[논문 리뷰] Solving the Closest Vector Problem in $2^n$ Time--- The Discrete Gaussian Strikes Again!

Divesh Aggarwal, Daniel Dadush외 1명|arXiv (Cornell University)|2015. 04. 08.

Cryptography and Data Security참고 문헌 37인용 수 9

한 줄 요약

이 논문은 $2^{n+o(n)}$ 시간과 공간에서 정확한 가까운 벡터 문제(Closest Vector Problem, CVP)를 해결하는 랜덤화 알고리즘을 제시한다. 이는 이전까지의 최선이었던 $\widetilde{O}(4^n)$-시간 결정론적 알고리즘보다 향상된 결과이다. 이 방법은 격자 이동에 대한 새로운 이산 가우시안 샘플링 기법과, 정확한 CVP를 구조화된 근사 CVP 문제로 변환하는 재귀적 클러스터링 기반 감소 기법을 활용한다. 이후 이 새로운 샘플링 방법을 사용하여 강한 집중 성질을 가진 해를 구한다.

ABSTRACT

We give a $2^{n+o(n)}$-time and space randomized algorithm for solving the exact Closest Vector Problem (CVP) on $n$-dimensional Euclidean lattices. This improves on the previous fastest algorithm, the deterministic $\widetilde{O}(4^{n})$-time and $\widetilde{O}(2^{n})$-space algorithm of Micciancio and Voulgaris. We achieve our main result in three steps. First, we show how to modify the sampling algorithm from [ADRS15] to solve the problem of discrete Gaussian sampling over lattice shifts, $L- t$, with very low parameters. While the actual algorithm is a natural generalization of [ADRS15], the analysis uses substantial new ideas. This yields a $2^{n+o(n)}$-time algorithm for approximate CVP for any approximation factor $γ= 1+2^{-o(n/\log n)}$. Second, we show that the approximate closest vectors to a target vector $t$ can be grouped into "lower-dimensional clusters," and we use this to obtain a recursive reduction from exact CVP to a variant of approximate CVP that "behaves well with these clusters." Third, we show that our discrete Gaussian sampling algorithm can be used to solve this variant of approximate CVP. The analysis depends crucially on some new properties of the discrete Gaussian distribution and approximate closest vectors, which might be of independent interest.

연구 동기 및 목표

• 정확한 가까운 벡터 문제(CVP)와 최단 벡터 문제(SVP)에 대한 최선 알고리즘 간 오랜 기간 동안 존재하던 격차를 해소하기 위해, 수십 년간 $n^{O(n)}$ 시간에 머물러 있던 알고리즘의 성능을 향상시키는 것.
• 랜덤화된 시이빙 방법이 근사 해의 수가 매우 많기 때문에 정확한 가까운 벡터를 구분하지 못한다는 근본적인 과제를 해결하는 것.
• SVP에 대해 알려진 최고의 지수와 동일한 $2^{n+o(n)}$-시간 알고리즘을, 새로운 이산 가우시안 샘플링 프레임워크를 사용하여 정확한 CVP에 대해 달성하는 것.
• 근사 가까운 벡터들을 하위 차원의 클러스터로 묶는 재귀적 감소 기법을 개발하여, 효율적인 정확한 복구를 가능하게 하는 것.

제안 방법

• 낮은 분산 파rameter를 가진 $\mathcal{L} - \mathbf{t}$에서 샘플링할 수 있도록 수정된 이산 가우시안 샘플링 알고리즘을 설계하였으며, 이는 이전 연구 [ADRS15]를 확장한 새로운 분석 기법을 통합하였다.
• 표준 편차 $s_i = 2^{-i/2}s$가 감소하는 방식으로 총 $\ell = \lceil \log 10f(n) \rceil$ 개의 스케일을 거쳐 다중 척도 샘플링 전략을 사용하여, 진짜 가까운 벡터와 같은 코셋에 속하는 벡터를 샘플링할 확률을 증폭시켰다.
• 핵심 기술적 혁신은 이산 가우시안 분포의 집중 성질을 활용하여, 어떤 스케일 $i$에 대해 샘플된 벡터가 진짜 가까운 벡터와 같은 $2\mathcal{L}$-코셋에 더 높은 확률로 속하게 되도록 보장하는 것이다.
• 이 방법은 정확한 CVP를 $ (1/f(n))\text{-cCVP}^p $로 불리는 근사 CVP의 변종으로 감소시킨다. 여기서 해는 목표에 가까워야 하며, $2\mathcal{L}$ 모듈로에서 정확한 코셋에 있어야 한다.
• 감소 과정은 어떤 $i$에 대해 $ \frac{\rho_{s_i}(2\mathcal{L} + \bar{\mathbf{y}} - \mathbf{t})}{\max_{\mathbf{c} \in \mathcal{L}/(2\mathcal{L})} \rho_{s_i}(\mathbf{c} - \mathbf{t})} $의 비율이 $2^{-3n/(4\ell)}$ 이하로 유계임을 만족하는 closest vector $\bar{\mathbf{y}}$의 존재에 의존한다. 이는 샘플링을 통해 탐지 가능하게 한다.
• 최종 알고리즘은 각 스케일당 $n^2 \cdot \lceil 2^{n/\ell} \rceil$ 번의 샘플링 절차를 반복하여 성공 확률을 높이며, 총 시간 복잡도는 $2^{n + O(\log n \log f(n) + n/\log f(n))}$이다.

실험 결과

연구 질문

• RQ1 정확한 CVP는 $2^{n+o(n)}$ 시간 내에 해결될 수 있는가? 이는 SVP에 대해 알려진 최고의 지수와 일치한다.
• RQ2 이산 가우시안 샘플링 기법을 어떻게 조정하여, 매우 낮은 파rameter를 가진 격자 이동 $\mathcal{L} - \mathbf{t}$에서 정확한 가까운 벡터의 코셋을 탐지할 수 있는가?
• RQ3 근사 가까운 벡터 집합에 재귀적 구조가 존재하는가? 이를 통해 정확한 CVP를 더 구조화된 근사 CVP 문제로 감소시킬 수 있는가?
• RQ4 이산 가우시안 분포의 집중 성질을 어떻게 활용하여, 높은 확률로 적어도 하나의 샘플된 벡터가 진짜 가까운 벡터와 같은 $2\mathcal{L}$-코셋에 속하게 만들 수 있는가?
• RQ5 CVP에 대해 $2^{n+o(n)}$-시간 해법을 가능하게 하는 최소 근사 요소 $\gamma = 1 + 2^{-o(n/\log n)}$는 얼마인가?

주요 결과

• 논문은 정확한 CVP에 대해 $2^{n+o(n)}$-시간 및 공간 랜덤화 알고리즘을 달성하였으며, 이는 Micciancio와 Voulgaris의 이전 $\widetilde{O}(4^n)$-시간 결정론적 알고리즘을 향상시킨 결과이다.
• 낮은 분산을 가진 이산 가우시안 샘플링 방법을 격자 이동 $\mathcal{L} - \mathbf{t}$에 적용하였으며, 이는 이산 가우시안 분포의 새로운 성질을 분석하여 분석되었다.
• 근사 가까운 벡터들을 $2\mathcal{L}$-코셋으로 묶고 재귀적 감소 기법을 사용함으로써, 정확한 CVP를 샘플링 기반 해법에 적합한 근사 CVP의 변종으로 감소시켰다.
• 알고리즘은 시간 복잡도 $2^{n+O(n^{2/3}\log^2 n)}$ 내에 모든 가까운 벡터를 높은 확률로 찾으며, 이는 다수의 해가 존재하는 경우에도 $2^{n+o(n)}$ 지수의 충분성을 보여준다.
• 핵심 기술적 통찰은 어떤 스케일 $i$에 대해, 정확한 코셋에서의 이산 가우시안 질량이 다른 코셋보다 충분히 크기 때문에, $O(2^{n/\ell})$개의 샘플로 높은 확률로 탐지가 가능하다는 것이다.
• 결과적으로 이산 가우시안 분포는 단순한 샘플링 도구를 넘어서, 어려운 격자 문제를 해결하는 데 있어 구조적 도구로 기능한다는 점을 입증하였으며, CVP 및 관련 문제의 복잡도에 대한 함의를 지닌다.