[发明专利]一种对于基于格的公钥加密算法的加速方法

说明书

本发明公开了一种对于基于格的公钥加密算法的加速方法，本方法为：首先采用Karatsuba算法或Toom‑Cook算法将格密码算法中的高维多项式运算拆分为多次的低维多项式乘法，然后用克罗内克变换将低维多项式乘法转换为大数协处理器支持计算的大数乘法运算，最后使用大数协处理器执行大数乘法运算。本发明可以提升多项式乘法的运算计算效率，从而加速基于格的后量子密码算法。

技术领域

本发明属于密码技术领域，尤其涉及一种利用大数运算协处理器的对于基于格(lattice)的公钥加密算法的加速方法。

背景技术

基于公钥密码学的加解密技术应用广泛，成为保证信息安全的重要工具，尤其是在数据加密、数字签名等方面发挥着巨大的作用。目前，RSA加密算法、ECC加密算法、DH密钥交换协议等公钥密码算法被广泛的使用，这些密码算法均基于经典数学困难问题，如大数分解(integer factorization)和离散对数(discrete logarithm)等。研究表明，这些基于经典数学困难问题的公钥密码算法在量子计算模型下存在多项式时间的破解算法。近年来，量子计算机及其相关技术的不断发展，严重威胁着基于经典数学困难问题的公钥密码算法的安全性。

后量子(或称“抗量子”)密码算法(post-quantum cryptography)被视为可以抵抗量子计算攻击的密码算法，主要包括基于格的密码、基于编码的密码、基于多变量的密码和基于杂凑函数的密码等。在几种后量子密码算法中，基于格的密码算法具有良好的安全性与运行效率，近年来发展迅速。格(lattice)密码系统是一种新型的密码系统，一个格L就是线性空间R_n上确定的一组线性无关向量的整线性组合,这组向量称为格L。格上的困难问题主要包括最短向量问题(shortest vector problem，SVP)，最近向量问题(closest vectorproblem，CVP),小整数解问题(small integer solution problem，SIS)和误差学习(learning with errors，LWE)。

2016年，美国国家标准与技术研究院(National Institute of Standards andTechnology，NIST)启动了后量子密码算法的征集进程。截至2019年初，NIST的后量子密码算法征集进程已进入第二轮(Round-2)。在候选的密码算法中，相比基于其他困难问题的算法，基于格的算法NewHope、Kyber、Saber等均具有较好的运行效率，分别基于R-LWE，M-LWE，M-LWR困难问题(属LWE困难问题的变体)，这些算法的运算效率均严重依赖于(带模的)多项式乘法运算。

快速数论变换(Number-Theoretic Transform，NTT)被认为是目前已知的最快的多项式乘法算法，其算法复杂度为O(nlgn)，但是满足特定条件的维度n和模数q的多项式相乘才可以使用NTT算法来计算。在一些基于格的密码算法的设计中，为了能够使用效率最高的NTT算法来做多项式乘法，其参数取为满足NTT使用条件的n和q，如Kyber(基于M-LWE)，NewHope(基于R-LWE)等。

基于M-LWR困难问题的算法，通常会比基于M-LWE和R-LWE问题的算法设计要简单，一般会将模数p和q取为2的幂，其设计时可以用更为高效的Rounding的运算来代替LWE中的复杂的基于离散高斯分布或中心二项分布采样的错误向量生成，同时公共矩阵A可采用无需拒绝采样的方式来生成。Saber是一种基于M-LWR困难问题的后量子密码算法，其标准版本(Saber-KEM)可以达到180量子比特的安全性。Saber的参数q＝8192，p＝1024均为2的幂，使得算法过程中的取模运算有很高的效率，也有利于实施高效的Rounding运算(在具体实现中使用高效的位运算即可)，但是这也造成了Saber无法使用NTT算法来进行多项式运算。除NTT以外，可被良好实现的快速多项式乘法算法还包括Karatsuba算法与Toom-Cook算法，在Saber的参考实现中使用了这两种算法。