63、基于韦伊配对的短签名方案解析

基于韦伊配对的短签名方案解析

1. 引言

在一些需要人工手动输入签名的场景，如产品注册系统要求用户输入CD标签上的签名，以及低带宽通信环境，像在邮票上打印签名，都迫切需要短数字签名。然而，目前常用的RSA和DSA签名方案，在提供相同安全级别的情况下，签名长度相对较长。例如，使用1024位模数时，RSA签名为1024位，标准DSA签名为320位，椭圆曲线变体ECDSA签名同样为320位，这样的长度对于人工输入来说过长。

为此，提出了一种签名方案，其长度约为160位，能提供与320位DSA签名相当的安全级别。该方案基于特定椭圆曲线和超椭圆曲线上的计算Diffie - Hellman假设，生成签名只需在曲线上进行简单乘法，验证签名则使用曲线上的双线性配对。由于该方案固有地使用了椭圆曲线的特性，因此在 $F_p^*$ 中没有等效方案。

目前，受所使用曲线特性的限制，只能提供特定长度的签名，具体如下表所示：
| 签名大小（位） | EC组大小（位） | 离散对数大小（位） | 安全性 |
| ---- | ---- | ---- | ---- |
| 126 | 126 | 752 | - |
| 154 | 151 | 923 | 与320位DSA或320位ECDSA相当 |
| 237 | 220 | 1417 | - |
| 259 | 256 | 1551 | - |
| 265 | 262 | 1589 | - |

从表中可以看出，长度为154位的签名能达到与320位DSA或320位ECDSA相当的安全性。此前也有一些缩短DSA签名长度的方案，但该方案无论消息多短，签名长度始终约为160位。