密码学归约证明——一次性签名方案

最新推荐文章于 2024-09-03 19:50:19 发布

皮皮罴

最新推荐文章于 2024-09-03 19:50:19 发布

阅读量747

点赞数

分类专栏：现代密码学文章标签：密码学安全

本文链接：https://blog.csdn.net/weixin_65617488/article/details/128511566

版权

现代密码学专栏收录该内容

9 篇文章 3 订阅

订阅专栏

文章探讨了单向函数的性质，包括其不可逆性和在密码学中的应用。重点介绍了Lamport的一次性签名方案，阐述了该方案的生成、签名和验证过程，并证明了当单向函数为前提时，该方案作为一次性签名的安全性。此外，通过算法和概率分析，展示了签名方案与单向函数求逆问题之间的联系，进一步强化了方案的安全性论点。

摘要由CSDN通过智能技术生成

1. 单向函数求逆实验 $Invert_{A,f} (n)$

$\qquad$ 算法 $A$ 、安全数值 $n$ ：

选择输入 $x\leftarrow \{0,1\}^n$ ，计算 $y = f (x)$ ；
$1^n$ 和 $y$ 值作为 $A$ 的输入，输出为 $x^{'}$ ；
若 $f (x^{'}) = y$ ，则输出 $1$ ，否则 $0$ 。

$\qquad$ 注意：敌手没有选择 $y$ 的权力。

2. 单向函数

$\qquad$ 单向函数 $f:\{0,1\}^*\rightarrow \{0,1\}^*$ 满足：

$\forall x$ ， $\exists$ 多项式时间算法 $M_f$ ，使 $M_f (x)=f(x)$ ；
$\forall$ 多项式时间算法 $A$ ， $\exists negl$ ，满足 $Pr[Invert_{A,f} (n)=1]\leq negl(n)$ 。

3. 一次签名实验 $Signforge_{A,\Pi}^{1-time} (n)$

$(pk,sk)\leftarrow Gen(1^n )$ ；
$A$ 输入 $1^n$ 和对 $Sign_{sk} (\cdot)$ 的一次查询 $m^{'}$ ，输出 $(m,\sigma)$ ；
当且仅当 $Vrfy_{pk} (m,\sigma)=1$ 实验输出 $1$ 。

$\qquad$ 一次性签名方案满足：对任意的多项式时间敌手 $A$ ， $\exists negl$ ，满足 $Pr[Signforge_{A,\Pi}^{1-time} (n)=1]\leq negl(n)$ 。

4. Lamport的一次签名

$\qquad$ 设 $f$ 是单向函数。

$G e n$ ： $\forall i\in \{1,\cdots ,l\}$ ，选择随机的两个函数输入 $x_{i,0},x_{i,1}\leftarrow \{0,1\}^n$ ；计算 $y_{i,0}=f(x_{i,0} )$ ， $y_{i,1}=f(x_{i,1} )$ ；构成 $2$ 个 $2\times l$ 的矩阵， $x_{i,j}$ 构成私钥， $y_{i,j}$ 构成公钥。
$S i g n$ ： $m=m_1\cdots m_l$ ，输出 $\sigma=(x_{1,m_1 },\cdots,x_{l,m_l } )$ 。
$V r f y$ ： $\forall i\in \{1,\cdots ,l\}$ ，若有 $f(x_i )=y_{i,m_i }$ ，输出 $1$ 。

5. 一次性签名方案的安全性

$\qquad$ 设 $l$ 为任意多项式。若 $f$ 为单向函数，则上述构造方案 $\Pi$ 是一次性签名方案。

$\qquad$ 考虑算法 $I$ ，目的是对单向函数 $f$ 求逆：输入 $y$ 和 $1^n$ ，

随机选择 $i^*\leftarrow \{1,\cdots,l\}$ 和 $b^*\leftarrow \{0,1\}$ 。设 $y_{i^*,b^* }=y$ 。
对任意的 $i\leftarrow \{1,\cdots ,l\}$ 和 $b\leftarrow \{0,1 \}$ ，且 $(i,b)\neq (i^*,b^* )$ ，选择 $x_{i,b}\leftarrow \{0,1\}^n$ 并设 $y_{i,b}=f(x_{i,b} )$ 。
输入 $pk=\begin{pmatrix}y_{1,0},y_{2,0},\cdots,y_{l,0}\\y_{1,1},y_{2,1},\cdots,y_{l,1}\end{pmatrix}$ ，运行 $A$ 。
当 $A$ 请求消息 $m^{'}$ 的签名时，如果 $m_{i^*}'=b^*$ ，停止（实验失败）；否则返回正确的签名 $\sigma=(x_{1,m_1' },\cdots,x_{l,m_l' } )$ 。
当 $A$ 输出 $(m,\sigma)$ 且 $\sigma=(x_1,\cdots,x_l )$ ，若 $A$ 输出一个在 $i^*,b^* )$ 上的伪造，则输出 $x_i^*$ 。

$\qquad$ 当 $A$ 输出一个在 $i^*,b^* )$ 上的伪造时，算法 $I$ 对输入 $y$ 成功求逆。考虑“理想情况”：在开始时，将 $x$ 给 $I$ ，设 $x_{i^*,b^* }=x$ ，此时在第四步步骤中将总是返回签名 $\sigma$ 。此时 $A$ 作为子程序所见情形，与实验 $Signforge_{A,\Pi}^{1-time} (n)$ 中相同。由于在实验开始时，随机选择 $i^*,b^* )$ ，可以理解为 $A$ 独立于此选择，则 $A$ 在 $i^*,b^* )$ 处输出伪造的概率为 $\frac{1}{2l(n)}$ 。因为一次签名伪造意味着至少存在一个点 $(i, b)$ 的伪造，而一共有 $2 l (n)$ 个点。因此， $A$ 在 $i^*,b^* )$ 处输出伪造的概率至少为 $\frac{Pr[Signforge_{A,\Pi}^{1-time} (n)=1]}{2l(n)}$ 。
$\qquad$ 考虑“现实情况”：如果 $A$ 输出在 $i^*,b^* )$ 处的伪造，“理想情况”和“现实情况”一致。即如果 $A$ 请求消息 $m^{'}$ 的签名且 $m_{i^*}'=b^*$ ， $A$ 不可能输出在 $i^*,b^* )$ 处的伪造。因此， $A$ 在 $i^*,b^* )$ 处输出伪造的概率仍然至少为 $\frac{Pr[Signforge_{A,\Pi}^{1-time} (n)=1]}{2l(n)}$ 。
于是 $Pr[Invert_{I,f} (n)=1]\geq \frac{Pr[Signforge_{A,\Pi}^{1-time} (n)=1]}{2l(n)}$ ，所以