阚元平

(福建师范大学福清分校电子与信息工程学院，福建 福清 350300)

1 引言

基于身份的数字签名IBS(Identity-Based Signature)由Shamir[1]于1984年首次提出，其特点是用户公钥可以是标识用户身份的任意字符串，如用户的电子邮件地址等，因此避免了传统公钥体制的密钥管理问题。第一个实用的IBS方案由Boneh和Franklin[2]于2001年利用双线性对提出，但其计算复杂度较高。IBS作为在轻量级应用领域的重要技术，在电子商务、电子政务、云计算等领域具有广泛的应用前景。

目前，IBS方案大多基于传统密码体制，而随着量子计算机的发展，传统密码体制面临重大的安全隐患——量子算法攻击。1996年,Shor[3]指出,基于离散对数问题和大数分解问题的密码体制可由量子计算机在多项式时间内求解，因而基于双线性对的密码算法也不再安全。考虑到量子计算的发展情形[4]，寻找可抵抗量子攻击的IBS方案具有重要意义。

在后量子密码时代，格密码可有效抵抗量子攻击。1996年,Ajtai[5]证明了格困难问题在最坏情形和平均情形的困难性等价规约，2009年,Bernstein[6]指出格密码可抵抗量子攻击。在此基础上，Ckert[7]于2010年提出了首个基于格密码的IBS方案，此后基于格密码的IBS方案大量出现[8 - 12]，其中不乏具有抵抗强伪造攻击的高效格身份签名方案。2016年,Xie等[13]提出了一个高效的NTRU(Number Theory Research Unit)格的IBS方案，其可抵抗选择明文伪造攻击。

1993年Nyberg等[14]提出了消息恢复签名的概念，由于其可减小消息和签名的长度，因而适用于资源受限的轻量级应用领域。2013年,Tian等[15]提出了格消息恢复签名方案，2014年,张襄松等[16]提出了无陷门的格消息恢复签名方案。……