关于优化类 Stern 签名方案的(不)安全性

Stern 签名方案是历史上重要的基于码的签名方案。该方案的一个关键优化是生成伪随机向量和置换而非随机向量，而且大多数基于 Stern 签名的方案都采用这一优化。然而，其安全性尚未得到proper分析，特别是当我们使用确定性承诺时。在本文中，我们研究了这一优化的安全性。我们首先指出，对于某些参数，存在一种利用这一优化的攻击，可在时间 $O(2^{\frac{\lambda}{2}})$ 内破解该方案，而声称的安全性仅为 $\lambda$ 位。这在 particular 影响了最近的 Quasi-cyclic Stern 签名方案 [BGMS22]。我们的第二个结果显示，这种攻击有一个有效的修复方法。通过向方案中添加一个 $salt \in \{0,1\}^{2\lambda}$，并稍微更改伪随机字符串的生成方式，我们证明不仅我们的攻击无法工作，而且对于任何攻击，该方案都保持 $\lambda$ 位的安全性，而且该修复仅将签名总大小增加 $2\lambda$ 位。我们将这种构造应用于 Stern 签名方案的其他优化，如使用 Lee 度量或使用 hash 树，并展示了这些优化如何改进 Stern 签名方案的签名长度。