基于格的前向安全签名方案

几种数字签名方案简介1、RSA数字签名方案RSA是最早公钥密码算法之一，由Ron Rivest、Adi Shamir和Leonard Adleman于1978年发明。

RSA数字签名方案基于大数分解难题，其安全性与RSA问题紧密相关。

在RSA数字签名方案中，发送方使用私钥对消息进行签名，接收方使用公钥验证签名。

2、DSA数字签名方案DSA数字签名算法由美国国家标准与技术研究院(NIST)提出，并被采纳为联邦数据处理标准(FIPS)。

DSA数字签名方案基于离散对数难题，其安全性主要依赖于有限域上的离散对数问题。

DSA算法相较于RSA 算法，具有签名长度短、速度快以及抗量子攻击等优点。

3、ECDSA数字签名方案ECDSA是椭圆曲线数字签名算法，其基于椭圆曲线密码学，是在有限域上的椭圆曲线离散对数问题的基础上构建的。

ECDSA数字签名方案相较于RSA和DSA算法，具有更高的安全性和更低的计算开销。

因为椭圆曲线密码学具有较高的安全性和较低的计算复杂性，所以ECDSA 被广泛应用于比特币等加密货币中。

4、EdDSA数字签名方案EdDSA数字签名算法是对标DSA的抗量子攻击算法，由欧洲电信标准化协会(ETSI)提出。

EdDSA使用的是Schnorr签名算法的一种变体，具有较高的安全性和抗量子攻击能力。

此外，EdDSA算法还具有速度快、签名长度短等优点。

以上几种数字签名方案都是目前广泛应用的算法，每种方案都有其特定的应用场景和优缺点。

在实际应用中，我们需要根据具体需求选择合适的数字签名算法以保证信息的安全性和完整性。

随着互联网的快速发展，数字签名方案在信息安全领域变得越来越重要。

数字签名方案用于验证信息的完整性、真实性和不可抵赖性，广泛应用于电子政务、电子商务和网络安全等领域。

无证书数字签名方案作为一种新兴的数字签名技术，因无需证书颁发机构颁发证书，具有降低成本、提高效率等优点，逐渐受到广泛。

本文将对几种无证书数字签名方案进行介绍，并对其安全性进行分析及改进。

基于格的密码学
基于格的密码学是一种新型的密码学技术，它利用数学中的格结构进行密码学算法设
计和安全性分析。

格是一个数学结构，具有特定的代数结构和几何结构，如向量空间、内
积空间、正交格等。

基于格的密码学主要有三个方向：基于格的加密、基于格的签名和基
于格的身份认证。

在基于格的加密方向中，最有代表性的是基于格的全同态加密体制，比如Gentry的FHE方案。

该方案具有强大的计算能力，可以实现对密文数据的加法和乘法操作，能够支
持云计算等计算密集型应用。

但是，由于该方案的密钥大小较大，加密和解密的效率较低，限制了其在实际应用中的应用范围。

在基于格的签名方向中，最具有代表性的是基于格的短签名体制，比如
Boneh-Lynn-Shacham的BLS方案。

该方案签名长度较短，具有高效性和安全性，可以被广泛应用于物联网等场景中。

但是，该方案的安全性必须建立在困难格问题的假设上，因此
其在安全性方面仍需进一步验证。

基于格的密码学技术具有很强的应用潜力，在云计算、物联网、安全多方计算等领域
具有重要的应用前景。

未来的研究方向包括加强方案的安全性、提高效率、扩大应用范围等。

浅析数字签名及其应用数字签名及其应用随着信息技术的快速发展，网络安全问题日益凸显。

数字签名作为一种重要的网络安全技术，在保障数据安全、防止欺诈和伪造方面具有重要作用。

本文将详细介绍数字签名的定义、应用、技术原理及其实际意义，并展望数字签名的未来发展。

一、数字签名的定义和应用数字签名是一种通过密码学技术，将签名与文档或消息绑定在一起的方式，以验证文档或消息的完整性和真实性。

数字签名的主要应用包括：1、电子商务：在电子商务领域，数字签名可用于确认订单、合同等文件的真实性和完整性，防止交易欺诈。

2、政务管理：数字签名可用于电子政务中，确保公文、合同等文件的不可篡改性和真实性，提高政务效率。

3、金融保险：在金融保险行业，数字签名可用于电子保单、电子支付等业务，提高交易安全性。

二、数字签名的技术原理数字签名的实现主要基于公钥加密技术和数字证书。

公钥加密技术采用一对密钥，一个用于加密，另一个用于解密。

数字证书则是由权威机构颁发的一种电子文件，包含证书持有人的公钥和其他相关信息。

数字签名的基本流程如下：1、发送方使用自己的私钥对消息进行加密，生成数字签名。

2、发送方将数字签名与消息一起发送给接收方。

3、接收方使用发送方的公钥对数字签名进行解密，验证消息的完整性和真实性。

三、数字签名的实际意义数字签名具有以下实际意义：1、提高安全性：数字签名采用密码学技术，防止消息被篡改或伪造，提高交易安全性。

2、降低交易成本：数字签名可以减少纸质文档的使用，降低交易成本。

3、提高效率：数字签名可以加快交易速度，提高工作效率。

四、数字签名的未来发展随着技术的不断进步，数字签名将会有更多的应用场景和挑战。

未来，数字签名可能会面临以下几个方面的变化：1、标准化的推进：随着数字签名技术的广泛应用，标准化将会成为未来的一个发展方向。

例如，各国可能会推出更多的数字签名标准，以规范市场秩序，提高互操作性。

2、技术的升级换代：随着密码学和公钥基础设施（PKI）技术的发展，数字签名技术也将会不断升级换代，以提供更高的安全性、灵活性和易用性。

一种基于格的高效签密方案的分析与设计郑晓;王茜;鲁龙【摘要】Signcryption is a cryptographic primitive that performs simultaneously both the functions of digital signature and public-key encryption, at a cost significantly lower than that required by the traditional signature-then-encryption approach. Designs an efficient signcryption scheme that can send a message of length L one time. Proves that the proposed scheme has the indistinguishability against adaptive cho-sen ciphertext attacks under the learning with errors assumption and strong unforgeability against adaptive chosen messages attacks under the inhomogeneous small integer solution assumption inthe random oracle model. Compared with the schemes based on factoring or dis-crete log, the public and secret keys of the scheme are large, but it requires only linear operation on small integers.%签密是同时执行数字签名和公共密钥加密两种功能的一个加密原语，所需成本比通过传统的先签名后加密的方法低。

WPS Office 安全整合方案北京金山软件有限公司2010-5目录1 WPS Office产品兼容功能及安全特性介绍 (3)1.1 背景情况 (3)1.2 WPS兼容微软Office的功能介绍 (3)1.3 WPS Office高级安全功能介绍 (7)1.3.1 概述 (7)1.3.2 WPS Office安全接口功能定位 (8)1.3.3 WPS Office高级API功能特性介绍 (8)1.3.4 使用WPS高级API接口的典型用户——广东联通 (10)2 WPS Office安全应用解决方案——金格电子印章系统 (11)2.1 目标 (11)2.2 适应需求 (11)2.3 解决方案介绍 (11)2.4 系统功能设计 (12)2.4.1 签章服务器设计 (12)2.4.2 WPS Office文档签章设计 (13)1WPS Office产品兼容功能及安全特性介绍1.1 背景情况WPS Office 是最好的国产Office产品。

金山公司20多年来一直致力于WPS 桌面Office软件产品的研发，WPS Office是目前全球范围内最近接微软Office 的办公软件产品。

目前的WPS Office 2009，已经全面实现兼容微软Office 2003文件格式和操作习惯，并且兼容程度高、速度快、体积小、自动进行互联网在线升级，包括在二次开发API接口的对象模型方面，也与微软Office完全一致，能快速实现和企业OA等业务系统整合，能够很好的满足各类企业日常办公需求。

这种深度兼容的特性给用户带来了极大的方便，也为WPS产品的快速拓展典型了坚实的技术基础。

WPS Office具有100%的自主知识产权，无论在文档格式还是在功能操作方面与微软Office兼容度非常高，同时该产品还能提供本土化的服务，因此具有极高的性价比优势，在企业正版化应用方面已经成为微软Office的最佳替换产品。

1.2 WPS兼容微软Office的功能介绍双向精确兼容——历史数据尽呈现为满足用户对于微软Office文件的兼容需要，WPS Office 2009重新架构、重写引擎，在文字排版、表格计算、演示动画三大核心上做到底层兼容、“引擎”级兼容，彻底解决了一批技术难题，成果显著。

doi：10.3969/j.issn.1671-1122.2021.03.005标准模型下基于格的身份代理部分盲签名方案周艺华，董松寿，杨宇光（北京工业大学信息学部，北京 100124）摘 要：基于格的身份代理盲签名被广泛用于电子商务、电子政务以及软件安全等领域。

针对基于格的代理盲签名中存在的主密钥泄露、恶意用户攻击、签名伪造等问题，文章提出一种标准模型下基于格的身份代理部分盲签名方案。

该方案采用矩阵级联技术构造签名公钥，解决了已有方案中的主密钥泄露问题；采用部分盲签名技术解决了全盲签名方案中恶意用户攻击问题。

安全性分析表明，该方案不仅可以实现代理签名和盲签名的功能，还具有抵抗主密钥泄露攻击、抵抗恶意用户攻击以及自适应选择消息攻击条件下存在不可伪造性（EUF-CMA）等安全特性。

关键词：盲签名；代理签名；格；漏洞；抗量子中图分类号：TP309 文献标志码： A 文章编号：1671-1122（2021）03-0037-07中文引用格式：周艺华，董松寿，杨宇光.标准模型下基于格的身份代理部分盲签名方案[J].信息网络安全，2021，21（3）：37-43.英文引用格式：ZHOU Yihua, DONG Songshou, YANG Yuguang. A Lattice-based Identity-based Proxy Partially Blind Signature Scheme in the Standard Model[J]. Netinfo Security, 2021, 21(3): 37-43.A Lattice-based Identity-based Proxy Partially Blind SignatureScheme in the Standard ModelZHOU Yihua, DONG Songshou, YANG Yuguang(Faculty of Information Technology, Beijing University of Technology, Beijing 100124, China)Abstract: A lattice-based identity-based proxy partially blind signature scheme is widely used in E-business, E-government, software security, and many applications. Considering theproblems of master key leakage, malicious user attack and signature forgery in lattice-basedproxy blind signature, a lattice-based identity-based proxy partially blind signature schemeunder the standard model is proposed, which constructs the public key of signature by usingmatrix cascade technology rather than matrix multiplication technology. It solves the problemof master key leakage in the existing schemes, and uses partial blind signature technology tosolve the problem of malicious user attack in the fully-blind signature scheme. The analysisof security shows that the scheme not only realizes the functions of proxy signature and blindsignature, but also contains some security features such as preventing the disclosure of themaster private key, resisting the attacks from malicious user and existential unforgeabilityunder adaptive chosen message attacks(EUF-CMA).Key words: blind signature; proxy signature; lattice; vulnerability; anti-quantum基金项目：国家自然科学基金[62071015]作者简介：周艺华（1969—），男，北京，副教授，博士，主要研究方向为网络与信息安全、多媒体信息检索与内容安全、密码学；董松寿（1996—），男，河南，硕士研究生，主要研究方向为抗量子密码；杨宇光（1976—），女，北京，教授，博士，主要研究方向为信息安全。

NIST抗量子密码标准候选算法中基于格的公钥加密与密钥封
装机制介绍
向斌武;张江;邓燚
【期刊名称】《密码学报》
【年(卷),期】2023(10)1
【摘要】基于格的后量子密码方案在安全性、密钥尺寸和运算速度等方面相较于其他方案都有一定优势,被认为是最有潜力的后量子密码方案.本文综述了美国国家标准技术研究所发起的后量子密码竞赛中所有基于格的公钥加密方案与密钥封装机制,从方法论以及困难性假设的角度进行分类,详细介绍了各自的设计思路与细节.针对重点算法KYBER、SABER、FrodoKEM、LAC、NewHope以及基于NTRU的算法,从底层设计、参数选择、性能对比等方面进行全面比较.总结了竞赛最新进展并分析了目前设计方案需要注意的问题,介绍了未来后量子密码方案设计潜在的发展方向.
【总页数】26页(P20-45)
【作者】向斌武;张江;邓燚
【作者单位】密码科学技术全国重点实验室;中国科学院信息工程研究所信息安全国家重点实验室;中国科学院大学网络空间安全学院
【正文语种】中文
【中图分类】TP309.7
【相关文献】
1.NIST 候选标准物质RM 2703 中多元素取样行为的中子活化分析
2.对一种基于公钥加密算法的组密钥管理方案的密码分析
3.标准模型下高效安全的基于证书密钥封装机制
4.公钥加密算法与抗量子密码体制安全性的数学分析
5.基于格陷门的高效密钥封装算法
因版权原因，仅展示原文概要，查看原文内容请购买。

一个基于格的环签名方案的改进热娜·艾合买提;张娟;李伟;曾吉文【摘要】针对Wang等提出的基于格中困难问题的环签名方案不满足不可伪造性的问题,提出了一种改进的环签名方案.该方案在随机谕言模型下满足全密钥暴露下的匿名性和内部攻击下的不可伪造性.而且使用一种强陷门生成算法,保证了新的签名方案简单、高效且容易实施.【期刊名称】《厦门大学学报（自然科学版）》【年(卷),期】2018(057)002【总页数】5页(P238-242)【关键词】环签名;格;不可伪造;强陷门【作者】热娜·艾合买提;张娟;李伟;曾吉文【作者单位】厦门大学数学科学学院,福建厦门361005;新疆师范大学数学科学学院,新疆乌鲁木齐830054;厦门大学数学科学学院,福建厦门361005;厦门大学数学科学学院,福建厦门361005;厦门大学数学科学学院,福建厦门361005;新疆师范大学数学科学学院,新疆乌鲁木齐830054【正文语种】中文【中图分类】TP3092001年,Rivest等[1]在群签名的基础上提出了环签名.它是一种特殊的群签名,实现了签名者的完全匿名性，被广泛应用于网上投票、电子选举等领域.截止目前,大部分环签名方案本质上都是基于数学中的困难问题假设[2-4]，安全性很大程度上依赖于安全参数的选取[5]．并且,基于离散对数问题的签名无法抵抗量子攻击[6].因此,设计更加安全的环签名方案成为密码学发展的一个重要方向.一个n维格是Rn上的离散子群,基于格中困难问题(如最短向量问题等)的密码构造可以抵抗量子攻击.Ajtai等[5，7-9]证明了某些格中困难问题在一般情况和最坏情况下的困难性相当.因此,在基于格中困难问题的密码体制中,随机挑选实例[5]与最难实例的安全性相同.这个重要性质是大部分传统的密码体制所不具备的.而且,格中涉及的线性运算和模运算相比传统密码的指数运算速度快.许多人对基于格的环签名方案进行了研究[10-14].2010年,Cash 等[10] 提出了格基派生技术来为用户产生公私钥,并设计了第一个基于格的环签名方案,但是此方案消息扩展较长,不利于实施.2011 年,Wang 等[11]提出一个新的环签名方案,并声称他们的方案可以满足全密钥暴露下的匿名性和内部攻击下的不可伪造性.然而，该方案在内部攻击条件下不满足不可伪造性.本研究改进了Wang的方案：新方案在随机谕言模型下,可以满足全密钥暴露下的匿名性和内部攻击下的不可伪造性；并且使用了Micciancio等[15]提出的一种新的陷门生成算法.由于这种新的陷门生成算法在计算方面简单、有效、容易实施,因此本研究的签名方案和其他方案相比也更高效.1 预备知识本文中系统参数为n.对任意一个正整数k,[k] 表示集合{1,2，…，k}.设矩阵A=[a1，a2，…，am],其中ai表示矩阵A的第i 个列向量.‖a‖表示a的欧几里得范数，且‖a‖=maxx∈[m]‖ai‖.1.1 格(Lattice)一个格是Rn的离散子群,它由Rn中n个线性无关的向量生成,称其为基向量.设B=[b1,b2，…，bn]是n×n矩阵,由n个线性无关的基(列)向量b1,b2，…，bn组成．那么一个由B生成的n维格Λ定义如下:Λ=L(B)={Bc:c∈Zn}，这里B就是格Λ=L(B) 的一组基,设表示这组基的Gram-Schmidt正交化后的一组基在密码应用中,通常将格(基底)限制到Zn 上.本研究使用q模格,对q模格定义如下:对于一个奇偶校验矩阵是一些整数.Λ⊥(A)={e∈Zm:Ae=0 mod q}，其中n和q是正整数, 是一个零向量.下面定义一个Λ⊥(A)的陪集.对于一个校验值的陪集定义如下:也就是这里t是方程At≡u mod q的任一特解.对任何r>0,Rn上中心在c,偏差为r的高斯函数定义如下[8]:x∈Rn,ρr,c(x)=exp(-π‖x-c‖2/r2).对任意c∈Rn,r>0及n维格Λ,Λ上的离散高斯分布定义如下:x∈Λ,DΛ,r,c=ρr,c(x)/ρr,c(Λ)，其中ρr,c(Λ)=∑xΛρr,c(x)为固定值.1.2 格中困难问题假设本研究环签名方案的安全性依赖于格中SIS问题(small integer solution problem)、ISIS 问题(inhomogeneous small integer solution problem)的困难性,定义如下[5]:定义1 (SIS问题)设 q 是整数,β(n) 是一个关于安全参数 n 的有界函数,矩阵即元素来自Zq 中的n×m 矩阵,其中m=poly(n),SISq,β 问题是寻找一个非零向量v∈Zm使得Av=0;mod q成立且满足‖v‖≤β.定义2 (ISIS问题)设q是整数,β(n) 是一个关于安全参数 n 的有界函数,矩阵其中m=poly(n).向量问题是寻找一个非零向量v∈Zm使得Av=y mod q 成立且满足‖v‖≤β.1.3 格的基本算法本文中使用了Micciancio等[15]在2012年提出的一种新的陷门生成算法:定义3 设且m≥w≥n,A 的G-陷门是一个矩阵满足其中是一个可逆矩阵,则称H 是陷门的一个标签.通常,陷门的质量由它的最大奇异值s1(T)来测量.其中s1(T)=‖T‖.奇异值越小,陷门质量越好.为了简便起见,通常设H=I.陷门生成算法输出一个均匀随机矩阵作为奇偶校验矩阵及其G-陷门引理输入一个矩阵其中m-w≥1,可逆矩阵和某一分布Ψ,选择一个矩阵T∈Z(m-w)×w,T 的每一列向量服从分布Ψ,然后输出以及它对应的陷门T∈Z(m-w)×w,且有其中:1) GenTrap 使用了一个固定的本原矩阵它的列向量可以生成2) A的分布与均匀之间的统计距离可忽略.指的是定义域中取原像算法Sample D(A,T,H,u,s):在给定函数值时,可以利用陷门信息取样得到较短的原像[15].引理2 假设存在一个概率多项式时间算法Sample D(A,T,H,u,s),输入奇偶校验矩阵及其 G-陷门T∈Z(m-w)×w,一个可逆矩阵校验值通过线性方程可求得At=u mod q的一个特解t∈Zm,然后从分布DΛ⊥(A),s,-t中取样 e,输出 v=t+e.因此,输出向量 v 满足Av≡u mod q且1) Sample D使用了一个固定的本原矩阵它的列向量可以生成2) 向量v的分布与之间的统计距离可忽略.3) Sample D(A,T,u,s)指的是Sample D(A,T,I,u,s).陷门派生算法可以由矩阵的陷门得到扩充矩阵的陷门[15].引理3 DelTrap(A′,A,T,H′,s′)输入 A 的扩充阵作为奇偶校验矩阵,A及其G-陷门T,可逆矩阵利用A的陷门T可以从Λ⊥(A)的适当陪集上独立取样得到T′,使得AT′=H′G-A1成立,其中T′ 的列向量服从离散高斯分布.1) DelTrap 使用了一个固定的本原阵它的列向量可以生成2) T′的分布与离散高斯分布之间的统计距离可忽略.3) 随机变换A′的列向量不影响算法的实施.4) DelTrap(A′,A,T,s′)指的是DelTrap(A′,A,T,I,s′).2 环签名2.1 环签名的定义一个环签名由3个概率多项式时间算法[4]构成:KeyGen,Ringsign,Ringverify. 1) KeyGen(1n):输入安全参数 n,该算法为每个成员输出签名密钥ski 和验证密钥vki.2) Ringsign(ski,R,M):输入环 R,签名者的私钥ski,消息M∈{0,1}*,该算法输出环 R 对消息M的签名v.3) Ringverify(R,M,v):输入环 R,消息 M 及环签名v,如果签名合理,算法回答接受,否则拒绝.正确性:对所有的l∈N,所有的及任意的消息M∈{0,1}*,环R对消息M的签名是v,满足Ringverify(R,M,Ringsign(ski,R,M))=1,则环签名方案正确.2.2 环签名方案的匿名性一般的环签名方案抗全密钥暴露下的匿名性证明定义如下:假设攻击者A攻击环签名方案在全密钥暴露下的匿名性,挑战者C来响应A的攻击环境.通过挑战响应模式来进行如下游戏：C运行 KeyGen 算法l次生成公私钥对其中l是游戏的参数.C 将公钥发送给A,允许它进行私钥询问、签名询问.私钥询问的形式是一个指数i,挑战者C 将其私钥ski 返回给A.环签名询问的形式是(i.R,M),表示询问环R中成员i对消息M的签名,挑战者C 执行算法v← Ring-sign(ski,R,M),将v返回给A.最终A发出挑战(i0,i1,R*,M*)给C,表示环R*对消息M* 签名,i0,i1 是R*中的两个成员.C选择b*←{0,1},C执行算法得到v*← Ringsign(skib*,R*,M*),将v* 给A,最终A 输出它的猜测b′←{0,1}.如果b′=b*,则A赢得这个游戏.用表示A以大于 1/2 的概率赢得这个游戏,即如果是可忽略的,则环签名方案是匿名的.2.3 环签名方案的不可伪造性一般的环签名方案在内部攻击下不可伪造证明定义如下:敌手A对环签名方案内部攻击下的不可伪造性,挑战者 C 响应 A的攻击环境.通过挑战响应模式来进行如下游戏.C运行 KeyGen 算法l 次,生成公私钥对其中l 是游戏的参数.C 将公钥发送给A,允许它进行私钥询问、签名询问.询问形式同匿名性定义.最终A输出伪造签名(R*,M*,v*),如果R*中的成员都没有被询问过私钥,(R*,M*) 没有进行过签名询问且Ringverify(R*,M*,v*)=1,Accept,则A赢得这个游戏.A在上述游戏中取胜的优势定义如下：如果是可忽略的,那么环签名方案是不可伪造的．3 本研究提出的方案设n是一个安全参数,β是SIS问题中短向量的上界. 是一个本原矩阵,即它的列可以张成整个是公开的参数,其中H(·,·):{0,1}*×{0,1}m→{0,1}n.是一个安全的Bash函数.安全性分析时将视H(·,·)为一个随机器.为了方便起见,令其中的可逆矩阵H=I.1) KeyGen(1n):输入安全参数n,可信中心运行陷门生成算法为每个用户i选择一个随机矩阵Ti∈Z(m-w)×w,它的列向量服从分布Ψ,计算得到验证密钥vki=Ai及相应的签名密钥ski=Ti,(i=1,2，…，L).2) Ringsign(i,R,M):设R={1,2,…，L}表示环成员的集合,每个成员 i 的公钥下面用户i做如下工作对消息M∈{0,1}* 进行签名.(i) 设(ii) 利用算法DelTrap(AR,Ai,Ti,s′) 派生出AR 的陷门TR.(iii) 利用算法 Sample D(AR,TR,y) 取样得到v∈ZLm,显然满足ARv=y mod q. (iv) 最后输出用户i 对消息 M 的签名 v.3) Ringverify(R,v,M):给定一个环 R,消息 M,签名v,当下述两个条件满足时,验证者接受这个签名:(ii) ARv=H(R,M) mod q.否则,验证者不接受．正确性:环签名v的分布与统计距离可以忽略,满足ARv=H(R,M) modq且以压倒性的概率成立.因此本研究的环签名方案是正确的．3.1 全密钥暴露下的匿名性定理1 若将H(·,·)视为一个随机谕言模型,假设ISISq,lm是困难的,则本研究的环签名方案在全密钥暴露下是匿名的.证明假设存在一个自适应的敌手A攻击环签名方案在全密钥暴露下的匿名性,挑战者构造一个多项式时间算法C来响应 A的攻击环境.设A 的询问次数是qE.为了响应A 的询问,存储两个列表 H 和 K,他们在初始状态下都是空的.1) setup阶段:C运行算法 GenTrap qE 次,生成及相应的私钥Ti∈Z(m-w)×w,其中1≤i≤qE.C 将三元组〈i,Ai,Ti〉存储在列表K中,记R={1,2，…，qE},是这qE个成员组成的环．C将环R的公钥集合〈A1‖A2‖…AqE〉发送给A.2) 询问阶段:C分别回答A的hash询问、私钥询问及签名询问如下:其中Ri 表示环 R 的含有l个成员的任一子环,Mj为任一消息．(i) 对H(Ri,Mj)的Hash询问:C返回一个随机值给A,然后将〈Ri,Mj,yij〉存入列表H;(ii) Ri 中用户 i1 的私钥询问阶段:C查找列表K,返回Ti1 给A.(iii) 询问环Ri中的成员i1对消息Mj的签名〈i1,Ri,Mj〉:可以假设H(Ri,Mj)已经被A询问过了,C查询 H 列表〈Ri,Mj,yij〉得到yij,执行算法 Sample D 得到vij,并将vij返回给A.A发出挑战〈k0,k1,R*,M*〉,使环R*对消息M*签名,k0,k1是R*中的两个成员.C 选择b*←{0,1},检查列表H中元组〈R*,M*,y*〉,运行算法DelTrap得到AR* 的陷门TR*,然后计算挑战签名v*← Sample D(AR*,TR*,y*),将v* 给A,最终A输出它的猜测b′←{0,1}.从上述的模拟过程容易得出vk0和vk1分布与统计距离都可以忽略,因此两者之间统计距离也可忽略,也就是A猜测两者的概率相同,即猜测的优势是可忽略的.所以本研究的环签名方案在全密钥暴露下是匿名的.3.2 内部攻击下的不可伪造性定理2 若将H(·,·)视为一个随机谕言模型,假设 SISq,lm 是困难的,则本研究的环签名方案在内部攻击下是安全的.证明假设存在一个自适应的敌手A攻击环签名方案内部攻击下的不可伪造性,挑战者构造一个多项式时间算法C来模拟A的攻击环境,解决SIS问题.设询问次数是qE,A 和C 进行如下游戏.为了响应A的询问,C存储两个列表H和K,他们在初始状态下都是空的.1) setup阶段:C 选择l∈[qE],l是猜测的挑战环中成员个数.C 获取一个SIS 实例将这个n×lm 矩阵分块为 l 个n×m矩阵.记为 AR t=[A1*A2*…Al*],其中随机挑选ti∈[qE],i∈{1,2,…,l},记 Rt={t1,t2，…，tl},然后将SIS实例ARt的每个子块Ai*分别作为Rt中每个成员的公钥,即Ati=Ai*,对[qE]中除Rt 之外的其他成员(qE-l 个),C 运行算法GenTrap为它们生成公钥及相应的私钥Ti∈Z(m-w)×w,然后将〈i,Ai,Ti〉存储在列表 K 中,记R={1,2，…，qE},是这qE 个成员组成的环．C将环R的公钥集合〈A1‖A2‖…AqE〉发送给A.2) 询问阶段:C分别回答A的Hash询问、私钥询问及签名询问如下:其中Ri 表示环 R 的含有l个成员的任一子环,Mj为任一消息．(i) 对H(Ri,Mj)的Hash询问:C返回一个随机值eij←Zlm,服从高斯分布 DZlm,r,返回yij←ARteij mod q 给A,然后将(Ri,Mj,eij,yij) 存储在列表中 H.(ii) 对k私钥询问:如果k∉Rt,C在列表 K 中寻找〈k,Ak,Tk〉,然后将Tk返回给A.否则中止.(iii)询问环Ri中的成员i1对消息Mj的签名〈i1,Ri,Mj〉:可以假设H(Ri,Mj)已经被A询问,如果Ri=Rt,C 查找列表H(Ri,Mj,eij,yij),将eij返回给A.若Ri≠Rt,分两种情况:情况1:i1∈Ri-Rt,此时〈i1,Ai1,Ti1〉包含在列表K中,那么C 运行DelTrap算法获得ARi的陷门TRi←DelTrap(ARi,Ai1,Ti1),检查H列表中的(Ri,Mj,eij,yij),计算挑战签名vij←Sample D(ARi,TRi,yij),并将vij返回给A.情况2:i1∈Ri∩Rt,C寻找一个i2∈Ri-Rt,使得〈i2,Ai2,Ti2〉包含在列表K中,运行DelTrap算法获得ARi 的陷门TRi←DelTrap(ARi,Ai2,Ti2),C 重新在列表H中获得(Ri,Mj,eij,yij),然后计算挑战签名vij←Sample D(ARi,TRi,yij) 并将vij返回给A.3) 挑战阶段,A输出一个伪造〈i*,R*,M*,σ*〉,如果R*≠Rt,C失败,否则C 寻找列表H 中的〈R*,M*,e*,y*〉,然后输出v=σ*-e*,即为 SIS问题实例fARt 的解.分析:设敌手A输出一个合理的伪造的概率是ε,挑战者C成功解决SIS问题实例主要取决于私钥询问阶段和挑战阶段.(i)在私钥询问阶段,R中有l个成员的私钥是未知的,被询问到的概率为1/qE,因此询问成功即 i∉Rt,C 询问成功的概率是1-1/qE.(ii)在挑战阶段,R*=Rt,的概率为其中为组合数.因此,挑战者C成功解决SIS问题的概率至少为4 结论本文中提出的新的环签名方案在随机谕言模型下是可以满足全密钥暴露下的匿名性和内部攻击下的不可伪造性.而且使用一种强陷门生成算法,保证了新的签名方案简单、高效且容易实施.[1] RIVEST R,SHAMIR A,T AUMAN Y.How to leak a sercret[C]∥Proceedings of the ASIACRYPT 2001.Berlin:Springer-Verlag,2001:552-565.[2] ZENG S,JIANG S,QIN Z.An efficient conditionally anonymous ring signature in the random oracle model[J].Theoretical Computer Science,2012,461:106-114.[3] SHIM K A.An efficient ring signature scheme from pai-rings[J].Information Sciences,2015,300:63-69.[4] BENDER A,KATZ J,MORSELLI R.Ring signatures:stronger definitions,and construction without random oracles[J].Journal of Cryptology,2009,22(1):114-138.[5] AJTAI M.Generating hard instances of lattice problems (extended abstract)[C]∥STOC.Philadelphia:ACM,1996:99-108[6] SHOR P W.Polynomial-time algorithms from prime factorization and discrete logarithms on a quantum computer[J].SIAM Journal onComputing,1997,26(5):1484-1509.[7] DWORK C.A public-key cryptosystem with worst-case and/average-case equivalence[C]∥Proceeding of Twenty-ninth ACM Symposium on Theory of Computing.[S.l.]:ACM,1997:284-293.[8] MICCIANCIO D,ROSEN O.Worst-case to average-case reductions based on Gaussian measures[J].SIAM Journal on Computing,2007,37:267-302.[9] ALWEN J,PEIKERT C.Generating shorter bases for hard random lattices[J].Theory of Computing Systems,2011,48 (3):535-553.[10] CASH D,HOFHEINZ D,KILTZ D,et al.Bonsai trees,or how to delegate a lattices basis[J].Eurocrypt,2010,6110:523-552.[11] WANG J,SUN B.Ring signature schemes from lattice basis delegation[J].Lecture Notes in Computer Science,2011,7043:15-28. [12] NOH G,CHUNJ Y,JEONG I R.Strongly unforgeable ring signature scheme from lattices in the standard model[J].Journal of Applied Mathematics,2014(2014):1-12.[13] GENTRY C,PEIKERT C,VAIKUNTANATHAN V.Trapdoors for hard lattices and new cryptographic constructions[C]∥Proceedings of the 40th Annual ACM Symposium on the Theory ofcomputing(STOC′08).[S.l.]:ACM,2008:197-206.[14] MELCHOR C A,BETTAIEB S,BOYEN X,et al.Adapting Lyubashevsky′s signature schemes to ring signature setting[J].Progress in Cryptology,2013,7918:1-25.[15] MICCIANCIO D,PEIKERT C.Trapdoors forlattices:simpler,tighter,faster,smaller[J].Lecture Notes in Computer Science,2012,7237:700-718.。

基于格的若干密码方案的设计与分析基于格的若干密码方案的设计与分析摘要：密码方案的设计与分析一直是密码学领域的研究热点。

本文主要介绍了几种基于格的密码方案，并对其进行了深入分析，包括基于格的零知识证明、基于格的同态加密和基于格的身份认证方案。

通过对这些密码方案的设计与分析，我们可以发现基于格的密码方案在安全性和性能方面具有较好的优势。

关键词：基于格；密码方案；设计；分析；安全性1. 导言密码方案是保护信息安全的重要手段，密码学领域不断涌现出各种新的密码方案。

基于格的密码方案是近年来受到广泛关注的研究方向之一，其在解决一些传统密码方案存在的安全性和性能问题方面有一定优势。

本文将介绍几种基于格的密码方案，并对其进行设计与分析。

2. 基于格的零知识证明方案零知识证明是密码学领域中重要的概念之一，它允许证明者向验证者证明某个陈述的真实性，同时不泄露任何关于该陈述的额外信息。

基于格的零知识证明方案基于格的陷门函数和格上的离散对数难题，通过构造合适的零知识证明协议，实现了对陈述的真实性进行验证，同时保护了用户的隐私。

3. 基于格的同态加密方案同态加密是一种特殊的公钥加密方案，它允许在密文域内进行计算操作，且在解密后得到的结果与在明文域内进行相同的操作后所得到的结果一致。

基于格的同态加密方案利用格上的元素和格上的编码方法，实现了对密文进行加法和乘法操作，并可以在解密后得到正确的结果。

这种方案在云计算、数据隐私保护等领域有广泛应用。

4. 基于格的身份认证方案身份认证是信息系统中常用的一种安全机制，它通过验证用户的身份，防止未经授权的访问。

基于格的身份认证方案利用格上的一些特殊性质，如格上的零点问题和格上的幺元问题，设计了高安全性的身份认证协议。

该方案能够有效防止伪造攻击和重放攻击。

5. 分析与比较通过对比这几种基于格的密码方案，我们可以发现它们都具有较好的安全性和性能。

基于格的密码方案利用格上的数学结构和问题的复杂性，充分保护了用户的信息安全。

理想格上基于身份的环签名方案孙意如;梁向前;商玉芳【摘要】现有的签名方案大多是基于双线性对,但在量子计算环境下此类方案被证明是不安全的.格具有运算简单、困难问题难以破解等特点,为了抵抗量子攻击,基于格中标准的小整数解(SIS)困难假设,利用Ducas等提出的理想格技术(DUCAS L,MICCIANCIO D.Improved short lattice signatures in the standard model.Proceedings of the 34th Annual Cryptology Conference on Advances in Cryptology.Berlin:Springer,2014:335-352),构造了一种能够在标准模型下给出安全性证明的基于身份的环签名方案.该方案主要分为4个步骤:主密钥生成算法、签名私钥生成算法、签名算法和验证算法.输出的签名为单个向量.相比同类型格上的签名方案,在一定程度上缩减了公钥、签名私钥及签名的长度,提高了运算效率,适用于轻量级认证,算法的安全性也间接保证了电子商务和云计算等领域的安全性.【期刊名称】《计算机应用》【年(卷),期】2016(036)007【总页数】6页(P1861-1865,1880)【关键词】理想格;标准模型;基于身份;环签名;小整数解【作者】孙意如;梁向前;商玉芳【作者单位】山东科技大学数学与系统科学学院,山东青岛266590;山东科技大学数学与系统科学学院,山东青岛266590;山东科技大学数学与系统科学学院,山东青岛266590【正文语种】中文【中图分类】TP301.6;TP309.2作为加密体制与数字签名体制的结合物，基于身份的环签名方案是一项轻量级认证中的重要技术，在电子商务、云计算等领域有着较高的实际应用价值。

1991年，群签名的概念首次由Chaum等[1]提出，在群签名中，任一群成员均可代表所属群进行匿名签名，是一种可以对签名者进行模糊操作的签名方案，验证者只能检验签名是否出自此群，而不能确定该群中具体的签名者。

前向安全的环签名研究
隗云;鲍皖苏
【期刊名称】《计算机应用研究》
【年(卷),期】2008(025)001
【摘要】基于模合数平方根和因子分解问题的难解性,首次提出一个具有前向安全性的环签名方案,即使攻击者非法获取了用户当前签名密钥,也无法伪造之前的签名.【总页数】3页(P249-250,253)
【作者】隗云;鲍皖苏
【作者单位】解放军信息工程大学,电子技术学院,郑州,450004;解放军信息工程大学,电子技术学院,郑州,450004
【正文语种】中文
【中图分类】TP393.08
【相关文献】
1.格上基于身份的前向安全环签名方案 [J], 商玉芳;傅泽源
2.格上前向安全的环签名方案 [J], 王庆滨;陈少真;任炯炯
3.一种改进的前向安全环签名方案 [J], 黄明军;杜伟章
4.基于改进的可验证的强前向安全环签名方案研究 [J], 杨旭东
5.双线性配对的前向安全环签名方案 [J], 蔡庆华
因版权原因，仅展示原文概要，查看原文内容请购买。

1.置换密码又叫（C）A.代替密码B.替换密码C.换位密码D.序列密码2.泄露商用密码技术秘密、非法攻击商用密码或者利用商用密码从事危害国家的安全和利益的活动，情节严重，构成犯罪的，依法追究_____责任。

（ B）A.民事B.刑事C.刑事和民事D.保密3.下列密码体制是对Rabin方案的改进的是（B ）A.ECCB.WilliamsC.McElieceD.ELGamal4.希尔密码是由数学家（A）提出来的。

A.Lester HillB.Charles WheatstoneC.Lyon PlayfairD.Blaise de Vigenere5.下列几种加密方案是基于格理论的是（ D）A.ECCB.RSAC.AESD.Regev6.电子认证服务提供者应当妥善保存与认证相关的信息，信息保存期限至少为电子签名认证证书失效后_____。

（ A）A.五年B.十年C.十五年D.二十年7.实际安全性分为可证明安全性和（ C）A.加密安全性B.解密安全性C.计算安全性D.无条件安全性8.某文件标注“绝密★”，表示该文件保密期限为_____。

（A ）A.30年B.20年C.10年D.长期9.若Bob给Alice发送一封邮件，并想让Alice确信邮件是由Bob发出的，则Bob应该选用（ D）对邮件加密。

A.Alice的公钥B.Alice的私钥C.Bob的公钥D.Bob的私钥10.首次提出公钥密码体制的概念的著作是（B ）。

A.《破译者》B.《密码学新方向》C.《保密系统的通信理论》D.《学问的发展》11.利用椭圆曲线实现 ElGamal 密码体制，设椭圆曲线是 E11(1,6)，生成元 G=(2,7)，接收方 A的私钥钥 nA=7，公钥 PA= (7, 2)，发送方 B 欲发送消息 Pm=(10,9)，选择随机数 k=3，求密文 Cm=（ C）。

A.{ (2,3), (5, 2) }B. { (3,2), (6, 2) }C.{ (8,3), (10, 2) }D.{ (6,5), (2, 10) }12.计算和估计出破译密码系统的计算量下限，利用已有的最好方法破译它的所需要的代价超出了破译者的破译能力（如时间、空间、资金等资源），那么该密码系统的安全性是（B）。

基于标准格的层次全同态签名欧阳卫平;马春光;李增鹏;杜刚【摘要】为了支持任意电路上签名数据同态运算,本文利用陷门采样技术,基于与门和异或门构造了一个只受电路深度和安全参数影响的层次全同态签名方案.电路生成的新签名具有公开可验证性,新签名尺寸与电路尺寸以及原签名数据的尺寸无关.方案在标准模型下基于格上最短整数解困难问题可证安全.用户可以在不知道私钥的情况下进行指定签名集合中签名的层次全同态运算,已有的研究还主要集中在线性同态方案和多项式同态方案.%To construct a homomorphic scheme that supports the homomorphic computation of signatures in certain signature sets on arbitrary circuits, we used trapdoor sampling technology to construct a leveled fully homomorphic signature scheme based on the AND and XOR gates, which can support homomorphic computation on arbitrary cir-cuits. In addition, the size of the new signature is independent of the circuit size and initial signature sizes, but de-pends on the depth of the circuits and security parameters. We verified the security of this scheme using the random oracle model based on the difficulty of finding small integer solutions ( SIS) in lattices. Users can conduct leveled homomorphic computation on a designated signature set despite not knowing the secret key. Published research has also focused on linear and polynomial homomorphic schemes.【期刊名称】《哈尔滨工程大学学报》【年(卷),期】2017(038)005【总页数】5页(P766-770)【关键词】签名;层次全同态;格;不可伪造;任意电路;与门;异或门【作者】欧阳卫平;马春光;李增鹏;杜刚【作者单位】哈尔滨工程大学计算机科学与技术学院,黑龙江哈尔滨150001;哈尔滨工程大学教务处,黑龙江哈尔滨150001;哈尔滨工程大学计算机科学与技术学院,黑龙江哈尔滨150001;哈尔滨工程大学国家保密学院,黑龙江哈尔滨150001;哈尔滨工程大学计算机科学与技术学院,黑龙江哈尔滨150001;哈尔滨工程大学计算机科学与技术学院,黑龙江哈尔滨150001【正文语种】中文【中图分类】TP309近年来，随着云计算的发展，具有同态性质的认证技术如同态消息认证码、同态委托计算、同态签名等引起了大家的广泛关注。