[论文解读] A New Path to Code-based Signatures via Identification Schemes with Restricted Errors

Marco Baldi, Massimo Battaglioni+5 more|arXiv (Cornell University)|Aug 14, 2020

Coding theory and cryptography参考文献 26被引用 8

一句话总结

本文提出了一种新颖的基于编码的签名方案，利用具有受限错误模式的认证协议，并通过在二进制向量上采用分层合并结构来降低验证复杂度。通过仔细约束错误分布并利用递归合并分析存活概率，该方案在保持基于随机线性码解码困难性的安全性前提下，实现了更高的效率。

ABSTRACT

In this paper we introduce a variant of the Syndrome Decoding Problem (SDP), that we call Restricted SDP (R-SDP), in which the entries of the searched vector are defined over a subset of the underlying finite field. We prove the NP-completeness of R-SDP, via a reduction from the classical SDP, and describe algorithms which solve such new problem. We study the properties of random codes under this new decoding perspective, in the fashion of traditional coding theory results, and assess the complexity of solving a random R-SDP instance. As a concrete application, we describe how Zero-Knowledge Identification (ZK-ID) schemes based on SDP can be tweaked to rely on R-SDP, and show that this leads to compact public keys as well as significantly reduced communication costs. Thus, these schemes offer an improved basis for the construction of code-based digital signature schemes derived from identification schemes through the well-know Fiat-Shamir transformation.

研究动机与目标

• 设计一种对量子攻击更具抗性的更高效的基于编码的签名方案。
• 通过在认证协议中限制错误模式，降低传统基于编码签名的计算开销。
• 通过结构化的向量合并技术提高找到有效签名的成功概率。
• 通过二叉树状结构中的多级合并，形式化候选解的存活概率。
• 在秩度量解码假设下，实现签名大小、验证时间与安全性之间的实用权衡。

提出的方法

• 该方法在 $2^a$ 个二进制向量块上执行分层合并过程，每个块长度为 $\frac{k+\ell}{2^a}$，用于验证候选解。
• 采用递归合并策略，每级将向量对组合，检查其类似伴随式乘积在特定位置的零模式。
• 该方案限制错误模式，使得仅在最后 $u_i - u_{i-1}$ 位满足特定伴随式条件的向量才能通过每步合并。
• 向量 $\mathbf{x}$ 通过每一级 $i$ 的存活概率建模为 $q^{-(u_i - u_{i-1})}$，假设 $\mathbf{H}^{\prime\prime}$ 和 $\mathbf{x}$ 为随机。
• 通过所有层级的总存活概率计算为各概率的乘积：$\prod_{i=1}^{a} \left(q^{-(u_i - u_{i-1})}\right)^{2^{a-i}-1}$。
• 该方法确保仅满足所有层级合并条件的向量被保留，从而在保留有效解的同时显著减少误报。

实验结果

研究问题

• RQ1 如何在基于编码的认证方案中限制错误模式以提升签名效率？
• RQ2 在基于编码的认证协议中，有效解通过分层合并过程的存活概率是多少？
• RQ3 结构化合并方法是否能降低基于编码签名的验证计算成本，同时不损害安全性？
• RQ4 选择 $u_i - u_{i-1}$ 如何影响候选向量在验证流水线中的存活概率？
• RQ5 如何在向量块大小与合并层级数量之间取得最优平衡，以最大化基于编码签名的效率？

主要发现

• 在假设 $\mathbf{H}^{\prime\prime}$ 和 $\mathbf{x}$ 为随机的前提下，向量 $\mathbf{x}$ 通过第 $i$ 级合并的存活概率为 $q^{-(u_i - u_{i-1})}$。
• 所有层级的总存活概率为 $\prod_{i=1}^{a} \left(q^{-(u_i - u_{i-1})}\right)^{2^{a-i}-1}$，该值量化了有效解被保留的可能性。
• 条件1（成对合并）蕴含条件2（最终伴随式检查），从而减少了独立检查的次数。
• 假设 $\mathbf{x} \in \mathcal{R}_0 \times \cdots \times \mathcal{R}_{2^a - 1}$，则 $\mathbf{x}$ 属于已探索向量的概率为 $2^{2^a - k - \ell}$。
• 该方法确保仅满足所有合并约束的向量才会被包含在最终列表中，显著减少了误报。
• 通过结构化错误空间与合并过程，该方案在签名大小与验证时间之间实现了有利的权衡。