47、标准模型下概率签名方案（PSS）实例化的不可能性

标准模型下概率签名方案（PSS）实例化的不可能性

1 引言

概率签名方案（PSS）是一种广泛应用且经过证明安全的随机签名方案。它由Bellare和Rogaway设计，基于陷门置换（如RSA）。此前，PSS在随机预言机（RO）模型下被证明是安全的，Coron还改进了其安全边界，近期研究甚至表明它能抵御利用中国剩余定理（CRT）实现RSA的故障攻击。

然而，所有这些安全证明仅在RO模型下有效，该模型假设存在理想的、真正随机的哈希函数。但在实际中，真正的随机函数并不存在，通常使用高效的哈希函数来实例化“理想”函数。因此，用标准哈希函数替换随机预言机时，证明仍然有效至关重要，否则这些证明只是提供了一种启发式证据，表明破解该方案可能很困难。

已有研究表明，存在一些在随机预言机模型下安全，但在标准模型下无法实例化的方案。对于像PSS这样广泛部署的方案，使用标准、高效可计算的哈希函数进行安全实例化尤为重要。本文主要探讨的问题是：是否可以基于对底层陷门置换的合理假设，安全地实例化PSS。

2 研究结果

本文的主要结果是对上述问题给出了一个普遍的否定答案。具体如下：
- 无法通过黑盒归约技术将PSS的抗选择消息攻击不可伪造性归约到随机置换的任何安全属性 ：随机置换几乎满足所有合理的安全概念，因此该结果涵盖了许多标准安全概念，如在随机点上反转陷门置换（单向性）、找到随机点原像的某些比特（部分域单向性）、找到相关输入等。即使PSS中使用的哈希函数可以查询陷门置换，并且摘要与响应任意相关，该结果仍然成立。
- 排除了从最近提出的有损陷门置换进行黑盒归约的可能性 ：K