[论文解读] NNRU, a noncommutative analogue of NTRU

Nitin Vats|ArXiv.org|Feb 11, 2009

Cryptography and Data Security参考文献 13被引用 10

一句话总结

本文提出了NNRU，即NTRU格基公钥密码系统的非交换类比，其在环 $\mathbf{M} = M_k(\mathbb{Z})[X]/(X^n - I_{k\times k})$ 上运行，其中矩阵乘法确保了非交换性。通过利用非阿贝尔矩阵运算和先进的矩阵乘法算法，NNRU在同等消息尺寸下对格基攻击实现了完全安全性，并实现了高达 $O(k^{1.624})$ 的速度提升。

ABSTRACT

NTRU public key cryptosystem is well studied lattice-based Cryptosystem along with Ajtai-Dwork and GGH systems. Underlying NTRU is a hard mathematical problem of finding short vectors in a certain lattice. (Shamir 1997) presented a lattice-based attack by which he could find the original secret key or alternate key. Shamir concluded if one designs a variant of NTRU where the calculations involved during encryption and decryption are non-commutative then the system will be secure against Lattice based attack.This paper presents a new cryptosystem with above property and we have proved that it is completely secure against Lattice based attack. It operates in the non-commutative ring M=M_k Z[X]/(X^n - I_{k*k}, where M is a matrix ring of k*k matrices of polynomials in R={Z}[X]/(X^n-1). Moreover We have got speed improvement by a factor of O(k^{1.624) over NTRU for the same bit of information.

研究动机与目标

• 为解决NTRU及其变体在格基攻击下的脆弱性，特别是针对可交换多项式环的攻击。
• 探索非交换代数结构作为构建更安全公钥密码系统的基石。
• 在提升对格攻击的抵抗能力的同时，保持或改善NTRU在加密/解密速度方面的高性能。
• 证明底层环结构中的非交换性从根本上阻止了已知用于攻击NTRU的格约化技术。

提出的方法

• NNRU在非交换环 $\mathbf{M} = M_k(\mathbb{Z})[X]/(X^n - I_{k\times k})$ 上运行，其中元素为 $\mathbb{Z}[X]/(X^n - 1)$ 上的 $k \times k$ 矩阵。
• 解密过程中使用双侧矩阵乘法，由于非交换性，使攻击者面临的搜索空间相比NTRU呈二次方增长。
• 采用 $L^2$ 范数进行计算估计，并通过实验估计将其与 $L^\infty$ 范数关联，当 $n < 1000$ 时，缩放因子 $\gamma < 0.15$。
• 安全分析依赖于证明：由于非交换结构的存在，无法构造出对应于密钥的短向量的有用格，因此格攻击会失败。
• 利用库珀史密斯算法和指数 $e \approx 2.376$ 的快速矩阵乘法，加速矩阵求逆和多项式矩阵运算，降低计算复杂度。
• 通过令 $N = nk^2$ 进行性能比较，使NTRU与NNRU在同等明文块大小下的操作次数可直接对比。

实验结果

研究问题

• RQ1 能否构建NTRU的非交换类比，使其对已知的格基攻击保持安全？
• RQ2 使用矩阵环 $M_k(\mathbb{Z})[X]/(X^n - I_{k\times k})$ 是否从根本上破坏了在可交换NTRU上成功的格约化技术？
• RQ3 NNRU的非交换结构是否能显著提升加密和解密速度，相比标准NTRU？
• RQ4 与NTRU相比，非交换性对公钥和私钥的大小与结构有何影响？

主要发现

• 由于 $\mathbf{M}$ 中矩阵乘法的非交换性，NNRU对格基攻击完全安全，这使得用于攻击NTRU的格构造失效。
• 对于相同的明文块大小 $N = nk^2$，NNRU将操作次数从NTRU的 $O(N^2) = O(nk^4)$ 降低至使用库珀史密斯矩阵乘法算法时的 $O(nk^{2.376})$。
• 在使用基于快速傅里叶变换（FFT）的多项式乘法时，复杂度进一步降低至 $O(nk^{2.376} \log n)$，相比NTRU的 $O(N^2)$ 实现了显著的速度提升。
• NNRU的公钥长度为NTRU公钥的两倍，而私钥大小保持不变，表明在密钥长度与安全性之间存在权衡。
• 该系统保持与NTRU相同的消息扩展比 $\log_p q$，从而在带宽使用方面保持高效。
• 本文证明了依赖模方程或对撞法的格攻击在非交换环境下会失败，原因是在矩阵环中无法求解线性系统。