實施例中，存 在多個散列，例如至少4個、至少8個等。在一個實施例中，散列的第四集合222包括至少 m(a+l)個不同的散列。該散列的數(shù)量將歸約整數(shù)的第二私有集合114和雙變量多項式的 第一私有集合116中的信息量鏈接到簽名中的信息量。
[0095] 簽名生成器230被配置為：針對第四集合中的每一個特定散列（hk)，計算單變量 簽名多項式的第五集合232 (SMiK ())。與特定散列（hk)相對應的單變量簽名多項式是通 過以下方式根據特定散列和第一私有集合和第二私有集合114、116計算的：針對第一私有 集合的每一個特定多項式，將特定散列（hk)代入所述特定多項式（f^hk，））并以與所述特定 多項式（qj)相關聯(lián)的歸約整數(shù)取模來進行歸約來獲得單變量多項式的另一集合，并對單變 量多項式的另一集合求和?？梢砸訬取模來對簽名多項式的系數(shù)進行歸約。盡管這不是必 需的，這是優(yōu)選的，因為這使簽名更小。
[0096] 根據散列222計算簽名多項式232和歸約整數(shù)的第二私有集合114和雙變量多項 式的第一私有集合116使用與公鑰生成器120用于根據承諾整數(shù)的第三公有集合122生成 單變量公有多項式集合124以及歸約整數(shù)的第二私有集合114和雙變量多項式的第一私有 集合116相同的進程，例如如圖lb中所示。如果密鑰生成設備100和簽名生成設備200是 相同的設備，則公鑰生成器120和簽名生成器230可以共享該機制。針對公鑰生成器120 描述的相同變體還應用于簽名生成器230。
[0097] 所生成的數(shù)字簽名包括簽名密鑰生成器針對散列的第四集合（hj生成的簽名多 項式的第五集合232 (SM,K())。
[0098] 在數(shù)字簽名系統(tǒng)中，難以從公有多項式中恢復私鑰。公鑰與私鑰鏈接，即使給定公 鑰，仍難以恢復私鑰。簽名證明其可能僅由可以訪問私鑰的設備生成。
[0099] 此外，即使給定許多簽名和公鑰，仍難以恢復私鑰。在該系統(tǒng)中，通過驗證公有多 項式和簽名多項式相互匹配來完成簽名驗證。公鑰分量和簽名分量兩者均包括將它們鏈接 到形成根密鑰材料的雙變量多項式的唯一集合的足夠信息。基于這種原因，優(yōu)選地選擇承 諾整數(shù)和簽名多項式的數(shù)量不太小。
[0100] 簽名驗證設備300被配置為驗證由電子簽名生成設備生成的數(shù)字簽名SM()。簽名 驗證設備能夠訪問至少一個承諾整數(shù)Pi和由電子密鑰生成設備生成的至少一個對應單變 量公有多項式KMPl (y)。簽名驗證設備300還可以訪問包括至少一個單變量簽名多項式232 (SMiK())的數(shù)字簽名并可以訪問數(shù)字數(shù)據310。優(yōu)選地，簽名驗證設備300可以訪問多個承 諾整數(shù)Pi和對應單變量公有多項式KMPl(y)和多個單變量簽名多項式232 (SMiK())。數(shù)字 數(shù)據310應當與數(shù)字數(shù)據210相同，驗證簽名證明簽名生成設備200用于生成簽名的數(shù)字 數(shù)據210與現(xiàn)在可用于簽名驗證設備300的數(shù)字數(shù)據310相同。
[0101] 簽名驗證設備300包括：散列化設備320,被配置為通過將散列函數(shù)應用于數(shù)字數(shù) 據（hk=hk(M))，確定與簽名多項式相對應的散列。如果數(shù)字數(shù)據310和數(shù)字數(shù)據210相等， 則散列化設備320將提供與散列的第四集合222相等的驗證散列的集合322。應當注意，不 需要使散列的第四集合222從簽名生成設備200到簽名驗證設備300可用。
[0102] 簽名驗證設備300可以對簽名執(zhí)行兩種類型的檢查。首先，簽名驗證設備300可用 檢查所接收的簽名對應于數(shù)字數(shù)據210并對應于公鑰信息：承諾整數(shù)的第三公有集合122、 單變量公有多項式集合124。第二，簽名驗證設備300可用檢查單變量簽名多項式的第五集 合232的內部一致性，該多項式集合是否對應于可能由恰當?shù)暮灻稍O備200生成的多 項式。第一檢查由第一簽名驗證器330執(zhí)行。第二測試由一致性驗證器340執(zhí)行。推薦簽 名驗證設備300包括一致性驗證器340,但僅利用簽名驗證器330的情況下簽名驗證才是可 能的。
[0103] 簽名驗證器330被配置為驗證至少一個單變量簽名多項式232 (SM,k〇 )和至少一 個單變量公有多項式124之間的匹配。
[0104]給定特定的單變量簽名多項式（SMik(y))和特定單變量公有多項式KMPl (y)，執(zhí)行以 下計算： 將由散列化設備320計算的與特定簽名多項式（SMik())相對應的散列hk代入特定公有 多項式中，并以公有全局歸約整數(shù)112取模來進行歸約，因此獲得第一代入結果：KMPl(hk)。
[0105] 將與特定公有多項式KMPl(y)相對應的承諾整數(shù)Pi代入特定簽名多項式SMik(y) 中，并以公有全局歸約整數(shù)112取模來進行歸約，獲得第二代入結果。
[0106] 驗證第一代入結果KMPl (hk)與第二代入結果SM,k的）相匹配。
[0107] 如果雙變量多項式的第一私有集合116僅包含單個雙變量多項式，則在有效簽名 的情況下，第一代入結果與第二代入結果相等。在這種情況下，可以通過測試相等性來驗證 匹配。然而，如果雙變量多項式的第一私有集合116包括多個雙變量多項式，則這兩個結果 不一定相等。在這種情況下，驗證匹配應當允許第一代入結果與第二代入結果之間的一些 不同。
[0108] 例如，人們可以驗證存在公有全局歸約整數(shù)的倍數(shù)，使得至少在預定數(shù)量的最低 有效位(例如b比特)中，該倍數(shù)與第一代入結果相加等于第二代入結果。在公式中，人們可 以測試，其中|j|小于預定邊界。后者邊界取決于歸約整數(shù)的準確選擇以及 如何使用求和的結果，例如完整或部分，歸約還是非歸約。特別有益實現(xiàn)應用于對公有全局 歸約整數(shù)進行模歸約和移除一個或更多個系數(shù)中的部分兩者。
[0109] 應當注意，相加在不同歸約整數(shù)上歸約的多項式引入非線性。
[0110] 簽名驗證器330可以對單變量簽名多項式SM,k(y)和單變量公有多項式KMPl(y)的 所有組合執(zhí)行以上測試。如果資源低且安全要求低，則簽名驗證器330可以對組合的選擇 (例如隨機樣本）來驗證這種測試。如果簽名驗證器330找到匹配失敗的對，則表明單變量 簽名多項式的第五集合232不是由正確的私鑰產生的、或在簽名之后消息數(shù)字數(shù)據210改 變(或兩者)。
[0111] 一致性驗證器340被配置為驗證至少兩個單變量簽名多項式229 (SMij(y)和 SM，k(y))之間的一致性。和簽名驗證器330 -樣，對多項式對(在這種情況下是單變量簽名 多項式對）執(zhí)行測試。
[0112] 對于特定第一單變量簽名多項式和（不同的）第二單變量簽名多項式，一致性驗證 器340執(zhí)行以下測試： 將與第一特定簽名多項式SMij(y)相對應的散列值hj代入第二特定簽名多項式SMik (y) 中，獲得第一代入結果Ajh,)。
[0113] 將與第二特定簽名多項式SMik(y)相對應的散列值匕代入第一特定簽名多項式 SMi](y)中，獲得第二代入結果隨后，驗證第一代入結果和第二代入結果，如下文 所解釋。
[0114] 這里，第一代入結果和第二代入結果還被稱為第--致性結果和第二一致性結 果。
[0115] -致性驗證器340可以對兩個單變量簽名多項式SMik(y)的所有組合執(zhí)行以上測 試。如果資源低且安全性要求低，則一致性驗證器340可以對組合的選擇(例如隨機樣本） 驗證這種測試。如果簽名驗證器340找到匹配失敗的對，則表明單變量簽名多項式的第五 集合232不是在簽名生成設備200的進程之后根據有效私鑰產生的。
[0116] 對簽名驗證器330可以與對一致性驗證器340相同的方式完成驗證第一代入結果 和第二代入結果之間的匹配。簽名驗證設備300可以包括匹配單元(未分離地示出），匹配 單元可以由簽名驗證器330和一致性驗證器340使用。
[0117] 匹配單元被配置為通過驗證乘數(shù)的存在使得第一代入結果的預定數(shù)量的最低有 效位（b)加上乘數(shù)乘以公有全局歸約整數(shù)（jN)等于第二代入結果的預定數(shù)量的最低有效 位（b)，來驗證匹配。同樣地，匹配單元可以被配置為通過驗證乘數(shù)（j)的存在使得第二代 入結果的預定數(shù)量的最低有效位（b)加上乘數(shù)乘以公有全局歸約整數(shù)（jN)等于第一代入 結果的預定數(shù)量的最低有效位（b)，來驗證匹配。兩種選項給出相同的結果。
[0118] 給定慮鮮形式的歸約整數(shù)并將第一代入結果和第二代入結果稱為&和K2，我 們有在匹配的情況下，
，其中:謂纖可以針對所有j值來驗證該 公式，以建立或拒絕匹配。如果不同地選擇歸約整數(shù)，則需要擴展j的邊界。
[0119] 一致性驗證器340可以體現(xiàn)為簽名驗證器330的部分。
[0120] 可以進行密鑰生成設備100、簽名生成設備200和簽名驗證設備300的各種組合。 例如，密鑰生成設備100和簽名生成設備200可以集成到單個設備中。人們甚至可以將密 鑰生成設備100、簽名生成設備200和簽名驗證設備300組合到單個設備中，即使針對相同 密鑰。這對于保護例如備份系統(tǒng)是有用的，在備份系統(tǒng)中，在存儲之前對備份進行簽名，并 然后利用檢索來驗證。
[0121] 在一個實施例中，將散列的數(shù)量稱為r，將承諾整數(shù)的數(shù)量稱為s，r和s的邊界由 rs+S(S-l)/2多m(a+1)(a+2)/2給定。該數(shù)量將在驗證期間所獲得的信息量與在根密鑰 材料中的信息量相關。該邊界一般比以上給出的邊界弱，稍弱但獲得更小的簽名。
[0122] -般地，設備100、200和300中的每一個包括微處理器(未不出），微處理器執(zhí)行在 設備100、200和300處存儲的合適的軟件；例如，該軟件可能已經下載和/或存儲到相應的 存儲器中，例如非易失性存儲器(例如RAM)或非易失性存儲器(例如閃存(未示出））。備選 地，設備100、200和300可以全部或部分地在可編程邏輯(例如現(xiàn)場可編程門陣列（FPGA)) 中實現(xiàn)。
[0123] 在一個實施例中，使用具有實現(xiàn)優(yōu)點的特殊情況。雙變量多項式均是
形式的單項式。在這種情況下，根密鑰材料由m個整數(shù)構成，每一個整數(shù)具 有大小m(a+2)b，使得根密鑰材料包括m(a+2)b個比特。使用類似的論證，我們可以如下
通過以這種方 式來設置參數(shù)，公有分量和私有分量的集合在秘密根密鑰材料中識別給定r、s和檢查點的 值。換言之，僅擁有根密鑰材料的人才可以生成私有分量，使得通過所有檢查。
[0124] 我們注釋，簽名的每一個分量現(xiàn)在是單項式。方案的安全性因此取決于以下事實： 所公開的功能(公有分量和私有分量）以非常獨特的方式確定根密鑰材料，但難以從它們中 恢復根密鑰材料。如果人們不具有根密鑰材料的函數(shù)，他將不能通過所有檢查。設置m=2 是為了減少檢查的數(shù)量和公鑰和私鑰的長度的良好選擇。使m=l更不安全，因為于是不存 在模運算的混合。為了復雜度的原因，可以使用低α值，但這不是由于安全性的原因。對 于安全性，大α是優(yōu)選的。例如，α必需大，以避免格狀攻擊。對于較小b，格狀攻擊工作 得不太好，因此對于小b，α可以更小。
[0125] 然而，保持m和α太小可能允許不同類型的攻擊。攻擊者可能設法創(chuàng)建他自己的 模集合和密鑰材料多項式，其盡管不同，但是通常足以產生針對正確參數(shù)的通過測試 的簽名。如果r小，則似乎這種攻擊更有可能。
[0126] 在以上實施例中，公有多項式和簽名多項式是通過對特定集合的單變量多項式求 和所獲得的。在這種情況下，將對應次數(shù)的單項式中的系數(shù)加在一起。然而，在對公有全局 歸約整數(shù)（N)進行求和和模歸約之后，可能忽略系數(shù)的部分。這顯著地歸約了公有多項式 和簽名多項式的大小。這種選項可以用于公有多項式、簽名多項式或兩者，后一種選項給出 大小上的