Module Lattice Security (Part I): Unconditional Verification of Weber's Conjecture for $k \le 12$

Technische Samenvatting: Onvoorwaardelijke Verificatie van Webers Vermoeden voor k ≤ 12

Auteur: Ming-Xing Luo (Southwest Jiaotong University, China)
Datum: April 2026
Onderwerp: Post-kwantum cryptografie, algebraïsche getaltheorie, roostergebaseerde cryptografie.

---

1. Het Probleem: Webers Vermoeden en Cryptografische Veiligheid

Het artikel richt zich op Webers vermoeden (1886), een langdurig openstaand probleem in de getaltheorie. Het vermoeden stelt dat voor elke gehele $k \geq 1$, het maximale reële deelveld $K^+_k = \mathbb{Q}(\zeta_{2^k} + \zeta_{2^k}^{-1})$ van de $2^k$-de cyclotomische veld, een class number (klassenaantal) $h^+_k = 1$ heeft.

De oplossing van dit vermoeden is van cruciaal belang voor de roostergebaseerde cryptografie (lattice-based cryptography), de basis van de door NIST gestandaardiseerde post-kwantum algoritmen (zoals ML-KEM en ML-DSA). De class number $h^+_k$ beïnvloedt de cryptografie op drie manieren:

1. Hoofsideaalprobleem (PIP): Als $h^+_k = 1$, is elk ideaal in de ring van gehele getallen $O_{K^+_k}$ een hoofsideaal. Dit zou kwantumalgoritmen kunnen toelaten om het PIP in polynomiale tijd op te lossen, waardoor de beveiliging terugvalt naar het "Short Generator Problem" (SGP).
2. Vrijheid van Modules: In de bewijzen van veiligheid voor ML-KEM en ML-DSA wordt aangenomen dat eindig gegenereerde, torsie-vrije modules over $O_{K^+_k}$ vrij zijn. Volgens de Steinitz-theorie is dit equivalent met $h^+_k = 1$.
3. Reductie van ergste naar gemiddelde geval: De strakheid van de veiligheidsreducties in Ring-LWE (R-LWE) en Module-LWE (ML-LWE) hangt af van de arithmetische eigenschappen van deze ringen.

De uitdaging: Voor $k \leq 8$ was het vermoeden onvoorwaardelijk bewezen. Voor $k \geq 9$ waren eerdere verificaties afhankelijk van de Generalized Riemann Hypothesis (GRH). Zonder GRH groeit de Minkowski-grens exponentieel, wat directe berekeningen onmogelijk maakt. Dit artikel presenteert het eerste onvoorwaardelijke bewijs voor $k \leq 12$.

---

2. Methodologie: Een Drie-Stadia Aanpak

De auteur combineert drie geavanceerde technieken uit de algebraïsche getaltheorie en Iwasawa-theorie om het probleem terug te brengen tot een eindige, berekenbare taak:

Fase 1: Eliminatie van kleine priemgetallen (Fukuda-Komatsu zeef)

• Doel: Alle priemgetallen $\ell < 10^9$ uitsluiten als mogelijke delers van $h^+_k$.
• Methode: Gebruikmakend van het Wieferich-criterium voor cyclotomische eenheden. Als een priemgetal $\ell$ voldoet aan specifieke congruentievoorwaarden ($\ell \equiv \pm 1 \pmod{2^{k-1}}$) en de cyclotomische eenheid $\xi_5$ een niet-triviale machtswortel is modulo $\ell$, dan deelt $\ell$ de class number niet.
• Resultaat: Dit elimineert systematisch alle kleine priemfactoren.

Fase 2: Eigenspace-pruning (Norm-coherentie argument)

• Doel: De meeste eigenspaces van de class group elimineren, zodat alleen die corresponderend met "volle-orde" Galois-kenmerken overblijven.
• Methode: Uitbuiting van de inductieve structuur van de cyclotomische $\mathbb{Z}_2$-toren ($K^+_8 \subset K^+_9 \subset \dots \subset K^+_{12}$).
• Redenering: Gegeven dat $h^+_8 = 1$ (bewezen door Miller), wordt inductief bewezen dat voor $k > 8$, elke $\ell$-torsie in de class group $Cl(K^+_k)$ geconcentreerd moet zijn in eigenspaces die corresponderen met kenmerken van volledige orde ($n = 2^{k-2}$). Kenmerken van lagere orde worden uitgesloten door de normafbeelding van de uitbreiding $K^+_k / K^+_{k-1}$.

Fase 3: Eindige begrenzing (Herbrand's theorema)

• Doel: De resterende kandidaat-priemgetallen beperken tot een eindige verzameling.
• Methode: Toepassing van Herbrand's theorema (en de uitbreiding door Ribet). Dit theorema stelt dat als een priemgetal $\ell$ de class number deelt voor een kenmerk van volledige orde, dan moet $\ell$ een specifieke veralgemeende Bernoulli-getal $B_{1,\psi}$ delen.
• Berekening: De auteurs berekenen de normen van deze Bernoulli-getallen. Hoewel deze getallen enorm zijn, zijn ze begrensd. Voor $k=10$ is de bovengrens ongeveer $10^{143}$ (met de tweede-moment schatting), wat berekenbaar is.
• Filtering: De auteurs factureren deze grote getallen en controleren of de gevonden priemfactoren voldoen aan de congruentievoorwaarden uit Fase 1 en het Wieferich-criterium.

---

3. Belangrijkste Bijdragen en Resultaten

• Eerste onvoorwaardelijk bewijs: Het artikel levert het eerste bewijs dat $h^+_k = 1$ voor alle $k \leq 12$, zonder afhankelijkheid van de GRH.
• Efficiëntie door symmetrie: Door gebruik te maken van Galois-orbit-symmetrie, hoeven de auteurs slechts één heel groot geheel getal (met maximaal 143 cijfers voor $k=10$) te ontbinden in priemfactoren, in plaats van voor elk kenmerk apart.
• Verificatie-algoritme: Een volledig algoritme (Algorithm 1) wordt gepresenteerd dat de verificatie automatiseert:
  1. Bereken de norm van het Bernoulli-getal.
  2. Ontbind in priemfactoren.
  3. Filter factoren die niet voldoen aan $\ell \equiv \pm 1 \pmod{2^{k-1}}$.
  4. Voer het Wieferich-test uit op de overgebleven factoren.
• Resultaat voor $k \leq 12$: Alle tests slaagden. Er werden geen priemfactoren gevonden die de class number deelden. Dus, $h^+_k = 1$ voor $k = 9, 10, 11, 12$.
• Berekeningscomplexiteit:
  • Voor $k=10$: Factoring van een ~143-cijferig getal (duurt uren met ECM).
  • Voor $k=11$: ~325 cijfers (dagen met ECM/NFS).
  • Voor $k=12$: ~726 cijfers (weken met NFS of Euler-systemen).

---

4. Betekenis voor Post-Kwantum Cryptografie

De bevindingen hebben directe en belangrijke implicaties voor de NIST-standaarden (ML-KEM, ML-DSA):

1. Validatie van Veiligheidsaannames: De cryptografische standaarden vertrouwen impliciet op de vrijheid van modules over de ring $O_{K^+_k}$. Dit bewijs bevestigt dat deze aanname onvoorwaardelijk correct is voor de gebruikte parameters ($k=9$ voor ML-KEM/ML-DSA, waarbij $K^+_9$ een graad van 128 heeft).
2. Versterkte Reducties: De bewijzen dat Ring-LWE en Module-LWE veilig zijn tegen klassieke en kwantum-aanvallen, worden strakker en robuuster wanneer $h^+_k = 1$. De ruisanalyse en de connectie tussen ergste-geval en gemiddelde-geval problemen vereenvoudigen aanzienlijk.
3. Veiligheid tegen Kwantum-aanvallen: Hoewel $h^+_k = 1$ het Hoofsideaalprobleem (PIP) triviaal maakt voor kwantumcomputers, bevestigt het artikel dat dit de veiligheid van Module-LWE (gebruikt in ML-KEM/ML-DSA) niet ondermijnt. Module-LWE is weerbaarder dan puur Ideal-LWE en blijft veilig tegen bekende kwantum-aanvallen zoals die van Biasse en Song.
4. Toekomstperspectief: De methode biedt een blauwdruk voor het onderzoeken van andere cyclotomische velden en het oplossen van vergelijkbare class number conjectures, wat essentieel is voor de langetermijnveiligheid van roostergebaseerde cryptografie.

Conclusie:
Ming-Xing Luo heeft een fundamentele barrière in de getaltheorie overwonnen die decennialang afhankelijk was van onbewezen hypothesen (GRH). Door een slimme combinatie van computergestuurde zeeftechnieken, inductieve structuren en diepe theorema's, is de basis voor de huidige generatie post-kwantum cryptografie wiskundig onvoorwaardelijk versterkt.