格密码学重要概念: 拒绝采样技术

1 为什么提出拒绝采样？

Rejection Sampling: 拒绝采样或抛弃采样
1.格上的高斯采样较为复杂，严重影响签名效率。
2. $\mathbf{z}=\mathbf{S}\mathbf{c}+\mathbf{y}$形如这样的签名$\mathbf{z}$直接输出会导致密钥的泄露，因为$\mathbf{z}$的分布于$\mathbf{S}$的分布有关联，所以要使用拒绝采样技术来减少这种关联性(使签名$\mathbf{z}$的范数小于$\beta$)。
3. 拒绝采样生成的签名尺寸较小。

2 拒绝采样技术

第一个提出拒绝采样实现签名方案，其实就是Fiat-shamir类型格签名
2012年，lyubashevsky¹等人提出了拒绝采样技术(rejection sampling technique )，并利用该技术提出了格上首个无陷门签名方案。

• 算法简介
  以一个概率(Lyu12大约是1/3)输出一个合法的签名。
  实际上就是使签名的分布接近于分布$D_{\sigma }^m$而不是分布$D_{\mathbf{S}\mathbf{c},\sigma }^m$。
  
  $D_{\mathbf{v},\sigma }^m$