system: [SYSTEM]

user: 3. 抗量子密码的最新进展 由于对抗量子计算密码的迫切需求，2006年，国际上致力于抗量子计算密码研究的学者在比利时召开了第一届国际抗量子密码学会议(PQCrypto 2006)，在这次会议上，各国学者提出了多种抗量子计算密码体制，其中以多变量公钥密码体制类居多，也提出了基于格的密码体制、基于纠错码的体制和基于Hash函数的签名方案。此后，在历届国际抗量子密码会议上都会有所改进、拓展和创新，初步形成了以多变量公钥密码体制、基于Hash函数的数字签名方案、基于编码的密码体制和基于格的密码为主的四大类抗量子密码体制。 2006年至今，国际抗量子密码会议分别在比利时、美国、德国、中国台湾、法国、加拿大、日本和荷兰陆续召开，这也直接导致了近十年来抗量子密码体制的飞跃式发展。从这八届国际抗量子密码年会可以看出，无论抗量子密码种类的增加，还是同一类抗量子密码的不断改进、优化、拓展直至成熟，都充分展示了抗量子密码的时代性和生命力。 从图1可以看出，在诸多的抗量子密码体制中，多变量公钥密码体制是当前抗量子密码领域研究的重点、热点，也是成果最多的密码体制，基于编码的密码体制仅次。图上还显示，在这四类之外的会议论文也占有一席之地，约14%的比重，这些成分是什么？我们后面会对这一部分进行分解和阐述。 3.1. 多变量密码体制 作为抗量子密码的最早成员之一，多变量公钥密码体制成为历届国际抗量子密码会议的主力和宠儿，每届会议论文集中多变量公钥密码体制相关的文章都有相当多的数量，如图2所示。 早期的多变量密码体制主要集中于基本理论的拓展、已知方案的安全性评估和常见的针对多变量体制的攻击方法。Jacques Stern通过对现行的多变量方案进行攻击来评估当前方案的安全性水平，结果也展示了这些方案并没有为量子时代的到来做好足够的准备 [ 13 ] 。Aline Gouget和Jacques Patarin讨论了概率性的多变量密码，在此基础上创建了很多新的签名方案，并揭示了概率性多变量密码对签名方案安全性水平有很好的提升 [ 14 ] 。2006年，Jintai Ding等人在提出了一种新的基本陷门，并且证明了它比MIA陷门方案快得多 [ 15 ] 。Christopher Wolf和Bart Preneel讨论了多变量二次系统的等价密钥，并且展示了这样一个结果：对于所有的基本类型的方案，如隐域方程(HFE)，不平衡油醋方案，阶梯三角方案等，通过采取合适的策略有可能做到减小私钥和公钥的密钥空间 [ 16 ] 。2008年，Anna Inn-Tung Chen等人在多变量密码体制实际规模的实例基础上，加入了自己的设计，证实了在面对已知最好的攻击时，这些实例也能保持方案本身的特性 [ 17 ] 。密码分析方面，2006年，Jintai Ding、Chia-Hsin Owen Chen等学者给出了高阶线性化方程攻击、Gröbner解算机和庄子算法等针对多变量密码的攻击算法 [ 18 ] [ 19 ] [ 20 ] 。2008年，Jintai Ding等人开发了一种新的2R转化方法和一些其他的新技术，用以找出一种原来有理方程的二维等价方 图1. 全八届国际抗量子会议各类抗量子密码体制分布 图2. 历届年会中多变量密码体制文章情况 程，从而彻底破坏多变量密码系统 [ 21 ] 。Mohamed Saied Emam Mohamed等在XL与突变XL方法的基础上提出了MXL2的改进突变策略，并用该方法求解GF(2)域上的多项式方程组，明显减小了矩阵的规模 [ 22 ] 。 2010年以来，学者们对多变量公钥密码体制的研究持续深入，主要研究层面集中在三个方面：一是对基本理论的深入改进优化，包括加密、签名与分析；Crystal Lee Clough等人对常规的平方加密机制进行加法修正，提出了Square+的构造设计 [ 23 ] ；Shigeo Tsujii提出了一种新的基于STS陷门的数字签名方案，很好地解决了STS方案的脆弱性，并且在Gröbner基攻击和排名攻击保持很好的安全性水平 [ 24 ] 。Chen-Mou Cheng等人提出了一种可以在多项式时间内解决多元二次方程(MQ)问题的扩展算法，并且通过与其他方案对比验证了算法的高效性 [ 25 ] 。二是对热点领域的重点攻关，比较有代表性的就是HFE，仅仅最近五次国际抗量子密码会议就有10篇文章围绕HFE及其变种展开。比如Taylor Daniels等人对HFE密码系统的不同特性进行探究，并给出了该系统面对差分攻击时保持安全的参数集合 [ 26 ] ；Jaiberth Porras等结合HFE和庄子算法提出了一种称为ZHFE的多变量公钥加密方案，展示了该方案在面对能威胁HFE方案的攻击面前是安全的 [ 27 ] ；Ray Perlner对Porras设计的ZHFE进行了安全性分析并给出了修改方案，在保留其安全性和性能的基础上对其密钥尺寸进行了优化 [ 28 ] ；Albrecht Petzoldt等提出了HMFEv签名方案，就存储和性能而言，该方案都比HFE族的其他方案更为有效 [ 29 ] 。三是进行全新的探索性尝试：Takanori Yasuda等人利用二次型构造了一个签名方案，既能抵抗中心映射的攻击，同时与Rainbow方案相比，效率有8~9倍的提升 [ 30 ] 。 近些年多变量公钥密码体制的最新成果当然远远不止上面展示的这些，但通过这些成果足以看出后量子时代多变量公钥密码体制的地位和意义，它的发展值得我们关注和期待。 3.2. 基于Hash函数的密码体制 当Hash函数能抗强碰撞时，基于这样的Hash函数的数字签名能有效抵抗一直量子计算算法的攻击。因而，基于Hash函数的数字签名方案理所当然地成为学者们抵御量子计算威胁的重要武器。尽管不像多变量公钥密码体制那般火热，基于Hash函数的数字签名方案仍然成为人们不断去钻研、不断取得突破的课题。 图3展示了历届国际抗量子密码会议中基于Hash函数的密码文章数目，五届年会论文集中都有基于Hash函数的数字签名出现。基于Hash函数的数字签名方案的文章主要集中在对Merkle签名方案(MSS)的研究探讨。2006年，Michael Szydlo回顾了Merkle树的创建，聚焦于使得Merkle树创建更加有效和实用的最新进展。2008年，Johannes Buchmann提供了一种基于Szydlo’s算法的新算法来计算Merkle数字签名机制中的认证路径，并且实验证明了，与同类最好方法相比，他们的新算法大大减少了最坏情况的运行时间 [ 31 ] 。Erik Dahmen等人对Merkle认证树提出了一种新的不再需要耐碰撞的Hash函数的结构，在所给的Hash函数抗二次原像时，由此产生的签名机制是不能伪造的，能产生更短的签名，并且能不被生日攻击和寻求碰撞算法的最新进展所影响 [ 32 ] 。2011年Johannes Buchmann等人在MSS的基础上提出了一种称为XMSS的数字签名方案，指出了它的签名大小比已知最好的可证明安全的基于Hash函数的数字签名的签名大小减少了至少25% [ 33 ] 。 在MSS的钻研之外，2016年，Ehsan Ebrahimi Targhi等人研究了为一个函数寻找碰撞的量子查询复杂度问题，这种函数的输出选择时根据最小熵为k的分布，他们通过计算得出了量子查询复杂度至少为Ω(2 k /9 )的结论 [ 34 ] 。 尽管基于Hash函数的数字签名方案成果并不很多，但考虑到近些年研究带来的提升使之越发高效和实用，在量子时代山雨欲来的境况之下，学者们对于基于Hash函数的数字签名的前景充满信心。 3.3. 基于编码的密码体制 基于编码的密码体制也是近年来成果辈出的领域，McEliece公钥密码体制及其改进版本等成为学者们最感兴趣的课题之一，各类基于编码的密码体制的安全性分析也成为近些年聚焦的热点。 图4展示了迄今为止8届国际抗量子密码年会中基于编码的密码体制的文章数。从图4可以看出， 图3. 历届年会中基于Hash函数的密码体制文章情况 图4. 历届年会中基于编码的密码体制文章情况 除了首届年会之外，之后每届抗量子密码年会都有至少4篇基于编码的密码体制的文章，充分展示了这一领域硕果累累。 基于编码的密码体制的文章绝大多数还是围绕着McEliece密码体制展开，其中既有McEliece密码方案的各类变种和修正，也有针对以McEliece密码体制为代表的基于编码的密码体制的多种攻击。密码体制方面，2008年，Daniel J. Bernstein等人提出了新的参数，使得McEliece和Niederreiter系统达到不被所有已知攻击攻破的安全水平，并且在满足同样安全条件下，使用新参数的系统公钥规模远小于使用之前参数的系统 [ 35 ] 。Bhaskar Biswas等人在他们的算法和参数选择基础上，提供了McEliece公钥加密机制的实施过程和完整描述，同时展示了密码分析的发展现状，并且证明了，与其他基于数论的公钥密码体制相比，他们的方案提速了至少5~10倍 [ 36 ] 。2011年，Stefan Heyse针对McEliece密码体制公钥大、非语义安全的缺点，提供了一个McEliece密码体制的实施方式——在嵌入式设备上实施，它在语义上是安全的，并同先前已发布的实现方案相比，它的公钥大小只有它们的1/40，私钥大小只有它们的1/5 [ 37 ] 。攻击方面，信息集译码成为攻击基于编码的密码体制的主要手段。2010年，Daniel J. Bernstein通过实验展示了量子信息集译码比非量子信息集译码要快得多 [ 38 ] 。Christiane Peters展示了Stern的信息集译码算法的一般化情形，用以解任意有限域上的线性编码和分析复杂度，这个结果使得计算最近提出的非二元域上的基于编码的系统的安全性成为可能 [ 39 ] 。Falko Strenzke提出了一种新的针对McEliece PKC的时间攻击，它能利用Patterson算法的脆弱性使攻击者通过时间侧信道收集密钥交换的信息，从而显著地减少暴力攻击密钥所需要的时间 [ 40 ] 。Stefan Heyse等人以McEliece方案在8 bit微处理器上的不同执行为基础，主要讨论了两种能量分析攻击，而这很可能是第一次对侧信道攻击进行实际评估 [ 41 ] 。2011年，Nicolas Sendrier考虑了攻击者可以利用很多密码系统但只能解码其中一个的情形，证明了如果攻击者能够获得无限数量的实例时，该攻击的复杂度将显著降低 [ 42 ] 。2013年，Grćgory Landais等人提出了一种对基于卷积码的McEliece密码变种的攻击，该攻击可以通过寻找公开码中的低重量码字成功攻击这种McEliece密码变种方案，解开卷积部分 [ 43 ] 。2016年，Aurćlie Phesso研究了Baldi等人提出的一种基于代码的签名方案，根据这个签名方案中一些比特的相关性提出了攻击方案，这种攻击方案能够恢复足够的基本密钥结构，从而伪造新的签名 [ 44 ] 。 除了对McEliece密码的探索，一些学者着眼于开辟新的基于编码的密码体制。2008年，Carlos Aguilar Melchor展示了从Stern的基于编码的认证机制到门限环签名的一般化过程，这种签名协议是第一个有效的基于编码的签名方案和第一个基于编码的门限环签名方案 [ 45 ] 。2011年，Paulo S.L.M. Barreto等人介绍了一种拟monoidic码，这种代码具有特殊的纠错能力，并且展示了基于这种代码的加密和签名方案如何实例化，同时给出了一些初步的参数 [ 46 ] 。2014年，Philippe Gaborit等人提出了一种称为RankSign的新的基于代码的数字签名方案，并且展示了如何使签名的不可伪造性归约为对公开矩阵的直接攻击，进而说明了这种签名方案没有信息泄露 [ 47 ] 。 基于编码的密码体制研究已经在不断深入，并将继续吸引着密码学专家们的广泛关注。随着其密钥尺寸的逐渐降低，加之其高安全性和高效率的优势，基于编码的密码体制势必在后量子时代大放异彩。 3.4. 基于格的密码体制 基于格的密码体制被广泛认为是量子计算最难攻破的密码。随着抗量子计算密码研究的不断深入，基于格的密码近年来也取得了飞速的发展和喜人的成果。 图5展示了八届国际抗量子密码会议中格密码的文章数量，可以看出，历届年会中都有关于格密码的文章，自2013年起格密码的研究成果明显增加。对于格密码的研究也呈现出几个特点：其一，基于格的加密和签名方案一直都是研究的重中之重，而且取得了相当不错的成果。2006年，Jeff Hoffstein等人回顾了NTRU加密和签名的算法，讨论了格密码算法的安全性现状，认为随着格密码算法和认证方面的不断进步，格密码势必会被学术界广泛接受和认可 [ 48 ] 。2008年，Johannes Buchmann等人在Ajtai的著名结果基础上，提出了一种维数增长的格基序列，这个格基序列有望成为SVP的困难实例，可以用来衡量格基规约算法 [ 49 ] 。2010年，Markus Rückert提出了“bonsai树”标准签名方案的一个变种，这种变种拥有标准方案相同的效率，但又支持更强的强不可伪造性的概念，并且提供了标准模型中第一个没有树的数字签名方案以支持后量子时代的强不可伪造性 [ 50 ] 。2013年，Slim Bettaieb等人对Cayrel等人 图5. 历届年会中基于格的密码体制文章情况 的基于格上的门限环签名方案进行改进，将CLRS方案进行推广从而得到一个更有效的门限环签名方案，该方案在保持安全性的前提下减小了签名的规模，是当时最有效的基于格的环签名方案和门限签名方案 [ 51 ] 。2017年，Charles Bouillaguet等人回顾了前人提出的环上带舍入的子集积(SPRING)被用作伪随机数生成器时的安全性和有效性，在此基础上提出了一个新的变种，这种变种与在计数模式中与没有硬件加速的AES相比也有竞争力，并且通过执行证明了该变种高端台式电脑上有很好的性能 [ 52 ] 。其二，对于格密码的攻击方案的研究越来越受关注。2013年，Thijs Laarhoven等人通过将Grover量子搜索算法应用到Micciancio等人的格算法中，得到了改进的可解决最短向量问题的渐近量子结果，证明了利用量子计算机可以在 2 1.799 n + o ( n ) 时间内发现最短向量 [ 53 ] 。2017年，Boru Gong等人提出了一种针对2015年欧密会上提出的认证密钥交换方案中的其中一个变种 Π 1 的有效攻击，这种攻击利用环的代数结构进行攻击，而受害者一方很难发现这种攻击 [ 54 ] 。Florian Göpfert等人提出了一种新的基于误差学习问题(LWE)的量子攻击，分析了这种攻击的运行时间复杂度，并且在所有可能的攻击参数选择下对它进行了优化，并且展示了他们的量子混合攻击较大地优于或至少与Albrecht等人在2015年展示的所有其他的攻击相当 [ 55 ] 。 不断增加的基于格的密码体制研究成果已经充分展示了这一领域所受到的关注，尽管格密码仍然处于发展阶段，但其强安全性基础仍然让业界对它充满兴趣和期待。 3.5. 其他抗量子密码体制 图1中显示，除了上面提到的四大类抗量子密码体制之外，还有14%的文章不在此列。这里除了一些量子计算算法的文章外，还有一些其他的抗量子密码体制，主要就是量子密码和基于同源的密码体制。海森堡测不准原理及单量子不可复制定理保证了量子密码理论上的绝对安全，Elham Kashefi等人提出的量子单向函数的候选 [ 56 ] 、Michele Mosca等人讨论的经典认证密钥交换框架下量子密钥分配 [ 57 ] 等成果都充分展示了量子密码在后量子时代仍然扮演着重要的角色。基于同源的密码体制则是抗量子密码的新成员，David Jao等人在椭圆曲线同源基础上提出了一个不可否认签名方案，并证明了在没有已知有效的量子算法的情况下，这类方案在一定合理的数论计算假设下是安全的 [ 58 ] 。Alexandre Gélin等人和Yan Bo Ti分别对超奇异同源密码系统的循环终止故障攻击和第一类故障攻击进行了讨论 [ 59 ] [ 60 ] 。 尽管目前主流的抗量子密码体制还是多变量公钥密码、基于Hash的密码、基于编码的密码和基于格的密码，但毫无疑问随着抗量子密码体制的深入研究，如基于同源的密码体制一样，新的抗量子密码体制一定会越来越多地登上后量子时代的舞台。