使用 FHEW-like 自举 BV-like

参考文献：

[CDKS21] Chen H, Dai W, Kim M, et al. Efficient homomorphic conversion between (ring) LWE ciphertexts[C]//International Conference on Applied Cryptography and Network Security. Cham: Springer International Publishing, 2021: 460-479.
[KDE+23] Kim A, Deryabin M, Eom J, et al. General bootstrapping approach for RLWE-based homomorphic encryption[J]. IEEE Transactions on Computers, 2023.

文章目录

Scaled Modulus Raising
Bootstrapping for CKKS
- Multiprecision CKKS
- RNS-CKKS
Bootstrapping for BGV
- Multiprecision BGV
- RNS-BGV
Bootstrapping for BFV
- Multiprecision BFV
- RNS-BFV
Compact Representation of Blind Rotation Keys
- Reconstruction
- On the Fly

[KDE+23] 提出可以使用 FHEW-like 实现 BV-like 的通用自举程序。文章说给出了 C++ 实现，不过没有给代码链接；文章中说性能依旧需要继续改进，没有给出具体的数据。

首先，我们定义一些密文类型：

$LWE_{q,s}(m) = (a,m+e-\langle a,s\rangle) \in \mathbb Z_q^{n+1}$
$RLWE_{Q,s}(m)=(a,m+e-a\cdot s) \in R_Q^2$
$RLWE'_{Q,s}(m) = (RLWE_{Q,s}(g_0\cdot m),\cdots,RLWE_{Q,s}(g_{d-1}\cdot m)) \in R_Q^{2d}$
$RGSW_{Q,s}(m)=(RLWE'_{Q,s}(s\cdot m),RLWE'_{Q,s}(m))$

简记无噪声的密文为 $RLWE^0(u)$ ，这里 $u$ 是其（无编码的）相位。

Scaled Modulus Raising

[KDE+23] 首先介绍了一个核心算法，它用于将较小密文模数 $q$ 下的消息，提升到更大的密文模数 $Q$ 。这需要消除模 $Q$ 下出现的 $q$ -overflower，因此明显需要自举程序。

我们设置 $q = 2 N$ ，给定相位是 $\|u\|_\infty \le c<N/2$ 的密文，记为 $RLWE_{2N,s}^0(u)$ ，

Extraction：采取 FHEW 的系数提取过程，获得 $LWE_{2N,s}(u_i), i\in[N]$
Blind Rotation：使用 FHEW/TFHE 盲旋转过程，初始设置 ACC 加密 $f=-\sum_{j=-c}^c \Delta j\cdot X^j$ ，最终获得 $RLWE_{Q,s}(f\cdot X^{u_i}), i\in[N]$ ，相位的常数项是 $\Delta u_i$ ，并且 $X^{2c+1},\cdots,X^{N-2c-2}$ 的系数都是零，将它简记为 $u^{(i)} \in R_Q$
Repacking：将这 $N$ 个密文组合成单个密文 $RLWE_{Q,s}(\Delta u)$

由于 $c < N /2$ ，我们选取大于 $2 c$ 的最小二的幂次 $n=n_c$ ，那么就可以将 $N$ 个 RLWE 密文分为若干组 $\{RLWE(u^{i+nk}\}_{k\in[N/n]}, i\in[n]$ ，我们计算：
$\sum_{k=0}^{N/n-1} RLWE(u^{(i+nk)}) \cdot X^{nk} = RLWE\left(u^{(i,n)}:=\sum_{k=0}^{N/n-1} u^{(i+nk)} X^{nk}\right)$
因为间隔 $n > 2 c$ 足够大，因此获得的相位 $u^{(i,n)}$ 的位置 $nk,k\in[N/n]$ 恰好就是 $\Delta u_{i+nk}$ 本身。

接着利用 [CDKS21] 的打包技术，自同构 $\tau_{1+2N/n}$ 应用到 $u^{(i,n)}$ ，它保持位置 $X^{nk}$ 的系数，翻转位置 $X^{nk+n/2}$ 的系数符号；剩余位置的系数被打乱或者变号（我们不关心）。因此，对于 $i\in[n/2]$ ，计算
$\begin{aligned} RLWE(2\cdot u^{(i,n/2)}) &= \left(RLWE(u^{(i,n)})+X^{n/2}\cdot RLWE(u^{(i+n/2,n)})\right)\\ &+ \tau_{1+2N/n}\left(RLWE(u^{(i,n)})-X^{n/2}\cdot RLWE(u^{(i+n/2,n)})\right) \end{aligned}$
这就将 $N / n$ 个密文合并为了 $N /2 n$ 个密文。迭代执行对数次，可以最终合并出单个密文 $\cdot \Delta u)$ 。为了移除额外的因子 $n$ ，

假如 $Q$ 和 $n$ 互素，那么在 $f$ 中使用 $[n^{-1}]_Q \cdot \Delta$ 代替原本的 $\Delta$ 即可
假如 $Q$ 是二的幂次（ $n$ 也是），那么使用 $Q n$ 代替原本的 $Q$ ，最后缩放 $n$ 同时在消息和模数上消除它

打包算法：

在这里插入图片描述

Bootstrapping for CKKS

Multiprecision CKKS

使用的密文模数 $q$ 是二的幂次，相位形如
$\in R$
令 $q^{'} = q /2 N$ ，计算 $ct′ \pmod{q'}$ ，那么
$\in R$
我们可计算
$ct_{prep} = \left( \frac{a-[a]_{q'}}{q'}, \frac{b-[b]_{q'}}{q'} \right) \in R_{2N}^2$
易知 $ct_{prep}(s)=(qv-q'u)/q'=-u+2Nv$ ，从而它是 $RLWE_{2N,s}^0(-u)$

现在，利用 Scaled Modulus 过程，可以获得 $ct_{sm}=RLWE_{Q,s}(-q'u)$

继续计算 $ct_{boot} = ct_{sm}+ct' \pmod Q$ ，它满足
$ct_{boot}(s) = -q'u+e_{sm} + m+e+q'u = m+(e+e_{sm})$
自举算法为：

在这里插入图片描述

对于稀疏打包的密文（这里指相位落在子环内），假设 $ct(s)=m(Y)+q\cdot v(X)$ ，其中 $Y=X^{N/n}$ 是子环的本原单位根。

利用自同构 $X\to X-X^{n+1}+X^{2n+1}-\cdots-X^{N-n+1}$ 的性质，它将 $\mid k$ 的那些项 $X^k$ 的系数翻倍 $N / n$ 因子，其余的项的系数都被消除。因此，我们可以使用同态自同构的加和，将 $Y$ 子环以外的系数全都消除，获得 $ct'(s)=m(Y)+q\cdot v'(Y)$

现在，我们只需对这些稀疏的系数执行 Scaled Modulus 过程即可。

在这里插入图片描述

RNS-CKKS

使用的密文模数 $q$ 是素数的乘积，相位形如
$\in R$
首先计算 $ct'=2N\cdot ct \pmod q$ ，
$2N\cdot(m+e) + qu \in R$
然后计算
$ct_{prep} = \left( \frac{2Na-[2Na]_{q'}}{q'}, \frac{2Nb-[2Nb]_{q'}}{q'} \right) \in R_{2N}^2$
它的相位是 $\pmod{2N}$ ，利用 Scaled Modulus 过程获得 $ct_{sm}=RLWE_{Qp,s}(-qu)$ ，其中的 $p$ 是 auxiliary prime 用于控制噪声

计算 $ct''=ct_{sm}+ct' \pmod{Qp}$ ，满足
$-qu+e_{sm} + 2N\cdot(m+e)+qu = 2Nm + (2Ne+e_{sm})$
最后将它乘以 $p /2 N$ 接着缩放 $p$ 因子，获得
$ct_{boot}(s) = m + (e+e_{sm}/2N + e_{rs}) \pmod Q$
完整的自举程序为

在这里插入图片描述

Bootstrapping for BGV

Multiprecision BGV

模数是二的幂次。与 CKKS 的自举步骤基本一样，

在这里插入图片描述

RNS-BGV

模数是素数乘积。与 CKKS 的自举步骤基本一样，

在这里插入图片描述

Bootstrapping for BFV

Multiprecision BFV

BFV 的自举略有不同，它并不是消除 overflow 去提升模数，而是需要降低噪声。

模数 $Q$ 是二的幂次，密文相位是
$e+\frac{Q}{t}m \in R_Q$
首先计算 $\cdot ct \pmod Q$ ，
$\in R$
令 $Q^{'} = Q /2 N$ ，接着计算 $ct′′ \pmod{Q'}$ ，
$\in R$
于是可以计算
$ct_{prep} = \frac{ct'-ct''}{Q'} \in R_{2N}^2$
它的相位是 $- u + 2 N v$ ，利用 Scaled Modulus 过程获得 $ct_{sm}=RLWE_{Qt,s}(Q'u)$

然后计算 $ct'''=ct_{sm}+t \cdot ct-ct'' \pmod{Qt}$ ，
$ct'''(s) = (Q'u+e_{sm}) + (te+Qm) - (te+Q'u) = Qm+e_{sm}$
最后缩放 $t$ 因子，获得 $ct_{boot}=RLWE_{Q,s}(m)$

完整的自举算法为：

在这里插入图片描述

RNS-BFV

模数是素数乘积。就是上述自举算法的变体，

在这里插入图片描述

Compact Representation of Blind Rotation Keys

[KDE+23] 还给出了压缩 BK 的方法。

采取三元秘密，原本的 BK 形如： $RGSW_s(s_i^+)$ 以及 $RGSW_s(s_i^-)$ ，其中的 $s_i^+=[s_i=1]$ 和 $s_i^-=[s_i=-1]$ 作为 CMux 控制位。

Reconstruction

为了减少通信开销，[KDE+23] 仅生成 $RLWE_s'(s^\pm)$ 和 $RLWE_s'(s^2)$ 两个密文，其中
$s^{\pm}(X) = \sum_{i=0}^{N-1} s_i^\pm X^i$
利用自同构的保持/翻转各个位置系数的符号的特点，我们可以根据 $RLWE_s'(s^\pm)$ 恢复出全部的 $RLWE_s'(s_i^\pm)$ 。算法为：

在这里插入图片描述

消除因子 $N$ 是容易的。接着，利用计算出的各个分量 $RLWE_s(g_js_i^\pm)=(a_{ij},b_{ij})$ ，可以计算出：
$RLWE_s(a_{ij} \cdot s^2 + b_{ij} \cdot s) = RLWE_s(g_js_i^\pm\cdot s)$
它们组成了 $RLWE_s'(s_i^\pm s)$ ，于是我们就得到了
$RGSW_s(s_i^\pm) = (RLWE_s'(s_i^\pm), RLWE_s'(s_i^\pm s))$

On the Fly

为了减少内存开销，[KDE+23] 还提出了动态重构 BK 的方法，用完就立即丢弃。

这儿也是利用了自同构，消除常数项以外的其他系数。我们首先乘以 $X^{-i}$ ，从而提取任意位置的 $s_i^\pm$ 的密文。算法为：

在这里插入图片描述

[KDE+23] 提出了一种新的盲旋转过程，它不需要重构出 $RLWE_s'(s_i^\pm \cdot s)$ ，而是直接根据 $RLWE_s'(s_i^\pm)$ 和 $RLWE_s'(s^2)$ 来计算：给定 $ACC=RLWE_s(f)=(a,b)$ ，给定密文 $LWE_s(u)=(\alpha,\beta)$ ，先计算
$a\cdot RLWE_s'(X^{\alpha_is_i}) = RLWE_s'(a\cdot X^{\alpha_is_i}) = (a',b')$
然后计算
$\cdot RLWE_s'(s^2) + (b',0) = RLWE_s(a's^2+b's) = RLWE_s(as \cdot X^{\alpha_is_i})$
最后计算出
$RLWE_s(as \cdot X^{\alpha_is_i}) + RLWE_s(b \cdot X^{\alpha_is_i}) = RLWE_s(f \cdot X^{\alpha_is_i})$
对于每个 $i$ 都这么计算，最终可以获得 $RLWE_s(f \cdot X^u)$