2、Boneh - Boyen签名方案：原理、安全性与算法分析

Boneh - Boyen签名方案：原理、安全性与算法分析

一、q - SDH问题及相关定义

在密码学领域，q - SDH问题是一个重要的研究对象。若算法A在时间t内运行，且Adv q - SDH(A) ≥ ϵ，则称算法A能以(t, ϵ)的方式破解(G1, G2)中的q - SDH问题。若不存在这样的算法，则称(q, t, ϵ) - SDH假设在(G1, G2)中成立。

原Boneh - Boyen论文中对q - SDH问题的定义与本文采用的定义略有不同。原版本使用(q + 2)元组(g1, g2, gx², …, gx^q²)作为输入，且假设存在一个可高效计算的同构ψ: G2 → G1。而本文采用了Boneh - Boyen论文完整版本中的定义。

与q - SDH问题相关的一个显著变体是MSDH问题。在群G上的修改后的q - SDH（即q - MSDH）问题是：给定g, gx ∈ G，以及一个(q - 1)元组(c1, g^(1/(x + c1))), …, (cq - 1, g^(1/(x + cq - 1)))，其中每个ci ∈ Zp，输出(c, g^(1/(x + c)))，其中c ∈ Zp \ {c1, …, cq - 1}。在配备类型1配对的群中，解决q - MSDH问题等价于在已知消息攻击下，使用q个签名查询对Boneh - Boyen基本签名方案进行存在性伪造。虽然Boyen指出MSDH假设比SDH弱，但本文结果表明，在具有类型1配对的群中，q - MSDH问题通过Θ(q²)的归约与q - SDH问题等价。

二、Boneh - Boyen签名方案

Boneh和Boyen提出了两种签名方案：基本方案和完整方案，前者用于证明