基于背包问题的 NTRU 消息恢复攻击

本文介绍了一种基于模块背包问题的消息恢复攻击，适用于所有 NTRU-HPS 加密系统变体。假设在消息 ${\bf{m}} \in \{-1,0,1\}^N$ 和随机向量 ${\bf r} \in \{-1,0,1\}^N$ 的系数中已知一个比例 $\epsilon$ 的位置，我们将消息解密归约为在一个编码模块背包系统实例的格中寻找一个短向量。这允许我们回答一个关键问题：在恢复 ${\bf m}$ 或成对 $({\bf m},{\bf r})$ 之前，需要多少信息才能实现？我们成功地通过 FLATTER 进行了消息恢复，实际情况下当 $\epsilon \approx 0.45$ 时即可实现。我们的实现在普通台式机上几分钟内即可找到 ${\bf m}$。