标签： CIS 455

数学代写|密码学作业代写Cryptography代考|CS6260

Posted on 2023年2月1日2023年2月1日 by statistics-lab

如果你也在怎样代写密码学Cryptography这个学科遇到相关的难题，请随时右上角联系我们的24/7代写客服。

密码学创造了具有隐藏意义的信息；密码分析是破解这些加密信息以恢复其意义的科学。许多人用密码学一词来代替密码学；然而，重要的是要记住，密码学包括了密码学和密码分析。

statistics-lab™ 为您的留学生涯保驾护航在代写密码学Cryptography方面已经树立了自己的口碑, 保证靠谱, 高质且原创的统计Statistics代写服务。我们的专家在代写密码学Cryptography代写方面经验极为丰富，各种代写密码学Cryptography相关的作业也就用不着说。

我们提供的密码学Cryptography及其相关学科的代写，服务范围广, 其中包括但不限于:

Statistical Inference 统计推断
Statistical Computing 统计计算
Advanced Probability Theory 高等概率论
Advanced Mathematical Statistics 高等数理统计学
(Generalized) Linear Models 广义线性模型
Statistical Machine Learning 统计机器学习
Longitudinal Data Analysis 纵向数据分析
Foundations of Data Science 数据科学基础

数学代写|密码学作业代写Cryptography代考|Chosen Plaintext Confidentiality and Ciphertext Integrity Suffice

The main theorem on ciphertext integrity is an important theorem that simplifies the analysis of schemes, since it allows us to deal with chosen ciphertext queries separately from challenge and chosen plaintext queries.

We shall first prove a small lemma on the probability of dependent events. This is a powerful lemma, since it allows us to bound the divergence of two games by isolating a single exceptional event that could cause them to diverge.

(T) Theorem 7.8. Let $\Sigma$ be a symmetric cryptosystem. Let $\mathcal{A}$ be a $\left(\tau, l_c, l_e, l_d\right)$ adversary against indistinguishability. Then there exists a $\left(\tau_1^{\prime}, l_c, l_e, 0\right)$ adversary $\mathcal{B}1$ against indistinguishability and a $\left(\tau_2^{\prime}, l_c+l_e, l_d\right)$-adversary $\mathcal{B}_2$ against integrity, with $\tau_1^{\prime}$ and $\tau_2^{\prime}$ essentially equal to $\tau$, such that $$ \operatorname{Adv}{\Sigma}^{\text {ind-cca }}(\mathcal{A}) \leq \operatorname{Adv}{\Sigma}^{\text {ind-cpa }}\left(\mathcal{B}_1\right)+2 \mathbf{A d v}{\Sigma}^{\text {int-ctxt }}\left(\mathcal{B}_2\right) .
$$
Proof. We first describe the adversaries. The indistinguishability adversary $\mathcal{B}_1$ runs a copy of $\mathcal{A}$ and the following simulator $\operatorname{Sim}_1$.

When $\mathcal{A}$ makes a challenge or a chosen plaintext query, $\operatorname{Sim}_1$ forwards the query to the indistinguishability experiment. It keeps a record $(a d, m, c)$ of chosen plaintext queries with responses.
When $\mathcal{A}$ makes a chosen ciphertext query $(a d, c), \mathbf{S i m}_1$ checks if it has a record $(a d, m, c)$ for some $m$. If it does, $\operatorname{Sim}_1$ sends $m$ to $\mathcal{A}$. Otherwise it sends $\perp$ to $\mathcal{A}$.

If $\mathcal{A}$ outputs $b^{\prime}, \mathcal{B}_1$ outputs $b^{\prime}$. If $\mathcal{A}$ exceeds its bounds, $\mathcal{B}_1$ samples $b^{\prime} \leftarrow^r{0,1}$ and outputs $b^{\prime}$.

The integrity adversary $\mathcal{B}_2$ runs a copy of $\mathcal{A}$ and the following simulator $\operatorname{Sim}_2$.

$\operatorname{Sim}_2$ samples $b \longleftarrow{0,1}$.
When $\mathcal{A}$ sends a challenge query $\left(a d, m_0, m_1\right), \operatorname{Sim}_2$ sends a chosen plaintext query $\left(a d, m_b\right)$. When it gets a response $c$, it records $(a d, c)$. Then it forwards $c$ to $\mathcal{A}$.

数学代写|密码学作业代写Cryptography代考|Authenticated Encryption with Associated Data

We have seen that randomness is vital for secure encryption. Faulty randomness generation is a major threat in cryptography. Bad (pseudo-)random generation have caused a number of disasters, and there also seem to have been deliberate attempts to sabotage pseudo-random number generators.
Therefore, it is useful to make cryptosystems that are more misuse resistant (or user-friendly, where the user is a designer of systems using cryptography), so that if randomness generation should somehow fail the cryptography will not fail completely. To deal with this we shall need another cryptographic object. We stress that this is something that can be used to build a symmetric cryptosystem, but it is not by itself a symmetric cryptosystem.

Definition 7.7. A authenticated encryption scheme with associated data (AEAD) consists of a set $\mathfrak{K}$ of keys, a set $\mathfrak{P}$ of plaintexts, a set $\mathfrak{F}$ of associated data, a set $\mathfrak{N}$ of nonces, a set $\mathfrak{C}$ of ciphertexts,

a deterministic encryption algorithm $\mathcal{E}$ that on input of a key, a nonce, associated data and a plaintext outputs a ciphertext, and
a deterministic decryption algorithm $\mathcal{D}$ that on input of a key, a nonce, associated data and a ciphertext outputs a plaintext or $\perp$.

For any key $k$, nonce no, associated data $a d$ and plaintext $m$, we have that
$$
\mathcal{D}(k, n o, a d, \mathcal{E}(k, n o, a d, m))=m .
$$
It is tempting to design a real-or-random-like security game for AEAD, but this does not work. When the adversary may specify the nonce, the encryption function becomes deterministic. The adversary could then ask for encryptions of several messages of very short length for a fixed nonce and associated data, and expect a collision when random messages are encrypted. An indistinguishability security game could be made to work, but the preferred security notion for AEAD is similar to random-looking ciphertexts from Section 7.1.3.

密码学代写

数学代写|密码学作业代写Cryptography代考|Chosen Plaintext Confidentiality and Ciphertext Integrity Suffice

密文完整性的主要定理是一个简化方案分析的重要定理，因为它允许我们将选择的密文查询与质询和选择的明文查询分开处理。
我们将首先证明一个关于相关事件概率的小引理。这是一个强大的引理，因为它允许我们通过隔离一个可能导致它们发散的异常事件来限制两个游戏的发散。
(T) 定理 7.8。让 $\Sigma$ 是一个对称的密码系统。让 $\mathcal{A}$ 是一个 $\left(\tau, l_c, l_e, l_d\right)$ 对抗不可区分性的对手。那么存在一个 $\left(\tau_1^{\prime}, l_c, l_e, 0\right)$ 对手 $\mathcal{B} 1$ 反对不可区分性和 $\left(\tau_2^{\prime}, l_c+l_e, l_d\right)$-对手 $\mathcal{B}_2$ 反对诚信，与 $\tau_1^{\prime}$ 和 $\tau_2^{\prime}$ 本质上等于 $\tau$ ，这样
$$
\operatorname{Adv} \Sigma^{\text {ind-cca }}(\mathcal{A}) \leq \operatorname{Adv} \Sigma^{\text {ind-cpa }}\left(\mathcal{B}_1\right)+2 \mathbf{A d v} \Sigma^{\text {int-ctxt }}\left(\mathcal{B}_2\right)
$$
证明。我们首先描述对手。难以区分的对手 $\mathcal{B}_1$ 运行一个副本 $\mathcal{A}$ 和以下模拟器Sim $\mathrm{Si}_1$.

什么时候 $\mathcal{A}$ 提出挑战或选择明文查询， $\mathrm{Sim}_1$ 将查询转发给不可区分性实验。它保留记录 $(a d, m, c)$ 带有响应的选定明文查询。
什么时候 $\mathcal{A}$ 进行选定的密文查询 $(a d, c), \mathbf{S i m}_1$ 检查它是否有记录 $(a d, m, c)$ 对于一些 $m$. 如果是这样， $\operatorname{Sim}_1$ 发送 $m$ 到 $\mathcal{A}$. 否则发送上到 $\mathcal{A}$.
如果 $\mathcal{A}$ 产出 $b^{\prime}, \mathcal{B}_1$ 产出 $b^{\prime}$. 如果 $\mathcal{A}$ 超出其界限， $\mathcal{B}_1$ 样品 $b^{\prime} \leftarrow^r 0,1$ 和输出 $b^{\prime}$.
完整性对手 $\mathcal{B}_2$ 运行一个副本 $\mathcal{A}$ 和以下模拟器 $S i m_2$.
$\operatorname{Sim}_2$ 样品 $b \longleftarrow 0,1$.
什么时候 $\mathcal{A}$ 发送挑战查询 $\left(a d, m_0, m_1\right), \operatorname{Sim}_2$ 发送选定的明文查询 $\left(a d, m_b\right)$. 当它得到回应时 $c$ ，它记录 $(a d, c)$. 然后转发 $c$ 到 $\mathcal{A}$.

数学代写|密码学作业代写Cryptography代考|Authenticated Encryption with Associated Data

我们已经看到随机性对于安全加密至关重要。错误的随机生成是密码学中的主要威胁。糟糕的 (伪) 随机数生成已经造成了很多灾难，而且似乎也有人葸意破坏伪随机数生成器。
因此，使密码系统更能防止误用（或用户友好，用户是使用密码系统的设计者）是有用的，这样如果随机生成不知何故失败，密码系统就不会完全失败。为了解决这个问题，我们将需要另一个加密对象。我们强调这是可以用来构建对称密码系统的东西，但它本身并不是一个对称密码系统。
定义 7.7。具有关联数据的经过身份验证的加密方案 (AEAD) 由一组 $\mathfrak{R}$ 键，一组 $\mathfrak{P}$ 明文，一组 $\mathfrak{F}$ 相关数据，一组 $\mathfrak{N}$ 随机数，一组的密文，

确定性加密算法 $\mathcal{E}$ 输入密钥、随机数、相关数据和明文输出密文，以及
确定性解密算法 $\mathcal{D}$ 输入密钥、随机数、相关数据和密文输出明文或 $\perp$.
对于任意键 $k$, nonce no, 关联数据 $a d$ 和明文 $m$ ，我们有
$$
\mathcal{D}(k, n o, a d, \mathcal{E}(k, n o, a d, m))=m .
$$
为 $A E A D$ 设计一个类似真实或随机的安全游戏很诱人，但这行不通。当对手可以指定 nonce 时，加密函数就变得确定了。然后，对手可能会要求对几条长度非常短的消息进行加密，以获得固定的随机数和相关数据，并期望在加密随机消息时发生冲突。可以使不可区分性安全游戏起作用，但 AEAD 的首选安全概念类似于第 $7.1 .3$ 节中的随机密文。

数学代写|密码学作业代写Cryptography代考请认准statistics-lab™

统计代写请认准statistics-lab™. statistics-lab™为您的留学生涯保驾护航。

金融工程代写

金融工程是使用数学技术来解决金融问题。金融工程使用计算机科学、统计学、经济学和应用数学领域的工具和知识来解决当前的金融问题，以及设计新的和创新的金融产品。

非参数统计代写

非参数统计指的是一种统计方法，其中不假设数据来自于由少数参数决定的规定模型；这种模型的例子包括正态分布模型和线性回归模型。

广义线性模型代考

广义线性模型（GLM）归属统计学领域，是一种应用灵活的线性回归模型。该模型允许因变量的偏差分布有除了正态分布之外的其它分布。

术语广义线性模型（GLM）通常是指给定连续和/或分类预测因素的连续响应变量的常规线性回归模型。它包括多元线性回归，以及方差分析和方差分析（仅含固定效应）。

有限元方法代写

有限元方法（FEM）是一种流行的方法，用于数值解决工程和数学建模中出现的微分方程。典型的问题领域包括结构分析、传热、流体流动、质量运输和电磁势等传统领域。

有限元是一种通用的数值方法，用于解决两个或三个空间变量的偏微分方程（即一些边界值问题）。为了解决一个问题，有限元将一个大系统细分为更小、更简单的部分，称为有限元。这是通过在空间维度上的特定空间离散化来实现的，它是通过构建对象的网格来实现的：用于求解的数值域，它有有限数量的点。边界值问题的有限元方法表述最终导致一个代数方程组。该方法在域上对未知函数进行逼近。[1] 然后将模拟这些有限元的简单方程组合成一个更大的方程系统，以模拟整个问题。然后，有限元通过变化微积分使相关的误差函数最小化来逼近一个解决方案。

tatistics-lab作为专业的留学生服务机构，多年来已为美国、英国、加拿大、澳洲等留学热门地的学生提供专业的学术服务，包括但不限于Essay代写，Assignment代写，Dissertation代写，Report代写，小组作业代写，Proposal代写，Paper代写，Presentation代写，计算机作业代写，论文修改和润色，网课代做，exam代考等等。写作范围涵盖高中，本科，研究生等海外留学全阶段，辐射金融，经济学，会计学，审计学，管理学等全球99%专业科目。写作团队既有专业英语母语作者，也有海外名校硕博留学生，每位写作老师都拥有过硬的语言能力，专业的学科背景和学术写作经验。我们承诺100%原创，100%专业，100%准时，100%满意。

随机分析代写

随机微积分是数学的一个分支，对随机过程进行操作。它允许为随机过程的积分定义一个关于随机过程的一致的积分理论。这个领域是由日本数学家伊藤清在第二次世界大战期间创建并开始的。

时间序列分析代写

随机过程，是依赖于参数的一组随机变量的全体，参数通常是时间。随机变量是随机现象的数量表现，其时间序列是一组按照时间发生先后顺序进行排列的数据点序列。通常一组时间序列的时间间隔为一恒定值（如1秒，5分钟，12小时，7天，1年），因此时间序列可以作为离散时间数据进行分析处理。研究时间序列数据的意义在于现实中，往往需要研究某个事物其随时间发展变化的规律。这就需要通过研究该事物过去发展的历史记录，以得到其自身发展的规律。

回归分析代写

多元回归分析渐进（Multiple Regression Analysis Asymptotics）属于计量经济学领域，主要是一种数学上的统计分析方法，可以分析复杂情况下各影响因素的数学关系，在自然科学、社会和经济学等多个领域内应用广泛。

MATLAB代写

MATLAB 是一种用于技术计算的高性能语言。它将计算、可视化和编程集成在一个易于使用的环境中，其中问题和解决方案以熟悉的数学符号表示。典型用途包括：数学和计算算法开发建模、仿真和原型制作数据分析、探索和可视化科学和工程图形应用程序开发，包括图形用户界面构建MATLAB 是一个交互式系统，其基本数据元素是一个不需要维度的数组。这使您可以解决许多技术计算问题，尤其是那些具有矩阵和向量公式的问题，而只需用 C 或 Fortran 等标量非交互式语言编写程序所需的时间的一小部分。MATLAB 名称代表矩阵实验室。MATLAB 最初的编写目的是提供对由 LINPACK 和 EISPACK 项目开发的矩阵软件的轻松访问，这两个项目共同代表了矩阵计算软件的最新技术。MATLAB 经过多年的发展，得到了许多用户的投入。在大学环境中，它是数学、工程和科学入门和高级课程的标准教学工具。在工业领域，MATLAB 是高效研究、开发和分析的首选工具。MATLAB 具有一系列称为工具箱的特定于应用程序的解决方案。对于大多数 MATLAB 用户来说非常重要，工具箱允许您学习和应用专业技术。工具箱是 MATLAB 函数（M 文件）的综合集合，可扩展 MATLAB 环境以解决特定类别的问题。可用工具箱的领域包括信号处理、控制系统、神经网络、模糊逻辑、小波、仿真等。

R语言代写	问卷设计与分析代写
PYTHON代写	回归分析与线性模型代写
MATLAB代写	方差分析与试验设计代写
STATA代写	机器学习/统计学习代写
SPSS代写	计量经济学代写
EVIEWS代写	时间序列分析代写
EXCEL代写	深度学习代写
SQL代写	各种数据建模与可视化代写

数学代写|密码学作业代写Cryptography代考|CIS556

Posted on 2023年2月1日2023年2月1日 by statistics-lab

如果你也在怎样代写密码学Cryptography这个学科遇到相关的难题，请随时右上角联系我们的24/7代写客服。

我们提供的密码学Cryptography及其相关学科的代写，服务范围广, 其中包括但不限于:

Statistical Inference 统计推断
Statistical Computing 统计计算
Advanced Probability Theory 高等概率论
Advanced Mathematical Statistics 高等数理统计学
(Generalized) Linear Models 广义线性模型
Statistical Machine Learning 统计机器学习
Longitudinal Data Analysis 纵向数据分析
Foundations of Data Science 数据科学基础

数学代写|密码学作业代写Cryptography代考|Random-Looking Ciphertexts

Some cryptosystems actually provide a stronger notion of real-or-random than the one defined above. The idea is that encryptions of chosen messages are not only hard to distinguish from encryptions of random messages but also hard to distinguish from randomness that is completely independent not only of the chosen message and the associated data, but of the secret key itself.
This property is quite convenient when symmetric cryptography is used as part of a larger system, but it does also have direct applications. One application is to hide a ciphertext in random noise. Another is to show that ciphertexts are pseudo-random, which means that results requiring randomness (such as the left-over hash lemma) can be used.

Definition 7.5. Let $\Sigma=(\mathfrak{K}, \mathfrak{P}, \mathfrak{F}, \mathfrak{C}, \mathcal{E}, \mathcal{D})$ be a symmetric cryptosystem. A noise family $R$ is a family of sampling algorithms indexed by the non-negative integers. An $\left(\tau, l_c, l_e, l_d\right)$-adversary against $R$-random for a symmetric cryptosystem $\Sigma$ is an interactive algorithm $\mathcal{A}$ that interacts with the experiment in Figure $7.8$ making at most $l_e$ challenge queries, $l_e$ chosen plaintext queries and $l_d$ chosen ciphertext queries, and where the runtime of the adversary and the experiment is at most $\tau$.
The advantage of this adversary is defined to be
$$
\operatorname{Adv}_{\Sigma}^{\mathrm{R}-\mathrm{rnd}}(\mathcal{A})=2|\operatorname{Pr}[E]-1 / 2|,
$$
where $E$ is the event that $b^{\prime}$ output by $\mathcal{A}$ equals the experiment’s $b$.
Exercise 7.7. Let $\Sigma$ be a cryptosystem with ciphertext set $\mathfrak{C}$ and let $R$ be a noise family on $\mathfrak{C}$. Prove that if $\mathcal{A}$ is any $\left(\tau, l_c, l_e, l_d\right)$-adversary against real-orrandom security, then there exists a $\left(\tau^{\prime}, l_c, l_e, l_d\right)$-adversary against $R$-random security for the cryptosystem where $\tau^{\prime}$ is essentially the same as $\tau$ and their advantage are roughly the same (up to a small multiple).

数学代写|密码学作业代写Cryptography代考|Integrity

For many applications, integrity is more important than confidentiality. Informally, we have integrity if the adversary is unable to create valid ciphertexts that decrypt to new messages. We shall discuss variants of these notions.
We shall define two integrity notions. The first, plaintext integrity, says that the adversary cannot come up with a ciphertext that decrypts to a new message, that is, one not previously submitted as a chosen plaintext query. This intuitively seems to match the sort of integrity we want in applications.
The second integrity notion, ciphertext integrity, says that the adversary cannot come up with a new valid ciphertext, that is, one not previously returned by a chosen plaintext query. This intuitively seems too strong for applications, but this notion is easier to work with and is what we will use for proofs. It also turns out that for many applications the stronger security notion is safer and easier to work with.

Definition 7.6. An $\left(\tau, l_e, l_d\right)$-adversary against integrity for a symmetric cryptosystem $\Sigma$ is an interactive algorithm $\mathcal{A}$ that interacts with the experiment in Figure $7.9$ making at most $l_e$ chosen plaintext queries and $l_d$ test queries, and where the runtime of the adversary and the experiment is at most $\tau$.

The plaintext and ciphertext (integrity) advantages for this adversary are
$$
\operatorname{Adv}{\Sigma}^{\mathrm{int}-\mathrm{ptxt}}(\mathcal{A})=\operatorname{Pr}[E] \quad \text { and } \quad \mathbf{A d v}{\Sigma}^{\text {int-ctxt }}(\mathcal{A})=\operatorname{Pr}[F],
$$
where $E$ is the event that for some test query $(a d, c)$, the decryption $m \neq \perp$ and $(a d, m) \notin M$, and $F$ is the event that for some test query $(a d, c) \notin C$, the decryption is not $\perp$. The ciphertexts in events $E$ and $F$ are called forgeries.
Informally, we say that a scheme has plaintext integrity if we have some reasonable argument for why any feasible integrity adversary has no significant plaintext integrity advantage. Ciphertext integrity carries the corresponding informal meaning. If we do know about feasible adversaries with significant advantage, we say that the scheme has no plaintext/ciphertext integrity.
Consider the events $E$ and $F$ in the above definition. Since the event $E$ cannot happen unless $F$ happens, it is clear that for any adversary against integrity, its plaintext advantage is not smaller than its ciphertext advantage. We shall now prove that the converse is not true, which shows that unlike our confidentiality notions, these two integrity notions are not equivalent.

密码学代写

数学代写|密码学作业代写Cryptography代考|Random-Looking Ciphertexts

一些密码系统实际上提供了比上面定义的更强的真实或随机概念。这个想法是，所选消息的加密不仅难以与随机消息的加密区分开来，而且也难以与随机性区分开来，随机性不仅完全独立于所选消息和相关数据，而且独立于密钥本身。
当对称密码学用作较大系统的一部分时，此属性非常方便，但它也有直接的应用程序。一种应用是将密文隐藏在随机橾声中。另一个是证明密文是伪随机的，这意味着可以使用需要随机性的结果 (例如遗留的哈希引理）。
定义 7.5。让 $\Sigma=(\mathfrak{K}, \mathfrak{P}, \mathfrak{F}, \mathfrak{C}, \mathcal{E}, \mathcal{D})$ 是一个对称的密码系统。噪音一家 $R$ 是一组由非负整数索引的采样算法。一个 $\left(\tau, l_c, l_e, l_d\right)$-对手反对 $R$-随机的对称密码系统 $\Sigma$ 是一种交互式算法 $\mathcal{A}$ 与图中的实验交互 $7.8$ 最多做 $l_e$ 挑战查询， $l_e$ 选择的明文查询和 $l_d$ 选择的密文查询，以及对手和实验的运行时间最多的地方 $\tau$. 这个对手的优势被定义为
$$
\operatorname{Adv}_{\Sigma}^{\mathrm{R}-\mathrm{rnd}}(\mathcal{A})=2|\operatorname{Pr}[E]-1 / 2|
$$
在哪里 $E$ 是事件 $b^{\prime}$ 输出方式 $\mathcal{A}$ 等于实验的 $b$.
练习 7.7。让 $\Sigma$ 是一个带有密文集的密码系统 $\mathfrak{C}$ 然后让 $R$ 成为噪音家庭 $\mathfrak{C}$. 证明如果 $\mathcal{A}$ 是任何 $\left(\tau, l_c, l_e, l_d\right)$ 对抗真实随机安全性的对手，则存在 $\left(\tau^{\prime}, l_c, l_e, l_d\right)$-对手反对 $R$ – 密码系统的随机安全性 $\tau^{\prime}$ 本质上是一样的 $\tau$ 并且它们的优势大致相同（最多很小的倍数）。

数学代写|密码学作业代写Cryptography代考|Integrity

对于许多应用程序，完整性比机密性更重要。非正式地，如果对手无法创建有效的密文来解密新消息，我们就具有完整性。我们将讨论这些概念的变体。
我们将定义两个完整性概念。第一个，明文完整性，表示对手无法提供解密为新消息的密文，即以前末作为选定明文查询提交的消息。这在直觉上似乎符合我们在应用程序中想要的那种完整性。
第二个完整性概念，密文完整性，表示对手无法提出新的有效密文，即先前末由所选明文查询返回的密文。这在直觉上似乎对应用程序来说太强大了，但这个概念更容易使用，我们将用它来证明。事实证明，对于许多应用程序而言，更强的安全概乒更安全且更易于使用。
定义 7.6。一个 $\left(\tau, l_e, l_d\right)$-对抗对称密码系统完整性的敌手 $\Sigma$ 是一种交互式算法 $\mathcal{A}$ 与图中的实验交互 $7.9$ 最多做 $l_e$ 选择的明文查询和 $l_d$ 测试查询，以及对手和实验的运行时间最多在哪里 $\tau$.
这个对手的明文和密文 (完整性) 优势是
$$
\operatorname{Adv} \Sigma^{\text {int-ptxt }}(\mathcal{A})=\operatorname{Pr}[E] \quad \text { and } \quad \operatorname{Adv} \Sigma^{\text {int-ctxt }}(\mathcal{A})=\operatorname{Pr}[F],
$$
在哪里 $E$ 是一些测试查询的事件 $(a d, c)$ ，解密 $m \neq \perp$ 和 $(a d, m) \notin M$ ，和 $F$ 是一些测试查询的事件 $(a d, c) \notin C$ ，解密不上. 事件中的密文 $E$ 和 $F$ 被称为伪造品。
非正式地，如果我们有一些合理的论据来说明为什么任何可行的完整性对手没有显着的明文完整性优势，我们就说一个方案具有明文完整性。密文完整性具有相应的非正式含义。如果我们确实知道具有显着优势的可行对手，我们就说该方案设有明文/密文完整性。
考虑事件 $E$ 和 $F$ 在上面的定义中。活动以来 $E$ 除非 $F$ 很明显，对于任何反对完整性的对手来说，其明文优势不小于其密文优势。现在我们将证明相反的情况不成立，这表明与我们的机密性概念不同，这两个完整性概念并不等价。

统计代写请认准statistics-lab™. statistics-lab™为您的留学生涯保驾护航。

金融工程代写

非参数统计代写

非参数统计指的是一种统计方法，其中不假设数据来自于由少数参数决定的规定模型；这种模型的例子包括正态分布模型和线性回归模型。

广义线性模型代考

广义线性模型（GLM）归属统计学领域，是一种应用灵活的线性回归模型。该模型允许因变量的偏差分布有除了正态分布之外的其它分布。

有限元方法代写

随机分析代写

时间序列分析代写

回归分析代写

MATLAB代写

R语言代写	问卷设计与分析代写
PYTHON代写	回归分析与线性模型代写
MATLAB代写	方差分析与试验设计代写
STATA代写	机器学习/统计学习代写
SPSS代写	计量经济学代写
EVIEWS代写	时间序列分析代写
EXCEL代写	深度学习代写
SQL代写	各种数据建模与可视化代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CS171

Posted on 2022年11月28日2022年11月28日 by statistics-lab

如果你也在怎样代写密码学Cryptography & Cryptanalysis这个学科遇到相关的难题，请随时右上角联系我们的24/7代写客服。

statistics-lab™ 为您的留学生涯保驾护航在代写密码学Cryptography & Cryptanalysis方面已经树立了自己的口碑, 保证靠谱, 高质且原创的统计Statistics代写服务。我们的专家在代写密码学Cryptography & Cryptanalysis代写方面经验极为丰富，各种代写密码学Cryptography & Cryptanalysis相关的作业也就用不着说。

我们提供的密码学Cryptography & Cryptanalysis及其相关学科的代写，服务范围广, 其中包括但不限于:

Statistical Inference 统计推断
Statistical Computing 统计计算
Advanced Probability Theory 高等概率论
Advanced Mathematical Statistics 高等数理统计学
(Generalized) Linear Models 广义线性模型
Statistical Machine Learning 统计机器学习
Longitudinal Data Analysis 纵向数据分析
Foundations of Data Science 数据科学基础

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CS171

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Enumerating Short Vectors

We would like to find a short vector in a lattice. One idea would simply be to enumerate all linear combinations of the basis vectors with some bound on the coefficients. Unfortunately, short vectors could in principle come from linear combinations with large coefficients. Instead, we shall use the Gram-Schmidt basis to bound the size of the coefficients.

We shall find all points $\mathbf{u}$ in a lattice with $|\mathbf{u}|^2 \leq A^2$ for some bound $A^2$. Let $\mathbf{b}_1, \mathbf{b}_2, \ldots, \mathbf{b}_n$ be a basis for $\Lambda$, and let $\mathbf{b}_1^, \ldots, \mathbf{b}_n^$ be the corresponding Gram-Schmidt basis. Note that for any vector $\mathbf{u} \in \Lambda$, we can write it as a linear combination of the Gram-Schmidt basis vectors $\mathbf{u}=\sum_i \alpha_i \mathbf{b}i^$ and then $$ |\mathbf{u}|^2=\sum{i=1}^n \alpha_i^2\left|\mathbf{b}_i^\right|^2
$$
Recall that $\mathbf{b}_n^$ is the part of $\mathbf{b}_n$ that is orthogonal to all the earlier basis vectors. This means when $\mathbf{u}=\sum_i a_i \mathbf{b}_i=\sum_i \alpha_i \mathbf{b}_i^$, then $a_n=\alpha_n$. Therefore, if $\alpha\left|\mathbf{b}_n^*\right|>A$ then $|\mathbf{u}|>A$.

We therefore begin by enumerating vectors with $n$-th coordinate $a_n$ between $-\left\lfloor A /\left|\mathbf{b}_n^\right|\right\rfloor$ and $+\left\lfloor A /\left|\mathbf{b}_n^\right|\right\rfloor$.

Given $a_n$, we can now consider the possibilities for $a_{n-1}$. Of course, this time, the contribution in the direction of $\mathbf{b}{n-1}^$ is that given by $a{n-1} \mathbf{b}{n-1}$ and $a_n \mathbf{b}_n$, where the latter’s contribution is $a_n \mu{n, n-1}\left|\mathbf{b}{n-1}^\right|$. So given $a_n$, we want to enumerate all the $(n-1)$-th coordinates $a{n-1}$ such that
$$
\left(a_{n-1}+a_n \mu_{n, n-1}\right)^2\left|\mathbf{b}{n-1}^\right|^2+a_n^2\left|\mathbf{b}_n^\right|^2 \leq A^2{ }^2
$$
In general, given $a{i+1}, \ldots, a_n$, we consider the possibilities for $a_i$. Again, we want to enumerate all $a_i$ such that
$$
\left(a_i+\sum_{j=i+1}^n a_j \mu_{j i}\right)^2\left|\mathbf{b}i^\right|^2+\sum{j=i+1}^n\left(a_j+\sum_{k=j+1}^n a_k \mu_{k, j}\right)^2\left|\mathbf{b}j^\right|^2 \leq A^2
$$
For some choices of $a{i+1}, \ldots, a_n$ there may be no possible choices for $a_i$, in which case we stop and continue with other choices for $a_{i+1}, \ldots, a_n$.

Whenever we find a non-empty region for $a_1$ and enumerate those values, we enumerate lattice vectors of length less than $A$. It is clear that for any lattice point $\mathbf{u}$ of length less than $A$, this point must be among the lattice point eventually enumerated.

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Digital Signatures

We shall now consider a variant of the original cryptographic problem. Alice wants to send messages to Bob via some channel. Eve has access to the channel, and she may tamper with anything sent over the channel, and even introduce her own messages. Alice wants her messages to Bob to arrive without modification, or if it they have been tampered with, Bob should notice.
The obvious solution is for Alice and Bob to have a shared secret and use a message authentication code. But Bob may have many correspondents, and may not want to manage shared secrets with each of them.

What if Alice wants to make her message public and let anyone, even people Alice has never met, convince themselves that Alice sent the message?
The solution is digital signatures, which resemble message authentication codes. As for public key encryption, we have two keys, one key for creating tags and another key for verifying them. The tags are called signatures and creating them is called signing. Alice makes the verification key public key, allowing anyone to verify, and keeps the signing key secret.

Before we begin the design of signature schemes, we shall discuss hash functions, a tool that we can use to extend the plaintext space for signatures, simplifying the design of signature schemes.

The first class of signature schemes we study are based on the famous RSA cryptosystem. At first sight, this system looks like a “dual” of the textbook RSA public key encryption scheme, but this similarity is superficial.

The second class of signature schemes we study is based on a much deeper theory, namely how to argue convincingly that something is true without revealing the evidence for why it is true.

We shall discuss few new computational algorithms in this chapter, since we are in effect reusing analysis we did in the previous two chapters.

Before we end, we briefly discuss signatures that are not based on numbertheoretic problems, as well as how to use signatures to protect key exchange.

密码学代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Enumerating Short Vectors

我们想在格子中找到一个短向量。一种想法是简单地枚举基向量的所有线性组合，并在系数上有一些限制。不幸的是，短向量原则上可能来自具有大系数的线性组合。相反，我们将使用 Gram-Schmidt 基来限制系数的大小。
我们将找到所有点 $\mathbf{u}$ 在一个格子中 $|\mathbf{u}|^2 \leq A^2$ 对于某些绑定 $A^2$. 让 $\mathbf{b}1, \mathbf{b}_2, \ldots, \mathbf{b}_n$ 成为基础 $\Lambda$ ，然后让 Imathbf{b}_1^, Idots，\mathbf{b}_n^ 是对应的 Gram-Schmidt 基。请注意，对于任何向量 $\mathbf{u} \in \Lambda$ ，我们可以将其写成 Gram-Schmidt 基向量的线性组合 Imathbf{u}=Isum_i Ialpha_i \mathbffb}i^ 接着回顾 $\backslash m a t h b f{b}{-} n^{\wedge}$ 是的一部分 $\mathbf{b}n$ 与所有先前的基向量正交。这意味着当 $|\mathbf{u}|>A$ +\leftlfloor A $/$ left|\mathbf{b}_n^\right|\rightııfloor. 鉴于 $a_n$ ，我们现在可以考虑以下可能性 $a{n-1}$. 当然，这一次，方向的贡献 $\backslash$ mathbf $\left.{\mathrm{b}} n-1\right}$ 是由 $a n-1 \mathbf{b} n-1$ 和 $a_n \mathbf{b}n$ ，其中后者的贡献是 $\left.a{-} n \backslash m u{n, n-1} \backslash l f t \mid \backslash m a t h b f{b} n-1\right} \wedge \backslash r i g h t \mid$. 所以给出 $a_n$ ，我们想枚举所有 $(n-1)$-th 坐标 $a n-1$ 这样
left(a_{n-1}+a_n $\backslash m u_{-}{n, n-1} \backslash$ right $)^{\wedge} 2 \backslash$ left $\left.\left|\backslash m a t h b f{b}{n-1}^{\wedge} \backslash r i g h t\right|\right|^{\wedge} 2+a_{-} n^{\wedge} 2 \backslash l$ eft $\left.\mid \backslash m a t h b f f b\right}\left.{-} n^{\wedge} \backslash r i g h t\right|^{\wedge} 2 \backslash$ leq $A^{\wedge} 2{}^{\wedge} 2$ 一般来说，给定 $a i+1, \ldots, a_n$ ，我们考虑的可能性 $a_i$. 同样，我们要枚举所有 $a_i$ 这样对于某些选择 $a i+1, \ldots, a_n$ 可能没有可能的选择 $a_i$ ，在这种情况下我们停止并继续其他选择 $a{i+1}, \ldots, a_n$.
每当我们找到一个非空区域 $a_1$ 并枚举这些值，我们枚举长度小于 $A$. 显然对于任意格点 $\mathbf{u}$ 长度小于 $A$ ，这个点一定在最终枚举出的格点之中。

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Digital Signatures

我们现在将考虑原始密码问题的一个变体。Alice 想通过某个通道向 Bob 发送消息。Eve 可以访问该频道，她可以篡改通过该频道发送的任何内容，甚至可以引入她自己的消息。Alice 希望她发送给 Bob 的消息不加修改地到达，或者如果消息被篡改，Bob 应该注意到。
显而易见的解决方案是让 Alice 和 Bob 共享一个秘密并使用消息验证码。但是 Bob 可能有很多通信者，并且可能不想管理与他们每个人共享的秘密。

如果 Alice 想公开她的消息，让任何人（甚至是 Alice 从未见过的人）说服自己是 Alice 发送的消息怎么办？
解决方案是数字签名，类似于消息验证码。至于公钥加密，我们有两把钥匙，一把用来创建标签，另一把用来验证标签。标签称为签名，创建它们称为签名。爱丽丝将验证密钥设为公钥，允许任何人验证，并将签名密钥保密。

在我们开始设计签名方案之前，我们将讨论哈希函数，这是一个我们可以用来扩展签名明文空间的工具，简化签名方案的设计。

我们研究的第一类签名方案是基于著名的 RSA 密码系统。乍一看，这个系统像是教科书RSA公钥加密方案的“双重”，但这种相似是表面的。

我们研究的第二类签名方案基于更深层次的理论，即如何在不揭示其真实性的证据的情况下令人信服地论证某事为真。

我们将在本章中讨论一些新的计算算法，因为我们实际上是在重用前两章中所做的分析。

在结束之前，我们将简要讨论不基于数论问题的签名，以及如何使用签名来保护密钥交换。

数学代写|密码学作业代写Cryptography & Cryptanalysis代考请认准statistics-lab™

统计代写请认准statistics-lab™. statistics-lab™为您的留学生涯保驾护航。

金融工程代写

非参数统计代写

非参数统计指的是一种统计方法，其中不假设数据来自于由少数参数决定的规定模型；这种模型的例子包括正态分布模型和线性回归模型。

广义线性模型代考

广义线性模型（GLM）归属统计学领域，是一种应用灵活的线性回归模型。该模型允许因变量的偏差分布有除了正态分布之外的其它分布。

有限元方法代写

随机分析代写

时间序列分析代写

回归分析代写

MATLAB代写

R语言代写	问卷设计与分析代写
PYTHON代写	回归分析与线性模型代写
MATLAB代写	方差分析与试验设计代写
STATA代写	机器学习/统计学习代写
SPSS代写	计量经济学代写
EVIEWS代写	时间序列分析代写
EXCEL代写	深度学习代写
SQL代写	各种数据建模与可视化代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CS709

Posted on 2022年11月28日2022年11月28日 by statistics-lab

如果你也在怎样代写密码学Cryptography & Cryptanalysis这个学科遇到相关的难题，请随时右上角联系我们的24/7代写客服。

我们提供的密码学Cryptography & Cryptanalysis及其相关学科的代写，服务范围广, 其中包括但不限于:

Statistical Inference 统计推断
Statistical Computing 统计计算
Advanced Probability Theory 高等概率论
Advanced Mathematical Statistics 高等数理统计学
(Generalized) Linear Models 广义线性模型
Statistical Machine Learning 统计机器学习
Longitudinal Data Analysis 纵向数据分析
Foundations of Data Science 数据科学基础

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CS709

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Enumerating Short Vectors

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Algorithm

As we saw, if we have an orthogonal basis, we can solve the closest vector problem, and if we have a nearly orthogonal basis, we can solve closest vector problem if the closest vector is close enough to a lattice point.

The natural question is how to find a reasonably good basis that will allow us to solve the closest vector problem. The first goal should be to be precise about what we mean by “reasonably good”.

Definition 3.9. Let $\mathbf{b}1, \mathbf{b}_2, \ldots, \mathbf{b}_n$ be a lattice basis, with Gram-Schmidt basis $\mathbf{b}_1^, \ldots, \mathbf{b}_n^$ and Gram-Schmidt coefficients $\mu{i j}$, as defined in (3.6). Let $\frac{1}{4}<\delta<1$ be a real number. We say that the basis is $\delta$-LLL-reduced if $$ \begin{aligned} \left|\mu_{i j}\right| & \leq \frac{1}{2} & & \text { for all } 1 \leq j{i-1}^\right|^2 & \leq\left|\mathbf{b}_i^\right|^2+\mu{i, i-1}^2\left|\mathbf{b}{i-1}^\right|^2 & & \text { for all } 2 \leq i \leq n . \end{aligned} $$ When a basis satisfies (3.8) we cannot easily make the basis vectors more orthogonal. When the basis satisfies (3.9), the basis vectors of the GramSchmidt orthogonalisation will be ordered roughly according to length. Exercise 3.62. A common choice for $\delta$ is $3 / 4$. Show that (3.9) then implies $$ \left|\mathbf{b}{i-1}^\right|^2 \leq 2\left|\mathbf{b}_i^*\right|^2 \text { for all } 2 \leq i \leq n .
$$
Hint: You may use the fact that (3.8) also must hold.
That an LLL-reduced basis is somehow a good basis can be seen from the following fact, which we state without proof.

Fact 3.22. Suppose $\mathbf{b}_1, \mathbf{b}_2, \ldots, \mathbf{b}_n$ with corresponding basis matrix $\mathbf{B}$ is a 3/4-LLL-reduced basis for a lattice $\Lambda$. Then $\left|\mathbf{b}_1\right| \leq 2^{(n-1) / 2} \lambda_1(\Lambda)$. Also, if $\mathbf{x} \in \mathbb{R}^n$, then
$$
\left|\mathbf{x}-\left\lfloor\mathbf{x} \mathbf{B}^{-1}\right\rceil \mathbf{B}\right| \leq\left(1+2 n(9 / 2)^{n / 2}\right)|\mathbf{x}-\mathbf{u}| \text { for any } \mathbf{u} \in \Lambda
$$
We know that $\lambda_1(\Lambda) \leq \sqrt{\gamma} \operatorname{det}(\Lambda)^{1 / n}$, which means that if we have an LLLreduced basis and use $\left|\mathbf{b}_1\right|$ as our search bound, the enumeration approach from the previous section will have to enumerate at most
$$
\frac{\left(2^{(n-1) / 2} \gamma^{1 / 2} \operatorname{det}(\Lambda)^{1 / n}\right)^n}{\operatorname{det}(\Lambda)}=2^{n(n-1) / 2} \gamma^{n / 2}
$$
points. While it does not affect the upper bound we deduced, having the Gram-Schmidt vectors not too small will decrease the total number of points the algorithm will iterate over.

We also note that the LLL-reduced basis will give us an estimate for the closest vector problem. (There are better ways to use the LLL-reduced basis.)

密码学代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Enumerating Short Vectors

我们想在格子中找到一个短向量。一种想法是简单地枚举基向量的所有线性组合，并在系数上有一些限制。不幸的是，短向量原则上可能来自具有大系数的线性组合。相反，我们将使用 Gram-Schmidt 基来限制系数的大小。
我们将找到所有点 $\mathbf{u}$ 在一个格子中 $|\mathbf{u}|^2 \leq A^2$ 对于某些绑定 $A^2$. 让 $\mathbf{b}1, \mathbf{b}_2, \ldots, \mathbf{b}_n$ 成为基础 $\Lambda$ ，然后让 Imathbf ${b}{-} 1^{\wedge}$, \ddots, \mathbf ${b}_{-} n^{\wedge}$ 是对应的 Gram-Schmidt 基。请注意，对于任何向量 $\mathbf{u} \in \Lambda$ ，我们可以将其写成 Gram-Schmidt 基向量的线性组合 Imathbf{u}=\sum_i \alpha_i \mathbf{b}i^ 接着
回顾 $\backslash m a t h b f{b}_{-} n^{\wedge}$ 是的一部分 $\mathbf{b}n$ 与所有先前的基向量正交。这意味着当 Imathbf{u}=Isum_i a_i \mathbf ${b}}{-} i=\backslash$ sum_i lalpha_i $\backslash m a t h b f{b}$ i^ ，然后 $a_n=\alpha_n$. 因此，如果 $\alpha\left|\mathbf{b}_n^*\right|>A$ 然后 $|\mathbf{u}|>A$ +\leftlfloor A $/$ left|\mathbffb}_n^\right||rightırfloor. 鉴于 $a_n$ ，我们现在可以考虑以下可能性 $a{n-1}$. 当然，这一次，方向的贡献 $\left.\backslash m a t h b f{b} n-1\right} \wedge$ 是由 $a n-1 \mathbf{b} n-1$ 和 $a_n \mathbf{b}n$ ，其中后者的贡献是 $a{-} n \backslash m u{n, n-1} \backslash l$ ft $\mid \backslash m a t h b f{b}{n-1} \wedge \backslash$ ight $\mid$. 所以给出 $a_n$ ，我们想枚举所有 $(n-1)$-th 坐标 $a n-1$ 这样
一般来说，给定 $a i+1, \ldots, a_n$ ，我们考虑的可能性 $a_i$. 同样，我们要枚举所有 $a_i$ 这样
对于某些选择 $a i+1, \ldots, a_n$ 可能没有可能的选择 $a_i$ ，在这种情况下我们停止并继续其他选择 $a_{i+1}, \ldots, a_n$.
每当我们找到一个非空区域 $a_1$ 并枚举这些值，我们枚举长度小于 $A$. 显然对于任意格点 $\mathbf{u}$ 长度小于 $A$ ，这个点一定在最终枚举出的格点之中。

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Algorithm

如我们所见，如果我们有一个正交基，我们可以解决最近向量问题，如果我们有一个近似正交基，我们可以解决最近向量问题，前提是最近向量足够接近格点。
自然的问题是如何找到一个相当好的基础，使我们能够解决最接近的向量问题。第一个目标应该是准确说明我们所说的”相当好”的含义。 Schmidt 系数 $\mu i j$, 如 (3.6) 中所定义。让 $\frac{1}{4}<\delta<1$ 是一个实数。我们说基础是 $\delta$-LLL-减少如果
当基满足 (3.8) 时，我们不能轻易地使基向量更正交。当基满足(3.9)时，GramSchmidt正交化的基向量将大致按长度排序。练习 3.62。一个共同的选择 $\delta$ 是 $3 / 4$. 证明 (3.9) 然后蕴含
提示: 您可以使用 (3.8) 也必须成立的事实。
LLL 缩减基在某种程度上是一个很好的基，可以从以下事实中看出，我们没有证明就陈述了这一点。
事实 3.22。认为 $\mathbf{b}_1, \mathbf{b}_2, \ldots, \mathbf{b}_n$ 具有相应的基矩阵 $\mathbf{B}$ 是晶格的 3/4-LLL 缩减基 $\Lambda$. 然后 $\left|\mathbf{b}_1\right| \leq 2^{(n-1) / 2} \lambda_1(\Lambda)$. 另外，如果 $\mathbf{x} \in \mathbb{R}^n$ ，然后
$$
\left|\mathbf{x}-\left\lfloor\mathbf{x B}^{-1}\right\rceil \mathbf{B}\right| \leq\left(1+2 n(9 / 2)^{n / 2}\right)|\mathbf{x}-\mathbf{u}| \text { for any } \mathbf{u} \in \Lambda
$$
我们知道 $\lambda_1(\Lambda) \leq \sqrt{\gamma} \operatorname{det}(\Lambda)^{1 / n}$ ，这意味着如果我们有一个 LLLreduced 基础并使用 $\left|\mathbf{b}_1\right|$ 作为我们的搜索边界，上一节中的枚举方法最多必须枚举
$$
\frac{\left(2^{(n-1) / 2} \gamma^{1 / 2} \operatorname{det}(\Lambda)^{1 / n}\right)^n}{\operatorname{det}(\Lambda)}=2^{n(n-1) / 2} \gamma^{n / 2}
$$
点。虽然它不影响我们推断的上限，但让 Gram-Schmidt 向量不太小会减少算法迭代的点总数。
我们还注意到，减少 LLL 的基础将为我们提供对最近向量问题的估计。(有更好的方法来使用 LLL缩减基。)

统计代写请认准statistics-lab™. statistics-lab™为您的留学生涯保驾护航。

金融工程代写

非参数统计代写

非参数统计指的是一种统计方法，其中不假设数据来自于由少数参数决定的规定模型；这种模型的例子包括正态分布模型和线性回归模型。

广义线性模型代考

广义线性模型（GLM）归属统计学领域，是一种应用灵活的线性回归模型。该模型允许因变量的偏差分布有除了正态分布之外的其它分布。

有限元方法代写

随机分析代写

时间序列分析代写

回归分析代写

MATLAB代写

R语言代写	问卷设计与分析代写
PYTHON代写	回归分析与线性模型代写
MATLAB代写	方差分析与试验设计代写
STATA代写	机器学习/统计学习代写
SPSS代写	计量经济学代写
EVIEWS代写	时间序列分析代写
EXCEL代写	深度学习代写
SQL代写	各种数据建模与可视化代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CS127

Posted on 2022年11月28日2022年11月28日 by statistics-lab

如果你也在怎样代写密码学Cryptography & Cryptanalysis这个学科遇到相关的难题，请随时右上角联系我们的24/7代写客服。

我们提供的密码学Cryptography & Cryptanalysis及其相关学科的代写，服务范围广, 其中包括但不限于:

Statistical Inference 统计推断
Statistical Computing 统计计算
Advanced Probability Theory 高等概率论
Advanced Mathematical Statistics 高等数理统计学
(Generalized) Linear Models 广义线性模型
Statistical Machine Learning 统计机器学习
Longitudinal Data Analysis 纵向数据分析
Foundations of Data Science 数据科学基础

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CS127

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|The GGH Cryptosystem

One idea for a symmetric encryption scheme based on lattices is to have a lattice $\Lambda$ with a nearly orthogonal basis B as a secret key. To encrypt we somehow encode the message as a lattice vector $\mathrm{u} \in \Lambda$ and then add random noise $\mathrm{f}$ to that vector to get a ciphertext $\mathrm{x}=\mathrm{u}+\mathrm{f}$. To decrypt, we can use our nearly orthogonal basis to find the closest vector $u$ to $\mathrm{x}$ (using the technique from Exercise 3.51), and then decode the lattice point to recover the message.
It is clear that we need to limit the magnitude of the random noise, since if it is too big, we will no longer be able to recover $\mathrm{u}$ as the closest vector. This could happen because $u$ is no longer the closest vector to $\mathrm{x}$, or because our basis is not orthogonal and so does not perfectly solve the closest vector problem.

Exercise 3.53. Let $\mathbf{B}$ be a basis for a lattice $\Lambda$. Show that with $\mathbf{u} \in \Lambda$ and $\mathbf{x}=\mathbf{u}+\mathbf{f}$, then $\left\lfloor\mathbf{x B}^{-1}\right\rceil \mathbf{B}=\mathbf{u}$ if and only if $\left\lfloor\mathbf{f B}^{-1}\right\rceil=\mathbf{0}$.

Exercise 3.54. Recall that for a real vector $\boldsymbol{\alpha}=\left(\alpha_1, \alpha_2, \ldots, \alpha_n\right)$, we have the norms $|\boldsymbol{\alpha}|_1=\sum_i\left|\alpha_i\right|$ and $|\boldsymbol{\alpha}|_{\infty}=\max _i\left|\alpha_i\right|$.

Let $\mathbf{B}$ be a basis for a lattice $\Lambda$, let $\rho$ be a bound on the $|\cdot|_1$ norm of the columns of $\mathbf{B}^{-1}$. Show that for any vector $\mathbf{f}$, we have that
$$
\left|\mathbf{f B}^{-1}\right|_{\infty} \leq \rho|\mathbf{f}|_{\infty} .
$$
Explain how this can be used to find a bound on the random noise when encrypting, to ensure decryption still works.

It is tempting to turn this idea into a public key encryption scheme by publishing a basis for the lattice. Obviously, we cannot publish our nearly orthogonal basis $\mathbf{B}$, since this is essentially the decryption key.

Recall that any lattice $\Lambda$ with basis matrix $\mathbf{B}$, if $\mathbf{U}$ is an integer matrix with determinant $\pm 1$, then $\mathbf{C}=\mathbf{U B}$ is another basis matrix for $\Lambda$.

One idea is then to create and publish a different basis for the lattice, one that is not nearly orthogonal, and therefore cannot be used to find the closest vector using the approach from Exercise 3.51. One possible choice is to use the Hermite normal form for $\mathbf{B}$ as $\mathbf{C}$. (The Hermite normal form is in some sense the worst possible form we can give the public basis, since any adversary could compute the Hermite normal form on his own.)

As usual, while we could attempt to embed the message in the vector $\mathbf{u}$, it makes more sense to use $\mathbf{u}$ and $\mathbf{f}$ as keys for a symmetric cryptosystem. As we did in Example 3.9, we shall use a function to derive the key from the lattice point and the noise, a so-called key derivation function.

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Regev’s Cryptosystem

Let $p$ be a prime. Let $\mathrm{g}_1, \mathrm{~g}_2, \ldots, \mathrm{g}_l \in \mathbb{F}_p^n$ be a set of randomly chosen vectors that contains $n$ linearly independent vectors. Let $\mathrm{b} \in \mathbb{F}_p^n$, and let
$$
\beta_i=\mathrm{g}_i \cdot \mathbf{b}, \quad i=1,2, \ldots, l .
$$
If we learn the value of these dot products, we can recover the vector $\mathbf{b}$.
E Exercise 3.56. Given $\mathrm{g}_1, \ldots, \mathrm{g}_l$ and $\beta_1, \ldots, \beta_l$, show how to compute $\mathrm{b}$.
If we add a bit of randomness to the dot product, it turns out that finding the value $\mathbf{b}$ becomes much more difficult. Let $\chi$ be a probability distribution on $\mathbb{F}_p$ and let $f_1, f_2, \ldots, f_l$ be sampled independently according to $\chi$. Let
$$
y_i=\mathrm{g}_i \cdot \mathrm{b}+f_i, \quad i=1,2, \ldots, l .
$$
Finding $\mathbf{b}$ given $y_1, y_2, \ldots, y_l$ is known as the learning with errors (LWE) problem (we want to learn $b$ from a set of equations with errors in them).
E E Exercise 3.57. Show that if $l=n$, then the learning with errors problem is impossible to answer with (close to) certainty. (That is, any algorithm trying to solve the learning with errors problem must fail sometimes.)

We shall need one particular property for the probability distribution $\chi$. Except with small probability, when $f_1, f_2, \ldots, f_l$ have been sampled independently from $\chi$, then for almost all subsets $S \subseteq{1,2, \ldots, l}$ we have that
$$
\sum_{i \in S} f_i=k+\langle p\rangle,
$$
for some integer $k$ with $|k|<p / 4$. It can be shown that $\chi$ can be chosen such that this requirement is satisfied, and it still seems hard to solve the learning with errors problem.
Example 3.19. Regev’s learning with errors cryptosystem works as follows:

The key generation algorithm $\mathcal{K}$ chooses random vectors $\mathrm{g}_1, \mathrm{~g}_2, \ldots, \mathrm{g}_l$ from $\mathbb{F}_p^n$ such that there are $n$ linearly independent vectors. It chooses a random vector $\mathbf{b} \in \mathbb{F}_p^n$, samples errors $f_1, f_2, \ldots, f_l$ independently according to $\chi$ and computes $y_i=\mathrm{g}_i \cdot \mathbf{b}+f_i$ for $i=1,2, \ldots, l$. It then outputs $e k=\left(\mathrm{g}_1, \mathrm{~g}_2, \ldots, \mathrm{g}_l, y_1, y_2, \ldots, y_l\right)$ and $d k=\mathbf{b}$.
The encryption algorithm $\mathcal{E}$ takes as input an encryption key ek $=$ $\left(\mathrm{g}_1, \mathrm{~g}_2, \ldots, \mathrm{g}_l, y_1, y_2, \ldots, y_l\right)$ and a message $m \in{0,1}$. a

密码学代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|The GGH Cryptosystem

基于格的对称加密方案的一个想法是有一个格 $\Lambda$ 以几乎正交的基 $B$ 作为密钥。为了加密，我们以某种方式将消息编码为格向量 $u \in \Lambda$ 然后添加随机噪声 $f$ 到该向量以获得密文 $x=u+f$. 要解密，我们可以使用接近正交的基础来找到最接近的向量 $u$ 至 $\mathrm{x}$ (使用练习 $3.51$ 中的技术），然后解码格点以恢复消息。
很明显，我们需要限制随机噪声的幅度，因为如果太大，我们将无法再恢复u作为最近的向量。这可能发生，因为 $u$ 不再是最接近的向量 $\mathrm{x}$ ，或者因为我们的基础不是正交的，所以不能完美地解决最近向量问题。
练习 3.53。让 $\mathbf{B}$ 成为格子的基础 $\Lambda$. 表明与 $\mathbf{u} \in \Lambda$ 和 $\mathbf{x}=\mathbf{u}+\mathbf{f}$ ，然后 $\left[\mathbf{x} \mathbf{B}^{-1}\right\rceil \mathbf{B}=\mathbf{u}$ 当且仅当 $\left\lfloor\mathbf{f B}^{-1}\right\rceil=\mathbf{0}$
练习3.54。回想一下，对于一个实向量 $\boldsymbol{\alpha}=\left(\alpha_1, \alpha_2, \ldots, \alpha_n\right)$ ，我们有规范 $|\boldsymbol{\alpha}|1=\sum_i\left|\alpha_i\right|$ 和 $|\boldsymbol{\alpha}|{\infty}=\max i\left|\alpha_i\right|$ 让 $\mathbf{B}$ 成为格子的基础 $\Lambda$ ，让 $\rho$ 受约束 $|\cdot|_1$ 列的范数 $\mathbf{B}^{-1}$. 证明对于任何向量 $\mathbf{f}$ ，我们有 $$ \left|\mathbf{f B}^{-1}\right|{\infty} \leq \rho|\mathbf{f}|_{\infty} .
$$
解释这如何用于在加密时找到随机噪声的界限，以确保解密仍然有效。
通过发布格的基础将这个想法变成公钥加密方案是很诱人的。显然，我们不能发布我们近乎正交的基础 $\mathbf{B}$ ，因为这本质上是解密密钥。
回想一下任何格子 $\Lambda$ 有基矩阵 $\mathbf{B}$ ，如果 $\mathbf{U}$ 是一个具有行列式的整数矩阵 $\pm 1$ ，然后 $\mathbf{C}=\mathbf{U B}$ 是另一个基础矩阵 $\Lambda$.
一个想法是为格子创建和发布一个不同的基，一个几乎不正交的基，因此不能用于使用练习 $3.51$ 中的方法找到最近的向量。一种可能的选择是使用 Hermite 范式 $\mathbf{B}$ 作为 $\mathbf{C}$. (从某种意义上说，Hermite 范式是我们可以提供给公众的最糟糕的形式，因为任何对手都可以自己计算出 Hermite 范式。)
像往常一样，虽然我们可以尝试将消息嵌入向量中 $\mathbf{u}$, 使用起来更有意义 $\mathbf{u}$ 和 $\mathbf{f}$ 作为对称密码系统的密钥。正如我们在示例 $3.9$ 中所做的那样，我们将使用一个函数从格点和橾声中导出密钥，即所谓的密钥导出函数。

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Regev’s Cryptosystem

让 $p$ 成为素数。让 $\mathrm{g}1, \mathrm{~g}_2, \ldots, \mathrm{g}_l \in \mathbb{F}_p^n$ 是一组随机选择的向量，其中包含 $n$ 线性无关的向量。让 $\mathrm{b} \in \mathbb{F}_p^n$ ，然后让 $$ \beta_i=\mathrm{g}_i \cdot \mathbf{b}, \quad i=1,2, \ldots, l . $$ 如果我们了解这些点积的值，我们可以恢复向量 $\mathbf{b}$. $\mathrm{E}$ 练习 3.56。鉴于 $\mathrm{g}_1, \ldots, \mathrm{g}_l$ 和 $\beta_1, \ldots, \beta_l$ ，显示如何计算 $\mathrm{b}$. 如果我们为点积添加一点随机性，结果发现找到值b变得更加困难。让 $\chi$ 是一个概率分布 $\mathbb{F}_p$ 然后让 $f_1, f_2, \ldots, f_l$ 根据独立抽样 $\chi$. 让 $$ y_i=\mathrm{g}_i \cdot \mathrm{b}+f_i, \quad i=1,2, \ldots, l . $$ 发现 $\mathbf{b}$ 给予 $y_1, y_2, \ldots, y_l$ 被称为错误学习 (LWE) 问题 (我们想学习 $b$ 来自一组有误差的方程)。 $\mathrm{EE}$ 练习 3.57。证明如果 $l=n$ ，那么错误学习问题就不可能 (接近) 确定地回答。（也就是说，任何试图解决学习错误问题的算法有时都会失败。) 我们将需要概率分布的一个特定属性 $\chi$. 除了极小的概率，当 $f_1, f_2, \ldots, f_l$ 已独立采样 $\chi$ ，然后对于几乎所有的子集 $S \subseteq 1,2, \ldots$, l我们有那个 $$ \sum{i \in S} f_i=k+\langle p\rangle,
$$
对于某个整数 $k$ 和 $|k|<p / 4$. 可以证明 $\chi$ 可以选择以满足这个要求，但似乎仍然很难解决有错误的学习问题。示例 3.19。Regev 的错误学习密码系统的工作原理如下:

密钥生成算法 $\mathcal{K}$ 选择随机向量 $g_1, \mathrm{~g}2, \ldots, \mathrm{g}_l$ 从 $\mathbb{F}_p^n$ 这样就有 $n$ 线性无关的向量。它选择一个随机向量 $\mathbf{b} \in \mathbb{F}{p^{\prime}}^n$, 样本误差 $f_1, f_2, \ldots, f_l$ 独立地根据 $\chi$ 并计算 $y_i=\mathrm{g}_i \cdot \mathbf{b}+f_i$ 为了 $i=1,2, \ldots, l$. 然后输出 $e k=\left(\mathrm{g}_1, \mathrm{~g}_2, \ldots, \mathrm{g}_l, y_1, y_2, \ldots, y_l\right)$ 和 $d k=\mathbf{b}$.
加密算法 $\mathcal{E}$ 将加密密钥 ek 作为输入 $=\left(\mathrm{g}_1, \mathrm{~g}_2, \ldots, \mathrm{g}_l, y_1, y_2, \ldots, y_l\right)$ 和一条消息 $m \in 0,1$.

统计代写请认准statistics-lab™. statistics-lab™为您的留学生涯保驾护航。

金融工程代写

非参数统计代写

非参数统计指的是一种统计方法，其中不假设数据来自于由少数参数决定的规定模型；这种模型的例子包括正态分布模型和线性回归模型。

广义线性模型代考

广义线性模型（GLM）归属统计学领域，是一种应用灵活的线性回归模型。该模型允许因变量的偏差分布有除了正态分布之外的其它分布。

有限元方法代写

随机分析代写

时间序列分析代写

回归分析代写

MATLAB代写

R语言代写	问卷设计与分析代写
PYTHON代写	回归分析与线性模型代写
MATLAB代写	方差分析与试验设计代写
STATA代写	机器学习/统计学习代写
SPSS代写	计量经济学代写
EVIEWS代写	时间序列分析代写
EXCEL代写	深度学习代写
SQL代写	各种数据建模与可视化代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CISS3341

Posted on 2022年11月24日2022年11月24日 by statistics-lab

如果你也在怎样代写密码学Cryptography & Cryptanalysis这个学科遇到相关的难题，请随时右上角联系我们的24/7代写客服。

我们提供的密码学Cryptography & Cryptanalysis及其相关学科的代写，服务范围广, 其中包括但不限于:

Statistical Inference 统计推断
Statistical Computing 统计计算
Advanced Probability Theory 高等概率论
Advanced Mathematical Statistics 高等数理统计学
(Generalized) Linear Models 广义线性模型
Statistical Machine Learning 统计机器学习
Longitudinal Data Analysis 纵向数据分析
Foundations of Data Science 数据科学基础

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CISS3341

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|q-ary Lattices and the Z-Shape

Recall that both NTRU and LWE give rise to $q$-ary lattices. These lattices always contain the vector $(q, 0, \ldots, 0)$ and all its permutations. These so-called ‘ $q$-vectors’ can be considered short, depending on the parameters of the instance being considered, and might be shorter than what we would expect to obtain following predictions such as the GSA or the TGSA. Furthermore, some of those $q$-vectors naturally appear in the typical basis construction of $q$-ary lattices. Even when this is not the case, they can be made explicit by computing the Hermite Normal Form.

To predict lattice reduction on such bases, we may observe that one of the guarantees of the LLL algorithm is that the first vector $\mathbf{b}_0$ never gets longer. For certain parameters this can contradict the GSA. In fact, if $\mathbf{b}_i^$ does not change for all $i$ cannot become longer either, which means that after the reduction algorithm has completed we may still have many such $q$-vectors at the beginning of our basis, unaffected by the reduction. It is therefore tempting to predict a piecewise linear profile, with two pieces. It should start with a flat line at $\lg q$, followed by a sloped portion following the predicted GSA slope.

In fact, the shape has three pieces, and this is easy to argue for LLL, since LLL is a self-dual algorithm. ${ }^2$ This means in particular that the last GramSchmidt vector cannot get shorter, and following the same argument, we can conclude that the basis must end with a flat piece of 1-vectors. All in all, the basis should follow a Z-shape, and this is indeed experimentally the case [280, 625], as depicted in Figure 2.5, where we picked a small $q$ to highlight the effect. We shall call such a prediction $[169,625]$ the ZGSA.

It is tempting to extend such a ZGSA model to other algorithms beyond LLL and this has been used for example in [169]. We might also attempt to refine it to a ZTGSA model, where we put an HKZ tail just before the flat section of Gram-Schmidt vectors of norm 1. However, this is a questionable way of reasoning, because BKZ, unlike LLL, is not self-dual. However, it is worth noting that it seems possible to force BKZ to behave in such a way, simply by restricting BKZ to work on the indices up $i<j$, where $j$ is carefully calibrated so that $\left|\mathbf{b}_j^{\star}\right| \approx 1$. This is not self-dual, but up to the tail of BKZ, it would produce a $Z$-shape as well.

Yet, we could also let BKZ work freely on the whole basis, and wonder what would happen. In other words, we may ask whether it is preferable to apply such a restriction to $\mathrm{BKZ}$ or not. A natural approach to answering this question would be to simply use the CN11 simulator, however, it appears that the $Z$-shape is very poorly simulated. Indeed, while the simulator can easily maintain $q$-vectors when they are shorter than the one locally predicted by the Gaussian heuristic, the phenomenon on the right end of the $Z$ seems more complicated: some 1-vectors are replaced by Gram-Schmidt vectors of norm strictly less than 1, but not all, see Figure 2.6. Thus, we see the Z-shape known from the literature but with the addition of a kink in the tail block.

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Random Blocks

The heuristic analysis of $\mathrm{BKZ}$ is based on the assumption that each sublattice considered by the algorithm ‘behaves like a random lattice’ (strong version), or at least that the expectation or distribution of its shortest vector is the same as for a random lattice (weak version).

More formally, we would have to define the notion of a random lattice,invoking the Haar measure. However, we can nevertheless interrogate this heuristic without going into those details here. Indeed, as we can see in Figure $2.2$, the predicted slopes below dimension 30 are far from the actual behaviour. In fact, the predictions for small block sizes are nonsensical as they predict a flatter slope as $\beta$ decreases below 30 and even an inversion of the slope below block size $\approx 10$.

Although we can observe the prediction and the observation converging for block sizes above 50 , what level of precision do we attribute to those predictions? Given the phenomena perturbing the GSA surveyed in this chapter (heads, tails, ripples), how pertinent are the data from Figure 2.2? Pushing experimental evidence a bit further would be reassuring here: although we do not expect surprises, it would be good to replace this expectation with experimental evidence.

But, more conceptually, we note that making the strong version of the heuristic assumption (each block behaves like a random lattice) is self-contradictory. Indeed, the model leads us to conclude that the shape is essentially a line, at least when $\beta \ll d$ and the considered block $\mathbf{B}{[\kappa: \kappa+\beta]}$ is far from the head and the tail, i.e., $\kappa \gg \beta, d-\kappa \gg \beta$. But this block, like all other blocks, is fully HKZ-reduced: since $\mathbf{b}{\kappa+i}^{\star}$ is a shortest vector of $\Lambda\left(\mathbf{B}{[\kappa+i: k+i+\beta]}\right)$, it is also a shortest vector of $\Lambda\left(\mathbf{B}{[\kappa+i: k+\beta]}\right)$. Yet, HKZ-reduced bases of random lattices have a concave shape not a straight slope.

密码学代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|q-ary Lattices and the Z-Shape

回想一下，NTRU 和 LWE 都会产生q-元格。这些格子总是包含向量(q,0,…,0)及其所有排列。这些所谓的“q-vectors’ 可以被认为是短的，这取决于所考虑的实例的参数，并且可能比我们期望获得的以下预测更短，例如 GSA 或 TGSA。此外，其中一些q-向量自然出现在典型的基础结构中q-元格。即使不是这种情况，也可以通过计算厄米范式来明确它们。

为了在这种基础上预测晶格缩减，我们可以观察到 LLL 算法的保证之一是第一个向量b0永远不会变长。对于某些参数，这可能与 GSA 相矛盾。事实上，如果\mathbf{b}_i^\mathbf{b}_i^对所有人都没有改变一世也不能变得更长，这意味着在减少算法完成后，我们可能仍然有很多这样的q-我们基础开头的向量，不受减少的影响。因此，很容易预测具有两部分的分段线性轮廓。它应该从一条平线开始LG⁡q，然后是跟随预测的 GSA 斜率的倾斜部分。

事实上，形状有三块，这很容易为 LLL 争论，因为 LLL 是一种自对偶算法。2这特别意味着最后一个 GramSchmidt 向量不能变短，并且根据相同的论证，我们可以得出结论，基础必须以平坦的 1-向量结束。总而言之，基础应该遵循 Z 形，这确实是实验上的情况 [280, 625]，如图 2.5 所示，我们选择了一个小的q来突出效果。我们称这样的预测[169,625]ZGSA。

将这样的 ZGSA 模型扩展到 LLL 之外的其他算法是很诱人的，这已在 [169] 中使用过。我们也可以尝试将其细化为 ZTGSA 模型，我们将 HKZ 尾部放在范数为 1 的 Gram-Schmidt 向量的平坦部分之前。但是，这是一种有问题的推理方式，因为 BKZ 与 LLL 不同，它不是自偶。然而，值得注意的是，似乎可以强制 BKZ 以这种方式运行，只需限制 BKZ 在指数上运行一世<j，在哪里j经过仔细校准，以便|bj⋆|≈1. 这不是自对偶，但是直到 BKZ 的尾巴，它会产生一个从-形状也是如此。

然而，我们也可以让BKZ在整个基础上自由发挥，看看会发生什么。换句话说，我们可能会问，将这样的限制应用于乙钾从或不。回答这个问题的自然方法是简单地使用 CN11 模拟器，但是，看起来从-形状模拟得非常差。事实上，虽然模拟器可以轻松维护q-当向量比高斯启发式局部预测的向量短时，向量右端的现象从看起来更复杂：一些 1-向量被范数严格小于 1 的 Gram-Schmidt 向量代替，但不是全部，见图 2.6。因此，我们看到了文献中已知的 Z 形，但在尾部块中增加了一个扭结。

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Random Blocks

的启发式分析乙钾从是基于这样的假设，即算法考虑的每个子格“表现得像一个随机格”（强版本），或者至少其最短向量的期望或分布与随机格（弱版本）相同。

更正式地说，我们必须定义随机格的概念，调用 Haar 测度。然而，我们仍然可以在不讨论这些细节的情况下询问这个启发式。确实，如图所示2.2，维度 30 以下的预测斜率与实际行为相去甚远。事实上，对小块大小的预测是无意义的，因为它们预测更平坦的斜率b减少到 30 以下，甚至在块大小以下的斜率反转≈10.

虽然我们可以观察到块大小大于 50 的预测和观察收敛，但我们将这些预测归因于什么级别的精度？鉴于本章调查的干扰 GSA 的现象（正面、反面、波纹），图 2.2 中的数据有多相关？进一步推动实验证据在这里会让人放心：虽然我们不期待惊喜，但最好用实验证据取代这种期望。

但是，从概念上讲，我们注意到进行启发式假设的强版本（每个块的行为就像一个随机格）是自相矛盾的。事实上，该模型使我们得出结论，该形状本质上是一条线，至少当b≪d和考虑的块乙[钾:钾+b]远离头部和尾部，即钾≫b,d−钾≫b. 但是这个块，和所有其他块一样，是完全 HKZ 约简的：因为b钾+一世⋆是的最短向量大号(乙[钾+一世:k+一世+b])，它也是最短的向量大号(乙[钾+一世:k+b]). 然而，随机格的 HKZ 约化基具有凹形而不是直斜坡。

统计代写请认准statistics-lab™. statistics-lab™为您的留学生涯保驾护航。

金融工程代写

非参数统计代写

非参数统计指的是一种统计方法，其中不假设数据来自于由少数参数决定的规定模型；这种模型的例子包括正态分布模型和线性回归模型。

广义线性模型代考

广义线性模型（GLM）归属统计学领域，是一种应用灵活的线性回归模型。该模型允许因变量的偏差分布有除了正态分布之外的其它分布。

有限元方法代写

随机分析代写

时间序列分析代写

回归分析代写

MATLAB代写

R语言代写	问卷设计与分析代写
PYTHON代写	回归分析与线性模型代写
MATLAB代写	方差分析与试验设计代写
STATA代写	机器学习/统计学习代写
SPSS代写	计量经济学代写
EVIEWS代写	时间序列分析代写
EXCEL代写	深度学习代写
SQL代写	各种数据建模与可视化代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CS388H

Posted on 2022年11月24日2022年11月24日 by statistics-lab

如果你也在怎样代写密码学Cryptography & Cryptanalysis这个学科遇到相关的难题，请随时右上角联系我们的24/7代写客服。

我们提供的密码学Cryptography & Cryptanalysis及其相关学科的代写，服务范围广, 其中包括但不限于:

Statistical Inference 统计推断
Statistical Computing 统计计算
Advanced Probability Theory 高等概率论
Advanced Mathematical Statistics 高等数理统计学
(Generalized) Linear Models 广义线性模型
Statistical Machine Learning 统计机器学习
Longitudinal Data Analysis 纵向数据分析
Foundations of Data Science 数据科学基础

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CS388H

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Lattice Reduction: Theory

All lattices of dimension $d \geq 2$ admit infinitely many bases, and two bases B, B’ generate (or represent) the same lattice if and only if $\mathbf{B}=\mathbf{B}^{\prime} \cdot \mathbf{U}$ for some unimodular matrix $\mathbf{U} \in \mathrm{GL}_d(\mathbb{Z})$. In other words, the set of (full-rank) lattices can be viewed as the quotient $\mathrm{GL}_d(\mathbb{R}) / \mathrm{GL}_d(\mathbb{Z})$. Lattice reduction is the task of finding a good representative of a lattice, i.e., a basis $\mathbf{B} \in \mathrm{GL}_d(\mathbb{R})$ representing $\Lambda \in \mathrm{GL}_d(\mathbb{R}) / \mathrm{GL}_d(\mathbb{Z})$

While there exists a variety of formal definitions for what is a good representative, the general goal is to make the Gram-Schmidt basis $\mathbf{B}^{\star}$ as small as possible. Using the simple size-reduction algorithm (see [454, Algorithm 3]), it is possible to also enforce the shortness of the basis $\mathbf{B}$ itself.

It should be noted that because we have an invariant $\prod_i\left|\mathbf{b}i^{\star}\right|=\operatorname{vol}(\Lambda)$, we cannot make all GS vectors small at the same time, but the goal becomes to balance their lengths. More pictorially, we consider the log profile of a basis as the graph of $\left(\ell_i-\lg \left|\mathbf{b}_i^{\star}\right|\right){i=0 . . d-1}$ as a function of $i$. By the volume invariant, the area under this graph is fixed, and the goal of reduction is to make this graph flatter.

A very strong ${ }^1$ notion of reduction is the Hermite-Korkine-Zolotarev (HKZ) reduction, which requires each basis vector $\mathbf{b}i$ to be a shortest non-zero vector of the remaining projected lattice $\Lambda{[i: d]}$. The Block-Korkine-Zolotarev (BKZ) reduction relaxes $\mathrm{HKZ}$, only requiring $\mathbf{b}_i$ to be close-to-shortest in a local ‘block’. More formally, we have the following.

Definition $2.3$ ( $\mathrm{HKZ}$ and BKZ [454]). The basis $\mathbf{B}=\left(\mathbf{b}0, \ldots, \mathbf{b}{d-1}\right)$ of a lattice $\Lambda$ is said to be $\mathrm{HKZ}$ reduced if $\left|\mathbf{b}i^{\star}\right|=\lambda_1\left(\Lambda\left(\mathbf{B}{[i: d]}\right)\right)$ for all $i<d$. It is said BKZ reduced with block size $\beta$ and $\epsilon \geq 0$ if $\left|\mathbf{b}i^{\star}\right| \leq(1+\epsilon) \cdot \lambda_1\left(\Lambda\left(\mathbf{B}{[i: \min (i+\beta, d)]}\right)\right)$ for all $i<d$.

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Shape Approximation

The Gaussian heuristic predicts that the number $|\Lambda \cap \mathcal{B}|$ of lattice points inside a measurable body $\mathcal{B} \subset \mathbb{R}^n$ is approximately equal to $\operatorname{vol}(\mathcal{B}) / \operatorname{vol}(\Lambda)$. Applied to Euclidean $d$-balls, it leads to the following prediction of the length of a shortest non-zero vector in a lattice.

Definition 2.6 (Gaussian heuristic). We denote by gh( $\Lambda$ ) the expected first minimum of a lattice $\Lambda$ according to the Gaussian heuristic. For a full-rank lattice $\Lambda \subset \mathbb{R}^d$, it is given by
$$
\operatorname{gh}(\Lambda)=\left(\frac{\operatorname{vol}(\Lambda)}{\operatorname{vol}(\mathfrak{B})}\right)^{1 / d}=\frac{\Gamma\left(1+\frac{d}{2}\right)^{1 / d}}{\sqrt{\pi}} \cdot \operatorname{vol}(\Lambda)^{1 / d} \approx \sqrt{\frac{d}{2 \pi e}} \cdot \operatorname{vol}(\Lambda)^{1 / d},
$$
where $\mathfrak{B}$ denotes the $d$-dimensional Euclidean ball. We also denote by $\operatorname{gh}(d)$ the quantity $\operatorname{gh}(\Lambda)$ of any $d$-dimensional lattice $\Lambda$ of volume 1: $\operatorname{gh}(d) \approx$ $\sqrt{d / 2 \pi e}$. For convenience we also denote $\operatorname{lgh}(x)$ for $\lg (\operatorname{gh}(x))$.

Combining the Gaussian heuristic with the definition of a BKZ reduced basis, after BKZ- $\beta$ reduction we expect
$$
\begin{aligned}
\ell_i=\lg \left(\lambda_1\left(\Lambda\left(\mathbf{B}{[i: \min (i+\beta, d)]}\right)\right)\right) & \approx \operatorname{lgh}(\min (\beta, d-i))+\frac{\lg \left(\operatorname{vol}\left(\Lambda\left(\mathbf{B}{[i \min (i+\beta, d)]}\right)\right)\right)}{\min (\beta, d-i)} \
&=\operatorname{lgh}(\min (\beta, d-i))+\frac{\sum_{j=i}^{\min (i+\beta, d)-1} \ell_j}{\min (\beta, d-i)} .
\end{aligned}
$$
If $d \gg \beta$ this linear recurrence implies a geometric series for the $\left|\mathbf{b}i^{\star}\right|$. Considering one block of dimension $\beta$ and unit volume, we expect $\ell_i=(\beta-$ $i-1) \cdot \lg \left(\alpha\beta\right)$ for $i=0, \ldots, \beta-1$ and some $\alpha_\beta$. We obtain
$$
\begin{aligned}
\ell_0=(\beta-1) \cdot \lg \left(\alpha_\beta\right) & \approx \operatorname{lgh}(\beta)+\frac{1}{\beta} \sum_{j=0}^\beta j \cdot \lg \left(\alpha_\beta\right) \
&=\operatorname{lgh}(\beta)+(\beta-1) / 2 \cdot \lg \left(\alpha_\beta\right) .
\end{aligned}
$$

密码学代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Lattice Reduction: Theory

模矩阵 $\mathbf{U} \in \mathrm{GL}_d(\mathbb{Z})$. 换句话说， (满秩) 格的集合可以被视为商 $\mathrm{GL}_d(\mathbb{R}) / \mathrm{GL}_d(\mathbb{Z})$. 晶格缩减的任务是找到一个良好的晶格代表，即一个基础 $\mathbf{B} \in \mathrm{GL}_d(\mathbb{R})$ 代表 $\Lambda \in \mathrm{GL}_d(\mathbb{R}) / \mathrm{GL}_d(\mathbb{Z})$
虽然对于什么是好的代表存在多种正式定义，但总体目标是建立 Gram-Schmidt 基础 $\mathbf{B}^{\star}$ 尽可能小。使用简单的尺寸缩减算法（参见 [454，算法 3]），也可以强制缩短基础 $\mathbf{B}$ 本身。
应该注意的是，因为我们有一个不变量 $\prod_i\left|\mathbf{b} i^{\star}\right|=\operatorname{vol}(\Lambda)$ ，我们不能同时使所有 GS 向量变小，但目标变成了平衡它们的长度。更形象地说，我们将基的对数轮廓视为图 $\left(\ell_i-\lg \left|\mathbf{b}_i^{\star}\right|\right) i=0 . . d-1$ 作为函数 $i$. 通过 volume invariant，这个图下面的面积是固定的，reduce的目的是让这个图更平坦。
一个很强的 1 减少的概念是 Hermite-Korkine-Zolotarev (HKZ) 减少，它需要每个基础向量 $\mathbf{b} i$ 是剩余投影格子的最短非零向量 $\Lambda[i: d]$. Block-Korkine-Zolotarev (BKZ) 减量放宽HKZ，只需要 $\mathbf{b}_i$ 在本地“块”中接近最短。更正式地说，我们有以下内容。
定义 $2.3$ ( $\mathrm{HKZ}$ 和 BKZ [454])。基础 $\mathbf{B}=(\mathbf{b} 0, \ldots, \mathbf{b} d-1)$ 格子的 $\Lambda$ 据说是 $\mathrm{HKZ}$ 如果减少
$\left|\mathbf{b} i^{\star}\right|=\lambda_1(\Lambda(\mathbf{B}[i: d]))$ 对所有人 $i<d$. 据说 BKZ 随着区块大小的增加而减少 $\beta$ 和 $\epsilon \geq 0$ 如果
$\left|\mathbf{b} i^{\star}\right| \leq(1+\epsilon) \cdot \lambda_1(\Lambda(\mathbf{B}[i: \min (i+\beta, d)]))$ 对所有人 $i<d$.

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Shape Approximation

高斯启发式预测数 $|\Lambda \cap \mathcal{B}|$ 可测量体内的格点 $\mathcal{B} \subset \mathbb{R}^n$ 约等于 $\operatorname{vol}(\mathcal{B}) / \operatorname{vol}(\Lambda)$. 应用于欧几里德 $d$-balls，它导致以下对格中最短非零向量的长度的预测。
定义 $2.6$ (高斯启发式)。我们用 $g h(\Lambda)$ 格子的预期第一个最小值 $\Lambda$ 根据高斯启发式。对于满秩格 $\Lambda \subset \mathbb{R}^d$ ，它由
$$
\operatorname{gh}(\Lambda)=\left(\frac{\operatorname{vol}(\Lambda)}{\operatorname{vol}(\mathfrak{B})}\right)^{1 / d}=\frac{\Gamma\left(1+\frac{d}{2}\right)^{1 / d}}{\sqrt{\pi}} \cdot \operatorname{vol}(\Lambda)^{1 / d} \approx \sqrt{\frac{d}{2 \pi e}} \cdot \operatorname{vol}(\Lambda)^{1 / d}
$$
在哪里 $\mathfrak{B}$ 表示 $d$ 维欧几里德球。我们也用 $\operatorname{gh}(d)$ 数量 $\operatorname{gh}(\Lambda)$ 任何的 $d$ 维格 $\Lambda$ 第 1 卷: $\operatorname{gh}(d) \approx \sqrt{d / 2 \pi e}$. 为方便起见，我们还表示 $\operatorname{lgh}(x)$ 为了 $\lg (\operatorname{gh}(x))$.
将高斯启发式与 BKZ 简化基的定义相结合，在 BKZ- $\beta$ 我们期望减少
$$
\ell_i=\lg \left(\lambda_1(\Lambda(\mathbf{B}[i: \min (i+\beta, d)]))\right) \approx \operatorname{lgh}(\min (\beta, d-i))+\frac{\lg (\operatorname{vol}(\Lambda(\mathbf{B}[i \min (i+\beta, d)])))}{\min (\beta, d-i)}
$$
如果 $d \gg \beta$ 这种线性递归意味着几何级数 $\left|\mathbf{b} i^{\star}\right|$. 考虑一个维度块 $\beta$ 和单位体积，我们预计 $\ell_i=(\beta-$ $i-1) \cdot \lg (\alpha \beta)$ 为了 $i=0, \ldots, \beta-1$ 还有一些 $\alpha_\beta$. 我们获得
$$
\ell_0=(\beta-1) \cdot \lg \left(\alpha_\beta\right) \approx \operatorname{lgh}(\beta)+\frac{1}{\beta} \sum_{j=0}^\beta j \cdot \lg \left(\alpha_\beta\right) \quad=\operatorname{lgh}(\beta)+(\beta-1) / 2 \cdot \lg \left(\alpha_\beta\right)
$$

统计代写请认准statistics-lab™. statistics-lab™为您的留学生涯保驾护航。

金融工程代写

非参数统计代写

非参数统计指的是一种统计方法，其中不假设数据来自于由少数参数决定的规定模型；这种模型的例子包括正态分布模型和线性回归模型。

广义线性模型代考

广义线性模型（GLM）归属统计学领域，是一种应用灵活的线性回归模型。该模型允许因变量的偏差分布有除了正态分布之外的其它分布。

有限元方法代写

随机分析代写

时间序列分析代写

回归分析代写

MATLAB代写

R语言代写	问卷设计与分析代写
PYTHON代写	回归分析与线性模型代写
MATLAB代写	方差分析与试验设计代写
STATA代写	机器学习/统计学习代写
SPSS代写	计量经济学代写
EVIEWS代写	时间序列分析代写
EXCEL代写	深度学习代写
SQL代写	各种数据建模与可视化代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CS6260

Posted on 2022年11月24日2022年11月24日 by statistics-lab

如果你也在怎样代写密码学Cryptography & Cryptanalysis这个学科遇到相关的难题，请随时右上角联系我们的24/7代写客服。

我们提供的密码学Cryptography & Cryptanalysis及其相关学科的代写，服务范围广, 其中包括但不限于:

Statistical Inference 统计推断
Statistical Computing 统计计算
Advanced Probability Theory 高等概率论
Advanced Mathematical Statistics 高等数理统计学
(Generalized) Linear Models 广义线性模型
Statistical Machine Learning 统计机器学习
Longitudinal Data Analysis 纵向数据分析
Foundations of Data Science 数据科学基础

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CS6260

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|LWE and NTRU

The LWE problem and the NTRU problem have proven to be versatile building blocks for cryptographic applications [104, 218, 274, 493]. For both of these problems, there exist ring and matrix variants. More precisely, the original definition of NTRU is the ring variant [274] and the matrix variant is rarely considered whereas for LWE the original definition is the matrix variant [494] with a ring variant being defined later $[401,561]$. In this chapter, we generally treat the matrix variants since our focus is on lattice reduction for general lattices.

Definition $2.1$ (LWE [494]). Let $n, q$ be positive integers, $\chi$ be a probability distribution on $\mathbb{Z}$ and $\mathbf{s}$ be a uniformly random vector in $\mathbb{Z}q^n$. We denote by $L{\mathrm{s}, \chi}$ the probability distribution on $\mathbb{Z}q^n \times \mathbb{Z}_q$ obtained by choosing $\mathbf{a} \in \mathbb{Z}_q^n$ uniformly at random, choosing $e \in \mathbb{Z}$ according to $\chi$ and considering it in $\mathbb{Z}_q$, and returning $(\mathbf{a}, c)=(\mathbf{a},\langle\mathbf{a}, \mathbf{s}\rangle+e) \in \mathbb{Z}_q^n \times \mathbb{Z}_q$ Decision-LWE is the problem of deciding whether pairs (a, $c$ ) $\in \mathbb{Z}_q^n \times \mathbb{Z}_q$ are sampled according to $L{\mathrm{s}, \chi}$ or the uniform distribution on $\mathbb{Z}q^n \times \mathbb{Z}_q$. Search-LWE is the problem of recovering s from pairs $(\mathbf{a}, c)=(\mathbf{a},\langle\mathbf{a}, \mathbf{s}\rangle+e) \in$ $\mathbb{Z}_q^n \times \mathbb{Z}_q$ sampled according to $L{\mathrm{s}, \chi}$.

We note that the above definition puts no restriction on the number of samples, i.e., LWE is assumed to be secure for any polynomial number of samples. Further, since for many choices of $n, q, \chi$ solving Decision-LWE allows solving Search-LWE [105, 494] and vice versa, it is meaningful just to speak of the LWE problem (for those choices of parameters). By rewriting the system in systematic form [23], it can be shown that the LWE problem, where each component of the secret $\mathbf{s}$ is sampled from the error distribution $\chi$, is as secure as the problem for uniformly random secrets. LWE with such a secret, following the error distribution, is known as normal form LWE. We will consider normal form LWE in this chapter. Furthermore, in this note, the exact specification of the distribution $\chi$ will not matter, and we may simply specify an LWE instance by giving the standard deviation $\sigma$ of $\chi$. We will, furthermore, implicitly assume that $\chi$ is centred, i.e., has expectation 0 . We may also write LWE in matrix form as $\mathbf{A} \cdot \mathbf{s}+\mathbf{e} \equiv \mathbf{c} \bmod q$. The NTRU problem [274] is defined as follows.

Definition $2.2$ (NTRU [274]). Let $n, q$ be positive integers, $f, g \in \mathbb{Z}_q[x]$ be polynomials of degree $n$ sampled from some distribution $\chi$, subject to $f$ being invertible modulo a polynomial $\phi$ of degree $n$, and let $h=g / f \bmod (\phi, q)$. The NTRU problem is the problem of finding $f, g$ given $h$ (or any equivalent solution $\left(x^i \cdot f, x^i \cdot g\right)$ for some $\left.i \in \mathbb{Z}\right)$.

Concretely, the reader may think of $\phi=x^n+1$ when $n$ is a power of two and $\chi$ to be some distribution producing polynomials with small coefficients. The matrix variant considers $\mathbf{F}, \mathbf{G} \in \mathbb{Z}_q^{n \times n}$ such that $\mathbf{H}=\mathbf{G} \cdot \mathbf{F}^{-1} \bmod q$.

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Notation and Preliminaries

All vectors are denoted by bold lower case letters and are to be read as column vectors. Matrices are denoted by bold capital letters. We write a matrix $\mathbf{B}$ as $\mathbf{B}=\left(\mathbf{b}0, \ldots, \mathbf{b}{d-1}\right)$ where $\mathbf{b}i$ is the ith column vector of $\mathbf{B}$. If $\mathbf{B} \in \mathbb{R}^{m \times d}$ has fullcolumn rank $d$, the lattice $\Lambda$ generated by the basis $\mathbf{B}$ is denoted by $\Lambda(\mathbf{B})=$ $\left{\mathbf{B} \cdot \mathbf{x} \mid \mathbf{x} \in \mathbb{Z}^d\right}$. A lattice is $q$-ary if it contains $q \mathbb{Z}^d$ as a sublattice, e.g., $\left{\mathbf{x} \in \mathbb{Z}_q^d \mid\right.$ $\mathbf{x} \cdot \mathbf{A}=\mathbf{0}}$ for some $\mathbf{A} \subset \mathbb{Z}^{d \times d^{\prime}}$. We denote by $\left(\mathbf{b}_0^{\star}, \ldots, \mathbf{b}{d-1}^{\star}\right)$ the Gram-Schmidt (GS) orthogonalisation of the matrix $\left(\mathbf{b}0, \ldots, \mathbf{b}{d-1}\right)$. For $i \in{0, \ldots, d-1}$, we denote the orthogonal projection to the span of $\left(\mathbf{b}0, \ldots, \mathbf{b}{i-1}\right)$ by $\pi_i ; \pi_0$ denotes ‘no projection’, i.e., the identity. We write $\pi_{\mathrm{v}}$ for the projection orthogonal to the space spanned by $\mathbf{v}$. For $0 \leq i<j \leq d$, we denote by $\mathbf{B}{[i: j]}$ the local projected block $\left(\pi_i\left(\mathbf{b}_i\right), \ldots, \pi_i\left(\mathbf{b}{j-1}\right)\right)$, and when the basis is clear from context, by $\Lambda_{[i: j]}$ the lattice generated by $\mathbf{B}_{[i: j]}$. We write $\lg (\cdot)$ for the logarithm to base two.

The Euclidean norm of a vector $\mathbf{v}$ is denoted by $|\mathbf{v}|$. The volume (or determinant) of a lattice $\Lambda(\mathbf{B})$ is $\operatorname{vol}(\Lambda(\mathbf{B}))=\prod_i\left|\mathbf{b}_i^{\star}\right|$. It is an invariant of the lattice. The first minimum of a lattice $\Lambda$ is the norm of a shortest non-zero vector, denoted by $\lambda_1(\Lambda)$. We use the abbreviations $\operatorname{vol}(\mathbf{B})=\operatorname{vol}(\Lambda(\mathbf{B})$ ) and $\lambda_1(\mathbf{B})=\lambda_1(\Lambda(\mathbf{B}))$

The Hermite constant $\gamma_\beta$ is the square of the maximum norm of any shortest vector in all lattices of unit volume in dimension $\beta$ :
$$
\gamma_\beta=\sup \left{\lambda_1^2(\Lambda) \mid \Lambda \in \mathbb{R}^\beta, \operatorname{vol}(\Lambda)=1\right} .
$$
Minkowski’s theorem allows us to derive an upper bound $\gamma_\beta=O(\beta)$, and this bound is reached up to a constant factor: $\gamma_\beta=\Theta(\beta)$.

密码学代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|LWE and NTRU

LWE 问题和 NTRU 问题已被证明是密码应用程序的通用构建块 [104、218、274、493]。对于这两个问题，都存在环和矩阵变体。更准确地说，NTRU 的原始定义是环变体 [274]，很少考虑矩阵变体，而对于 LWE，原始定义是矩阵变体 [494]，后来定义了环变体 $[401,561]$. 在本章中，我们通常处理矩阵变体，因为我们的重点是一般格的格约简。
定义 $2.1$ (LWE [494])。升 $n, q$ 是正整数， $\chi$ 是一个概率分布 $\mathbb{Z}$ 和 $\mathbf{s}$ 是一个均匀随机向量 $\mathbb{Z} q^n$. 我们用 $L \mathrm{~s}, \chi$ 的概率分布 $\mathbb{Z} q^n \times \mathbb{Z}q$ 通过选择获得 $\mathbf{a} \in \mathbb{Z}_q^n$ 均匀地随机选择 $e \in \mathbb{Z}$ 根据 $\chi$ 并考虑它 $\mathbb{Z}_q$ ，并返回 $(\mathbf{a}, c)=(\mathbf{a},\langle\mathbf{a}, \mathbf{s}\rangle+e) \in \mathbb{Z}_q^n \times \mathbb{Z}_q$ Decision-LWE 是决定是否对 $(\mathrm{a}, c) \in \mathbb{Z}_q^n \times \mathbb{Z}_q$ 根据采样 $L \mathrm{~s}, \chi{\text {或均匀分 }}$ 布 $\mathbb{Z} q^n \times \mathbb{Z}_q$. Search-LWE 是从对中恢复 $\mathrm{s}$ 的问题 $(\mathbf{a}, c)=(\mathbf{a},\langle\mathbf{a}, \mathbf{s}\rangle+e) \in \mathbb{Z}_q^n \times \mathbb{Z}_q$ 根据采样 $L \mathrm{~s}, \chi$.
我们注意到上述定义对样本数量没有限制，即假设 LWE 对于任何多项式数量的样本都是安全的。此外，由于对于许多选择 $n, q, \chi$ 解决 Decision-LWE 允许解决 Search-LWE [105，494]，反之亦然，仅谈论 LWE 问题（对于那些参数选择) 是有意义的。通过以系统形式重写系统 [23]，可以证明 LWE 问题，其中秘密的每个组件s 从误差分布中采样 $\chi$ ，与均匀随机秘密的问题一样安全。具有这种秘密的 LWE，遵循误差分布，被称为范式 LWE。我们将在本章中考虑范式 LWE。此外，在本说明中，分布的确切规范 $\chi$ 无关紧要，我们可以通过给出标准差来简单地指定一个 LWE 实例 $\sigma$ 的 $\chi$. 此外，我们将隐含地假设 $\chi$ 居中，即期望为 0 。我们也可以将 LWE 写成矩阵形式为 $\mathbf{A} \cdot \mathbf{s}+\mathbf{e} \equiv \mathbf{c} \bmod q$. NTRU 问题 [274] 定义如下。
定义 $2.2$ (NTRU [274])。让 $n, q$ 是正整数， $f, g \in \mathbb{Z}_q[x]$ 是次数的多项式 $n$ 从一些分布中抽样 $\chi$, 受 $f$ 可逆模多项式 $\phi$ 学位 $n$ ，然后让 $h=g / f \bmod (\phi, q)$. NTRU问题是寻找的问题 $f, g$ 给予 $h$ (或任何等效的解决方案 $\left(x^i \cdot f, x^i \cdot g\right)$ 对于一些 $\left.i \in \mathbb{Z}\right)$.
具体来说，读者可能会想到 $\phi=x^n+1$ 什么时候 $n$ 是二的幂并且 $\chi$ 是一些分布产生具有小系数的多项式。矩阵变体考虑 $\mathbf{F}, \mathbf{G} \in \mathbb{Z}_q^{n \times n}$ 这样 $\mathbf{H}=\mathbf{G} \cdot \mathbf{F}^{-1} \bmod q$.

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Notation and Preliminaries

所有向量都用粗体小写字母表示，并被读作列向量。矩阵用粗体大写字母表示。我们写一个矩阵 $\mathbf{B}$ 作为 $\mathbf{B}=(\mathbf{b} 0, \ldots, \mathbf{b} d-1)$ 在挪里 $\mathbf{b} i$ 是第 $\mathrm{i}$ 个列向量 $\mathbf{B}$. 如果 $\mathbf{B} \in \mathbb{R}^{m \times d}$ 有完整的排名 $d$ 晶格 $\Lambda$ 由基础产生 $\mathbf{B}$ 表含 $q \mathbb{Z}^d$ 来自子晶格，例如，们用 $\left(\mathbf{b}0^{\star}, \ldots, \mathbf{b} d-1^{\star}\right)$ 矩阵的 Gram-Schmidt (GS) 正交化 $(\mathbf{b} 0, \ldots, \mathbf{b} d-1)$. 为了 $i \in 0, \ldots, d-1$ ，我们将正交投影表示为跨度 $(\mathbf{b} 0, \ldots, \mathbf{b} i-1)$ 经过 $\pi_i ; \pi_0$ 表示”无投影”，即身份。我们写 $\pi{\mathrm{v}}$ 对于与所跨越的空间正交的投影 $\mathbf{v}$. 为了 $0 \leq i<j \leq d_{\text {～我们用 }} \mathbf{B}[i: j]$ 本地投影块 $\left(\pi_i\left(\mathbf{b}i\right), \ldots, \pi_i(\mathbf{b} j-1)\right)$ ，当基础从上下文中清楚时, 通过 $\Lambda{[i: j]}$ 生成的晶格 $\mathbf{B}{[i: j]}$. 我们写 $\lg (\cdot)$ 以二为底的对数。向量的欧几里德范数 $\mathbf{v}$ 表示为 $|\mathbf{v}|$. 晶格的体积 (或行列式) $\Lambda(\mathbf{B})$ 是 $\operatorname{vol}(\Lambda(\mathbf{B}))=\prod_i\left|\mathbf{b}_i^{\star}\right|$. 它是格的不变量。格子的第一个最小值 $\Lambda$ 是最短非零向量的范数，表示为 $\lambda_1(\Lambda)$. 我们使用缩写 $\operatorname{vol}(\mathbf{B})=\operatorname{vol}(\Lambda(\mathbf{B}))$ 和 $\lambda_1(\mathbf{B})=\lambda_1(\Lambda(\mathbf{B}))$ 厄米常数 $\gamma\beta$ 是维度上单位体积的所有格子中任意最短向量的最大范数的平方 $\beta$ :
闵可夫斯基定理允许我们推导出一个上限 $\gamma_\beta=O(\beta)$ ，并且这个界限达到了一个常数因子: $\gamma_\beta=\Theta(\beta)$.

统计代写请认准statistics-lab™. statistics-lab™为您的留学生涯保驾护航。

金融工程代写

非参数统计代写

非参数统计指的是一种统计方法，其中不假设数据来自于由少数参数决定的规定模型；这种模型的例子包括正态分布模型和线性回归模型。

广义线性模型代考

广义线性模型（GLM）归属统计学领域，是一种应用灵活的线性回归模型。该模型允许因变量的偏差分布有除了正态分布之外的其它分布。

有限元方法代写

随机分析代写

时间序列分析代写

回归分析代写

MATLAB代写

R语言代写	问卷设计与分析代写
PYTHON代写	回归分析与线性模型代写
MATLAB代写	方差分析与试验设计代写
STATA代写	机器学习/统计学习代写
SPSS代写	计量经济学代写
EVIEWS代写	时间序列分析代写
EXCEL代写	深度学习代写
SQL代写	各种数据建模与可视化代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CISS3341

Posted on 2022年11月16日2022年11月16日 by statistics-lab

如果你也在怎样代写密码学Cryptography & Cryptanalysis这个学科遇到相关的难题，请随时右上角联系我们的24/7代写客服。

我们提供的密码学Cryptography & Cryptanalysis及其相关学科的代写，服务范围广, 其中包括但不限于:

Statistical Inference 统计推断
Statistical Computing 统计计算
Advanced Probability Theory 高等概率论
Advanced Mathematical Statistics 高等数理统计学
(Generalized) Linear Models 广义线性模型
Statistical Machine Learning 统计机器学习
Longitudinal Data Analysis 纵向数据分析
Foundations of Data Science 数据科学基础

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Towards Block Ciphers

One counter to frequency analysis is to permute pairs of letters, that is, our permutation acts on the set $S$ of pairs of letters, not the alphabet.

Exercise 1.15. For a substitution cipher based on permutations on pairs, write down carefully what the three sets $\mathfrak{R}, \mathfrak{P}, \mathfrak{C}$ are, and implement the two algorithms $\mathcal{E}$ and $\mathcal{D}$. Show that $(\mathfrak{R}, \mathfrak{P}, \mathfrak{C}, \mathcal{E}, \mathcal{D})$ is a symmetric cryptosystem.

Unfortunately, the frequencies of pairs are uneven, which means that frequency analysis still works, although it is less effective. A permutation on triples of letters would be better, but still not perfect.

Even better would be $L$-tuples. The number $L$ is called the block length. Unfortunately, representing a random permutation over a large set is impractical. Merely writing down a permutation requires at least $\log _2\left(|S|^{L} !\right) \approx$ $|S|^L\left(\ln |S|^L-1\right) / \ln 2$ binary digits.

One idea would be to use not a random permutation, but instead use a random member of some smaller family of permutations.

Example 1.5. The Hill cipher is an example of such a family of permutations, the permutations given by invertible matrices. We give our alphabet $R$ a ring structure, say $\mathbb{Z}_{26}$. We denote an $L$-tuple of letters as $\mathrm{m} \in R^L$. An invertible $L \times L$ matrix $\mathbf{K}$ acts on $L$-tuples through matrix multiplication, denoted by $\mathrm{Km}$.

The plaintext $m$ is a sequence of $L$-tuples of letters $\mathrm{m}_1 \mathrm{~m}_2 \ldots \mathrm{m}_l$. The key is an invertible $L \times L$ matrix $\mathbf{K}$. We encrypt the message using the formula
$$
\mathrm{c}_i=\mathbf{K}_i, \quad 1 \leq i \leq l .
$$
The ciphertext $c$ is the sequence of $L$-tuples $c_1 c_2 \ldots c_l$.
To decrypt a ciphertext $c=\mathrm{c}_1 \ldots \mathrm{c}_l$, we compute the $i$ th plaintext tuple using the formula
$$
\mathbf{m}_i=\mathbf{K}^{-1} \mathbf{c}_i, \quad 1 \leq i \leq l .
$$

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Practical Mathematical Cryptography

Choosing a good round function is difficult, especially when the goal is to find a round function that can be computed very quickly and that does not require many rounds. Again, this problem is out of scope for this book.

Padding Schemes The plaintext set for the cryptosystem from Exercise $1.24$ is the set of finite sequences of elements from $S$, where each set element is typically an $L$-tuple of letters from the alphabet. In other words, the plaintext set is the set of letter sequences whose length is divisible by $L$.

But when $L$ is large, it is unreasonable to expect message lengths to be a multiple of $L$. We usually need to encrypt arbitrary sequences of letters. Since we need to decrypt correctly, we cannot just append some fixed letter until the sequence length is a multiple of $L$.

We extend a cryptosystem to accept sequences of any length by applying a suitable injective function before encryption.

Definition 1.3. Let $\mathfrak{P}$ and $\mathfrak{P}^{\prime}$ be sets. A padding scheme for $\mathfrak{P}$ and $\mathfrak{P}^{\prime}$ consists of two functions $\iota: \mathfrak{F} \rightarrow \mathfrak{P}^{\prime}$ and $\lambda: \mathfrak{P}^{\prime} \rightarrow \mathfrak{P} \cup{\perp}$ satisfying
$$
\lambda(\iota(m))=m \text { for all } m \in \mathfrak{P} \text {. }
$$
Exercise 1.25. Suppose you have a cryptosystem $\left(\mathfrak{k}, \mathfrak{P}^{\prime}, \mathfrak{C}, \mathcal{E}^{\prime}, \mathcal{D}^{\prime}\right)$ and a padding scheme $(\iota, \lambda)$ for $\mathfrak{F}$ and $\mathfrak{F}^{\prime}$. Based on the padding scheme and the cryptosystem, construct a new cryptosystem $(\mathfrak{K}, \mathfrak{P}, \mathfrak{C}, \mathcal{E}, \mathcal{D})$. Show that it is indeed a cryptosystem.

Typically, the alphabet is ${0,1}$ and the set is $S={0,1}^L$, bit strings of length $L$. The plaintext set $\mathfrak{P}^{\prime}$ will then be bit strings of length divisible by $L$.

One padding scheme is the following: We first add one 1-bit, then we add 0-bits until the total length is divisible by $L$. If the block size $L$ is 8 , the bit string 10101 will become 10101100 . If the block size $L$ is 5 , the bit string 01010 becomes 0101010000 .

密码学代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Towards Block Ciphers

频率分析的一个反例是排列成对的字母，也就是说，我们的排列作用于集合 $S$ 成对的字母，而不是字母表。
练习 1.15。对于基于对排列的替代密码，请仔细写下这三个集合 $\Re, \mathfrak{P}, \mathfrak{C}$ 是，并实现这两种算法 $\mathcal{E}$ 和 $\mathcal{D}$. 显示 $(\Re, \mathfrak{P}, \mathfrak{C}, \mathcal{E}, \mathcal{D})$ 是对称密码体制。
不幸的是，对的频率是不均匀的，这意味着频率分析仍然有效，尽管它不太有效。字母三元组的排列会更好，但仍不完美。
更好的是 $L$-元组。号码 $L$ 称为块长度。不幸的是，表示一个大集合的随机排列是不切实际的。仅仅写下一个排列至少需要 $\log 2\left(|S|^{L} !\right) \approx|S|^L\left(\ln |S|^L-1\right) / \ln 2$ 二进制数字。一个想法是不使用随机排列，而是使用一些较小排列族的随机成员。例 1.5。希尔密码就是这种排列族的一个例子，由可逆矩阵给出的排列。我们给我们的字母表 $R$ 环形结构，比如说 $\mathbb{Z}{26}$. 我们表示一个 $L$-字母元组为 $\mathrm{m} \in R^L$. 一个可翻转的 $L \times L$ 矩阵 $\mathbf{K}$ 作用于 $L$-通过矩阵乘法的元组，表示为 $\mathrm{Km}$.
明文 $m$ 是一个序列 $L$-字母元组 $\mathrm{m}_1 \mathrm{~m}_2 \ldots \mathrm{m}_l$. 钥题是可逆的 $L \times L$ 矩阵 $\mathbf{K}$. 我们使用公式加密消息
$$
\mathrm{c}_i=\mathbf{K}_i, \quad 1 \leq i \leq l .
$$
解密密文 $c=c_1 \ldots c_l$ ，我们计算 $i$ 使用公式的第 th 个明文元组
$$
\mathbf{m}_i=\mathbf{K}^{-1} \mathbf{c}_i, \quad 1 \leq i \leq l
$$

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Practical Mathematical Cryptography

选择一个好的轮函数很困难，尤其是当目标是找到一个可以非常快速地计算并且不需要很多轮的轮函数时。同样，这个问题超出了本书的范围。
填充方案练习中密码系统的明文集 $1.24$ 是元素的有限序列的集合 $S$ ，其中每个集合元素通常是一个 $L$-字母表中字母的元组。换句话说，明文集是字母序列的集合，其长度可以被整除 $L$.
但当 $L$ 很大，期望消息长度是以下的倍数是不合理的 $L$. 我们通常需要加密任意字母序列。因为我们需要正确解密，所以我们不能只附加一些固定的字母，直到序列长度是以下的倍数 $L$.
我们通过在加密前应用合适的单射函数来扩展密码系统以接受任何长度的序列。
定义 1.3。让 $\mathfrak{P}$ 和 $\mathfrak{P}^{\prime}$ 被套。一个填充方案 $\mathfrak{P}$ 和 $\mathfrak{P}^{\prime}$ 由两个函数组成 $\iota: \mathfrak{F} \rightarrow \mathfrak{P}^{\prime}$ 和 $\lambda: \mathfrak{P}^{\prime} \rightarrow \mathfrak{P} \cup \perp$ 令人满意的 $\lambda(\iota(m))=m$ for all $m \in \mathfrak{P}$.
练习 1.25。假设你有一个密码系统 $\left(\mathfrak{k}, \mathfrak{P}^{\prime}, \mathfrak{C}, \mathcal{E}^{\prime}, \mathcal{D}^{\prime}\right)$ 和填充方案 $(\iota, \lambda)$ 为了 $\mathfrak{F}$ 和 $\mathfrak{F}^{\prime}$. 基于填充方案和密码体制，构造一个新的密码体制 $(\mathfrak{K}, \mathfrak{P}, \mathfrak{C}, \mathcal{E}, \mathcal{D})$. 证明它确实是一个密码系统。
通常，字母表是 0,1 集合是 $S=0,1^L$ ，位串长度 $L$. 明文集郋然后将是长度可被整除的位串 $L$.
一种填充方案如下: 我们首先添加一个 1 位，然后我们添加 0 位，直到总长度可以被 $L$. 如果块大小 $L$ 为 8 ，位串 10101 将变为 10101100 。如果块大小 $L$ 是 5，位串 01010 变成 0101010000 。

统计代写请认准statistics-lab™. statistics-lab™为您的留学生涯保驾护航。

金融工程代写

非参数统计代写

非参数统计指的是一种统计方法，其中不假设数据来自于由少数参数决定的规定模型；这种模型的例子包括正态分布模型和线性回归模型。

广义线性模型代考

广义线性模型（GLM）归属统计学领域，是一种应用灵活的线性回归模型。该模型允许因变量的偏差分布有除了正态分布之外的其它分布。

有限元方法代写

随机分析代写

时间序列分析代写

回归分析代写

MATLAB代写

R语言代写	问卷设计与分析代写
PYTHON代写	回归分析与线性模型代写
MATLAB代写	方差分析与试验设计代写
STATA代写	机器学习/统计学习代写
SPSS代写	计量经济学代写
EVIEWS代写	时间序列分析代写
EXCEL代写	深度学习代写
SQL代写	各种数据建模与可视化代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|CS388H

Posted on 2022年11月16日2022年11月16日 by statistics-lab

如果你也在怎样代写密码学Cryptography & Cryptanalysis这个学科遇到相关的难题，请随时右上角联系我们的24/7代写客服。

我们提供的密码学Cryptography & Cryptanalysis及其相关学科的代写，服务范围广, 其中包括但不限于:

Statistical Inference 统计推断
Statistical Computing 统计计算
Advanced Probability Theory 高等概率论
Advanced Mathematical Statistics 高等数理统计学
(Generalized) Linear Models 广义线性模型
Statistical Machine Learning 统计机器学习
Longitudinal Data Analysis 纵向数据分析
Foundations of Data Science 数据科学基础

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Affine Cipher

Over a ring, the equation $Y=k_1 X+k_2$ has a unique solution if $k_1$ is invertible in the ring. We shall use this fact to construct an affine cipher.

We give our alphabet $R$ a ring structure, $\mathbb{Z}_{26}$. We add as before. We multiply $\mathrm{F}$ and $\mathrm{G}$ by applying the bijection to get 5 and 6 , multiplying them to get 30, which is 4 modulo 26, and then applying the inverse bijection to get E.

Example 1.3. The affine cipher based on a ring $R$ is the following: The set of keys is $\mathfrak{K}=R^* \times R$, the plaintext set is the set of strings of ring elements, $\mathfrak{P}=\cup_l R^l$, and the ciphertext set is the same, $\mathfrak{C}=\mathfrak{P}$.

The encryption algorithm $\mathcal{E}$ takes as input a key $\left(k_1, k_2\right) \in R^* \times R$ and a tuple of ring elements $m_1 m_2 \ldots m_l \in R^l$ and computes the ciphertext $c_1 c_2 \ldots c_l \in R^l$ as
$$
c_i=k_1 m_i+k_2, \quad 1 \leq i \leq l .
$$
The decryption algorithm $\mathcal{D}$ takes as input a key $\left(k_1, k_2\right) \in R^* \times R$ and a tuple of ring elements $c_1 c_2 \ldots c_l \in R^l$ and computes the message
$m_1 m_2 \ldots m_l \in R^l$ as
$$
m_i=k_1^{-1}\left(c_i-k_2\right), \quad 1 \leq i \leq l .
$$
Exercise 1.5. Show that the affine cipher $(\mathfrak{K}, \mathfrak{P}, \mathfrak{C}, \mathcal{E}, \mathcal{D})$ is a symmetric cryptosystem. Implement the two algorithms $\mathcal{E}$ and $\mathcal{D}$ for the English alphabet.
Exercise 1.6. How many different keys are there for the affine cipher when the alphabet has 26 elements?

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Substitution Cipher

The formulas (1.1) and (1.2) define bijections on the alphabet. We can generalise these schemes by using any bijection or permutation on our alphabet.
Example 1.4. The substitution cipher on an alphabet $S$ is the following: The set of keys is the set of permutations on $S$. The plaintext set is the set of strings of set elements, $\mathfrak{F}=\cup_l S^l$. The ciphertext set is the same, $\mathfrak{C}=\cup_l S^l$.

The encryption algorithm $\mathcal{E}$ takes as input a key $\pi$ and a tuple of set elements $m_1 m_2 \ldots m_l \in S^l$ and computes a tuple $c_1 c_2 \ldots c_l \in S^l$ as
$$
c_i=\pi\left(m_i\right), \quad 1 \leq i \leq l .
$$
The output is $c_1 c_2 \ldots c_l$.
The decryption algorithm $\mathcal{D}$ takes as input a key $\pi$ and a tuple $c=$ $c_1 \ldots c_l \in S^l$ and computes a tuple $m_1 m_2 \ldots m_l \in S^l$ as
$$
m_i=\pi^{-1}\left(c_i\right), \quad 1 \leq i \leq l .
$$
Exercise 1.10. Show that the substitution cipher $(\mathfrak{h}, \mathfrak{P}, \mathfrak{C}, \mathcal{E}, \mathcal{D})$ is a symmetric cryptosystem. Implement two algorithms $\mathcal{E}$ and $\mathcal{D}$ for the English alphabet.
Exercise 1.11. How many different keys are there for the substitution cipher when the alphabet has 26 elements?
Exercise 1.12. Explain how we can recover part of the key (a partial key) from known plaintext, but not necessarily the full key.

密码学代写

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Affine Cipher

在一个环上，等式 $Y=k_1 X+k_2$ 有唯一解如果 $k_1$ 在环中是可逆的。我们将使用这个事实来构造仿射密码。
我们给我们的字母表 $R$ 环形结构， $\mathbb{Z}{26}$. 我们像以前一样添加。我们相乘 $\mathrm{F}$ 和 $\mathrm{G}$ 通过应用双射得到 5 和 6 ，将它们相乘得到 30，即 4 模 26，然后应用逆双射得到 $E{\text {。 }}$ 相同， $\mathfrak{C}=\mathfrak{P}$.

加密算法 $\mathcal{F}$ 将一个键作为输入 $\left(k_1, k_2\right) \in R^* \times R$ 和一个环形元素元组 $m_1 m_2 \ldots m_l \in R^l$ 并计算密文 $c_1 c_2 \ldots c_l \in R^l$ 作为
$$
c_i=k_1 m_i+k_2, \quad 1 \leq i \leq l .
$$
解密算法 $\mathcal{D}$ 将一个键作为输入 $\left(k_1, k_2\right) \in R^* \times R$ 和一个环形元素元组 $c_1 c_2 \ldots c_l \in R^l$ 并计算消息
$m_1 m_2 \ldots m_l \in R^l$ 作为
$\$ \$$
$\$ \$$
练习 1.5。表明仿射密码 $(\mathfrak{K}, \mathfrak{P}, \mathfrak{C}, \mathcal{E}, \mathcal{D})$ 是对称密码体制。实现两种算法 $\mathcal{G}$ 和 $\mathcal{D}$ 为英文字母表。
练习 1.6。当字母表有 26 个元素时，仿射密码有多少个不同的密钥?

数学代写|密码学作业代写Cryptography & Cryptanalysis代考|Substitution Cipher

公式 (1.1) 和 (1.2) 定义了字母表上的双射。我们可以通过在我们的字母表上使用任何双射或排列来概括这些方案。
示例 1.4。字母表上的替代密码 $S$ 如下：键集是关于 $S$. 明文集合是集合元素的字符串集合， $\mathfrak{F}=\cup_l S^l$. 密文集是一样的， $\mathfrak{C}=\cup_l S^l$.

加密算法 $\mathcal{E}$ 将一个键作为输入 $\pi$ 和一个集合元素的元组 $m_1 m_2 \ldots m_l \in S^l$ 并计算一个元组 $c_1 c_2 \ldots c_l \in S^l$ 作为
$$
c_i=\pi\left(m_i\right), \quad 1 \leq i \leq l .
$$
输出是 $c_1 c_2 \ldots c_l$.
解密算法 $\mathcal{D}$ 将一个键作为输入 $\pi$ 和一个元组 $c=c_1 \ldots c_l \in S^l$ 并计算一个元组 $m_1 m_2 \ldots m_l \in S^l$ 作为
$$
m_i=\pi^{-1}\left(c_i\right), \quad 1 \leq i \leq l .
$$
练习 1.10。表明替代密码 $(\mathfrak{h}, \mathfrak{P}, \mathfrak{C}, \mathcal{E}, \mathcal{D})$ 是对称密码体制。实现两种算法 $\mathcal{E}$ 和 $\mathcal{D}$ 为英文字母表。
练习 1.11。当字母表有 26 个元素时，替换密码有多少个不同的密钥?
练习 1.12。解释我们如何从已知明文中恢复部分密钥（部分密钥），但不一定是完整密钥。

统计代写请认准statistics-lab™. statistics-lab™为您的留学生涯保驾护航。

R语言代写	问卷设计与分析代写
PYTHON代写	回归分析与线性模型代写
MATLAB代写	方差分析与试验设计代写
STATA代写	机器学习/统计学习代写
SPSS代写	计量经济学代写
EVIEWS代写	时间序列分析代写
EXCEL代写	深度学习代写
SQL代写	各种数据建模与可视化代写