[论文解读] Optimal Key Consensus in Presence of Noise

Zhengzhong Jin, Yunlei Zhao|arXiv (Cornell University)|Nov 18, 2016

Cryptography and Data Security参考文献 31被引用 14

一句话总结

本文引入了关键共识（KC）和非对称关键共识（AKC）作为基于格密码学的基础工具，能够从噪声共享值中实现安全密钥交换。提出了最优方案（OKCN 和 AKCN），并进行了紧密的误差率分析，实现了首个基于 LWR 的密钥交换协议，带宽为 16.39 kB，误差率为 $2^{-35}$，在 128 位量子安全下实现；同时提出了一种 0.4 kB 的 RLWE 基于方案，误差率为 $2^{-69}$，使用了一种新型单错误纠正码。

ABSTRACT

In this work, we abstract some key ingredients in previous LWE- and RLWE-based key exchange protocols, by introducing and formalizing the building tool, referred to as key consensus (KC) and its asymmetric variant AKC. KC and AKC allow two communicating parties to reach consensus from close values obtained by some secure information exchange. We then discover upper bounds on parameters for any KC and AKC. KC and AKC are fundamental to lattice based cryptography, in the sense that a list of cryptographic primitives based on LWR, LWE and RLWE (including key exchange, public-key encryption, and more) can be modularly constructed from them. As a conceptual contribution, this much simplifies the design and analysis of these cryptosystems in the future. We then design and analyze both general and highly practical KC and AKC schemes, which are referred to as OKCN and AKCN respectively for presentation simplicity. Based on KC and AKC, we present generic constructions of key exchange (KE) from LWR, LWE and RLWE. The generic construction allows versatile instantiations with our OKCN and AKCN schemes, for which we elaborate on evaluating and choosing the concrete parameters in order to achieve an optimally-balanced performance among security, computational cost, bandwidth efficiency, error rate, and operation simplicity.

研究动机与目标

• 将关键共识（KC）和非对称关键共识（AKC）形式化为基于格密码学的模块化原 primitive。
• 建立 KC 和 AKC 参数的理论上限，定义可实现性的边界。
• 设计最优的 KC 和 AKC 方案（OKCN 和 AKCN），并进行紧密的误差率估计，以提升效率与安全性。
• 支持从 LWR、LWE 和 RLWE 通用、模块化的密钥交换与加密构造，基于 KC 和 AKC。
• 在后量子密钥交换中实现最小带宽与可忽略的误差率，尤其针对 RLWE 基于系统。

提出的方法

• 将 KC 和 AKC 作为正式工具，用于在基于格的协议中从噪声共享值达成共识。
• 推导 KC 和 AKC 参数的理论上限，定义性能的根本限制。
• 提出参数优化的 OKCN 和 AKCN 方案，通过精确的误差率计算避免保守边界。
• 在 RLWE 基于密钥交换中应用一种新型单错误纠正（SEC）码，利用各位置误差的独立性实现高效纠错。
• 采用数值离散化与分布合并算法，精确计算误差分布，实现紧密的安全性与性能评估。
• 使用并集界与数值积分方法，高精度估计整体误差概率，确保可忽略的失败率。

实验结果

研究问题

• RQ1 在存在噪声的情况下，关键共识（KC）和非对称关键共识（AKC）的参数存在哪些基本限制？
• RQ2 如何实现高精度估计基于格的密钥交换中的误差率，以支持紧密的参数选择？
• RQ3 能否从学习取整（LWR）问题构建密钥交换协议？其带宽与安全性的权衡如何？
• RQ4 如何利用 RLWE 共享密钥中误差的独立性，设计最小化、高效率的纠错机制？
• RQ5 使用 KC 和 AKC 在 LWR、LWE 和 RLWE 上实现后量子密钥交换的最小可实现带宽与误差率是多少？

主要发现

• 本文首次实现了基于 LWR 的密钥交换，带宽为 16.39 kB，误差率为 $2^{-35}$，在 128 位量子安全下实现。
• 对于基于 LWE 的密钥交换，所提方案在推荐参数下实现 18.58 kB 带宽与 $2^{-39}$ 误差率，优于 Frodo 在带宽与误差率方面的表现。
• 基于 RLWE 的密钥交换采用单错误纠正（SEC）码，实现 0.4 kB 带宽与 $2^{-69}$ 误差率，适用于 837 位共享密钥。
• 作者证明了 RLWE 共享密钥中不同位置的误差本质上是独立的，从而支持高效 SEC 码的设计。
• 采用离散化分布与合并子程序的数值误差分析方法，可实现精确的误差率估计，减少高估，支持更紧密的参数选择。
• ZarZar 方案（基于 RLWE）的整体误差概率下限为 $2^{-58}$，其严格数值证明基于卡方分布近似。