56、后量子密码学：哈希函数签名方案解析

后量子密码学：哈希函数签名方案解析

1. 后量子密码学基础

在量子计算技术逐渐发展的背景下，传统基于因数分解或离散对数难题的签名方案面临安全威胁。因此，寻找适用于后量子时代的密码学构造方案显得尤为重要。

一些理论表明，基于学习误差（LWE）假设可以构建签名方案，但这类方案较为复杂。与之不同的是，基于哈希函数构建签名方案是一种有前景的方法。现有的加密哈希函数，如SHA - 3，被认为即使在量子算法攻击下也具有安全性，这为后量子签名的构建提供了新途径。

基于哈希函数的签名方案具有诸多优点：
- 无需数论假设：与公钥加密方案不同，它可以在不依赖数论假设的情况下构建签名。
- 基于单向函数：可从单向函数存在的最小假设出发构建签名方案。
- 不依赖随机预言机：与之前的许多构造不同，此类方案不依赖随机预言机。
- 效率更高：相比依赖数论假设的签名方案，基于哈希函数的签名方案可能更高效。

2. Lamport签名方案

Lamport签名方案是一种一次性签名方案，即在给定私钥仅用于签署单个消息时，该方案是“安全”的。这种方案在某些特定应用场景中适用，同时也可作为构建更强安全级别签名方案的基础。

2.1 一次性签名实验

对于签名方案$\Pi = (Gen, Sign, Vrfy)$和敌手$A$以及参数$n$，一次性签名实验$Sig - forge1 - time_{A,\Pi}(n)$流程如下：
1. 运行$Gen(1^n)$生成密钥对$(pk, sk)$。
2. 敌手$A$获得公钥$pk$，向签名预言机$Sign_{sk}(\cdot)$发起单个查询