46、实用的基于格的分布式签名方案解析

实用的基于格的分布式签名方案解析

1. 相关工作

在密码学领域，多签名和基于格的交互式协议的重启问题是重要的研究方向。

1.1 多签名

多签名方案与 n 选 n 分布式签名协议有相似之处，但也存在明显差异：
- 每个签名者有自己的密钥对，本地生成公钥和私钥，公钥在签名前发布。
- 签名者组无需固定，每个签名者可选择一组签名者发起签名协议。
- 除非支持密钥聚合属性，否则验证时需使用签名消息涉及的公钥集合。

多签名在选择签名者组方面更灵活，但验证时间更长，联合公钥尺寸更大。其关键特性是紧凑性，即签名大小不大于每个签名者单独生成的签名总大小。若不满足该特性，可采用简单拼接各签名者签名的方法。例如，Dilithium 或 Dilithium - G 签名方案生成的签名大小小于 2.5 KB。

早期基于格的多签名方案安全证明不完整，未考虑模拟签名协议的中止执行。为解决此问题，不同学者提出了不同方案：
- [17] 提出利用基于格的陷门同态承诺的方案。
- Boschini 等人使用无同态承诺的陷门。
- 陈 [13] 引入双签名模拟技术改进了上述方案，无需陷门即可证明安全性。

我们的构造可轻松转换为多签名方案，每个签名者用自己的密钥对计算挑战和响应，多签名由元组 (root, z, auth) 表示。但对于小的 n，紧凑性特性不满足，可能是承诺的规则性所致。实际上，当前所有多签名方案可能仅在 n 较大时才紧凑。

1.2 减少重启

基于格的交互式协议遵循 Fiat - Shamir 带中止范式时，存在大量重启问题。Alkad