容错学习问题(LWE)

所谓容错学习问题是指:已知b_i\textbf{a}_i,求出\textbf{s},未知的n维向量\textbf{s} \in \textbf{z}^{n}_{p},有b_i=\textbf{s}\cdot \textbf{a}_i+e_i \mod p 成立(i>0),其中每个e_i是从高斯分布(也可以是其他分布)中独立采样的随机数,\textbf{a}_i是从\textbf{z}^n_p中随机选取的。

若错误e的分布\chi,可将该问题记为LWE_{p,\chi}

容错学习问题是一个抗量子的困难问题,也就是说不能找到一个多项式时间算法,可以解出\textbf{s}.该问题可以归约到GAPSVP和SIVP问题上。(SVP最短向量问题的特殊情况)

该问题的困难性取决于n,也就是\textbf{s}的维度。目前最好的算法需要2^{O(n)}的复杂度。

不妨设\textbf{b}的维度为m,则可描述为\textbf{b}=\textbf{A} \textbf{s}+\textbf{e},则另一种描述为,\textbf{b}\textbf{e}是概率不可区分的。也就是说,\textbf{b}\textbf{e}​​​​​​​最多只能都以一个很小的概率区分。

当其元素为环上的元素时,LWE问题则变为RLWE(Ring-LWE)问题,可以证明的是RLWE至少也是跟LWE一样困难的。

猜你喜欢

转载自blog.csdn.net/watqw/article/details/122697281