JP7147073B2 - より効率的なポスト量子署名 - Google Patents

Description

関連出願の相互参照
本出願は、２０１９年２月８日に出願された米国仮特許出願第６２／８０３，３２５号の国際出願であり、当該米国仮特許出願の出願日の利益を主張するもので、参照によりその全体が本明細書に組み込まれる。

例えばＲＳＡ暗号化などの今日の多くの暗号システムは、プライムファクタリングまたは冪剰余などの問題に基づいている。これらの問題は、従来のコンピュータでは難しいが、量子コンピュータでは難しくない可能性がある。したがって、量子コンピューティングにおける新たな進歩は、これらの問題に基づいて暗号システムを安全でない状態にし得る。従来のコンピュータと量子コンピュータの両方にとって難しい問題に基づく新しい暗号システムに対するニーズがある。

格子ベースの問題を、暗号システムの基礎として使用することができる。格子問題の一例は、点の－次元格子における最短ベクトルの発見に関する、短整数解の問題であってもよい。格子問題は、従来のコンピュータと量子コンピュータの両方にとって難しいことを示し得る。しかしながら、格子ベースの暗号システム用の暗号鍵を計算することは、計算上高価である可能性があり、また、メッセージに署名し、およびそれを検証することを困難にする大きな鍵を結果として生じさせ得る。したがって、格子ベースの暗号をより効率的にする必要がある。

本発明の実施形態は、これらおよびその他の問題を個々にかつまとめて対処するものである。

本開示のいくつかの実施形態は、格子ベースの暗号検証鍵および関連するトラップドア行列を生成する方法を対象とする。生成デバイスは、ガジェット行列Ｇを生成できる。次に、生成デバイスは、ガジェット行列Ｇの第一のｌ列をドロップして、低減されたガジェット行列Ｆを生成することができる。次いで、生成デバイスは、分布をサンプリングして、トラップドア行列Ｒを形成することができる。トラップドア行列Ｒは、デジタル署名を生成するための秘密鍵として機能してもよく、近似トラップドアであってもよい。次いで、生成デバイスは、低減されたガジェット行列Ｆおよびトラップドア行列Ｒを使用して、検証行列Ａを生成することができる。生成デバイスは、検証行列Ａを一つ以上の検証デバイスに送信することができる。一つ以上の検証デバイスは、デジタル署名ｘがトラップドア行列Ｒを使用して生成された場合、検証行列Ａを使用して、送信デバイスによって生成されたデジタル署名ｘを検証してメッセージｍに署名することができる。

本開示の他の実施形態は、格子ベースの署名を生成する方法を対象とする。送信デバイスは、メッセージｍを受信することができる。メッセージは、ハッシュｈ（ｍ）であってもよく、または送信デバイスは、メッセージｍをハッシュして、ハッシュｈ（ｍ）を生成してもよい。送信デバイスはまた、検証行列Ａおよびトラップドア行列Ｒを格納してもよい。送信デバイスは、検証行列Ａおよびトラップドア行列Ｒを使用して、署名ベクトルｘを生成し得る。署名ベクトルｘは、いくつかの係数ｑおよび誤差ベクトルｅについて、関係Ａｘ＝ｈ（ｍ）＋ｅ ｍｏｄ ｑが満足されるように生成され得る。係数ｑは、所望のレベルのデータセキュリティを与えるように選択することができる（例えば、ｑ＝２^２４を選択することによって１００ビットのセキュリティを与えることができる）。署名デバイスは、メッセージｍおよび署名ベクトルｘを検証デバイスに送信し得る。検証デバイスは、検証行列Ａを以前に受信するか、または送信デバイスから検証行列Ａを受信してもよく、検証行列Ａを使用して、署名ベクトルｘが送信デバイスによって生成されたことを検証してもよい。これにより、検証デバイスが、メッセージｍが送信デバイスからも送信されていることを検証することが可能になり得る。

本開示の他の実施形態は、格子ベースの署名を検証する方法を対象とする。検証デバイスは、検証行列Ａを格納することができる。検証デバイスはまた、送信デバイスからメッセージｍおよび署名ベクトルｘを受信できる。メッセージは、ハッシュｈ（ｍ）であってもよく、または検証デバイスは、メッセージｍをハッシュして、ハッシュｈ（ｍ）を生成してもよい。検証デバイスは、誤差ベクトルｅを計算し、いくつかの係数ｑに対するＡｘ＝ｈ（ｍ）＋ｅ ｍｏｄ ｑを解くことによって、誤差ベクトルｅのサイズを定量化することができる。検証デバイスは、誤差ベクトルｅを閾値と比較し、誤差ベクトルｅが閾値より小さい場合、署名ベクトルｘを検証することができる。例えば、誤差ベクトルｅの長さがハッシュｈ（ｍ）の寸法より小さい場合である。

本開示の他の実施形態は、上述の方法に関連付けられたシステムおよびコンピュータ可読媒体を対象とする。

本発明のこれら、そして他の実施形態は、図面および詳細な説明を参照して、下記にさらに詳細に説明する。

図１は、いくつかの実施形態によるシステムのブロック図を示す。

図２は、いくつかの実施形態による、格子ベースの検証行列およびトラップドア生成の一般的なフロー図を示す。

図３は、いくつかの実施形態による、格子ベースの署名生成の一般的なフロー図を示す。

図４は、いくつかの実施形態による、格子ベースの署名の検証のための一般的なフロー図を示す。

図５Ａ～５Ｂは、格子ベースの署名システムにおける正確なトラップドアおよび近似トラップドアを用いた署名検証の簡略化図を示す。 図５Ａ～５Ｂは、格子ベースの署名システムにおける正確なトラップドアおよび近似トラップドアを用いた署名検証の簡略化図を示す。

図６は、いくつかの実施形態による、具体的なパラメータの要約表を示す。

図７は、いくつかの実施形態による、検証行列生成および署名ベクトル生成のためのアルゴリズムを示す。

図８は、いくつかの実施形態による、具体的なパラメータの別の表を示す。

図９は、いくつかの実施形態による、具体的なパラメータの別の表を示す。

図１０は、いくつかの実施形態による、システムおよび方法で使用可能な例示的なコンピュータシステムのブロック図を示す。

格子ベースの暗号、格子問題に基づく暗号は、特に、より伝統的な暗号システムの有効性を低減することができる量子コンピューティングの開発と共に、堅牢な暗号ソリューションを提供することができる。格子問題としては、例えば、点のｎ次元格子における最短ベクトルの発見に関する、不均一な短整数解（ＩＳＩＳ）の問題が挙げられる。不均一な短整数解（ＩＳＩＳ）の問題は、関係Ａ・ｘ＝ｙ（ｍｏｄ ｑ）を満たすベクトルｘを見つけるように求める。この例では、ベクトルｙはメッセージ、またはメッセージのハッシュであってもよく、ベクトルｘはメッセージに関連付けられた署名であってもよい。格子問題は、量子コンピューティングでも計算が難しく、格子問題を暗号アプリケーションに適したものにしている。格子問題の解決は、トラップドア行列で簡単に行うことができ、これは、難問（ＩＳＩＳ問題など）を容易にする、または妥当な時間内に計算可能にする行列であり得る。ＩＳＩＳ問題の例では、方程式を解く必要なく、トラップドア行列を使用してベクトルｘを計算することができる。したがって、暗号アプリケーションにおいて、トラップドアは秘密鍵として機能し得る。

トラップドア行列の異なる構造は、暗号システムとしての格子問題のサイズおよび有用性に対して異なる影響を有し得る。ＩＳＩＳ問題を正確に解決したトラップドア行列は、非常に大きい公開鍵（検証行列Ａ）と秘密鍵（トラップドア行列）を生じるため、メッセージの署名や署名の送信にはあまり実用的ではない。

代わりに、実施形態は、ＩＳＩＳ問題に対する解決策を緩和して、正確な解決策の代わりに、近似解決策を見つける、近似トラップドアを使用できる。すなわち、誤差ベクトルｅを有するＡ・ｘ＝ｙ＋ｅ（ｍｏｄ ｑ）を使用できる。誤差ベクトルが小さい場合でも、署名は検証できる。具体的には、ガジェット行列（列が小さい基数の昇冪を含む行列）を使用して、正確なトラップドア行列を見つけることができ、ガジェット行列のいくつかの列を除去することによって、低減されたガジェット行列を使用して、近似トラップドア行列を見つけることができる。近似解では、署名ｘ、トラップドア行列、および検証行列Ａは、より小さく、したがってより実用的であり得る。

実施形態では、生成デバイスは、検証行列およびトラップドア行列を計算できる。検証行列は、公開鍵として機能し、配布することも、公開することもできる。具体的には、検証行列は、署名されたメッセージを送信する送信デバイス、および送信デバイスを認証するためにメッセージ上の署名を検証する検証デバイスに送信することができる。トラップドア行列は、プライベートキーとして機能し、送信デバイスに安全に送信することができ、送信デバイスが署名を生成できるようにする。

Ｉ．序説
過去２０年間で、格子ベースの暗号は活発な研究分野として浮上してきた。これは、進行中のＮＩＳＴポスト量子暗号（ＰＱＣ）標準化手順［ＡＡＡＳ＋１９］で観察されたように、完全準同型暗号化［Ｇｅｎ０９］などの高度な暗号化機能と、実用的なポスト量子セキュア公開鍵暗号化と署名の両方を可能にすることができる。格子ベースの暗号システムの大部分は、格子トラップドアを使用する。これらの暗号システムは、公開鍵暗号化および署名スキーム［ＧＧＨ９７、ＨＰＳ９８、ＨＨＰ＋０３、ＧＰＶ０８］などの基本的なプリミティブ、ならびにＩＤベースの暗号化［ＧＰＶ０８、ＡＢＢ１０、ＣＨＫＰ１２］、属性ベースの暗号化［ＧＶＷ１３］、および次数付き符号化［ＧＧＨ１５］などの高度なプリミティブを含む。

本研究では、Ａｊｔａｉ［Ａｊｔ９６］が定義する格子ベースの一方向関数のトラップドアと、そのデジタル署名における適用に注目する［ＧＰＶ０８］。ワイドなランダムな行列Ａ、および標的ベクトルｙを与えられる。不均一な短整数解（ＩＳＩＳ）の問題は、ｙのプリイメージとして短いベクトルｘを見つけるように要求する。すなわち、Ａ・ｘ＝ｙ（ｍｏｄ ｑ）。

トラップドアがなければ、短プリイメージを見つけることは、最悪の場合に特定の格子問題を解決するのと同じくらい難しいとわかる［Ａｊｔ９６］。一方、行列Ａのトラップドアは、その所有者が短プリイメージを効率的に生成することを可能にする。Ａｊｔａｉの関数のトラップドアの明示的な構成は、最初に［Ａｊｔ９９］で示され、後に［ＡＰ１１、ＭＰ１２］によって簡略化された。

暗号における格子トラップドアの適切な使用に向けて、トラップドアにパンチをくらわすのは、Ｇｅｎｔｒｙ、Ｐｅｉｋｅｒｔ、Ｖａｉｋｕｎｔａｎａｔｈａｎ［ＧＰＶ０８］の研究である。彼らは、トラップドアについての情報を漏洩させる可能性がある分布の代わりに、ｔｒａｐｄｏｏｒ－ｉｎｄｅｐｅｎｄｅｎｔ ｄｉｓｔｒｉｂｕｔｉｏｎで短プリイメージをサンプリングする方法を示す（格子ベースの署名［ＧＧＨ９７，ＨＨＰ＋０３］を構築する最初の試み［ＧＳ０２，ＮＲ０６］に対する攻撃により観察されるように）。トラップドアに依存しないプリイメージサンプリングアルゴリズムにより、［ＧＰＶ０８］は以下のようにハッシュサイン署名を安全に構築することができる。行列Ａを公開検証鍵、Ａのトラップドアを秘密署名鍵にさせる。メッセージｍにサインするには、まずベクトルｙにハッシュし、次にトラップドアを使用して、署名として短プリイメージｘをサンプリングする。署名は、トラップドアに依存しない分布から生成されるため、秘密署名鍵は署名から隠されることが保証される。

そのエレガントなデザインにもかかわらず、Ａｊｔａｉの関数に基づくハッシュサイン署名は、その大きな鍵サイズと署名サイズにより、実用的な非効率に悩まされている。実際に、ＮＩＳＴ ＰＱＣ標準化の第二ラウンドに入るすべての三つの格子ベースの署名候補［ＡＡＡＳ＋１９］は、二つの代替アプローチから構築されている。Ｆａｌｃｏｎ［ＦＨＫ＋１８］は、ＮＴＲＵ格子上のハッシュサインのパラダイムに基づき、Ｄｉｌｉｔｈｉｕｍ［ＤＫＬ＋１８］およびｑＴＥＳＬＡ［ＡＢＢ＋１９］は、棄却サンプリングアプローチ［Ｌｙｕ１２，ＢＧ１４］に基づく。三つの候補に対する推奨パラメータは、競争力のある性能測定につながる。例えば、１２８ビットのセキュリティでは、三つの候補すべてに対する公開鍵および署名のサイズは、（それぞれ）５ｋＢおよび４ｋＢ未満である。対照的に、Ａｊｔａｉの関数に基づくハッシュサイン署名では、公開鍵と署名のサイズは、［ＢＢ１３，ＢＦＲＳ１８，ＧＰＲ＋１８］の実装ベンチマークに従って３５ｋＢおよび２５ｋＢ以上である。

近似トラップドアと呼ばれる格子トラップドアの緩和された概念を定義することができ、これは、正確にではなく、およそＩＳＩＳの問題を解決するのに使用することができる。主な動機は、Ａｊｔａｉの一方向関数に基づくハッシュサイン署名の効率を改善することである。正確性要件の緩和により、Ａｊｔａｉの関数のために、より小さな公開行列、トラップドア、およびプリイメージを生成することが可能となり、これは、より小さな公開鍵、秘密鍵、およびハッシュサイン署名スキームの署名に転換される。

本開示の実施形態は、ＭｉｃｃｉａｎｃｉｏおよびＰｅｉｋｅｒｔ［ＭＰ１２］によって提案されたガジェットのトラップドアを、近似トラップドアに修正できることを示す。具体的には、近似ガジェットトラップドアを使用して、トラップドアに依存しない分布からプリイメージをサンプリングする方法を示す。分布の分析は、格子上の離散ガウスの線形変換を使用できる。

当社の近似ガジェットトラップドアは、エルミート標準形の使用や、ガジェット内のより大きな基数の使用など、既存の最適化技術と併用して、ＲｉｎｇＬＷＥおよびＲｉｎｇＳＩＳ仮定下のランダムＯｒａｃｌｅモデルにおけるハッシュサイン署名の具体的な性能を向上させることができる。公開鍵と署名のサイズを、１００ビットセキュリティの推定については５ｋＢおよび４．４５ｋＢに、１９２ビットセキュリティの推定については１１．２５ｋＢおよび９．３８ｋＢに低減できることを示している。これらは、棄却サンプリングアプローチ［Ｌｙｕ１２、ＢＧ１４、ＤＫＬ＋１８、ＡＢＢ＋１９］に基づく署名のサイズにはるかに近いものである。

Ａ．暗号コンテキストの例
図１は、実施形態によるシステム１００のシーケンス図を示す。システム１００は、生成デバイス１０５、送信デバイス１１５、および検証デバイス１２５を備えてもよい。システム１００はまた、アタッカ１３５を含んでもよい。システム１００は、本開示の実施形態による署名生成および検証を使用するシステムであってもよい。例えば、一実施形態では、送信デバイス１１５は、ある口座から別の口座へ資金を移動するためメッセージを送信するユーザのデバイスであってもよい。検証デバイス１２５は、不正な移動を防止するためにメッセージを検証する発行者であってもよい。別の実施形態では、送信デバイス１１５は、安全なデータベースへのアクセスを要求するメッセージを送信するデバイスであってもよい。検証デバイス１２５は、安全なデータベースへのアクセスを制御するアクセスゲートウェイであってもよく、アクセスを許可する前にメッセージを検証してもよい。いくつかの実施形態では、生成デバイス１０５および送信デバイス１１５は、同じデバイスであってもよい。他の実施形態では、生成デバイス１０５および検証デバイス１２５は、同じデバイスであってもよい。

ステップ１０２では、生成デバイス１０５は、検証鍵ｖｋおよび秘密鍵ｓｋを生成できる。例えば、検証鍵ｖｋは、検証行列Ａであってもよく、秘密鍵ｓｋは、トラップドア行列Ｒであってもよい。次いで、生成デバイス１０５は、検証鍵ｖｋを検証デバイス１２５に公的に送信することができる。アタッカ１３５は、検証鍵ｖｋを受信してもよい。生成デバイス１０５はまた、秘密鍵ｓｋを送信デバイス１１５に非公開で送信することができる。

ステップ１０４で、送信デバイス１１５は、メッセージｍを受信できる。次いで、送信デバイス１１５は、ハッシング関数を用いてメッセージをハッシュして、ハッシュ化されたメッセージｈ（ｍ）を生成することができる。代替で、送信デバイス１１５は、メッセージｍを生成するか、またはハッシュｈ（ｍ）を受信してもよい。

ステップ１０６では、送信デバイス１１５は、ハッシュｈ（ｍ）および秘密鍵ｓｋに基づいて署名を生成できる。例えば、送信デバイス１１５は、署名ｓｉｇを生成し、ハッシュｈ（ｍ）の関数および秘密鍵ｓｋを計算できる。送信デバイス１１５は、検証鍵ｖｋおよび署名の積がハッシュ化されたメッセージｈ（ｍ）であるように、署名ｓｉｇを生成し得る。

手順１０８では、送信デバイス１１５は、検証デバイス１２５にメッセージｍおよび署名ｓｉｇを送信できる。アタッカ１３５は、送信されるメッセージｍと署名ｓｉｇを傍受できる可能性がある。

ステップ１１０で、アタッカ１３５は、メッセージｍを修正して、不正なメッセージｍ’を生成しようと試み得る。アタッカ１３５はまた、署名ｓｉｇを修正して、不正な署名ｓｉｇ’を生成しようと試み得る。しかし、アタッカ１３５は秘密鍵ｓｋにアクセスできないため、有効な署名を生成できない可能性がある。したがって、不正な署名ｓｉｇ’は有効な署名ではない可能性がある。次いで、アタッカ１３５は、不正なメッセージｍ’および不正な署名ｓｉｇ’を、検証デバイス１２５に送信し得る。

ステップ１１２では、検証デバイス１２５は、送信デバイス１１５からのメッセージｍおよびアタッカ１３５からの不正なメッセージｍ’の検証を試みることができる。例えば、検証デバイス１２５は、署名ｓｉｇおよび検証鍵ｖｋを乗算し、結果をハッシュ化されたメッセージｈ（ｍ）と比較し得る。結果がハッシュｈ（ｍ）と等しいか、または受け入れられた閾値内である場合、メッセージｍは検証され得る。結果がハッシュ化されたメッセージｈ（ｍ）と等しくないか、または受け入れられた閾値内にない場合、メッセージｍは検証されないことがある。より一般的には、検証は、メッセージ、ハッシュ化されたメッセージ、署名、および／または検証鍵の関数を伴い得る。秘密鍵ｓｋで生成されなかった署名は、有効な結果をもたらさない可能性があり、検証されない場合がある。したがって、検証デバイス１２５は、送信デバイス１１５によって送信される真正なメッセージと、アタッカ１３５によって送信される不正なメッセージとを区別することができる。

Ｂ．検証行列の生成
署名を検証するために公開鍵として使用される検証行列を生成できる。（秘密鍵としての）トラップドア行列も生成することができ、これは検証行列の生成および署名の生成に使用することができる。

図２は、本開示の実施形態による鍵生成プロセスのフロー図を示す。いくつかの実施形態では、鍵生成は、生成デバイス（例えば、図１の１０５）によって行われてもよく、これも送信デバイスであってもよい。鍵は、格子ベースの暗号検証鍵であってもよい。

ステップ２０２では、生成デバイスは、ガジェット行列Ｇを生成し得る。ガジェット行列Ｇは、すべての入力が、例えば、２、３、４、または５などの小さな整数ｂの冪である行列であってもよい。例えば、ガジェット行列Ｇの入力は、２の昇冪であってもよい。ガジェット行列Ｇは、寸法ｎ×ｌｏｇ ｑを有してもよい。ｎは、６４、１２８、２５６、および５１２などのセキュリティパラメータであってもよい。ｑは、ｎ√ｎに設定されてもよい。いくつかの実施形態では、係数ｑは、２^１６～２^２４であってもよい。

ステップ２０４では、生成デバイスは、選択された列を削除して低減されたガジェット行列Ｆを生成することによって、ガジェット行列Ｇの寸法を低減させ得る。例えば、生成デバイスは、ガジェット行列Ｇの最初の列ｌを削除してもよい。パラメータｌは、例えば、０と

との間、または０とｌｏｇ ｑとの間であることが選択されてもよい。ｌは、実験的に決定されて、所望のセキュリティレベルおよび鍵サイズを提供することができる。ｌの値が大きいほど（ガジェット行列Ｆはより小さく、低減される）、鍵が小さくなる可能性があるが、安全性も低くなり得る。ｌの値が大きいほど（ガジェット行列Ｆがより大きく、低減される）、安全性は高くなるが、鍵は大きくなり得る。例えば、セキュリティパラメータｎ＝５１２および基数ｂ＝２について、係数をｑ＝２^２４に設定してもよい。次いで、ｌを、０～１２の範囲から選択することができる。

ステップ２０６では、生成デバイスは、分布をサンプリングして、トラップドア行列Ｒを形成し得る。例えば、トラップドア行列Ｒの各要素は、小さな標準偏差でガウス分布から独立してサンプリングされてもよい。トラップドア行列Ｒはまた、小さな行列Ｄを計算するために使用することができ、

である。Ｄは、したがって、同じ寸法の恒等行列で縦に拡大されたトラップドア行列Ｒであってもよい。小さな行列は、各入力がｎより小さい行列であってもよい。トラップドア行列Ｒは、デジタル署名を生成するための秘密鍵として機能し得る。

ステップ２０８では、生成デバイスは、検証行列Ａを生成し得る。生成デバイスは、最初に、均一にランダムな行列

に基づいて行列

を生成してもよい。均一にランダムな行列

の各要素は、等しい確率で選択され得る。次に、Ａは、

である、Ｆ、Ｒ、および

からとして計算することができる。したがって、検証行列Ａは、式

から生じる行列で拡大された行列

である。

ステップ２１０では、生成デバイスは、検証行列Ａを送信デバイス（例えば、図１の１１５）に送信できる。検証行列Ａは、公知の検証鍵として機能し得る。生成デバイスが送信デバイスではない場合、生成デバイスはまた、トラップドア行列Ｒおよび／または小さな行列Ｄを送信デバイスに送信してもよい。トラップドア行列Ｒは、例えば、安全なチャネルによって、または秘密共有アルゴリズムを使用して送信されてもよい。安全なチャネルは、例えば、ＳＳＨ暗号化で保護されたインターネット通信チャネル、または手動でトラップドア行列Ｒを書き込み、送信デバイスに送信することを含み得る。

Ｃ．署名生成
図３は、本開示の実施形態による署名生成プロセスのフロー図を示す。署名は、格子ベースの署名ベクトルであってもよい。いくつかの実施形態では、署名生成は、送信デバイス（例えば、図１の送信デバイス１１５）によって行うことができる。

ステップ３０２では、送信デバイスは、メッセージｍを受信できる。実施形態によっては、送信デバイスはメッセージｍを生成したことがあってよい。メッセージｍは、例えば、承認要求メッセージまたは支払取引メッセージであってもよい。メッセージｍはハッシュ化されてもよい。送信デバイスは、メッセージｍをハッシュして、ハッシュ化されたメッセージｈ（ｍ）を生成することができる。例えば、送信デバイスは、メッセージｍの係数を取り得る。メッセージｍおよびハッシュｈ（ｍ）は、ベクトルであってもよい。

ステップ３０４では、送信デバイスは、検証行列Ａおよびトラップドア行列Ｒを格納することができる。検証行列Ａおよびトラップドア行列Ｒは、生成デバイスから受信されてもよい。いくつかの実施形態では、送信デバイスは、検証行列Ａおよびトラップドア行列Ｒを生成し得る。送信デバイスは、トラップドア行列Ｒの代わりに、またはトラップドア行列Ｒに加えて、小さな行列Ｄを受信してもよい。トラップドア行列Ｒおよび検証行列Ａは、例えば、安全なチャネルを介して、または秘密共有アルゴリズムを使用して受信されてもよい。安全なチャネルは、例えば、ＳＳＨ暗号化で保護されたインターネット通信チャネルを含み得る。

ステップ３０６では、送信デバイスは、ハッシュｈ（ｍ）、検証行列Ａ、およびトラップドア行列Ｒを使用して、署名ベクトルｘを生成し得る。送信デバイスは、まず確率分布（例えば、ガウス分布）をサンプリングして、摂動ベクトルｐを形成してもよい。摂動ベクトルｐの各要素は、確率分布から独立してサンプリングすることができる。次いで、送信デバイスは、格子ベクトルｖ＝ｈ（ｍ）－Ａｐを計算してもよい。次いで、格子ベクトルｖを使用して、格子ベクトルｖから形成される格子に基づいて、格子ガウス分布から中間ベクトルｚをサンプリングしてもよい。格子ガウス分布は、格子上の離散ガウス分布、具体的には、格子ベクトルｖによって定義される格子であってもよい。次に、送信デバイスは、次いで、中間ベクトルｚおよびトラップドア行列Ｒの積から、

として署名ベクトルｘを生成することができる。摂動ｐは、アタッカがメッセージ署名対に基づいてトラップドア行列Ｒを決定することを防止し得る。摂動ｐは、メッセージｍまたはトラップドア行列Ｒに依存しない分布からサンプリングすることができるため、署名ベクトルｘ内のトラップドア行列Ｒを隠すことができる。

ステップ３０８では、送信デバイスは、メッセージｍおよび署名ベクトルｘを送信し得る。これらは、検証デバイスに送信することができる。送信デバイスはまた、検証行列Ａを検証デバイスに送信してもよい。検証デバイスは、次にメッセージｍを検証できる。検証デバイスは、検証行列Ａと署名ベクトルｘを乗算することができ、結果はハッシュ化されたメッセージが小さなエラーと合致する場合、そのメッセージｍを検証することができる。検証デバイスはまた、署名ベクトルｘが送信デバイスによって生成されたことを検証できる。

Ｄ．署名検証
図４は、検証行列Ａを用いて署名ベクトルｘを検証するフロー図を示す。いくつかの実施形態では、検証は、検証デバイス（例えば、図１の検証デバイス１２５）によって行うことができる。

ステップ４０２では、検証デバイスは、検証行列Ａを格納することができる。検証行列Ａは、生成デバイスから受信されてもよい。代替で、検証デバイスは、送信デバイスから検証行列Ａを受信してもよく、または公的に利用可能であってもよい。検証行列Ａは、代替的に、検証デバイスによって生成されてもよい。

ステップ４０４では、検証デバイスは、送信デバイスからメッセージｍおよび署名ベクトルｘを受信することができる。検証デバイスは、メッセージｍに加えて、またはメッセージのｍ代わりに、ハッシュ化されたメッセージｈ（ｍ）を受信し得る。検証デバイスは、メッセージｍをハッシュして、ハッシュ化されたメッセージｈ（ｍ）を生成し得る。メッセージｍおよびハッシュｈ（ｍ）は、ベクトルであってもよい。

ステップ４０６では、検証デバイスは、検証行列Ａを使用して署名ベクトルｘを検証できる。署名ベクトルｘを検証するために、検証デバイスは、いくつかの係数ｑについて、方程式Ａｘ＝ｈ（ｍ）＋ｅ ｍｏｄ ｑを解くことによって誤差ベクトルｅを計算することができる。具体的には、Ａｘ－ｈ（ｍ）＝ｅ ｍｏｄ ｑなので、検証デバイスは、検証行列Ａ、署名ベクトルｘ、およびハッシュｈ（ｍ）を用いてＡｘ－ｈ（ｍ）を計算して、誤差ベクトルｅを決定することができる。係数ｑは、セキュリティパラメータｎに対してｎ√ｎとして決定され得る。例えば、パラメータｎ＝１２８に対して、ｑは２^２３とすることができる。いくつかの実施形態では、係数ｑは、２^１６～２^２４の範囲から選択されてもよい。署名ベクトルｘおよび検証行列Ａは、近似トラップドアで生成されるため、積は、正確にはハッシュｈ（ｍ）ではなく、誤差ベクトルｅによって異なっていてもよい。署名ベクトルｘが正確なトラップドアで生成されていた場合、誤差ベクトルｅは０となるであろう。次に、検証デバイスは、誤差ベクトルｅのユークリッド長さを見つけることによってなど、誤差ベクトルｅのサイズを定量化し、そのサイズを閾値と比較することができる。他の実施形態では、誤差ベクトルｅのサイズは、異なるｌ_ｐ－ｎｏｒｍ、または無限基準を使用して定量化することができる。

誤差ベクトルｅが閾値より小さい場合、署名ベクトルｘを検証できる。実施形態によっては、閾値は、ハッシュｈ（ｍ）の寸法（例えば、ハッシュｈ（ｍ）のベクトルの寸法）であってもよい。他の実施形態では、閾値は、

の間で選択されてもよい。例えば、ｑ＝２^２３である場合、閾値は、２^１２であってもよい。誤差ベクトルｅが大きい場合、これは、メッセージｍが、検証行列Ａと同じトラップドアから生成された署名ベクトルｘで署名されていないことを示してもよく、したがって、メッセージｍは、不正であるか、またはそうでなければ損なわれている可能性が高い。

署名が検証された後、検証デバイスは、メッセージ内の情報に作用することができる。一つの例として、メッセージは、建物または会場などの安全なエリアにアクセスするか、またはネットワーク化されたコンピュータ上に常駐し得る安全なデータまたはその他のリソースにアクセスする要求を含み得る。署名およびメッセージを検証した後、検証デバイスは、アクセスを可能にするために、アクセスデバイスに指示を送信することができる。別の例として、メッセージは、送信デバイスと検証デバイスとの間の安全な接続を確立するための要求を含み得る。メッセージを検証した後、検証デバイスは、例えば、鍵交換を実行することによって、安全な接続を確立できる。追加的に、または代替的に、検証デバイスは、送信デバイスに応答し得る。応答は、暗号、暗号鍵、またはアクセストークンなどの安全なデータなどの情報を含み得る。実施形態によっては、支払処理システムに適用されてもよい。例えば、メッセージは、支払要請メッセージであってもよく、検証デバイスは、例えば、認証（検証）を、承認応答を準備するために認証を使用する、処理ネットワークまたは承認サーバに送信することによって、承認応答の生成の一部として、支払要求メッセージ内の情報を使用し得る。

Ｅ．近似トラップドア
図５は、正確なトラップドアスキームおよび近似トラップドアスキームを用いる署名検証を示す。図５Ａは、正確なトラップドアで生成された署名の検証のための計算例を示す。図５Ｂは、近似トラップドアで生成された署名の検証のための計算例を示す。

図５Ａでは、ｎ×ｍ寸法を有する検証行列Ａは、秘密鍵ｓｋおよびハッシュ化されたメッセージｈ（ｍ）で生成される署名ベクトルＳｉｇｎ（ｈ（ｍ）、ｓｋ）によって乗算され得る。検証行列の各入力は、

にあってもよい。いくつかの実施形態では、ｎは、１２８などのセキュリティパラメータであってもよい。ｑは、ｎ√ｎに設定されてもよい。署名ベクトルＳｉｇｎ（ｈ（ｍ）、ｓｋ）は、寸法ｍを有し、検証行列Ａによって乗算されるとき、ハッシュ化されたメッセージをもたらすように選択される。ハッシュ化されたメッセージは、ｎ寸法を有するベクトルである。メッセージのハッシュにより、メッセージのサイズに応じてではなく、ｎとｍとのサイズを固定できる。ｍが比較的大きい場合、検証行列Ａと署名ベクトルＳｉｇｎ（ｈ（ｍ）、ｓｋ）の両方が大きくなることに留意されたい。

図５Ｂは、より小さい寸法の検証行列Ａの効果を示す。検証行列Ａは、ここで、ｍ’＜ｎ＋ｍである、寸法ｎ×ｍ’である。近似トラップドアを使用することで、寸法を小さくすることができる。ｍ’は、より小さいため、ハッシュ化されたメッセージ（まだ長さｎの）の関連する署名ベクトルも同様により小さい。しかしながら、近似トラップドアを使用することにより、行列乗算の積ｄは、ハッシュ化されたメッセージｈ（ｍ）、プラス誤差ベクトルｅであってもよい。検証行列Ａは、誤差ベクトルｅが小さい、すなわち、誤差ベクトルｅの長さがｎより小さいように構築することができる。したがって、検証のための条件は、積ｄがハッシュ化されたメッセージの既知のエラー範囲内にあることである。不正な署名は、大量のハッシュ化されたメッセージとは異なる積ｄをもたらし、したがって、検証プロセスがなおも安全である可能性がある。

ここで、近似トラップドアと正確なトラップドアの間の違いについて、より詳細に論じてもよい。

公開行列

式中、ｍ＝Ｏ（ｎ ｌｏｇ ｑ）である、および標的ｙとする。ベクトル

を、Ａ・ｘ＝ｙ＋ｚ（ｍｏｄ ｑ）であるとき、ｙの近似短プリイメージと呼ぶ。
一部の

に対し、ｘおよびｚの両方は短くなっている。Ａの近似トラップドアは、その所有者が、標的ｙを与えられた近似短プリイメージを効率的に見つけることを可能にする文字列であると定義される。

「トラップドア」という単語の意味を理解するために、トラップドアなしでは、ＩＳＩＳの近似バージョンを解決することは難しいと示すことができる。パラメータの適切な設定の下で、近似ＩＳＩＳ問題は、標準的なＩＳＩＳ問題と同じぐらい難しいか、またはＬＷＥほど簡単ではないことを示す。削減は、エルミート標準形（ＨＮＦ）を広く使用し、かなり単純である。

近似ＩＳＩＳ問題および近似トラップドアは、それらの正確なバリアントの自然な一般化である。実際に、両方の概念は、少なくとも非公式なレベルで、文献で使用されてきた。例えば、近似ＩＳＩＳ問題は、Ｂａｉらの研究、［ＢＧＬＳ１９］で使用されて、正確なＩＳＩＳ問題の複合アルゴリズムを改善した。

近似トラップドアについては、ＨＮＦにおける公開行列の正確なトラップドア、例えば、

のトラップドアは、Ａ’の近似トラップドアとして使用することができる。このような方法は、公開鍵のサイズと署名をｎの寸法だけ小さくするために、署名の実装によく使用された。したがって、我々の目標は、トラップドアの品質を保ちつつ、ＨＮＦアプローチと比較して、サイズをさらに小さくすること、すなわち、少なくとも、プリイメージの基準を増加しないことである。

実施形態の一貢献は、ＭｉｃｃｉａｎｃｉｏおよびＰｅｉｋｅｒｔ［ＭＰ１２］によって提案されるガジェットトラップドア（Ｇ－トラップドア）が、公開行列、トラップドア、およびプリイメージのサイズをさらに低減させるような方法で、近似トラップドアに修正され得ることを示すことである。Ｇ－トラップドアの一態様は、基数ｂの特定の“ガジェット”行列であり、

式中

である。基数ｂは、簡略化のために２として選択されてもよく、または実用的な実装ではより大きな値として選択されてもよい。

ＭｉｃｃｉａｎｃｉｏとＰｅｉｋｅｒｔ［ＭＰ１２］は、Ａ・Ｄ＝Ｇ（ｍｏｄ ｑ）のような小さな基準の行列Ｄと共にランダム行列Ａを生成する方法を示す。具体的には、Ａは、以下のように設計することができ、

ここで、Ｒは、小さな入力を有する行列であり、実際のトラップドアである。次に、行列Ｄは、

に等しい。Ｇ行列のカーネルは公開短ベースであるため、まず公開行列Ｇの下でＩＳＩＳの問題を解決し、次に公開行列Ａの下でＩＳＩＳの問題を解決するためにＤを使用することができる。

ガジェット行列Ｇからの小さな冪ｂに対応する（たとえばｌ）入力をいくつか削減した場合、つまり、以下のＦ行列を低減したガジェット行列にするのを観察する。

そして、公開行列Ｆに関するＩＳＩＳ問題を、解決策の近似ｂ^ｌ－まで（すなわち、誤差ベクトルの基準はｂ^ｌに比例する）解決することができる。ＧをＡ内のＦで置換すると、

次いで、トラップドアＲおよび公開行列Ａの寸法を低減することができる。

その近似Ｇ－トラップドアＲと共に公開行列Ａを与えられると、所与の標的ｕの任意の近似短プリイメージを見つけることは、非常に単純であるが、トラップドア非依存性分布からプリイメージをサンプリングすることは、自明でない可能性がある。前述のように、トラップドア非依存の分布からサンプリングする能力は、デジタル署名を含む多くのトラップドアアプリケーションに関与する。

トラップドア非依存の分布から、近似短プリイメージをサンプリングするアルゴリズムを提供する。アルゴリズム自体は、［ＭＰ１２］からの摂動ベースの離散ガウスサンプラー上に構築することができるが、［ＭＰ１２］からのプリイメージ分布の分析は、一般化することは容易ではない。プリイメージ分布および近似誤差分布の我々の解析は、格子分布に関する線形変換の定理を広範に使用している（定理２．７参照、暗黙的に［ＭＰ１２，ＭＰ１３，ＢＰＭＷ１６］で使用）。

我々のアルゴリズムは標的画像

に対して機能し、分布の標準偏差に誇張は生じないが、トラップドア非依存の分析は、すべての

のプリイメージの分布をスペルアウトできる［ＧＰＶ０８，ＭＰ１２］内の正確なトラップドアの分析とは対照的に、

から均一にサンプリングされた標的画像ｕにのみ適用される。このギャップの理由を簡単に説明するために、全ての標的画像を扱うために我々が試みた方法には、線形変換の定理（定理２．７）で要求される格子交差の平滑化パラメータの大幅な増加が必要であると観察する。言い換えれば、結果として得られるプリイメージの基準は、結果を無意味にすることを大幅に増加させる。

それでも、多くの暗号システムにおいて正確な格子トラップドアの使用を置き換えるため、トラップドア非依存性の分布から、均一な標的についての近似プリイメージをサンプリングすることは十分である。これには、ハッシュサイン署名［ＧＰＶ０８］、ＩＢＥ［ＧＰＶ０８、ＡＢＢ１０、ＣＨＫＰ１２］、ＡＢＥ［ＧＶＷ１３］、および特殊用途の難読化スキーム［ＧＫＷ１７、ＷＺ１７］、プライベート制約付きＰＲＦ、およびＧＧＨ１５次数付き符号化形式［ＧＧＨ１５］で構築された再利用可能な文字化けした回路［ＣＣ１７Ｃ、ＶＷ１８］が含まれる。

次に、署名アプリケーションに焦点を当てて、正確なトラップドアと他の既存の最適化手法と比較した、近似トラップドアの使用効率の向上について説明する。我々の目標は、以下の「双方にメリットがある」シナリオを達成するためのパラメータを設定することであり、１）プリイメージサイズ（帯域幅）の保存、２）公開行列Ａのサイズの保存、および３）プリイメージの離散ガウス幅と誤差項の基準に関連する具体的なセキュリティの維持、または獲得である。

まずは、変数ｌに対する節約の依存性、すなわち、ガジェットｇから削除された入力数について理解することから始める。表１では、本論文における［ＭＰ１２］の正確なＧ－トラップドアと近似Ｇ－トラップドアサンプラとの間のパラメータの比較を提供する。どちらの場合も、公開行列は、疑似ランダムモードでインスタンス化される。疑似トラップドアの場合、トラップドアの寸法はｎｋからｎ（ｋ－ｌ）に減少する。公開行列とプリイメージの寸法ｍが減少する。また、ｍの減少に伴い、プリイメージ分布の幅ｓもわずかに減少する。しかし、画像内の誤差要因の基準は、ｌと共に大きくなる。そのため、後述するハッシュサイン署名の具体的なインスタンス化では、ｌの値をプリイメージとエラーの基準と調整する必要があり、これにより、セキュリティ推定を一緒に決定することができる。

このアルゴリズムは、［ＭＰ１２，ＧＭ１８］から０（ｌｏｇ ｑ）－空間、０（ｎ ｌｏｇ ｑ）－時間Ｇ－プリイメージサンプルサブルーチンを継承する。ゆえに摂動のサンプリングにおける空間と時間の節約は、寸法ｍの節約に比例する。

署名を超えたアプリケーションについて、簡単にコメントを述べる。寸法ｍの節約はＧＧＨ１５次数付き符号化形式（［ＨＨＳＳ１７，ＣＧＭ＋１８］で実装）で構築されたアプリケーションにとって非常に重要である。これらの用途では、係数ｑはｍ^ｄに比例する（ここで、

は、次数付き符号化の「レベル」の数であり、ｄが大きいほど、より豊富な機能をサポートする）。そのため、寸法ｍを小さくすると、パラメータ全体が大幅に減少する。

表１のパラメータは、固定格子寸法ｎ、固定係数ｑ≧√ｎ、および固定基数ｂの下に導出される。ｋ＝［ｌｏｇ_ｂｑ］としてみる。ｌは、

から削除された入力の数を示す。次に、公開行列の寸法およびプリイメージとしてｍを、ガジェットプリイメージ分布の幅としてσ、最終的なプリイメージ分布の幅としてｓ（ここで、Ｃ＞０はユニバーサル定数であり、トラップドア内のエントリの分布の幅、またはサブガウスパラメータとしてτ）、画像内の各入力に対する誤差の長さの範囲としてνを列挙する。いくつかの実施形態は、τの代わりにδを使用することができることに留意されたい。

Ｆ．署名のパラメータ例
近似トラップドアに基づいて、ハッシュサイン署名の概念実証実装を提供する。公開鍵の疑似ランダム性に対するＲｉｎｇＬＷＥと署名の偽造可能性に対するＲｉｎｇＳＩＳの硬さを仮定して、ランダムＯｒａｃｌｅモデルでセキュリティを分析する。ここでは、簡単な概要を提示し、セクション５．２に詳細を記載する。

図６は、いくつかの実施形態による、具体的なパラメータの要約表を示す。まず、ハッシュサイン署名の異なる実装結果［ＢＢ１３，ＢＦＲＳ１８，ＧＰＲ＋１８］は、サイズとセキュリティを測定する異なる方法を使用する可能性があり、すべての詳細が論文から復元できるわけではないことを指摘する。そのため、正確なトラップドアの参照実装も公平な比較として含める。１００ビットセキュリティの推定については、係数

と基数ｂ＝２の下にある正確なトラップドアに対する参照実装は、［ＢＢ１３］で報告されたパラメータと一致する。

また、サイズを低減してセキュリティレベルを高めるために、より小さな係数とより大きな基数を使用する。図６のパラメータは、ｑおよびｂの３つの選択について、ｌ＝［（ｌｏｇ_ｂｑ／２］）を設定することによって近似ガジェットトラップドアを使用することは、セキュリティ推定のわずかな増加さえも伴って、正確なトラップドアの使用と比較して、公開鍵および署名のサイズの約半分を節約することを示唆している。

我々の実装は、公開鍵と署名のサイズを、１００ビットセキュリティの推定については５ｋＢおよび４．４５ｋＢに、１９２ビットセキュリティの推定については１１．２５ｋＢおよび９．３８ｋＢに低減できることを示す。これらは、棄却サンプリングアプローチ［Ｌｙｕ１２、ＢＧ１４、ＤＫＬ＋１８、ＡＢＢ＋１９］に基づく署名のサイズにはるかに近いものである。参照として、ｑＴＥＳＬＡ［ＡＢＢ＋１９］の公開鍵および署名のサイズは、１２８ビットセキュリティの推定については４．０３ｋＢおよび３．０５ｋＢであり、１９２ビットセキュリティの推定については８．０３ｋＢおよび６．０３ｋＢである。ジリチウム［ＤＫＬ＋１８］のサイズはさらに小さい。我々の実装では、ジリチウム［ＤＫＬ＋１８］やｑＴＥＳＬＡ［ＡＢＢ＋１９］のような多くの低レベル最適化は使用されていないことを指摘する。そのため、より低レベルの最適化を追加した後に、改善の余地が大きくなると予想することは妥当である。Ｆａｌｃｏｎ［ＦＨＫ＋１８］のパラメータは、ＮＴＲＵ格子の使用のために最小であるため、ＲｉｎｇＬＷＥに基づくものと比較できない。

Ａｊｔａｉの一方向関数に対するトラップドアに関する多くの所伝的最適化がある。それらのいくつかを我々の構造と比較し、互換性について検討する。これらの比較を通して、最初に述べた「双方にメリットがある」のシナリオに関心を持つ。

第一は、ＨＮＦ最適化からの近似トラップドアである。

これは、公開鍵と署名を少しでも節約することで、かろうじて「双方にメリットがある」シナリオを達成する。我々の構造は、自動的にＨＮＦ最適化を含んでいるガジェットトラップドアの疑似ランダムモードで使用することができ、追加で約５０％の節約になる。

また、我々の方法は、係数が大きいときに［ｄＰＬＳ１８］で使用されていたように、サイズの大きな基数

（結果として生じるガジェットはｇ＝［１、√ｑ］）を含む、ガジェット内の任意の基数と共に使用することができる。この構造は、ガウス幅が大きいため（√ｑ）、具体的なセキュリティが損なわれ、セクション５で実装されるより小さな係数レジームでは実行不可能となる可能性がある。特に、より小さな係数については、署名のガウス幅は、論文および実験の両方で確認されたように、係数よりも大きい。そのため、適度に大きい基数ｂを使用する。

また、

の短整数行列Ｓを、ＡＳ＝Ｇのように（Ｅｑｎ．（１）の疑似ランダム公開鍵に相当）に対して構築しようと試みてもよく、このビューが、より良好な近似トラップドアを提供することを期待する。ここから、ハッシュサイン署名スキームは、ｐが摂動であり、ｚがＧ格子サンプルであるＳｚ＋ｐに返すことである。しかしながら、このような行列Ｓは、ｂ^ｌ項を必要とする。したがって、この方法では公開鍵は節約されるが、署名サイズが改善されるわけではなく、最も重要なことに、ガウス幅がｂ^ｌ倍増加する。幅の増加は、基礎となるＳＩＳ問題の具体的なセキュリティを減少させる。実際には、公開鍵で同じ節約を達成するために、代わりに、ガジェット内の基数をｂからｂ^ｌに直接増やすことができる。

ＩＩ．序文
具体的な実施例を詳細に説明する前に、本開示の実施形態で利用され得る格子ベースの暗号システムの態様を記述することができる。

Ａ．表記および用語
暗号化では、セキュリティパラメータ（λと記載される）は、暗号アルゴリズムまたはプロトコルの計算の複雑さ、およびセキュリティを解読する敵の可能性をパラメータ化するために使用される変数である。アルゴリズムは、λにわたって（確率的）多項式時間内で実行される場合、「効率的」である。

変数νがセットＳから均一にランダムに引かれる場合、ν←Ｕ（Ｓ）と表す。統計的に近く、計算上区別できない略語として、

を使用している。同じサポートχに対する二つの分布Ｄ_１、Ｄ_２については、それぞれ

が

があることを表すため

を表す。

を実数、整数、および正の整数の集合とする。

を

で示すこと。

について、

のベクトル（デフォルトでは列形式で表される）は、太字の小文字で書かれている。例えば、ｖ。ベクトルｖについては、ｖの成分ｉ^ｔｈはν_iによって示される。整数基数ｂ＞１については、正の整数の「ｂ－ａｒｙ」分解をベクトル

と呼び、ここで、ｋ：＝［ｌｏｇ_ｂｑ］、および

である。

行列は太字大文字で書かれている。例えば、Ａ。Ａのi^ｔｈ列ベクトルは、ａ_ｉと示されている。ベクトルの長さは、

または、その最大入力によって与えられる無限大基準

である。行列の長さは、その最長列の基準

である。デフォルトで、明示的に指定されていない限り、

を使用する。ベクトルまたは行列が「小」または「短」と呼ばれる場合、明示的に言及されない限り、その基準を参照するが、その寸法は参照しない。必要に応じて、「小」または「短」の閾値を正確にパラメータ化することができる。表記［Ａ Ｂ］、［Ａ，Ｂ］、および

はすべて、行列Ａが第二の行列Ｂと水平に拡大または連結されていることを示すことができる。表記

は、行列ＡおよびＢが垂直に連結されていることを示してもよく、またスタックと呼ばれてもよい。

Ｂ．線形代数
δ（ｊ，ｋ）＝１の場合で、ｊ＝ｋおよび０のとき、入力δ（ｊ，ｋ）に関して、

を標準基

にする。任意のセット

については、そのスパン（（Ｓ）と表記される）は、Ｓを含む

の最小のサブスペースである。行列

については、そのスパンは、その列ベクトルのスパンであり、（Ｍ）として記述される。行列転置をＭ^ｔとして記述する。

はＢのグラム－シュミット直交化を示す。別段の記載がない限り、順序基底Ｂ＝［ｂ_１，…，ｂ_ｋ］のＧＳＯは左から右

に想定される。

Ｍの特異値分解（ＳＶＤ）、すなわち、

と共に

が単一であり、

がＭの特異値を含む三角行列である、

を想起する。さらに、ｑ＝ｍｉｎ｛ｎ，ｍ｝およびＤ_ｑ＝ｄｉａｇ（ｓ_１，…，ｓ_ｑ）をＭの特異値

を含む対角線行列とする。次に、ｎ＝ｍのとき、Ｄ＝Ｄ_ｑ、ｍ＞ｎのときＤ＝［Ｄ_ｑ ０］、およびｍ＜ｎの場合で

である。

対称行列

は、すべての

について、

を有する場合、半正定値である。正定値Σ＞０であり、半正定値の場合、

は

を意味する。Σ_１－Σ_２が（半）正定値の場合、

と言う。これは、半正定値行列のセット上に部分順序を形成し、

は定数

に対し

としてしばしば示される。任意の半正定値行列Σについては、

が任意の全ランク行列Ｔとするように記述し、その結果、Σ＝ΤΤ^ｔである。ＴはΣの平方根である。二つの半正定値行列、Σ_１およびΣ_２について、それらのブロック対角連結によって形成される半正定値行列を

として示す。Ｍ^＊はエルミート転置を示す。ＳＶＤを有する行列Ｍの（ムーア－ペンローズ）疑似逆行は、Ｍ＝ＶＤＷはＭ^＋＝ＷＤ^＋Ｖ^＊であり、Ｄ^＋はＤを転置しＭのゼロ以外の特異値をおよび反転することによって与えられる。例えば、Ｔ＝ｓｌおよび共分散Σ＝ｓ^２ｌのために、Ｔ^＋＝ｓ^－１ｌ。（Σの対角線化を使用して、非球面の完全なランクのケースΣ＞０に類似物Ｔ^＋が与えられる。）

Ｃ．格子の背景
ランク

のｎ－次元格子は、

の離散相加部分群である。ｋは線形独立基底ベクトル

を与えられると、Ｂによって生成される格子は、

ｎ、

および係数

を与えられたが、

として示される、ｑ－ａｒｙ格子およびそのコセットを使用することが多い。

格子上にガウスを定義することができる。任意のｓ＞０について、パラメータｓで、ガウス関数を

に定義する。

任意の

、実数ｓ＞０、およびｎ－次元の格子Λについては、離散ガウス分布Ｄ_Λ＋ＣＳを次のように定義する。

下付き文字ｓおよびｃは、省略された場合、１および０（それぞれ）であるとみなされる。

任意の半正定値Σ＝Τ・Τ^ｔの場合、非球面ガウス関数を次のように定義し、

およびすべての

についてρ_Τ（χ）＝０。ρ_Τ（・）は、Σにのみ依存するが、Τの特定の選択には依存しない。そのため、ρ_Τ（・）を

として記述できる。

が非空であるような任意の

、任意の半正定値Σ、およびｎ－次元の格子Λについて、離散ガウス分布

を以下のように定義する。

こうした離散ガウス分布は、格子ガウス分布と呼んでもよい。

平滑化パラメータの定義といくつかの有用な事実が想起される。

定義２．１ ［平滑化パラメータ［ＭＲ０７］］任意の格子Λおよび正の実数ε＞０の場合、平滑化パラメータη_ε（Λ）は、

のように、最小の実数ｓ＞０である。

同じランク

の二つの格子については、高密度の格子は常に、より小さな平滑化パラメータ、すなわち、

を有することに留意されたい。また、平滑化パラメータの非球面ガウスに対する一般化を使用することもできる。

定義２．２ 半正定値Σ＝ΤΤ^ｔ、ε＞０、および

の格子Λについては、

の場合、

と言う。

共分散行列Σ＞０および格子Λが完全ランクである場合、

は、少なくとも

である、

の最小固有値と同等である。

補助定理２．３ ［［ＧＰＶ０８］から結合された平滑化パラメータ］任意のｎ－次元格子（Ｂ）および任意の

関数については、無視してよいε（ｎ）がある。

以下は、非球面ガウスに対する［ＧＰＶ０８，推論２．８］の一般化である。

推論 ２．５ ［コセット上で平滑］Λ、Λ’をｎ－次元格子ｓ．ｔ．

とする。そして、任意のε＞０、

、および

については、

を有する。

補助定理２．６ ［ＰＲ０６，ＭＲ０７］］Ｂをｎ－次元格子の基礎とする。

次に、

。

離散ガウスの線形変換Τに関する以下の一般定理を使用することができる。これは、元の離散ガウスが十分平滑で、Τのカーネルである限り、Τによって変換された分布は、別の離散ガウスに統計的に近いと述べている。

定理２．７ 任意の正定値
Σ、ベクトルｃ、格子コセット

、および線形変換Τについて、格子

が、ｓｐａｎ（Λ_Τ）＝ｋｅｒ（Τ）および

を満たす場合、次いで、

式中

である。Τが単射の場合（すなわち、ｋｅｒ（Τ）が取るに足らない場合）、次に、

であることを指摘する。

Ｄ．ガジェット、またはＧ－格子

を伴う

とする。Ｇは一般的にガジェット行列と呼ばれる。ガジェット行列のｑ－ａｒｙ格子、

は、格子

のｎ個の複製の直接和である。さらに、

は、単純な基礎があり、

式中

は、係数のｂａｒｙ分解、ｑである。ｑ＝ｂ^κの場合、ｑ₀＝ｑ_１＝…＝ｑ_κ―２とｑ_κ－１＝ｂとを設定できる。いずれにしても、

の整数コセットは、符号化理論の用語において、チェック行列と同様にｇ^ｔの症候群として見ることができる。これらのコセットは、ｕが任意のコセットの代表であり得る

として表される。

の単純なコセットの代表的は、ｕのｂ－ａｒｙ分解である。

の整数コセットは、直接和構造を介して表され、

式中、

。以下の問題、ＳＩＳおよびＬＷＥは、行列Ｇ［ＭＰ１２］上で容易に解決できるため、Ｇをガジェット行列と呼ぶ。

例として、基数ｂ＝２、ｑ＝８（および、したがってκ＝3）、およびｎ＝3を含むガジェット行列Ｇを考察する。ガジェット行列は、ｇ^ｔ＝（１，２，２^２）を伴う

と表示されるか、または

次に、ガジェット行列Ｇから最小の冪ｂでｌ列を削減することによって、低減されたガジェット行列Ｆを形成することができる。例えば、ｌ＝１の場合、これは、１を有する任意の列を削除することに対応する。このように、低減されたガジェット行列は、

である。

Ｅ．ＳＩＳおよびＬＷＥ
まず、短整数解（ＳＩＳ）の問題が想起される。

定義２．８ ［ＳＩＳ ［Ａｊｔ９６］］ 任意の

について、以下のように、短整数の解決策の問題ＳＩＳ_{ｎ，ｍ，ｑ}を定義する。

とすると、

のように、非ゼロベクトル

が見つかり、

定義２．９ ［ＩＳＩＳ］ 任意の

について、以下のように、不均一な短整数解の問題ＩＳＩＳ_{ｎ，ｍ，ｑ}を定義する。

とすると、

のように

が見つかり、

補助定理２．１０ ［最悪の場合の格子問題に基づく（Ｉ）ＳＩＳの難しさ［Ａｊｔ９６，ＭＲ０７，ＧＰＶ０８］］ 任意のｍ＝ｐｏｌｙ（ｎ）、任意のβ＞０、および任意の十分に大きい

について、ＩＳＩＳ_{ｎ，ｍ，ｑ，β}または無視できない確率のＩＳＩＳ_{ｎ，ｍ，ｑ}（ａｒｙｙは、

から均一にサンプリングされる）を解くことは、いくつかの近似因子γ＝βについて、圧倒的な確率で任意のｎ次元の格子上でのＧａｐＳＶ Ｐ_γおよびＳＩＶ Ｐ_γを解くのと同じほど難しい。

すべての（Ｉ）ＳＩＳ問題およびそのバリアントは、エルミート標準形（ＨＮＦ）を認め、公開行列Ａは、

である、形態

である。（Ｉ）ＳＩＳのＨＮＦバリアントは、標準（Ｉ）ＳＩＳと同じくらい難しい。これは、（

が無視できない確率で可逆なように、ｎ、ｑと作業してもよい）

として

を書き直すことによって見ることができる。

また、誤差（ＬＷＥ）問題を伴う決定的学習を想起させることもできる。

定義２．１１ ［誤差を伴う決定的学習［Ｒｅｇ０９］］

および係数

、秘密ベクトルの分布、公開行列、および誤差ベクトル

について。ＬＷＥサンプルは、サンプリングｓ←θ^ｎ、Ａ←π^ｎｘｍ、ｅ←χ^ｍ、および出力（Ａ，ｙ^ｔ：＝ｓ^ｔＡ＋Ｅ^ｔｍｏｄｑ）から取得される。

ＬＷＥサンプルを、1/2より大きく、プラス無視できない確率で

として分布されたランダムなサンプルと区別する場合に、アルゴリズムＬＷＥ_{ｎ，ｍ，ｑ，θ，π，χ}が解決すると言う。

補助定理 ２．１２ ［最悪の場合の格子問題に基づくＬＷＥの難しさ［Ｒｅｇ０９，Ｐｅｉ０９，ＢＬＰ＋１３，ＰＲＳ１７］］

とすると、任意のｍ＝ｐｏｌｙ（ｎ）、

。

を、

とし、ここで

。ＬＷＥ_{ｎ，ｍ，ｑ，θ，π，χ}を解読する効率的な（おそらく量子）アルゴリズムが存在する場合、いくつかの近似因子

について、圧倒的な確率で、任意のｎ次元格子上のＧａｐＳＶ Ｐ_γおよびＳＩＶ Ｐ_γを解くための、効率的な（おそらく量子）アルゴリズムが存在する。

次の補助定理は、誤差分布からサンプリングされた秘密を有するＬＷＥが、標準ＬＷＥと同じぐらい難しいことを示す。

補助定理２．１３ ［［ＡＣＰＳ０９，ＢＬＰ＋１３］］］ 補助定理２．１２で選択されたように選択されたｎ、ｍ、ｑ、ｓについて、

は、

に対して

と同じ難しさである。

（Ｉ）ＳＩＳとＬＷＥの問題は類似している。二つの問題のうちの一つについて話すのは都合が良い場合があり、類似の結果がすぐに他方に適用される。それらの一方を壊すことは、他方を倫理的に壊すことになるので、高いレベルでは、それらは同様に難しいとみなされることができる。しかし、低減の現状を注意深く調べると、ＬＷＥが（Ｉ）ＳＩＳよりも強い仮定であることが示唆される。公開行列

に関してＳＩＳの問題を解決する多項式時間アルゴリズムが存在する場合、ｘとＬＷＥチャレンジベクトルｙの内部積を計算することによって、決定的ＬＷＥ問題を破るために、単にＳＩＳ解決策χを使うことができる。一方、ＬＷＥ問題を解決する多項式時間アルゴリズムがあれば、ＳＩＳ［ＳＳＴＸ０９］を解決する、より複雑な多項式時間量子アルゴリズムが知られている。

それにもかかわらず、公開行列

のトラップドアは、［Ａｊｔ９９，ＧＰＶ０８］に、に関する（Ｉ）ＳＩＳとＬＷＥの両方の問題を、効率的に解決できるものとして定義されている。

ＩＩＩ．ＡＪＴＡＩの関数のための近似トラップドア
行列

を与えられると、Ａの近似トラップドアを、Ａに関するＩＳＩＳ問題の近似バージョンを効率的に解決できる任意のものとして定義する。まず、近似ＩＳＩＳ問題を定義する。

定義３．１ （近似ＩＳＩＳ）任意の

と

について、以下のように、近似不均一短整数解の問題Ａｐｐｒｏｘ.ＩＳＩＳ_{ｎ，ｍ，ｑ，α，β}を定義する。

である場合、

というようにベクトル

を見つけ、

を満たすベクトル

がある。

すなわち、検証行列Ａとメッセージ（またはハッシュ）ｙを考えると、近似ＩＳＩＳは、小さな誤差ｚを有するＡｘ＝ｙであるように署名ベクトルｘを見つけるという問題に関連する。近似ＩＳＩＳは、限界が係数と比較して比較的小さい場合、単に自明ではないと指摘する。また、我々の定義では、ゼロベクトルを有効な解決策にすることを選択していて、つまり、

である場合、ゼロベクトルが自明に解決策である。出願における興味深い事例は、すべての

または

から一様にサンプリングされたｙを扱うことであるため、このような選択は問題を引き起こさない。

定義３．２ （近似トラップドア）文字列τは、行列

について（α、β）－近似トラップドアと呼ばれ、τ、Ａおよび任意の

を与えられる多項式時間アルゴリズム（ｎ、ｍ、ｌｏｇｑ）がある場合、

であるように非ゼロベクトル

を出力し、

を満たすベクトル

が存在する。

近似トラップドアの意味をなすために、トラップドアを持たない人に対しては、近似ＩＳＩＳ問題は、パラメータの適切な設定の下での一方向関数候補であると示す。

第一に、（例えば、誤差分布から秘密がサンプリングされるとき）低基準秘密を有する決定的ＬＷＥの難しさの上の、近似ＩＳＩＳの難しさに基づく、かなり明白な減少を観察する。以下の定理記述において、基準記号が分布Ｄに適用されるとき、すなわち

、それは、

のように最小値

を示す。

定理３．３

については、

であるように

にわたり分布する。次に、

証明。Ａｐｐｒｏｘ.ＩＳＩＳ_{ｎ，ｍ，ｑ，α，β}を解読する多項式時間敵Ａがあると仮定すると、決定的なＬＷＥを解読する多項式時間敵Ｂを構築する。

γ＝［α］＋１としてみる。ＬＷＥチャレンジ

を仮定すると、ｗは、ＬＷＥサンプルであるか、または

から均一にサンプリングされるかのいずれかである。Ｂは、ベクトル

をピックし、Ａおよびｙを、近似ＩＳＩＳチャレンジとして敵Ａに送る。Ａは、

であるように

で応答し、

を満たすベクトル

が存在する。

なので、ｘ≠０であるのに留意されたい。

Ｂは次に、ν：＝＜ｗ，ｘ＞を計算する。ｓ←θ^ｎ、e←χ^ｍについてｗ^ｔ＝ｓ^ｔＡ＋ｅ^ｔの場合、次いで、

そうでなければ、νは

上にランダムに均一に分布する。そのため、Ｂはνを閾値と比較することができ、確率１／２を有する無視できない決定的なＬＷＥチャレンジを獲得する。

代替で、近似ＩＳＩＳ問題が、標準ＩＳＩＳと同じぐらい難しいことを証明することもできる。

定理３．４

証明。低減は、ＩＳＩＳのＨＮＦと近似ＩＳＩＳ問題を通過する。適切なパラメータ設定でＩＳＩＳ＝ＨＮＦ．ＩＳＩＳ＝ＨＮＦ．Ａｐｐｒｏｘ．ＩＳＩＳ＝Ａｐｐｒｏｘ．ＩＳＩＳ表示する。

序文に説明されているように、ＩＳＩＳ_{ｎ，ｍ，ｑ，β}＝ＨＮＦ．ＩＳＩＳ_{ｎ，ｍ，ｑ，β}を想起させる。また、定義により任意の

に対して

残りの接続を示したままである。

補助定理３．５

証明。ＨＮＦ．Ａｐｐｒｏｘ．ＩＳＩＳ_{ｎ，ｍ，ｑ，α＋β}を解く多項式時間アルゴリズムＡがあると仮定すると、ＨＮＦ．ＩＳＩＳ_{ｎ，ｍ，ｑ，α＋β}を解く多項式時間アルゴリズムＢを構築する。ＨＮＦ．ＩＳＩＳインスタンス、

とすると、Ｂは、同じインスタンスをＡに渡し、

であるようにベクトルｘを戻す。
式中

。式中、

である

を書く。その後

は、

を満たし、および

。従って、ｘ’は、ＨＮＦ．ＩＳＩＳに対する有効な解である。

補助定理３．６

証明。ＨＮＦ．Ａｐｐｒｏｘ．ＩＳＩＳ_{ｎ，ｍ，ｑ，α，β}を解く多項式時間アルゴリズムＡがあると仮定すると、ＨＮＦ．ＩＳＩＳ_{ｎ，ｎ＋ｍ，ｑ，α，β}を解く多項式時間アルゴリズムＢを構築する。Ｂは、

をＨＮＦ．Ａｐｐｒｏｘ．ＩＳＩＳインスタンスとすると、

をＡに渡し、短いベクトル

を戻す。そして、

は、ＨＮＦ．Ａｐｐｒｏｘ．ＩＳＩＳインスタンスに対する有効な解決策である。

補助定理３．７

証明。ＨＮＦ．Ａｐｐｒｏｘ．ＩＳＩＳ_{ｎ，ｎ＋ｍ，ｑ，α，β}を解く多項式時間アルゴリズムＡがあると仮定すると、Ａｐｐｒｏｘ．ＩＳＩＳ_{ｎ，ｍ，ｑ，α＋β，β}を解く多項式時間アルゴリズムＢを構築する。Ａｐｐｒｏｘ．ＩＳＩＳインスタンスを

とすると、Ｂは、ＡにＨＮＦ．Ａｐｐｒｏｘ．ＩＳＩＳインスタンスとして、

を渡し、

式中

であるような回答

を戻す。

ここで、

である

を書く。式（１）を書き換えると、

従い、ｘ₂は、Ａｐｐｒｏｘ．ＩＳＩＳ_{ｎ，ｍ，ｑ，α＋β，β}に対する有効な解である。

次に、定理３．４は上記の補助定理に続く。

以下の記述は、補助定理３．７の証明のすぐ後に続く。

推論３．８

用の（α、β）－近似トラップドアは、Ａ用の（α＋β、β）－近似トラップドアである。

補助定理３．９

証明。ＨＮＦ．Ａｐｐｒｏｘ．ＩＳＩＳ_{ｎ，ｎ＋ｍ，ｑ，α，β}を解く多項式時間アルゴリズムＡがあると仮定すると、Ａｐｐｒｏｘ．ＩＳＩＳ_{ｎ，ｍ，ｑ，α＋β，β}を解く多項式時間アルゴリズムをＢ構築する。Ａｐｐｒｏｘ．ＩＳＩＳインスタンス、

を与えられた場合、Ｂはまずは

であるかを確認する。その場合は、

であるようなｙ’＝：ｙ＋Δｙを見つける。そうでない場合はｙ’：＝ｙとΔｙ＝０を設定する。次に、ＢはＡにＨＮＦ．Ａｐｐｒｏｘ．ＩＳＩＳインスタンスとして、

を渡し、

式中

であるような回答

を戻す。

ここで、

である

を書く。

なので、ｘ₂は非ゼロ短ベクトルでなければならない。式（２）を書き換えると、

従い、ｘ₂は、Ａｐｐｒｏｘ．ＩＳＩＳ_{ｎ，ｍ，ｑ，２（α＋β），β}に対する有効な解である。

ＩＶ．近似ガジェットトラップドア
［ＭＰ１２］の（タグ行列を含まない）ガジェットベースのトラップドア生成およびプリイメージサンプリングアルゴリズムに基づく、近似トラップドアのインスタンス化を提示する。簡潔に述べると、小整数入力を伴う近似トラップドアＲと共に、入力係数ｑを有する疑似ランダムＡを生成する方法を示す。

このセクションの残りの部分では、まず［ＭＰ１２］からの正確なＧ－トラップドアを想起し、次に、近似トラップドア生成アルゴリズムと、近似プリイメージサンプリングアルゴリズムを提示する。最後に、プリイメージ分布を分析する。分析は、定理２．７（離散ガウスの線形変換）を広範に利用している。

Ａ．ＭＰ１２からＧトラップドアを想起

をＧ格子のベースにする。ｑを係数にしてκ＝［ｌｏｇ_ｂｑ］。典型的には、ｂは簡略化のために２であるように選択されるが、格子ベースのスキームにおける効率のトレードオフのためにより高い基数ｂが使用されることが多い。

ＭＰ１２ガジェット格子トラップドアの手法を想起する。公開行列は、

式中、Ｇは、一般的に使用されるガジェット行列、

であり、Ｒは、小さなランダム入力を有する秘密のトラップドア行列である。Ａは、

の構造およびχの選択に応じて、統計的に均一にランダムまたは疑似ランダムのいずれかに近い（疑似ランダムな場合

は、

が難しいような分布であるように選択される）。この論文では、結果としての公開行列Ａとプレイメージがより小さい寸法を持つため、疑似ランダムなケースに焦点を当てる。

で短い要素をサンプリングするために、トラップドアを使用して、関係式

により、

を表す短いコセットを

を表す短いコセットにマッピングする。

トラップドアを線形変換のみとして使用すると、トラップドアについての情報が漏洩する。したがって、トラップドアを統計的に隠すためにサンプルを摂動させる。Σ_ｐは、σが少なくとも

である

として定義される正定値行列とする。摂動はオフラインで

として計算できる。次いで、ｐに依存したコセット中のＧ格子ベクトルを

としてサンプリングする。最後に、プリイメージは、

であるように設定される。

Ｂ．近似Ｇ－トラップドアのアルゴリズム
序説で述べたように、近似トラップドアを取得する一つの目的は、次数の低い入力なしでガジェット行列を用いてＭＰ１２アルゴリズムを適合させることである。０＜ｌ＜ｋをガジェットベクトル

から削除された次数の低い入力の数にする。結果として得られる近似ガジェットベクトルを

として定義する。ｗ＝ｎ（ｋ－ｌ）を近似ガジェット

の列の数にする。次に、Ａの列の数はｍ：＝２ｎ＋ｗになる。

図７は、トラップドア行列および検証行列を生成するためのアルゴリズム、ならびにガウスガジェット格子分布から値をサンプリングするためのアルゴリズムを示す。

１．アルゴリズム１：ガジェット分布からのサンプリング
アルゴリズム１は、ガジェット行列から導出された格子に基づいてガウス分布からベクトルをサンプリングするためのアルゴリズムを示す。アルゴリズム１は、

から値ν（νは、ベクトルの一つの構成要素であってもよい）を取り込む。ガジェットサンプリングアルゴリズムは、分布の幅を定義するσも取り込む。このアルゴリズムは、図１の送信デバイス１１５などの送信デバイスによって実施され得る。追加で、アルゴリズム１のステップは、図３のプロセスなどの署名生成プロセスの一部として実施され得る。

ステップ７０１では、送信デバイスは、

からのｋ値を含むベクトルｘをサンプリングすることができる。値は、分布Ｄから引き出されてもよい。Ｄは、格子ガウス分布、すなわち、格子上のガウス分布であってもよく、格子は、ガジェット行列および偏差σによって定義されてもよい。分布Ｄは、セクションＩＩ．Ｃにより詳細に記載される。

ステップ７０２では、送信デバイスは、ベクトルｘからの第一のｌエントリを削除し、ベクトルｘの最後のｋ－ｌ入力を中間ベクトルｚとして取り得る。

ステップ７０３で、サンプリングアルゴリズムは、中間ベクトルｚを戻すことができる。

２．アルゴリズム２：トラップドア行列の生成
アルゴリズム２は、トラップドア行列生成アルゴリズムを示す。入力として、このアルゴリズムはセキュリティパラメータλを取り込む。トラップドア生成は、図１の生成デバイス１０５などの生成デバイスによって実行され得る。追加で、アルゴリズム２のステップは、図２のプロセスなどの鍵生成プロセスの一部として実施され得る。

トラップドア行列を生成する前に、生成デバイスは、ガジェット行列Ｇを生成することができる。ガジェット行列Ｇは、各列が、ｋ冪（ｋ＝［ｌｏｇ_ｂｑ］）に対する基数ｂ（例えば、ｂ＝２）の昇冪の一つの値を含む行列であってもよい。ｂの昇冪でｋ列がｎ回繰り返されてもよく、それによりｎ×ｋ行列が生じる。次いで、生成デバイスは、ガジェット行列Ｇの各ｋ列群の第一のｌ列（最小の冪を持つ列）を削除した後に、寸法ｎ×ｗ（ここで、ｗ＝ｎ（ｋ－ｌ）を有する低減されたガジェット行列Ｆを生成することができる。ガジェット行列および低減されたガジェット行列の生成に関する詳細は、セクションＩＩ．Ｄに見出すことができる。

ステップ７１１では、生成デバイスは、係数ｑに対して

にわたる均一な分布からｎ×ｎ均一行列

を無作為にサンプリングすることができる。

ステップ７１２では、生成デバイスは、生成行列

を形成することができる。生成行列

は、均一行列

およびｎ×ｎ恒等行列Ｉ_ｎを連結することによって形成されるｎ×２ｎ行列とすることができる。したがって、

。

ステップ７１３では、近似トラップドアＲを分布χからサンプリングすることができる。近似トラップドアＲは、２ｎ×ｗ行列とすることができる。分布χは、分布

、幅σを有する整数にわたるガウス分布であってもよい。

ステップ７１４では、生成デバイスは、検証行列Ａを形成することができる。検証行列Ａは、

とすることができる。検証行列は、寸法ｎ×ｍを有してもよく、ここで、ｍ＝２ｎ＋ｗ＝２ｎ＋ｎ（ｋ－ｌ）であり、

からの要素を有する。

３．アルゴリズム３：格子ベースの署名の生成
アルゴリズム３は、署名生成アルゴリズムを示す。署名生成アルゴリズムは、検証行列Ａ、トラップドア行列Ｒ、メッセージベクトルｕ、および分布幅ｓを入力として取る。分布幅ｓは、表１の方程式を介した分布幅σに関連し得る。署名生成は、図１の送信デバイス１１５などの、送信デバイスによって実行され得る。追加で、アルゴリズム３のステップは、図３のプロセスなどの署名生成プロセスの一部として実施され得る。

ステップ７２１では、生成デバイスはガウス分布から摂動ベクトルｐをサンプリングする。摂動ベクトルｐの長さはｍである。摂動の共分散は、正確なガジェットベースのトラップドアでのようにトラップドアを隠すように選択される、すなわち、

ステップ７２２では、生成デバイスは、メッセージｕ、検証行列Ａ、および摂動ベクトルｐから格子ベクトルｖを形成することができる。格子ベクトルｖは長さｎを有し、ｖ＝ｕ－Ａｐとして形成される。

ステップ７２３では、生成デバイスは、アルゴリズム１のガジェットサンプリングアルゴリズムを使用して、近似ガジェットプリイメージベクトルｚ（すなわち、中間ベクトル）をサンプリングすることができる。ガジェットサンプリングアルゴリズムは、格子ベクトルｖの各要素についてベクトルｚをサンプリングし、それらを一緒に連結することができ、したがって、総プリイメージベクトルｚ内にｎ（ｋ－ｌ）総要素がある。

ステップ７２４で、生成デバイスは、長さｍ＝２ｎ＋ｗ＝２ｎ＋ｎ（ｋ－ｌ）のベクトルである署名ベクトルｙを形成することができる。摂動ｐは、トラップドア行列Ｒおよびプリイメージベクトルｚの積に追加され得る。トラップドア行列Ｒは寸法２ｎ×ｗを有し、従って、２ｎ＋ｗ×ｗ行列の適切な寸法を有するために、ｗ×ｗ恒等行列上に積み重ねることができる。このスタックに長さｗを有するプリイメージベクトルｚを乗じるので、積は長さ２ｎ＋ｗ＝ｍのベクトルである。

ステップ７２５では、署名生成アルゴリズムは、署名ベクトルｙを戻すことができる。

本セクションの結果は、以下の定理に要約されている。

定理４．１ 確率的、多項式時間アルゴリズムＡｐｐｒｏｘ．ＴｒａｐＧｅｎ（・）およびＡｐｐｒｏｘ．ＳａｍｐｌｅＰｒｅ（・，・，・，・）が存在し、以下を満たす。
１．Ａｐｐｒｏｘ．ＴｒａｐＧｅｎ（ｎ）は、セキュリティパラメータｎを入力し、行列近似トラップドア対

を返す。
２．上記のような近似トラップドアでＡを生成し、ａｐｐｒｏｘ．Ａ^－１（・）は近似プリイメージサンプリングアルゴリズムＡｐｐｒｏｘ．ＳａｍｐｌｅＰｒｅ（Ａ，Ｒ，ｓ・）を示す。以下の二つの分布は、統計的に識別不能である。

および

いずれの

について。
さらに、第二の分布では、Ａは、ランダムな仮定

と計算上区別できない

プリイメージサンプリングアルゴリズムが任意の標的

に対して機能する一方で、近似プレイメージサンプル－コセット対（ｙ、ｕ）が、均一な標的

に対して、近似トラップドアＲを隠していることを照明することができると指摘する。これは、［ＭＰ１２］における正確なガジェットベースのトラップドア設定とは異なり、これは、トラップドアが固定されたｕそれぞれに対して隠されていることを証明するものである。プルーフアイデアの概要では、すべての

のプリイメージ分布を詳細に説明しようとしたときに、プルーフがどこで分解されるかについて説明する。

Ｃ．均一にランダムな標的に対するプリイメージとエラー分布を分析する
このサブセクションは、定理４．１の証明専用である。

は、完全なガジェット行列Ｇの下での、短プリイメージｕ－Ａｐ（ｍｏｄｑ）を示す、すなわちＧｘ＝ｕ－Ａｐ（ｍｏｄｑ）。証明の主なアイデアは、第一に、アルゴリズム４で生成された（ｐ、ｘ）の同時分布が、任意の

に対して統計的に

に近いことを示すことである（これは、必要とするものよりも強い定理である）。次に、（ｐ、ｘ）に線形変換の定理を適用して、ｙおよびｅの分布を取得する。しかし、線形変換の定理を格子コセット

に直接適用することは、技術的な問題につながる。すなわち、定理２．７で要求される中間格子交差Λ_Τは、大きな平滑化パラメータを有する。この問題を回避するには、ｕが均一にランダムであるという条件を使用して、（ｐ、ｘ）が統計的に

近いことを主張する。次に、（ｐ、ｘ）の支持は、

なので、線形変換の定理を適用して、ｙおよびｅの最終的な分布はトラップドアに依存しないことを証明することができる。

形式的には、ε＝ｎｅｇｌ（λ）＞０とする。まず、三つの補助定理を証明する。

補助定理４．２ 任意の

について、最初に

を選択し、その後

を返すランダムなプロセスは、サンプリング

に統計的に近い。

証明。証明は、

および推論２．７から直接継続する。代替で、任意の

について、事実

の二つのアプリケーションを使用することもできる。後者は

を生じる。

補助定理 ４．３ 以下のランダムなプロセスは、任意の

に対して統計的に近く、均一にランダムなコセット

をサンプリングし、その後、誤差

を戻す。または

を戻す。

証明。固定された

の場合、誤差は

として分布される。

補助定理４．２によって、ｕにわたって無作為化することにより、

を与える。次に、定理２．７を適用する。セクション２に示されたＢ_ｑ＝［ｂ_１、…、ｂ_ｋ］を

の基礎とする。次に、Ｌのカーネルが｛ｂ_１、…、ｂ_ｌ－１、ｅ_ｌ、…、ｅ_ｋ－１｝（

は標準ベース

を示すことを想起）によって生成され、

は、これらのベクトルのすべての整数の組み合わせのセットである。Λ_ＬはＬのカーネルをスパンし、Λ_Ｌの平滑化パラメータは、すべてのｉ＝１、…、ｌ－１について

であるため、最大で

である。

としてみる。次に、（アルゴリズム１のＧｓａｍｐ．Ｃｕｔように）

から

の同時分布における切断

を表す線形変換によって与えられる分布を分析し、ｙ：＝ｐ＋Ｒ’ｚを返す。簡略化のため、列をＧ～

に並べ替える。これにより、

について、切断と畳み込みを単純な線形変換ｙ＝Ｌ（ｐ、ｘ）として表すことができる。

補助定理４．４ 任意の

について、

は統計的に

に近い。

証明。範囲と共分散は、即時性がある。次に、定理２．７を使用する。Ｌのカーネルは、

およびａ＝－Ｒ’ｂのすべてのベクトル（ａ、ｂ、ｃ）によって与えられる。整数格子

は、このような整数ベクトルをすべて含むため、

はＬのカーネルに及ぶ。

次に、Λ_Ｌの平滑化パラメータを決定する。Ｒ’にｎｌゼロ列を追加して、

を形成し、

によってスペースを回転する。

この回転は

を生じ、共分散を回転しても固有値に変化しないため、

がある。これは、

が統計的に

に近いことを意味する。

これで、定理４．１を証明する準備ができた。

（定理５．１の）証明 ハイブリッド分布の配列を介して定理５．１を証明する。

を、

から誤差ベクトル

を取得するのに対応する線形変換とする。Ｌを補助定理４．４で使用される線形変換とする。

式ｕ＝ｖ＋Ａｐ＝Ｇｘ＋Ａｐ＝Ｆｚ＋ｅ＋Ａｐ＝ＡＬ（ｐ、ｘ）＋ｅ＝Ａｙ＋ｅ（ｍｏｄｑ）はすべてのハイブリッドに保持されることに留意されたい。差異は、これらのベクトルがサンプリングされる順序および分布にある。最後のハイブリッドを除くすべてのハイブリッドで、Ａが

に対して

として生成される。

実分布：｛（Ａ、ｙ、ｕ、ｅ）｝の実分布は次のとおり。

ハイブリッド１：ここでは、最初の

サンプリングと

設定を行うことにより、ｕとｖのサンプリングの順序を入れ替える。ｘ、ｅ、およびｙは変更しない。

次に、実分布とハイブリッド１は同じである。

ハイブリッド２：均一の

およびＧ格子サンプル

をサンプリングする代わりに、

をサンプリングする。残りは同じままである。

補助定理４．２は、ハイブリッド１とハイブリッド２が統計的に近いことを意味する。

ハイブリッド３：ｐ、ｘを同時分布

に結合する。

ハイブリッド４： ここでは、線形変換の定理をｅ、ｙに適用する。

補助定理４．３および４．４は、Ｈｙｂｒｉｄ３および４が統計的に近いことを意味する。

最終分布：

をサンプリングし、残りのベクトルは、Ｈｙｂｒｉｄ４と同じ分布から保持する（ＡのトラップドアＲは、ｐ、ｘ、ｅおよびｙのサンプリングには使用されていないことに留意されたい）。最終分布は、

であると仮定すると、Ｈｙｂｒｉｄ４と計算上区別できない。
Ｄ．近似Ｇトラップドアから近似カーネルトラップドアへ

である

の形態で

について近似Ｇ－トラップドアを考える。これを、トラップドア機能を保持する、ｍ列の近似カーネル（すなわち、ｎ＋ｍより小さい）に変換する。

変換は、正確なトラップドアにわたって動作する［ＭＰ１２］のものと同様である。

である

を記述する。

を公開行列Ｆの下の、Ａ_１の近似短プリイメージにする、すなわちＦ・Ｗ＝Ａ_１＋Ｅ_１（ｍｏｄｑ）。

をＦの近似カーネル、すなわちＦ・Ｓ＝Ｅ_２（ｍｏｄｑ）（Ｅ_１とＥ_２の両方の基準は小さい）にする。すると、

である。

そして、Ｋは、同時に近似トラップドアであるｍ列（すなわち、ｎ＋ｍよりも低い）のＡの近似カーネルである。

Ｖ．近似トラップドアでインスタンス化されたされたハッシュサイン署名
正確なトラップドアの代わりに、近似Ｇ－トラップドアでインスタンス化された［ＧＰＶ０８］からのハッシュサイン署名スキームの詳細を説明する。

最後のセクションのパラメータを想起する。ｋ＝［ｌｏｇ_ｂｑ］を設定し、

およびｍ＝ｎ（２＋（ｋ－ｌ））であるように、ｌをＧ－トラップドアから削除された入力の数に設定する。

を、それぞれ

のコセットにわたる分布の離散ガウス幅にする。χを

が難しくなるように選択されたトラップドアＲの入力の分布にする。

構築物５．１ 定理４．１の近似トラップドアサンプラ、ランダムオラクルとしてモデル化されたハッシュ関数Ｈ＝｛Ｈ_λ：｛０、１｝^＊→Ｒ_λ｝を考慮して、以下の署名スキームを構築する。
・Ｇｅｎ（１^λ）：鍵生成アルゴリズムは、Ａｐｐｒｏｘ．ＴｒａｐＧｅｎ（１^λ）から（α、β）－近似トラップドアＲと一緒に

をサンプリングできる。Ｈの範囲Ｒ_λを

とする。これはＡを検証行列として出力することができ、Ｒをトラップドア行列（すなわち、秘密署名鍵）として保持することができる。
・Ｓｉｇ（Ｒ、ｍ）：署名アルゴリズムは、メッセージ署名対（ｍ，ｘ_ｍ）が以前に生成されたかどうか確認できる。そうである場合、ｘ_ｍをｍの署名として出力する。そうでない場合、ｕ＝Ｈ（ｍ）を計算し、近似プリイメージｘ_ｍ←Ａｐｐｒｏｘ．ＳａｍｐｌｅＰｒｅ（Ａ，Ｒ，ｕ，ｓ）をサンプリングする。ｘ_ｍを署名として出力し、リストに（ｍ、ｘ_ｍ）を格納する。
・Ｖｅｒ（Ａ、ｍ、ｘ）：検証アルゴリズムは

かどうかを確認する。そうである場合、受諾を出力し、そうでない場合、棄却を出力する。

概念実証署名の実装を提供する。実施形態は、異なるセキュリティレベル（主に約１００ビットおよび１９２ビットのセキュリティ）を標的とする、異なる寸法ｎ、係数ｑ、基数ｂを使用して、いくつかのパラメータ群を使用できる。パラメータの各群では、固定ｎ、ｑ、ｂを使用し、正確なトラップドア（参照実装下）対近似トラップドアの使用を比較する。図８および図９では、パラメータの６つの群が列挙されている。

まず、セキュリティ推定の方法について説明しよう。格子ベースの暗号プリミティブの具体的なセキュリティ推定は、非常に活発な研究分野であり、より高度な方法が最近提案されている。ここでは、比較的単純な方法を使用して、公開鍵の疑似ランダム性（以降、「ＬＷＥセキュリティ」）と、疑似ＩＳＩＳの解読の難しさ（以降、「ＡＩＳセキュリティ」）とを推定する。我々の推定は、最新技術を反映していない可能性があるが、少なくとも、正確なトラップドア対近似トラップドアのパラメータの公正な比較を提供することを指摘したい。

ＬＷＥセキュリティは、ｑ、ｎ、およびトラップドアＲのガウス幅τの選択に依存する。ＬＷＥセキュリティの推定は、低減モデル１［ＡＣＤ＋１８］としてＢＫＺを使用したオンラインＬＷＥビットセキュリティ推定器を用いて行われた。

近似ＩＳＩＳ問題に関して、我々が認識している唯一の直接暗号解析結果は、Ｂａｉらの研究［ＢＧＬＳ１９］であるが、これは我々が関心を持っているパラメータには明確には当てはまらない。代わりに、補助定理３．５の減少に従ってＩＳＩＳ_{ｎ、ｍ、ｑ、α＋β}を通してＡＩＳＩＳを推定するが、そこでは、αとβが誤差ｚおよびプリイメージｘのｌ_２基準の上限である。長さα＋βの格子

のベクトルを見つけるためにＢＫＺが取る操作の数に基づいて、ＩＳＩＳ_{ｎ、ｍ、ｑ、α＋β}のセキュリティレベルを推定する。さらに、列をＡに捨てることができる。ミンコフスキーの定理によると、

は十分ベクトルが短いので、Ａ_２ｎを示した、［ＢＦＲＳ１８］で示すＡの２ｎ列のみを使用することを選択する。［ＡＰＳ１５，ＡＣＤ＋１８］に続いて、ブロックサイズｋにおいて、時間的複雑さ２^{２９２ｋ＋１６．４}を伴うＳＶＰオラクルとしてふるい分けを使用する。ＢＫＺは、寸法２ｎの格子に対して長さδ^２ｎｄｅｔ^１／２ｎのベクトルを返すことが期待されている。したがって、署名

の偽造に対応する必要なδを達成する最小のブロックサイズｋを発見した。最後に、ヒューリスティック

を用いてｋとδとの間の関係を判定し、ＢＫＺの合計時間の複雑さをブロックサイズｋ、寸法２ｎとともに

［Ｃｈｅ１３，ＡＰＳ１５］として設定した。

１００ビットセキュリティの推定については、係数

および基数ｂ＝２の下の正確なトラップドアに対する我々の参照実装は、［ＢＢ１３］で報告されたパラメータに合致する（他の実装［ＢＦＲＳ１８，ＧＰＲ＋１８］のパラメータは、異なる方法で測定される可能性がある）。また、サイズを低減してセキュリティレベルを高めるために、より小さな係数とより大きな基数を使用する。図８および図９のパラメータは、ｑおよびｂのすべての選択について、ｌ＝［（ｌｏｇ_ｂｑ）／２］を設定することにより近似ガジェットトラップドアを使用することは、正確なトラップドアを使用することと比較して、公開鍵および署名のサイズの約半分を節約し、セキュリティ推定のわずかな増加さえも伴うことを示唆している。

我々の実装は、公開鍵と署名のサイズを、１００ビットセキュリティの推定については５ｋＢおよび４．４５ｋＢに、１９２ビットセキュリティの推定については１１．２５ｋＢおよび９．３８ｋＢに低減できることを示す。これらは、棄却サンプリングアプローチ［Ｌｙｕ１２、ＢＧ１４、ＤＫＬ＋１８、ＡＢＢ＋１９］に基づく署名のサイズよりも、まだ大きいが、はるかに近い。参照として、ｑＴＥＳＬＡ［ＡＢＢ＋１９］の公開鍵および署名のサイズは、１２８ビットセキュリティの推定については４．０３ｋＢおよび３．０５ｋＢであり、１９２ビットセキュリティの推定については８．０３ｋＢおよび６．０３ｋＢである。

セキュリティ分析では、定理４．１で証明されたＡｐｐｒｏｘ．ＳａｍｐｌｅＰｒｅによって生成された分布に以下の特性を使用する。
１．均一にランダムな画像の近似プリイメージは、分布Ｄ_ｐｒｅに統計的に近く、分布はＡおよびＲと無関係である。
２．均一にランダムな画像については、誤差ベクトルｅ：＝ｕ－Ａｙ（ｍｏｄｑ）は、分布Ｄ_ｅｒｒに統計的に近く、この分布もまたＡおよびＲと無関係である。

署名が強力なＥＵ－ＣＭＡセキュリティを満たすことを証明するために、標準的なＳＩＳ仮定に基づくことができるＡｊｔａｉの機能に追加の「衝突危険耐性」特性を利用することができる。この特性がなければ、署名スキームが、近似ＩＳＩＳ問題の難しさに基づいて静的セキュリティを満たすことを証明できることを指摘したい。

補助定理５．２ （Ａｊｔａｉの関数の衝突危険耐性） 任意の

について、

を与えられた有能な敵Ａがいる場合、

であるような

を見つける。

そして、

を解決する有能な敵Ｂがいる。

証明。Ｂは、公開行列

で課題

（これは

と同じほど難しい）
を取得すると仮定すると、ＢはＡにＡを送信し、

であるように

を取り戻す。
Ｂは、次に、

を解決策として設定する。ｚは非ゼロで、

を満たす。

定理５．３ 構築６．１は、

の難しさを仮定するランダムオラクルモデルにおける選択されたメッセージ攻撃の下で強く実存的に偽造不可能である。

証明。正確性は、近似トラップドアの機能性に従う。

署名スキームの強力なＥＵ－ＣＭＡを解読する多項式時間敵Ａがいると仮定して、Ａｊｔａｉの関数の衝突危険耐性を解読する多項式時間敵Ｂを構築するが、これは補助定理５．２により、

と同じほど難しい。

まず、Ｂは署名スキームの公開鍵として、Ａｊｔａｉの関数ＡをＡに送信する。Ａが、メッセージｍに関するランダムオラクルクエリを生成し、Ｂはｙ←Ｄ_ｐｒｅサンプリングし、ｕ：＝Ａｙ＋Ｄ_ｅｒｒ（ｍｏｄｑ）をｍ上にランダムオラクル応答として計算する。Ｂはその後Ａにｕを応答し、（ｍ、ｕ）をメッセージ署名対ストレージに、（ｍ、ｙ）をランダムオラクルストレージに格納する。Ａがメッセージｍに対して署名クエリを実行すると（ｗｌｏｇは、その前にｍがランダムオラクルに対してクエリを実行したと推測する。そうでなければ、Ｂはここでクエリを実行できるので）、Ｂはストレージ内で（ｍ、ｙ）を見つけ、署名としてｙを返信する。Ｂによって生成される署名およびハッシュ出力は、分布Ｄ_ｐｒｅおよびＤ_ｅｒｒの特性、ならびに実公開鍵は

の下ではランダムと区別できないという前提により、実物と区別できない。

一般性を失うことなく、Ａが、ｍ^＊に関して署名を偽造しようとする前に、Ａがｍ^＊に関してＨにクエリをしたと仮定する。Ｂが、ランダムオラクルストレージに準備して格納する対を（ｍ^＊、ｕ^＊）として示し、署名ストレージ格納する対を（ｍ^＊、ｙ^＊）として示す。最後に、Ａは、ｍ^＊に偽造された署名としてｙを出力する。従い、

がある。それは、それらを衝突危険対として使用するように、依然としてｙ≠ｙ^＊を証明する。以前に署名オラクルにｍ^＊クエリがあった場合、成功偽造の定義によってｙ≠ｙ^＊であり、以前に署名オラクルにｍ^＊クエリがなかった場合、ｙ^＊はパラメータの設定によってｍｉｎ－ｅｎｔｒｏｐｙが高いため、圧倒的な確率でｙ≠ｙ^＊である。

ＶＩ．コンピュータシステム
本明細書に記述したいずれのコンピュータシステムも、任意の適切な数のサブシステムを利用することができる。こうしたサブシステムの例は、コンピュータ装置７００の図１０に示されている。いくつかの実施形態では、コンピュータシステムは、単一のコンピュータ装置を含み、サブシステムはコンピュータ装置の構成要素であり得る。他の実施形態では、コンピュータシステムは、それぞれが内部構成要素を有するサブシステムである、複数のコンピュータ装置を含み得る。コンピュータシステムは、デスクトップおよびラップトップコンピュータ、タブレット、携帯電話、およびその他の携帯デバイスを含み得る。

図１０に示すサブシステムは、システムバス７５を介して相互接続される。追加のサブシステムには、プリンタ７４、キーボード７８、記憶デバイス（複数可）７９、ディスプレイアダプタ８２に結合されるモニタ７６、およびその他が含まれる。入出力（Ｉ／Ｏ）コントローラ７１に結合する、周辺デバイスおよびＩ／Ｏデバイスは、Ｉ／Ｏポート７７（例えば、ＵＳＢ、Ｆｉｒｅｗｉｒｅ（登録商標））などの当技術分野で既知の任意の数の手段によって、コンピュータシステムに接続することができる。例えば、Ｉ／Ｏポート７７または外部インターフェース８１（例えば、イーサネット、Ｗｉ－Ｆｉなど）を使用して、インターネットなどの広域ネットワーク、マウス入力デバイス、またはスキャナに、コンピュータシステム１０を接続できる。システムバス７５を介した相互接続により、中央プロセッサ７３が、各サブシステムと通信し、サブシステム間の情報の交換だけでなく、システムメモリ７２または記憶デバイス（複数可）７９（例えば、ハードドライブまたは光ディスクなどの固定ディスク）から複数の命令の実行を制御することが可能になる。システムメモリ７２および／または記憶デバイス（複数可）７９は、コンピュータ可読媒体を具現化してもよい。別のサブシステムは、カメラ、マイク、加速度計などのデータ収集デバイス８５である。本明細書に記載されるデータのいずれかを、あるコンポーネントから別のコンポーネントへ出力することができ、ユーザに出力することができる。

コンピュータシステムは、例えば、外部インターフェース８１によって、内部インターフェースによって、またはあるコンポーネントから別のコンポーネントへ接続および取り外しができる取り外し可能記憶デバイスを介して、共に接続される、複数の同じ構成要素またはサブシステムを含み得る。一部の実施形態では、コンピュータシステム、サブシステムまたは装置は、ネットワーク上で通信し得る。そのような例では、一つのコンピュータをクライアント、別のコンピュータをサーバとみなすことができ、各々が、同一のコンピュータシステムの一部であり得る。クライアントおよびサーバは各々、複数のシステム、サブシステムまたは構成要素を含み得る。

実施形態の態様は、ハードウェア回路（例えば、特定用途向け集積回路またはフィールドプログラマブルゲートアレイ）を使用する、および／またはモジュール式のもしくは統合された方式で、一般的なプログラマブルプロセッサを伴うコンピュータソフトウェアを使用する、制御ロジックの形態で実装され得る。本明細書で使用される通り、プロセッサは、シングルコアプロセッサ、同じ集積チップ上のマルチコアプロセッサ、または単一回路基板上もしくはネットワーク上の複数の処理装置ならびに専用ハードウェアを含み得る。本明細書に提供する開示および教示に基づき、当業者は、ハードウェア、およびハードウェアとソフトウェアとの組み合わせを使用して、本発明の実施形態を実装する他のやり方および／または方法を知り、理解するであろう。

本出願に記載のソフトウェア構成要素または機能のいずれも、例えば、従来の技術またはオブジェクト指向の技術を使用する、例えば、Ｊａｖａ、Ｃ、Ｃ＋＋、Ｃ＃、Ｏｂｊｅｃｔｉｖｅ－Ｃ、Ｓｗｉｆｔ、またはＰｅｒｌもしくはＰｙｔｈｏｎのようなスクリプト言語など、いずれの好適なコンピュータ言語を使用してプロセッサによって実行される、ソフトウェアコードとして実装されてもよい。ソフトウェアコードは、記憶および／または送信のために、コンピュータ可読媒体上に一連の命令またはコマンドとして格納されてもよい。好適な非一時的コンピュータ可読媒体としては、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、ハードドライブなどの磁気媒体、またはＣＤ（コンパクトディスク）もしくはＤＶＤ（デジタル多目的ディスク）などの光媒体、フラッシュメモリ、およびこれに類するものが挙げられる。コンピュータ可読媒体は、そのような記憶または送信デバイスのいかなる組み合わせであってもよい。

また、そのようなプログラムはコード化され、送信用に適応したキャリア信号を使用して、インターネットを含む、様々なプロトコルに適合する有線ネットワーク、光ネットワーク、および／または無線ネットワークによって送信されてもよい。このように、コンピュータ可読媒体は、そのようなプログラムでコード化されたデータ信号を使用して作成されてもよい。プログラムコードでコード化されたコンピュータ可読媒体は、互換デバイスでパッケージ化されてもよく、または他のデバイスから（例えば、インターネットのダウンロードによって）別個に提供されてもよい。いかなるそのようなコンピュータ可読媒体も、単一のコンピュータ製品（例えば、ハードドライブ、ＣＤまたはコンピュータシステム全体）上またはその内部にあってもよく、システムもしくはネットワーク内の異なるコンピュータ製品上またはその内部に存在してもよい。コンピュータシステムは、本明細書で言及する結果のいずれかをユーザに提供する、モニタ、プリンタ、または他の好適なディスプレイを含んでもよい。

本明細書に記載の方法のいずれかは、ステップを実行するように構成され得る、一つ以上のプロセッサを含むコンピュータシステムで、全部または部分的に実施され得る。したがって、実施形態は、潜在的にそれぞれのステップまたはそれぞれのステップ群を実施する異なる構成要素を用いて、本明細書に記載の方法のいずれかのステップを実施するように構成されるコンピュータシステムを対象とすることができる。番号付けされたステップとして提示されるが、本明細書の方法のステップは、同時に、または異なる順序で実施され得る。さらに、これらのステップの一部は、他の方法からの他のステップの一部と共に使用されてもよい。また、ステップのすべてまたは一部分は、任意であってもよい。さらに、およびいずれかの方法のステップは、モジュール、回路、またはこれらのステップを実行するための他の手段を用いて実施することができる。

特定の実施形態の具体的な詳細は、本発明の実施形態の精神と範囲から逸脱することなく、任意の好適な方法で組み合わせてもよい。しかしながら、本発明の他の実施形態は、個々の態様に関する特定の実施形態またはこれらの個々の態様の特定の組み合わせを対象としてもよい。

本発明の例示的な実施形態の上記の説明は、例示および説明の目的で提示されている。これは、網羅的であることを意図しておらず、または本発明を記載された正確な形態に限定することを意図しておらず、上記の教示を考慮して多くの修正および変形が可能である。実施形態は、本発明の原理およびその実用的な用途を最もよく説明するために選択および記述され、それによって、当業者が、企図される特定の用途に適した様々な実施形態においておよび様々な修正を用いて、本発明を最も適切に利用することを可能にする。

「一つの（ａ）」、「一つの（ａｎ）」、または「その（ｔｈｅ）」の列挙は、特に反対の指示がない限り、「一つ以上」を意味することを意図している。「または」の使用は、特に反対の指示がない限り、「包含的論理和」を意味し、「排他的論理和」を意味することを意図するものではない。

本明細書で言及したすべての特許、特許出願、刊行物および記載は、あらゆる目的のためにその全体が参照により本明細書に援用される。いずれも先行技術と認められない。

ＶＩＩ．参考文献
[Ajt96]
Miklos Ajtai. Generating hard instances of lattice problems (extended abstract). In STOC, pages 99-108, 1996.
[Ajt99]
Miklos Ajtai. Generating hard instances of the short basis problem. In Jir Wiedermann, Peter van Emde Boas, and Mogens Nielsen, editors, Automata, Languages and Programming, 26th International Colloquium, ICALP’99, Prague, Czech Republic, July 11-15, 1999, Proceedings, volume 1644 of LNCS, pages 1-9. Springer, 1999.
[AAAS+19] Gorjan Alagic, Gorjan Alagic, Jacob Alperin-Sheriff, Daniel Apon, David Cooper, Quynh Dang, Yi-Kai Liu, Carl Miller, Dustin Moody, Rene Peralta, et al. Status Report on the First Round of the NIST Post-Quantum Cryptography Standardization Process. US Department of Commerce, National Institute of Standards and Technology, 2019.
[APS15]
Martin R. Albrecht, Rachel Player, and Sam Scott. On the concrete hardness of learning with errors. J. Mathematical Cryptology, 9(3):169-203, 2015.
[ACD+18]
Martin R. Albrecht, Benjamin R. Curtis, Amit Deo, Alex Davidson, Rachel Player, Eamonn W. Postlethwaite, Fernando Virdia, and Thomas Wunderer. Estimate all the {LWE, NTRU} schemes! In Security and Cryptography for Networks - 11th International Conference, SCN 2018, Amalfi, Italy, September 5-7, 2018, Proceedings, pages 351-367, 2018.
[ABB+19]
Erdem Alkim, Paulo S. L. M. Barreto, Nina Bindel, Patrick Longa, and Jefferson E. Ricardini. The lattice-based digital signature scheme qtesla. IACR Cryptology ePrint Archive, 2019:85, 2019.
[AP11]
Joel Alwen and Chris Peikert. Generating shorter bases for hard random lattices. Theory of Computing Systems, 48(3):535-553, 2011.
[ACPS09]
Benny Applebaum, David Cash, Chris Peikert, and Amit Sahai. Fast cryptographic primitives and circular-secure encryption based on hard learning problems. In Shai Halevi, editor, Advances in Cryptology - CRYPTO 2009, 29th Annual International Cryptology Conference, Santa Barbara, CA, USA, August 16-20, 2009. Proceedings, volume 5677 of LNCS, pages 595-618. Springer, 2009.
[BGLS19]
Shi Bai, Steven D. Galbraith, Liangze Li, and Daniel Sheffield. Improved combinatorial algorithms for the inhomogeneous short integer solution problem. J. Cryptology, 32(1):35-83, 2019.
[BB13]
Rachid El Bansarkhani and Johannes A. Buchmann. Improvement and efficient implementation of a lattice-based signature scheme. In Selected Areas in Cryptography, volume 8282 of Lecture Notes in Computer Science, pages 48-67. Springer, 2013.
[BFRS18]
Pauline Bert, Pierre-Alain Fouque, Adeline Roux-Langlois, and Mohamed Sabt. Practical implementation of ring-sis/lwe based signature and IBE. In PQCrypto, volume 10786 of Lecture Notes in Computer Science, pages 271-291. Springer, 2018.
[CC17]
Ran Canetti and Yilei Chen. Constraint-hiding constrained prfs for nc¹ from LWE. In EUROCRYPT (1), volume 10210 of Lecture Notes in Computer Science, pages 446-476, 2017.
[Che13]
Yuanmi Chen. R’eduction de r’eseau et s’ecurit’e concr’ete du chiffrement compl’etement homomorphe. PhD thesis, Paris 7, 2013.
[dPLS18]
Rafael del Pino, Vadim Lyubashevsky, and Gregor Seiler. Lattice-based group signatures and zero-knowledge proofs of automorphism stability. In Proceedings of the 2018 ACM SIGSAC Conference on Computer and Communications Security, CCS 2018, Toronto, ON, Canada, October 15-19, 2018, pages 574-591, 2018.
[DKL+18]
L’eo Ducas, Eike Kiltz, Tancr’ede Lepoint, Vadim Lyubashevsky, Peter Schwabe, Gregor Seiler, and Damien Stehl’e. Crystals-dilithium: Alattice-based digital signature scheme. IACR Trans. Cryptogr. Hardw. Embed. Syst., 2018(1):238-268, 2018.
[FHK+18]
Pierre-Alain Fouque, Jeffrey Hoffstein, Paul Kirchner, Vadim Lyubashevsky, Thomas Pornin, Thomas Prest, Thomas Ricosset, Gregor Seiler, William Whyte, and Zhenfei Zhang. Falcon: Fast-fourier lattice-based compact signatures over ntru, 2018.
[Gen09]
Craig Gentry. Fully homomorphic encryption using ideal lattices. In STOC, pages 169-178, 2009.
[GGH97]
Oded Goldreich, Shafi Goldwasser, and Shai Halevi. Public-key cryptosystems from lattice reduction problems. In Advances in Cryptology - CRYPTO ’97, 17th Annual International Cryptology Conference, Santa Barbara, California, USA, August 17-21, 1997, Proceedings, pages 112-131, 1997.
[GGH15]
Craig Gentry, Sergey Gorbunov, and Shai Halevi. Graph-induced multilinear maps from lattices. In Theory of Cryptography - 12th Theory of Cryptography Conference, TCC 2015, Warsaw, Poland, March 23-25, 2015, Proceedings, Part II, pages 498-527, 2015.
[GKW17]
Rishab Goyal, Venkata Koppula, and Brent Waters. Lockable obfuscation. In FOCS, pages 612-621. IEEE Computer Society, 2017.
[GPV08]
Craig Gentry, Chris Peikert, and Vinod Vaikuntanathan. Trapdoors for hard lattices and new cryptographic constructions. In STOC, pages 197-206, 2008.
[GS02]
Craig Gentry and Mike Szydlo. Cryptanalysis of the revised ntru signature scheme. In International Conference on the Theory and Applications of Cryptographic Techniques, pages 299-320. Springer, 2002.
[GVW13]
Sergey Gorbunov, Vinod Vaikuntanathan, and Hoeteck Wee. Attribute-based encryption for circuits. In STOC, pages 545-554. ACM, 2013.
[HHSS17]
Shai Halevi, Tzipora Halevi, Victor Shoup, and Noah Stephens-Davidowitz. Implementing bp-obfuscation using graph-induced encoding. In ACM Conference on Computer and Communications Security, pages 783-798. ACM, 2017.
[Lyu12]
Vadim Lyubashevsky. Lattice signatures without trapdoors. In EUROCRYPT, volume 7237 of Lecture Notes in Computer Science, pages 738-755. Springer, 2012.
[MP12]
Daniele Micciancio and Chris Peikert. Trapdoors for lattices: Simpler, tighter, faster, smaller. In Advances in Cryptology - EUROCRYPT 2012 - 31st Annual International Conference on the Theory and Applications of Cryptographic Techniques, Cambridge, UK, April 15-19, 2012. Proceedings, pages 700-718, 2012.
[MR07]
Daniele Micciancio and Oded Regev. Worst-case to average-case reductions based on Gaussian measure. SIAM Journal on Computing, 37(1):267-302, 2007.
[PR06]
Chris Peikert and Alon Rosen. Efficient collision-resistant hashing from worst-case assumptions on cyclic lattices. In Theory of Cryptography, pages 145-166. Springer, 2006.
[Reg09]
Oded Regev. On lattices, learning with errors, random linear codes, and cryptography. J. ACM, 56(6), 2009.
[SSTX09]
Damien Stehle, Ron Steinfeld, Keisuke Tanaka, and Keita Xagawa. Efficient public key encryption based on ideal lattices. In International Conference on the Theory and Application of Cryptology and Information Security, pages 617-635. Springer, 2009.

Claims (34)

1. デジタル署名の検証に使用するための方法であって、生成デバイスによって、
   ガジェット行列Ｇを生成することであって、前記ガジェット行列Ｇの前記列が、基数ｂの昇冪を含む、生成することと、
   低減されたガジェット行列Ｆを生成することであって、前記低減されたガジェット行列Ｆが、前記ガジェット行列Ｇのｌ列を削除することによって生成される、生成することと、
   確率分布をサンプリングして、トラップドア行列Ｒを形成することであって、前記トラップドア行列が、デジタル署名を生成するための秘密鍵として機能する、形成することと、
   前記低減されたガジェット行列Ｆおよび前記トラップドア行列Ｒを使用して、検証行列Ａを生成することと、
   検証デバイスに前記検証行列Ａを送信することであって、前記検証デバイスに、前記検証行列Ａを使用して、送信デバイスによって生成される前記デジタル署名を検証させる、送信することと、を実施することを含む、方法。
2. 前記ガジェット行列Ｇの前記基数ｂが、２である、請求項１に記載の方法。
3. 前記トラップドア行列Ｒがガウス分布からサンプリングされる、請求項１に記載の方法。
4. 前記検証行列Ａを生成することが、
   均一な分布をサンプリングして、均一行列
   

   

   
   を形成することと、
   恒等行列Ｉと前記均一行列
   

   

   
   とを連結することによって生成行列
   

   

   
   を形成することであって、
   

   

   
   である、形成することと、
   前記検証行列Ａを形成することであって、
   

   

   
   である、形成することと、を含む、請求項１に記載の方法。
5. ｌが、係数ｑに対して０～（ｌｏｇ_ｂｑ）／２の範囲であり、前記係数ｑが２^１６～２^２４である、請求項１に記載の方法。
6. 前記ガジェット行列Ｇが、前記基数ｂの昇冪を有するｋ列のリピートｎ個を含み、前記低減されたガジェット行列Ｆを生成することが、前記ガジェット行列Ｇのｋ列の各群から、前記基数ｂの前記最小の冪を有する前記ｌ列を削除することをさらに含む、請求項１に記載の方法。
7. 前記確率分布がガウス分布である、請求項１に記載の方法。
8. 前記検証行列Ａが前記送信デバイスに送信される、請求項１に記載の方法。
9. 前記検証行列Ａが公開される、請求項１に記載の方法。
10. メッセージｍを受信することと、
    検証行列Ａおよびトラップドア行列Ｒを格納することであって、前記トラップドア行列が確率分布をサンプリングすることによって生成される、格納することと、
    （１）前記検証行列Ａを使用して、格子ベクトルｖを形成することと、（２）前記格子ベクトルｖに基づいて分布から中間ベクトルｚをサンプリングすることと、（３）前記署名ベクトルｘが、前記メッセージｍのハッシュｈ（ｍ）、係数ｑ、および誤差ベクトルｅに対する関係Ａｘ＝ｈ（ｍ）＋ｅ ｍｏｄ ｑを満たすように前記中間ベクトルｚおよび前記トラップドア行列Ｒの積から前記署名ベクトルｘを形成することと、によって署名ベクトルｘを生成することと、
    検証デバイスに、前記メッセージｍおよび前記署名ベクトルｘを送信することであって、前記検証デバイスが、前記署名ベクトルｘが前記送信デバイスによって生成されたことを検証するために前記検証行列Ａを保存する、送信することと、を送信デバイスによって実施することを含む、方法。
11. 前記署名ベクトルｘを生成することが、
    前記確率分布から摂動ｐをサンプリングすることと、
    前記メッセージｍ、前記検証行列Ａ、および前記摂動ｐを使用して、前記格子ベクトルｖを、ｖ＝ｍ－Ａｐによって定義される関数への入力として形成することと、
    格子ガウス分布から中間ベクトルｚをサンプリングすることであって、前記格子ガウス分布が、前記格子ベクトルｖから形成される格子に基づく、サンプリングすることと、
    前記トラップドア行列Ｒ、前記摂動ｐ、恒等行列Ｉ、および前記中間ベクトルｚを、
    

    

    
    によって定義される関数に入力することによって、前記署名ベクトルｘを形成することと、を含む、請求項１０に記載の方法。
12. 前記確率分布がガウス分布である、請求項１１に記載の方法。
13. 前記係数ｑが、２^１６～２^２４の間である、請求項１０に記載の方法。
14. 前記署名ベクトルｘが、前記誤差ベクトルｅのサイズが閾値未満であることに基づいて検証される、請求項１０に記載の方法。
15. 前記閾値が、前記ハッシュｈ（ｍ）の寸法である、請求項１４に記載の方法。
16. 前記閾値が、前記係数ｑに対してｑ／４である、請求項１５に記載の方法。
17. 前記誤差ベクトルｅの前記サイズが、前記誤差ベクトルｅのユークリッド長さである、請求項１４に記載の方法。
18. 前記送信デバイスが前記検証行列Ａを生成デバイスから受信する、請求項１０に記載の方法。
19. 前記送信デバイスが前記ハッシュｈ（ｍ）を前記検証デバイスに送信する、請求項１０に記載の方法。
20. 送信デバイスを認証する方法であって、
    検証行列Ａを格納することと、
    前記送信デバイスから、メッセージｍ、および署名ベクトルｘを受信することと、
    前記メッセージｍのハッシュｈ（ｍ）および係数ｑに対する方程式Ａｘ＝ｈ（ｍ）＋ｅ ｍｏｄ ｑを解くことによって、誤差ベクトルｅを計算することと、
    前記誤差ベクトルｅのサイズを定量化することと、
    前記サイズを閾値と比較することと、
    前記誤差ベクトルｅのサイズが前記閾値より小さいことに基づいて、前記署名ベクトルｘを検証することと、を検証デバイスによって実施することを含む、方法。
21. 前記閾値が、前記ハッシュｈ（ｍ）の寸法である、請求項２０に記載の方法。
22. 前記閾値が、前記係数ｑに対してｑ／４である、請求項２０に記載の方法。
23. 前記係数ｑが、２^１６～２^２４の間である、請求項２０に記載の方法。
24. 前記送信デバイスから前記ハッシュｈ（ｍ）を受信することを更に含む、請求項２０に記載の方法。
25. 前記メッセージｍにハッシュ関数を適用することによって、前記ハッシュｈ（ｍ）を生成することをさらに含む、請求項２０に記載の方法。
26. 前記検証行列Ａが、前記送信デバイスから受信される、請求項２０に記載の方法。
27. 前記検証行列Ａが生成デバイスから受信され、前記生成デバイスが前記検証行列Ａを生成する、請求項２０に記載の方法。
28. 前記誤差ベクトルｅの前記サイズを定量化することが、前記誤差ベクトルｅのユークリッド長さを計算することを含む、請求項２０に記載の方法。
29. コンピュータシステムを制御して、請求項１～９のいずれか一項に記載の方法を実施するための複数の命令を格納する、コンピュータ可読媒体を備える、コンピュータ製品。
30. 請求項２９に記載の前記コンピュータ製品と、
    前記コンピュータ可読媒体上に格納された命令を実行するための一つ以上のプロセッサと、を備える、システム。
31. コンピュータシステムを制御して、請求項１０～１９のいずれか一項に記載の方法を実施するための複数の命令を格納する、コンピュータ可読媒体を備える、コンピュータ製品。
32. 請求項３１に記載の前記コンピュータ製品と、
    前記コンピュータ可読媒体上に格納された命令を実行するための一つ以上のプロセッサと、を備える、システム。
33. コンピュータシステムを制御して、請求項２０～２８のいずれか一項に記載の方法を実施するための複数の命令を格納する、コンピュータ可読媒体を備える、コンピュータ製品。
34. 請求項３３に記載の前記コンピュータ製品と、
    前記コンピュータ可読媒体上に格納された命令を実行するための一つ以上のプロセッサと、を備える、システム。

Images