1、NTRU签名方案（NSS）的密码分析

NTRU签名方案（NSS）的密码分析

1. 引言

近期，Hoffstein、Pipher和Silverman引入了一种名为NSS（“NTRU签名方案”）的公钥签名方案。该方案与NTRU密码系统相关，NTRU密码系统最早于CRYPTO ‘96的临时会议上提出。不过，Coppersmith和Shamir很快就找到了针对NTRU的攻击方法，这促使作者采用更大的参数，并将底层的难题重新表述为一个格问题。目前版本的NTRU仍未被破解。

NSS同样与在特定格中寻找短向量的问题相关，它是对2000年CRYPTO临时会议上提出的早期版本的改进。但早期版本被证明是不安全的，设计者很早就发现了这一点，几个月后Ilya Mironov也独立得出了相同的结论。本质上，签名会泄露有关私钥的信息，从而使得统计攻击成为可能。

为消除已披露的弱点，进行了一些调整，得到了文献中描述的方案。然而，这些签名仍然会泄露私钥信息。更确切地说，签名中的某些系数与私钥之间的相关性足以恢复整个公钥。此外，还有一种直接的伪造攻击，使攻击者无需任何私钥知识就能对任意消息进行签名。

2. NSS的描述

2.1 背景数学知识

该方案的关键数学结构是多项式环：
[R = \mathbb{Z}_q[X]/(X^N - 1)]
其中N和q是整数。在实际应用中，N通常是质数（如251），q是2的幂（如128）。R中的元素是次数至多为N - 1且系数在((-q/2, q/2])范围内的多项式。

在这个环中，乘法类似于普通的多项式乘法，但要满足(X^{N + k} = X^k)（(k \geq 0)）的关系。这意味着多项式(a = a_0