[论文解读] A Note on Discrete Gaussian Combinations of Lattice Vectors

Divesh Aggarwal, Oded Regev|arXiv (Cornell University)|Aug 11, 2013

Cryptography and Data Security参考文献 9被引用 7

一句话总结

本文建立了在何种条件下，由独立离散高斯分布加权的格向量之和在统计上接近于格上的离散高斯分布。通过分析生成矩阵的结构，并利用Kuperberg、Lovett和Peled技术的创新应用，对连续最小值进行界限估计，作者显著改善了关于向量数量 $ m $ 的依赖关系，解决了Agrawal等人（AGHS13）提出的一个开放问题。

ABSTRACT

We analyze the distribution of $\sum_{i=1}^m v_i \bx_i$ where $\bx_1,...,\bx_m$ are fixed vectors from some lattice $\cL \subset \R^n$ (say $\Z^n$) and $v_1,...,v_m$ are chosen independently from a discrete Gaussian distribution over $\Z$. We show that under a natural constraint on $\bx_1,...,\bx_m$, if the $v_i$ are chosen from a wide enough Gaussian, the sum is statistically close to a discrete Gaussian over $\cL$. We also analyze the case of $\bx_1,...,\bx_m$ that are themselves chosen from a discrete Gaussian distribution (and fixed). Our results simplify and qualitatively improve upon a recent result by Agrawal, Gentry, Halevi, and Sahai \cite{AGHS13}.

研究动机与目标

• 解决Agrawal等人（AGHS13）提出的关于离散高斯组合中所需方差参数 $ r $ 对向量数量 $ m $ 的依赖关系的开放问题。
• 建立充分条件，使得分布 $ \mathcal{E}_{X,r} = X \cdot \mathbf{v} $，其中 $ \mathbf{v} \sim \mathcal{D}_{\mathbb{Z}^m, r} $，在统计上接近于格 $ \mathbb{Z}^n $ 上的离散高斯分布。
• 证明当生成向量 $ \mathbf{x}_1, \dots, \mathbf{x}_m $ 本身从 $ \mathbb{Z}^n $ 上的离散高斯分布中采样时，统计接近性所需的条件以高概率成立。
• 将结果推广到任意格 $ \mathcal{L} \subset \mathbb{R}^n $，将框架从 $ \mathbb{Z}^n $ 扩展至更一般的情形。

提出的方法

• 将问题简化为对矩阵 $ X $ 的正交格 $ A \subset \mathbb{Z}^m $ 的最后一个连续最小值 $ \lambda_{m-n}(A) $ 进行有界，该值捕捉了生成向量的结构。
• 应用Kuperberg、Lovett和Peled（KLP12）的技术，证明若 $ X $ 的元素较小，且存在短向量 $ \mathbf{u}_1, \dots, \mathbf{u}_n \in \mathbb{Z}^m $ 满足 $ X \mathbf{u}_i = \mathbf{e}_i $，则 $ \lambda_{m-n}(A) $ 较小。
• 使用鸽巢原理证明，以高概率，从 $ (\mathcal{D}_{\mathbb{Z}^n, S})^m $ 中采样的随机矩阵 $ X $ 满足所需的短对偶向量条件。
• 在适当的参数约束下，建立 $ \mathcal{E}_{X,r} $ 与 $ \mathcal{D}_{\mathbb{Z}^n, rX^T} $ 之间的统计距离至多为 $ \varepsilon $。
• 通过与基 $ B $ 的复合，将结果推广到任意格 $ \mathcal{L} $，证明 $ \mathcal{E}_{X,R,\mathbf{c}} $ 在类似参数约束下接近于 $ \mathcal{D}_{\mathcal{L} + X\mathbf{c}, RX^T} $。
• 利用离散高斯分布的浓度不等式和尾部估计，控制构造中失败的概率。

实验结果

研究问题

• RQ1 在何种条件下，和 $ \sum_{i=1}^m v_i \mathbf{x}_i $，其中 $ v_i \sim \mathcal{D}_{\mathbb{Z}, r} $，在统计上接近于格 $ \mathbb{Z}^n $ 上的离散高斯分布？
• RQ2 能否将所需方差参数 $ r $ 对向量数量 $ m $ 的依赖关系改进至超越AGHS13中线性依赖的程度？
• RQ3 矩阵 $ X $（由格向量 $ \mathbf{x}_i $ 构成）的何种结构特性可确保和分布接近于离散高斯分布？
• RQ4 随机矩阵 $ X $（其列从 $ \mathbb{Z}^n $ 上的离散高斯分布中采样）满足和接近于离散高斯分布所必需的对偶向量条件的概率是多少？
• RQ5 如何将结果从 $ \mathbb{Z}^n $ 推广到任意格 $ \mathcal{L} \subset \mathbb{R}^n $？

主要发现

• 在 $ m = \operatorname{\tilde{\Omega}}(n \sqrt{\log(1/\varepsilon)}) $ 且 $ r = \tilde{\Omega}(n s \sqrt{\log(1/\varepsilon)}) $ 的条件下，其中 $ s = \Omega(\sqrt{\log(n/\varepsilon)}) $，$ \mathcal{E}_{X,r} $ 与 $ \mathcal{D}_{\mathbb{Z}^n, rX^T} $ 之间的统计距离至多为 $ \varepsilon $，且该结果以概率 $ 1 - 2^{-n} $ 成立。
• 对 $ r $ 与 $ m $ 依赖关系的改进从线性（如AGHS13中所示）变为次线性，解决了该工作中提出的一个开放问题。
• 以高概率，从 $ (\mathcal{D}_{\mathbb{Z}^n, s})^m $ 中采样的矩阵 $ X $ 满足存在短对偶向量 $ \mathbf{u}_1, \dots, \mathbf{u}_n \in \mathbb{Z}^m $ 使得 $ X \mathbf{u}_i = \mathbf{e}_i $，这是该结果的关键条件。
• 该结果可推广至任意格 $ \mathcal{L} $，其中在类似参数约束下，$ \mathcal{E}_{X,R,\mathbf{c}} $ 在统计上接近于 $ \mathcal{D}_{\mathcal{L} + X\mathbf{c}, RX^T} $。
• 基于KLP12方法的证明技术允许对正交格的连续最小值进行清晰且模块化的分析，从而得到更紧的界限。
• 分析表明，所需方差 $ r $ 的尺度为 $ \tilde{\Omega}(n s \sqrt{\log(1/\varepsilon)}) $，这显著优于先前工作中线性依赖的尺度。