Gitter und Kryptographie - Goethe-Universität

44KAPITEL 5. LÖSEN VON SUBSETSUM-PROBLEMEN DURCH KURZE GITTERVEKTOREN
beliebig klein, wenn nur die Dichte d hinreichend klein ist.
Dichte d des Subsetsum-Problems
d :=
n
log 2 ( max
i=1,...,n a i)
und somit
max
i=1,...,n a i = 2 n/d .
Für Dichte d ≫ 1 gibt es bei zufälliger Wahl der Gewichte a 1 , . . . , a n “in der Regel“ viele
Lösungen. Am schwierigsten gelten zufällige Subsetsum-Probleme mit Dichte nahe bei 1.
In kleiner Dimension n findet man einen kürzesten Gittervektor durch Gitterbasenreduktion
siehe [SH95, SE94]. Dies führt zu Angriffen auf Krypto-Schemata, die auf Subsetsum-Problemen
basieren. C.P. Schnorr und H.H. Hörner [SH95] haben das Chor-Rivest-System [CR88] mittels
Gitterreduktion angegriffen.
5.2 Die Lagarias-Odlyzko-Gitterbasis
J.C. Lagarias und A.M. Odlyzko [LaOd85] schlagen die folgende Gitterbasis B vor um das Subsetsum-
Problem durch ein SVP-Orakel zu L(B) zu lösen. Die letzte Zeile von B wird von uns zur Beweisvereinfachung
hinzugefügt. Wir überarbeiten die Darstellung von [CJLOSS92].
(5.1)
⎡
⎤
1 0 · · · 0 0
0 1 0 0
.
B = [b 1 , · · · , b n+1 ] :=
.
.. . .
∈ Z (n+2)×(n+1)
⎢ 0 0 1 0
⎥
⎣Na 1 Na 2 · · · Na n Ns⎦
0 0 · · · 0 1
und L(B) = L LO sei das zugehörige Gitter. Die Lösung e ∈ {0, 1} n von ∑ n
i=1 x ie i = s liefert den
Lösungsvektor
(5.2)
ê := ( ∑ n
i=1 e ib i
)
− bn+1 = (e 1 , . . . , e n , 0, −1) t ∈ L LO .
Entweder e oder e = 1 − e, die Lösung zum inversen Subsetsum-Problem, hat höchstens n/2
Einsen und liefert damit einen Lösungsvektor in L LO der Länge ≤ √ n/2 + 1. Für jeden Vektor
̂x = (x 1 , ..., x n+1 , −y) ∈ L LO mit ‖̂x‖ = λ 1 gilt somit für N ≥ √ n/2: ∑ i≠n+1 |x i| ≥ 2, x n+1 = 0.
Satz 5.2.1
Für n > n 0 und N ≥ √ n/2 werden fast alle lösbare Subsetsum-Probleme zu (a 1 , . . . , a n ) ∈ [1, A] n
der Dichte d < 0, 6463 durch jeden Vektor der Länge λ 1 von L LO für s oder s = t − s gelöst.
Beweis. Sei ‖e‖ 2 ≤ n/2. Das SVP-Orakel liefere den Gittervektor ̂x := ∑ n
i−1 x ib i − yb n+1 der
Länge λ 1 mit y ≥ 0. Löst ̂x das Subsetsum-Problem nicht so gilt
(5.3)
‖̂x‖ = λ 1 ≤ √ n/2 + 1, ̂x ≠ ê.
Wir analysieren die Wahrscheinlichkeit des Misserfolgs
P (n) := Ws[ Es existiert ein ̂x ∈ L CJLOSS mit (5.3)]
bezüglich zufälliger (a 1 , . . . , a n ) ∈ R [1, A] n . Für N ≥ √ n/2 wurde oben gezeigt dass x n+1 = 0
und somit ∑ n
i=1 a ix i = ys. Offenbar gilt 0 ≤ y < λ 1 ≤ √ n/2 + 1. Wir setzen x := (x 1 , ..., x n ).