【后量子密码】CRYSTALS-KYBER 算法（二）：密钥封装 KEM（附源码分析）

一、前言

Kyber 算法是一种满足 IND-CCA2 安全的密钥封装机制（key-encapsulation mechanism，KEM），其安全性依赖于MLWE 问题的困难性。Kyber 算法构建采用了两阶段的方法：首先引入了一种IND-CPA 安全的公钥加密方案，用于加密长度为32字节的消息，称之为Kyber.CPAPKE；然后使用改进的 Fujisaki-Okamoto（FO）变换来构建满足 IND-CCA2 安全KEM，称之为 Kyber.CCAKEM。在随机预言机模型下，从IND-CPA 安全方案到IND-CCA2 安全方案的安全归约（security reduction）是紧归约（tight reduction），但在量子预言机模型下是非紧归约（non-tight reduction）。

压缩与解压缩

压缩函数 Compress q \text{Compress}_q