 Je vais vous parler de l'agriculture RENIDA et de quelques applications en cryptographie lattice base. Je vais donc faire une introduction et récolter quelques résultats, quelques qui sont déjà connaissances, quelques qui sont nouveaux. Et ensuite, je présente quelques applications en cryptographie lattice base. Fortuniellement, je vais seulement pouvoir présenter quelques résultats dans le travail et le restant est dans la version de papier. Et ensuite, je vais finir avec les conclusions et quelques questions. Ok, alors, qu'est-ce que l'agriculture RENIDA et pourquoi devons-nous l'utiliser ? Alors, quand nous faisons des profs de sécurité dans les distributions, donc le standard de recherche est de prendre une distance statistique pour faire des profs. Donc, on prend un problème en reliant sur une distribution idéale, qui sera notationnée en Q dans ce stock. Et si vous réplacez Q par une distribution de vieille vie, P, et la distance statistique est assez petite, ensuite, vous venez, le problème est sur la main. Et en lattice base, en cryptographie, quelques works par Stélie, Steinfeld et co-authors de eux ont montré que l'on ne peut souvent pas répliquer la distance statistique avec la divergence de RENIDA, parce qu'on obtient des boules de bouleurs et de boules de bouleurs, spécialement quand vous utilisez des cushions. Mais le problème est que c'est plus curieux à utiliser, c'est qu'il y a une bonne composition de propriétés et des propriétés statistiques dont les distances statistiques ne sont pas qualifiées par la divergence de RENIDA. Et donc l'optimisation de ce stock est de formaliser et de optimiser l'utilisation de la divergence de RENIDA dans les profs de sécurité, ce qui sera la première partie. Et la deuxième partie est de 5 applications de la divergence de RENIDA. Ok, donc la définition de la divergence de RENIDA est donnée ici. Donc si vous considérez A, qui est en 1 plus de l'infinité, puis la divergence de 2 distributions P et Q va prendre la somme pour Nx dans le support de P, de Px à A, sur Qx à A-1 et cela pour 1 à A-1. Et donc c'est en fait différent, même pour toutes les valeurs d'A, mais depuis que la divergence de la divergence de RENIDA est qualitativement différente quand c'est à l'extérieur de cette partie, je vais seulement considérer cette partie. Ok, donc si vous considérez un scheme cryptographique qui est en 1 plus de distribution d'A et que nous savons la probabilité d'un évènement qui est en 1 plus de l'infinité avec la distance statistique nous avons une qualité relative qui est une équalité relative qui est donnée ici. Et si vous voulez avoir une Meaningful Security proof, nous avons besoin de la distance statistique d'A, pour être moins d'à 2 à la moins d'A qui est en 1 plus de l'A et avec la divergence de RENIDA nous avons quelque chose très différent parce qu'on a des propriétés multipliatives donc la distance 0 sera plus grande que la distance 1 à la distance A-1 et cela est divisé par les deux distributions de la divergence de RENIDA à la force de Q. Et donc ici nous avons besoin d'un logarithm de la divergence de RENIDA pour être moins d'à 2 à la moins d'A à 2 à la moins de RENIDA pour avoir une Meaningful Security proof. Et donc si nous avons une équalité de la divergence de RENIDA et de la distance de la divergence de RENIDA et de la distance statistique, la divergence de RENIDA sera plus intéressante quand Q est moins d'à 2 à la moins d'A et cela a été réalisé par ETA en 2015. Et pourquoi cela est intéressant en basant sur la graphie c'est parce que dans le code de compétition en liste pour la pièce de post-pontoon ils considèrent la bande de flow ils considèrent Q à moins d'à 2 à 64 et ils considèrent l'Onda à être un hider 1,98, 192 ou 256 donc vous pouvez voir qu'il y a quelque chose à gagner si nous avons réussi à faire la divergence de RENIDA c'est assez petit. Donc maintenant vous vous rappelez et vous présentez quelques nouveaux ou déjà connaissances donc ok, donc le premier résultat c'est ce qu'on connait c'est que si vous avez des distributions d'A et d'A et d'A à plus d'A c'est moins d'à 1 à plus d'A puis la divergence de RENIDA c'est moins d'à 1 à plus d'A à plus d'A à plus d'A et donc en utilisant des théories de Taylor vous pouvez dire que pour la valeur typique de A ce sera plus ou moins 1 à plus d'A et donc la utilisation c'est quand vous avez la solution parfaite dans l'exemple d'A ce sera parfaite et bien sûr habituellement dans la température de la place vous ne pouvez pas prendre le thé de la gauche parce que vous comptez la gauche avec la table distribution et vous ne pouvez pas le mettre dans la table distribution et donc ce lema vous permet de dire où vous pouvez prendre le thé de la gauche et typiquement si vous utilisez ce lema, si vous utilisez le RENIDA vous pouvez prendre une table plus courte maintenant la deuxième chose c'est beaucoup plus intéressant parce que pour le premier vous considérez que la ratio entre les deux distributions est apparaissante comme dans le premier état mais aussi basé par 1 à plus d'A et donc la bonne partie de ça c'est que quand vous comptez le RENIDA entre les deux distributions dans ce nouveau lema vous avez quelque chose à plus d'A avec le RENIDA c'est 1 plus Delta ou plus d'A et from a practical side typical culturelleOW Perception policy elle qui vous donnera une relative erreur de Delta, et puis cela vous disait que vous avez une relative erreur de Delta. Lorsque la différence entre les parfaits et les parfaits distributions sera boundée par cette valeur. Donc maintenant, un terme LIMA est lié à la distance maximale, qui a été introduite par Michoncho et Valterre à Kyoto en 2017. Donc, dans le papier par Michoncho et Valterre, ils présentent un nouveau sampler sur V, et pour réaliser ce sampler, ils introduisent la distance maximale, qui est définie comme la distance maximale de log P minus log Q sur le support de log P. Et ce qui est bien pour cela, c'est que c'est une distance, comme dans les diagrams, vous pouvez aussi utiliser des équalities utiles, comme la trameurée de l'équalité, c'est aussi aussi sévétrique, etc. Et Michoncho Valterre est essentiellement dit que si la distance maximale est moins que 2 à la minus, alors que si on se défendait plus, nous gagnerions. Et donc dans ce travail, comme dans les diagrams, donc le diagramme de la distance maximale de log P minus log Q sur la distance maximale, et dans ce diagramme de la distance maximale de log P minus log Q sur la distance maximale, à la gauche, à la distance du max-hoc, à la droite. Et donc, essentiellement, nous avons reine d'agardance, c'est equal à 1 plus de la distance du max-hoc, à la droite. Donc, en fait, c'est le conséquent de cette étape. Au lieu d'avoir la distance du max-hoc, moins que 2 à la minus, plus que q, ou plus que 2, ce que vous avez besoin. La distance du max-hoc, essentiellement, moins que 2 à la minus, plus que q, donc vous réplacez, longuez-le, par q. Attends, non, c'est pas q, c'est log2fq, donc vous réplacez, typiquement, 2056 par 64. Donc, sur le plus pratique de l'aspect, le préféré pour utiliser la distance d'agardance, c'est de prendre votre scène préférée, et un plus agressif du max-hoc. Donc, dans ma expérience, le moyen proper de faire ça, c'est, d'abord, de essayer d'appeler le relativeur de Lema, parce que c'est le plus powerful de Lema que j'ai présenté. Si ça ne marche pas, vous pouvez essayer d'appeler le plus grand Lema, ou le plus grand Lema de l'équalité. Et vous avez besoin de la relativeur d'agardance, pour être moins que 1 à plus que 2 à la minus q, et ça va être suffisant d'avoir un proof de sécurité, pour dire que, dans le premier cas, la sécurité de l'agardance est de sécurité avec q, puis vous l'aurez en plus d'un peu de précision si vous changez de la première distribution à la seconde. Et aussi, vous avez besoin d'utiliser d'agardance ou d'agardance, et de prendre A equal à l'agardance, si l'agardance éfficient est aussi en expérience, parce que si A est trop petit, vous n'aurez pas de proof d'agardance, et si A est trop grand, vous n'aurez pas de possibilité d'utiliser la relativeur de l'agardance, parce que c'est le plus profond de l'agardance. Et quelque chose que vous devez tenir en mind, c'est que ces arguments sont validés pour des problèmes de recherche, et pour des problèmes de décision, il y a encore une question à atteindre la même efficacité. Et dans le reste de cette présentation, je vais souvent donner des numéros, et ces numéros, les 64 queries, ont apparaissé le liste de des propositions. Je vais présenter quelques applications. La première application est liée à l'application des papiers de l'Echinche de l'Evaltère, et dans ce paper, ils introduisent un sampler de Gaussian sur les intergéras, parce que vous avez besoin de beaucoup de samplers de Gaussian pour faire une photographie basique. Donc, dans leur travail, ils performent des analyses de la distance max basique de la sampler, et ils expliquent que si vous avez 64 bits de précision, la distance max basique est moins que 2 à minus 50, et vous avez à peu près 100 bits de sécurité. Dans ce travail, j'utilise l'équalité de l'Evaltère, et avec 64 bits de précision, vous avez une divergence de l'Evaltère, 1 plus à plus de minus 96. Donc, en fait, nous pouvons prendre 256 bits de sécurité, même avec la distance de l'Evaltère, et cette sécurité est entièrement libre, parce que c'est une analyse de black box. Juste, dans la distance max basique, vous avez une divergence de l'Evaltère, et vous avez votre clé de sécurité. Donc, les autres applications, il y a deux applications qui sont relativement à la sampler de l'Evaltère. Donc, la sampler de l'Evaltère est essentiellement utilisée de la knowledge de la base secret d'Evaltère, d'une enquête qui est typiquement la valeur c de l'espace d'une lattice, mais pas de la lattice itself. Ils actent comme un point de la lattice qui doit être fermé à ce point. Et évidemment, il doit être fermé et il ne devrait pas lier la base secret qui est utilisée. Donc, il y a beaucoup de constructions, comme l'Achensai, l'Iblis, la nature et tout. Et les comptes et les résumés, il y a aussi l'une qui est proposée par Gentry Becker et par Kuntanata dans le papier où ils introduisent la sampler, et celle-ci est en fait la même que les clients et il y a beaucoup plus de samplers et ils utilisent le point de l'Evaltère aux mythiques. Ils tous, essentiellement, performent des pièces de l'Evaltère ou des pièces de l'Evaltère en utilisant le point de l'Evaltère. Donc, c'est beaucoup de point de l'Evaltère et vous avez besoin et donc, c'est usually Donc, dans ce travail, j'ai présenté deux accès à l'improvement pour traverser les samplers. Donc, le premier, c'est la sélection avec laquelle il peut être utilisé et le deuxième, c'est la précision Donc, le premier, j'ai présenté le premier. Donc, je vais prendre, comme exemple, peut-être le le most well-known sampler qui est le sampler par client qui est aussi le sampler de GV. Donc, il y a une maîtrise, qui doit être plus grande qu'une certaine valeur proportionnelle pour les pièces de l'Evaltère. Vous avez le GSO, l'organisation de l'Evaltère et vous avez un parquet de T et vous allez obtenir une vector Z comme ce que ZB est la distribution de la distribution de l'Evaltère générée par B d'un point de l'improvement d'un point de l'inter-TV Donc maintenant, le point de l'improvement est important pour savoir comment le sigmar parameterise c'est que si le sigmar est trop petit cela ne va pas se faire comme un douche en racleur et cela va légérer toutes les bases de la sélection et cela ouvre l'embrasse de la voie d'un réglage de la technologie du KNVN, contre l'EnsuboSign et le GJSign. Donc, essentiellement, le point sera sample dans les bases de Paripay-Pay, et si vous faites suffisamment de queries, vous pourrez faire les bases. Donc, vous devez mettre le sigmar pour être large, mais si c'est trop large, alors votre Gaussian va performer pas de nombreuses opérations pour les bases de Paripay-Pay-Pay, alors que ce n'est pas un problème. Si c'est trop large, c'est pour l'exemple de tous les points dans le lattice, et vous ne pouvez pas utiliser ça pour les signatures typiquement. Donc, nous devons trouver le sigmar et nous devons trouver le sigmar le plus optimal possible. Donc, il y a deux constraintes. Il ne faut pas être trop large, parce que l'autre sigmar n'est pas utile pour Paripay-Pay, alors il s'occupe les bases. Ok. Donc, ce que j'ai dit, c'est que il y a la courbe basse, qui est la courbe qui est lancée par le problème de l'envers avec le sigmar. Donc, si le sigmar est trop large, la sécurité par mètres sera très petite. Mais, de la même manière, si le sigmar devient si le sigmar est trop small, vous allez mettre les bases. Donc, en fait, ce que nous voulons, c'est de mettre nous-mêmes dans l'intersection des deux cartes. Et chaque courbe donne chaque courbe 25, la hausse qu'on doit obtenir par considérant la faute de la courbe basse ou pour la distribution qui est indistinguable par la courbe basse. Donc, dans l'analyse, dans l'original paper par Jean-Tripe-Pay-Pay et par Lieutenant-Antoine, ils utilisent la distance statistique. Et ça vous donne ce point. Et en fait, si vous utilisez la courbe basse, vous pouvez obtenir une courbe basse et la courbe basse sera autour de ici. Vous pourrez avoir un paramétre de la courbe basse et maintenant la partie intéressante est que si vous considérez la courbe basse et que vous considérez un nombre limité, donc ici Lieutenant-Antoine est à 64 mètres. Et en fait, le paramétre de la courbe basse est à 64 mètres. Et ça veut dire que vous pouvez prendre ce point d'intersection qui vous donnera une petite sécurité pour exactement la même la même lattice et la même algorithma. Donc, en fait, si vous faites l'analyse entre la distance statistique et les gardons de la courbe basse, vous recevrez 30 mètres de sécurité de la courbe basse. Ok, donc maintenant nous avons dû étudier la précision de la courbe basse et la première courbe dit que la sécurité de 156 mètres requise de 150 mètres de précision et c'est complètement impractique parce que si vous voulez utiliser la courbe basse vous devez utiliser la précision de la courbe basse et donc, dans cette courbe basse la sécurité analyse avec la courbe basse et parce que nous avons le nombre de courbes basse à moins de 64 mètres vous pouvez en fait prendre beaucoup plus de paramètres parce que la courbe basse sera essentiellement liée à le nombre de courbes basse et pas à la courbe basse la courbe basse est toujours intervérée mais en fait mais le impact devient le mécanisme en fait et c'est pourquoi nous pouvons prendre 61 mètres de précision il y a d'autres applications dans le papier que je ne vais pas utiliser ici donc la deuxième courbe basse c'est de revisiter la courbe basse pour samplez la courbe basse avec la courbe basse donc si vous faites l'approche de la courbe basse et l'analyse de la courbe basse vous obtenez une courbe basse et si vous faites une courbe basse avec une courbe basse vous pouvez prendre un nombre de valeurs qui dépendent de la courbe basse et pas de la courbe basse et la même courbe basse avec la précision qui devient la courbe basse plutôt que de la courbe basse et similarly si vous étudiez le réjectif en pleine plutôt que de la courbe basse plutôt que de la courbe basse plutôt que de la courbe basse plutôt que de la courbe basse alors maintenant dans la conclusion vous avez offert des outils pour optimiser l'utilisation de la courbe basse et une bonne chose c'est que parce que de la courbe basse et de la courbe basse pour la courbe basse le fait que la courbe basse n'est pas de la courbe basse c'est plus un problème parce que vous pouvez utiliser la courbe basse pour faire la computation et quand vous voulez obtenir l'actual bound à la fin de la computation vous dites ok maintenant je vais utiliser la courbe basse et vous obtenez une courbe basse ok donc quelques questions à laquelle je vais mentionner donc une question que j'ai moi-même beaucoup est-ce que vous pouvez l'utiliser au-delà de la courbe basse parce que la courbe basse certainement n'est pas la seule courbe basse de la courbe basse où vous avez cette distribution et la distance statistique peut-être pas possible et vous voulez switch à une métrique pas de la courbe basse mais de la courbe basse qui est plus significative et qui donne de la courbe basse une autre question est-ce que vous pouvez acheter une efficacité pour des problèmes de décision aussi, peut-on appeler ça à d'autres températures donc c'est probablement facile et peut-être donc j'ai discuté quelques idées dans le papier avec une table très amusante mais il y a encore une question pour voir si elle peut être imprimée correctement en particulier en respect de les attaques de la courbe basse et oui, avant de finir je voudrais remercier Catherine et le programme d'agriculture de l'agriculture c'est très compliqué pour moi de venir ici et sans le soutien financier je ne pouvais pas le faire donc merci une question pouvez-vous remercier l'image de la courbe basse oui, c'est un peu confus une des axes dans la picture je ne comprends pas la courbe basse qu'est-ce que les axes qu'est-ce que le sens de la courbe basse oui, peut-être donc ce axes, le axes X est l'armée de la courbe basse et le axes Y est le sigmar et en fait, ce que je n'ai peut-être pas dit c'est que quand vous avez votre traiteur sampler si le sigmar est large enough alors votre traiteur sampler devient indistinguable de une bonne courbe basse mais pour cela, c'est vrai que vous avez besoin de la courbe basse c'est pourquoi ici le sigmar le largeur de cette courbe basse devient avec respect à cet axes donc peut-être il faut que la courbe basse et la courbe basse représente une courbe basse ou quelque chose c'est comme une courbe basse ou une courbe basse en fait, c'est un format d'optimisation parce que cette courbe basse c'est la courbe qui représente la courbe basse de la courbe basse que votre traiteur sampler solide si votre traiteur sampler solide un problème très basse cela signifie que c'est correct pour le fait qu'il a une très petite standardisation parce que cela signifie que tenter de forger tenter de limiter la courbe basse de votre traiteur sampler sera très basse donc vous voyez la courbe basse avec un degré qui est plus grand que la courbe basse c'est quoi ? le degré de la courbe basse c'est plus grand que la courbe basse c'est pour ça que je prends cette courbe basse je prends une courbe basse c'est utile pour considérer la courbe basse avec la courbe basse et la courbe basse est complètement différente parce que par exemple si vous en prenez une exactement la courbe basse c'est parce que la courbe basse est une courbe basse et en fait vous avez une égalité de la courbe basse qui je trouve pas possible respecter la courbe basse que la courbe basse que la courbe basse et si c'est moins stricte que l'une si on a réussi à être étudiant plus de questions ? ok donc si non la parole est à vous merci