基于Falcon的PKG管理可认证身份绑定签名框架：可追溯性与经典随机预言机模型下的安全性

《Cybersecurity》：A PKG-managed authenticated identity-binding signature framework over Falcon with traceability

　　

Falcon是一种基于NTRU格的紧凑高效后量子签名方案，但其遵循传统公钥设置，不直接支持身份到密钥的绑定或签名者可追溯性。本文中，研究人员提出IBFS，一种基于Falcon的、由私钥生成器（PKG）管理且可认证身份绑定的签名框架。在IBFS中，可信PKG为注册用户派生Falcon兼容的NTRU签名密钥，并维护用户身份与公钥之间经认证的绑定。与纯基于身份签名不同，验证使用签名者身份以及经认证的公钥，该公钥需依据PKG管理仓库进行验证。该框架面向具有可信注册后端的管理型部署，包括物联网（IoT）与边缘系统。设备端评估关注服务器辅助环境下Android智能手机上的签名验证；其并不证明完整框架可在严格受限的IoT设备上运行。该构造保留Falcon式签名的效率优势，包括紧凑短向量签名与快速傅里叶变换（FFT）加速运算，并进一步引入确定性的、可由PKG解析的身份标签，使已验证签名能够解析到注册身份。研究人员在真实仓库绑定下建立正确性与身份解析一致性，但不声称对PKG的不可诬陷性。在安全性方面，研究人员显式给出管理型设置的信任边界，包括密钥托管、内部人攻陷、恶意追踪与仓库完整性。随后，研究人员在经典随机预言机模型（ROM）中给出安全性论证，以具体优势界将签名层的不可伪造性归约到判定性NTRU假设与非齐次NTRU短原像（NTRU-ISIS）假设，并结合密钥派生函数（KDF）的伪随机函数（PRF）安全性。该分析限于经典敌手，并不构成量子随机预言机模型（QROM）证明。因此，研究人员将IBFS定位为一种经典ROM构造，其安全性依赖上述基于NTRU的假设以及PKG管理绑定仓库的真实性。

研究背景方面，传统公钥基础设施（PKI）依赖数字证书认证用户与验证公钥之间的绑定，但在大规模或资源受限部署中，证书分发、验证、更新与撤销带来不可忽略的通信、存储和管理开销。基于身份密码（IBC）及基于身份签名（IBS）可减少证书依赖，但早期构造多依赖整数分解和离散对数，Shor量子算法使其不再具备后量子安全性。格基密码因计算效率、可归约到格困难问题等优势成为后量子签名主流方向。Falcon作为基于NTRU格的紧凑高效后量子签名方案，采用短向量签名和FFT加速运算，但仍遵循传统PKI模型，缺乏身份到密钥绑定和签名者可追溯性，这在IoT、边缘计算和区块链等需要按身份追溯签名者的场景中形成缺口。既有NTRU或结构化格IBS多传输多个格向量，签名尺寸与通信成本较大；部分方案依赖高维格或复杂拒绝采样，存在部署性能瓶颈；且现有构造未同时直接处理紧凑签名、PKG管理身份到密钥绑定和可审计追溯这一组合。因此，研究人员开展IBFS研究，面向具有可信注册后端的管理型部署，研究PKG管理的、经认证的身份绑定签名框架。

研究人员提出IBFS：可信PKG为注册身份派生Falcon兼容NTRU签名密钥并维护经认证的身份到验证公钥绑定；验证不采用纯IBS仅由身份派生密钥的方式，而是使用签名者身份和依据PKG管理仓库认证的公钥。构造保留Falcon式短向量签名、FFT加速多项式运算和压缩表示，并引入确定性、可由PKG解析的身份标签以将已验证签名解析到注册身份。研究人员在真实仓库绑定下建立正确性和身份解析一致性，明确不声称对PKG的不可诬陷性，并显式分析密钥托管、内部人攻陷、恶意追踪和仓库操纵等信任边界。安全上，在经典ROM中针对理想化签名层给出EU-CMA（自适应选择消息攻击下的存在性不可伪造）论证，将签名层不可伪造性以具体优势界归约到判定性NTRU、NTRU-ISIS及KDF的PRF安全性；分析仅限经典敌手，不构成QROM证明。其意义在于为需要集中注册、问责和审计的管理型IoT/边缘等环境提供可认证身份绑定与注册型追溯，同时清晰界定恶意PKG、非诬陷和完整实现安全性方面的限制。

方法关键技术（不超过250字）：采用Falcon兼容NTRU密钥生成，由KDF以主秘密、身份ID和注册随机数派生每身份种子，生成f_ID、g_ID并求解NTRU方程，构建格基B₀及LDL^*采样树；签名以H₀(m,salt,ID)哈希到点，经短向量采样得到(s₀,s₁)，执行范数检查并压缩s₁；验证重建s₀并检查范数；注册记录由独立Falcon密钥签名，Trace以身份标签查询认证仓库；安全归约在经典ROM中展开；实验在AMD EPYC服务器与HONOR X30 Android手机（Python/Termux、SSH隧道）评估验证，并用SQLite评估10万条目索引。无样本队列来源，设备平台为上述服务器和手机。

研究结果如下。正确性分析：通过定理证明，诚实生成的签名满足s₀+s₁h≡c mod q且范数不超过β，若压缩在可接受范围内无损，则验证通过；该论证不建立拒绝概率界或有限精度执行认证。认证记录下的正确性：在诚实注册记录和可信配置下，AuthBind返回(ID,h_ID)，结合核心正确性可使VerifyAuth接受成功生成的用户签名；不保证仓库可用性。安全分析：通过定义理想化实验G^ideal并在经典ROM中归约，得出理想化签名层EU-CMA优势界，涉及NTRU-ISIS、判定性NTRU、KDF的PRF安全性、盐碰撞项和无哈希伪造项；该界仅适用于理想化实验，不直接适用于编码重试实现或QROM。可追溯性与身份解析：Lemma 3表明诚实注册记录可用且由H₁(ID)唯一索引时，成功签名经Trace返回ID；Lemma 4表明在H₁抗碰撞和仓库认证绑定下，验证通过而Trace返回不同身份的概率可忽略；但不证明用户本人生成或授权签名，也不提供对恶意PKG的非诬陷性。注册记录认证：Lemma 5表明外部敌手使BadBind发生的概率不超过底层Falcon仓库签名的EUF-CMA优势；该机制认证记录签发，不提供最新状态、权威级非 equivocation，也不排除恶意PKG签发冲突记录。参数设置：IBFS-512对应NIST安全级别I，IBFS-1024对应级别V，均使用q=12289并复用Falcon采样参数；公钥尺寸与Falcon相同，为897和1793字节，签名因加入固定长度身份标签为672和1290字节。与相关格基方案比较：通过结构性比较IDBS、IBMS、IBAS、IBS、IBPS，IBFS复杂度为O(N log N)，支持签名压缩和追溯，安全依赖判定性NTRU与NTRU-ISIS；该比较为结构和参数比较，非受控实现级比较。秘密密钥与签名尺寸比较：IBFS继承Falcon单短多项式传输、验证时重建另一分量，在N=512、q≈2¹⁴实例下签名约0.66 KB，小于多数先前方案约3.7–12.26 KB；公钥同Falcon，签名小于所列Dilithium，秘密密钥较Falcon大但仍小于对应Dilithium。实验评估之服务器端基线评估：通过同一Python后端比较，IBFS的setup、keyGen、sign、verify随N增长，keyGen开销最高，Trace因哈希索引较低；相对Falcon，级别I签名由19.18 ms增至26.29 ms，级别V由39.43 ms增至42.72 ms，验证基本不变，keyGen由3.14 s增至6.01 s、由13.94 s增至19.42 s；Dilithium的Rust实现仅作参考。尺寸上IBFS级别I/ V签名仅比Falcon大6/10字节，秘密密钥为1792/3584字节。服务器辅助Android验证评估：100个诚实签名全部接受，400个分别篡改消息、身份、签名或公钥的向量全部拒绝且无崩溃；IBFS-512平均验证7.86 ms、吞吐127.1次/s，IBFS-1024为17.62 ms、56.74次/s；进程内存19.32/19.33 MB；请求响应平均118.23/137.89 ms，响应大小3744.07/7167.11字节；该评估仅涉及Android验证角色，不证明微控制器IoT部署。服务器端仓库索引评估：内存索引在100–10000身份下Trace核心约2.07–2.18 μs，10000身份构建约128.25/130.81 ms；SQLite索引由1000增至100000条目时文件由0.172增至15.645 MB，平均查找由6.654增至9.997 μs，构建由36.399增至2373.124 ms；只读并发1/4/16客户端吞吐约95,156/276,840/232,903查询/s，混合负载写平均延迟由0.555增至8.773 ms、P99由3.309增至163.584 ms；两个事务边界SIGKILL测试中预提交批次均不存在、后提交100条均存在且完整性检查通过；不覆盖提交中断、断电、存储故障等。

讨论部分总结：作者指出当前安全论证针对理想化Falcon式签名层，未建立其与编码、重试实现（含有限精度采样器和压缩行为）的完整安全保持对应；分析在经典ROM中成立，不是QROM证明；计时评估限于规定合成输入下的独立标量高斯采样器，不证明完整秘密相关操作的常数时间性或侧信道抗性；设备评估仅一种Android手机和验证角色，未测试微控制器IoT端点，也未测本地签名、私钥存储保护或仓库操作；仓库实验评估单服务器合成标签到身份索引，最多10万初始条目、短固定负载并发和两个受控事务边界进程中断，排除完整认证公钥记录、长期服务容量和冷存储性能，未评估远程/分布式访问、复制一致性、提交中断、断电和存储设备故障；与先前身份导向格签名方案的比较为结构和参数比较，未完成受控实现级比较。研究结论部分翻译如下：本文提出IBFS，一种构建于Falcon兼容NTRU签名之上的PKG管理可认证身份绑定签名框架。IBFS不采用纯基于身份签名中替代公钥验证密钥的方式，而是通过PKG管理仓库将每个注册身份绑定到相应Falcon兼容验证密钥，从而减少对传统证书链管理的依赖，面向需要集中注册、问责和审计的管理型环境。通过集成身份条件密钥生成、身份绑定签名与验证以及确定性追溯解析，IBFS建立统一的身份感知认证与可问责签名者归属工作流。通过保留Falcon式哈希签名结构、FFT加速多项式运算和签名压缩，IBFS达到O(N log N)复杂度并保持紧凑公钥和签名。评估结合服务器端基准与ARM架构Android智能手机本地签名验证；设备测量覆盖验证行为、验证延迟和进程内存，通信测量覆盖配置的客户端—后端工作流，密钥生成、签名和仓库测量在服务器执行；单独的服务器端追踪索引研究扩展到10万条目并考察文件存储、并发访问和受控进程终止，观察到的并发吞吐和写尾延迟界定测量性能，但不建立生产级分布式仓库。结果支持该服务器辅助部署中Android验证器在测量范围内的可行性，但不证明完整框架可在严格受限IoT端点上部署。安全性方面，研究人员在经典ROM中针对经认证身份到密钥绑定和可信PKG假设下的理想化Falcon式签名层给出EU-CMA安全性论证，依赖判定性NTRU、NTRU-ISIS和身份相关KDF的伪随机性；追溯机制在真实且唯一仓库绑定下提供追溯正确性和追溯健全性。这些结果阐明了IBFS在其预期管理型部署设置中的安全保证与信任边界。