赵兴波 李梦东 李 杰

北京电子科技学院，北京市 100070

引言

量子计算机的发展对密码学产生了重大影响。 Shor 算法的出现使基于离散对数问题和大整数分解问题的经典公钥密码不再安全，于是研究人员开始关注后量子密码。 2016 年美国国家安全局(NIST)开始征集后量子密码算法并进行筛选，并于2020 年7 月公布了筛选算法结果。后量子密码的主要类型包括:基于格的、基于纠错码的、基于多变量的以及基于哈希的密码，而同源密码是一种新兴的且十分有潜力的后量子密码[1]。

同源为椭圆曲线之间保持基点(basepoint)的同态映射，是一种群同态。 因为通常曲线同源问题存在亚指数时间的量子算法，而超奇曲线同源问题目前只存在指数时间的量子算法，因此目前同源密码都是超奇椭圆曲线上的方案。 超奇同源密码与其它后量子密码类型相比较，密钥、密文或签名长度短，但超奇同源密码也存在计算时间稍长的问题。

超奇异同源密码的最早的结构包括Charles、Goren 和Lauter[2]的抗碰撞哈希函数、Jao 和De Feo[3]的密钥交换协议、De Feo、Jao 和Plut[4]的公钥加密方案和交互识别协议[5]。 在签名方面，Jao-Soukharevt[6]提出了不可否认签名，而Srinath 和Chandrasekaran 通过在不可否认签名的基础上加入盲签名的性质，提出了基于同源的不可否认盲签名方案[7]。 但在不可否认签名中，签名者对验证者没有控制权，因为签名者可以事先(即在交互之前)识别授权的验证者。为了解决不可否认盲签名中的弱点，找到一个更合适和更实用的签名方案，Rajeev、Agnese 和Ankan 提……