NTRU 公钥加密系统详解

1. 引言

现代大多数密码算法与协议的安全性都依赖于某些数学问题的计算困难性，如：

• 两个大素数乘积的因数分解问题（RSA）；
• 某些群上的离散对数问题（Diffie–Hellman 密钥交换、ElGamal 加密系统）。

这些问题被认为没有有效的（多项式时间）解法，因此任何基于这些问题的密码协议至少应当同样难以被破解。
只要假设潜在攻击者的计算能力有限，就可以认为这些协议是安全的。

然而，这种假设在量子计算机出现后将不再成立。
如果攻击者拥有量子计算能力（几年内或许并非天方夜谭），许多此类算法问题（或其中一部分）将变得 容易求解。

如，RSA 的模数 $N=pq$ 可以通过 Shor 算法 在多项式时间内被分解。
因此，RSA 以及许多其他流行协议，如 Diffie–Hellman 密钥交换、ElGamal 加密、DES、ECC（椭圆曲线密码）等，都将失效。
这些方案必须被新的、在量子计算假设下仍安全的算法所取代。

幸运的是，有一些数学问题被认为在 经典计算机与量子计算机上都难以求解。
这类后量子密码算法包括以下几大类：

• 基于哈希（hash-based）密码；
• 基于纠错码（code-based）密码；
• 基于多元二次方程（MQ，multivariate-quadratic-equations）密码；
• 基于格（lattice-based）密码。

其中，NTRU（包括 NTRUEncrypt 与 NTRUSign） 就是一种基于格中特殊点计算困难性的公钥密码系统。

2. 格（Lattices）

一个 $n$ 维格可以想象为 $n$ 维空间中的一个规则点阵。
它是以下形式的向量（点）集合：
$$\begin{array}{c}L(v_1,v_2,\dots ,v_n)=\{\sum _{i=1}^n{a}_i{v}_i\mid a_i\in \mathbb{Z}\text{ for }1\le i\le n\},\end{array}$$

其中 $v_1,v_2,\dots ,v_n\in {\mathbb{Z}}^n$ 为线性无关的整数向量（称为格$L$的基向量）。

如，在二维空间中，一个简单的格就是所有整数坐标点的集合（此时 $v_1=[0,1]$，$v_2=[1,0]$）。
等价地说，一个格就是在某个基下具有整数坐标的所有点的集合。

可以将这些基向量组成矩阵 $B\in {\mathbb{Z}}^{n\times n}$ 的列，于是格也可写为：
L(B)=L([v1,v2,…,vn])=L(v1,v2,…,vn)={Bx∣x∈Zn}.\begin{equation} L(B) = L([v_1, v_2, \dots, v_n]) = L(v_1, v_2, \dots, v_n) = \lbrace Bx \mid x \in \mathbb{Z}^n\rbrace. \end{equation} L(B)=L([v1​,v2​,…,vn​])=L(v1​,v2​,…,vn​)={Bx∣x∈Zn}.​​

现在定义一个模 $q$ 的格（即点的坐标都在模 $q$ 下取值）——$q$-进制格（$q$-ary Lattice）。

取任意矩阵 $A\in {\mathbb{Z}}_q^{n\times m}$（具有$n$行$m$列的整数矩阵），定义：
Lq(A)={y∈Zm∣y=ATsmod q,s∈Zn}\begin{equation} L_q(A) = \lbrace y \in \mathbb{Z}^m \mid y = A^Ts \text{ mod } q,\, s \in \mathbb{Z}^n\rbrace \end{equation} Lq​(A)={y∈Zm∣y=ATs mod q,s∈Zn}​​

该定义足以引出格密码学（lattice-based cryptography）中3个最核心、计算上极为困难的问题：

• 1）SVP – 最短向量问题（Shortest Vector Problem）
  给定一个 $n$ 维格 $L$ 的基向量 $v_1,v_2,\dots ,v_n$，求出 $L$ 中最短的非零向量。
• 2）CVP – 最近向量问题（Closest Vector Problem）
  给定一个 $n$ 维格 $L$ 的基向量 $v_1,v_2,\dots ,v_n$，以及某个向量 $v$，求出 $L$ 中 最接近 $v$ 的向量。
• 3）SIVP – 最短线性无关向量问题（Shortest Independent Vector Problem）
  给定一个 $n$ 维格 $L$ 的基向量 $v_1,v_2,\dots ,v_n$，求出一组新的基向量 $v_1^{\prime },v_2^{\prime },\dots ,v_n^{\prime }$，使得该组基向量中 最长向量的长度最小化。

其中 “向量的长度” 通常指 欧几里得范数（Euclidean norm），其定义为：
$${\Vert x\Vert }_n={\Vert [x_1,x_2,\dots ,x_n]\Vert }_n=\sqrt{x_1^2+x_2^2+\cdots +x_n^2}.$$

格密码的基本思想是：

• 一个格（lattice）可以用 许多不同的基向量集（basis） 来表示。
  • 某些基向量集非常“简单”，容易计算；
  • 而另一些则非常“复杂”，即使要找到SVP/CVP最短向量的多项式近似解，也需要进行极其复杂的计算。

在格密码中，寻找 SVP 近似解的最常用方法是 LLL 算法（Lenstra–Lenstra–Lovász）。

该算法能够在多项式时间内找到“相对较短”的向量，但这种近似的精度有限——LLL 只保证找到的向量长度不超过：
$${\left(\frac{2}{\sqrt{3}}\right)}^{N}s$$

其中 $s$ 是该格中最短向量的长度。在很多实际应用中，这样的近似仍不足以解决 SVP 或 CVP 的困难性。

一般认为：

• CVP 问题是 NP 完全的；
• SVP 问题是 NP 困难的（尚未被严格证明）。

因此，目前没有有效算法能近似求解这些问题。

3. GGH 算法（Goldreich–Goldwaser–Halevi）

格密码中最早的两个公钥方案是 GGH 和 NTRUEncrypt。

然而在 2008 年，P. Nguyen 指出了 GGH 协议存在信息泄露与结构性缺陷，使其安全性基石（CVP 难解性）被削弱，因此GGH算法现已被认为不安全。

尽管如此，GGH 仍然很好地展示了如何利用 CVP 的困难性构建一个公钥系统。

来看两个格基（${\mathbb{Z}}^N$ 中的 $N$ 个线性无关向量）：

• $B$ 和 $H$。

可以以这样的方式生成 $B$ 和 $H$，使得 $L(B)=L(H)$ —— 也就是说，这两个基都生成同一个格 $L=L(B)=L(H)$。
其中：

• $B$ 是容易处理的（几乎正交，其向量尽可能短），
• 而 $H$ 则不是 —— 仅凭 $H$，在格 $L$ 中求解 最短向量问题（SVP） 和 最近向量问题（CVP） 都是困难的。

将 $B$ 设为私钥，将 $H$ 设为公钥。
加密的过程非常简单：

• 取任意向量 $v\in L$，并将其与另一个向量 $m$（消息）相加。
  密文因此为：
  $$c=v+m.$$

解密的过程是：

• 找到一个在格 $L$ 中最接近 $c$ 的点 $v^{\prime }$（希望它与加密时选择的 $v$ 相同），然后将其从 $c$ 中减去。
  • 这一操作只有在给定基 $B$ 的情况下才能高效完成，因为有了 $B$，就可以容易地解决最近向量问题（CVP）。

如果 $v=v^{\prime }$，则能成功解密密文，并得到：
$$m^{\prime }=c-v^{\prime }.$$
为了保证 $m=m^{\prime }$，必须选择一个“相对较短”的消息向量 $m$，以确保最接近的格点确实是 $v$。

这个协议的描述是非常简化的，但它很好地展示了该加密思想的基本原理。

4. NTRUEncrypt

与其他任何公钥密码系统一样，为了实现安全通信，需要私钥和公钥各一份，并定义两个函数：
$$\text{Encrypt}(\text{message},\text{public\_key})$$
和
$$\text{Decrypt}(\text{ciphertext},\text{private\_key}).$$

此外，假设存在一些对所有参与者都已知的全局参数：

• $N$ —— 一个整数，决定“维度”；
• $p$, $q$ —— 两个互质的整数模数（$gcd(p,q)=1$）；
• $d_f$, $d_g$, $d_r$, $d_m$ —— 用于限定私钥、公钥以及消息空间的整数边界。

在 NTRU 中，加密与解密是以多项式的形式描述的（定义在 $\mathbb{Z}[X]/(X^N-1)$ 环上），其中系数是整数、阶数 $\le N-1$。
这只是比使用格向量更一致的一种描述方式，本质思想保持不变。

在 NTRU 中，需要三种多项式运算：

• 1）卷积乘积（Convolutional product）
• 2）多项式求逆
• 3）模整数的多项式约简

4.1 卷积乘积（Convolutional Product）运算

两个多项式 $f$ 和 $g$ 的卷积乘积定义为：
$$f\star g=\sum _{i+j=k\mathrm{mod}N}{f}_i{g}_j,$$

其中：
$$f=\sum _{i=0}^{N-1}{f}_i{x}^i,g=\sum _{i=0}^{N-1}{g}_i{x}^i.$$

这意味着，在对两个多项式做“普通”乘法之后，还必须将所有 $X$ 的指数 模 $N$ 进行约简。
换言之，指数在 $N$ 上循环（即 $X^N=1$）。

4.2 多项式的逆元（Inverse Polynomial）运算

多项式 $f$ 的逆元 $f^{-1}$ 定义为满足下式的多项式：
$$f\star f^{-1}=f^{-1}\star f=1.$$

4.3 多项式模 $q$ 约简（Reduction Modulo $q$）运算

将多项式模 $q$ 约简，意味着对多项式的所有系数取模 $q$。

4.4 系数计数符号

还将使用记号 ${\#}_{a}f$，表示多项式 $f$ 中系数等于 $a$ 的项的数量。

如，当 $N=5$ 时：
$$f(x)=2x^4+2x^3+x+3$$

则有：
$$\begin{gathered} {\#}_{0}f=1 \\ {\#}_{1}f=1 \\ {\#}_{2}f=2 \\ {\#}_{3}f=1 \end{gathered}$$

4.5 私钥（Private Key）

私钥由两个多项式 $f$ 和 $g$ 组成，它们满足：【即系数由$0,1,-1$组成】

• ${\#}_{1}f=d_f\text{, }{\#}_{-1}f=d_f-1\text{, and }{\#}_{0}f=N-2d_f+1$
• ${\#}_{1}g={\#}_{-1}g=d_g\text{, and }{\#}_{0}g=N-2d_g$
• 要求 $f$ 在模 $q$ 意义下可逆，即存在多项式 $f_p^{-1}$ 和 $f_q^{-1}$，使得：
  $$f\star f_p^{-1}=1(\mathrm{mod}p),$$
  $$f\star f_q^{-1}=1(\mathrm{mod}q).$$

因此，私钥为 $(f,g)$ pair。出于效率考虑，$f_q^{-1}$ 通常在密钥生成阶段计算并作为私钥的一部分存储。

4.6 公钥（Public Key）

公钥的定义非常简单：
$$h=f_q^{-1}\star g(\mathrm{mod}q).$$

4.7 加密（Encryption）

NTRU 的加密过程为：

• 1）首先，消息需要被编码成一个三元（trinary）多项式消息 $m$，并且必须满足：
  $${\#}_{1}m={\#}_{-1}m=d_m\text{, and }{\#}_{0}m=N-2d_m$$
• 2）然后，需要生成一个随机多项式 $r$，其形式与消息类似：
  $${\#}_{1}r={\#}_{-1}r=d_r\text{, and }{\#}_{0}r=N-2d_r.$$
• 3）接着，密文 $c$ 定义为：
  $$c=m+pr\star h\text{ mod }q,$$
  其中，密文 $c$ 的系数要模 $q$ 约简，使其落在区间 $\left(-\frac{q}{2},\frac{q}{2}\right]$ 内，从而使 密文 $c$ 的值以 0 为中心。

4.8 解密（Decryption）

解密过程非常直接，只需将 密文 $c$ 与私钥多项式 $f$ 进行卷积乘积（$\star$）：
$$\begin{gathered} c\star f=f\star m+f\star pr\star h\text{ mod }q \\ =f\star m+pr\star f\star f_q^{-1}\star g\text{ mod }q \\ =f\star m+pr\star g\text{ mod }q \end{gathered}$$

由此，可以通过模 $p$ 运算来得到 $f\star m$：
$$f\star m=(f\star m+pr\star g\text{ mod }q)\text{ mod }p,$$

最后，再将结果乘以 $f_p^{-1}$ 即可还原明文 $m$。

4.9 NTRUEncrypt 算法

上述算法被称为 NTRUEncrypt（NTRU 加密算法）。
结合 NTRUSign（NTRU 签名算法），两者共同构成了 NTRU 公钥密码系统。
该系统最早发表于论文 “NTRU: A New High Speed Public Key Cryptosystem”（1996）。

目前，关于 NTRU 参数取值有多种公开资料。
常见的典型参数如下：

• $p=3$
• $q=2^{11}=2048$
• $N$ 通常为质数，如 $443$、$587$ 或 $743$（具体取决于所需安全级别）

学术界已有多篇论文专门讨论 NTRU 参数选择及其安全性分析。

5. 最后说明（Final Remarks）

NTRUEncrypt 除了能抵御量子计算攻击之外，还具备其他多项优点，如：

• 比 RSA 更高效、更快速；
• 计算和存储开销更低。

关于 后量子密码学（Post-Quantum Cryptography） 与 NTRU 加密体系 的更多深入资源，如：

• Post-quantum cryptography

本文仅为简化说明，旨在帮助理解 NTRUEncrypt 算法背后的基本概念与思想。
若需进行更深入或正式的研究，请参考原始论文、官方标准及技术规范。

参考资料

[1] 2019年11月8日博客 NTRU public key cryptosystem explained