在量子随机预言机模型中评估 CRYSTALS-Dilithium 的安全性

随着量子计算硬件的最新进展，美国国家标准与技术研究院（NIST）正在标准化能够抵抗量子对手攻击的密码协议。NIST 选择的主要数字签名方案是 CRYSTALS-Dilithium。该方案的安全性基于三个计算问题的困难性：模带错学习（MLWE）、模短整数解（MSIS）和 SelfTargetMSIS。MLWE 和 MSIS 已得到充分研究并被广泛认为是安全的。然而，SelfTargetMSIS 是一个新问题，尽管其在经典情况下与 MSIS 一样困难，但其量子困难性尚不明确。在本文中，我们通过量子随机预言机模型（QROM）中从 MLWE 归约，首次证明了 SelfTargetMSIS 的困难性。我们的证明使用了最近在量子重编程和回绕方面开发的技术。我们方法的核心部分是证明一个源自 MSIS 问题的特定哈希函数是坍缩的（collapsing）。通过这种方法，我们推导出了在适当参数设置下 Dilithium 的新安全性证明。与 Kiltz、Lyubashevsky 和 Schaffner（EUROCRYPT 2018）之前的工作相比（该工作给出了 Dilithium 变体唯一的另一个严格安全性证明），我们的证明具有优势，即适用于条件 $q = 1 \mod 2n$，其中 $q$ 表示模数，$n$ 表示底层代数环的维数。该条件是原始 Dilithium 提案的一部分，对于方案的高效实现至关重要。我们在 $q = 1 \mod 2n$ 条件下提供了 Dilithium 的新安全参数集，发现我们的公钥大小和签名大小分别比 Kiltz 等人在相同安全级别下提出的参数大约 2.9 倍和 1.3 倍。