[论文解读] NTRUCipher-Lattice Based Secret Key Encryption

Maheswara Rao Valluri|arXiv (Cornell University)|Oct 5, 2017

Cryptography and Data Security参考文献 3被引用 5

一句话总结

本论文提出 NTRUCipher，一种基于 NTRU 格结构的格基密钥加密方案，其在环 $\mathbb{Z}_q[x]/(x^n-1)$ 上使用截断多项式，其中 $n$ 为素数，$q$ 为 2 的幂。该方案将 NTRUEncrypt 框架适配为对称密钥用途，证明了在判定 NTRUCipher 密文破解问题困难的假设下具备 IND-CPA 安全性，并为实际部署推荐了对暴力破解和多次传输攻击具有强抵抗能力的参数。

ABSTRACT

NTRU cryptosystem has allowed designing a range of cryptographic schemes due to its flexibility and efficiency. Although NTRU cryptosystem was introduced nearly two decades ago, it has not yet received any attention like designing a secret key encryption. In this paper, we propose a secret key encryption over NTRU lattices, named as NTRUCipher. This NTRUCipher is designed using modification of the NTRU public key encryption. We analyze this cipher efficiency and the space complexity with respect to security aspects, and also show that the NTRUCipher is secured under the indistinguishability chosen plaintext attack.

研究动机与目标

• 设计一种基于 NTRU 格结构的新密钥加密方案，填补 NTRU 在公钥密码学之外应用的空白。
• 将 NTRUEncrypt 框架适配为对称密钥用途，利用截断多项式的高效性与代数结构。
• 在不可区分性选择明文攻击（IND-CPA）模型下正式证明安全性。
• 分析该方案的效率、空间复杂度，以及对暴力破解和多次传输攻击的抵抗能力。
• 为部署推荐安全且实用的系统参数。

提出的方法

• 该方案使用环 $R = \mathbb{Z}_q[x]/(x^n - 1)$，其中 $n$ 为素数，$q$ 为 2 的幂，基于 NTRU 格框架构建。
• 加密定义为 $c = (p \cdot r \cdot k^{-1} + \mu) \mod q$，其中 $\mu$ 为明文，$k$ 为密钥，$r$ 为随机临时多项式，$p$ 为固定多项式。
• 解密为概率性操作，依赖于密钥 $k^{-1}$ 在环 $R_{n,q}$ 中的逆元，通过模 $q$ 运算和舍入操作实现。
• 安全性证明采用基于游戏的 IND-CPA 模型，表明任何具有非可忽略优势的攻击者均可用于破解判定 NTRUCipher 密文破解问题。
• 通过要求 $3^{256}$ 次尝试恢复一个 256 次三元明文，实现对暴力破解的抵抗；通过在 $\mathfrak{L}_c$ 格中进行结构化格约化，实现对多次传输攻击的抵抗。
• 参数选择基于确保优势 $\frac{q_e}{(2\|r^*\|_\infty + 1)^n}$ 为可忽略值，其中 $n$ 和 $q$ 的选择需满足安全阈值。

实验结果

研究问题

• RQ1 NTRU 格结构能否被有效重用于密钥加密，而不仅限于公钥加密？
• RQ2 该方案在对称加密的标准 IND-CPA 模型下是否安全？
• RQ3 与 AES 或 DES 等经典分组密码相比，该方案的密文大小在空间效率方面表现如何？
• RQ4 哪些实际参数选择可确保对暴力破解和多次传输攻击的抵抗？
• RQ5 该方案能否扩展以支持同态特性或消息认证？

主要发现

• 在判定 NTRUCipher 密文破解问题困难的假设下，NTRUCipher 已证明具备 IND-CPA 安全性，其优势被限制在 $\frac{q_e}{(2\|r^*\|_\infty + 1)^n}$，对于合理选择的参数而言该值为可忽略值。
• 由于搜索空间极大，该方案对暴力破解具有抵抗能力：存在 $3^{256}$ 种可能的 256 次三元多项式，超过 $2^{80}$ 的安全阈值。
• 多次传输攻击受到缓解，因为攻击者无法从差值 $c_i - c_1$ 中恢复出密钥 $k$，这需要在结构化格 $\mathfrak{L}_c$ 中求解近似最短向量问题（SVP）。
• 密文大小显著大于经典分组密码，这是基于格的安全性与空间效率之间的一项关键权衡。
• 在计算操作方面，该方案效率较高，依赖于 $R_{n,q}$ 中的多项式乘法和模运算，但其较大的密文大小限制了在带宽受限环境中的实用性。
• 作者推荐特定参数，包括 $n$ 为素数，$q$ 为 2 的幂，且 $\|r^*\|_\infty$ 受限，以确保 IND-CPA 游戏中优势可忽略且安全性充分。