格基规约算法：数学基础

本篇主要介绍学习格密码必备的格论知识，以下内容为理解格基规约算法必备的数学基础。

欧氏空间

想理解格基约化算法，首先必须理解施密特正交化。有了向量空间，就可以在空间中随意对向量进行数乘和加减法（怎么做都不会跑出这个空间）。再定义向量的长度和夹角，施密特正交化就显得很自然了。

欧氏空间和范数

向量空间

向量空间的定义保证了向量的数乘和加减法有很好的性质。具体定义略，可参阅蓝以中的《高等代数简明教程》等。

欧氏空间

欧氏空间：设$V$是实数域$\mathbb{R}$上的向量空间。如果$V$内任意两个向量$\alpha ,\beta$都按某一法则对应于$\mathbb{R}$内一个唯一确定的数，记作$⟨\alpha ,\beta ⟩$，且满足以下三个条件：

1. 对任意$k_1,k_2\in \mathbb{R}$和任意${\alpha }_1,{\alpha }_2,\beta \in V$，有
   $$⟨{k_1\alpha }_1+k_2{\alpha }_2,\beta ⟩=k_1⟨{\alpha }_1,\beta ⟩+k_2⟨{\alpha }_2,\beta ⟩;$$
2. 对任意$\alpha ,\beta \in V$，有
   $$⟨\alpha ,\beta ⟩=⟨\beta ,\alpha ⟩;$$
3. （非退化性）对任意$\alpha \in V$，有$⟨\alpha ,\alpha ⟩\ge 0$，且$⟨\alpha ,\alpha ⟩=0$的充分必要条件是$\alpha =0,$

则称$⟨\alpha ,\beta ⟩$为向量$\alpha ,\beta$的内积。$V$称为欧几里得空间，简称欧氏空间。

内积是一种具有非退化性的双线性映射，与密码学中常用的双线性对非常类似。

取${\mathbb{R}}^m$的内积为向量的点乘，可以验证向量空间${\mathbb{R}}^m$是欧氏空间。

对于${\mathbb{R}}^m$中的向量$\alpha$，定义其欧氏范数为$\Vert \alpha \Vert =\sqrt{⟨\alpha ,\alpha ⟩}$。实际上，欧氏范数就是平时所说的向量长度。

向量的欧氏范数计算方法是对其各分量的平方和开方，因此也称$2-$范数。格密码中还会用到$\infty -$范数。在本篇中，“范数”默认指欧氏范数。

子空间的正交补

正交补：设$V$是一个$n$维欧氏空间，$M$是它的一个子空间，易知$M$关于$V$的内积也成一欧氏空间。定义$M^{\perp }\subset V$为 M ⊥ = { α ∈ V : ∀ β ∈ M , ⟨ α , β ⟩ = 0 } , M^\bot=\left\{\alpha\in V:\forall\beta\in M,\left\langle\alpha,\beta\right\rangle=0\right\}, M⊥={α∈V:∀β∈M,⟨α,β⟩=0},称$M^{\perp }$为$M$的正交补。$M^{\perp }$关于$V$中向量的加法及数乘运算显然封闭，故$M^{\perp }$也为$V$的子空间。

为了从几何的角度理解正交补，不妨思考一下${\mathbb{R}}^2$和${\mathbb{R}}^3$中过原点的直线、平面的正交补分别是什么。

施密特正交化

在欧氏空间${\mathbb{R}}^m$中有施密特正交化方法。施密特正交化方法是由一个线性无关向量组得到一个正交向量组的方法，并且输入的向量组和输出的向量组张成的是同一个向量空间。格基约化算法的思路与施密特正交化相似并且算法中会调用施密特正交化，因此理解向量空间中的施密特正交化方法是理解格基约化算法的一个关键。设${\mathbf{b}}_1,\dots ,{\mathbf{b}}_n$ 为${\mathbb{R}}^m$上一组线性无关的向量，施密特正交化方法如下：
令${\mathbf{b}}_1^{\ast }={\mathbf{b}}_1,$ 依次计算${\mathbf{b}}_i^{\ast }={\mathbf{b}}_i-{\sum }_{j=1}^{i-1}{\mu }_{i,j}{\mathbf{b}}_j^{\ast },i>1$，其中${\mu }_{i,j}=\frac{⟨{\mathbf{b}}_i,{\mathbf{b}}_j^{\ast }⟩}{⟨{\mathbf{b}}_j^{\ast },{\mathbf{b}}_j^{\ast }⟩},1\le j$。那么${\mathbf{b}}_1^{\ast },\cdots ,{\mathbf{b}}_n^{\ast }$就是${\mathbb{R}}^m$上的一组正交向量。

核心思路：先选${\mathbf{b}}_1^{\ast }={\mathbf{b}}_1$作为基准，然后将${\mathbf{b}}_2$分解为与${\mathbf{b}}_1$平行和正交的两个分量，只保留正交的那个分量。

更进一步的理解是，${\mathbf{b}}_i^{\ast }$是${\mathbf{b}}_i$在${\sum }_{j=1}^{i-1}{\mathbb{R}\mathbf{b}}_j={\sum }_{j=1}^{i-1}\mathbb{R}{\mathbf{b}}_j^{\ast }$ 的正交补上的投影。理解这一点才能搞懂格基约化算法的具体细节和优化。

格论基础

格的相关概念

格和格基

格：给定$n$个线性无关的向量${\mathbf{b}}_1,\dots ,{\mathbf{b}}_n\in {\mathbb{R}}^m$，则称其整系数线性组合构成的集合
$$\mathcal{L}=\sum _{i=1}^n{\mathbf{b}}_i\cdot \mathbb{Z}=\left\{\sum _{i=1}^n{c}_i{\mathbf{b}}_i:c_i\in \mathbb{Z}\right\}$$
为${\mathbb{R}}^m$上的格。我们称$\mathcal{L}$的秩为$n$，$\mathcal{L}$的维数为$m$。我们称上述格的定义中出现的${\mathbf{b}}_1,\dots ,{\mathbf{b}}_n$为格$\mathcal{L}$的一组基，简称格基。

记$\mathbf{B}={(\mathbf{b}}_1,\dots ,{\mathbf{b}}_n)$，称$\mathbf{B}$为基矩阵，那么格$\mathcal{L}$可以进一步表示为
L = ∑ i = 1 n b i ⋅ Z = { B x : x ∈ Z n } \mathcal{L}=\sum_{i=1}^{n}\mathbf{b}_i\cdot\mathbb{Z}=\{\mathbf{B}x:x\in\mathbb{Z}^n\} L=∑i=1n​bi​⋅Z={Bx:x∈Zn}
可以验证$\mathcal{L}$为${\mathbb{R}}^m$的离散加法子群。与向量空间${\mathbb{R}}^m$类似地，格$\mathcal{L}$的基不止一个。事实上[3]，任意一个秩为1的格有两组基，而秩大于等于2的格有无数组基。取格$\mathcal{L}$的任意两组基，一组基矩阵可由另一组基矩阵左乘一个幺模矩阵$\mathbf{U}$得到，$\mathbf{U}$是两个格基之间的过渡矩阵。

基本域和体积(volume)

称格$\mathcal{L}$的一组格基围成的基本平行体为格$\mathcal{L}$的基本域，其严谨定义如下。

基本域：设$\mathcal{L}$为一个$n$维的格，且$\mathcal{L}$的一组基为${\mathbf{v}}_1,{\mathbf{v}}_2,\dots ,{\mathbf{v}}_n$。则格$\mathcal{L}$（就格基${\mathbf{v}}_1,{\mathbf{v}}_2,\dots ,{\mathbf{v}}_n$而言）的基本域$\mathcal{F}$为
F ( v 1 , … , v n ) = { t 1 v 1 + t 2 v 2 + ⋯ + t n v n : 0 ≤ t i < 1 } \mathcal{F}\left(\mathbf{v}_1,\ldots,\mathbf{v}_n\right)=\left\{t_1\mathbf{v}_1+t_2\mathbf{v}_2+\cdots+t_n\mathbf{v}_n:0\le t_i<1\right\} F(v1​,…,vn​)={t1​v1​+t2​v2​+⋯+tn​vn​:0≤ti​<1}

之后定义格$\mathcal{L}$的行列式如下。
行列式：设$\mathcal{L}$为一个$n$维的格，其基本域为$\mathcal{F}$，则称$\mathcal{F}$的体积(volume)为格$\mathcal{L}$的行列式，记作$\det \left(\mathcal{L}\right)=\mathrm{V}\mathrm{o}\mathrm{l}\left(\mathcal{F}\right)$。设$\mathbf{B}={(\mathbf{b}}_1,\dots ,{\mathbf{b}}_n)为\mathcal{L}$的一组基，根据$\det \left(\mathcal{L}\right)$的几何含义可知$\det \left(\mathcal{L}\right)=\left|\det \left(\mathbf{B}\right)\right|$。由此易知，虽然$\det \left(\mathcal{L}\right)$被定义$\mathcal{F}$的体积，且$\mathcal{F}$与选取的格基有关，但**$\det \left(\mathcal{L}\right)$是格$\mathcal{L}$的一个不变量**。即任意选取格$\mathcal{L}$的基本域（或者说选取格$\mathcal{L}$的任何一个格基），$\det \left(\mathcal{L}\right)$的值都相同。这也是我们将其记为$\det \left(\mathcal{L}\right)$的理由：其值只与格$\mathcal{L}$本身有关。

整格(integral lattice)

密码学中的运算对象基本都是整数，因此实际应用中往往使用整格(integral lattice)，其定义如下：若格$\mathcal{L}$中任意向量的坐标，其每个分量均为整数，则称格$\mathcal{L}$为整数格。当$\mathcal{L}$为整格时，$\mathcal{L}$是${\mathbb{Z}}^m$的加法子群。

整格有时候也称为整数格(integer lattice)。

格上的短向量

格上的最短向量问题(SVP)是格密码方案安全性基于的难题，也是在格密码和传统公钥密码分析时常使用的问题。SVP及近似SVP问题正是格基约化算法求解的问题。

为了更好地描述格上短向量的长度，首先给出逐次最小长度的概念。

逐次最小长度(successive minima)

逐次最小长度：设$\mathcal{L}$是${\mathbb{R}}^m$中秩为$n$的格，设${\lambda }_1,\dots ,{\lambda }_n\in \mathbb{R}$，若${\lambda }_i\left(1\le i\le n\right)$为满足以下条件的最小值：
存在$i$个线性无关的的向量${\mathbf{v}}_1,\dots ,{\mathbf{v}}_i\in \mathcal{L}$，使得$v_j\le {\lambda }_i(1\le j\le i)$
则称${\lambda }_1,\dots ,{\lambda }_n$为$\mathcal{L}$的逐次最小长度。为了表明${\lambda }_i$是格$\mathcal{L}$的逐次最小长度，记${\lambda }_i={\lambda }_i(\mathcal{L})$。
用通俗的语言来讲，${\lambda }_1$是$\mathcal{L}$中非零最短向量的长度，${\lambda }_2$是所有非零向量长度中（并列）第二小的长度。这就是逐次最小长度的意义。

短向量的长度

为了让读者对${\lambda }_1$的大小有一个认识，这里给出一系列相关定理来描述${\lambda }_1$的上界。首先给出Minkowski定理作为引理。

Minkowski定理：设$\mathcal{L}$是${\mathbb{R}}^m$中的格，$S\subset {\mathbb{R}}^m$是一个关于原点对称的可测凸集，若$S$的体积为$\mathrm{V}\mathrm{o}\mathrm{l}\left(S\right)\ge 2^m\mathrm{d}\mathrm{e}\mathrm{t}\left(\mathcal{L}\right)$，则$S\cap \mathcal{L}$中有非零向量。

解读：看起来有些高深，但是在$\mathcal{L}={\mathbb{Z}}^2$中是显然的。要想让对称的凸集$S$尽量大，且$S\cap \mathcal{L}=0$，那么正方形应该是最好的选择，此时$\mathrm{V}\mathrm{o}\mathrm{l}\left(S\right)=2^2\mathrm{d}\mathrm{e}\mathrm{t}\left(\mathcal{L}\right)$。类似地，在$\mathcal{L}={\mathbb{Z}}^m$选取超立方体是最好的。照此思路，$\mathcal{L}$为整数格时Minkowski定理也是很显然的。这样就理解了密码学所用的格中该定理成立。

利用Minkowski定理可证明下面的Minkowski第一定理（一些文献称其为Hermite定理）。
Minkowski第一定理：设$\mathcal{L}$是${\mathbb{R}}^m$中秩为$n$的格，则${\lambda }_1\left(\mathcal{L}\right)\le \sqrt{n}\mathrm{d}\mathrm{e}\mathrm{t}(L{)}^{1/n}$。称$\sqrt{n}\mathrm{d}\mathrm{e}\mathrm{t}(L{)}^{1/n}$为${\lambda }_1\left(\mathcal{L}\right)$的Minkowski’s bound。

解读：如果$\mathcal{L}={\mathbb{Z}}^n$，那么$\mathrm{d}\mathrm{e}\mathrm{t}(L{)}^{1/n}$就是超立方体$S$的边长，而$\sqrt{n}\mathrm{d}\mathrm{e}\mathrm{t}(L{)}^{1/n}$就是它的对角线长度。由于对角线的另一端就是一个格点，因此${\lambda }_1\left(\mathcal{L}\right)\le \sqrt{n}\mathrm{d}\mathrm{e}\mathrm{t}(L{)}^{1/n}$。

以上两个解读参考了Steven Yue的笔记，笔记的这部分写的很好推荐看一下。

对于${\lambda }_1\left(\mathcal{L}\right)$，我们还能得到比Minkowski’s bound更好的理论上界。下面给出Hermite因子的概念。
Hermite因子：给定格的维度$n$，定义Hermite因子${\gamma }_n\in \mathbb{R}$为满足以下条件的最小值：
对于任意维度为$n$的格$\mathcal{L}$，存在$\mathbf{v}\in \mathcal{L}$满足${\Vert \mathbf{v}\Vert }^2\le {\gamma }_n\det {(L)}^{2/n}$。称$\sqrt{{\gamma }_n}\mathrm{d}\mathrm{e}\mathrm{t}{\left(\mathcal{L}\right)}^{1/n}$为${\lambda }_1\left(\mathcal{L}\right)$的Hermite bound。
根据定义可知，Hermite因子的大小只与$n$有关，目前我们只知道${\gamma }_n$在 $1\le n\le 8$ 和 $n=24$ 时的精确值：
$${\gamma }_2^2=\frac{4}{3},{\gamma }_3^3=2,{\gamma }_4^4=4,{\gamma }_5^5=8,{\gamma }_6^6=\frac{64}{3},{\gamma }_7^7=64,{\gamma }_8^8=256,{\gamma }_{24}=4$$
在格密码学中我们更关心$n$较大$(n>200)$时${\gamma }_n$的值，此时${\gamma }_n$满足$$\frac{n}{2\pi e}\le {\gamma }_n\le \frac{n}{\pi e}.$$
由Hermite因子能够得到比Minkowski’s bound更精确的${\lambda }_1$上界。以维度为$n=2$的格$\mathcal{L}$为例，Minkowski’s bound告诉我们${\lambda }_1\left(\mathcal{L}\right)<\sqrt{2}\mathrm{d}\mathrm{e}\mathrm{t}(L{)}^{1/2}$ ，而由Hermite因子可得${\lambda }_1\left(\mathcal{L}\right)<\sqrt{4/3}\mathrm{d}\mathrm{e}\mathrm{t}{\left(\mathcal{L}\right)}^{1/2}$。

下面的高斯启发函数与Hermite因子的下界很好地对应了起来。

高斯启发函数(Gaussian Heuristic)：$GH(\mathcal{L})=\sqrt{\frac{n}{2\pi e}}\mathrm{d}\mathrm{e}\mathrm{t}(\mathcal{L}{)}^{1/n}$

上述GH函数只能用于估计高维格的${\lambda }_1\left(\mathcal{L}\right)$，在低维格中有另一个公式。然而低维格一般只在公钥密码分析中用的比较多，并且很多公钥密码分析中采用的是Minkowski’s bound作为假设。因此这里不给出（其实就是不想起敲公式了） ，具体可以看An Introduction to Mathematical Cryptography的相关小节。

我们往往不知道某个高维格的${\lambda }_1\left(\mathcal{L}\right)$到底是多少，因此我们用$GH(\mathcal{L})$作为参考。在[SVP Challenge (latticechallenge.org)]中，若格基中最短向量的范数小于$1.05GH(\mathcal{L})$，就视为成功求解了SVP。

 
如果以上内容还有疑问，可以看看 An Introduction to Mathematical Cryptography 这本书的相关章节，也可以看看这个视频：数学潜水艇：初等数论、初等群论
 

参考资料

1. 蓝以中. 高等代数简明教程.下册, 2002.

2. 王小云, 王明强, 孟宪萌. 公钥密码学的数学基础, 2013.

3. Hoffstein J , Pipher J C , Silverman J H . An Introduction to Mathematical Cryptography, 2014.

4. Galbraith S D . Mathematics of Public Key Cryptography: Lattices. 2012.

5. Steven Yue的笔记

6. Coinc1dens’s blog