21、基于低秩矩阵补全的后量子Sigma协议与签名

基于低秩矩阵补全的后量子Sigma协议与签名

1 引言

2022年7月，美国国家标准与技术研究院（NIST）公布了第三轮后量子密码学（PQC）项目的结果，并确定了将被标准化的算法。其中，最受推荐的是基于格问题的CRYSTALS - Kyber（密钥封装机制，KEM）和CRYSTALS - Dilithium（数字签名）。此外，另一种基于格的签名方案Falcon和基于哈希的签名方案SPHINCS+也将被标准化。

然而，现有的数字签名方案存在多样性不足的问题。在PQC标准化过程中，数字签名提案的数量明显低于KEM提案。NIST呼吁提出新的签名方案，例如不依赖结构格的通用签名方案，或适用于特定用途（如证书透明度）的短尺寸、快速验证的签名方案。

1.1 Sigma协议

Sigma协议是一种零知识证明知识（ZKPoK）协议。当输入公共信息x时，拥有证据w（满足(w, x) ∈ 关系R）的证明者可以在不泄露w的任何额外信息的情况下，使验证者相信他/她知道w。

Sigma协议已被用于创建各种密码学原语和应用，如数字签名、群/环签名、电子投票系统和隐私保护加密货币等。但部分Sigma协议并非完美可靠，存在无证据的作弊者欺骗验证者的非零概率。例如，Stern协议及其在格、MinRank和MQ问题上的变体，其可靠性误差均为2/3。也有一些工作将可靠性误差优化至q / 2(q - 1) > 1/2。

为降低Sigma协议的可靠性误差，一种直接有效的方法是重复协议k次，使整个协议的可靠性误差变为ϵ^k。但大量重复会导致巨大的通信开销和时间成本。近年来，随着后量子密码算法标准化的推进，出现了一些降低Sigma协议可靠性误差的新技术，如带辅助者的Si