[论文解读] Just Take the Average! An Embarrassingly Simple $2^n$-Time Algorithm for SVP (and CVP)

Divesh Aggarwal, Noah Stephens-Davidowitz|arXiv (Cornell University)|Sep 5, 2017

Cryptography and Data Security被引用 4

一句话总结

本文通过用简单的“配对并平均”过程替代复杂的拒绝采样，提出了一种简化版的 $2^{n+o(n)}$-时间算法来解决最短向量问题（SVP）和最近向量问题（CVP）。该方法对格点向量计算 $(oldsymbol{X}_i + oldsymbol{X}_j)/2$。关键贡献在于证明在此情境下拒绝采样并非必需，从而实现概念上更简洁但渐近最优的算法。

ABSTRACT

We show a $2^{n+o(n)}$-time (and space) algorithm for the Shortest Vector Problem on lattices (SVP) that works by repeatedly running an embarrassingly simple "pair and average" sieving-like procedure on a list of lattice vectors. This matches the running time (and space) of the current fastest known algorithm, due to Aggarwal, Dadush, Regev, and Stephens-Davidowitz (ADRS, in STOC, 2015), with a far simpler algorithm. Our algorithm is in fact a modification of the ADRS algorithm, with a certain careful rejection sampling step removed. The correctness of our algorithm follows from a more general "meta-theorem," showing that such rejection sampling steps are unnecessary for a certain class of algorithms and use cases. In particular, this also applies to the related $2^{n + o(n)}$-time algorithm for the Closest Vector Problem (CVP), due to Aggarwal, Dadush, and Stephens-Davidowitz (ADS, in FOCS, 2015), yielding a similar embarrassingly simple algorithm for $γ$-approximate CVP for any $γ= 1+2^{-o(n/\log n)}$. (We can also remove the rejection sampling procedure from the $2^{n+o(n)}$-time ADS algorithm for exact CVP, but the resulting algorithm is still quite complicated.)

研究动机与目标

• 通过消除复杂的拒绝采样步骤，简化当前最先进的 $2^{n+o(n)}$-时间SVP和CVP算法。
• 证明在格点筛法中，为获得所需的分布特性，拒绝采样并非必需。
• 在保持最优渐近时间复杂度的前提下，为SVP和CVP提供更直观且可实现的算法。
• 建立一个通用的元定理，表明在某些情况下可安全地移除拒绝采样步骤而不影响正确性或性能。

提出的方法

• 提出一种“配对并平均”筛法过程，用同一 $2\mathcal{L}$ 陪集中的向量对的平均值替代向量差。
• 仅利用模 $2\mathcal{L}$ 的陪集结构来指导配对，避免使用复杂的拒绝采样。
• 应用一个元定理，证明任何用于高斯混合采样的拒绝采样算法，均可被处理所有配对的更简单版本所替代。
• 采用离散高斯采样作为基础分布，确保在迭代过程中收敛到短向量。
• 利用在特定条件下平均操作可保持高斯混合的性质，从而实现向更短向量的收敛。
• 证明简化算法的输出分布支配原始算法的输出分布，从而保证正确性和完备性。

实验结果

研究问题

• RQ1 能否在不牺牲SVP和CVP问题的正确性或渐近性能的前提下，从ADRS和ADS算法中移除复杂的拒绝采样步骤？
• RQ2 是否存在一种更简单的算法，通过将向量差替换为平均值，实现SVP和CVP的 $2^{n+o(n)}$ 时间复杂度？
• RQ3 拒绝采样的缺失是否会影响格点筛法收敛到短向量所必需的分布特性？
• RQ4 能否建立一个通用原则，使得在一大类格点算法中均可安全移除拒绝采样？
• RQ5 用均匀配对策略替代拒绝采样，对格点筛法的收敛性和正确性有何影响？

主要发现

• 所提出的算法在SVP上实现了 $2^{n+o(n)}$ 的时间与空间复杂度，与目前已知最优算法保持一致。
• 该算法通过移除ADRS和ADS算法中的所有拒绝采样步骤，使算法更加直观且易于实现。
• 简化算法的正确性由一个新元定理保证，该定理表明当算法基于陪集信息运行时，拒绝采样并非必需。
• 简化算法的输出分布支配原始算法的输出分布，确保原始算法中找到的所有向量在简化版本中也能被找到。
• 该方法不仅适用于精确的SVP和CVP，也适用于近似CVP（近似因子 $\gamma = 1 + 2^{-o(n/\log n)}$），并能产生同样简洁的算法。
• 结果表明，格点筛法的核心难点并非拒绝采样，而在于高效采样与管理陪集信息。