1. 题目背景与核心考点解析
这道来自DASCTF2022.07赋能赛的easyNTRU题目，考察的是对NTRU加密算法的理解与攻击能力。NTRU（N-th Degree Truncated Polynomial Ring）是一种基于格的公钥密码系统，以其高效性和抗量子计算特性著称。在CTF比赛中，这类题目通常要求选手通过分析加密实现漏洞或参数选择不当来恢复明文。
NTRU的核心操作发生在多项式环R = Z[X]/(X^N - 1)上，涉及三个关键参数(N, p, q)。其中N决定多项式的次数，p和q是两个模数。典型加密流程包含：
- 密钥生成：生成短系数多项式f、g作为私钥，计算h ≡ p·f_q·g mod q作为公钥
- 加密：选择随机短多项式r，计算密文e ≡ r·h + m mod q
- 解密：使用私钥f计算a ≡ f·e mod q，然后通过中心化调整和模p运算恢复明文
2. 题目文件分析与初始观察
下载题目附件后，通常会得到以下文件：
task.py：实现NTRU加密的Python脚本output.txt：包含公钥h和密文e的输出结果- 有时会附带一个
readme说明参数设置
首先用文本编辑器查看task.py，重点关注以下部分：
python复制N =
p =
q =
h = [...] # 公钥多项式系数
e = [...] # 密文多项式系数
典型参数设置问题包括：
- 过小的N值（如N=7）导致格维度不足
- p和q选择不当（如p=3,q=64）使得解密过程产生混淆
- 使用标准参数但泄露部分私钥信息
3. NTRU攻击方法选型与实践
针对不同参数场景，可采用以下攻击方法：
3.1 格基规约攻击（LLL算法）
当N较小时（N<100），可以直接构造格基进行规约。以N=7为例，构造如下格基矩阵：
| q 0 0 0 0 0 0 | h0 h1 h2 h3 h4 h5 h6 |
| 0 q 0 0 0 0 0 | h1 h2 h3 h4 h5 h6 h0 |
| 0 0 q 0 0 0 0 | h2 h3 h4 h5 h6 h0 h1 |
| 0 0 0 q 0 0 0 | h3 h4 h5 h6 h0 h1 h2 |
| 0 0 0 0 q 0 0 | h4 h5 h6 h0 h1 h2 h3 |
| 0 0 0 0 0 q 0 | h5 h6 h0 h1 h2 h3 h4 |
| 0 0 0 0 0 0 q | h6 h0 h1 h2 h3 h4 h5 |
| 0 0 0 0 0 0 0 | 1 0 0 0 0 0 0 |
使用SageMath实现LLL规约：
python复制from sage.modules.free_module_integer import IntegerLattice
def attack(h, q, N):
h = vector(h)
B = matrix(ZZ, 2*N)
for i in range(N):
B[i,i] = q
for j in range(N):
B[i,N+j] = h[(j-i) % N]
for i in range(N):
B[N+i,N+i] = 1
lattice = IntegerLattice(B)
L = lattice.reduced_basis
for vec in L:
if vec.norm() < q:
f = vec[:N]
if gcd(f.change_ring(ZZ).list()) == 1:
return f
return None
3.2 暴力搜索攻击
当参数极小时（如N=7, p=3），可以暴力搜索可能的f和g组合。由于NTRU要求f和g的系数绝对值较小（通常为-1,0,1），搜索空间为3^N。
优化技巧：
- 限制非零系数数量（如仅3个非零项）
- 提前终止：当发现h ≡ p·f_q·g mod q时立即返回
- 多线程并行搜索
3.3 Meet-in-the-Middle攻击
对于中等规模N（如N=30），可以采用中间相遇策略：
- 将f分解为f1+f2
- 预计算f1的所有可能值并存储h/f1 mod q
- 枚举f2检查是否命中预计算表
4. 本题具体解题步骤
以实际题目为例，假设参数为N=7, p=3, q=64：
- 从output.txt提取h和e：
python复制h = [12, 34, 56, 12, 34, 56, 12] # 示例值
e = [45, 23, 67, 89, 12, 34, 56]
- 构造格基并规约：
python复制q = 64
N = 7
f = attack(h, q, N) # 假设返回[1, -1, 0, 1, 0, 0, -1]
- 计算f_q ≡ f^{-1} mod q：
python复制R.<x> = PolynomialRing(Zmod(q))
f_poly = sum(f[i]*x^i for i in range(N))
f_q = inverse_mod(f_poly, x^N - 1)
- 解密过程：
python复制a = (f_poly * R(e)).mod(x^N - 1)
a_coeffs = [int(ai) for ai in a.list() + [0]*(N - len(a.list()))]
# 中心化调整
for i in range(N):
if a_coeffs[i] > q/2:
a_coeffs[i] -= q
# 模p运算
m = [ai % p for ai in a_coeffs]
- 将m转换为flag：
python复制flag = bytes([mi + ord('0') for mi in m]).decode()
print(flag) # 输出类似DASCTF{...}的格式
5. 常见问题与调试技巧
-
LLL规约失败：
- 检查格基构造是否正确
- 尝试BKZ算法替代LLL
- 增加格基的块大小参数
-
解密结果乱码：
- 确认中心化调整步骤正确执行
- 检查p和q是否互质
- 验证私钥f是否满足f(1) ≠ 0 mod q
-
SageMath性能优化：
python复制sage: set_random_seed(42) # 固定随机种子便于调试 sage: lattice.reduced_basis(algorithm='fpLLL', fp='qd') # 使用快速浮点LLL -
非标准参数处理：
- 当q不是2的幂次时，需要调整模逆计算方式
- 如果p和q不互质，需使用中国剩余定理分步处理
6. 扩展知识与防御建议
对于CTF出题者，安全实现NTRU应注意：
- 使用标准参数（如N=503, p=3, q=256）
- 添加随机填充抵抗格攻击
- 实现完整的CVP（最近向量问题）检查
参赛选手应掌握：
- SageMath多项式环操作
- 格基构造基本原理
- 常见密码分析工具（fpylll, numpy等）
我在实际解题中发现，当N较小时，即使没有私钥f，通过公钥h也能直接构造解密函数。这是因为h包含了足够多的私钥信息，通过格规约可以恢复出等效私钥。这提醒我们，在CTF比赛中遇到非标准参数的NTRU实现时，首先应该检查参数是否足够大。