[논문 리뷰] On Ring Learning with Errors over the Tensor Product of Number Fields

Alberto Pedrouzo-Ulloa, Juan Ramón Troncoso-Pastoriza외 1명|arXiv (Cornell University)|2016. 07. 18.

Coding theory and cryptography인용 수 4

한 줄 요약

이 논문은 수체의 텐서 곱 위에서 다변량 린지 러닝 원칙 오차 문제(m-RLWE)를 도입하고 형식화하며, 표준 RLWE를 다차원 대수적 구조로 일반화한다. 최악의 경우에서 평균적인 경우로의 과부하 감소를 확립하여, m-RLWE의 보안성이 이상적 격자에서의 격자 문제의 어려움에 의존함을 증명함으로써, 암호화된 확장률을 줄이고 다차원 신호 처리에 더 효율적인 암호 기반 솔루션을 가능하게 한다.

ABSTRACT

The "Ring Learning with Errors" (RLWE) problem was formulated as a variant of the "Learning with Errors" (LWE) problem, with the purpose of taking advantage of an additional algebraic structure in the underlying considered lattices; this enables improvements on the efficiency and cipher expansion on those cryptographic applications which were previously based on the LWE problem. In Eurocrypt 2010, Lyubashevsky et al. introduced this hardness problem and showed its relation to some known hardness problems over lattices with a special structure. In this work, we generalize these results and the problems presented by Lyubashevsky et al. to the more general case of multivariate rings, highlighting the main differences with respect to the security proof for the RLWE counterpart. This hardness problem is denoted as "Multivariate Ring Learning with Errors" ($m$-RLWE or multivariate RLWE) and we show its relation to hardness problems over the tensor product of ideal lattices. Additionally, the $m$-RLWE problem is more adequate than its univariate version for cryptographic applications dealing with multidimensional structures.

연구 동기 및 목표

• 수체의 텐서 곱을 사용하여 다변량 다항식 환으로 RLWE 문제를 일반화하는 것.
• 다차원 신호를 처리할 때 기존의 RLWE 및 LWE 기반 암호화 방식에서의 비효율성과 높은 암호 확장률 문제를 해결하는 것.
• 최악의 경우 격자 문제에서 평균적인 경우의 m-RLWE 문제로의 공식적 보안 감소를 제공하여 암호 기반의 타당성을 확보하는 것.
• m-RLWE가 다변량 RLWE보다 더 효율적인 동적 암호화 및 신호 패킹을 가능하게 하여, 안전한 신호 처리 분야의 응용에서의 성능을 입증하는 것.

제안 방법

• 수체의 텐서 곱 위에서 m-RLWE 문제를 형식화하여, 단변수 다항식을 초월한 대수적 구조를 확장하는 것.
• Lyubashevsky 등이 제안한 최악의 경우에서 평균적인 경우로의 감소 기법을 이상적 격자 기반으로 다변수 환으로 확장하는 것.
• 구면 노이즈와 가우시안 샘플링 기법을 활용하여, 쌍대 격자와 몫환의 성질을 이용해 구분 불가능성 감소를 구성하는 것.
• 통계적 거리 한계에 기반하여, 점차 증가하는 차원의 분포를 구분하기 위해 다중 샘플을 활용하는 변환 기반 감소 기법을 사용하는 것.
• 마르코프 및 농도론적 추론을 적용하여, 특정 노이즈 매개변수 조건 하에서 수용 확률의 유의미한 차이를 보이는 것.
• 키 매개변수 조건 ξ = α(nl/log(nl))^{1/4}를 유도하여 감소의 통계적 보안성을 보장하는 것.

실험 결과

연구 질문

• RQ1 어떻게 수체의 텐서 곱을 활용하여 RLWE 문제를 다차원 대수적 구조로 일반화할 수 있는가?
• RQ2 RLWE를 다변수 환으로 확장할 경우의 보안적 함의는 무엇이며, 단변수 RLWE와 비교해 보안 가정의 어려움은 어떻게 다를까?
• RQ3 다변수 환 환경에서 최악의 경우 격자 문제를 평균적인 경우의 m-RLWE 문제로 감소시킬 수 있는가? 이는 암호 보안을 보장하는가?
• RQ4 어떤 매개변수 선택 조건이 다변수 환 환경에서 m-RLWE 샘플이 균일 분포와 통계적으로 구분 불가능하도록 보장하는가?

주요 결과

• m-RLWE 문제는 수체의 텐서 곱의 이상적 격자에서 최악의 경우 격자 문제를 해결하는 것과 동일한 어려움을 가짐을 입증하였다.
• m-RLWE에 대해 최악의 경우에서 평균적인 경우로의 감소가 확립되었으며, 이는 m-RLWE 문제를 해결하는 것이 해당 최악의 경우 문제를 해결하는 것과 동일한 난이도를 가짐을 증명한다.
• 보안 감소는 매개변수 조건 ξ = α(nl/log(nl))^{1/4}에 의존하며, 이 조건은 분포 간 통계적 거리가 유한하게 유지됨을 보장한다.
• m-RLWE 프레임워크는 다차원 신호 처리 응용에서 암호 확장률을 줄이기 위해 여러 신호를 하나의 암호문에 효율적으로 패킹할 수 있도록 지원한다.
• 제안된 프레임워크는 안전한 신호 처리를 위한 더 효율적인 동적 암호화 기반 솔루션을 가능하게 하며, 키 크기 및 암호문 크기 측면에서 단변수 RLWE 및 Paillier보다 뛰어난 성능을 보인다.
• 현재까지 알려진 m-RLWE에 대한 공격 중에서 표준 RLWE보다 다변수 구조를 더 효과적으로 악용하는 것은 없으며, 이는 보안 가정의 타당성을 뒷받침한다.