[논문 리뷰] On the hardness of the Learning with Errors problem with a discrete reproducible error distribution

Filipp Valovich|arXiv (Cornell University)|2016. 05. 06.

Cryptography and Data Security인용 수 3

한 줄 요약

이 논문은 오차가 대칭 스켈람 분포를 따를 때 러닝 오차 문제(LWE)의 평균 케이스 난이도를 입증하며, 손실 없는 코드와 샘플을 유지하는 검색-결정 감소를 활용한다. 주요 기여는 분산 모델에서 암호학적 보안과 차별적 프라이버시를 동시에 달성하는 양자 기반 암호 프로토콜을 제공하는 것으로, 동일한 스켈람 노이즈가 암호학적 보안과 차별적 프라이버시를 모두 보장하며, 날카운 정확도와 날카로운 보안-정확도 트레이드오프를 달성한다.

ABSTRACT

In this work we show that the hardness of the Learning with Errors problem with errors taken from the discrete Gaussian distribution implies the hardness of the Learning with Errors problem with errors taken from the symmetric Skellam distribution. Due to the sample preserving search-to-decision reduction by Micciancio and Mol the same result applies to the decisional version of the problem. Thus, we provide a variant of the Learning with Errors problem that is hard based on conjecturally hard lattice problems and uses a discrete error distribution that is similar to the continuous Gaussian distribution in that it is closed under convolution. As an application of this result we construct a post-quantum cryptographic protocol for differentially private data anlysis in the distributed model. The security of this protocol is based on the hardness of the new variant of the Decisional Learning with Errors problem. A feature of this protocol is the use of the same noise for security and for differential privacy resulting in an efficiency boost.

연구 동기 및 목표

• 대칭 스켈람 오차 분포 하에서 LWE 문제의 평균 케이스 난이도를 입증하는 것. 이는 기존의 이산 가우시안과 달리 재현 가능하고 이산적인 특성을 지닌다.
• 암호학적 보안과 프라이버시를 동시에 달성하는 분산 모델에서의 양자 기반 프라이버시 보장 데이터 분석 프로토콜을 제공하는 것.
• LWE 기반 암호에서 이산 가우시안 분포에 대한 의존도를 줄이기 위해 유리한 대수적 및 확률적 성질을 지닌 새로운 실용적 효율성 있는 오차 분포를 도입하는 것.
• 스켈람 분포가 샘플을 유지하는 검색-결정 감소를 지원함으로써, 이 새로운 오차 모델 하에서 LWE의 결정형 변형까지의 난이도가 연장됨을 보여주는 것.
• 새로운 LWE 변형 기반으로, 분산 환경에서 안전하고 프라이버시를 보장하는 Private Stream Aggregation(PSA) 기반의 프로토콜을 구축하는 것.

제안 방법

• 저자들은 이전 연구에서 제안한 손실 없는 코드를 활용하여 악성 케이스에서 평균 케이스로의 감소를 구축하며, 대칭 스켈람 오차를 가진 LWE 문제를 해결할 수 있다면 악성 케이스 랜드스케이프 문제인 SIVP 및 GAPSVP도 해결할 수 있음을 보였다.
• 오차 분포를 대칭 스켈람 분포 Sk_μ로 정의하며, 분산 μ = (ρq)²/4로 설정하여 재현 가능하고 암호학적 연산에 적합한 이산적 지지역을 확보하였다.
• 샘플을 유지하는 검색-결정 감소 기법을 적용하여, 스켈람 오차를 가진 LWE 문제의 결정형 버전이 검색형 버전만큼 난이도가 높음을 입증하였다.
• 프로토콜은 동일한 스켈람 노이즈를 암호학적 보안(DLWE 가정 기반)과 차별적 프라이버시(Skellam 메커니즘 기반)에 사용함으로써 별도의 노이즈 소스가 필요 없도록 하였다.
• 보안 파rameter κ는 μ/n = λ²κ로 설정되어, 양자 공격에 저항할 수 있는 충분한 노이즈 크기를 확보하면서도 분산 노이즈 집계에 있어 효율성을 유지한다.
• 최종 통계의 정확도는 순차적 구성 하에서 분석되었으며, (α, β)-정확도를 정량화하기 위해 β 및 δ에 대한 로그 항을 사용한 경계가 유도되었다.

실험 결과

연구 질문

• RQ1 이산적이고 재현 가능한 오차 분포를 사용할 때 LWE 문제의 난이도를 기존의 이산 가우시안 외의 분포로도 입증할 수 있는가?
• RQ2 대칭 스켈람 분포는 LWE 환경에서 샘플을 유지하는 검색-결정 감소를 지원하는가?
• RQ3 단일 노이즈 분포를 사용하여 분산 프로토콜에서 동시에 암호학적 보안과 차별적 프라이버시를 보장할 수 있는가?
• RQ4 LWE 가정 하에서 난이도를 유지하기 위해 필요한 스켈람 분포의 최소 분산은 얼마인가?
• RQ5 스켈람 오차를 사용할 경우 레이어드 LWE 문제의 난이도는 어떻게 되며, 검색-결정 감소를 지원하는가?

주요 결과

• 오차 분산이 (ρq)²/4로 설정된 경우, 대칭 스켈람 오차를 가진 LWE 문제의 난이도는 SIVP 및 GAPSVP 악성 케이스 문제와 동일하며, 근사 요인은 Õ(λκ/ρ)이다.
• Micciancio와 Mol의 샘플을 유지하는 검색-결정 감소 덕분에, 스켈람 오차를 가진 LWE 문제의 결정형 버전은 동일한 가정 하에서 난이도가 높다.
• 동일한 스켈람 노이즈가 암호학적 보안과 차별적 프라이버시를 동시에 제공하는 양자 기반 Private Stream Aggregation(PSA) 프로토콜이 구축되었으며, 계산적 (ε,δ)-DP를 달성한다.
• 각 쿼리당 (α, β)-정확도는 Ω(λ√(κn))로 나타나며, 이는 순차적 구성에 대해 최적이며 기존 알려진 하한값과 일치한다.
• n=20,000명의 사용자, m=1000개의 쿼리, ε=1, δ=0.1, κ=200인 구체적 예시에서 요구되는 노이즈 분산은 난이도 조건을 충족하여 보안과 프라이버시를 모두 보장한다.
• 보안과 프라이버시의 트레이드오프는 ε ≤ √(2m² log(1/δ)/(κn))로 형식화되었으며, 이는 프라이버시 손실이 보안 파rameter와 사용자 수의 제곱근에 반비례함을 보여준다.