[論文レビュー] A survey on NIST PQ signatures

Nicola Di Chiano, Riccardo Longo+2 more|arXiv (Cornell University)|Jul 23, 2021

Cryptography and Data Security参考文献 25被引用数 5

ひとこと要約

本調査では、NIST Post-Quantum Cryptography (PQC) ディジタル署名最終候補および代替候補（CRYSTALS-Dilithium、Falcon、Rainbow、SPHINCS+、GeMSS、Picnic）の包括的な分析を提供する。これらの署名方式の背後にある格子暗号および多次元暗号の基盤、署名の生成および検証メカニズム、3つのセキュリティレベルにおけるパフォーマンスのトレードオフを詳細に説明する。主な貢献は、公開鍵と署名サイズの構造的比較であり、格子ベースの方式（Dilithium や Falcon）が効率性とセキュリティのバランスを最も良く果たしていることが明らかになった。一方、SPHINCS+ や Picnic は、より小さな公開鍵を実現するが、その代わりに大きな署名サイズを犠牲にしている。

ABSTRACT

Shor's shockingly fast quantum algorithm for solving the period-finding problem is a threat for the most common public-key primitives, as it can be efficiently applied to solve both the Integer Factorisation Problem and the Discrete Logarithm Problem. In other words, many once-secure protocols have to be replaced by still-secure alternatives. Instead of relying, for example, on the RSA protocol, the Diffie-Hellman key-exchange or the (Elliptic Curve) Digital Signature Algorithm, many researchers moved their attention to the design and analysis of primitives which are yet to be broken by quantum algorithms. The urgency of the threat imposed by quantum computers led the U.S. National Institute of Standards and Technology (NIST) to open calls for both Post-Quantum Public-Keys Exchange Algorithms and Post-Quantum Digital Signature Algorithms. In this brief survey we focus on the round 3 finalists and alternate candidates for Digital Signatures: CRYSTALS-DILITHIUM, FALCON, Rainbow, SPHINCS+, GeMSS, Picnic.

研究の動機と目的

• NIST PQC ディジタル署名最終候補および代替候補の6つの方式の設計、セキュリティ基盤、パフォーマンス特性を分析すること。
• 後量子セキュリティを確保するための異なるセキュリティレベル（I、III、V）における公開鍵と署名サイズの比較を行うこと。
• 各方式の背後にある暗号Primitive（格子、多項式イデアル、ゼロ知識証明など）を評価すること。
• 各方式における鍵生成、署名、検証アルゴリズムの体系的概要を提供すること。
• 後量子ディジタル署名における、署名サイズ、公開鍵サイズ、計算効率の間の最も効率的なトレードオフを特定すること。

提案手法

• 本論文は、格子暗号のセキュリティ基盤を成す最短ベクトル問題（SVP）、学習誤差（LWE）、リングLWE などの格子理論の基礎的概念を導入する。
• Picnic や SPHINCS+ のような方式では、インタラクティブなゼロ知識証明を非インタラクティブなものに変換するためのFiat-Shamir変換の使用を詳細に説明する。
• CRYSTALS-Dilithium や Falcon のような格子ベース方式では、離散ガウス分布からのサンプリングとモジュール格子の使用により、セキュリティと効率性を両立させる。
• SPHINCS+ や Picnic3-LX では、署名の圧縮と検証のオーバーヘッド低減のため、マーチェルツリーと木構造のコミットメント構造の使用を説明する。
• Picnic で用いられるMPC-in-the-Headパラダイムについて説明する。ここでは、複数の安全計算実行をシミュレートしてゼロ知識証明を生成し、マスターシードからXOF（例：SHAKE128/256）を介してシードを導出する。
• 標準化されたセキュリティレベル（128ビット、192ビット、256ビットの古典的セキュリティ）に応じて、パrameterセットを調整して各方式を評価する。

実験結果

リサーチクエスチョン

• RQ1 NIST PQC ファイナルリストの各方式における公開鍵サイズと署名サイズは、異なるセキュリティレベルでどのように比較されるか？
• RQ2 各方式が後量子セキュリティを保証するための背後にある数学的問題と暗号Primitiveは何か？
• RQ3 Dilithium や Falcon のような格子ベース方式は、どのように署名サイズと効率性のバランスを達成しているか？
• RQ4 Fiat-Shamir変換は、SPHINCS+ や Picnic における効率的で非インタラクティブなディジタル署名の実現にどのように寄与しているか？
• RQ5 Rainbow のような多次元方式は、なぜ小さな署名（約1 KB）であるにもかかわらず、非常に大きな公開鍵（100 KB以上）を持つのか？

主な発見

• CRYSTALS-Dilithium と Falcon は、署名サイズと公開鍵サイズの両面で最も良いバランスを実現しており、Dilithium は128ビットセキュリティを満たすために約2.5 KBの署名と1.5 KBの公開鍵を実現している。
• SPHINCS+ は最小の公開鍵（約1 KB）を実現しているが、最大の署名サイズ（100 KB以上）を有しており、帯域幅制限のあるアプリケーションでは効率が悪い。
• Picnic3-LX はMPC-in-the-HeadパラダイムとKKWゼロ知識証明を活用し、128ビットセキュリティ下で10 KB未満のコンパクトな署名を実現している。
• Rainbow は多次元方式であり、小さな署名（約1 KB）を実現しているが、公開鍵サイズが最大（100 KB以上）であり、実用的導入が制限されている。
• すべての方式の中で、ECDSA は鍵サイズと署名サイズの点で最も効率的であるが、後量子セキュリティを満たさない。
• Picnic におけるシード導出とドメイン分離にXOF（例：SHAKE128/256）を用いることで、マルチターゲット攻撃に対する耐性が確保され、決定論的署名生成が可能になっている。