54、Biscuit：基于结构化多元多项式的新型MPCitH签名方案

Biscuit：基于结构化多元多项式的新型MPCitH签名方案

在当今的数字时代，数字签名方案对于保障信息的安全性和完整性至关重要。随着量子计算技术的发展，传统的数字签名方案面临着新的挑战，因此，后量子数字签名方案的研究成为了热点。本文将介绍一种新型的基于结构化多元多项式的MPCitH签名方案——Biscuit。

1. 引言

Biscuit是一种新的基于多元多项式的数字签名方案，已提交至美国国家标准与技术研究院（NIST）的后量子签名方案标准化进程。其安全性基于所谓的PowAff2问题，这是著名的多元二次（MQ）问题的一种结构化变体。

Biscuit与Picnic签名方案有着渊源，Picnic在第一轮NIST后量子密码标准化进程中被选为备选方案。Picnic的安全性依赖于轻量级分组密码的密钥恢复攻击的难度，其设计基于多方计算（MPC）协议来处理乘法三元组，并遵循“头脑中的MPC”（MPCitH）范式，通过Fiat - Shamir变换得到签名方案。

与Picnic类似，Biscuit的设计也遵循MPCitH范式，本质上依赖相同的MPC协议来检查乘法三元组。Biscuit建立在一个零知识证明（ZKPoK）之上，用于解决有限域上结构化二次多元多项式方程组的原像问题。其私钥和公钥分别为(s \in F_q^n)和((f, t) \in F_q[x_1, …, x_n]^m \times F_q^m)，其中(t = f(s))。

由于Picnic的性能与使用秘密密钥评估底层分组密码电路所需的乘法次数成正比，因此Biscuit考虑使用形如(f_i = A_0 + A_1 \cdot A_2)的多项式，其中每个(A_i \in F_q[x_1, …, x_n]