[論文レビュー] Just Take the Average! An Embarrassingly Simple $2^n$-Time Algorithm for SVP (and CVP)

Divesh Aggarwal, Noah Stephens-Davidowitz|arXiv (Cornell University)|Sep 5, 2017

Cryptography and Data Security被引用数 4

ひとこと要約

この論文は、短いベクトル問題（SVP）および最近接ベクトル問題（CVP）のための、$2^{n+o(n)}$-timeの簡素化されたアルゴリズムを提示している。複雑な拒否採択サンプリングの代わりに、格子ベクトルのペア $(\boldsymbol{X}_i + \boldsymbol{X}_j)/2$ を計算する単純な「ペアにして平均をとる」手続きを採用している。主な貢献は、この文脈では拒否採択サンプリングが不要であることを証明したことであり、概念的に単純化されたが漸近的に最適なアルゴリズムを実現している。

ABSTRACT

We show a $2^{n+o(n)}$-time (and space) algorithm for the Shortest Vector Problem on lattices (SVP) that works by repeatedly running an embarrassingly simple "pair and average" sieving-like procedure on a list of lattice vectors. This matches the running time (and space) of the current fastest known algorithm, due to Aggarwal, Dadush, Regev, and Stephens-Davidowitz (ADRS, in STOC, 2015), with a far simpler algorithm. Our algorithm is in fact a modification of the ADRS algorithm, with a certain careful rejection sampling step removed. The correctness of our algorithm follows from a more general "meta-theorem," showing that such rejection sampling steps are unnecessary for a certain class of algorithms and use cases. In particular, this also applies to the related $2^{n + o(n)}$-time algorithm for the Closest Vector Problem (CVP), due to Aggarwal, Dadush, and Stephens-Davidowitz (ADS, in FOCS, 2015), yielding a similar embarrassingly simple algorithm for $γ$-approximate CVP for any $γ= 1+2^{-o(n/\log n)}$. (We can also remove the rejection sampling procedure from the $2^{n+o(n)}$-time ADS algorithm for exact CVP, but the resulting algorithm is still quite complicated.)

研究の動機と目的

• SVPおよびCVPの最先端の$2^{n+o(n)}$-timeアルゴリズムから、複雑な拒否採択サンプリングのステップを排除することで、より簡素化すること。
• 格子スイーピングアルゴリズムにおいて、望ましい分布的性質を達成するために拒否採択サンプリングが必須でないことを示すこと。
• 最適な漸近的実行時間を保ちながら、SVPおよびCVPのためのより直感的かつ実装可能なアルゴリズムを提供すること。
• 特定の拒否採択サンプリング手順を安全に削除しても正しさや性能に影響がないことを保証する一般化されたメタ定理を確立すること。

提案手法

• 同じ$2\mathcal{L}$コセットからのペアの平均を用いて、ベクトル差の代わりに「ペアにして平均をとる」スイーピング手順を提案する。
• 複雑な拒否採択サンプリングを避けるために、$2\mathcal{L}$に関するコセット構造のみをペアリングの指針として用いる。
• ガウス混合分布のサンプリングに拒否採択サンプリングを用いる任意のアルゴリズムは、すべてのペアを処理するより単純なバージョンに置き換え可能であることを示すメタ定理を適用する。
• 離散ガウス分布を基本的な分布として用い、反復処理により短いベクトルへの収束を保証する。
• 特定の条件下で、平均化がガウス混合の性質を保持することを活用し、より短いベクトルへの収束を可能にする。
• 簡素化されたアルゴリズムの出力分布が元のアルゴリズムの出力分布を支配することを証明し、正しさと完全性を保証する。

実験結果

リサーチクエスチョン

• RQ1 ADRおよびADSアルゴリズムにおける複雑な拒否採択サンプリングステップは、SVPおよびCVPの正しさや漸近的性能を損なわずに削除可能か？
• RQ2 ベクトル差の代わりに平均を用いることで、SVPおよびCVPに$2^{n+o(n)}$時間で達成可能なより単純なアルゴリズムが存在するか？
• RQ3 拒否採択サンプリングの欠如が、短いベクトルへの収束を促すために必要な分布的性質に影響を与えるか？
• RQ4 拒否採択サンプリングを幅広いクラスの格子アルゴリズムにおいて安全に削除できる一般原則を確立できるか？
• RQ5 拒否採択サンプリングを一様なペアリング戦略に置き換えると、格子スイーピングの収束性および正しさにどのような影響を与えるか？

主な発見

• 提案されたアルゴリズムは、SVPに対して$2^{n+o(n)}$の時間計算量および空間計算量を達成し、これまでに知られている最良のアルゴリズムと同等の性能を示す。
• ADRおよびADSアルゴリズムから拒否採択サンプリングのすべてのステップを排除することで、より直感的かつ実装可能な手続きに簡素化されている。
• 拒否採択サンプリングが不要であることを示す新しいメタ定理により、簡素化されたアルゴリズムの正しさが保証されている。
• 簡素化されたアルゴリズムの出力分布は、元のアルゴリズムの出力分布を支配しており、元のアルゴリズムで見つかったすべてのベクトルが、簡素化されたバージョンでも見つかることが保証されている。
• この手法は、正確なSVPおよびCVPにとどまらず、近似因子$\gamma = 1 + 2^{-o(n/\log n)}$の近似CVPに対しても適用可能であり、同様に単純なアルゴリズムをもたらす。
• 結果から、格子スイーピングの本質的な難易度は拒否採択サンプリングに起因するのではなく、コセット情報の効率的なサンプリングと管理にあることが示唆される。