Gitter und Kryptographie - Goethe-Universität

3.2. REDUKTIONSVERFAHREN FÜR DIE EUKLIDISCHE NORM 27
Algorithmus 3.2.1 Gauß-Reduktionsverfahren für die Euklidische Norm
EINGABE :
Gitterbasis b 1 , b 2 ∈ R n mit ‖b 1 ‖ ≤ ‖b 2 ‖
WHILE |µ 2,1 | > 1 2 DO /∗ µ2,1 = b⊤ 1 b 2‖b 1‖ −2 ∗/
1. b 2 := b 2 · sign(µ 2,1 ) /∗ wir erreichen µ 2,1 ≥ 0 ∗/
2. b 2 := b 2 − ⌈µ 2,1 ⌋b 1
3. IF ‖b 1 ‖ > ‖b 2 ‖ THEN vertausche b 1 und b 2
AUSGABE : Reduzierte Basis b 1 , b 2
Eine Runde der Schritte 1. 2. 3. sichert in Schritt 1. durch Vorzeichenwahl von b 2 dass
µ 2,1 ≥ 0, reduziert in Schritt 2. gemäß b 2 := b 2 − ⌈µ 2,1 ⌋b 1 und vertauscht in Schritt 3. sofern
nicht schon ‖b 1 ‖ ≤ ‖b 2 ‖ gilt. Nach Schritt 1. gilt stets ‖b 1 ‖ ≤ ‖b 2 ‖ und µ 2,1 ≥ 0. Die Schritte 2.
3. lauten bei Vertauschung in Matrizenschreibweise
[ ]
−⌈µ2,1 ⌋ 1
[b 1 , b 2 ] := [b 1 , b 2 ]
.
1 0
In Schritt 3. wird bis auf die letzte Runde notwendigerweise vertauscht.
Zu gegebener reduzierten Ausgabebasis b 1 , b 2 und Rundenzahl k der Gauß-Reduktion identifizieren
wir eine minimale Eingabebasis, welche in k Runden auf b 1 , b 2 reduziert wird. Die Minimalität
der Basis bedeutet, dass ihre Vektoren minimale Länge haben. Eine solche Eingabebasis
heißt eine minimale k-te Vorgängerbasis zu b 1 , b 2 .
Satz 3.2.1
1. Zur reduzierten Basis b 1 , b 2 und Rundenzahl k ist [b 1 , b 2 ] A k minimale k-te Vorgängerbasis
[ ] [ ] k−2 [ ]
0 1 0 1 0 1
mit A k = def .
1 1 1 2 1 1
2. Algorithmus 3.2.1 macht zur Eingabe b 1 , b 2 höchstens log √
1+ 2
(‖b 1 ‖ /λ 2 ) + 2.54 Runden.
Wohlgeordnete Basis. Eine Basis b 1 , b 2 heißt wohlgeordnet wenn ‖b 1 ‖ ≤ ‖b 1 − b 2 ‖ < ‖b 2 ‖.
Dies ist für die Euklidischen Norm äquivalent zu 0 < µ 2,1 ≤ 1 2 , ‖b 1‖ < ‖b 2 ‖. In Schritt 1. wird
also eine wohlgeordnete Basis erzeugt, es sei denn die Basis ist schon reduziert. Offenbar gelten
folgende Aussagen.
Lemma 3.2.2
Für jede nicht reduzierte Basis mit ‖b 1 ‖ ≤ ‖b 2 ‖ ist genau eine der Basen b 1 , ±b 2 wohlgeordnet.
Lemma 3.2.3
Wendet man die Schritte 2. 3. an auf zwei aquivalente Basen b 1 , b 2 und b ′ 1, b ′ 2, so bleibt die
Äquivalenz erhalten.
Wegen Lemma 3.2.3 gibt es zu gegebener reduzierten Basis eine minimale k-te Vorgängerbasis,
bei deren Reduktion das Vorzeichen von b 2 in Schritt 1. nie verändert wird. Dies folgt aus dem
Lemma, weil äquivalente Basen in der Länge der Vektoren gleich sind.
Die Gauß-Reduktion mit k Runden erzeugt in Schritt 1. eine Folge wohlgeordneter Basen
(b k+1 , b k+2 ), (b k , b k+1 ), . . . , (b 2 , b 3 ) und schließlich die reduzierte Basis (b 1 , b 2 ). Bleibt das Vor-