[论文解读] The Digital Signature Scheme MQQ-SIG

Danilo Gligoroski, Svein J. Knapskog+5 more|arXiv (Cornell University)|Oct 15, 2010

Cryptography and Residue Arithmetic被引用 4

一句话总结

MQQ-SIG 是一种基于双 quasigroup 字符串变换和布尔域上二次多项式的多变量公钥数字签名方案，旨在实现高速签名并生成紧凑签名。其软件实现中签名速度最高可达 RSA/ECC 的 5,000 倍，硬件实现中可达 10,000 倍，同时在 n = 160、192、224 或 256 位时保持约 2^(n/2) 的安全级别。

ABSTRACT

This document contains the Intellectual Property Statement and the technical description of the MQQ-SIG - a new public key digital signature scheme. The complete scientific publication covering the design rationale and the security analysis will be given in a separate publication. MQQ-SIG consists of $n - \frac{n}{4}$ quadratic polynomials with $n$ Boolean variables where n=160, 196, 224 or 256.

研究动机与目标

• 设计一种适用于智能卡和 RFID 系统等资源受限环境的快速、高效数字签名方案。
• 在保持强安全保证的前提下，实现在软件和硬件实现中的高性能。
• 提供恰好 n 位（160–256 位）的紧凑签名大小，且不产生消息扩展。
• 通过提供免版税、开放的实现许可，确保实际部署可行性。
• 利用 quasigroup 字符串变换和双射多变量二次映射，实现高效签名与验证。

提出的方法

• 该方案通过在输入向量的 8 位块上使用 quasigroup 字符串变换，定义了一个双射多变量二次映射 P′。
• 对 P′ 的输出应用非奇异线性变换 S 和仿射变换 S′，将公钥表示为 n−n/4 个二次多项式的截断系统。
• 私钥由两个置换 σ₁ 和 σ_K，以及一个定义在 8 位元素上的 81 字节 quasigroup * 组成。
• 签名过程包括将消息哈希为 n 位，应用逆变换 S⁻¹ 和逆 quasigroup 运算，然后恢复签名向量。
• 公钥通过组合私钥变换生成：P = S ∘ P′ ∘ S′，仅暴露前 n−n/4 个分量。
• 通过使用基于旋转的置换和拉丁矩形约束，确保矩阵 S⁻¹ 的可逆性和安全性。

实验结果

研究问题

• RQ1 能否设计一种多变量二次签名方案，在硬件中实现亚毫秒级签名性能的同时保持强安全性？
• RQ2 如何利用 quasigroup 字符串变换在布尔向量上构建双射且可高效求逆的映射？
• RQ3 在多变量公钥密码学中，签名大小、密钥大小和签名速度之间的最优权衡是什么？
• RQ4 该方案能否以极小的内存占用实现，适用于智能卡和 RFID 标签等嵌入式系统？
• RQ5 quasigroup 结构和置换设计对签名方案整体安全性与效率的影响如何？

主要发现

• MQQ-SIG 在软件中签名速度比 RSA 和 ECC 快 500 至 5,000 倍，硬件性能超过 RSA/ECC 的 10,000 倍。
• 该方案生成精确为 n 位（160、192、224 或 256 位）的紧凑签名，无消息扩展。
• 公钥大小为 0.75×n×(1 + n(n+1)/2) 位，范围从 n=160 时的 188 KB 到 n=256 时的 771 KB。
• 私钥存储大小为 2n + 81 字节，其中 n=160 时为 401 字节，n=256 时为 593 字节。
• 该方案的推测安全级别为 2^(n/2)，基于在 GF(2) 上求解多变量二次方程的困难性。
• 使用 quasigroup 字符串变换和基于旋转的置换，实现了高效、可逆且紧凑的密钥生成与签名过程。