57、后量子密码学与公钥加密高级主题

后量子密码学与公钥加密高级主题

树状签名方案

在之前基于链的签名方案中，签名者可被视为维护一棵度为 1 的树，该树以公钥 pk1 为根，深度等于到目前为止已签名消息的数量。为提高效率，一种自然的方法是使用每个节点度为 2 的二叉树。

树状签名的基本原理

签名对应于树中从叶子到根的“签名”路径。只要树的深度是多项式的（即使树的大小是指数级的），验证也可以在多项式时间内完成。具体来说，为了对长度为 n 的消息进行签名，我们将使用深度为 n、具有 2^n 个叶子节点的二叉树。签名者会根据需要“即时”向树中添加节点，与基于链的方案不同的是，只有叶子节点（而非内部节点）用于对消息进行签名，树的每个叶子节点对应长度为 n 的可能消息之一。

我们设想一棵深度为 n 的二叉树，根节点标记为 ε（即空字符串），标记为二进制字符串 w（长度小于 n）的节点，其左子节点标记为 w0，右子节点标记为 w1。这棵树不会被完整构建（因为它的大小是指数级的），而是由签名者根据需要逐步构建。

对于每个节点 w，我们为一次性签名方案 Π 关联一对密钥 pkw 和 skw。根节点的公钥 pkε 是签名者的实际公钥。对消息 m ∈ {0, 1}^n 进行签名时，签名者按以下步骤操作：
1. 首先，为从根节点到标记为 m 的叶子节点路径上的所有节点生成密钥（如有需要）。有些公钥可能在之前签名消息的过程中已经生成，这种情况下不会再次生成。
2. 接下来，通过使用私钥 skw 对 pkw0∥pkw1 计算签名，来“认证”从根节点到标记为 m 的叶子节点的路径，其中 w 是 m 的真前缀。
3. 最后，使用私钥 skm 对 m 计算签名，从而“认证”