22、关于HFEv - 签名原语的差分安全性分析

关于HFEv - 签名原语的差分安全性分析

1. HFEv与HFEv - 的基本特性

HFEv在算法1所提供的参数下，可证明没有非平凡的差分对称结构。不过，对多项式$f$的单项式的$q$次幂所做的限制，会降低密钥空间的熵，并且可能会使所需的醋变量数量增加到不安全或不可取的水平。但即便有这些限制，密钥空间仍有足够的熵，并且能实现针对差分对称攻击的可证明安全性。这些限制只是该技术的一个基线，小规模示例实验表明，即使要求满足HFE度界的每个可能单项式都有非零系数，广义算法仍仅输出平凡解，从而能以最小的熵损失实现可证明的安全性。

HFEv - 是HFEv的自然扩展。HFEv生成的系统中的每个非零项也存在于HFEv - 生成的系统中，不过还会有一些额外的项。选择一个基，其中一个减投影示例是一个$q^2$次的多项式。对于第$i$行，当$w$不是$\alpha + n$或$\beta + n$（$n < 2$）的幂时，$(i, w)$项为$\alpha_{i,j}m_{q^w - j} = 0$；对于第$s$行，当$w$不是$\beta + n$或$r + n$（$n < 2$）的幂时，$(s, w)$项为$\beta_{r,s}m_{q^w - r} = 0$。

可以利用这些关系以及HFEv系统中描述的关系，使用算法2创建$m_{0,0}$上所有非零区域的集合列表。每个集合包含可能非零的索引，因此不在该集合中的项肯定等于零。通过取所有集合的交集，可以找到子矩阵$m_{0,0}$的非零项的最终位置。在实际取值情况下，得到的唯一非零值是$m_0$，这使得矩阵$M$是由对角矩阵组成的块矩阵，从而为抵御对称攻击提供了安全性。

2. 算法介绍

以