无主陷门后量子多权威认证：基于用户本地格能力聚合的协议构建与安全分析

《Future Pharmacology》：Master-Trapdoor-Free Post-Quantum Multi-Authority Authentication via User-Local Lattice Capability Aggregation

　　

摘要专业翻译 跨组织认证通常需要来自多个权威机构颁发的凭证。研究人员构建了一种基于格的协议，该协议允许独立颁发的能力与经可信用户注册机构认证的周期性假名绑定，并在本地聚合成单一证明。系统设置无需系统级格主陷门，也无需跨权威联合格秘密。在权威机构之间重新划分固定见证（witness）可保持聚合关系与证明维度不变。研究人员证明了理想协议在诚实颁发、认证签名安全性、标准模容错学习（Module-LWE）以及齐次模短整数解（Module-SIS）假设下的固定见证选择性不可伪造性。该证明使用经典随机预言机（ROM）、可编程可扩展输出函数（XOF）、整数范数证书以及具有量化误差的参考采样器。一个C++17研究原型在23种配置下进行了评估。其78,522字节的令牌在33个属性时小于逐属性模块格数字签名算法（ML-DSA）-44参考值，在64个属性时小49.51%。在64个属性和64个权威机构设置下，在线签名与预制备验证分别耗时56.038毫秒和8.729毫秒。完整本地冷签名耗时370.050毫秒，64个能力的公共矩阵占用29.75兆字节（MiB）。聚合减少了较大见证下重复令牌的通信量，但以制备、公共状态存储以及相比ML-DSA参考值更高的实测计算为代价。

论文解读文章

一、研究背景与问题

在跨组织访问控制场景中，访问决策往往依赖于不同管理域颁发的凭证。例如，医院可能认证专业角色，而设备管理服务认证平台状态。零信任架构要求针对受保护资源和操作同时检查这些条件，用户必须证明所选凭证有效且归属于同一注册主体。属性基签名（ABS）能够证明签名者的属性满足某一策略，多权威及层级变体将凭证颁发分散到多个权威机构，格基构造则提供后量子替代方案。然而，现有方案存在若干关键局限：部分构造需要系统级格主陷门或跨权威联合格秘密，这引入了集中信任点；部分多权威扩展仅支持同一权威内部的合取策略，无法实现跨权威合取聚合；部分方案依赖非交互零知识证明（NIZK）或复杂变换，增加了实现与安全分析的难度。此外，在多权威环境下，如何将不同权威独立颁发的凭证绑定到同一用户上下文，同时避免权威间共享秘密，仍是一个未解决的挑战。

二、研究内容与结论

针对上述问题，研究人员构建了一种多权威认证协议，其核心特征包括：独立格能力颁发、周期性同用户绑定、用户本地聚合以及无系统级主陷门。协议中，分布式用户注册机构（DUR）在注册时认证真实世界主体并分配高熵周期性假名，各属性权威机构（AA）在各自命名空间内独立颁发用户特定属性能力。用户选择满足策略的见证，在本地聚合所选秘密能力，生成单一新鲜证明。权威机构独立颁发且不参与个别认证请求。研究人员证明了权威划分不变性（Authority-Partition Invariance）：对于固定见证和参数配置，当能力在颁发者之间重新划分时，聚合关系与证明维度保持不变。安全性方面，研究人员证明了固定见证选择性不可伪造性，该证明基于标准模容错学习（Module-LWE）不可区分性、齐次模短整数解（Module-SIS）困难性以及ML-DSA认证层的多用户选择消息攻击下存在性不可伪造性（EUF-CMA）。证明使用经典随机预言机模型（ROM）、可编程随机XOF、整数范数证书以及基于Gentry–Peikert–Vaikuntanathan（GPV）采样和lower–diagonal–lower-transpose（LDL）分解的参考采样器。

实验评估在Windows 11 x64平台、Intel Core i9-14900HX处理器上进行，使用C++17原型和MSVC 19.44编译器，ML-DSA库为mldsa-native v2.0.0。研究涵盖23种配置，代表20个不同的选定属性/权威数量对。结果表明，所提协议令牌为78,522字节，在33个属性时小于逐属性ML-DSA-44参考值，在64个属性时小49.51%。在64个属性和64个权威机构下，在线签名耗时56.038毫秒，预制备验证耗时8.729毫秒，完整本地冷签名耗时370.050毫秒，64个能力的公共矩阵占用29.75 MiB。该协议的意义在于：无需系统级格主陷门或跨权威联合秘密即可实现多权威后量子认证；权威划分不变性保证了聚合关系的稳定性；聚合机制在较大见证下显著减少重复令牌通信量。

三、关键技术与方法

研究人员采用的主要技术方法包括：基于Module-LWE和Module-SIS的格基密码构造，利用公开系统矩阵和gadget矩阵实现短原像采样接口；基于GPV采样和LDL/Schur扰动采样的参考采样器，用于生成满足高斯宽度条件的预像分布；基于FIPS 204标准化的ML-DSA实现DUR和AA认证签名，使用二进制Merkle树摊销颁发者认证；基于SHAKE256的可编程随机XOF用于公共矩阵扩展和新鲜请求哈希；整数范数证书用于认证参考采样器所需的谱界条件；选择性安全证明采用混合论证，包括认证状态与门控移除、统一模拟、目标叶Module-LWE混合以及固定见证Module-SIS端点。实验评估使用C++17原型，在23种配置下测量令牌大小、在线认证成本、权威划分效应、冷启动成本和刷新成本。

四、研究结果

协议构造与权威划分不变性。 协议遵循设置、注册、颁发、签名、验证的标准流程。全局公共设置仅输出公共值，不生成格主陷门。各AA独立运行FIPS-204密钥生成，DUR独立运行注册密钥生成。用户注册后获得周期性假名，各AA为用户颁发绑定该假名的属性能力。签名阶段，用户选择满足策略的规范见证，在本地聚合所选能力，生成新鲜证明。验证阶段，验证者解析令牌、检查新鲜性、重建聚合根并验证格关系。研究人员证明了本地聚合正确性引理、权威划分不变性引理、根gadget陷门恒等式引理以及诚实清单一致性引理，并在此基础上证明了条件性协议正确性定理。

选择性安全分析。 研究人员定义了选择性实验和能力暴露规则，对手在设置前固定用户标签、周期、策略和能力出现。理想工作流包含至多一个独立采样能力池，无基于制备结果的重新采样。参考采样器采用扰动与gadget结构，通过整数范数证书验证谱界条件。安全定理给出了显式损失表达式，包括对象解析损失、设置编程损失、门控拒绝界、模拟截断界和有限精度标量误差。证明通过认证状态与门控移除、统一模拟、目标叶混合和固定见证Module-SIS端点四个步骤完成。

参数选择与安全诊断。 主配置文件使用见证上限，基础环和短秘密分布决定标准模Module-LWE实例，其约化调整量子攻击成本诊断约为141.1比特，齐次SIS诊断约为168.6比特。令牌包含系统、参数和清单标识符、签名者盐值和证明，总大小为78,522字节。

性能评估。 令牌大小实验表明，所提协议令牌在33个属性时出现交叉点，在64个属性时比逐属性参考小49.51%。公共状态存储随颁发能力数量增长，64个能力的矩阵占用29.75 MiB。在线认证成本实验中，在线签名在64属性和64权威下耗时56.038毫秒，预制备验证耗时8.729毫秒。权威划分效应实验验证了固定64能力见证在七种权威划分下产生相同聚合公共根。冷启动成本实验中，冷制备耗时311.671毫秒，冷签名耗时370.050毫秒，纯验证者制备耗时176.041毫秒。刷新成本实验中，状态和根刷新分别需要新的认证对象，重用模型显示在重用次数为1、10和100时，签名者成本分别为370.461、89.958和61.907毫秒/请求。

五、讨论与结论

讨论部分指出，独立权威可以颁发用户可本地聚合的格能力，周期性DUR绑定保持所选凭证在同一用户上下文中，权威划分不变性固定了跨颁发者划分的根关系。聚合在较大见证下节省令牌字节，但增加了计算和存储。DUR仍受信任用于周期性身份绑定，颁发者知晓其颁发能力，验证者可见见证、假名、颁发者上下文和当前凭证状态。周期性假名将真实身份映射保留在DUR侧，但允许周期内请求链接。过期限制凭证生命周期，即时撤销需要额外的认证当前周期撤销状态机制。时序实现使用有限支撑FFT/Genise–Micciancio采样和可复现mt19937_64流，其分布和算术误差及常数时间行为尚未量化，因此参考界不适用于该实现。部署需要密码学随机性、验证的采样器转移界以及持久原子颁发和别名跟踪。

结论部分指出，研究人员构建了一种多权威认证协议，具有独立颁发的格能力、周期性同用户绑定和用户本地聚合。公共设置无需系统级格主陷门或跨权威联合格秘密。权威划分不变性在颁发者划分间保持聚合关系。确定性范数证书和有界参考采样器支持诚实颁发和所述经典预言机假设下的选择性不可伪造性证明。C++17原型产生78,522字节令牌，在64个属性时比逐属性ML-DSA参考小49.51%。在64个权威下，在线签名耗时56.038毫秒，预制备验证耗时8.729毫秒，完整本地冷签名耗时370.050毫秒，公共能力矩阵占用29.75 MiB。该构造以制备、存储和计算换取较大见证下更小的重复令牌，其实际使用取决于凭证状态重用和安全合格的采样实现。