[论文解读] Solving the Closest Vector Problem in $2^n$ Time--- The Discrete Gaussian Strikes Again!

Divesh Aggarwal, Daniel Dadush+1 more|arXiv (Cornell University)|Apr 8, 2015

Cryptography and Data Security参考文献 37被引用 9

一句话总结

本文提出了一种随机化算法，可在 $2^{n+o(n)}$ 时间和空间内解决精确最近向量问题（CVP），优于此前最好的 $ ilde{O}(4^n)$ 时间确定性算法。该方法利用了一种新颖的在格平移上进行的离散高斯采样技术，以及基于递归聚类的约化方法，将精确 CVP 转化为一种结构化的近似 CVP 实例，再通过该新采样方法结合强集中性质求解。

ABSTRACT

We give a $2^{n+o(n)}$-time and space randomized algorithm for solving the exact Closest Vector Problem (CVP) on $n$-dimensional Euclidean lattices. This improves on the previous fastest algorithm, the deterministic $\widetilde{O}(4^{n})$-time and $\widetilde{O}(2^{n})$-space algorithm of Micciancio and Voulgaris. We achieve our main result in three steps. First, we show how to modify the sampling algorithm from [ADRS15] to solve the problem of discrete Gaussian sampling over lattice shifts, $L- t$, with very low parameters. While the actual algorithm is a natural generalization of [ADRS15], the analysis uses substantial new ideas. This yields a $2^{n+o(n)}$-time algorithm for approximate CVP for any approximation factor $γ= 1+2^{-o(n/\log n)}$. Second, we show that the approximate closest vectors to a target vector $t$ can be grouped into "lower-dimensional clusters," and we use this to obtain a recursive reduction from exact CVP to a variant of approximate CVP that "behaves well with these clusters." Third, we show that our discrete Gaussian sampling algorithm can be used to solve this variant of approximate CVP. The analysis depends crucially on some new properties of the discrete Gaussian distribution and approximate closest vectors, which might be of independent interest.

研究动机与目标

• 弥合精确最近向量问题（CVP）与最短向量问题（SVP）之间长期存在的差距，后者在数十年间均保持在 $n^{O(n)}$ 时间复杂度。
• 解决随机筛法因近似解的高重数而无法区分精确最近向量的根本挑战。
• 通过一种新颖的离散高斯采样框架，实现 $2^{n+o(n)}$-时间精确 CVP 算法，其时间复杂度指数与 SVP 的最佳已知指数一致。
• 开发一种递归约化方法，将近似最近向量聚类为低维簇，从而实现高效的精确恢复。

提出的方法

• 设计了一种改进的离散高斯采样算法，用于从 $\mathcal{L} - \mathbf{t}$ 中采样，采用极低方差参数，扩展了先前工作 [ADRS15] 并引入了新的分析技术。
• 该算法在 $\ell = \lceil \log 10f(n) \rceil$ 个尺度上采用多尺度采样策略，标准差递减为 $s_i = 2^{-i/2}s$，以增强采样到与真实最近向量同余类中的向量的概率。
• 关键技术突破在于利用离散高斯分布的集中性质，确保在某个尺度 $i$ 上，采样向量更可能位于与最近向量相同的 $2\mathcal{L}$-余类中。
• 该方法将精确 CVP 约化为一种近似 CVP 的变体——称为 $ (1/f(n))\text{-cCVP}^p $——其中解必须接近目标且位于模 $2\mathcal{L}$ 的正确余类中。
• 该约化依赖于存在一个最近向量 $\bar{\mathbf{y}}$，使得对某个 $i$，比值 $ \frac{\rho_{s_i}(2\mathcal{L} + \bar{\mathbf{y}} - \mathbf{t})}{\max_{\mathbf{c} \in \mathcal{L}/(2\mathcal{L})} \rho_{s_i}(\mathbf{c} - \mathbf{t})} $ 下方有界于 $2^{-3n/(4\ell)}$，从而可通过采样检测。
• 最终算法在每个尺度上运行采样过程 $n^2 \cdot \lceil 2^{n/\ell} \rceil$ 次，以确保高成功概率，总时间复杂度为 $2^{n + O(\log n \log f(n) + n/\log f(n))}$。

实验结果

研究问题

• RQ1 能否在 $2^{n+o(n)}$ 时间内求解精确 CVP，使其时间复杂度指数与 SVP 的最佳已知指数一致？
• RQ2 能否将离散高斯采样技术适配到在极低参数下对格平移 $\mathcal{L} - \mathbf{t}$ 进行采样，以检测最近向量的正确余类？
• RQ3 近似最近向量集合中是否存在递归结构，使得可将精确 CVP 约化为更结构化的近似 CVP 实例？
• RQ4 能否利用离散高斯分布的集中性质，确保以高概率至少有一个采样向量位于与真实最近向量相同的 $2\mathcal{L}$-余类中？
• RQ5 允许在 $2^{n+o(n)}$ 时间内求解 CVP 的最小近似因子 $\gamma = 1 + 2^{-o(n/\log n)}$ 是多少？

主要发现

• 本文实现了 $2^{n+o(n)}$-时间与空间的随机化精确 CVP 算法，优于此前 Micciancio 和 Voulgaris 的 $\widetilde{O}(4^n)$-时间确定性算法。
• 该算法采用一种新颖的在格平移 $\mathcal{L} - \mathbf{t}$ 上进行的离散高斯采样方法，方差极低，其分析基于离散高斯分布的新性质。
• 通过将近似最近向量聚类为 $2\mathcal{L}$-余类，并利用递归约化，该算法将精确 CVP 约化为一种可被基于采样的方法求解的近似 CVP 变体。
• 该算法以高概率在时间 $2^{n+O(n^{2/3}\log^2 n)}$ 内找到所有最近向量，表明即使存在多个解，$2^{n+o(n)}$ 的指数复杂度也已足够。
• 关键技术洞见在于：在某个尺度 $i$ 上，正确余类的离散高斯质量相对于其他余类足够大，使得通过 $O(2^{n/\ell})$ 次采样即可高概率检测到。
• 该结果表明，离散高斯分布不仅是采样工具，更是求解困难格问题的结构性工具，对 CVP 及相关问题的复杂性具有深远影响。