16、短可链接环签名再探

短可链接环签名再探

1. 可链接环签名基础

可链接环签名有两个关键算法：
- 验证算法 ：$1/0 \leftarrow Verify(Y, M, \sigma)$ ，它是一个多项式时间验证算法。输入为 $n$ 个公钥的集合 $Y$（$n \in N$ ，其大小是关于安全参数 $\lambda$ 的多项式）、消息 $M \in {0, 1}^ $ 和签名 $\sigma \in \Sigma$ ，输出 1 或 0 ，分别表示接受或拒绝。若算法返回接受，则消息 - 签名对 $(M, \sigma)$ 被认为是有效的。
- 链接算法 *：$1/0 \leftarrow Link(\sigma_0, \sigma_1)$ ，它是一个多项式时间链接算法。输入两个有效签名，输出 1 或 0 ，分别表示这两个签名是链接的或未链接的。

可链接环签名方案必须满足以下两个正确性条件：
1. 验证正确性 ：按照规范签署的签名在验证过程中，以压倒性的概率被接受。
2. 链接正确性 ：如果两个按照规范签署的签名有共同的签名者，那么它们以压倒性的概率是链接的；反之，如果两个签名没有共同的签名者，那么它们以压倒性的概率是未链接的。

2. 安全概念

近期，对于传统环签名的安全概念有了更精细的定义，这些分类经适当调整后也可应用于可链接环签名。下面详细介绍可链接环签名的几个重要安全概念：

2.1 不可伪造性

环签名的不可伪造性可分为以下三类攻击：