능과 구현 복잡도를 비교할 수 있는가?
• RQ4 NIST PQC 최종 후보에서 사용된 NTT 기반 최적화 기법은 무엇이며, 이는 효율성과 보안에 어떻게 기여하는가?
• RQ5 실세계 배포를 위한 사이드 채널에 강건한 NTT 구현 설계에서의 열린 과제는 무엇인가?

주요 결과

• 완전하지 않은 FFT 기법을 통해 $\mathbb{Z}_q[x]/(x^n+1)$ 및 $\mathbb{Z}_q[x]/(x^n-1)$ 링에서도 $n$ 이 2의 거듭제곱이 아닐 경우에도 NTT를 적용할 수 있으며, 이는 NTT의 적용 가능 범위를 크게 넓힌다.
• Pt-NTT, K-NTT, H-NTT와 같은 링 분할 기법은 다항식 링을 더 작은 NTT 우호적 구성요소로 분해함으로써 비NTT 우호적 링에서도 효율적인 NTT 계산을 가능하게 한다.
• RNS 및 복합 모듈러스 링을 포함한 대량 모듈러스 기법은 비2의 거듭제곱 차수와 NTT 우호적이지 않은 소수를 가진 링에서도 NTT를 지원하며, $n=761$인 NTRU Prime에서 이를 입증하였다.
• 굿의 기법을 통해 $h=3$, $k=9$, $N=6984193$ 또는 $N=q_1q_2q_3$를 사용하여 $\mathbb{Z}_q[x]/(x^n - x - 1)$ 링에서 $\mathbb{Z}_N[x]/(x^{n'}-1)$로 매핑함으로써 $n'=1536$인 경우에 효율적인 NTT를 구현할 수 있다.
• NTT는 NIST PQC 최종 후보들—Kyber, Dilithium, Falcon, Saber, NTRU, NTRU Prime—에서 핵심 최적화 기법으로 사용되며, 각각의 링크에 맞게 조정된 매개변수 선택을 통해 다항식 곱셈을 기반으로 한다.
• 슐로프의 기법과 누스바이머의 기법을 통해 $\mathbb{Z}_q[x]/(x^n - x - 1)$에서의 계산을 $\mathbb{Z}_q[x]/(x^{64}+1)$에서의 곱셈으로 감소시켜 전체 NTT 지원을 가능하게 한다.