73、非交互式EdDSA半聚合签名技术解析

非交互式EdDSA半聚合签名技术解析

1. 签名聚合的限制与优化

在签名聚合方面，以优化后的Schnorr签名为基线，实现超过50%的非平凡压缩是不可行的。对于未优化的Schnorr签名进行聚合时，可以应用特定优化来整体节省O(log λ)位。不过，O(log λ)只是聚合签名大小中的一个附加项，随着签名数量n的增加，其影响会逐渐消失，因此这只能算是一个微不足道的改进。

从证明思路来看，Fiat - Shamir转换证明的验证者必须向随机预言机查询底层sigma协议的“第一条消息”。在Schnorr签名方案中，这意味着验证者要向随机预言机查询随机数R。若在聚合签名中以显著概率省略单个签名的R值，将直接导致聚合签名不可伪造性受到攻击。

2. 相关工作回顾

2.1 安全证明

• 原始Schnorr签名 ：由Claus Schnorr提出，原始论文中提出了一种紧凑版本，能输出大小为3λ的签名，其中λ为提供的安全级别（如128）。
• Pointcheval和Stern的工作 ：1996年，他们应用新引入的分叉引理，在假设底层离散对数问题困难的情况下，为2λ位理想哈希提供了首个正式的安全性证明。
• Shoup的工作 ：在通用群模型（GGM）中给出了Schnorr身份验证针对主动攻击的首个证明，但未关注Fiat - Shamir构造。
• Neven等人的贡献 ：应用GGM和其他结果，使用λ位哈希函数证明了安全性。在他们的