Prof. C. P. Schnorr Sommersemester 2016
Gitter und Kryptographie
Blatt 5, 13.05.2016, Abgabe 20.05.2016
Aufgabe 1. Sei R8 (Skript, Seite 23) die GNF des Gitters Λ8 und y= (0,0,0,1,0,0,0,0)t. Zeige:min{ky−xk, x∈ L(R8)}= 1.
Hinweis: [R8,y]t[R8,y] ∈ 12Z9×9, kyk = 1. Argumentiere wie in Lemma 2.2.3 des Skripts, benutze nicht dass λ21 = 2 fürL(R9).
Aufgabe 2. Zeige für die folgende Basis: 1. kb1k2 =αn−12 det(L)2/n. 2. Die Basis ist LLL-reduziert für δ und α= (δ− 14)−1 :
[b1, . . . ,bn] =
1 1/2 0 · · · 0 0 ρ ρ/2 · · · ... ... . .. ρ2 . .. ... ... . .. ... . .. 0 ... . .. ρn−2 ρn−2/2 0 · · · 0 ρn−1
∈Rn×n, ρ:= 1/√ α.
(Damit ist die Schranke für kb1k2 von Korollar 4.1.5 (1) scharf.)
Aufgabe 3. (Worst Case Gitterbasis zur Gauss-Reduktionk k=k k2) Seib1,b2 ∈Rnreduzierte Basis,µ2,1 ≥0, [bk,bk+1] := [b1,b2]
0 1 1 2
k−1
. Zeige für k = 2,3, . . . : 1. dhbhbk+1,bki
k,bki c= 2, kbkk ≤ kbk+1k.
2. Die Basis bk,bk+1 ist wohlgeordnet, d.h.kbkk ≤ kbk−bk+1k ≤ kbk+1k.
und wird in einer Runde der Gauss-Reduktion in bk−1,bk transformiert.
Hinweis : Satz 3.2.1 im Skript beweist, dass [bk,bk+1], minimale k-te Vor- gängerbasis zu b1,b2 ist.
Punktzahl für Aufgabe 1, 2, 3 : 5, 5, 8
Lemma 2.2.3 Sei B = [b1, ...,bn] Basis von L, BtB ∈ kn×n, k > 0 und b12,· · ·,bn2 ∈2kN. Sei ferner be ∈ L, eb ∈ L,/ Btbe ∈ k2n und ||eb||2 ∈ kN. Dann gilt
1. λ21(L(B))∈2kN 2. ||L −b||e 2 ≥k.
Beweis. Offenbar gilt für b=Pn
i=1tibi ∈ L, b6=0, ti ∈ dass
||b||2 =bb=P
1≤i,j≤ntitjbibj=Pn
i=1t2i||bi||2+ 2P
j<ititjbibj ∈2k . Somit gilt 1. Zum Beweis von 2. setze bn+1 :=eb. Dann gilt
||b−eb||2 =b−ebb−be=Pn+1
i=1 t2ikbik2+ 2P
1≤i<j≤n+1titjbibj ∈k
und somit ||L −eb||2 ≥k.
Fakt.λ21 = 2für die Matrix Rn der erstenn ≤8Zeilen und Spalten vonR8. Beweis. Für R8 gilt Rt8R8 ∈Zn×n, ||r1||2, ...,||rn||2 = 2. Nach Lemma 0.0.1 , Teil 1 folgt für k= 1 dass λ21 = 2 für L(Rn), fürn = 1, ...,8.
Wir erweitern die GNF R8 wie folgt zu R10. Es bezeichnet nun Rn = [r1, ...,rn]die Untermatrix der ersten n Zeilen und Spalten von R10.
R10 :=√ 2
1 12 12 0 0 0 0 0 0 0
0 q3
4
√1 12
q1
3 0 0 0 0 0 0
0 0 q2
3
q1 6
q3
8 0 0 0 0 0
0 0 0 √1
2
√1 8
√1
2 0 0 0 √1
2
0 0 0 0 √1
2
√1 8
√1
2 0 √1
2 0
0 0 0 0 0
q3 8
√1 6
q2
3 0 0
0 0 0 0 0 0 √1
3
√1
12 0 0
0 0 0 0 0 0 0 12 0 0
0 0 0 0 0 0 0 0 √1
2
√1 8
0 0 0 0 0 0 0 0 0
q3 8
, detR10=√ 3/2.
Korollar 2.2.4 Für L(R9) und L(R10) gilt λ21 = 2.
Beweis. λ21(L(R9)) = 2: Der Fakt zeigt λ21(L(R8)) = 2. Wegen Rt9R9 ∈ 12Z9 gilt nach Lemma 0.0.1 Teil 1, mit k= 12 dassλ21(L(R9))∈kN. Â Es ist nur noch zu zeigen, dass für alle r =P9
i=1tiri ∈ L(R9) mit t9 6= 0 gilt dass
||r||2 > 1. Für |t9| ≥ 2 folgt dies aus ||r||2 ≥ t29||π9(r9)||2 ≥ 4. Für t9 = 1 wenden wir Lemma 2.2.3 Teil 1 an auf B =R8 und eb=er :=r9 −π9(r9) = (0,0,0,0,1,0,0,0)t ∈ L(R8). Es gilt Rt8er ∈ 128, r6er = 12, ||er||2 = 1. Lem- ma 0.0.1, Teil 2 zeigt für k = 1 dass ||L(R8)−er||2 ≥ 1 und somit folgt
||r||2 ≥ ||L(R8)−er||2+||π9(r9)||2 ≥2.
