格密码学习（三）

今天在youtube上看了一个lecture巩固了一下

• A lattice may be represented as a matrix whose row vectors form the
  basis
• A lattice has many bases

格的基底并不是唯一的。正是因为一个格有多组格基使得格密码得以存在。一个整数矩阵是幺模的当这个矩阵的行列式为±1。
幺模
如果 A∈R是整数矩阵，r≡rank A=min{m，n}，而且A的所有非零r×r子式等于 1 或-1，则称A为幺模矩阵(unimodular matrix)。如果A是幺模矩阵，而且还有其各阶子式均等于0，1或-1，则称A为全幺模矩阵(totally unimodular matrix)。
引理
基底$B_1$,$B_2$生成相同的格$\mathcal{L}$当且仅当存在一个幺模U∈$\mathbf{U}\in {\mathbb{Z}}^{n\times n}$使得${\mathbf{B}}_1={\mathbf{B}}_2\mathbf{U}$
证明
假设$\mathcal{L}\left({\mathbf{B}}_1\right)=\mathcal{L}\left({\mathbf{B}}_2\right)$，或者${\mathbf{B}}_1\cdot {\mathbb{Z}}^n={\mathbf{B}}_2\cdot {\mathbb{Z}}^n$，则$B_1$的每列都是${\mathbf{B}}_2$的一个整数组合。反之亦然。也就是说，存在$\mathbf{U},\mathbf{V}\in {\mathbb{Z}}^{n\times n}$使得${\mathbf{B}}_1={\mathbf{B}}_2\mathbf{U}$并且${\mathbf{B}}_2={\mathbf{B}}_1\mathbf{V}={\mathbf{B}}_2\mathbf{U}\mathbf{V}$。因为${\mathrm{B}}_2$是可逆的，因此我们有$\mathbf{U}\mathbf{V}=\mathbf{I}$，因此$\det (\mathbf{U})\det (\mathbf{V})=1$行列式U和行列式V相乘为1.那么行列式U和行列式V为正负一因为两个矩阵都是整数矩阵。
那么，假设对于某个幺模U存在${\mathbf{B}}_1={\mathbf{B}}_2\mathbf{U}$，那么我们就可以得到这个公式：
$\mathcal{L}\left({\mathbf{B}}_1\right)={\mathbf{B}}_1\cdot {\mathbb{Z}}^n={\mathbf{B}}_2\cdot \left(\mathbf{U}\cdot {\mathbb{Z}}^n\right)={\mathbf{B}}_2\cdot {\mathbb{Z}}^n=\mathcal{L}\left({\mathbf{B}}_2\right)$
推论：${\mathbb{Z}}^n$的基底正好是幺模矩阵$\mathbf{U}\in {\mathbb{Z}}^{n\times n}$。
推论：通过检查$B_1^{-1}$,$B_2$是否是幺模的。
格里面的一个重要概念
Fundamental Regions
格是在$R^n$下的无线周期网格，因此考虑相应的定期“平铺”Rn由某物体的副本通常很有用。例如，考虑一下墙面砖的典型平铺（到棋盘格），或通过正六边形（以格点为中心）对平面进行平铺。基本区域的概念使这一概念正式化。

定义 集合$\mathcal{F}\subseteq {\mathbb{R}}^n$是格$\mathcal{L}$一个fundamental region，如果他的变换 x + F = { x + y : y ∈ F } \mathrm{x}+\mathcal{F}=\{\mathrm{x}+\mathrm{y}: \mathrm{y} \in \mathcal{F}\} x+F={ x+y:y∈F}，取所有的$\mathrm{x}\in \mathcal{L}$，组成${\mathbb{R}}^n$的部分。
** fundamental parallelepiped**
两个关于格的计算问题
1、SVP(shortest vector problem)
2、CVP(closest vector problem)
格有好的与坏的基底

A lattice basis with reasonably short and orthogonal basis vectors is normally referred to as a ‘good basis’. On the contrary, a lattice basis with long and non-orthogonal basis vectors is normally referred to as a ‘bad basis’.
好的基底: 具有合理短和正交基向量的格基通常被称为好的基底
坏的基底:具有长且非正交基向量的格基称为坏基底
补充知识：正交向量的概念是只积为0的两个或多个向量
SVP算法

1. LLL（Lenstra，Lenstra& Lovasz, 1982）
   格维度内的多项式时间
   保证能找到一个向量不大于实际最短向量倍数的向量
   在低维度里，能找到非常短的向量
   在高维度中找非常短向量是指数级别难度的

The LLLalgorithm was used to “break” cryptosystem based on Subset Sum (knapsack) problem, at practical dimensions.

LLL算法用于在实际规模上基于子集和（背包）问题“破解”密码系统。
背包问题（现代密码学课程学过）

it is probably prudent to assume that shortest non-zero vectors in lattices can be found efficiently

LLL算法就是在格上找到一组基，使得

用这种方法生成的基具有如下性质：

Application
给定n个实数${\alpha }_i,\dots ,{\alpha }_n$，找到这n个数的有理线性逼近，即找到n个数$m_i$，使得${\sum }_{i=1}^n{m}_i{\alpha }_i$尽可能等于0。我们可以构造这样的矩阵，这里$m_i$是${\alpha }_i$的有理逼近
$A=\left[\begin{array}{cccccc}1& 0& 0& \cdots & 0& c{a}_1\\ 0& 1& 0& \cdots & 0& c{a}_2\\ 0& 0& 1& \cdots & 0& c{a}_3\\ ⋮& ⋮& ⋮& \ddots & ⋮& \\ 0& 0& 0& \cdots & 1& c{a}_n\end{array}\right]$
那么
$A{A}^T=\left[\begin{array}{ccccc}1+a_1^2& a_1{a}_2& a_1{a}_3& \cdots & a_1{a}_n\\ a_2{a}_1& 1+a_2^2& a_2{a}_3& \cdots & a_2{a}_n\\ a_3{a}_1& a_3{a}_2& 1+a_3^2& \cdots & a_3{a}_n\\ ⋮& ⋮& ⋮& \ddots & ⋮\\ a_n{a}_1& a_n{a}_2& a_n{a}_3& \cdots & 1+a_n^2\end{array}\right]$
可以得到格的行列式为
$\sqrt{1+{\sum }_{i=1}^n{\alpha }_i^2}$
证明如下

经过LLL算法后，可以获得
$\Vert b_1\Vert \le 2^{\frac{n-1}{4}}{\left(1+{\sum }_{i=1}^n{\alpha }_i^2\right)}^{\frac{1}{2(n+1)}}$
一般来说后一项在开n次方后趋向于1，因为$a_i$都是常数，一般不会与n相关，所以
$\Vert b_1\Vert \le 2^{\frac{n-1}{4}}\ast k$
k比较小。此外，$b_1$又是原向量的线性组合，那么
$b_1[n]={\sum }_{i=1}^n{m}_{i}c\ast a_i=c{\sum }_{i=1}^n{m}_i\ast a_i$
显然如果c足够大，那么后面的求和必须足够小才能满足上面的约束。
Short Integer Solution

Collision-Resistant Hash Function

抽屉原理抽屉原理的一般含义为：“如果每个抽屉代表一个集合，每一个苹果就可以代表一个元素，假如有n+1个元素放到n个集合中去，其中必定有一个集合里至少有两个元素

单词积累：

• corollary 必然的
• convex 凸的
• equalizer均衡器
• asymptotic 渐进的
• knapsack problem背包问题
• Collision-Resistant 抗碰撞性
• pigeonhole principle鸽巢原理