哈密顿伪随机函数（Hamiltonian Pseudorandom Function, HPRF）：一种基于辛几何（Symplectic Geometry）与混沌动力学（Chaotic Dynamics）的对称加密原语

《Quantum Reports》：The Hamiltonian Pseudorandom Function: A Symmetric Encryption Primitive Grounded in Symplectic Geometry and Chaotic Dynamics

　　

摘要：研究人员提出了哈密顿伪随机函数（Hamiltonian Pseudorandom Function, HPRF），一种新型对称密码学原语，其函数族{Fk}定义为Fk(q)=?Sk(q)，即辛环面（symplectic torus）??2n上秘密拉格朗日子流形（Lagrangian submanifold）Lk之生成函数（generating function）Sk的梯度。密钥k指定强混沌区中踢转子（kicked-rotor）映射的一个复合，其经典李雅普诺夫指数（Lyapunov exponent）按log(K/2)增长每踢一次。HPRF最好被理解为一个具高最小熵（min-entropy）输出的种子单向函数（one-way function）：由于Fk是光滑的（C∞），其原始输出不能直接用作均匀密钥流，但计算上难以求逆。研究人员构建了三种对称加密模式——模式A（密钥依赖坐标系）、模式C（拉格朗日密钥流）及模式AC（混合模式）——其中HPRF提供困难性，密钥派生函数（Key Derivation Function, KDF；具体采用HKDF）提供比特级均匀性。标准对称组合即得IND-CPA与IND-CCA2安全性。经典安全性归约至拉格朗日识别问题（Lagrangian Identification Problem, LIP），证明等价于哈密顿逆问题（Hamiltonian Inversion Problem, HIP）——恢复踢参数，研究人员将其列为显式困难假设，并由正李雅普诺夫指数导致的精度/样本复杂度障碍、具体攻击失败经验及（更具启发性地）阿诺德猜想（Arnold conjecture）与Floer理论（Floer theory）的拓扑暗示所支持。研究人员验证了梯度拟合攻击与代数结构攻击均告失败。对于量子安全性，研究人员提出恰当框架：复合Floquet算子??被视为Ji–Liu–Song意义下的候选伪随机酉算子（Pseudorandom Unitary, PRU）。研究人员提供三根独立证据支柱——Wigner–Dyson谱统计、李雅普诺夫率加扰（scrambling）及推测近似t-设计（approximate t-design）行为——并将HPRF量子安全性归约至??为PRU的猜想。此前版本基于动力局域化（dynamical localisation）的论证不适用于密码学参数；研究人员指出算符实际所处的混沌–伪随机性区间是最强基础。确定型定点算术核确保跨平台比特精确一致性。参考实现验证所有模式正确性，NIST SP 800-90B输出最小熵分析确定参数集。作为基础提案，HPRF面向需结构上独立于现行代数问题（RSA、ECC、格）之对称困难假设之场景（如纵深防御设计中之对冲原语或几何/混沌密码学进一步研究基础），而非现阶段直接替代AES或格方案。

论文解读：哈密顿伪随机函数（HPRF）——基于辛几何与混沌动力学的对称加密原语

研究背景与动机

当代公钥密码学安全性基于整数分解、离散对数及椭圆曲线离散对数等代数难题，这些均易被Shor算法在量子计算机上破解，催生了后量子密码学（Post-Quantum Cryptography, PQC）研究。然而NIST后量子标准化（如基于格、哈希、码的方案）仍替换以不同代数结构，未脱离代数范畴。现有伪随机函数（Pseudorandom Function, PRF）如AES、ChaCha20及基于格的构造均由群、环、域、模上的代数运算构成，其线性或可代数化特征使代数攻击可行且令Shor算法生效。本研究动机在于探索一种根本不同于代数的基础：利用辛几何（symplectic geometry）中拉格朗日子流形（Lagrangian submanifold, L?(M,ω)满足dim L=n, ω|_L=0）在混沌哈密顿流（Hamiltonian flow）下演化之指数难辨识性，构建对称密码原语。辛流形具位形–动量共轭对偶性（由辛形式ω=∑dq_i∧dp_i形式化），拉格朗日子流形处于完美平衡，经混沌哈密顿微分同胚（Hamiltonian diffeomorphism φ_H^t∈Ham(M,ω)）演化后其身份因混沌敏感性（正Lyapunov exponent λ≈log(K/2), K?4为踢强参数）与Lagrangian Grassmannian拓扑结构而极难恢复。本文即定义该函数族并构建加密模式，发表于《Quantum Reports》。

主要关键技术方法

研究人员采用如下关键方法开展研究：(1) 在辛环面??²ⁿ上定义哈密顿单向函数F_k(q)=?S_k(q)，其中S_k为密钥k所指定之r次Chirikov标准映射（Chirikov standard map / kicked rotor）复合φ_k=φ_Kr,αr°···°φ_K1,α1作用于参考拉格朗日子流形L₀（零截面）所得L_k=φ_k(L₀)之第一类生成函数（generating function of the first kind），K_i∈[6,10], α_i∈[0,2π)随机采样为密钥；(2) 构建三种对称加密模式（Mode A密钥依赖环面平移+Lagrangian认证子；Mode C将HPRF输出经HKDF得密钥流做XOR加密；Mode AC混合两者）并于随机预言机模型（Random Oracle Model, ROM）下用Game-hopping证明IND-CPA及（经由Encrypt-then-MAC）IND-CCA2安全性；(3) 形式化拉格朗日识别问题（Lagrangian Identification Problem, LIP）与哈密顿逆问题（Hamiltonian Inversion Problem, HIP = 从F_k谕示恢复{K_i,α_i}），证明多项式时间等价（Theorem 10）；(4) 实施梯度拟合攻击（gradient-fitting attack, 用有限差分梯度下降试图拟合生成函数参数）与代数结构攻击（试图单踢拟合或Fourier分解复合映射），验证失效；(5) 用NIST SP 800-90B评估量化输出条件最小熵（conditional min-entropy H_∞(F_k(q)|View)≥λ）；(6) 实现跨平台确定性48-bit定点算术核（含2¹⁶项正弦查找表及整数线性插值，round-half-to-even与算术右移截断），验证比特精确性；(7) 量子安全性方面以Floquet算子??为候选伪随机酉（Pseudorandom Unitary, PRU）并检验Wigner–Dyson能级统计、OTOC（out-of-time-ordered correlator）李雅普诺夫率加扰及近似t-设计（approximate t-design）行为。

研究结果

1. Introduction（引言）

研究人员阐明HPRF不声称标准PRF（因C^∞光滑性致邻近输入输出相关，可用两近邻查询区分），而是种子单向函数配合HKDF使用；列明六大贡献：定义HPRF及安全假设（one-more-evaluation unpredictability）、三种加密模式及安全性证明、LIP/HIP等价与困难假设、梯度拟合与代数攻击验证失败、量子PRU框架与三支柱证据、定点算术实现与NIST SP 800-90B最小熵参数定标。

2. Background（背景知识）

回顾辛流形(M,ω)、拉格朗日子流形（Lagrangian submanifold, ω|_L=0, dim L=n/2）、生成函数S(q)使L={(q,?S(q))}（投影微分同胚时；有焦散点则用Viterbo意义下quadratic-at-infinity generating function, GFQI）、哈密顿微分同胚φ_H^T保辛结构且将拉格朗日子流形映为拉格朗日子流形、量子踢转子（quantum kicked rotor）之Chirikov标准映射 q'=(q+p) mod 2π, p'=p+K sin(q') mod 2π 及其Floquet算子??=exp(-i p?²/4?)exp(-iK cos(q?)/?)，强混沌(K?4)时最大李雅普诺夫指数λ≈log(K/2)。

3. Green's Theorem Duality（格林定理对偶性）

Stokes定理给出∮_?Lp dq=∫_Lω=0（L为Lagrangian），边界积分（p dq携带之信息）与内部积分平衡——"拉格朗日平衡"，密码学问题为给定(q,p=?S(q))判定点所在之L（LIP）。

4. The Hamiltonian One-Way Function（哈密顿单向函数）

定义HPRF族F_k(q)=?S_k(q)，S_k为L_k=φ_k(L₀)之生成函数。评估过程：输入q经r次Chirikov映射得(q_r,p_r)，输出p_r=?S_k(q)。声明假设1（one-more-evaluation unpredictability：PPT敌手获自适应谕示访问F_k，作q_c新鲜点预测F_k(q_c)优势可忽略）与假设2（量化输出条件最小熵H_∞≥λ）。指出光滑性致不能达全nb-bit最小熵（实测≈0.967 bit/bit），故需HKDF提取。

5. Key Generation and Scheme Setup（密钥生成与参数设定）

密钥为r个{(K_i,α_i)}均匀取自K∈[6,10], α∈[0,2π)，推荐r=128(λ=128), r=192(λ=192), r=256(λ=256)；坐标维数n=3(λ=128, nb=144), n=4(λ=192, nb=192), n=6(λ=256, nb=288)以补最小熵效率≈96.7%；定点精度b=48 bit/坐标；KDF用HKDF-HMAC-SHA256。

6. Encryption Modes（加密模式）

Mode A：Nonce ν→HKDF("basepoint",ν,k)得基点在环面平移消息编码坐标q?=q_m+Δ(k,ν)，送F_k得p=?S_k(q?)，输出(ν, q? mod ??ⁿ, p mod ??ⁿ, HMAC(·))；解密逆向验证MAC与Lagrangian配对后复原明文。Mode C：ν→HKDF("eval",ν,k)得评估点q?，F_k(q?)→HKDF-Extract/Expand→密钥流κ，密文=c=m⊕κ前段拼接MAC；最简且密文最小。Mode AC：同时含坐标平移与HPRF密钥流掩码。Theorem 8以Game-hopping证Mode C于HKDF-Expand ROM + Assump1+2下达IND-CPA（优势≤Adv_HIP+ε_extractor）；Theorem 9由Encrypt-then-MAC得IND-CCA2。

7. Hardness Foundations（困难性基础）

定义LIP（已知{(q_i,?S_k(q_i))}及L₀，找回k或标识L_k）与HIP（从F_k谕示恢复{K_i,α_i}），Theorem 10证LIP≡HIP（多项式时间等价）。假设3(LIP难解)、假设4(HIP难解：PPT敌手从nb-bit定点输入对恢复参数概率可忽略)。命题2（精度障碍）：恢复参数至δ精度需至少λ_r=λ·r bit工作精度或指数多样本——对有界精度/样本敌手构成信息论障碍。拓扑启发：Arnold猜想（#fix(φ°ψ)≥Cuplength(M)+1）暗示拉格朗日交指数量指数丰富；Floer同调全局非线性PDE无局部替代；辛映射类群（symplectic mapping class group Ham(M,ω)/Symp₀(M,ω)）共轭问题困难。

8. Cryptanalysis: Self-Attacks（密码分析与自攻击）

梯度拟合攻击：最小化∑‖?S_θ(q_i)-p_i‖²，但r次Chirikov映射Jacobi矩阵条件数～e^λr，K=8, r=64时～e^4.16×64，梯度被指数放大噪声淹没，300迭代损失增大、参数误差极大，零成功恢复；测试至r=12中规模同样发散。代数结构攻击：单踢拟合残差>30%，多频Fourier拟合残差35–40%，确认复合破坏单踢代数结构且具宽谱非紧表示。最小熵测评：NIST SP 800-90B最保守估计（most-common-value + Markov estimator）得每比特最小熵≈0.967 bit，聚合≈0.967·nb，据此修正参数集n使nb·0.967≥λ+裕量（原n=2在λ≥192不满足）。原HPRF输出经HKDF-Extract作随机性提取、HKDF-Expand拉伸密钥流。

9. Quantum Hardness（量子安全性）

弃用早先动力局域化论证（参数下不出现局域化，谱为Wigner–Dyson而非Poisson），改以PRU框架：猜想11（Floquet算子??_k^(r)定Key k下为PRU ensemble，QPT区分优势可忽略）。三支柱：Pillar 1——数值验证合成??（r≤6, Hilbert dim ≤2¹²）最近邻能级间距分布匹配CUE预测P(s)≈(π/2)s e^-πs2/4（Wigner–Dyson GUE）；Pillar 2——OTOC C(t)=?[W(t),V(0)]^?[W(t),V(0)]?呈e^2λt增长至加扰时间t_s～(1/λ)log(N)≤r（λ≈log(K/2) nats/kick, K=8时λ≈ln2+ln(K/(2√e))），r=128~256远超t_s；Pillar 3——推测??_k形成ε-近似t-设计（conjecture 12, t=poly(n), ε=negl），设计性?PRU。Theorem 13将经典查询HPRF敌手归约为≤t查询量子区分??与Haar，若猜想11成立则HPRF量子安全。命题3明确密码学参数下局域化长度?_loc?dim(?)不成立，故退除旧论证。

10. Fixed-Point Arithmetic Core（定点算术核心）

实数x存为整数?x·2^b+??（b=48），环面?[0,2^b-1]模运算；sin用2¹⁶项LUT覆盖[0,π/2]经象限对称与整型线性插值（48-bit精度）；Chirikov映射全整型加法/乘法/模减/移位。命题4证两兼容实现（同LUT与b）于任两补整型平台产生完全相同输出。规定舍入为round-half-to-even再算术右移截断、大端序48-bit零填充至8字节序列化、消息?环面坐标均匀网格映射、HKDF salt=全零、域分离标签ASCII无NUL、附测试向量保互操作。

11. Empirical Results（实证结果）

Python参考实现验证：三轮解密正确（边界值与随机消息）、篡改拒绝（Lagrangian认证子/MAC/坐标/nonce）、Mode A坐标不泄密（σ匹配??均匀）、Mode C密文字节分布过χ²均匀检验；性能（纯Python单线程）：Mode C ~0.4 ms/op (r=64, n=3), 密文36–40 B；Mode AC约慢2倍（双HPRF评估）。

12. Parameter Analysis（参数分析）

给出推荐参数集：λ=128→r=128,n=3,K∈[6,10],b=48；λ=192→r=192,n=4；λ=256→r=256,n=6；密钥长=2r×8 Byte（每对(K_i,α_i) 8字节）；Mode C密文仅|m|+16(MAC)+nonce长。n提高不影响安全（混沌分离只靠r）仅增密文数字节与O(n)评估常数因子。

13. Related Work（相关工作）

对比PQC（Kyber/NTRU/SPHINCS+/Classic McEliece——新代数假设）、传统混沌密码学（多无形式化安全归约或量子论证）、PRU文献（Ji–Liu–Song等——首例具物理模型（kicked rotor）作为候选PRU族之密码学构造引用量子混沌谱统计与ETH）、辫群密码学与拓扑码（共享全局拓扑不变量思想）、辛方法在格规约与多变量中应用（但Lagrangian做主密码对象属新颖）。

14. Discussion（讨论）

研究人员指出创新点：(i) 全新数学域（辛几何/哈密顿动力学）构建函数族，区别于一切代数PRF；(ii) 经典困难性源于混沌参数恢复之病态性，抗Shor类算法；(iii) 量子安全基于PRU与量子混沌（首用Ji–Liu–Song框架于具体方案）；(iv) 数学物理（kicked rotor, OTOC, Wigner–Dyson, Floer同调）与密码学桥接。HPRF与HKDF分工：HPRF提供困难性与最小熵，HKDF提供均匀性/完整性/雪崩。侧信道需常数时间正弦（无LUT或oblivious access）与分支无关实现；现参考实现为Python验证用途不具抗侧信道性。局限：LIP/HIP假设未经长期分析与worst-case→average-case归约（类比Regev对LWE）、仅为对称原语（无已知辛陷阱门）、密钥较AES大（可比某些PQC）、自攻击限于梯度/代数（待测CMA-ES/格攻击/MITM/LUT攻击）、需C/Rust常量时间实现、量子PRU为猜想。开放问题列形式最小熵下界证明、HIP/LIP与已知难问题归约或worst-case→average-case、Floquet算子近似t-设计证明、更广密码分析、对称公钥扩展、QROM形式化HKDF、其他混沌流形（高亏格面/齐性空间）、生产实现及大r谱统计验证。

15. Conclusions（结论翻译）

研究人员引入了哈密顿单向函数F_k（哈密顿伪随机函数，HPRF），一种安全性根植于辛流形上混沌动力学与拉格朗日识别问题困难性的新型对称密码学原语。基于HPRF构建的三种加密模式（A、C、AC）利用标准对称组合达成IND-CPA与IND-CCA2保密性。梯度拟合攻击因损失景观指数病态而失败，单个Chirikov映射之代数结构被复合破坏。确定性定点算术核确保跨平台比特精确一致。对于量子安全性，研究人员以踢转子Floquet算子??为Ji–Liu–Song意义下伪随机酉（PRU）之猜想取代早先动力局域化论证，并由Wigner–Dyson谱统计、李雅普诺夫率加扰及推测近似t-设计行为所支持，研究人员视此为基于混沌密码学原语量子安全之恰当框架——非局域化亦非搜索空间大小，而是量子混沌系统之普适加扰行为所界定之伪随机性。HPRF具结构非线性、拓扑性，且根植于辛几何（经典侧）与量子混沌（量子侧）数学域，使之与所有现存密码学构造定性不同；其安全性依于新且未证假设（经典LIP/HIP、量子PRU），文中各处明示何者得证、何者假设及何者猜想。HPRF最自然之应用系纵深防御与对冲场景——需结构上独立于RSA/ECC/格代数问题之对称困难假设，或作为辛几何、哈密顿动力学、量子混沌与密码学交叉领域进一步研究基础；本研究旨在开启该设计空间，而非即刻交付可部署替代AES或格方案之产品。