16、XMSS：实用的前向安全签名方案

XMSS：实用的前向安全签名方案

1. 安全性

1.1 定理及构造

若 $H(n)$ 是抗二次原像哈希函数族，$F(n)$ 是伪随机函数族，那么 XMSS 在选择消息攻击下具有存在不可伪造性。为说明 XMSS 安全要求的最小性，可从安全签名方案构造抗二次原像哈希函数族和伪随机函数族，具体如下：
- 从任何安全签名方案构建单向函数。
- 由单向函数构建目标抗碰撞哈希函数族，因目标抗碰撞哈希函数族具有抗二次原像性，所以可从安全数字签名方案构建抗二次原像哈希函数族。
- 由单向函数构建伪随机生成器，再由伪随机生成器得到伪随机函数族。

1.2 证明步骤

证明分两步进行：
1. 证明 W - OTS 在 XMSS 构造中保持 EU - CMA 安全，其密钥使用伪随机函数族生成。
2. 修改相关安全证明，因为 XMSS 随机生成签名密钥。

设 $Dss$ 为 XMSS 或 W - OTS 签名方案之一，密钥生成算法使用 $n$ 位随机输入，并通过伪随机函数族 $F(n)$ 将其扩展为 $\lambda n$ 位。$Dss^{\star}$ 是 $Dss$ 的修改版本，随机选择 $\lambda n$ 位。相关概率定义如下：
- $InSec_{eu - cma}(Dss; t, q)$：在 EU - CMA 实验中，所有运行时间 $\leq t$ 且最多进行 $q$ 次签名预言机查询的对手的最大成功概率。
- $InSec_{eu - cma}(Dss^{\star}; t, q)$：定义类似。
- $InSec_{prf}(F(n); t, q)$：所有运行时间受