Sie sind auf Seite 1von 60

Master-Kolloquium

3

Komplexit¨atstheoretische Betrachtungen von gitterbasierten Kryptografiesystemen

Patrick Vogt

Hochschule RheinMain

4. September 2013

Master-Kolloquium

.

¨

Ubersicht

1
1

Einfuhrung¨

2
2

Grundlagen

3
3

Berechnungsprobleme in Gittern

4
4

Komplexit¨at der Gitterprobleme

5
5

Gitterbasierte Kryptografieverfahren

6
6

Fazit

Master-Kolloquium

1

Master-Kolloquium 1 Einfuhrung¨ Einfuhrung¨ 3

Einfuhrung¨

Einfuhrung¨

Master-Kolloquium

4

Master-Kolloquium 4 Einfuhrung¨ Asymmetrische Kryptografie Alice Bob verschlusselt¨ Bobs ¨ o ff e n t l

Einfuhrung¨

Asymmetrische Kryptografie

Alice

4 Einfuhrung¨ Asymmetrische Kryptografie Alice Bob verschlusselt¨ Bobs ¨ o ff e n t l i

Bob

4 Einfuhrung¨ Asymmetrische Kryptografie Alice Bob verschlusselt¨ Bobs ¨ o ff e n t l i

verschlusselt¨

Bobs ¨oentlichen Schlussel¨

Nachricht mit

sendet verschlusselte¨

Nachricht an Bob

entschlusselt¨

Nachricht mit

Nachricht an Bob entschlusselt¨ Nachricht mit seinem privaten Schlussel¨ Abbildung : Die Ver- und

seinem privaten Schlussel¨

Abbildung : Die Ver- und Entschlusselung¨ Kryptografieverfahrens.

mithilfe eines asymmetrischen

Master-Kolloquium

1

Master-Kolloquium 1 Einfuhrung¨ Einwegfunktionen mit Falltur¨ Zentraler Baustein eines asymmetrischen

Einfuhrung¨

Einwegfunktionen mit Falltur¨

Zentraler Baustein eines asymmetrischen Krpytografieverfahrens ist eine Einwegfunktion mit Falltur¨ .

D.h.:

x → f ( x ) - ” relativ“ leicht.

x

f (x)

-

relativ“

leicht.

f ( x ) → x - ” relativ“ schwierig (ohne Fallturinformation).¨

f (x) x - relativ“ schwierig (ohne Fallturinformation).¨

Beispiele (u. a.):

Telefonbuchf ( x ) → x - ” relativ“ schwierig (ohne Fallturinformation).¨ Beispiele (u. a.): Primfaktorzerlegung

Primfaktorzerlegungleicht. f ( x ) → x - ” relativ“ schwierig (ohne Fallturinformation).¨ Beispiele (u. a.):

Master-Kolloquium

5

Master-Kolloquium 5 Einfuhrung¨ Post-Quantum Kryptografie RSA basiert auf der Primfaktorzerlegung → mithilfe eines

Einfuhrung¨

Post-Quantum Kryptografie

RSA basiert auf der Primfaktorzerlegung mithilfe eines Quantumcomputers in P l¨osbar.

(Noch nicht effiziente) Alternativen:

Hash-basierte Kryptografiein P l¨osbar. (Noch nicht effiziente) Alternativen: Codebasierte Kryptografie Gitterbasierte Kryptografie

Codebasierte Kryptografienicht effiziente) Alternativen: Hash-basierte Kryptografie Gitterbasierte Kryptografie Warum schon heute nach

Gitterbasierte KryptografieAlternativen: Hash-basierte Kryptografie Codebasierte Kryptografie Warum schon heute nach Nachfolger(n) suchen? 6

Warum schon heute nach Nachfolger(n) suchen?

Master-Kolloquium

9

Master-Kolloquium 9 Grundlagen Grundlagen 7

Grundlagen

Grundlagen

Master-Kolloquium

2

Master-Kolloquium 2 Grundlagen Gittertheorie: Einfuhrung¨ L( b 1 , b 2 , , b n )

Grundlagen

Gittertheorie: Einfuhrung¨

L( b 1 , b 2 , , b n ) = def {x 1
L( b 1 , b 2 ,
, b n ) = def
{x 1 b 1 +x 2 b 2 +···+x n b n }, x 1 , x 2 ,
b
2 b
1
b 2
0
b 1
Lineare Hulle:¨
span(L(B)) = span(B) = def {B q : q ∈ R n } .

, x n Z

Master-Kolloquium

6

Master-Kolloquium 6 Grundlagen ¨ Gittertheorie: Aquivalenz Gitter k¨onnen in Relation stehen: b 2 0 b 1

Grundlagen

¨ Gittertheorie: Aquivalenz Gitter k¨onnen in Relation stehen: b 2 0 b 1
¨
Gittertheorie:
Aquivalenz
Gitter k¨onnen in Relation stehen:
b 2
0
b 1

¨

L(B)

b 2 0 b 1 L(B )
b
2
0
b
1
L(B )

Aquivalent, wenn L(B) ⊆ L(B ) und L(B ) ⊆ L(B)

oder B = B · U mit U Z n×n und | det(U)| = 1.

Master-Kolloquium

5

Master-Kolloquium 5 Grundlagen Gittertheorie: Grundmasche P(B) = def {s 1 b 1 + s 2 b

Grundlagen

Gittertheorie: Grundmasche

P(B) = def {s 1 b 1 + s 2 b 2 + ··· +
P(B) = def {s 1 b 1 + s 2 b 2 + ··· + s n b n }, s 1 , s 2 ,
, s n ∈ [0, 1)
b 2
P(B)
0
b 1

Master-Kolloquium

3

Master-Kolloquium 3 Grundlagen Gittertheorie: Grundmasche P(B) = def {s 1 b 1 + s 2 b

Grundlagen

Gittertheorie: Grundmasche

P(B) = def {s 1 b 1 + s 2 b 2 + ··· +
P(B) = def
{s 1 b 1 + s 2 b 2 + ··· + s n b n }, s 1 , s 2 ,
, s n ∈ [0, 1)
P(B )
b
2 b
1
b 2
P(B)
0
b 1

Master-Kolloquium

5

Master-Kolloquium 5 Grundlagen Gittertheorie: Grundmasche Die Grundmasche hat folgende Eigenschaften: sie enth¨alt

Grundlagen

Gittertheorie: Grundmasche

Die Grundmasche hat folgende Eigenschaften:

sie enth¨alt stets genau einen GittervektorGrundmasche Die Grundmasche hat folgende Eigenschaften: sie spannt gemeinsam mit allen Gittervektoren die lineare

sie spannt gemeinsam mit allen Gittervektoren die lineareEigenschaften: sie enth¨alt stets genau einen Gittervektor Hulle¨ des Gittes auf sie hat das Volumen |

Hulle¨

des Gittes auf

sie hat das Volumen | det( B T · B ) | | det(B T · B)|

Das Volumen der Grundmasche wird auch als Gitterdeterminante det(L(B)) bezeichnet.

Master-Kolloquium

8

Master-Kolloquium 8 Grundlagen Gittertheorie: Satz von Blichfeldt Satz Fur¨ jedes Gitter L ( B ) und

Grundlagen

Gittertheorie: Satz von Blichfeldt

Satz

Fur¨ jedes Gitter L(B) und jede Teilmenge S span(B) gilt:

Wenn S das Volumen vol(S) > det(L) besitzt, so mussen¨ mindestens zwei unterschiedliche Vektoren q 1 , q 2 S existieren, sodass q 1 q 2 (L\{ 0}) ist.

Beweis.

(siehe Thesis)

(siehe Thesis)

Master-Kolloquium

9

Master-Kolloquium 9 Grundlagen Gittertheorie: Satz von Minkowski Folgerung Fur¨ jedes Gitter L ( B ) und

Grundlagen

Gittertheorie: Satz von Minkowski

Folgerung

Fur¨ jedes Gitter L(B) und jede beliebige konvexe Menge S span(B), die symmetrisch um den Ursprung des Gitters L ist, gilt:

Wenn vol(S) > 2 n det(L) ist, dann enth¨alt S mindestens einen Gittervektor v (S ∩ L\{ 0}).

Master-Kolloquium

7

Master-Kolloquium 7 Grundlagen Gittertheorie: Satz von Minkowski Beweis. S 15

Grundlagen

Gittertheorie: Satz von Minkowski

Beweis.

S
S

Master-Kolloquium

9

Master-Kolloquium 9 Grundlagen Gittertheorie: Satz von Minkowski Beweis. S S 16

Grundlagen

Gittertheorie: Satz von Minkowski

Beweis.

S S
S
S

Master-Kolloquium

3

Master-Kolloquium 3 Grundlagen Gittertheorie: Satz von Minkowski Beweis. 0 S S 17

Grundlagen

Gittertheorie: Satz von Minkowski

Beweis.

0 S S

0

S

S

Master-Kolloquium

2

Master-Kolloquium 2 Grundlagen Gittertheorie: Satz von Minkowski Beweis. q 1 0 S S 18

Grundlagen

Gittertheorie: Satz von Minkowski

Beweis.

q 1 0 S S
q 1
0
S
S

Master-Kolloquium

3

Master-Kolloquium 3 Grundlagen Gittertheorie: Satz von Minkowski Beweis. q 1 q 2 0 S S 19

Grundlagen

Gittertheorie: Satz von Minkowski

Beweis.

q 1 q 2 0 S S
q 1
q 2
0
S
S

Master-Kolloquium

8

Master-Kolloquium 8 Grundlagen Gittertheorie: Satz von Minkowski Beweis. 2 q 1 q 1 q 2 0

Grundlagen

Gittertheorie: Satz von Minkowski

Beweis.

2 q 1 q 1 q 2 0 S S
2 q
1
q 1
q 2
0
S
S

Master-Kolloquium

4

Master-Kolloquium 4 Grundlagen Gittertheorie: Satz von Minkowski Beweis. 2 q 1 q 1 q 2 0

Grundlagen

Gittertheorie: Satz von Minkowski

Beweis.

2 q 1 q 1 q 2 0 −2 q 2 S S
2 q
1
q 1
q 2
0
−2
q
2
S
S

Master-Kolloquium

6

Master-Kolloquium 6 Grundlagen Gittertheorie: Satz von Minkowski Beweis. 2 q 1 q 1 q 2 0

Grundlagen

Gittertheorie: Satz von Minkowski

Beweis.

2 q 1 q 1 q 2 0 −2 q 2 S S
2 q
1
q 1
q 2
0
−2
q
2
S
S

Master-Kolloquium

2

Master-Kolloquium 2 Grundlagen Gittertheorie: Satz von Minkowski Beweis. 2 q 1 q 1 q 2 0

Grundlagen

Gittertheorie: Satz von Minkowski

Beweis.

2 q 1 q 1 q 2 0 −2 q 2 S S
2 q
1
q 1
q 2
0
−2
q
2
S
S

Master-Kolloquium

6

Master-Kolloquium 6 Grundlagen Gittertheorie: Satz von Minkowski Beweis. 2 q 1 q 1 q 2 q

Grundlagen

Gittertheorie: Satz von Minkowski

Beweis.

2 q 1 q 1 q 2 q 1 − q 2 0 −2 q
2 q
1
q 1
q 2
q 1 −
q
2
0
−2 q 2
S
S

Master-Kolloquium

4

Master-Kolloquium 4 Grundlagen Gittertheorie: Satz von Minkowski Beweis. 2 q 1 q 1 q 2 q

Grundlagen

Gittertheorie: Satz von Minkowski

Beweis.

2 q 1 q 1 q 2 q 1 − q 2 0 −2 q
2 q
1
q 1
q 2
q 1 −
q
2
0
−2 q 2
S
S

Master-Kolloquium

3

Grundlagen Satz von Minkwoski b 2 0 b 1
Grundlagen
Satz von Minkwoski
b 2
0
b 1

Master-Kolloquium

3

Master-Kolloquium 3 Grundlagen Distanzen und L¨angen in Gittern Distanz von Gittervektoren → abh¨angig von

Grundlagen

Distanzen und L¨angen in Gittern

Distanz von Gittervektoren abh¨angig von induzierter Norm.

p-Norm fur¨ ein Vektor v R m bzw. h¨aufige Spezialf¨alle:

 

m

1 ( v) = v 1 =

|v i |

(Summennorm)

i=1

m

2

2 ( v) = v =

i=1

|v i | 2

(Euklidische Norm)

( v) = v = lim

p v p = max |v i |

i=1

m

(Maximumsnorm)

Master-Kolloquium

8

Master-Kolloquium 8 Grundlagen Die Konstanten λ 1 , λ 2 , , λ n heißen sukzessive

Grundlagen

Die Konstanten λ 1 , λ 2 ,

, λ n heißen sukzessive Minima (des

Gitters) und λ 1 entspricht dem kurzesten¨ Vektor (im Gitter). λ 1 λ 2 0
Gitters) und λ 1 entspricht dem kurzesten¨
Vektor (im Gitter).
λ 1
λ 2
0

Folgerung

Sei L ein Gitter, so gilt: λ 1 < n · det(L) .

n

Master-Kolloquium

3

Master-Kolloquium 3 Grundlagen Gram-Schmidt Orthogonalisierung Satz Die Basisvektoren b 1 , b 2 ,

Grundlagen

Gram-Schmidt Orthogonalisierung

Satz

Die Basisvektoren b 1 , b 2 , k¨onnen durch

, b n R m des Gitters L( b 1 , b 2 ,

, b n )

 

i1

p o j ( b i ) , p o j ( b i ) =

b i , o j

o j , o j

 

o i = b i

j=1

o j und i ∈ {1, 2,

, n},

in eine Orthogonalbasis o 1 , o 2 , werden.

, o n (von R m ) transformiert

Beweis.

(siehe bel. Lineare Algebra-Buch)

 
(siehe bel. Lineare Algebra-Buch)  

Master-Kolloquium Berechnungsprobleme in Gittern

Master-Kolloquium Berechnungsprobleme in Gittern 2

2

Berechnungsprobleme in Gittern

Master-Kolloquium Berechnungsprobleme in Gittern

Master-Kolloquium Berechnungsprobleme in Gittern 7

7

Effiziente Gitterprobleme - u. a.:

MEMBERSHIPBerechnungsprobleme in Gittern 7 Effiziente Gitterprobleme - u. a.: LENGTH DISTANCE b 2 b 1 b

LENGTHBerechnungsprobleme in Gittern 7 Effiziente Gitterprobleme - u. a.: MEMBERSHIP DISTANCE b 2 b 1 b

DISTANCE b 2 b 1 b 2 0 b 1
DISTANCE
b
2
b
1
b 2
0
b 1

Master-Kolloquium Berechnungsprobleme in Gittern

Master-Kolloquium Berechnungsprobleme in Gittern 9

9

Das Closest Vector Problem (CVP)

Gegegeben: Basis B ∈ Q m×n mit m ≥ n, Vektor q ∈ span(B). Gesucht:
Gegegeben: Basis B ∈ Q m×n mit m ≥ n, Vektor q ∈ span(B).
Gesucht: Vektor v ∈ L, sodass q − v minimal.
q
v
b 2
b 1
0

Im allgemeinen Fall ein schwieriges“ Problem.

Master-Kolloquium Berechnungsprobleme in Gittern

Master-Kolloquium Berechnungsprobleme in Gittern 5

5

CVP-Approximation

Eingabe : Basis B Q m×n mit m n und Vektor q span(B). Ausgabe : Gittervektor v ∈ L.

q = r 1 b 1 + r 2 b 2 + ··· + r n b n .

Berechne r 1 , r 2 ,

v 0

for i = 1, 2,

1

2

, r n R, sodass

3 , n do

4 v v + r i ·

b

i

5 end for

Master-Kolloquium Berechnungsprobleme in Gittern

Master-Kolloquium Berechnungsprobleme in Gittern 0

0

Babais ROUNDING OFF PROCEDURE v q b 2 0 b 1
Babais ROUNDING OFF PROCEDURE
v
q
b 2
0
b 1
Master-Kolloquium Berechnungsprobleme in Gittern 0 Babais ROUNDING OFF PROCEDURE v q b 2 0 b 1

Master-Kolloquium

2

Master-Kolloquium 2 Berechnungsprobleme in Gittern Babais ROUNDING OFF PROCEDURE v q b 2 b 1 0

Berechnungsprobleme in Gittern

Babais ROUNDING OFF PROCEDURE v q b 2 b 1 0
Babais ROUNDING OFF PROCEDURE
v
q
b
2
b
1
0
Master-Kolloquium 2 Berechnungsprobleme in Gittern Babais ROUNDING OFF PROCEDURE v q b 2 b 1 0

Master-Kolloquium Berechnungsprobleme in Gittern

Master-Kolloquium Berechnungsprobleme in Gittern 8

8

Das Shortest Vector Problem (SVP)

Gegegeben: Basis B ∈ Q m×n mit m ≥ n. Gesucht: Vektor v ∈ L,
Gegegeben: Basis B ∈ Q m×n mit m ≥ n.
Gesucht: Vektor v ∈ L, sodass v = λ 1 .
b 2
b 1
v
λ 1
0

Im allgemeinen Fall auch ein schwieriges“ Problem.

Master-Kolloquium Berechnungsprobleme in Gittern

Master-Kolloquium Berechnungsprobleme in Gittern 8

8

SVP-Approximation

Idee: lange nichtorthogonale Basisvektoren kurze orthogonale Basisvektoren.

L¨angenreduziertheit

Basisvektoren b 1 , b 2 , , b n , Gram-Schmidt Basisvektoren o 1
Basisvektoren
b 1 , b 2 ,
, b n , Gram-Schmidt Basisvektoren
o 1 , o 2 ,
, o n und 0 < j < i ≤ n:
1
o j , o j ≤
2
¨aquivalent zu
b i ≤ b i ± o j

b i , o j

Master-Kolloquium Berechnungsprobleme in Gittern

Master-Kolloquium Berechnungsprobleme in Gittern 4

4

L¨angenreduktion

1

Eingabe : Basisvektoren

b 1 , b 2 ,

Basisvektoren o 1 , o 2 ,

, b n

, o n Q m

Q m und Gram-Schmidt

Ausgabe : L¨angenreduzierte Basis b

for i = 2, 3,

, n do

1 ,

b

2 ,

, b n Q m

2 for j = (i 1), (i 2),

i

b i , o j

o j , o j

, ( i − 2) , i − b i , o j o j ,

3 b i b

4 end for

·

, 1 do

b j

5 end for

Master-Kolloquium Berechnungsprobleme in Gittern

Master-Kolloquium Berechnungsprobleme in Gittern 1

1

SVP-Approximation

Idee: Erweiterung der L¨angenreduziertheit um eine L¨angenbegrenzung.

LLL-Reduziertheit

 

enth¨alt neben L¨angenreduziertheit noch:

 
 

2

o i +

b i , o

i1

o

i1 ,

i1

o

¨aquivalent zu

o

i1

3

4 o

i1 2

o i 2

3 4 o

b i ,

o

i1 2

i1

o

o

i1 ,

i1 2

Master-Kolloquium Berechnungsprobleme in Gittern

Master-Kolloquium Berechnungsprobleme in Gittern 9

9

Eingabe : Basisvektoren

Ausgabe : LLL-reduzierte Basisvektoren

b 1 , b 2 ,

, b n Q m .

b 1 ,

b 2 ,

, b n Q m .

1

i 2

 
 

2

o 1

b 1

3 while i n do

 

4

for j = (i 1), (i 2),

, 1 do

 

5

 

b

i = b i b i , o j / o j , o j ·

b j

6

7

end for

if o i + b i , o i1 / o

i1 ,

i1

2 4 o i1 2 then

3

o i1 o

8

 

i

i + 1

9

else

10

 

tausche b i1 mit

b i

11

i max(i 1, 2)

12

   

13

end if end while

40

Master-Kolloquium Berechnungsprobleme in Gittern

Master-Kolloquium Berechnungsprobleme in Gittern 7

7

Einbettungstechnik (CVP n SVP n+1 )

b q 1 e 0 v b 2 e q b 1
b
q
1
e
0
v
b 2
e
q
b 1

Master-Kolloquium Komplexit¨at der Gitterprobleme

Master-Kolloquium Komplexit¨at der Gitterprobleme 1

1

Komplexit¨at der Gitterprobleme

Master-Kolloquium Komplexit¨at der Gitterprobleme

Master-Kolloquium Komplexit¨at der Gitterprobleme 6

6

Komplexit¨atstheoretische Analyse (Zusammenfassung)

Komplexit¨atstheoretische Ergebnisse (u. a.):

CVP ist NP-hartKomplexit¨atstheoretische Ergebnisse (u. a.): SVP ∞ ist NP-hart (offen fur¨ SVP ist NP-hart (unter

SVP ∞ ist NP-hart (offen fur¨ ist NP-hart (offen fur¨

SVP ist NP-hart (unter randomisierten Reduktionen)a.): CVP ist NP-hart SVP ∞ ist NP-hart (offen fur¨ beliebige Norm) Miklos Ajtai hat 1996

beliebige Norm)

Miklos Ajtai hat 1996 folgende Reduktion gezeigt:

Satz

Sei m, n, q N mit n log(q) < m <

q

2n 4 und q ∈ O(n c ), wobei

c > 0 eine Konstante ist, dann erzeugt die Menge { v : M v 0

mod q}, wobei M Z

n×m

mit m n eine bestimmte Klasse von

q

Gittern L(B), in denen SIVP

n

p(n) t p

1SVP m mit γ(n) ∈ O(n d ),

wobei d eine Konstante ist, gilt.

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 9

9

Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 3

3

GGH-Kryptografieverfahren

0

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 9

9

GGH-Kryptografieverfahren

b 1

0

b

2

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 9

9

GGH-Kryptografieverfahren

b 1

0

b

2

b

b

1

2

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 3

3

GGH-Kryptografieverfahren

b 1

0

b

2

b

b

1

2

v

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 7

7

GGH-Kryptografieverfahren

b 1

0

b

2

b

b

1

2

v

r

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 5

5

GGH-Kryptografieverfahren

b 1

0

b

2

b

b

1

2

v

r

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 1

1

GGH-Kryptografieverfahren

b 1

0

b

2

b

b

1

2

v

r

q

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 0

0

GGH-Signaturverfahren 0
GGH-Signaturverfahren
0

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 5

5

GGH-Signaturverfahren 0
GGH-Signaturverfahren
0

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 8

8

GGH-Signaturverfahren 0
GGH-Signaturverfahren
0

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 2

2

GGH-Signaturverfahren 0
GGH-Signaturverfahren
0

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 0

0

GGH-Signaturverfahren 0
GGH-Signaturverfahren
0

Master-Kolloquium Gitterbasierte Kryptografieverfahren

Master-Kolloquium Gitterbasierte Kryptografieverfahren 9

9

Idee: honest-verifier perfect zero-knowledge interactive proof system

Sei (B, q, d) eine Instanz von GapCVP γ(n) mit B Q m×n , q span(B), d Q und w ∈ L(B) : w q > γ(n) · d.

ZK-Protokoll

ZK-Protokoll
1
1
2
2
3
3

Verifier w¨ahlt zuf¨allig ein σ ∈ {0, 1}, einen zuf¨alligen Gittervektor v ∈ L(B) in einer sehr großen“ Kugel und gleichverteilt zuf¨allig einen Fehlervektor r (innerhalb einer Kugel mit Radius γ(n)·d ). Sendet x = def v + σ q + r an den Prover.

2

Prover antwortet mit τ = 0, wenn w ∈ L(B) : w x < (w + v ) x , sonst mit τ = 1.

Verifier akzeptiert, gdw. τ = σ.

Master-Kolloquium

7

Master-Kolloquium 7 Fazit Fazit 58

Fazit

Fazit

Master-Kolloquium

4

Master-Kolloquium 4 Fazit Interessanter Post-Quantum Kandidat Eigenschaft der ” beweisbaren“ Sicherheit

Fazit

Interessanter Post-Quantum KandidatMaster-Kolloquium 4 Fazit Eigenschaft der ” beweisbaren“ Sicherheit einzigartig Heute: Komplexere Gitter - NTRU

Eigenschaft der ” beweisbaren“ Sicherheit einzigartig beweisbaren“ Sicherheit einzigartig

Heute: Komplexere Gitter - NTRU (Zyklische Gitter) und LWE (Ideale Gitter) - die (nicht offensichtlich) Gitter als Grundlage verwendender ” beweisbaren“ Sicherheit einzigartig (Noch) viele offene Fragen bzgl. Komplexit¨at von

(Noch) viele offene Fragen bzgl. Komplexit¨at von Gitterproblemen und im Besonderen der GitterbasisreduktionGitter - NTRU (Zyklische Gitter) und LWE (Ideale Gitter) - die (nicht offensichtlich) Gitter als Grundlage

Master-Kolloquium

9

Vielen Dank fur¨

die Aufmerksamkeit.