[论文解读] A new zero-knowledge code based identification scheme with reduced communication

Carlos Aguilar, Philippe Gaborit+1 more|arXiv (Cornell University)|Nov 7, 2011

Coding theory and cryptography参考文献 3被引用 4

一句话总结

该论文提出了一种基于双循环码的合成解码问题的新零知识身份识别方案，与先前的基于编码的方案相比，通信成本降低了40%。通过引入基于循环移位的挑战和压缩哈希承诺机制，其认证通信量减少至19 kb（2^16安全级别），签名大小减少至93 kb（2^80安全级别），同时保持了数百比特量级的小公钥和私钥，并将欺骗概率控制在接近1/2的水平。

ABSTRACT

In this paper we present a new 5-pass identification scheme with asymptotic cheating probability 1/2 based on the syndrome decoding problem. Our protocol is related to the Stern identification scheme but has a reduced communication cost compared to previous code-based zero-knowledge schemes, moreover our scheme permits to obtain a very low size of public key and secret key. The contribution of this paper is twofold, first we propose a variation on the Stern authentication scheme which permits to decrease asymptotically the cheating probability to 1/2 rather than 2/3 (and very close to 1/2 in practice) but with less communication. Our solution is based on deriving new challenges from the secret key through cyclic shifts of the initial public key syndrome; a new proof of soundness for this case is given Secondly we propose a new way to deal with hashed commitments in zero-knowledge schemes based on Stern's scheme, so that in terms of communication, on the average, only one hash value is sent rather than two or three. Overall our new scheme has the good features of having a zero-knowledge security proof based on well known hard problem of coding theory, a small size of secret and public key (a few hundred bits), a small calculation complexity, for an overall communication cost of 19kb for authentication (for a $2^{16}$ security) and a signature of size of 93kb (11.5kB) (for security $2^{80}$), an improvement of 40% compared to previous schemes based on coding theory.

研究动机与目标

• 降低基于编码的零知识身份识别方案的通信成本，此前在2^80安全级别下通信成本超过150 kb。
• 将欺骗概率降低至约1/2，优于标准Stern类方案中的2/3界限。
• 在基于广泛研究的合成解码问题的基础上，保持小公钥和私钥尺寸（数百比特）。
• 通过将多个哈希承诺压缩为单个值，优化承诺传输过程，平均仅传输一个哈希值。
• 实现基于编码的零知识协议在实际环境中的部署，显著降低带宽与计算开销。

提出的方法

• 协议采用基于Stern身份识别框架的五轮结构，挑战值来源于秘密密钥合成的循环移位，以增加有效挑战的数量。
• 为改进的挑战机制提供了新的合理性证明，表明欺骗概率渐近趋近于1/2。
• 提出一种新颖的承诺压缩技术，平均仅需传输一个哈希值，而非两个或三个，从而降低通信开销。
• 利用双循环矩阵紧凑表示公钥，将公钥大小压缩至仅数百比特。
• 私钥表示为长度为n的低权重错误向量，其合成值由结构化生成矩阵导出。
• 应用Fiat-Shamir变换，将身份识别方案转换为签名方案，2^80安全级别下签名大小为93 kb。

实验结果

研究问题

• RQ1 能否在不损害安全性或密钥尺寸的前提下，将基于编码的零知识身份识别方案的通信成本降低超过40%？
• RQ2 是否可能在保持零知识安全性并减少通信量的同时，将欺骗概率从2/3降低至接近1/2？
• RQ3 能否将传输的哈希承诺数量从平均两个或三个减少至一个，而不削弱协议的安全性？
• RQ4 双循环矩阵在最小化公钥与私钥尺寸的同时，对保持底层合成解码问题的困难性有多大的有效性？
• RQ5 该方案在标准安全级别（如2^80与2^128）下的实际通信与计算成本如何，适用于现实世界部署？

主要发现

• 与先前基于编码的零知识方案相比，该方案将通信成本降低了40%，在2^16安全级别下认证通信量为19 kb。
• 签名大小降低至2^80安全级别下的93 kb，低于先前方案的155 kb。
• 利用双循环矩阵，公钥大小缩减至350比特，私钥大小缩减至700比特，显著小于先前方案。
• 欺骗概率降低至约1/2，攻击者在身份识别方案中实际成功概率为2^-16。
• 在2^16安全级别下，证明方计算成本为F2上的2^21次操作；在2^80签名安全级别下，为F256上的2^16次乘法运算。
• 通过使用恒定权重编码σ(e_r)，认证通信成本可进一步降低至17 kb，签名通信成本降低至79 kb，但需付出更高复杂度的代价。