stanford-oval/wikipedia huggingface dataset:
דיליפ קומאר
ביוגרפיה > קריירה > שנות ה-80: חזרה להצלחה

ב-1981 הוא חזר לסרטים, והמציא את עצמו מחדש בתפקידי דמות מבוגרים. סרט הקאמבק שלו היה האפוס ההיסטורי עטור הכוכבים "קרנטי" שהיה הלהיט הגדול ביותר של השנה. הוא החל להופיע לצד צוות שחקנים הכולל את מאנוג' קומאר, שאשי קאפור, המה מליני ושאטרוג'ן סינהא, הוא שיחק בתפקיד הראשי כלוחם מהפכני למען עצמאותה של הודו מהשלטון הבריטי. בשלב שאחרי "קרנטי", קומאר המציא את עצמו מחדש כדי לגלם את "הזקן הזועם" בצורה נהדרת בסדרה של סרטים כמו "וידהאטה" (1982), "שאקטי" (1982), "דונייה" (1984), ועוד. בשנת 1982, הוא שיתף פעולה עם הבמאי סובהאש גאאי בפעם הראשונה עם "וידהאטה", בו כיכב לצד סנג'אי דאט, סנג'יב קומאר ושאמי קאפור. היה זה הסרט הרווחי ביותר של השנה. מאוחר יותר באותה שנה הוא שיחק לצד אמיטאב באצ'אן בסרט "שאקטי" של ראמש סיפי, שזיכה אותו בשבחי המבקרים ובפרס הפילמפייר השמיני והאחרון שלו לשחקן הטוב ביותר. ב-1984 שיחק בדרמת הפשע החברתי "משעל" של יאש צ'ופרה לצד אניל קאפור, שנכשלה בקופות, אך הופעתו זכתה לשבחים. הוא גם הופיע לצד רישי קאפור ב"דונייה" (1984) וג'יטנדרה ב"דרהאם אדיקרי" (1986).
ביוגרפיה > קריירה > שנות ה-90: בכורה בבימוי ועבודות אחרונות

בשנת 1990, הוא כיכב יחד עם גובינדה במותחן הפעולה "איזטדאר". בשנת 1991, קומאר כיכב לצד השחקן הוותיק ראאג' קומאר "בסאודאגאר", סרטו השלישי והאחרון עם הבמאי סובהאש גאאי. בשנת 1994 הוא זכה בפרס מפעל חיים של פילמפייר על תרומתו לתעשייה.
בשנת 1998, קומאר הופיע בסרט האחרון שלו בפלופ הקופות "קילה", שם שיחק בתפקידים כפולים כבעל אדמה רשע שנרצח וכאחיו התאום שמנסה לפתור את תעלומת מותו.
ביוגרפיה > קריירה > שנות ה-2000–2021: פרויקטים שנגנזו וקריירה פוליטית

בשנת 2001, קומאר היה אמור להופיע בסרט בשם אסאר לצד אג'אי דווגן ופריאנקה צ'ופרה, שנגנז עקב מצבו הבריאותי הרעוע של קומאר. הוא היה אמור להופיע גם בסרט המלחמה של סובהאש גאאי, "ארץ האם", לצד אמיטאב באצ'אן ושאה-רוח' ח'אן, אבל הסרט הזה נגנז לאחר שח'אן החליט לעזוב את הפרויקט.
קומאר היה חבר ברג'יה סבהה, הבית העליון של הפרלמנט של הודו, משנת 2000 עד שנת 2006. הוא היה מועמד על ידי הקונגרס הלאומי ההודי לייצג את מהאראשטרה). קומאר ניצל חלק ניכר מהקרן שלו לבנייה ושיפור של טיילת התזמורת והגנים במבצר בנדרה ב-Lands End בבנדרה.
ביוגרפיה > חיים אישיים

קומאר ומדהובלה נמשכו זה לזה במהלך הצילומים של הסרט "טארנה" (1951). הם נשארו בזוגיות במשך שבע שנים עד לתיק בית המשפט של נאיה דאור, שבמהלכו העיד קומאר נגד מדהובלה ואביה, וסיים את מערכת היחסים ביניהם. הם לא עבדו שוב יחד אחרי מוגול-א-עזאם (1960). מאוחר יותר התבטא קומאר באוטוביוגרפיה שלו, "האם הייתי מאוהב במדהובלה כפי שדיווחו העיתונים והמגזינים באותה תקופה? כתשובה לשאלה החוזרת על עצמה ישר מפיו של הסוס, אני חייב להודות שנמשכתי אליה הן כשחקנית משובחת והן כאדם שיש לו כמה מהתכונות שקיוויתי למצוא אצל אישה באותו זמן. גיל וזמן... היא, כפי שאמרתי קודם, הייתה מאוד נמרצת ותוססת, וככזו, היא יכלה לחלץ אותי מהביישנות וההסתייגות שלי ללא מאמץ." עם זאת, קומאר שיתף בביוגרפיה שלו שבניגוד לדעה הרווחת, אביה של מדהובלה, אטאוללה חאן, לא התנגד לשידוך שלהם, אלא רצה להפוך את הנישואים האלה למיזם עסקי שלא היה לו נח איתו.
בסוף שנות ה-50, ויג'יאנטימאלה נקשרה על ידי מגזיני רכילות לקומאר, ששיחק איתה יותר מכל שחקנית אחרת, מה שהביא לכימיה נהדרת על המסך ביניהם. בזמן שעבד בהפקה הביתית שלו "גונגה ג'ומנה" (1961), קומאר לפי הדיווחים בחר בגוון הסארי שוויג'יאנטימאלה תלבש בכל סצנה.
ב-1966, קומאר התחתן עם השחקנית סאירה באנו, שהייתה צעירה ממנו ב-22 שנים. מאוחר יותר הוא התחתן עם אסמה רחמן, ולקח אותה לאישה שנייה בשנת 1981. נישואים אלה הסתיימו בינואר 1983. באנו והוא גרו בבנדרה. לא היו להם ילדים. באוטוביוגרפיה שלו, "Dilip Kumar: The Substance and the Shadow", הוא חשף כי באנו הרתה ב-1972, אך פיתחה סיבוכים בהריון, שהובילו למותו של הילד. בעקבות זאת, הם לא ניסו להביא ילדים לעולם, מתוך אמונה שזה רצון האל.
קומאר שלט בשפת מולדתו הינדקו וכן באורדו, הינדי, פשטו, פנג'אבית, מראטהית, אנגלית, בנגלית, גוג'ראטית, פרסית, והדיאלקטים בוג'פורית ואוודית. הוא גם היה חובב מוזיקה גדול וגם למד איך לנגן סיטאר לסרט. הוא אהב קריקט ושיחק בו לעיתים קרובות. הוא הוביל קבוצת קריקט נגד ראג' קאפור במשחק קריקט ידידות שנערך לצדקה. מכיוון שחיו יחד הן בפשאוור והן במומבאי, לדיליפ קומאר ולמשפחתו הייתה מערכת יחסים קרובה עם משפחת קאפור.
אחיו הצעיר נאסיר חאן (1924–1974) היה גם שחקן קולנוע ידוע. שניים מאחיו הצעירים מתו לאחר בדיקה חיובית ל-COVID-19 בשנת 2020, תוך פרק זמן של שבועיים.
ביוגרפיה > מותו

דיליפ קומאר מת בבית החולים הינדוג'ה, מומבאי, ב-7 ביולי 2021 בשעה 7:30 בבוקר, בגיל 98. הוא נפטר לאחר מחלה ממושכת. הוא סבל מכמה בעיות הקשורות לגיל ואובחן עם תפליט פלאורלי. ממשלת מהרשטרה אישרה את קבורתו בהצטיינות ממלכתית תחת מגבלות מגפת הקורונה בבית הקברות המוסלמי ג'והו באותו יום.
בהביעו את תנחומיו, ראש הממשלה נרנדרה מודי הצהיר בציוץ כי קומאר ייזכר כאגדה קולנועית, בעוד שהנשיא, ראם נאת' קובינד, הצהיר כי "הוא היה אהוב על פני כל תת-היבשת". ראש ממשלת פקיסטן, עימראן ח'אן, הביע גם הוא תנחומים על מותו וזכר את מאמציו בגיוס כספים לבית החולים לזכר הסרטן שאוקאט חאנום בציוץ. נשיא אפגניסטן לשעבר, חאמיד כרזאי, וראש ממשלת בנגלדש, שק הסינה ואזד, הביעו גם הם תנחומים לקומאר ולמשפחתו.
אומנות ומורשת

קומאר נחשב לאחד השחקנים הגדולים והמשפיעים ביותר בהיסטוריה של הקולנוע ההודי, והקולנוע בכלל. קומאר היה חלוץ שיטת המשחק המתודי, והקדים את שחקני השיטה ההוליוודית כמו מרלון ברנדו. הוא נתן השראה לשחקני קולנוע הודיים גדולים רבים מבני זמננו כמו בלרג' סחאני ועד לדורות הבאים של אמנים, כולל אמיטאב באצ'אן, שאה-רוח' ח'אן, Kamal Haasan, Mammootty, אמיר ח'אן, Naseeruddin Shah, Nawazuddin Siddiqui ועוד. קומאר, שהיה חלוץ בשיטת המשחק שלו ללא כל ניסיון בבית ספר למשחק, תואר כ"שחקן השיטה האולטימטיבי" על ידי הקולנוען הנודע סטיאג'יט ריי, למרות שלא עבד איתו.
הוא מוכר בדיעבד כ"כוכב העל הראשון של הקולנוע ההודי". הוא הפך לאחד הכוכבים המוקדמים והנערצים ביותר בהיסטוריה של הקולנוע ההודי עם גדודי מעריצים ברחבי תת-היבשת ההודית ובקרב הפזורה של דרום אסיה ברחבי העולם. בשנת 2013, לרגל מאה שנה לקולנוע ההודי, הוא הוכרז כ"כוכב העל הגדול בכל הזמנים" על ידי פילמפייר בסקר שלה באותו תואר.
נכון לשנת 2020, הוא ללא ספק הכוכב הבוליוודי המצליח ביותר בכל הזמנים עם למעלה משמונים אחוז הצלחות בקופות ומספר שיאים ברוטו. אנליסטים בתחום הסחר הכירו שרבים מסרטיו הצליחו מסחרית למרות הנושא הכבד והאופי הלא-מסחרי שלהם, משום שההמונים התאספו בבתי קולנוע ברחבי הודו רק כדי לראות אותו על המסך, הישג ייחודי שכן דבר כזה לא קרה עם אף שחקן אחר. זה היה בולט במיוחד בסוף שנות ה-40 ותחילת שנות ה-50, תקופה שבה הוא קיבל את התואר "מלך הטרגדיה" בכלי תקשורת.
אומנות ומורשת > תשבחות

בית דיליפ קומאר בפשאוור, פקיסטן, הוכרז כאנדרטת מורשת לאומית בשנת 2014 על ידי ראש ממשלת פקיסטן, נוואז שריף.
קומאר נבחר ל"שחקן ההודי הגדול בכל הזמנים" בסקר של קוראי רדיף בשנת 2011. הוא מחזיק בשיא גינס על כך שקיבל את מירב הפרסים על ידי שחקן הודי. הוא זכה לכבוד על ידי ספר השיאים העולמי ביום הולדתו ה-97 על "תרומתו ללא תחרות לקולנוע ההודי ולקידום מטרות חברתיות".
קופרניקל

| --- | --- |

מטבע שווייצרי עשוי קופרניקל, שבו תכולת הניקל היא 25%
 מרכיבים:  נחושת, ניקל וחומרים מחזקים כמו ברזל ומנגן
 צבע:  כסוף
 הערה כללית:  על פי רוב כמות הנחושת בקופרניקל היא בין 60 ל-90 אחוז
קופרניקל היא סגסוגת, שמכילה נחושת וניקל וחומרים מחזקים כמו ברזל ומנגן. לרוב כמות הנחושת בקופרניקל היא בין 60 ל-90 אחוז.
אף על פי שקופרניקל עשויה ברובה מנחושת, כאשר תכולת הניקל היא 15% לפחות, צבעה כסוף.
שימושים

קופרניקל היא סגסוגת החסינה ברמה גבוה לקורוזיה ממים מלוחים, ומסיבה זו לרוב משתמשים בה בשביל צנרת, מדחפים, גלי ארכובה, חלקים לסירות וציוד צבאי.
שימוש נפוץ נוסף בקופרניקל הוא ליצור מטבעות בצבע כסף.
NTRU

NTRU היא מערכת הצפנת מפתח ציבורי וחתימה דיגיטלית מבוססת סריגים מוגנת בפטנט וקוד פתוח ברישיון GPL, שהומצאה ב-1996 והוצעה כתקן חלופי למערכות הקיימות RSA ו-ECC. נכללת ברשימת האלגוריתמים הפוסט-קוונטיים וידועה כמערכת האסימטרית המהירה והיעילה ביותר נכון לשנת 2016. למרות היותו בתהליך תיקנון Std 1363.1 של IEEE וכן X9.98 של ASC, בשל קריפטואנליזה שלו ביטחונו אינו ברור והוא מוטל בספק. קיימת גרסה אחת של Damien Stehlé ו־Ron Steinfeld שנמצאת בתהליך תקנון וניתנת להוכחה כבטוחה לפי המודל הסטנדרטי, היא פחות יעילה ומסתמכת על R-LWE.
היסטוריה

הגרסה הראשונה הומצאה ב-1996 על ידי Jeffrey Hoffstein ,Joseph Silverman ו־Jill Pipher. מאוחר יותר באותה שנה חברו המפתחים ל-Daniel Lieman ויסדו את חברת NTRU Cryptosystems שנרכשה ב-2009 על ידי Security Innovation.
שם הצופן הוא קיצור של Nth Degree Truncated Polynomial Ring Units כלומר חוג הפולינומים ממעלה  N-1 או בסימון מתמטי:  R[x]/(x^{N}-1). השם מבוטא: "אֶנְטרוּ".
ב-2013 פותחה גרסה של NTRU המוכחת כבטוחה ואשר נחקרת על ידי קבוצות המחקר של IEEE ופרויקט PQCRYPTO כמועמדת "פוסט-קוונטית" להחלפת האלגוריתמים התיקניים הנמצאים בשימוש מסחרי. ב-2016 הציעו דניאל ברנשטיין וחוקרים נוספים את NTRU Prime שהוא שיפור של NTRU המתמקד בחוג פולינומים של המערכת ואמור לספק עמידות נגד קריפטואנליזה שמנצלת חולשות הנובעות ממבנה החוג.
בהשוואת ביצועים לעומת RSA ו-ECC למשל (ראה טבלה), נמצא ש-NTRU מציגה תוצאות טובות בהרבה. זמן הביצוע של הפעולות הפרטיות בצד המקבל אינו גדל באופן ריבועי כמו ב-RSA. בניסויים שנעשו NTRU השיגה זמן ביצוע בחומרה של כ-200,000 הצפנות לשנייה ברמת ביטחון של 256 סיביות.
| דרגת ביטחון | NTRU אורך מפתח | NTRU אורך מפתח | ECC | RSA | NTRU פעולות/שנייה | NTRU פעולות/שנייה | ECC | RSA |
| --- | --- | --- | --- | --- | --- | --- | --- | --- |
| בסיביות | רגיל | אופטימלי | אורך מפתח | אורך מפתח | רגיל | אופטימלי | פעולות/שנייה | פעולות/שנייה |
| 112 | 5,951 | 4,411 | 224 | 2,048 | 2,284 | 10,638 | 951 | 156 |
| 128 | 6,743 | 4,829 | 256 | 4,096 | 1,896 | 9,901 | 650 | 12 |
| 192 | 9,757 | 6,523 | 384 | 7,680 | 1,034 | 6,849 | 285 | 8 |
| 256 | 12,881 | 8,173 | 512 | 15,360 | 638 | 5,000 | 116 | 1 |
חברת Security Innovation מציעה פרסים של עד 90,000 דולר למי שיצליח לפרוץ את אחד ממספרי האתגר מהרשימה שפורסמה.
רקע מתמטי

הצפנת NTRU משתמשת בטכניקת ערבוב המבוססת על אלגברה בחוג הפולינומים והאינטראקציה שלה עם חשבון מודולרי ואילו הפענוח הוא הפעולה ההפוכה כלומר שחזור פעולת הערבוב במידה מסוימת בסיוע תורת ההסתברות. בדומה ל-GGH ביטחון מערכת ההצפנה NTRU נשען במידה ניכרת על הבעיה הקשה שבמציאת הווקטור הקרוב ביותר בתורת הסריגים בקיצור SVP. מערכת זו נכללת בקטגוריה הצפנה הסתברותית, שפירושה שהיא כוללת אלמנט אקראי שונה בכל הצפנה. מה שמייחד אותה היא העובדה שההצפנה והפענוח הם בסיבוכיות של  O(N^{2}) פעולות עבור בלוק מסר בגודל  N בהשוואה ל-RSA שדורשת  N^{3} פעולות ביישום רגיל לא ממוטב. אורך המפתח הוא  O(N) והוא קטן במידה ניכרת בהשוואה לשיטות דומות כמו הצפנת מקאליס או GGH.
הגרסה המקורית של NTRU כוללת ארבעה פרמטרים בסיסיים  (N,p,q,d) וכן ארבע קבוצות פולינומים  {\mathcal {L}}_{f},{\mathcal {L}}_{g},{\mathcal {L}}_{\phi },{\mathcal {L}}_{m} ממעלה  N-1 עם מקדמים שלמים המייצגים את טווח המפתח הפרטי והציבורי, טווח האלמנט האקראי וטווח המסר בהתאמה (מפורטים בהמשך).  N הוא מספר ראשוני ונקרא כאן פרמטר ביטחון והוא קובע את רמת הביטחון של המערכת בהתאם לדרישה,  d מציין את מספר המקדמים החיוביים והשליליים (מפורט בהמשך).  p ו- q נקראים מודולוס ומשמשים לצמצום המקדמים. הם לא חייבים להיות ראשוניים אך נדרש שיתקיים  {\text{gcd}}(p,q)={\text{gcd}}(N,q)=1 (כאשר  {\text{gcd}} היא פונקציית מכנה משותף מינימלי). וכן  q צריך להיות גדול משמעותית מ- p למשל  q>(6d+1)p (אם כי זה לא הכרחי ומסיבות של יעילות רצוי  q פחות גדול). הפעולות של הצופן הן בחוג הפולינומים  R=\mathbb {Z} [X]/(X^{N}-1). האלמנט  F\in R הוא פולינום המיוצג על ידי הווקטור:
כאן מכפלת שני פולינומים (וקטורים ב- R) מיוצגת על ידי הסימן  \circledast . היא נקראת גם קונבולוציה מעגלית והיא מוגדרת כך:
בעיקרון פעולת כפל אלמנטים ב- R היא בסיבוכיות  N^{2} פעולות כפל בסיסיות מודולו  q, אם המקדמים קטנים שזה מה שקורה בממוצע, הפעולה תהיה מהירה. אם המקדמים גדולים ייתכן שיהיה יותר מהיר להפעיל את FFT בסיבוכיות זמן של  O(N{\text{log}}N) פעולות.
לצורך NTRU משתמשים בפולינום טרינארי שהוא פולינום שבו המקדמים  a_{i}\in \{-1,0,1\}. מייצגים זאת על ידי הסימון  {\mathcal {T}}(d_{1},d_{2}) שפירושו שבפולינום  f(x)\in R בסך הכול  d_{1} מקדמים שווים  1, בסך הכול  d_{2} מקדמים שווים  -1 והיתר אפס. לדוגמה:
קיים מיפוי טבעי (הומומורפי) בין האלמנטים בחוג  R לבין אלמנטים מהחוג  R_{q} (מודולו  q) המיפוי הוא פשוט צמצום המקדמים מודולו  q. לפעמים דרוש מעבר בכיוון ההפוך, כלומר אם  a(x)\in R_{q} הוא פולינום, אפשר לבצע "הגבהה" או "מרכוז" (center lift) שלו כך שיתקבל פולינום  a'(x)\in R המקיים  a'(x){\text{ mod }}q=a(x), בוחרים את המקדמים באופן כזה שהם יהיו בטווח:
כלומר אם לאחר צמצום ב- q מתקבל  a_{i}\geq q/2 ערכו יהיה  a_{i}=a_{i}-q. לדוגמה אם  N=5,q=7 ונתון הפולינום  a(x)=4x^{4}+2x^{3}-6x^{2}+3x+5 ה-center lift שלו הוא הפולינום  a'(x)=-3x^{4}+2x^{3}+x^{2}+3x-2 כשהמקדמים הם השלמים בטווח  [-3,3].
תיאור האלגוריתם

תיאור הפונקציה NTRUencrypt. להכנה המקבל בוב מכין בסוד שני פולינומים טרינאריים  f,g\in {\mathcal {L}}_{g}. הפולינום  f חייב להיות הפיך מודולו  p ומודולו  q. לכן הוא נבחר בצורה  {\mathcal {T}}(d+1,d) (במקרה של < {\mathcal {T}}(d,d) לפולינום אף פעם אין הופכי ב R_{q}). חישוב ההופכי שלו נעשה עם אלגוריתם אוקלידס המורחב. ההופכיים שלו מסומנים כאן  f_{p}^{-1} ו- f_{q}^{-1} כאשר מתקיים כרגיל:
לאחר מכן בוב מחשב את מכפלת הפולינומים:  h\equiv f_{q}^{-1}\circledast g{\text{ (mod }}q).
המפתח הציבורי של בוב הוא  h אותו הוא שולח לאליס בערוץ פתוח כלשהו (כמו בכל מערכת הצפנה חלה החובה לאמתו). המפתח הפרטי הוא הפולינום  f (וכן ההופכיים שלו כאמור) והוא נשמר בסוד. הפולינום  g אינו נחוץ להצפנה ופענוח ולכן יש להשמידו.
תיאור האלגוריתם > הצפנה

אם אליס רוצה להצפין עבור בוב את המסר  m\in {\mathcal {L}}_{m}. (כלומר המסר צריך להיות ממופה לפולינום טרינארי מהקבוצה  {\mathcal {L}}_{m} בדרך גלויה ומוסכמת על כל הצדדים). היא בוחרת פולינום אקראי חד-פעמי  \phi \in {\mathcal {L}}_{\phi } המשמש להסתרת המסר ומשתמשת במפתח הציבורי של בוב כדי לחשב את:
ושולחת את  c לבוב.
תיאור האלגוריתם > פענוח

לפענוח בוב משתמש במפתח הפרטי שלו  f וההופכי שלו כדי לחשב את:
המקבל משנה את המקדמים של  a כך שיהיו בטווח  [-q/2,q/2] פעולה זו נקראת center-lift. כעת אם מתייחסים ל- a כאל פולינום עם מקדמים שלמים בוב יכול לחלץ את המסר על ידי:
הפענוח יצליח בהסתברות גבוהה מאוד, אם כי פרמטרים מסוימים עלולים לגרום בסבירות זניחה לכישלון בפענוח. מקרה זה נגרם כתוצאה מכך שהמסר אינו ממורכז כראוי, אפשר לנסות שוב עם מקדמים בהיסט קל מהטווח האמור למשל בין  -q/2+x ל- q/2+x עבור  x קטן כלשהו ואם גם זה נכשל לא ניתן לפענח את המסר כלל. כאמור אירוע כזה זניח ואפשר להתעלם ממנו בפועל. הוכחה לנכונות הפענוח היא:
בבחירת פרמטרים נכונה מקדמי הפולינום האחרון כמעט תמיד בטווח  [-q/2,q/2] ולכן אינו משתנה כשמצמצמים מודולו  q. המשמעות היא שכאשר בוב מצמצם את המקדמים של  f\circledast c מודולו  q הוא מקבל את הפולינום  a=p\phi \circledast g+f\circledast m בחוג  \mathbb {Z} [X]/(X^{N}-1) וכאשר הוא מצמצם את המקדמים של  a מודולו  p הוא מבטל את  p\phi \circledast g ומקבל את הפולינום  f\circledast m{\text{ (mod }}p) אותו הוא יכול להכפיל ב- f_{p}^{-1} כדי לחלץ את  m.
חתימה דיגיטלית

הרעיון של האלגוריתם NTRUsign הוא שהחתימה היא הוכחה שהחותם יכול פתור את בעיית הווקטור הקצר ביותר (SVP) בסריג NTRU של הנקודה המיוצגת על ידי המסמך או תמצית שלו. המפתח הפרטי (מפתח החתימה) שלו הוא בסיס קצר של הסריג NTRU והמפתח הציבורי (מפתח האימות) הוא בסיס הרבה יותר ארוך. המוודא יכול בקלות לראות שאכן החתימה היא באמת וקטור קרוב ביותר למסמך. אך עם המפתח הציבורי המוודא אינו יכול בעצמו או שזה קשה מאוד עבורו למצוא וקטור קרוב.
מאז המצאתו והצגתו ביורוקריפט 2001, אלגוריתם החתימה NTRUSign סובל מהיסטוריה של בעיות וכשלים רבים ובוצעו מספר תיקונים ותוספות טלאים. תחילה גילו Craig Gentry ו-Mike Szydlo בגרסה המקורית תקלה חמורה, עותקים של החתימה הדיגיטלית חושפים מידע לגבי המפתח הפרטי. המפתחים תקנו את הבעיה ופרסמו אלגוריתם משופר וכן הצעה לתקן R-NSS. ב-2006 פרסמו עודד רגב ו-Phong Nguyen
קריפטואנליזה של חתימת NTRU המאפשרת לחשוף את המפתח הפרטי בזמן מאוד קצר תוך שימוש ב-400 חתימות בלבד. הפתרון שהוצע היה "הסטה" (perturbation) כלומר החותם מסיט את הנקודה המייצגת את המסר על ידי וקטור סודי קצר. שוב נמצא שהתיקון לא שיפר בהרבה את המצב, בהתקפה שפורסמה אפשר לחשוף את המפתח הפרטי עם 300,000 חתימות בלבד. נכון לשנת 2016 לא ברור אם האלגוריתם ראוי לשימוש במתכונתו הנוכחית למרות התיקונים והטלאים שנוספו.
חתימה דיגיטלית > תיאור האלגוריתם

תחילה החותם בוב בוחר פרמטרים מתאימים  (N,q,d) באופן כזה שבעיית הווקטור הקצר תהיה קשה לפתרון בסריג בעל מימד  2N מודולו  q. כמפתח הסודי הוא בוחר שני פולינומים טרינאריים  f(x) ו- g(x) מהצורה  {\mathcal {T}}(d+1,d) ומחשב את המפתח הציבורי  h(x)=f(x)^{-1}\circledast g(x){\text{ (mod }}q) בדיוק כמו בתהליך ההכנה של הצפנת NTRU. את  h(x) הוא שולח כמפתח אימות לאליס ושומר בסוד את כל היתר.
כדי לחתום על מסמך  D=(d_{1},d_{2}) (המסמך מחולק לשני פולינומים שווים), תחילה באמצעות אלגוריתם אוקלידס המורחב מחשב שני פולינומים נוספים  F(x),G(x) שנקראים "חצי בסיס משלים" לסריג NTRU כך שמתקיים  f(x)\circledast G(x)-g(x)\circledast F(x)=q. ומחשב את שני הווקטורים:
כאשר הסימון  \left\lfloor p(x)\right\rceil  מייצג פולינום עם מקדמים המעוגלים לשלם הקרוב ביותר. החתימה של בוב על המסמך  d(x) היא:  s(x)=v_{1}(x)\circledast f(x)+v_{2}(x)\circledast F(x). את החתימה והמסמך  (D,s) הוא שולח לאליס.
המקבלת אליס המעוניינת לוודא את חתימתו של בוב משתמשת במפתח הציבורי שלו  h(x) כדי לחשב את:
היא בוחרת את המקדמים שלו מודולו  q כך שיהיו קרובים ככל האפשר למקדמים המקבילים של המסמך  d(x) ומוודא שהווקטור  (s,t) אכן קרוב למסמך  d_{1},d_{2} (כאמור קל לוודא זאת אך קשה למצוא וקטור כזה, מסיבה זו אליס עצמה או כל אחד אחר לא יוכל לחתום על המסמך מבלי שהדבר יתגלה כתרמית ללא המפתח הפרטי המתאים, כיוון שבהסתברות גבוהה מאוד התוצאה תהיה וקטור רחוק למדי).
ביטחון

כדי לשבור את הצופן המתקיף יכול לנסות כמה דרכים. בשיטת כוח גס המתקיף יכול לנסות לנחש את המפתח הפרטי על ידי ניסוי כל האפשרויות של  f\in {\mathcal {L}}_{f} ובדיקה אם המכפלה  f\circledast h מודולו  q מכילה כניסות קטנות. באותה שיטה אפשר לנסות לנחש את המסר. בעיקרון סודיות המפתח תלויה בגודל הקבוצה  {\mathcal {L}}_{g} וביטחון מסר מוצפן ב- {\mathcal {L}}_{\phi }.
אם זיכרון זמין התקפת ניפגש באמצע מאפשרת לקצר את זמן הניחוש של המפתח הפרטי בפקטור ריבועי. מחלקים את  f לשני חצאים נניח  f=(f_{1},f_{2}) ואז משווים זוגות שונים של  f_{1}\circledast c ו- -f_{2}\circledast c כן שמקדמיהם בעלי ערך דומה בקירוב. החיפוש מתבצע עם טבלה המכילה רשימה ממוינת של החצי האחד והחיפוש מתבצע על החצי השני עד שנמצא מועמד טוב. לאור זאת הטווח או מספר האלמנטים בקבוצה צריך להיות כפול כדי להגיע לרמת ביטחון נדרשת. לדוגמה עבור ביטחון מינימלי בסטנדרטים של ימינו  2^{80} הטווח של  f,  g ו- \phi  צריך להיות בסביבות  2^{160}.
אם אליס מצפינה מסרים רבים (נגיד ארבעה או חמישה) עם אותו מפתח ציבורי אך עם מספר אקראי שונה עבור כל מסר כנדרש, המתקיף יכול לנצל נתון זה כדי לשבור את המערכת ולנחש את המסר כדלהלן: נניח שאליס הצפינה את  c_{i}=\phi _{i}\circledast h+m{\text{ (mod }}q) בסך הכול  r פעמים עם  r ערכי  \phi  שונים. המתקיפה איב יכולה לחשב את  (c_{i}-c_{1})\circledast h^{-1} ומתקבל  \phi _{i}-\phi _{1} עבור  1\leq i\leq r. היות שהמקדמים של  \phi _{i} קטנים למעשה היא מקבלת בהסתברות גבוהה את  \phi _{i}-\phi _{1} ממנו היא יכולה לגלות מקדמים רבים של  \phi _{1} ואת היתר היא יכולה לנחש בכוח גס. אם  \phi _{1} ידוע אפשר לגלות את  m. מסיבה זו הצפנה חוזרת של מסר נתון אינה מומלצת מבלי להסתיר את המסר על ידי פעולת ערבוב נוספת כלשהי עם אקראיות. כמובן שההתקפה המתוארת יעילה רק עבור מסר אחד ואין בה כדי לסייע בפענוח מסרים אחרים.
בעיית חישוב המפתח הפרטי מתוך המפתח הציבורי היא: בהינתן  h(x) מצא שני פולינומים טרינאריים  f(x) ו- g(x) המקיימים  f(x)\circledast g(x)\equiv h(x){\text{ (mod }}q). הוכח שבעיה זו כמעט שקולה לבעיית הווקטור הקצר ביותר במחלקה מיוחדת של סריגים. תאורטית המתקיף יכול לנסות לשבור את המערכת על ידי ניסיון לפתור את בעיית הווקטור הקצר ביותר. אפשר למצוא וקטור כזה בחיפוש ממצא או עם אלגוריתם LLL אך סיבוכיות התקפה כזו לרוב אינה מעשית היות שבעיית הווקטור הקצר ביותר ידועה כבעיה קשה מאוד ולא ידוע על פתרון פולינומי.
ביטחון > בחירת פרמטרים

המפתחים הציעו שלוש קונפיגורציות של פרמטרים המציעות דרגות שונות של ביטחון מהקל אל הכבד:
אופציה 1. ביטחון נמוך המתאים למסרים בעלי חשיבות נמוכה או כאשר המפתחות מוחלפים בתדירות גובהה, כמו בהצפנת שיחה אלחוטית או ממיר טלוויזיה.
(N,p,q,d)=(107,3,64,5),{\mathcal {L}}_{f}={\mathcal {L}}(15,14),{\mathcal {L}}_{g}={\mathcal {L}}(12,12),{\mathcal {L}}_{\phi }={\mathcal {L}}(5,5). הפולינום  {\mathcal {L}}_{f}={\mathcal {L}}(15,14) פירושו פולינום טרינארי שמכיל 15 מקדמים חיוביים ( 1) ו-14 מקדמים שליליים ( -1).
המפתח הפרטי הוא באורך 340 סיביות והמפתח הציבורי באורך 642 סיביות. דרגת ביטחון של המפתח היא  2^{50}.
אופציה 2. ביטחון בינוני.
(N,p,q,d)=(167,3,128,18),{\mathcal {L}}_{f}={\mathcal {L}}(61,60),{\mathcal {L}}_{g}={\mathcal {L}}(20,20),{\mathcal {L}}_{\phi }={\mathcal {L}}(18,18)
המפתח הפרטי באורך 530 סיביות והציבורי 1169 סיביות. רמת ביטחון של  2^{82.9}.
אופציה 3. ביטחון גבוה.
(N,p,q,d)=(503,3,256,55),{\mathcal {L}}_{f}={\mathcal {L}}(216,215),{\mathcal {L}}_{g}={\mathcal {L}}(72,72),{\mathcal {L}}_{\phi }={\mathcal {L}}(55,55)
אורך מפתח פרטי 1595 סיביות וציבורי 4024 סיביות. רמת ביטחון של  2^{285}.
דוגמה במספרים קטנים

הדוגמה הבאה ממחישה את הצפנת NTRU במספרים קטנים. כמובן שבפועל מערכת כזו צריכה להיות בקנה מידה הרבה יותר גדול כדי שתהיה בטוחה. נניח שהפרמטרים של המערכת הם:
להכנה בוב בוחר את הפולינומים:
ומחשב את ההופכיים שלהם:
בוב שומר את  f(x) ואת ההופכי שלו  f_{q}^{-1} כמפתח פרטי.
כעת בוב מחשב ומפרסם ברבים את המפתח הציבורי שלו:
נניח שאליס מעוניינת לשלוח לבוב את המסר:  m(x)=-x^{5}+x^{3}+x^{2}-x+1
תחילה היא בוחרת מספר אקראי נניח:  r(x)=x^{6}-x^{5}+x-1 משתמשת במפתח הציבורי של בוב ומחשבת את:
אותו היא שולחת לבוב. כאשר בוב מקבל את  c(x) הוא פועל כדלהלן. תחילה מחשב את:
ואז מבצע מרכוז (Centerlift) של מקדמי התוצאה מודולו  q ומקבל את:
לבסוף מצמצם את מקדמי  a(x) מודולו  p ומכפיל בהופכי:
ממרכז (Centerlift) את התוצאה האחרונה מודולו  p ומקבל את:
שיטות מתקדמות

הצפנות מבוססות סריגים נכשלו לא אחת בגלל התקפות שניצלו מבנה מיוחד של הסריג למשל בחוג הפולינומים או שדה מסדר ראשוני גבוה. מסיבה זו הוצעו מספר מבנים שונים שנועדו לחזק את המערכת נגד קריפטואנליזה המנצלת חולשות הנובעות ממבנה החוג וכן נגד קריפטואנליזה קוונטית. כמה מבנים אפשריים הם:
(\mathbb {Z} /q)[x](x^{p}-1) כאשר  p ראשוני ו- q הוא חזקה של 2 כמו בגרסה המקורית של NTRU.
(\mathbb {Z} /q)[x](x^{p}+1) כאשר  p הוא חזקה של 2 ו- q\in 1+2p\mathbb {Z}  גם ראשוני. מבנה זה הוצע על ידי Damien Stehlé ו-Ron Steinfeld לשיפור NTRU כך שיהיה בעל ביטחון מוכח וכן נמצא בשימוש RingLWE.
(\mathbb {Z} /q)[x](x^{p}-x-1) כאשר  p ראשוני. הוצע על ידי דניאל ברנשטיין ואחרים כתחליף טוב יותר למבנה החוג ב-NTRU.
ב-2011 הציעו Damien Stehlé ו-Ron Steinfeld גרסה משופרת בשינויים קלים של הצפנה/חתימה דיגיטלית NTRU המוכחת כבטוחה נגד התקפת מוצפן-נבחר במסגרת מודל אורקל אקראי או מודל סיבוכיות סטנדרטי, תחת הנחת הקושי שבפתרון בעיות סריגים (במחשב קלאסי או קוונטי) עם הגבלה לסוג מסוים של סריגים מעל שדה ציקלוטומי. הם הראו שאם בוחרים את הפולינומים הסודיים של המקבל כפונקציית גאוסיין בדידית אז המפתח הציבורי ייראה מבחינה סטטיסטית אחיד ובלתי ניתן להבחנה מעל הטווח שלה. תכונת אי-הבחנה בהקשר של מפתח ציבורי פירושה קושי בניחוש המפתח הפרטי מתוך המפתח הציבורי.
בתהליך ההכנה של NTRU. המפתח הפרטי הוא שני פולינומים "דלילים" ממעלה הנמוכה מ- n עם מקדמים  \{-1,0,1\}. המפתח הציבורי הוא המנה שלהם בחוג  \mathbb {Z} _{q}[x]/(x^{n}-1). בחירת המפתח הפרטי נעשית כפונקציה גאוסיאנית בדידית באופן כזה שסטיית התקן תהיה בערך  q^{1/2}. השינויים שהוצעו לעומת הגרסה המקורית הם כדלהלן:
החלפת חוג הפולינומים ב- R=\mathbb {Z} /(x^{n}+1) כאשר  n הוא חזקה של 2. כך מתקבל חוג שלמים מעל שדה ציקלוטומי.
q הוא ראשוני כך שמתקיים  f=x^{n}+1 מתחלק ל- n גורמים (העתקות ליניאריות) שונים מודולו  q.
f ו- g נלקחים מתוך דגימה גאוסיאנית דיסקרטית מעל החוג  R, בתנאי שהם הפיכים מודולו  q. אם הם אינם הפיכים מתעלמים מהדגימה ומנסים דגימה אחרת עד שהתנאי מתקיים. כמו כן  f הוא מהצורה  f=p{\bar {f}}+1 כאשר  {\bar {f}} הוא הדגימה הגאוסיאנית האמורה. התוספת האחרונה מקלה על הפענוח כי אם מתקיים  f=1{\text{ mod }}p לא צריך את ההכפלה האחרונה בהופכי של  f.
מוסיפים וקטור שגיאה קטן  e להצפנה כך שההצפנה כעת היא:  c=hs+pe+m{\text{ (mod }}q), כאשר  e נבחר טווח השגיאה של בעיית RingLWE.
השינויים הללו מעלים מעט את סיבוכיות ההצפנה לעומת ההצעה המקורית, בעיקר בגלל התוספות האמורות, אך בתמורה מושג שיפור משמעותי בביטחון ההצפנה.
תקנים

NTRU נמצא בתהליך תקינה של שני גופים בינלאומיים:
תקן IEEE 1363.1 שהחל ב-2008.
תקן X9.98 של ASC X9 (מכון התקנים האמריקני).
בנוסף האלגוריתם הוצע בטיוטת IETF כמועמד לפרוטוקול TLS. ב-2009 הוזכר NTRU על ידי NIST כמועמד אפשרי לאלגוריתם הצפנה אסימטרי פוסט-קוונטי, שיחליף את האלגוריתמים הנוכחיים. במסגרת המאמץ להתכונן לקראת העידן הקוונטי ב-NIST מתכוונים לפרסם בסוף 2016 תחרות פתוחה שבה יבחנו הצעות לאלגוריתם פוסט-קוונטי.
יישומים

NTRU זמינה כקוד פתוח תחת רישיון GPL ו-FOSS. בתנאי שכל שימוש בו יהיה זמין גם הוא כקוד פתוח. זאת במטרה להסיר מכשולים ולאפשר למפתחים להטמיע את האלגוריתם מהר ככל האפשר. כמו כן האלגוריתם ניתן לשימוש מסחרי תחת רישיון BSD. כיום ישנם ב-GitHub שני פרויקטי קוד פתוח ב-C וב-Java המיישמים את NTRU; פרויקט NTRU תחת רישיון GPL וספריית NTRU ברישיון BSD.
ראו גם

הצפנת מפתח ציבורי
חתימה דיגיטלית
GGH