学习笔记：DualRing: 一种环签名的通用构造及实例

边学习边整理。
Yuen T , Esgin M , Liu J , et al. Dualring: Generic construction of ring signatures with efficient instantiations. CRYPTO 2021.
https://hub.hku.hk/handle/10722/304339

贡献

1. 提出双环签名的通用结构：签名由n个challenge和1个response组成（不同于AOS通用环签名：包含n个response和1个challenge）
2. 新的Argument of knowledge: Sum Argument
3. DualRing-EC deploying Schnorr identification scheme with Sum Argument: better efficiency
4. DualRing-LB：在环规模4-2000范围内最短的格基环签名。

预备知识

Argument of Knowledge包含三个PPT算法(S, P, V)：CRS生成器$S(\lambda )\to \hat{\sigma }$，prover $P(s)$, verifier $V(t)$。
Argument of Knowledge应满足Perfect completeness和Statistical Witness-Extended Emulation。

安全模型

Unforgeability w.r.t. insider corruption

敌手$A$在没有密钥的情况下不能生成有效的签名，即使他可以自适应地破坏一些诚实的参与者并获得他们的密钥。正式定义：

Random oracle $CO$输出查询的私钥，$SO$输出一个签名（除非查询的${\widehat{pk}}_j$不在环$pk$中，终止）

Anonymity against full key exposure

敌手$A$在生成密钥时是完全随机的。正式定义：

通用构造

AOS通用签名

包括Type-H和Type T两类，本文类比Type-T签名。
Type-T签名

生成签名：commit function $A$ outputs a commitment $R$, hash function $H$ outputs a challenge $c$, response function $Z$ outputs a response $z$.
验证签名：重构$R$并验证$c=H(M,R^{\prime })$

Type-T环签名：包含一个challenge和n个response

Canonical Identification

三步公钥认证协议

Fiat-Shamir变换可以将Canonical Identification变成非交互证明(用hash生成challenge，不需要交互)

Type-T* Canonical Identification

即满足4个属性的Canonical Identification：

1. 在重构$R^{\prime }$时，verify 算法中的function V包含两个functions:$V_1$和$V_2$，故而算法2中line 14变成：$R^{\prime }=V_1(z)\odot V_2(pk,c)$
2. $V_1$满足加性/乘性同态，即$V_1(z_1)\odot V_2(z_2)=V_1(z_1\oplus z_2)$
3. 给定$pk$对应的$sk$和$c$，存在一个function$T$，$\hat{z}=T(sk,c)$,有$V_1(\hat{z})=V_2(pk,c)$
4. challenge space ${\Delta }_c$ is a group with operation $\otimes$

DualRing

签名者（已知一组公钥$p{k}_1,...,p{k}_n$和私钥$s{k}_j$）：
(1) 随机选择$r_j$(line 5)
(2) 随机选择challenges$c_1,...c_{j-1},c_{j+1},...,c_n$(line 5)
(3) 用function $A$、$V_2$和运算符$\odot$生成一个R-环（line 6）
(4) 用运算符$\otimes$生成一个C-环(line 7)
(5) 计算剩下的$c_j=H(m,pk,R)\oslash c_{j+1}\oslash ...\oslash c_n\oslash c_1\oslash ...\oslash c_{j-1}$（$\oslash$是$\otimes$的逆运算）故而有：$c_1\otimes ...\otimes c_n=H(m,pk,R)$
(6)计算response $z\leftarrow Z(s{k}_j,c_j,r_j)$，生成签名包含一个response $z$和n个challenges $(c_1,...,c_n)$

和AOS相比的优势：

1. 如果response大challenge小，可节省空间
2. 通过避免使用hash降低复杂度到O(log n)
3. 用Schnorr实例化的方案，具有更简单的归约(原文给出)

DualRing安全和匿名证明见原文。

DualRing-EC

Notations

${\mathbf{a}}_{[:l]}:(a_1,...,a_l)$ ${\mathbf{a}}_{[l:]}:(a_{l+1},...,a_n)$
$\mathbf{a}\circ \mathbf{b}:$Hadamard product$(a_1{b}_1,a_2{b}_2,...,a_n{b}_n)$
$⟨\mathbf{a},\mathbf{b}⟩:$内积${\sum }_{i=1}^n{a}_i{b}_i$
${\mathbf{a}}^b:(a_1^b,a_2^b,...,a_n^b)$
$\mathbf{a}+b:(a_1+b,...,a_n+b)$
${\mathbf{a}}^{\mathbf{b}}:({\prod }_{i=1}^n{a}_i^{b_i})$

Sum Arguments of Knowledge

是Bullet proofs中内积证明的一种变体。内积证明是要证明关系：

证明者P使验证者V信服：$c$是两个被承诺的向量$\mathbf{a},\mathbf{b}$的内积（${\sum }_{i=1}^n{a}_i{b}_i$）

Bullet proofs将证明的通信复杂度降到$O(logn)$：通过运行一个递归算法$P_F$，在每一轮中两个规模为$n$的向量$\mathbf{a},\mathbf{b}$被提交为承诺$(L,R)$，对挑战$x$计算两个规模$n/2$的证明向量${\mathbf{a}}^{\prime },{\mathbf{b}}^{\prime }$，有$L^{x^2}P{R}^{-x^2}$与${\mathbf{a}}^{\prime },{\mathbf{b}}^{\prime },⟨{\mathbf{a}}^{\prime },{\mathbf{b}}^{\prime }⟩$的承诺相等。在下一轮，以${\mathbf{a}}^{\prime },{\mathbf{b}}^{\prime }$为算法$P_F$的输入。直到$n=1$递归结束。
Sum Argument：
关系：

P向V证明它知道标量$\mathbf{a}$的一个向量，使$P={\mathbf{g}}^{\mathbf{a}}$且$c=\sum \mathbf{a}$。尽管Sum Argument能通过设置向量$\mathbf{b}$为$1^n$由内积证明变换得到，但这种方法的效率低于本方法。

$\mathbf{p}\mathbf{a}\mathbf{r}\mathbf{a}\mathbf{m}$：generator $u\in \mathbb{G}$在群$\mathbb{G}$中阶为$p$，hash函数 H Z , H Z ′ : { 0 , 1 } ∗ → Z p H_Z,H'_Z:\{0,1\}^*\rightarrow\mathbb{Z}_p HZ​,HZ′​:{0,1}∗→Zp​.
$NISA(\mathbf{p}\mathbf{a}\mathbf{r}\mathbf{a}\mathbf{m},\mathbf{g},P,c,\mathbf{a})\to$ a proof $\pi$.(Non-interactive Sum Argument)
$VERIFY(\mathbf{p}\mathbf{a}\mathbf{r}\mathbf{a}\mathbf{m},\mathbf{g},P,c,\pi )\to 1/0$.

$P_F$ 中$n\ne 1$时：

1. 计算$n^{\prime }=\frac{n}{2},c_L=⟨(a_1,...,a_{n^{\prime }}),(b_{n^{\prime }+1},...,b_n)⟩$$={\sum }_{i=1}^{n^{\prime }}{a}_i{b}_{i+n^{\prime }}={\sum }_{i=1}^{n^{\prime }}{a}_i$，$c_R=⟨(a_{n^{\prime }+1},...,a_n),(b_1,...,b_{n^{\prime }})⟩={\sum }_{i=n^{\prime }+1}^n{a}_i{b}_{i-n^{\prime }}={\sum }_{i=n^{\prime }+1}^n{a}_i$
2. $L=({\prod }_{i=n^{\prime }+1}^n{g}_i^{a_i}){\hat{u}}^{c_L}$， $R=({\prod }_{i=1}^{n^{\prime }}{g}_i^{a_i}){\hat{u}}^{c_R}$.
3. 将$L$加入$\mathbf{L}$，$R$加入$\mathbf{R}$，计算$x=H_Z(L,R)$.
4. 计算${\mathbf{g}}^{\prime }=(g_1^{x^{-1}},...,g_{n^{\prime }}^{x^{-1}})\circ (g_{n^{\prime }+1}^x,...,g_n^x)=(g_1^{x^{-1}}{g}_{n^{\prime }+1}^x,...,g_{n^{\prime }}^{x^{-1}}{g}_n^x)$，${\mathbf{a}}^{\prime }=x\cdot (a_1,...,a_{n^{\prime }})+x^{-1}\cdot (a_{n^{\prime }+1},...,a_n)$，${\mathbf{b}}^{\prime }=x^{-1}\cdot (b_1,...,b_{n^{\prime }})+x\cdot (b_{n^{\prime }+1},...,b_n)=(x^{-1}+x)1^{\frac{n}{2}}$.（红色字仅第一轮）
5. 递归计算$P_F({\mathbf{g}}^{\prime },\hat{u},{\mathbf{a}}^{\prime },{\mathbf{b}}^{\prime })$.
   观察$P_F$的第k次递归，$\mathbf{b}$的值是${\prod }_{i=1}^k(x_i+x_i^{-1})1^{\frac{n}{2^k}}$，$x_i$是$H_Z$的第i个输出。
   

对数规模的DualRing-EC

将sum argument of knowledge的DualRing和Schnorridentification相结合，给出了基于DL的紧凑环签名的完整构造。
将sum argument匹配到ring signature
注意前面提到的sum argument要证明的关系可整理为：

而上文提出的通用环签名的验证包括（算法15-17行）：

有趣的是，Type-T* canonical identification的两个实例（基于DL和RSA的）都满足$V_2(p{k}_i,c_i)=p{k}_i^{c_i}$.因此可以将sum argument用于关系：（哎，巧了么这不）

因此可以从匹配NISA的Type-T* canonical identification构造一个对数规模的环签名。
构造

将NISA加入DualRing中：

1. 环签名的目的是证明环关系的合法性，DualRing中，是C环。而SA是证明某个向量关系，所以用SA帮助证明环签名，就是用NISA给出C环的证明（行7）。
2. 上文讨论将SA用于Type-T* canonical identification的前提是满足相似的关系，所以在证明中要将DualRing关系式整理到SA关系的形式（行8）。
3. 签名中$R$的存在是为了在验证阶段重构出$P$（行10-16）。

DualRing-LB

Notations

定义奇数模$q$，$R_q$是一个$d$维的环${\mathbb{Z}}_q[X]/(X^d+1)$
${\mathbf{I}}_n$是规模为$n$的单位矩阵
${\mathfrak{U}}_k$是$\mathbb{Z}[X]/(X^d+1)$中的一个多项式集合，无穷范数不超过$k\in {\mathbb{Z}}^{+}$
$\mathcal{U}$是均匀分布
多项式（或多项式向量）的欧氏范数$\Vert \cdot \Vert$ 和 无穷范数$\Vert \cdot {\Vert }_{\infty }$标准定义
定义挑战空间： C = { c ∈ Z [ X ] / ( X d + 1 ) : ∥ c ∥ ∞ = 1 } \mathcal{C}=\{c\in\mathbb{Z}[X]/(X^d+1):\|c\|_{\infty}=1\} C={c∈Z[X]/(Xd+1):∥c∥∞​=1}，注意$|\mathcal{C}|=3^d$

格基Canonical Identification

Type-T* canonical identification from M-LWE/SIS，用拒绝采用技术保证没有签名者密钥的信息在response中被泄露。格基的Canonical Identification实例算法：

满足Canonical Identification的四个属性：

1. $R$包含两个方法$V_1$和$V_2$
2. $V_1$满足加性同态$V_1(z_1)+V_2(z_2)=-G\cdot z_1-G\cdot z_2=-G\cdot (z_1+z_2)=V_1(z_1+z_2)$
3. 给定$\mathrm{s}\mathrm{k},\mathrm{p}\mathrm{k}$和$c$，可计算$\tilde{z}=-c\cdot \mathrm{s}\mathrm{k}$使得$V_1(\tilde{z})=G\cdot (c\cdot \mathrm{s}\mathrm{k})=V_2(\mathrm{p}\mathrm{k},c)$成立。（整理等式即可得）
4. 挑战空间$\mathcal{C}$是在加法模3下的一个群。
   注意：不知道如何用sum argument生成一个有效的格基零知识证明。所以这篇文章的格基签名的规模仍然是$O(n)$，而已有研究达到了$O(logn)$，因此在某个点之后会产生更长的签名。