格签名的一般构造方式

现有的基于格的签名方案基本都是在下述两种框架中得到的。

第一种：哈希-签名的方法主要是基于Ajtai SIS问题及其相关的陷门函数。陷门函数用来生成优质基。原像采样函数使用优质基对格进行采样。原像采样函数生成的参数用来进行签名构造。

第二种：Fiat-Shamir框架：$\dots (待补充)$

但是相对第二种Fiat-Shamir框架，哈希-签名这种模式要求格的维数要相对大的多，所以哈希-签名这种模式在密钥、签名的尺寸上来说相对非常大。（哈希-签名要求格维数大于$5n\log q$，第二种Fiat-Shamir差不多是$2n$）

Hash-and-sign 格签名一般构造方式

$keygen(\cdot ):$

1. 生成矩阵$A(a_i\in R_q)$，$B(b_i\in R_q)$.

   (1)满足$AT=0$；

   (2)$T$的范数比较小。

2. $A$为公钥

3. $T$为私钥($T$为陷门基）

$Sign(sk,\mu ):$

1. 计算$t$满足$At=H(\mu )$
2. 利用原像陷门采样选取距离$H(\mu )$最近的格点$v\in L(T)$
3. $e=t-v$

$Verify(pk,\mu ,e):$

1. $e$的范数较小
2. $Ae=H(\mu )$

Fiat-Shamir格签名一般构造方式

原文中叙述了两种表达，此处只记关于高斯分布的一种。

$keygen(\cdot ):$

1. 生成矩阵$A\in {\mathbb{R}}_q^{n\times m}$，$S\in {\mathbb{R}}_q^{m\times k}$.满足$T\leftarrow AS$；
2. 公钥$(A,T)$
3. 私钥为$S$

$Sign(sk,\mu ):$

1. 从某一高斯分布中随机抽取$y\leftarrow D_s^m$
2. 计算$c\leftarrow H(Ay,\mu )$
3. 计算$z=Sc+y$
4. 以概率$\min (\frac{D_s^m(z)}{M{D}_{Sc,s}^m(z)},1)$输出$（z，c）$

$Verify(pk,\mu ,z,c,A,T):$

1. $\Vert z\Vert \le ks\sqrt{m}$，其中$k>1$
2. $c=H(Az-Tc,\mu )$

[1]蔡杰. 基于格的指定验证者数字签名方案及身份鉴别协议研究[D].山东大学,2020.