whose sum is vskJ modulo I; the new

whose sum is vsk
J modulo I; the new secret key sk is the subset T , encoded as a 0/1-vector
in {0, 1}|S|. Distinguishing whether or not the vectors in S are completely uniform and
independent of sk∗ is a lattice-related problem, whose search version (actually finding the
subset) has been studied in the context of server-aided cryptography [91, 114, 106, 96, 105].
We discuss this problem a bit more in the next Section.
In the modified scheme, ExpandCTE outputs {ci ← ui × ψ∗ mod BI : ui ∈ S}. To
oversimplify, DecryptE sums up the values ci that correspond to elements of T , thereby
obtaining vJ sk × ψ∗ mod BI, and then rounds to the nearest integer vector. This summation
can be performed in depth (roughly) log |T |, regardless of what n is. By choosing |T |
small enough, smaller than the depth of the circuits that the scheme can evaluate (which
is unaffected by this transformation), the scheme becomes bootstrappable.
The previous paragraph oversimplifies some details. First, the summation of the |T |
vectors and the rounding are performed together; the fact that the ultimate result is
rounded and taken modulo I allows us to maintain fewer bits of precision in the intermediate computations. The fact that we are promised that the final result is close to an
integer vector (due to one of our tweaks), ensures that the rounded result is correct despite the limited precision. Also, we actually still add |S| vectors together, but with the
promise that only |T | of them are nonzero. (We have this promise because, after when
we multiply in the secret key sk ∈ {0, 1}|S|, which has Hamming weight |T |, it zeroizes
all but |T | of the ciphertext components). Why can we add |T | vectors in only (roughly)
log |T | depth, regardless of the size of |S|, when we have the promise that only |T | of
the |S| vectors are nonzero (and the other promises, like the fact that we only need the
result rounded, and then modulo I)? Essentially, the reason is that summing |S| numbers basically reduces (in terms of circuit depth) to computing the Hamming weight of
a vector in x ∈ {0, 1}|S| and expressing the final result in binary – i.e., in {0, 1}s+1 for
s = blog |S|c. The binary expression of the Hamming weight of x turns out to be simply (e2s(x1, . . . , x|S|) mod 2, e2s−1(x1, . . . , x|S|) mod 2, . . . , e20(x1, . . . , x|S|) mod 2), where ei
is the ith elementary symmetric polynomial. If the Hamming weight is guaranteed to be
at most |T |, we need not bother computing the polynomials of degree higher than 2blog |T |c,
and consequently need less depth.

Kết quả (Việt) 1:

có tổng là vskJ modulo I; khóa bí mật mới sk là tập hợp con T, mã hóa như một 0/1-vectorở {0, 1} | S|. Phân biệt có hay không các vectơ trong S thống nhất hoàn toàn vàđộc lập của sk∗ là một vấn đề liên quan đến lưới, mà phiên bản tìm kiếm (trên thực tế việc tìm kiếm cáctập hợp) đã được nghiên cứu trong bối cảnh của máy chủ hỗ trợ mật mã [91, 114, 106, 96, 105].Chúng tôi thảo luận về vấn đề này một chút nhiều hơn trong phần tiếp theo.Trong sơ đồ lần, ExpandCTE kết quả đầu ra {ci ← ui × ψ∗ mod BI: ui ∈ S}. Đểoversimplify, DecryptE tiền lên ci giá trị tương ứng với các yếu tố của T, từ đóLấy vJ sk × ψ∗ mod BI, và sau đó viên đạn để vector số nguyên gần nhất. Tổng kết nàycó thể được thực hiện ở độ sâu (khoảng) đăng nhập | T |, bất kể những gì n. Bằng cách chọn | T |đủ nhỏ, nhỏ hơn so với chiều sâu của các mạch các đề án có thể đánh giá (trong đólà không bị ảnh hưởng bởi biến đổi này), chương trình sẽ trở thành bootstrappable.Đoạn trước oversimplifies một số chi tiết. Trước tiên, tổng kết của các | T |vector và các phép làm tròn được thực hiện với nhau; thực tế là kết quả cuối cùnglàm tròn và lấy theo modulo tôi cho phép chúng tôi duy trì ít bit của độ chính xác trong các tính toán trung cấp. Thực tế là chúng tôi đang hứa hẹn kết quả cuối cùng là gần gũi với mộtsố nguyên vector (do một trong những tinh chỉnh của chúng tôi), đảm bảo rằng kết quả tròn là chính xác mặc dù độ chính xác giới hạn. Ngoài ra, chúng tôi thực sự vẫn còn thêm | S| vectơ với nhau, nhưng với cáclời hứa chỉ | T | họ là nonzero. (Chúng tôi có lời hứa này bởi vì, sau khichúng tôi nhân trong bí mật key sk ∈ {0, 1} | S|, trong đó có Hamming trọng lượng | T |, nó zeroizesTất cả nhưng | T | Các thành phần ciphertext). Tại sao chúng ta có thể thêm | T | vectơ trong chỉ (khoảng)đăng nhập | T | sâu, bất kể kích thước của | S|, khi chúng tôi có những lời hứa mà chỉ | T | củaCác | S| vector được nonzero (và khác lời hứa, giống như một thực tế là chúng tôi chỉ cần cácquả tròn, và sau đó theo modulo tôi)? Về cơ bản, lý do là rằng tổng hợp | S| số điện thoại về cơ bản làm giảm (về độ sâu mạch) để tính toán trọng lượng Hammingvector trong x ∈ {0, 1} | S| và thể hiện kết quả cuối cùng trong hệ nhị phân-ví dụ, trong {0, 1} s + 1 chos = blog | S|c. Biểu thức nhị phân lượng Hamming x hóa ra là chỉ đơn giản là (e2s (x 1,..., x| S|) Mod 2, e2s−1 (x 1,..., x| S|) Mod 2,..., e20 (x 1,..., x| S|) Mod 2), nơi eilà ith tiểu học đa thức đối xứng. Nếu trọng lượng Hamming là bảo đảm đểnhất | T |, chúng ta không cần bận tâm tính toán đa thức của độ cao hơn 2blog | T |c,và do đó cần ít hơn chiều sâu.

Kết quả (Việt) 2:

có tổng là VSK
J modulo I; khóa bí mật mới sk là tập con T, mã hóa như một 0/1-vector
trong {0, 1} | S |. Phân biệt hay không vector trong S là hoàn toàn thống nhất và
độc lập của sk * là một vấn đề mạng liên quan, mà tìm kiếm phiên bản (thực sự tìm thấy các
tập hợp con) đã được nghiên cứu trong bối cảnh các máy chủ có hỗ trợ mã hóa [91, 114, 106, . 96, 105]
Chúng tôi thảo luận về vấn đề này nhiều hơn một chút trong phần tiếp theo.
trong đề án sửa đổi, kết quả đầu ra ExpandCTE {ci ← ui × ψ * mod BI: ui ∈ S}. Để
đơn giản hóa, DecryptE tổng kết các giá trị ci tương ứng với các yếu tố của T, qua đó
có được VJ sk × ψ * mod BI, và sau đó vòng với vector số nguyên gần nhất. Tổng kết này
có thể được thực hiện theo chiều sâu (khoảng) log | T |, bất kể những gì n là. Bằng cách lựa chọn | T |
đủ nhỏ, nhỏ hơn so với độ sâu của các mạch rằng chương trình này có thể đánh giá (mà
không bị ảnh hưởng bởi biến đổi này), chương trình này sẽ trở thành bootstrappable.
Đoạn trước oversimplifies một số chi tiết. Thứ nhất, tổng của số | T |
vectơ và làm tròn được biểu diễn cùng nhau; thực tế là kết quả cuối cùng được
làm tròn và lấy modulo tôi cho phép chúng tôi duy trì các bit ít hơn độ chính xác trong tính toán trung gian. Thực tế là chúng ta được hứa rằng kết quả cuối cùng là gần một
vector số nguyên (do một số điều chỉnh của chúng tôi), đảm bảo rằng kết quả được làm tròn là đúng mặc dù độ chính xác hạn chế. Ngoài ra, chúng tôi thực sự vẫn còn thêm | S | vectơ với nhau, nhưng với những
lời hứa đó chỉ | T | của họ là khác không. (Chúng tôi có lời hứa này bởi vì, sau khi
chúng tôi nhân trong bí mật ∈ sk nhọn {0, 1} | S |, mà đã Hamming trọng lượng | T |, nó zeroizes
tất cả nhưng | T | trong những thành phần ciphertext). Tại sao chúng ta có thể thêm | T | vectơ chỉ (khoảng)
log | T | chiều sâu, bất kể kích thước của | S |, khi chúng tôi có những lời hứa đó chỉ | T | của
các | S | Các vectơ khác không (và một lời hứa, như một thực tế rằng chúng tôi chỉ cần các
kết quả làm tròn, và sau đó theo modulo I)? Về cơ bản, lý do là tổng hợp | S | số cơ bản giảm (về chiều sâu mạch) để tính toán trọng lượng Hamming của
một vector trong x ∈ {0, 1} | S | và thể hiện kết quả cuối cùng trong hệ nhị phân - tức là, trong {0, 1} s + 1 cho
s = blog | S | c. Biểu thức nhị phân của trọng lượng Hamming của x hóa ra là đơn giản (e2s (x1,, x |... S |) mod 2, e2s-1 (x1,, x |... S |) mod 2,. .., E20 (x1,, x |... S |) mod 2), nơi ei
là thứ i tiểu đa thức đối xứng. Nếu trọng lượng Hamming là đảm bảo được
nhiều nhất | T |, chúng ta không cần phải bận tâm tính toán đa thức của mức độ cao hơn 2blog | T | c,
và do đó cần ít sâu.