CN110460442A - 一种基于格的密钥封装方法 - Google Patents

Abstract

本发明公开了一种基于格的密钥封装方法。本方法首先选取特殊的b＝α，然后计算相应的a，对经典LWE加密体制做更进一步的压缩，提供一种快速、高效的基于格的密钥封装方法。其中涉及的剩余类环Z_j,当j为偶数时，选取作为环Z_j的代表元。当j为奇数时，选取作为环Z_j的代表元；选取的公开参数N,q,α及小系数多项式f,g,e的选取方式，应保证以很大概率成立，其中||gr+ef||_∞表示多项式gr+ef所有系数的绝对值中最大的那个。

Description

一种基于格的密钥封装方法

技术领域

本发明属于信息安全技术领域，具体涉及一种基于格的密钥封装方法。

背景技术

目前使用的公钥加密算法，密钥封装体制的构造主要是基于经典的数学问题，例如目前广泛使用的RSA公钥密码体制或椭圆曲线公钥密码体制，其依赖的困难数学问题——大整数分解或椭圆曲线群上的离散对数问题。

理论上量子算法可以有效求解整数分解和离散对数等经典问题，使得现有公钥密码体制的安全性面临极大的威胁，因此能够抵抗量子计算机攻击的密码(后量子密码)受到了广泛的关注。根据底层困难数学问题的不同，后量子公钥密码主要可以分为：基于格的密码、基于编码的密码、基于哈希的密码以及基于多变量的密码。

对于基于格的公钥密码体制来说，2005年Regev提出基于LWE问题的公钥加密体制后，越来越多的密码学家对其进行了深入的研究。具体来说，基于LWE的公钥加密体制一般具有如下结构，发送方利用接收方的公钥(a,b＝as+e₁)对消息m进行加密得到密文(c₁，c₂)，其中c₁＝ar+e_a,c₂＝br+e_b+Encode(m)，Encode(m)是对消息m的编码，最常见的是最后接收方利用自己的私钥s来对密文解密恢复消息。为了减少密文规模，通常会对密文c₂进行压缩。最常见的方法是将c₂的每个系数的低位比特舍弃，仅保留2到3个高位比特，这就需要我们选择足够大的q来兼容这种压缩，从而保证解密正确率。

除了基于格的公钥加密体制，基于格的密钥封装机制，也是格密码研究的重要内容。在密钥封装机制中，发送方运行一个封装算法产生一个会话密钥以及与之对应的密文，该密文也被称为会话密钥封装。随后发送方将会话密钥封装发送给接收方。接收方运行解封装算法得到与发送方相同的会话密钥。通过经典的Fujisaki-Okamoto(FO)变换，可以将具有IND-CPA安全的密钥封装机制转换为具有IND-CCA2安全的密钥封装机制。

发明内容

本发明的目的在于提供一种基于格的密钥封装方法。与经典LWE加密体制首先随机选取a，然后计算相应的b不同，本发明通过首先选取特殊的b＝α，然后计算相应的a，对经典LWE加密体制做更进一步的压缩，提供一种快速、高效的基于格的密钥封装方法。

本发明涉及的剩余类环Z_j,当j为偶数时，我们选取作为环Z_j的代表元。当j为奇数时，我们选取作为环Z_j的代表元。

一种基于格的密钥封装方法，其步骤包括：

步骤1.1:密钥生成方法：接收方首先选取正整数N，大于1的整数q，正整数α使得选取N次整系数多项式F(x)，令环R_q＝Z_q[x]/F(x)，其中Z_q[x]是剩余类环Z_q上的多项式环，并将(N,q,α)及环R_q做为公共参数公开。接收方选择环R_q中的小系数多项式f，g，多项式f作为私钥要在环R_q中可逆，其逆表示为f^-1。最后计算公钥h＝f^-1(g+α)mod q。

步骤1.2：封装方法：发送方选取环R_q中的小系数多项式e，次数小于N的整系数多项式r，其中r的每个分量r_i取自环Z_「q/α」。发送方利用接收方的公钥h，计算密文c＝hr+e modq并将其发送给接收方。最后发送方计算会话密钥K＝H(h,r,c)；其中H(·)表示某公开函数。

步骤1.3：解封装方法：接收方利用自己的私钥f和接收到的密文c，计算d＝fc modq。对于d的每个分量d_i∈Z_q，从r_i的取值范围内寻找整数l_i，使得|(d_i-l_iα)mod q|最小，令r_i＝l_i；其中多项式多项式d_i表示多项式d关于单项式xⁱ的系数，r_i表示多项式r关于单项式xⁱ的系数，整数i的取值范围从0到N-1。最后利用得到的h,r,c，通过函数H(h,r,c)来生成会话密钥K。

步骤1.1中，小系数多项式f，g和步骤1.2中，小系数多项式e的选取方法可以为：

1)从二元多项式集合中选取，其中二元多项式的系数取值为0或1，且恰好有y个系数为1，其中正整数y为预先设定的固定值。

2)从三元多项式集合中选取，其中三元多项式的系数取值为0，1或-1，且恰好有y个系数为1，y′个系数为-1，其中正整数y和y′为预先设定的固定值；

3)从具有f₁f₂+f₃形式的多项式集合中选取，其中f₁，f₂，f₃从B(y)中或者T(y′,y″)中选取，其中正整数y，y′，y″为预先设定的固定值。

步骤1.1中，可以令q和α满足比较小，例如不超过1，以保证解封装算法的成功概率。

步骤1.1，步骤1.2和步骤1.3中的mod q表示将多项式的所有系数通过模q置于Z_q中。

步骤1.1，步骤1.2和步骤1.3中所有的多项式乘法运算都定义在环R_q上。与一般多项式乘法不同，环R_q上的多项式乘法首先按照Z_q[x]中的多项式乘法计算乘积后，再利用Z_q[x]中的多项式带余除法，求出该乘积关于除式F(x)的余式，并将余式做为最终乘积。

为保证解封装算法的成功概率，步骤1.1中选取的公开参数N,q,α及小系数多项式f,g,e的选取方式，应保证以很大概率成立，其中||gr+ef||_∞表示多项式gr+ef所有系数的绝对值中最大的那个。

可以利用上述思想直接构造公钥加密体制。其步骤包括：

1)密钥生成方法：密钥生成过程如步骤1.1所述的方法。接收方的公钥为h，私钥为f。

2)加密方法：发送方如步骤1.2所述的方法，首先计算c₁＝hr+e mod q和K＝H(h,r,c₁)，然后对消息m计算c₂＝E_K(m)，其中E_k为以K为密钥的某加密函数，最后发送的密文为(c₁,c₂)。

3)解密方法：接收方利用私钥f和密文c₁，如步骤1.3所述方法首先恢复K，最后恢复消息为m＝D_K(c₂),其中D_K为E_K所对应的解密函数。

如果消息m为环R_q中的多项式，且m的每个系数都落在Z_「q/α」内，可以将消息m直接做为步骤1.2中的r，构造类似NTRU版本的加密机制。其步骤包括：

1)密钥生成方法：接收方密钥生成过程如步骤1.1所述的方法。接收方的公钥为h，私钥为f。

2)类似于NTRU版本的加密方法：发送方选取小系数多项式e∈R_q，利用m和接收方的公钥h，计算密文c＝hm+e mod q并将其发送给接收方。

3)类似于NTRU版本的解密方法：接收方利用私钥f和接收到的密文c，计算d＝fcmod q。对每个整数i，0≤i≤N-1，令d_i∈Z_q为d关于xⁱ的系数，从m_i的取值范围内寻找整数l_i，使得|(d_i-l_iα)mod q|最小，从而恢复m′_i＝l_i；最后恢复出的消息为(m′₀,m′₁,…,m′_N-1)。

利用FO变换，可以构造具有IND-CCA2安全的密钥封装机制，其步骤包括:

1)密钥生成方法：密钥生成过程如步骤1.1所述的方法。接收方的公钥为h，私钥为f。

2)利用FO变换达到IND-CCA2安全的封装方法：发送方选取次数小于N的整系数多项式r，其中r的每个分量r_i取自环Z_「q/α」，计算其中G()是伪随机数发生器，D(·)表示哈希函数，||表示拼接操作，N维向量及N维向量e是伪随机数发生器在输入D(h)||r时的输出。利用接收方的公钥h,计算密文c＝hr+e mod q并将其发送给接收方,发送方最终生成会话密钥

3)利用FO变换达到IND-CCA2安全的解封装方法：接收方利用步骤1.3的方法恢复：首先恢复多项式r′。通过伪随机数发生器和哈希函数来求最后判断c与hr′+e′mod q是否相等，如果相等则输出会话密钥否则输出会话密钥K＝D(z||c)；其中z是预先固定的秘密多项式。

与现有技术相比，本发明的积极效果为：

通过选择特殊的b＝α，将LWE经典体制公钥中的多项式b变成了公开整数α，从而降低了公钥规模，另外，对于任意的r，br的低位比特都为0，因此可以直接被舍弃，而并不需要很大的q来保证算法的正确性，从而进一步降低了公钥规模和密文规模。此外本发明可以看作是高位版本的NTRU,因此可以期望在密钥规模、安全性及应用场景等各方面具有与NTRU加密体制相媲美的能力。

附图说明

图1为密钥生成方法流程图；

图2为封装方法流程图；

图3为解封装方法流程图；

图4为加密方法流程图；

图5为解密方法流程图；

图6为类似于NTRU版本的加密方法流程图；

图7为类似于NTRU版本的解密方法流程图；

图8为利用FO变换达到IND-CCA2安全的封装方法流程图；

图9为利用FO变换达到IND-CCA2安全的解封装方法流程图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图1，图2和图3，本实施例提供一种基于格的公钥密钥封装方法，其步骤包括：

步骤1.1:密钥生成方法：接收方首先选取奇素数N，偶数q，正整数选取整系数多项式F(x)＝x^N-1，令环R_q＝Z_q[x]/F(x)，其中Z_q[x]是剩余类环Z_q上的多项式环，并将(N,q,α)及环R_q做为公共参数公开。接收方从三元多项式集合T(y,y-1)中均匀选取环R_q中的小系数多项式f，g，直到多项式f在环R_q中可逆，将f作为私钥，其逆记为f^-1，并计算公钥h＝f^-1(g+α)mod q。

步骤1.2:封装方法：发送方从次数小于N的二元多项式集合中均匀随机地独立选取多项式e和r，其中二元多项式的系数取值为0或1。发送方利用接收方的公钥h,计算密文c＝hr+e mod q并将其发送给接收方。发送方最终计算得到会话密钥K＝H(h,r,c)；其中H(·)表示某公开的哈希函数。

步骤1.3:解封装方法：接收方利用自己的私钥f和接收到的密文c，计算d＝fc modq。对于d的每个分量d_i∈Z_q，计算整数l_i∈Z₂，使得|(d_i-l_iα)mod q|最小，令r_i＝l_i；其中d_i表示多项式d关于xⁱ的系数，r_i表示多项式r关于xⁱ的系数，整数i的取值范围从0到N-1。最后利用得到的h,r,c，通过函数H(h,r,c)来生成会话密钥K。

步骤1.1，步骤1.2和步骤1.3中的mod q表示将多项式的所有系数都置于Z_q中。

算法不同版本以KEM-N命名，其中N为多项式F(x)的次数。结合方案的安全性和正确性，给出如下两组参数。

表1:主要参数选取

	N	q	T(y，y-1)
				KEM-587	587	1024	T(196，195)
KEM-1117	1117	1024	T(374，373)

可以利用上述思想直接构造加密机制。请参阅图1，图4和图5，其步骤包括：

1)密钥生成方法：密钥生成过程如步骤1.1所述的方法。接收方的公钥为h，私钥为f。

2)加密方法：发送方选取多项式e∈R_q，选取次数小于N的整系数多项式r，其中e的每个系数e_i，r的每个系数r_i独立均匀随机地取自Z₂。利用消息m和接收方的公钥为h，计算密文c₁＝hr+e mod q；令公开函数H(·)为H(a₁,a₂,a₃)＝a₂，即H(·)的输出为其第二个输入，则临时密钥K＝H(h,r,c₁)＝r；计算密文其中表示异或操作,即对m利用密钥K＝r采取一次一密的加密方式进行加密；并将密文(c₁,c₂)发送给接收方。

3解密方法：接收方利用私钥f和密文c₁，计算d＝fc₁mod q。对于d的每个分量d_i∈Z_q，计算整数l_i∈Z₂，使得|(d_i-l_iα)mod q|最小，令r_i＝l_i；其中d_i表示多项式d关于xⁱ的系数，r_i表示多项式r关于xⁱ的系数，i的取值范围从0到N-1。最后恢复的消息为

当消息m为环R_q中的多项式，且m的每个系数都落在Z₂内时，可以将消息m直接做为步骤1.2中的r，构造类似NTRU版本的加密机制。请参阅图1，图6和图7，其步骤包括：

1)密钥生成方法：密钥生成过程如步骤1.1所述的方法。接收方的公钥为h，私钥为f。

2)类似于NTRU版本的加密方法：发送方选取小系数多项式e∈R_q，其中e的每个系数e_i独立均匀随机地取自Z₂，利用消息m和接收方的公钥h,计算密文c＝hm+e mod q并将其发送给接收方。

3类似于NTRU版本的解密方法：接收方利用私钥f和密文c，计算d＝fc mod q。对于d的每个分量d_i∈Z_q，计算整数l_i∈Z₂，使得|(d_i-l_iα)mod q|最小，令m′_i＝l_i；其中d_i表示多项式d关于xⁱ的系数，i的取值范围从0到N-1。最后恢复的消息为m′＝(m′₀,m′₁,…,m′_N-1)。

利用FO变换得到具有IND-CCA2安全的密钥封装机制，请参阅图1，图8和图9，其步骤包括:

1)密钥生成方法：密钥生成过程如步骤1.1所述的方法接收方的公钥为h，私钥为f。

2)利用FO变换达到IND-CCA2安全的封装方法：发送方均匀随机选取次数小于N的二元多项式r，计算其中G()是伪随机数发生器，D(·)表示哈希函数,||表示拼接操作，N维向量均是伪随机数发生器的输出。计算密文c＝hr+e mod q并将其发送给接收方。发送方生成会话密钥

3)利用FO变换达到IND-CCA2安全的解封装方法：接收方利用步骤1.3的方法首先恢复多项式r′。通过随机数发生器和哈希函数来求最后判断c与hr′+e′mod q是否相等，如果相等则输出会话密钥否则输出会话密钥K＝D(z||c)；其中z是预先固定的秘密多项式。

以上实施例仅用以说明本发明的技术方案而非对其进行限制，本领域的普通技术人员可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明的精神和范围，本发明的保护范围应以权利要求所述为准。

Claims (9)

1.一种基于格的密钥封装方法，其步骤包括：

1)接收方选取正整数N，大于1的整数q和正整数α，使得选取N次整系数多项式F(x)，令环R_q＝Z_q[x]/F(x)，其中Z_q[x]是剩余类环Z_q上的多项式环，当q为偶数时，选取作为环Z_q的代表元，当q为奇数时，选取 作为环Z_q的代表元；并将(N,q,α)及环R_q做为公共参数公开；然后选取环R_q中的小系数多项式f，g；其中，多项式f作为私钥在环R_q中是可逆的；计算公钥h＝f^-1(g+α)mod q；

2)发送方选取环R_q中的小系数多项式e和次数小于N的整系数多项式r；其中，r的每个分量r_i取自环Z_「q/α」；然后利用接收方的公钥h，计算密文c＝hr+e mod q并将其发送给接收方，发送方计算会话密钥K＝H(h,r,c)；其中H(·)表示公开函数；对于环Z_「q/α」，当「q/α」为偶数时，选取作为环Z_「q/α」的代表元，当「q/α」为奇数时，选取作为环Z_「q/α」的代表元；

3)接收方利用自己的私钥f和收到的密文c，计算d＝fc mod q；对于d的每个分量d_i∈Z_q，从r_i的取值范围内寻找整数l_i，使得|(d_i-l_iα)mod q|最小，令r_i＝l_i；其中多项式多项式d_i表示多项式d关于单项式xⁱ的系数，r_i表示多项式r关于单项式xⁱ的系数，i的取值范围从0到N-1；最后利用得到的h,r,c，通过函数H(h,r,c)来生成会话密钥K。

2.如权利要求1所述的方法，其特征在于，小系数多项式f，g，e的选取方法为：从二元多项式集合中选取，其中二元多项式的系数取值为0或1，且有y个系数为1，其中正整数y为预先设定的固定值。

3.如权利要求1所述的方法，其特征在于，小系数多项式f，g，e的选取方法为：从三元多项式集合中选取，其中三元多项式的系数取值为0，1或-1，且有y个系数为1，y′个系数为-1，其中正整数y和y′为预先设定的固定值。

4.如权利要求1所述的方法，其特征在于，小系数多项式f，g，e的选取方法为：从具有f₁f₂+f₃形式的多项式集合中选取，其中f₁，f₂，f₃从B(y)中或者T(y′,y″)中选取，其中正整数y，y′，y″为预先设定的固定值。

5.如权利要求1所述的方法，其特征在于，q和α满足

6.如权利要求1或5所述的方法，其特征在于，

7.一种公钥加密系统，其特征在于，包括密钥生成模块、加密模块和解密模块；其中，

密钥生成模块，用于选取正整数N，大于1的整数q和正整数α，使得选取N次整系数多项式F(x)，令环R_q＝Z_q[x]/F(x)，其中Z_q[x]是剩余类环Z_q上的多项式环，当q为偶数时，选取作为环Z_q的代表元，当q为奇数时，选取作为环Z_q的代表元；并将(N,q,α)及环R_q做为公共参数公开；然后选取环R_q中的小系数多项式f，g；其中，多项式f作为私钥在环R_q中是可逆的；计算公钥h＝f^-1(g+α)mod q；

加密模块，用于选取环R_q上的小系数多项式e和次数小于N的整系数多项式r；其中，r的每个分量r_i取自环Z_「q/α」；然后利用接收方的公钥h，计算密文c₁＝hr+e mod q，得到会话密钥K＝H(h,r,c₁)；其中H(·)表示公开函数；对于环Z_「q/α」，当「q/α」为偶数时，选取作为环Z_「q/α」的代表元，当「q/α」为奇数时，选取作为环Z_「q/α」的代表元；然后利用密钥K对消息m加密得到c₂，最后得到的密文为(c₁,c₂)；

解密模块，用于利用私钥f和密文c₁，计算d＝fc₁ mod q；对于d的每个分量d_i∈Z_q，从r_i的取值范围内寻找整数l_i，使得|(d_i-l_iα)modq|最小，令r_i＝l_i；其中多项式多项式d_i表示多项式d关于单项式xⁱ的系数，r_i表示多项式r关于单项式xⁱ的系数，i的取值范围从0到N-1；最后利用得到的h,r,c₁，通过函数H(h,r,c₁)来恢复会话密钥K，最后利用会话密钥K恢复出消息m。

8.一种公钥加密系统，其特征在于，包括密钥生成模块、加密模块和解密模块；其中，

密钥生成模块，用于选取正整数N，大于1的整数q和正整数α，使得选取N次整系数多项式F(x)，令环R_q＝Z_q[x]/F(x)，其中Z_q[x]是剩余类环Z_q上的多项式环，当q为偶数时，选取作为环Z_q的代表元，当q为奇数时，选取作为环Z_q的代表元；并将(N,q,α)及环R_q做为公共参数公开；然后选取环R_q中的小系数多项式f，g；其中，多项式f作为私钥在环R_q中是可逆的；并计算公钥h＝f^-1(g+α)mod q；

加密模块，用于选取环R_q上的小系数多项式e，然后对于环R_q中的消息m，其中m的每个分量都落在Z_「q/α」内，利用公钥h计算密文c＝hm+e mod q；

解密模块，用于利用私钥f和密文c计算d＝fc mod q；对于d的每个分量d_i∈Z_q，从m_i的取值范围内寻找整数l_i，使得|(d_i-l_iα)modq|最小，令m′_i＝l_i；其中d_i表示多项式d关于xⁱ的系数，i的取值范围从0到N-1；最后恢复的消息为(m′₀,m′₁,…,m′_N-1)。

9.一种具有IND-CCA2安全性的密钥封装方法，其步骤包括：

1)接收方选取正整数N，大于1的整数q和正整数α，使得选取N次整系数多项式F(x)，令环R_q＝Z_q[x]/F(x)，其中Z_q[x]是剩余类环Z_q上的多项式环，当q为偶数时，选取作为环Z_q的代表元，当q为奇数时，选取 作为环Z_q的代表元；并将(N,q,α)及环R_q做为公共参数公开；然后选取环R_q中的小系数多项式f，g；其中，多项式f作为私钥在多项式环R_q中是可逆的；计算公钥h＝f^-1(g+α)mod q；

2)发送方选取次数小于N的整系数多项式r，其中r的每个分量r_i取自环Z_「q/α」，计算其中G(·)是伪随机数发生器，D(·)表示哈希函数，||表示拼接操作，N维向量及N维向量e是伪随机数发生器在输入D(h)||r时的输出；然后利用接收方的公钥h,计算密文c＝hr+e mod q,会话密钥

3)接收方利用自己的私钥f和收到的密文c，计算d＝fc mod q；对于d的每个分量d_i∈Z_q，从r_i的取值范围内寻找整数l_i，使得|(d_i-l_iα)mod q|最小，令r_i＝l_i；其中多项式多项式然后通过伪随机数发生器和哈希函数来求最后判断密文c与hr+e′mod q是否相等，如果相等则输出会话密钥否则输出会话密钥K＝D(z||c)；其中z是预先设定的秘密多项式。