25、施诺尔签名可证明安全性的不可能性分析

施诺尔签名可证明安全性的不可能性分析

1. 基本概念与初始分析

在密码学领域，对于施诺尔签名的安全性证明是一个重要的研究方向。这里涉及到T - OM - DL问题以及相关的归约过程。

首先，有一个元归约器M，在某些操作中，M在(M - 3) - (M - 4)阶段使用列表（List）回复所有查询，而不使用离散对数（DL）预言机。之后，M会转发R对DL预言机的所有查询。M对DL预言机的查询次数可以分为两部分，在(M - 3) - (M - 4)之前的查询次数记为T1,before，之后的查询次数记为T2,after，所以M对DL预言机的总访问次数为T1,before + T2,after。由于在分叉点之前，R和M在(M - 1) - (M - 2)以及(M - 3) - (M - 4)的行为是相同的，所以T1,before = T2,before，那么M对DL预言机的访问次数就可以表示为T2,before + T2,after。又因为R对DL预言机的访问次数最多为T - 1，所以T2,before + T2,after也被限制在T - 1以内。

下面是M对DL预言机访问次数的分析表格：
| 阶段 | 访问次数 |
| ---- | ---- |
| (M - 3) - (M - 4)之前 | T1,before（等于T2,before） |
| (M - 3) - (M - 4)之后 | T2,after |
| 总访问次数 | T2,before + T2,after ≤ T - 1 |

同时，还需要证明条件(Con - 3)成立，即M在(M - 3)中正确模拟假设的伪造者˜Fi∗。在(M - 3)中运行R的方