最短向量问题

格的每个量都定义了一个对应的计算问题。对于第一连续极小${\lambda }_1$而言，其对应的计算问题为最短向量问题。

定义 （Shortest Vector Problem，SVP）最短向量问题，给定一个基为$\mathbf{B}$的格$\mathcal{L}(\mathbf{B})$，找到一个非零格向量$\mathbf{Bx}$，使得其长度最多为$\Vert \mathbf{Bx}\Vert \le {\lambda }_1$，其中$\mathbf{x}\in {\mathbb{Z}}^k$。

以上图为例，基向量$({\mathbf{b}}_1,{\mathbf{b}}_2)$可以不是最短基向量，如果它们很长，那么此时为了找到最短格向量必须枚举所有格点，从而找到$(5{\mathbf{b}}_1-2{\mathbf{b}}_2)$这个向量。对于多维格，目前没有SVP的多项式可行解法，也没有对应放松问题的多项式可行解法。

SVP的放松问题为${\text{SVP}}_{\gamma }$。

定义 （Shortest Vector Problem，${\text{SVP}}_{\gamma }$）最短向量问题，给定一个基为$\mathbf{B}$的格$\mathcal{L}(\mathbf{B})$，找到一个非零格向量$\mathbf{Bx}$，使得其长度最多为$\Vert \mathbf{Bx}\Vert \le \gamma {\lambda }_1$，其中$\mathbf{x}\in {\mathbb{Z}}^k$。

举一个例子，如果$\gamma$值取2，问题就变成在浅红色超球体表面找到一个格点。

最近向量问题

定义 （Closest Vector Problem，CVP）最近向量问题，给定一个格$\mathcal{L}(\mathbf{B})$和一个目标点$\mathbf{t}$，找到一个格向量$\mathbf{Bx}$，使得它与目标点之间的距离小于$\mu$，即$\Vert \mathbf{Bx}-\mathbf{t}\Vert \le \mu$。

同样，由于这里的基向量可以非常长，所以必须穷举格点。

CVP的放松问题为${\text{CVP}}_{\gamma }$。

定义 （Closest Vector Problem，${\text{CVP}}_{\gamma }$）最近向量问题，给定一个格$\mathcal{L}(\mathbf{B})$和一个目标点$\mathbf{t}$，找到一个格向量$\mathbf{Bx}$，使得它与目标点之间的距离小于$\mu$，即$\Vert \mathbf{Bx}-\mathbf{t}\Vert \le \gamma \mu$。

最短线性无关向量问题

定义 （Shortest Independent Vectors Problem，SIVP）最短独立向量问题，给定一个格$\mathcal{L}(\mathbf{B})$，找到$n$个线性独立的格向量，使得这些向量的长度都要小于或等于第$n$连续极小${\lambda }_n$，即${\max }_i\Vert \mathbf{B}{\mathbf{x}}_i\Vert \le {\lambda }_n$。

以上图为例，若$n=2$，则画出${\lambda }_2$对应的超球体，在该超球体内找到2个线性无关向量。

SIVP的放松问题为${\text{SIVP}}_{\gamma }$。

定义 （Shortest Independent Vectors Problem，${\text{SIVP}}_{\gamma }$）最短独立向量问题，给定一个格$\mathcal{L}(\mathbf{B})$，找到$n$个线性独立的格向量，使得这些向量的长度都要小于或等于第$n$连续极小${\lambda }_n$，即${\max }_i\Vert \mathbf{B}{\mathbf{x}}_i\Vert \le \gamma {\lambda }_n$。

基于格的可靠信息传输

这个不是密码方案，而是格编码理论里的东西。通过这里例子，可以简单了解CVP、SVP和SIVP的简单应用。

发送者将消息$m$编码为格上的点$\mathbf{Bx}$，将其传输给接收方。由于传输信道不稳定，受到噪声干扰，接收方只能收到$\mathbf{t}$。为了得到正确的$m$，接收方通过求解CVP问题恢复出$\mathbf{Bx}$，然后通过求解SVP问题得到${\lambda }_1$，接着判断$\Vert \mathbf{Bx}-\mathbf{t}\Vert <{\lambda }_1/2$是否成立（注意，若矫正距离等于${\lambda }_1/2$，则$\mathbf{t}$有2个候选格点，这两个候选格点组成最短格向量，此时$\mathbf{t}$是没有意义的，需要发送者重新传输消息）。

最后，SIVP问题在这里也有所适用。如果在传输的过程中为了压缩数据而使用了向量量化（Vector Quantization），在重建向量的时候则需要用到SIVP的解来修复误差，从而避免量化失真。这些简单了解一下即可。

CVP问题的两种版本

再次系统性的定义一下CVP问题。

定义 给定一个格$\mathcal{L}$，一个随机点$\mathbf{t}$，以及一个距离$d$，假定$\mu (\mathbf{t},\mathcal{L})\le d$，CVP问题即求解一个合理的格点$\mathbf{Bx}$使得这个格点到$\mathbf{t}$的距离小于或等于$d$。

• BDD（Bounded Distance Decoding）问题
  BDD问题规定了$d<{\lambda }_1(\mathcal{L})/2$。此时，问题至多只有一个解，并且就是距离$\mathbf{t}$最近的格点。

• ADD（Absolute Distance Decoding）问题
  ADD问题规定了$d\ge {\lambda }_1(\mathcal{L})/2$。此时，问题至少会有一个解，但是不一定是距离$\mathbf{t}$最近的格点。

下图给出了各种困难问题之间的联系，大致分为3类。其中，SIVP和ADD是等价的，可用于构造单向函数和公钥加密等密码学应用。

ADD问题规约到SIVP问题上

注意：下文是一个“不太准确”的规约，主要介绍思路，后面章节再对此进行详细介绍。

已知SIVP问题的解 V = { v 1 , … , v n } \bm{V} = \{ \bm{v}_1, \dots, \bm{v}_n \} V={v1​,…,vn​}，求解ADD问题。由于是最短线性无关向量，所以可以把整个格空间划分成很多个小区域，接着看$\mathbf{t}$落在哪个小区域，对其取整得到相应的格点即可作为ADD问题的解。

如下图所示，假设每个小区域的最大边长度为${\lambda }_n$，每条边都是最大边；对于正交格而言，小区域的直径为$\sqrt{n}{\lambda }_n$；小区域的直径最大长度不会超过$n{\lambda }_n$，即半径存在一个上限，有${\sum }_i\frac{1}{2}\Vert {\mathbf{v}}_i\Vert \le (n/2){\lambda }_n\le n\mu$。而$\mathbf{t}$到小区域各顶点的距离不会超过半径，这个半径可以用来确定ADD的$d$值。

（未完待续）

致谢

• Simons格密码公开课官网

Mathematics of Lattices - Simons Institute for the Theory of Computing

• 哔哩哔哩中英双语视频（字幕组：重庆大学大数据与软件学院 后量子密码研究小组）

【中英字幕】Simons格密码讲座第1讲：格的数学定义_哔哩哔哩_bilibili

• Steven的密码学笔记

Lattice学习笔记02：格中难题