56、后量子密码学中的签名方案解析

后量子密码学中的签名方案解析

1. 后量子密码学基础

在量子计算的威胁下，传统依赖因子分解或离散对数难题的签名方案安全性受到挑战。为了实现后量子世界的安全，需要基于其他假设构建签名方案。虽然可以基于学习误差（LWE）假设构建签名方案，但这类方案较为复杂，因此我们探索基于哈希函数的签名方案。现有的密码哈希函数，如SHA - 3，被认为即使在量子算法攻击下也具有安全性，这为构建后量子签名提供了有前景的途径。

基于哈希函数的签名方案具有诸多优势：
- 无需数论假设：与公钥加密方案不同，它能在无任何数论假设的情况下构建签名。
- 可基于单向函数：其思想可用于在单向函数存在的最小假设下构建签名方案。
- 不依赖随机预言机：与以往的构建方案不同，这里的方案不依赖随机预言机。
- 效率更高：相比依赖数论假设的方案，基于哈希函数的签名方案效率更高。

2. Lamport签名方案

2.1 一次性签名方案概念

我们从一次性签名方案开始研究基于哈希函数的签名方案。一次性签名方案在使用给定私钥仅签署单个消息时是“安全”的。这种方案适用于某些特定应用，同时也是实现更强安全概念签名方案的有用构建块。

定义一次性签名实验 Sig - forge1 - timeₐ,ₚₒₗᵧ (n) 如下：
1. 运行 Gen(1ⁿ) 生成密钥对 (pk, sk) 。
2. 敌手 A 获得公钥 pk ，向签名预言机 Signₛₖ(·)