数据聚合的仅联合签名与可追踪的恒定大小多权威凭证

### 数据聚合的仅联合签名与可追踪的恒定大小多权威凭证 #### 1. 仅联合签名的数据聚合 在数据聚合场景中，有一些关于签名处理的特殊操作。对于诚实的叶子节点 $D_i$，除了最后一个诚实的 $D_i$ 外，其他的都被生成为群 $G$ 中的随机元素，而最后一个诚实的 $D_i$ 则是 $D$ 除以其他所有 $D_i$（包括腐败的）的结果。之后，会代表诚实的各方对这些诚实的 $D_i$ 进行签名。 由于承诺方案的完美隐藏属性，在两个混合场景中，对挑战 SignAndMerge 查询的响应是不可区分（相同）的，所以这个混合场景与前一个是不可区分的。对于 $D$ 的每一种分解选择，都存在一个唯一一致的 $H_r$ 的乘法分解。此时，与各方身份相关的 $D_i$ 和与消息相关的 $C_j$ 之间没有任何联系。只要 $T_0 \equiv_{weak} T_1$，SignAndMerge 在 $T_0$ 和 $T_1$ 上的输出就是同分布的。 #### 2. 性能评估 为了评估签名方案的性能，采用了基于 curve25519 - dalek 库实现的 edwards25519 椭圆曲线和 Ristretto 点编码的 Rust 实现。使用的签名方案是 Schnorr 签名，哈希函数为 SHA256，它在现代处理器上有硬件加速。签名生成和验证的大部分操作是相互独立的，这使得在多核处理器上可以并行执行。基准测试系统使用的是 2.70 GHz 的 Intel Core i7 - 6820HQ CPU，共 8 个线程。 随着消息数量的增加和不同数量的哈希函数，签名和验证时间如图 9 所示。在消息数量为 8 的倍数时，有明显的线性步骤，这支持了该方案高效并行化的说法。为了使 SIS 问题的难度与 edwards25519 中的离散对数问题相似，需要 478 维。通过特定的方法来估计 SIS(w, m, q, √m) 的比特安全性，其中 $m = 2^{128}$ 是 oracle 查询数量的上限，$q$ 是 edwards25519 曲线的阶，从而找到提供必要难度的最小维度 $w$。 签名的情况如下：每个合并的叶子需要 1 个群元素和 Schnorr 签名的大小（1 个群元素和 1 个标量），每个消息还需要额外的 2 个群元素和 2 个标量。具体来说，100 个合并的签名，每个签名对应 100 条消息，总共 10,000 条消息，需要 1.2 MB。 签名的合并操作包括添加随机性，该操作与消息无关，且与部分数量呈线性关系。为了保持历史隐藏，输入和输出需要排序，排序的时间复杂度为 $O(n \log k)$，其中 $n$ 是消息的总数，$k$ 是要合并的已排序签名的数量，且要排序的签名数量总是小于或等于这个值。 签名合并所需的时间如图 10 所示，其依赖于签名的数量（x 轴），并且针对每个签名不同数量的消息进行了测量。对于每个签名包含多于一条消息的所有实验，大部分时间用于复制内存和对消息进行排序，而添加随机性的时间可以忽略不计。这是因为具有相同消息数量的合并操作具有相同的时间。每向右一步，签名数量增加 10 倍，但每个签名的消息数量变为原来的十分之一，总消息数量保持不变。对于单消息签名，添加随机性的时间比较明显，并且比消息均匀分布在十分之一签名数量的实验稍慢。从绝对时间来看，该实现能够在不到半秒的时间内处理合并一百万个消息，适用于大型数据集。 #### 3. 仅联合签名方案总结 提出了两种 UOS 方案的构造，解决了之前提出的开放问题。第一种构造在使用最先进的椭圆曲线实现