[論文レビュー] On Ideal Lattices over the Tensor Product of Number Fields and Ring Learning with Errors over Multivariate Rings.

Alberto Pedrouzo-Ulloa, Juan Ramón Troncoso-Pastoriza+1 more|arXiv (Cornell University)|Jul 18, 2016

Cryptography and Data Security参考文献 29被引用数 4

ひとこと要約

この論文は、数体のテンソル積上の理想格子への還元を通じてその難易度を確立する、多変数多項式環へのRLWEの一般化としてのMultivariate Ring Learning with Errors (m-RLWE)問題を導入する。本研究は、m-RLWEが暗号的に安全であり、1変数の対応する問題よりも多次元暗号的応用に適していることを示している。

ABSTRACT

The with Errors (RLWE) problem was formulated as a variant of the Learning with Errors (LWE) problem, with the purpose of taking advantage of an additional algebraic structure in the underlying considered lattices; this enables improvements on the efficiency and cipher expansion on those cryptographic applications which were previously based on the LWE problem. In Eurocrypt 2010, Lyubashevsky et al. introduced this hardness problem and showed its relation to some known hardness problems over lattices with a special structure. In this work, we generalize the results and the hardness problems presented by Lyubashevsky et al. to the more general case of multivariate rings, highlighting the main differences with respect to the security proof for the RLWE counterpart. We denote this hardness problem as Multivariate Ring with Errors (m-RLWE or multivariate RLWE) and we show its relation to hardness problems over the tensor product of ideal lattices. Additionally, the m-RLWE problem is more adequate than its univariate version for cryptographic applications dealing with multidimensional structures.

研究の動機と目的

• 1変数多項式環からのRLWE問題の多変数多項式環への拡張を通じて、より効率的かつスケーラブルな暗号的構成を可能にすること。
• 数体のテンソル積上の理想格子に関連付けることにより、m-RLWEの難易度を形式的に定式化すること。
• 多次元代数的構造を含む暗号的応用において、1変数RLWEよりもm-RLWEがより適していることを示すこと。
• 既知のRLWE還元を一般化しつつ、多変数設定における構造的差異を考慮したm-RLWEの安全性還元を提供すること。

提案手法

• 数体のテンソル積の環構造を考察することで、RLWEフレームワークを多変数多項式環へ一般化すること。
• 小さな誤差項を伴う多変数多項式環上で定義されたm-RLWE問題を、難易度仮定として設定すること。
• 代数的数論と理想格子構造を用いて、最悪ケースの理想格子問題からm-RLWE問題への還元を確立すること。
• 数体のテンソル積上の理想格子における最短ベクトル問題の難易度と関連付けることで、m-RLWEの安全性を分析すること。
• 代数的数論を用いて多変数設定における環構造と理想の性質を特徴づけ、還元が妥当であることを保証すること。
• m-RLWE問題が、その下位にある理想格子問題の難易度を引き継ぐため、暗号的セキュリティが保証されることを示すこと。

実験結果

リサーチクエスチョン

• RQ1 RLWE問題は、1変数から多変数多項式環へ一般化可能であり、その難易度と暗号的有用性を保ったまま、どのように実現できるか？
• RQ2 m-RLWE問題と数体のテンソル積上の理想格子との関係は何か？
• RQ3 還元と下位の難易度仮定の観点から、m-RLWEの安全性は1変数RLWEと比べてどのように異なるか？
• RQ4 多次元代数的構造を含む暗号的応用において、m-RLWEはRLWEよりもどのような点でより適しているか？

主な発見

• m-RLWE問題は、1変数RLWEフレームワークを拡張する多変数多項式環上の難易度仮定として形式的に定義されている。
• m-RLWEの安全性は、数体のテンソル積上の最悪ケース理想格子問題の難易度に還元されている。
• m-RLWE問題は、1変数RLWEと比較して、多次元暗号的応用においてより強い構造的性質を示している。
• 最悪ケース理想格子問題からm-RLWEへの還元は、既知のRLWE還元を一般化しているが、多変数環の複雑性を考慮している。
• 数体のテンソル積の使用により、より豊かな代数的構造が得られ、より効率的かつスケーラブルな暗号的スキームの実現が可能になる。
• 結果として、m-RLWEは後量子暗号に求められる望ましい難易度特性を維持しており、多次元設定における効率性の向上が見込まれる。