Aprenentatge amb errors

En criptografia, l'aprenentatge amb errors (LWE) és un problema matemàtic que s'utilitza àmpliament per crear algorismes de xifratge segurs. Es basa en la idea de representar la informació secreta com un conjunt d'equacions amb errors. En altres paraules, LWE és una manera d'amagar el valor d'un secret introduint-hi soroll. En termes més tècnics, es refereix al problema computacional d'inferir un lineal $n$ funció -ària $f$ sobre un anell finit de mostres donades $y_i=f({𝐱}_i)$ alguns dels quals poden ser errònies. Es conjectura que el problema LWE és difícil de resoldre i, per tant, és útil en criptografia.

Més precisament, el problema LWE es defineix de la següent manera. Deixar ${\mathbb{Z}}_q$ denoten l'anell de nombres enters mòdul $q$ i deixar ${\mathbb{Z}}_q^n$ denoten el conjunt de $n$-vectors superats ${\mathbb{Z}}_q$. Existeix una determinada funció lineal desconeguda $f:{\mathbb{Z}}_q^n\to {\mathbb{Z}}_q$, i l'entrada al problema LWE és una mostra de parells $(𝐱,y)$, on $𝐱\in {\mathbb{Z}}_q^n$ i $y\in {\mathbb{Z}}_q$, de manera que amb alta probabilitat $y=f(𝐱)$. A més, la desviació de la igualtat és segons algun model de soroll conegut. El problema requereix trobar la funció $f$, o alguna aproximació propera, amb alta probabilitat.

El problema LWE va ser introduït per Oded Regev l'any 2005 (que va guanyar el premi Gödel 2018 per aquest treball); és una generalització del problema d'aprenentatge paritat. Regev va demostrar que el problema LWE és tan difícil de resoldre com diversos problemes de gelosia en el pitjor dels casos. Posteriorment, el problema LWE s'ha utilitzat com a suposició de duresa per crear sistemes criptogràfics de clau pública, com l'aprenentatge d'anell amb intercanvi de claus d'errors per Peikert.

Definició

Denotar per $𝕋=ℝ/\mathbb{Z}$ el grup additiu dels reals mòdul u. Deixar $𝐬\in {\mathbb{Z}}_q^n$ ser un vector fix. Deixar $\varphi$ ser una distribució de probabilitat fixa sobre $𝕋$. Denotar per $A_{𝐬,\varphi }$ la distribució sobre ${\mathbb{Z}}_q^n\times 𝕋$ obtingut de la següent manera.

1. Trieu un vector $𝐚\in {\mathbb{Z}}_q^n$ de la distribució uniforme ${\mathbb{Z}}_q^n$ ,
2. Tria un número $e\in 𝕋$ de la distribució $\varphi$ ,
3. Avaluar $t=⟨𝐚,𝐬⟩/q+e$, on $⟨𝐚,𝐬⟩={\sum }_{i=1}^n{a}_i{s}_i$ és el producte interior estàndard , la divisió es fa en el camp dels reals (o més formalment, aquesta "divisió per " és la notació per a l'homomorfisme del grup ${\mathbb{Z}}_q⟶𝕋$ cartografia $1\in {\mathbb{Z}}_q$ a $1/q+\mathbb{Z}\in 𝕋$ ), i l'addició final és a $𝕋$.
4. Sortida de la parella $(𝐚,t)$.

El problema de l'aprenentatge amb errors ${\mathrm{L}\mathrm{W}\mathrm{E}}_{q,\varphi }$ és trobar $𝐬\in {\mathbb{Z}}_q^n$, donat accés a moltes mostres a escollir polinomialment $A_{𝐬,\varphi }$.

Per cada $\alpha >0$, denoteu amb $D_{\alpha }$ la gaussiana unidimensional amb mitjana i variància zero ${\alpha }^2/(2\pi )$, és a dir, la funció de densitat és $D_{\alpha }(x)={\rho }_{\alpha }(x)/\alpha$ on ${\rho }_{\alpha }(x)=e^{-\pi (|x|/\alpha {)}^2}$, i deixar ${\mathrm{\Psi }}_{\alpha }$ ser la distribució $𝕋$ obtingut tenint en compte $D_{\alpha }$ mòdul un. La versió de LWE considerada en la majoria dels resultats seria ${\mathrm{L}\mathrm{W}\mathrm{E}}_{q,{\mathrm{\Psi }}_{\alpha }}$