57、后量子密码学与公钥加密高级主题

后量子密码学与公钥加密高级主题

树状签名方案

在之前基于链的签名方案中，签名者可被视为维护一棵度为 1 的树，根节点为公共密钥 pk1，树的深度等于到目前为止已签名消息的数量。为提高效率，一种自然的方法是使用二叉树，其中每个节点的度为 2。

签名对应于树中从叶子节点到根节点的“签名”路径。只要树的深度是多项式级的（即使树的规模是指数级的），验证也可以在多项式时间内完成。

具体来说，为了对长度为 n 的消息进行签名，我们将使用深度为 n 且有 2^n 个叶子节点的二叉树。签名者会根据需要“即时”向树中添加节点。与基于链的方案不同，只有叶子节点（而非内部节点）用于对消息进行签名，每个叶子节点对应一个长度为 n 的可能消息。

我们设想一棵深度为 n 的二叉树，根节点标记为 ε（即空字符串），标记为二进制字符串 w（长度小于 n）的节点，其左子节点标记为 w0，右子节点标记为 w1。这棵树不会完整构建（因为它的规模是指数级的），而是由签名者根据需要逐步构建。

对于每个节点 w，我们为一次性签名方案 Π 关联一对密钥 pkw 和 skw。根节点的公钥 pkε 是签名者的实际公钥。为了对消息 m ∈ {0, 1}^n 进行签名，签名者执行以下步骤：
1. 首先，为从根节点到标记为 m 的叶子节点路径上的所有节点生成密钥（如果需要）。（某些公钥可能在之前签名消息的过程中已经生成，在这种情况下不会再次生成。）
2. 接下来，通过使用私钥 skw 对 pkw0∥pkw1 计算签名，来“认证”从根节点到标记为 m 的叶子节点的路径，其中 w 是 m 的适当前缀。
3. 最后，使用私钥 skm 对 m 计算签名，从而“认证” m 本