Gitter und Kryptographie - Goethe-Universität

Kapitel 2
Minkowski-Sätze,
Hermite-Konstante
Die sukzessiven Minima λ 1 ≤ ... ≤ λ n eines Gitters der Dimension n sind wichtige geometrische
Invarianten. Eine Gitterbasis b 1 , ..., b n gilt als “stark reduziert“, wenn ‖b i || nicht viel grösser ist
als λ i
√
i. Für Gitter L der Dimension n gilt λ
2
1 ≤ γ n det(L) 2/n , dabei ist γ n die Hermite-Konstante.
2.1 Sukzessive Minima und erster Satz von Minkowski
Sukzessive Minima. Eine allgemeine Norm ‖·‖ : R m → R ≥0 ist durch ihren Eichkörper
K = {x ∈ R m | ‖x‖ ≤ 1} definiert. K ⊂ R m ist eine beliebige kompakte, konvexe, nullsymmetrische
Menge. Es gilt ‖x‖ = min{r ∈ R ≥0 | x ∈ rK}. Der Eichkörper der l 2 -Norm ist die Einheitskugel
B m (0, 1), der Eichkörper der sup-Norm l ∞ ist der Würfel mit Seitenlängen 2.
Die sukzessiven Minima λ 1 , . . . , λ n des Gitters L ⊂ R m der dim L = n zur Norm ‖·‖ sind
{
}
λ i = λ i (L) := inf r > 0
∃ linear unabhängige a 1 , . . . , a i ∈ L
∣
.
mit ‖a 1 ‖, ..., ‖a i ‖ ≤ r.
Offenbar gilt λ 1 ≤ λ 2 ≤ · · · ≤ λ n . Die Definition der sukzessiven Minima geht auf H. Minkowski
zurück. Wenn nicht anders vermerkt bezieht sich λ i stets auf die Euklidische Norm, λ i,∞ (L) bezieht
sich auf die sup-Norm ‖ ‖ ∞ . Die sukzessiven Minima zur Euklidischen Norm sind geometrische
Invarianten, sie bleiben bei isometrischen Transformationen erhalten. Die Größe λ 1,∞ (L) ist keine
geometrische Invariante. Für Gitter L ⊂ R m und x ∈ R m gilt ‖x‖ ∞
≤ ‖x‖ ≤ √ m ‖x‖ ∞
.
Die sukzessiven Minima sind Maßstab für die Reduziertheit einer Gitterbasis. Eine Basis gilt
als ”
reduziert“, wenn die Größen ‖b i ‖ /λ i für i = 1, . . . , n ”
klein“ sind. Für reduzierte Basen sind
deren Vektoren nahezu orthogonal. Im allgemeinen gibt es keine Basis b 1 , . . . , b n mit ‖b i ‖ = λ i
für i = 1, . . . , n. Für das Gitter L := Z n + Z ( 1 2 , . . . , 1 2 )t gilt offenbar λ 1 = λ 2 = · · · = λ n = 1 für
n ≥ 4. Für n ≥ 5 gibt es aber keine Basis bestehend aus Vektoren der Länge 1.
Lemma 2.1.1 (Blichfeldt 1914)
Sei L Gitter und S ⊂ span(L) kompakt mit vol(S) ≥ det L. Dann gibt es ein b ∈ L \ {0} mit
S ∩ (S + b) ≠ ∅, d.h. es existieren x, y ∈ S mit x − y ∈ L \ {0}.
Beweis. Zu i ∈ N sind die Mengen ( 1 + 1 i
)
S + b mit b ∈ L nicht paarweise disjunkt, weil das
Volumen von ( 1 + 1 i
)
S das der Grundmasche übersteigt. Zu jedem i gibt es ein bi ∈ L \ {0}, so
dass der folgende Durchschnitt nicht leer ist und somit ein y i enthält:
17