[论文解读] Design and Implementation of a Digital Signature Scheme Based on Low-density Generator Matrix Codes

Marco Baldi, Alessandro Barenghi+5 more|arXiv (Cornell University)|Jul 16, 2018

Coding theory and cryptography参考文献 18被引用 3

一句话总结

本文提出LEDAsig，一种基于低密度生成矩阵（LDGM）码的后量子数字签名方案，具有高效率和紧凑密钥的特点。该方案引入了针对密钥生成、签名和验证的优化算法，同时提供了针对经典攻击和量子攻击的严格安全评估，支持长期安全的新参数选择，并通过公开可用的实现提供了性能基准。

ABSTRACT

In this paper we consider a post-quantum digital signature scheme based on low-density generator matrix codes and propose efficient algorithmic solutions for its implementation. We also review all known attacks against this scheme and derive closed-form estimates of their complexity when running over both classical and quantum computers. Based on these estimates, we propose new parametrization for the considered system to achieve given pre-quantum and post-quantum security levels. Finally, we provide and discuss performance benchmarks obtained through a suitably developed and publicly available reference implementation of the considered system.

研究动机与目标

• 设计一种在经典和量子攻击下均具有抗性的高效后量子数字签名方案。
• 解决以往基于码的签名方案的局限性，如高复杂度解码和易受统计密钥恢复攻击的影响。
• 提供新的参数集，以确保在预量子和后量子威胁模型下的长期安全性。
• 通过优化算法实现并基准化LEDAsig，以支持实际部署。
• 分析并估算所有已知攻击（包括近期的统计攻击和量子优化攻击）的复杂度。

提出的方法

• 该方案使用一个私有的准循环低密度生成矩阵（QC-LDGM）码，并从中导出一个公开的准循环（QC）码，通过校验校验码实现高效的签名生成。
• 它利用稀疏校验校验问题（sparse SDP），仅使用低权重校验校验，将解码简化为向量操作，而无需完整解码。
• 一个公开函数 $\mathcal{F}_{\Theta}$ 将消息哈希映射为长度为 $r$、权重 $w \ll r$ 的低权重向量 $s$，构成公开校验校验。
• 该方案使用一个权重为 $w_c$ 的随机码字 $c$ 对签名进行掩码，使得攻击者无法区分秘密支持中的位与随机位。
• 安全分析包括推导统计密钥恢复的闭式概率估计，使用 $P_I(w_L, w_c)$ 和 $P_J(w_L, w_c)$ 对跨签名的位可区分性进行建模。
• 通过迭代应用公式 (70) 并结合 $P_{\land}(r, \{s_1,\dots,s_L\}, w_L)$ 计算统计密钥恢复的成功概率 ($P_{\text{SIA}}$)，估算攻击复杂度。

实验结果

研究问题

• RQ1 如何设计一种基于码的数字签名方案，使其在抵御已知攻击（包括量子优化攻击）的同时保持高效性？
• RQ2 在经典和量子计算模型下，已知针对LDGM签名的攻击（包括统计攻击和量子攻击）的精确计算复杂度是什么？
• RQ3 如何对系统参数进行重新参数化，以在保持高性能的同时确保长期安全性？
• RQ4 该方案在实际应用中的性能表现如何？与现有基于码的签名方案相比有何差异？
• RQ5 通过仔细选择参数和掩码技术，能否有效缓解统计侧信道分析？

主要发现

• 该方案在嵌入式硬件上实现了约每秒60,000个签名的生成吞吐量，使其成为公开文献中速度最快的基于码的签名方案之一。
• 作者推导出统计攻击中位可区分性的闭式表达式，从而能够精确估算密钥恢复的成功率。
• 通过分析经典和量子攻击的复杂度，本文提出了新的参数集，可实现128位经典安全和128位后量子安全级别。
• 通过增加签名数量 $L$ 并仔细选择 $w_L$、$w_c$ 和码参数，成功统计密钥恢复的概率显著降低。
• LEDAsig的参考实现已公开发布，支持可复现的性能基准测试和进一步研究。
• 分析表明，使用受控权重 $w_c$ 的随机码字 $c$ 能够有效掩码秘密结构，防止在多个签名间泄露统计信息。