使用 FHEW-like 自举 BV-like
参考文献：
- [CDKS21] Chen H, Dai W, Kim M, et al. Efficient homomorphic conversion between (ring) LWE ciphertexts[C]//International Conference on Applied Cryptography and Network Security. Cham: Springer International Publishing, 2021: 460-479.
- [KDE+23] Kim A, Deryabin M, Eom J, et al. General bootstrapping approach for RLWE-based homomorphic encryption[J]. IEEE Transactions on Computers, 2023.
文章目录
- Scaled Modulus Raising
- Bootstrapping for CKKS
-
- Multiprecision CKKS
- RNS-CKKS
- Bootstrapping for BGV
-
- Multiprecision BGV
- RNS-BGV
- Bootstrapping for BFV
-
- Multiprecision BFV
- RNS-BFV
- Compact Representation of Blind Rotation Keys
-
- Reconstruction
- On the Fly
[KDE+23] 提出可以使用 FHEW-like 实现 BV-like 的通用自举程序。文章说给出了 C++ 实现，不过没有给代码链接；文章中说性能依旧需要继续改进，没有给出具体的数据。
首先，我们定义一些密文类型：
- L W E q , s ( m ) = ( a , m + e − ⟨ a , s ⟩ ) ∈ Z q n + 1 LWE_{q,s}(m) = (a,m+e-\langle a,s\rangle) \in \mathbb Z_q^{n+1} LWEq,s(m)=(a,m+e−⟨a,s⟩)∈Zqn+1
- R L W E Q , s ( m ) = ( a , m + e − a ⋅ s ) ∈ R Q 2 RLWE_{Q,s}(m)=(a,m+e-a\cdot s) \in R_Q^2 RLWEQ,s(m)=(a,m+e−a⋅s)∈RQ2
- R L W E Q , s ′ ( m ) = ( R L W E Q , s ( g 0 ⋅ m ) , ⋯ , R L W E Q , s ( g d − 1 ⋅ m ) ) ∈ R Q 2 d RLWE'_{Q,s}(m) = (RLWE_{Q,s}(g_0\cdot m),\cdots,RLWE_{Q,s}(g_{d-1}\cdot m)) \in R_Q^{2d} RLWEQ,s′(m)=(RLWEQ,s(g0⋅m),⋯,RLWEQ,s(gd−1⋅m))∈RQ2d
- R G S W Q , s ( m ) = ( R L W E Q , s ′ ( s ⋅ m ) , R L W E Q , s ′ ( m ) ) RGSW_{Q,s}(m)=(RLWE'_{Q,s}(s\cdot m),RLWE'_{Q,s}(m)) RGSWQ,s(m)=(RLWEQ,s′(s⋅m),RLWEQ,s′(m))
简记无噪声的密文为 R L W E 0 ( u ) RLWE^0(u) RLWE0(u)，这里 u u u 是其（无编码的）相位。
Scaled Modulus Raising
[KDE+23] 首先介绍了一个核心算法，它用于将较小密文模数 q q q 下的消息，提升到更大的密文模数 Q Q Q。这需要消除模 Q Q Q 下出现的 q q q-overflower，因此明显需要自举程序。
我们设置 q = 2 N q=2N q=2N，给定相位是 ∥ u ∥ ∞ ≤ c < N / 2 \|u\|_\infty \le c
- Extraction：采取 FHEW 的系数提取过程，获得 L W E 2 N , s ( u i ) , i ∈ [ N ] LWE_{2N,s}(u_i), i\in[N] LWE2N,s(ui),i∈[N]
- Blind Rotation：使用 FHEW/TFHE 盲旋转过程，初始设置 ACC 加密 f = − ∑ j = − c c Δ j ⋅ X j f=-\sum_{j=-c}^c \Delta j\cdot X^j f=−∑j=−ccΔj⋅Xj，最终获得 R L W E Q , s ( f ⋅ X u i ) , i ∈ [ N ] RLWE_{Q,s}(f\cdot X^{u_i}), i\in[N] RLWEQ,s(f⋅Xui),i∈[N]，相位的常数项是 Δ u i \Delta u_i Δui，并且 X 2 c + 1 , ⋯ , X N − 2 c − 2 X^{2c+1},\cdots,X^{N-2c-2} X2c+1,⋯,XN−2c−2 的系数都是零，将它简记为 u ( i ) ∈ R Q u^{(i)} \in R_Q u(i)∈RQ
- Repacking：将这 N N N 个密文组合成单个密文 R L W E Q , s ( Δ u ) RLWE_{Q,s}(\Delta u) RLWEQ,s(Δu)
由于 c < N / 2 c
∑ k = 0 N / n − 1 R L W E ( u ( i + n k ) ) ⋅ X n k = R L W E ( u ( i , n ) : = ∑ k = 0 N / n − 1 u ( i + n k ) X n k ) \sum_{k=0}^{N/n-1} RLWE(u^{(i+nk)}) \cdot X^{nk} = RLWE\left(u^{(i,n)}:=\sum_{k=0}^{N/n-1} u^{(i+nk)} X^{nk}\right) k=0∑N/n−1RLWE(u(i+nk))⋅Xnk=RLWE u(i,n):=k=0∑N/n−1u(i+nk)Xnk
因为间隔 n > 2 c n>2c n>2c 足够大，因此获得的相位 u ( i , n ) u^{(i,n)} u(i,n) 的位置 n k , k ∈ [ N / n ] nk,k\in[N/n] nk,k∈[N/n] 恰好就是 Δ u i + n k \Delta u_{i+nk} Δui+nk 本身。
接着利用 [CDKS21] 的打包技术，自同构 τ 1 + 2 N / n \tau_{1+2N/n} τ1+2N/n 应用到 u ( i , n ) u^{(i,n)} u(i,n)，它保持位置 X n k X^{nk} Xnk 的系数，翻转位置 X n k + n / 2 X^{nk+n/2} Xnk+n/2 的系数符号；剩余位置的系数被打乱或者变号（我们不关心）。因此，对于 i ∈ [ n / 2 ] i\in[n/2] i∈[n/2]，计算
R L W E ( 2 ⋅ u ( i , n / 2 ) ) = ( R L W E ( u ( i , n ) ) + X n / 2 ⋅ R L W E ( u ( i + n / 2 , n ) ) ) + τ 1 + 2 N / n ( R L W E ( u ( i , n ) ) − X n / 2 ⋅ R L W E ( u ( i + n / 2 , n ) ) ) \begin{aligned} RLWE(2\cdot u^{(i,n/2)}) &= \left(RLWE(u^{(i,n)})+X^{n/2}\cdot RLWE(u^{(i+n/2,n)})\right)\\ &+ \tau_{1+2N/n}\left(RLWE(u^{(i,n)})-X^{n/2}\cdot RLWE(u^{(i+n/2,n)})\right) \end{aligned} RLWE(2⋅u(i,n/2))=(RLWE(u(i,n))+Xn/2⋅RLWE(u(i+n/2,n)))+τ1+2N/n(RLWE(u(i,n))−Xn/2⋅RLWE(u(i+n/2,n)))
这就将 N / n N/n N/n 个密文合并为了 N / 2 n N/2n N/2n 个密文。迭代执行对数次，可以最终合并出单个密文 R L W E ( n ⋅ Δ u ) RLWE(n \cdot \Delta u) RLWE(n⋅Δu)。为了移除额外的因子 n n n，
- 假如 Q Q Q 和 n n n 互素，那么在 f f f 中使用 [ n − 1 ] Q ⋅ Δ [n^{-1}]_Q \cdot \Delta [n−1]Q⋅Δ 代替原本的 Δ \Delta Δ 即可
- 假如 Q Q Q 是二的幂次（ n n n 也是），那么使用 Q n Qn Qn 代替原本的 Q Q Q，最后缩放 n n n 同时在消息和模数上消除它
打包算法：
Bootstrapping for CKKS
Multiprecision CKKS
使用的密文模数 q q q 是二的幂次，相位形如
c t ( s ) = m + e + q v ∈ R ct(s) = m+e+qv \in R ct(s)=m+e+qv∈R
令 q ′ = q / 2 N q'=q/2N q′=q/2N，计算 c t ′ = c t ( m o d q ′ ) ct'=ct \pmod{q'} ct′=ct(modq′)，那么
c t ′ ( s ) = m + e + q ′ u ∈ R ct'(s) = m+e+q'u \in R ct′(s)=m+e+q′u∈R
我们可计算
c t p r e p = ( a − [ a ] q ′ q ′ , b − [ b ] q ′ q ′ ) ∈ R 2 N 2 ct_{prep} = \left( \frac{a-[a]_{q'}}{q'}, \frac{b-[b]_{q'}}{q'} \right) \in R_{2N}^2 ctprep=(q′a−[a]q′,q′b−[b]q′)∈R2N2
易知 c t p r e p ( s ) = ( q v − q ′ u ) / q ′ = − u + 2 N v ct_{prep}(s)=(qv-q'u)/q'=-u+2Nv ctprep(s)=(qv−q′u)/q′=−u+2Nv，从而它是 R L W E 2 N , s 0 ( − u ) RLWE_{2N,s}^0(-u) RLWE2N,s0(−u)
现在，利用 Scaled Modulus 过程，可以获得 c t s m = R L W E Q , s ( − q ′ u ) ct_{sm}=RLWE_{Q,s}(-q'u) ctsm=RLWEQ,s(−q′u)
继续计算 c t b o o t = c t s m + c t ′ ( m o d Q ) ct_{boot} = ct_{sm}+ct' \pmod Q ctboot=ctsm+ct′(modQ)，它满足
c t b o o t ( s ) = − q ′ u + e s m + m + e + q ′ u = m + ( e + e s m ) ct_{boot}(s) = -q'u+e_{sm} + m+e+q'u = m+(e+e_{sm}) ctboot(s)=−q′u+esm+m+e+q′u=m+(e+esm)
自举算法为：
对于稀疏打包的密文（这里指相位落在子环内），假设 c t ( s ) = m ( Y ) + q ⋅ v ( X ) ct(s)=m(Y)+q\cdot v(X) ct(s)=m(Y)+q⋅v(X)，其中 Y = X N / n Y=X^{N/n} Y=XN/n 是子环的本原单位根。
利用自同构 X → X − X n + 1 + X 2 n + 1 − ⋯ − X N − n + 1 X\to X-X^{n+1}+X^{2n+1}-\cdots-X^{N-n+1} X→X−Xn+1+X2n+1−⋯−XN−n+1 的性质，它将 ( N / n ) ∣ k (N/n) \mid k (N/n)∣k 的那些项 X k X^k Xk 的系数翻倍 N / n N/n N/n 因子，其余的项的系数都被消除。因此，我们可以使用同态自同构的加和，将 Y Y Y 子环以外的系数全都消除，获得 c t ′ ( s ) = m ( Y ) + q ⋅ v ′ ( Y ) ct'(s)=m(Y)+q\cdot v'(Y) ct′(s)=m(Y)+q⋅v′(Y)
现在，我们只需对这些稀疏的系数执行 Scaled Modulus 过程即可。
RNS-CKKS
使用的密文模数 q q q 是素数的乘积，相位形如
c t ( s ) = m + e + q v ∈ R ct(s) = m+e+qv \in R ct(s)=m+e+qv∈R
首先计算 c t ′ = 2 N ⋅ c t ( m o d q ) ct'=2N\cdot ct \pmod q ct′=2N⋅ct(modq)，
c t ′ ( s ) = 2 N ⋅ ( m + e ) + q u ∈ R ct'(s) = 2N\cdot(m+e) + qu \in R ct′(s)=2N⋅(m+e)+qu∈R
然后计算
c t p r e p = ( 2 N a − [ 2 N a ] q ′ q ′ , 2 N b − [ 2 N b ] q ′ q ′ ) ∈ R 2 N 2 ct_{prep} = \left( \frac{2Na-[2Na]_{q'}}{q'}, \frac{2Nb-[2Nb]_{q'}}{q'} \right) \in R_{2N}^2 ctprep=(q′2Na−[2Na]q′,q′2Nb−[2Nb]q′)∈R2N2
它的相位是 − u ( m o d 2 N ) -u \pmod{2N} −u(mod2N)，利用 Scaled Modulus 过程获得 c t s m = R L W E Q p , s ( − q u ) ct_{sm}=RLWE_{Qp,s}(-qu) ctsm=RLWEQp,s(−qu)，其中的 p p p 是 auxiliary prime 用于控制噪声
计算 c t ′ ′ = c t s m + c t ′ ( m o d Q p ) ct''=ct_{sm}+ct' \pmod{Qp} ct′′=ctsm+ct′(modQp)，满足
c t ′ ′ ( s ) = − q u + e s m + 2 N ⋅ ( m + e ) + q u = 2 N m + ( 2 N e + e s m ) ct''(s) = -qu+e_{sm} + 2N\cdot(m+e)+qu = 2Nm + (2Ne+e_{sm}) ct′′(s)=−qu+esm+2N⋅(m+e)+qu=2Nm+(2Ne+esm)
最后将它乘以 p / 2 N p/2N p/2N 接着缩放 p p p 因子，获得
c t b o o t ( s ) = m + ( e + e s m / 2 N + e r s ) ( m o d Q ) ct_{boot}(s) = m + (e+e_{sm}/2N + e_{rs}) \pmod Q ctboot(s)=m+(e+esm/2N+ers)(modQ)
完整的自举程序为
Bootstrapping for BGV
Multiprecision BGV
模数是二的幂次。与 CKKS 的自举步骤基本一样，
RNS-BGV
模数是素数乘积。与 CKKS 的自举步骤基本一样，
Bootstrapping for BFV
Multiprecision BFV
BFV 的自举略有不同，它并不是消除 overflow 去提升模数，而是需要降低噪声。
模数 Q Q Q 是二的幂次，密文相位是
c t ( s ) = e + Q t m ∈ R Q ct(s) = e+\frac{Q}{t}m \in R_Q ct(s)=e+tQm∈RQ
首先计算 c t ′ = t ⋅ c t ( m o d Q ) ct'=t \cdot ct \pmod Q ct′=t⋅ct(modQ)，
c t ′ ( s ) = t e + Q v ∈ R ct'(s) = te + Qv \in R ct′(s)=te+Qv∈R
令 Q ′ = Q / 2 N Q'=Q/2N Q′=Q/2N，接着计算 c t ′ ′ = c t ′ ( m o d Q ′ ) ct''=ct' \pmod{Q'} ct′′=ct′(modQ′)，
c t ′ ′ ( s ) = t e + Q ′ u ∈ R ct''(s) = te + Q'u \in R ct′′(s)=te+Q′u∈R
于是可以计算
c t p r e p = c t ′ − c t ′ ′ Q ′ ∈ R 2 N 2 ct_{prep} = \frac{ct'-ct''}{Q'} \in R_{2N}^2 ctprep=Q′ct′−ct′′∈R2N2
它的相位是 − u + 2 N v -u+2Nv −u+2Nv，利用 Scaled Modulus 过程获得 c t s m = R L W E Q t , s ( Q ′ u ) ct_{sm}=RLWE_{Qt,s}(Q'u) ctsm=RLWEQt,s(Q′u)
然后计算 c t ′ ′ ′ = c t s m + t ⋅ c t − c t ′ ′ ( m o d Q t ) ct'''=ct_{sm}+t \cdot ct-ct'' \pmod{Qt} ct′′′=ctsm+t⋅ct−ct′′(modQt)，
c t ′ ′ ′ ( s ) = ( Q ′ u + e s m ) + ( t e + Q m ) − ( t e + Q ′ u ) = Q m + e s m ct'''(s) = (Q'u+e_{sm}) + (te+Qm) - (te+Q'u) = Qm+e_{sm} ct′′′(s)=(Q′u+esm)+(te+Qm)−(te+Q′u)=Qm+esm
最后缩放 t t t 因子，获得 c t b o o t = R L W E Q , s ( m ) ct_{boot}=RLWE_{Q,s}(m) ctboot=RLWEQ,s(m)
完整的自举算法为：
RNS-BFV
模数是素数乘积。就是上述自举算法的变体，
Compact Representation of Blind Rotation Keys
[KDE+23] 还给出了压缩 BK 的方法。
采取三元秘密，原本的 BK 形如： R G S W s ( s i + ) RGSW_s(s_i^+) RGSWs(si+) 以及 R G S W s ( s i − ) RGSW_s(s_i^-) RGSWs(si−)，其中的 s i + = [ s i = 1 ] s_i^+=[s_i=1] si+=[si=1] 和 s i − = [ s i = − 1 ] s_i^-=[s_i=-1] si−=[si=−1] 作为 CMux 控制位。
Reconstruction
为了减少通信开销，[KDE+23] 仅生成 R L W E s ′ ( s ± ) RLWE_s'(s^\pm) RLWEs′(s±) 和 R L W E s ′ ( s 2 ) RLWE_s'(s^2) RLWEs′(s2) 两个密文，其中
s ± ( X ) = ∑ i = 0 N − 1 s i ± X i s^{\pm}(X) = \sum_{i=0}^{N-1} s_i^\pm X^i s±(X)=i=0∑N−1si±Xi
利用自同构的保持/翻转各个位置系数的符号的特点，我们可以根据 R L W E s ′ ( s ± ) RLWE_s'(s^\pm) RLWEs′(s±) 恢复出全部的 R L W E s ′ ( s i ± ) RLWE_s'(s_i^\pm) RLWEs′(si±)。算法为：
消除因子 N N N 是容易的。接着，利用计算出的各个分量 R L W E s ( g j s i ± ) = ( a i j , b i j ) RLWE_s(g_js_i^\pm)=(a_{ij},b_{ij}) RLWEs(gjsi±)=(aij,bij)，可以计算出：
R L W E s ( a i j ⋅ s 2 + b i j ⋅ s ) = R L W E s ( g j s i ± ⋅ s ) RLWE_s(a_{ij} \cdot s^2 + b_{ij} \cdot s) = RLWE_s(g_js_i^\pm\cdot s) RLWEs(aij⋅s2+bij⋅s)=RLWEs(gjsi±⋅s)
它们组成了 R L W E s ′ ( s i ± s ) RLWE_s'(s_i^\pm s) RLWEs′(si±s)，于是我们就得到了
R G S W s ( s i ± ) = ( R L W E s ′ ( s i ± ) , R L W E s ′ ( s i ± s ) ) RGSW_s(s_i^\pm) = (RLWE_s'(s_i^\pm), RLWE_s'(s_i^\pm s)) RGSWs(si±)=(RLWEs′(si±),RLWEs′(si±s))
On the Fly
为了减少内存开销，[KDE+23] 还提出了动态重构 BK 的方法，用完就立即丢弃。
这儿也是利用了自同构，消除常数项以外的其他系数。我们首先乘以 X − i X^{-i} X−i，从而提取任意位置的 s i ± s_i^\pm si± 的密文。算法为：
[KDE+23] 提出了一种新的盲旋转过程，它不需要重构出 R L W E s ′ ( s i ± ⋅ s ) RLWE_s'(s_i^\pm \cdot s) RLWEs′(si±⋅s)，而是直接根据 R L W E s ′ ( s i ± ) RLWE_s'(s_i^\pm) RLWEs′(si±) 和 R L W E s ′ ( s 2 ) RLWE_s'(s^2) RLWEs′(s2) 来计算：给定 A C C = R L W E s ( f ) = ( a , b ) ACC=RLWE_s(f)=(a,b) ACC=RLWEs(f)=(a,b)，给定密文 L W E s ( u ) = ( α , β ) LWE_s(u)=(\alpha,\beta) LWEs(u)=(α,β)，先计算
a ⋅ R L W E s ′ ( X α i s i ) = R L W E s ′ ( a ⋅ X α i s i ) = ( a ′ , b ′ ) a\cdot RLWE_s'(X^{\alpha_is_i}) = RLWE_s'(a\cdot X^{\alpha_is_i}) = (a',b') a⋅RLWEs′(Xαisi)=RLWEs′(a⋅Xαisi)=(a′,b′)
然后计算
a ′ ⋅ R L W E s ′ ( s 2 ) + ( b ′ , 0 ) = R L W E s ( a ′ s 2 + b ′ s ) = R L W E s ( a s ⋅ X α i s i ) a' \cdot RLWE_s'(s^2) + (b',0) = RLWE_s(a's^2+b's) = RLWE_s(as \cdot X^{\alpha_is_i}) a′⋅RLWEs′(s2)+(b′,0)=RLWEs(a′s2+b′s)=RLWEs(as⋅Xαisi)
最后计算出
R L W E s ( a s ⋅ X α i s i ) + R L W E s ( b ⋅ X α i s i ) = R L W E s ( f ⋅ X α i s i ) RLWE_s(as \cdot X^{\alpha_is_i}) + RLWE_s(b \cdot X^{\alpha_is_i}) = RLWE_s(f \cdot X^{\alpha_is_i}) RLWEs(as⋅Xαisi)+RLWEs(b⋅Xαisi)=RLWEs(f⋅Xαisi)
对于每个 i i i 都这么计算，最终可以获得 R L W E s ( f ⋅ X u ) RLWE_s(f \cdot X^u) RLWEs(f⋅Xu)
