Crystal Kyber密碼演算法解讀（一）

傳統的公鑰密碼PKE
$(Gen,Enc,Dec)$
其中$Gen$生成的金鑰對為$(pk,sk)$
傳送方用公鑰進行加密$C\leftarrow En{c}_{pk}(m)$
接收方用自己的私鑰進行解密$m:=De{c}_{sk}(c)$

公鑰密碼的缺點：計算速度慢，效率比對稱演算法低太多了公鑰密碼效率低的原因？

首先這裡討論有關效率的指標有這些：CPU、network bandwidth也就是網路頻寬、functionalites功能性
“moral”的原因是因為，首先，如何做到pk不洩露sk的資訊，這已經是需要很強數學能力的事情了（attacker不能通過公鑰去破解出私鑰）
相比對稱密碼只是簡單的打亂位元來說，公鑰密碼的方法更復雜的多
而且，一些已知的非對稱加密系統看起來實現了我們需要的安全，但實際上需要巨大的計算開銷。注意到McEliece cryptosystem 和 NTRUEncrypt都實現了高速下的非對稱加解密方案（比RSA,橢圓曲線下的El Gamal快多了）。
並沒有證據表明非對稱加密在計算方面比對稱加密更難。
頻寬是非對稱加密演算法中另一個效率指標。這絕對是限制加密演算法效率的因素之一。公鑰密碼演算法是公開的，意味著任何人包括攻擊者都能使用公鑰去加密任意的訊息。這意味著如果加密演算法是確定的，那麼攻擊者就可以通過窮舉得到匹配的密文。因此一個非對稱加密演算法還需要包含額外的隨機性。
這樣的額外的隨機性就使得加密資料的大小增加。
例如，RSA使用1024位金鑰，最多隻能加密117位元組的資料元素，從而產生128位元組的密文。因此，如果你只用RSA加密一個大檔案，那麼最終加密的明文會比密文多出%9的資訊。對於10GB的訊息來說，這就是900M的冗餘資訊。除此之外，對稱加密只會產生固定的開銷。在大多數場景下，網路頻寬都是比CPU要更稀缺的資源
因此出現了金鑰協商的方案。這跟公鑰密碼非常像。

迴歸正題

crystal kyber其實就是這樣一個用非對稱加密的思想去封裝金鑰並進行金鑰協商的演算法。主要聚焦的也是在KEM（key encapsulation mechanism）

如何生成pk和sk，並且pk不會暴露sk的資訊？

這裡就用到了LWE(learning with errors)問題。LWE是格上的一類困難問題。Crystal kyber演算法用到了環上的LWE問題(Ring-LWE)。

什麼是LWE問題？

• 已知一種情況：$\mathbf{s}\in {\mathbb{Z}}_q^n$（其中${\mathbb{Z}}_q^n$相當於一個n維向量，每一維都是$\mathbb{Z}modq$，也就是 { 0 , 1 , 2 , . . . , q − 1 } \left\{0,1,2,...,q-1\right\} {0,1,2,...,q−1}），$\mathbf{a}\in {\mathbb{Z}}_q^n$,$b\in {\mathbb{Z}}_q$，則$(\mathbf{a},b)\in {\mathbb{Z}}_q^n\times$${\mathbb{Z}}_q$。那麼我們可以想象一個黑盒，黑盒內部的運算規則為，輸入$\mathbf{a}$,經過$<\mathbf{s},\mathbf{a}>$的點乘運算後，得到$b$。在外界看來，不知道$b$是怎麼獲得的，只知道$\mathbf{a}$和$b$，在這種情況下，求出$\mathbf{s}$是容易的。
• 另一種情況：黑盒中的點乘運算加入了誤差項$e$，也就是$b=<\mathbf{s},\mathbf{a}>+e$，這個$e$可以是任意的噪聲，這個時候，外部再要通過$\mathbf{a}$和$b$求出$\mathbf{s}$就非常困難了。

環LWE還沒講所以先空在這下次補充

上面我們知道了環LWE問題求解$s$是困難的，因此可以利用這個困難問題去生成$(pk,sk)$金鑰對。
主要流程如下。

下面我們依次解讀其中用到的演算法。

${\mathcal{B}}^{32}$表示長度為32的8位無符號整數字節矩陣，通過呼叫randombytes函式得到。
https://github.com/dsprenkels/randombytes

• $G$函式用SHA3-512例項化
  

• $Parse$函式

Input:位元組流B
Output:多項式環
	i:=0
	j:=0
	while j<n do
		d1:=bi+256*(bi+1 mod+ 16)
		d2:=round(bi+1/16)+16*bi+2
		if d1<q then
			ajhead:=d1
			j:j+1
		end if
		if d2<q and j<n then
			ajhead:=d2
			j:=j+1
		end if
		i:=i+3
	end while
	return a0head+a1headX+...+an-1headXn-1

注：這裡有個疑問，怎麼實現$\mathrm{m}\mathrm{o}\mathrm{d}{}^{+}$ ？
$Parse$函式的輸入是$\mathrm{X}\mathrm{O}\mathrm{F}(\rho ,j,i)$，$\mathrm{X}\mathrm{O}\mathrm{F}$剛剛有提到是SHAKE-128

• $CBD$函式(“center binomial distribution”)