[论文解读] Classical Hardness of Learning with Errors

Zvika Brakerski, Adeline Roux-Langlois+3 more|arXiv (Cornell University)|Jun 3, 2013

Cryptography and Data Security参考文献 8被引用 42

一句话总结

本文首次为学习错误（LWE）问题建立了经典困难性归约，证明即使在多项式大小模数下，LWE 问题也与标准最坏情况下的格问题一样困难。通过借鉴全同态加密中的技术并优化维度与模数之间的权衡，作者为基于 LWE 的密码学建立了经典安全基础，解决了格密码学中长期存在的一个开放问题。

ABSTRACT

We show that the Learning with Errors (LWE) problem is classically at least as hard as standard worst-case lattice problems, even with polynomial modulus. Previously this was only known under quantum reductions. Our techniques capture the tradeoff between the dimension and the modulus of LWE instances, leading to a much better understanding of the landscape of the problem. The proof is inspired by techniques from several recent cryptographic constructions, most notably fully homomorphic encryption schemes.

研究动机与目标

• 通过用经典归约替代量子归约，弥合对 LWE 困难性理解的差距。
• 证明在经典计算模型下，具有多项式模数的 LWE 问题与最坏情况下的格问题一样困难。
• 明确 LWE 实例中维度与模数之间的权衡，改善对问题参数空间的理解。
• 为安全的、可经典归约的基于格的密码学构造（包括全同态加密及其他高级原原子）提供基础。
• 解决一个开放问题：当模数为多项式而非指数时，LWE 在经典归约下是否仍然困难。

提出的方法

• 将 GPV 框架中的采样过程适配为在格上生成离散高斯样本，确保正确性与效率。
• 使用拒绝采样校正采样器的输出分布，确保其与目标离散高斯分布 $ D_{\Lambda + \mathbf{c}, r} $ 匹配。
• 应用泊松求和公式，高效计算归一化因子 $ \rho_r(\mathbb{Z} + c) $（当 $ r \geq 1 $ 时），实现多项式时间近似。
• 证明拒绝采样的概率下界为 $ e^{-2} $，确保迭代次数的期望值为常数（最多 $ e^2 $）。
• 证明所得采样器的运行时间在输入大小和所需精度上均为多项式时间，适用于密码学应用。
• 利用最短向量问题（GapSVP）的经典困难性，以及通过对偶问题实现的最坏情况到平均情况的归约，避免在归约中使用量子计算。

实验结果

研究问题

• RQ1 LWE 问题的困难性能否仅通过经典计算归约为最坏情况下的格问题？
• RQ2 在经典归约下，具有多项式模数的 LWE 是否与标准格问题一样困难？
• RQ3 在 LWE 实例中，维度 $ n $ 与模数 $ q $ 之间的精确权衡是什么，以维持经典困难性？
• RQ4 是否可以不依赖量子算法或非标准假设，建立 LWE 的经典困难性？
• RQ5 如何在经典多项式时间内高效且准确地从格上的离散高斯分布中采样？

主要发现

• 本文建立了具有多项式模数的 LWE 问题的经典最坏情况到平均情况的困难性归约，证明其困难性与在多项式因子内近似最短向量问题（GapSVP）相当。
• 该归约高效且不依赖量子计算，解决了格密码学中长期存在的一个开放问题。
• 采样过程的期望迭代次数最多为 $ e^2 \approx 7.39 $，确保了实际效率。
• 归一化因子 $ \rho_r(\mathbb{Z} + c) $ 可在精度的比特数为多项式时间内计算到任意所需精度。
• 该方法实现了维度 $ n $ 与模数 $ q $ 之间的紧密权衡，表明当 $ q $ 在 $ n $ 上为多项式时，LWE 依然困难。
• 该结果为构建无需依赖量子归约的、安全的后量子密码方案（基于 LWE）提供了坚实基础。