3、ℓ-IC签名方案破解与NTRU密钥恢复研究

ℓ-IC签名方案破解与NTRU密钥恢复研究

ℓ-IC签名方案破解

在对ℓ - IC签名方案的研究中，我们进行了伪造攻击和密钥恢复攻击。

首先来看伪造攻击的相关计算时间。以下表格展示了针对不同参数组合，计算系统（9）的解（即伪造有效签名）所需的时间T：
| #K | ℓ | k | n | dreg | T |
| — | — | — | — | — | — |
| 28 | 3 | 10 | 30 | 4 | 0.7 s. |
| 28 | 3 | 12 | 36 | 4 | 2 s. |
| 28 | 3 | 16 | 48 | 4 | 11 s. |
| 28 | 5 | 10 | 50 | 4 | 12 s. |
| 28 | 5 | 12 | 60 | 4 | 39 s. |
| 28 | 5 | 16 | 80 | 4 | 209 s. |

这里的T是计算格罗布纳基（Gröbner basis）的时间加上从格罗布纳基计算解的时间。同时，我们还记录了格罗布纳基计算过程中达到的最大次数dreg，发现这个次数有一个常数上限（4）。这导致了ℓ - IC（ℓ为奇数）系统的实验复杂度为：O(n⁴·ω)，其中2 ≤ ω < 3 表示线性代数常数。这意味着这部分提出的整个攻击在变量数量n上是多项式级别的。

接下来是针对小ℓ的ℓ - IC⁻方案的密钥恢复攻击。我们将结合差分和格罗布纳基技术，仅考虑q为偶数的情况，但该攻击很容易扩展到其他情况。而且，该攻击不需要定义用于定义中间域E的不可约多项式，因为这种同构可以被吸收到等效密钥中。

等效秘密密钥

<