[论文解读] A survey on NIST PQ signatures

Nicola Di Chiano, Riccardo Longo+2 more|arXiv (Cornell University)|Jul 23, 2021

Cryptography and Data Security参考文献 25被引用 5

一句话总结

本综述对NIST后量子密码学（PQC）数字签名最终入围者及备选方案——CRYSTALS-Dilithium、Falcon、Rainbow、SPHINCS+、GeMSS和Picnic——进行了全面分析，详细阐述了其基于格与多变量密码学的基础原理、签名生成与验证机制，以及在三个安全等级下的性能权衡。主要贡献在于对公钥与签名大小的结构化比较，结果表明基于格的方案（如Dilithium和Falcon）在效率与安全性之间实现了最佳平衡，而SPHINCS+和Picnic则通过牺牲更大的签名来换取更小的公钥。

ABSTRACT

Shor's shockingly fast quantum algorithm for solving the period-finding problem is a threat for the most common public-key primitives, as it can be efficiently applied to solve both the Integer Factorisation Problem and the Discrete Logarithm Problem. In other words, many once-secure protocols have to be replaced by still-secure alternatives. Instead of relying, for example, on the RSA protocol, the Diffie-Hellman key-exchange or the (Elliptic Curve) Digital Signature Algorithm, many researchers moved their attention to the design and analysis of primitives which are yet to be broken by quantum algorithms. The urgency of the threat imposed by quantum computers led the U.S. National Institute of Standards and Technology (NIST) to open calls for both Post-Quantum Public-Keys Exchange Algorithms and Post-Quantum Digital Signature Algorithms. In this brief survey we focus on the round 3 finalists and alternate candidates for Digital Signatures: CRYSTALS-DILITHIUM, FALCON, Rainbow, SPHINCS+, GeMSS, Picnic.

研究动机与目标

• 分析六种NIST PQC数字签名最终入围者及备选方案的设计、安全基础与性能特征。
• 比较不同安全等级（I、III、V）下公钥与签名大小的差异，以实现后量子安全性。
• 评估每种方案所依赖的密码学原 primitive，包括格、多项式理想与零知识证明。
• 系统性地概述每种方案的密钥生成、签名与验证算法。
• 识别后量子数字签名中签名大小、公钥大小与计算效率之间的最优权衡。

提出的方法

• 本文介绍了格理论中的基础概念，包括最短向量问题（SVP）、学习误差（LWE）以及环-LWE，这些是基于格方案安全性的核心。
• 详细说明了Fiat-Shamir变换在将交互式零知识证明转换为非交互式形式中的应用，用于Picnic和SPHINCS+等方案的签名生成。
• 对于CRYSTALS-Dilithium和Falcon等基于格的方案，方法涉及从离散高斯分布中采样，并利用模格以实现安全与效率的平衡。
• 本文描述了在SPHINCS+和Picnic3-LX中使用Merkle树与基于树的承诺结构，以压缩签名并降低验证开销。
• 解释了Picnic中使用的MPC-in-the-Head范式，即通过模拟多个安全计算执行来生成零知识证明，其种子通过XOF（如SHAKE128/256）从主种子派生。
• 方案采用与经典安全性128、192和256比特相对应的标准安全等级进行评估，参数集亦相应调整。

实验结果

研究问题

• RQ1 NIST PQC最终入围方案在不同安全等级下的公钥与签名大小如何比较？
• RQ2 每种方案中确保后量子安全性的基础数学问题与密码学原 primitive 是什么？
• RQ3 基于格的方案（如Dilithium和Falcon）如何在签名大小与效率之间实现平衡？
• RQ4 Fiat-Shamir变换在SPHINCS+和Picnic中如何实现高效且非交互式的数字签名？
• RQ5 为何多变量方案（如Rainbow）尽管签名较小，却拥有极大的公钥？

主要发现

• CRYSTALS-Dilithium与Falcon在签名大小与公钥大小之间实现了最佳平衡，其中Dilithium在128位安全强度下签名大小约为2.5 KB，公钥大小为1.5 KB。
• SPHINCS+拥有最小的公钥（约1 KB），但签名最大（超过100 KB），因此在带宽受限的应用中效率较低。
• Picnic3-LX通过MPC-in-the-Head范式与KKW零知识证明实现紧凑签名，在128位安全强度下签名大小低于10 KB。
• Rainbow作为多变量方案，尽管签名较小（约1 KB），但公钥极大（超过100 KB），限制了其实际部署。
• 在所有方案中，ECDSA在密钥与签名大小方面最为高效，但不具备后量子安全性。
• 在Picnic中使用XOF（如SHAKE128/256）进行种子派生与域分离，可抵御多目标攻击，并支持确定性签名生成。