🔢 mathematics

A Compact Post-quantum Strong Designated Verifier Signature Scheme from Isogenies

Este artículo propone un nuevo esquema de firma compacto de verificador designado fuerte post-cuántico basado en acciones de grupos (abelianos) y isogenias, asegurando que solo el verificador designado pueda confirmar la autenticidad de una firma.

Autores originales: Farzin Renan, Wendi Gao, Jason T. LeGrow

Publicado 2026-09-14

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Farzin Renan, Wendi Gao, Jason T. LeGrow

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

En el mundo digital, la confianza suele ser un asunto público. Cuando se firma un documento en línea, una firma digital actúa como un sello que cualquiera con las herramientas adecuadas puede verificar. Esta transparencia es la columna vertebral de la seguridad moderna, asegurando que un mensaje provenga realmente de su remitente y no haya sido alterado. Sin embargo, existen situaciones en las que esta naturaleza pública es un defecto en lugar de una característica. Imagine una conversación privada entre dos personas donde una quiere demostrar su identidad a la otra, pero debe asegurar que ningún tercero pueda ser convencido jamás de que el mensaje provino de ella. Si el destinatario pudiera demostrar el origen ante un juez o un amigo, la privacidad del intercambio se rompería. Este es el desafío de las firmas de "verificador designado": crear una prueba que sea innegable para el destinatario previsto, pero completamente poco convincente para cualquier otra persona.

La dificultad se profundiza cuando consideramos el futuro. Los métodos de cifrado que actualmente protegen nuestros datos dependen de problemas matemáticos que son difíciles para las computadoras actuales, pero que podrían resolverse fácilmente mediante potentes máquinas cuánticas. Mientras los científicos compiten por construir sistemas que puedan resistir estas amenazas futuras, se están volviendo hacia una rama de las matemáticas que involucra las formas de las curvas y las maneras en que estas pueden transformarse unas en otras. Estas transformaciones, conocidas como isogenias, ofrecen un nuevo fundamento para la seguridad que se cree es seguro frente a los ataques cuánticos. El objetivo es construir un sistema que no solo sobreviva a la era cuántica, sino que también preserve la delicada privacidad de las conversaciones designadas.

Un equipo de investigadores ha introducido ahora un nuevo método para crear estas firmas privadas y seguras frente a la computación cuántica. Llaman a su sistema CSI-SDVS, un esquema construido sobre las propiedades de las isogenias supersingulares conmutativas. La idea central es utilizar la relación matemática única entre las curvas elípticas para crear una firma que solo el destinatario previsto pueda verificar. En este sistema, el remitente y el destinatario poseen cada uno una clave secreta y una clave pública correspondiente. Cuando el remitente desea firmar un mensaje, utiliza su clave secreta y la clave pública del destinatario para generar un código único. El destinatario puede entonces usar su propia clave secreta para comprobar si el código es válido. La brillantez del diseño reside en su capacidad de simulación. El destinatario también puede usar su clave secreta para generar una firma que parezca exactamente una del remitente. Debido a que el destinatario puede crear una imitación perfecta, no puede probar a un tercero que una firma específica provino del remitente en lugar de haber sido creada por sí mismo. Esta propiedad, conocida como no transferibilidad, asegura que la conversación permanezca privada incluso si el destinatario intenta compartir la evidencia.

Los investigadores demostraron que su nuevo esquema no solo es seguro contra las computadoras cuánticas, sino también altamente eficiente. En intentos previos de construir sistemas similares, las claves digitales y las firmas eran a menudo enormes, requiriendo cientos de kilobytes de datos para almacenar o transmitir. Esto los hacía poco prácticos para muchas aplicaciones del mundo real. El nuevo diseño, sin embargo, es notablemente compacto. Utilizando un conjunto específico de parámetros conocidos como CSIDH-512, los investigadores lograron un sistema donde las claves secretas tienen 256 bits de longitud, las claves públicas son de 512 bits y las firmas mismas son también de solo 512 bits. Para poner esto en perspectiva, una firma digital estándar en sistemas antiguos podría tener el tamaño de un pequeño archivo de texto, mientras que esta nueva firma tiene aproximadamente el tamaño de una sola línea de texto. Esta reducción drástica de tamaño hace que la tecnología sea viable para su uso en dispositivos con memoria y ancho de banda limitados.

El equipo demostró que su sistema cumple con todos los rigurosos estándares de seguridad requeridos para este tipo de criptografía. Demostraron que un atacante no puede falsificar una firma sin las claves secretas, y probaron que la identidad del firmante permanece oculta para cualquier otra persona que no sea el verificador designado. Estas pruebas se basan en la suposición de que resolver ciertos problemas matemáticos relacionados con las acciones de grupo de estas curvas es computacionalmente imposible, incluso para una computadora cuántica. Los investigadores también exploraron un modelo matemático específico para mostrar que la seguridad de su sistema podría vincularse a un problema ligeramente diferente, pero igualmente difícil. Este enfoque de doble capa fortalece la confianza en la robustez del sistema.

Al combinar la privacidad de la verificación designada con la eficiencia de la criptografía basada en isogenias, este trabajo ofrece una solución práctica para la comunicación segura y privada en un mundo post-cuántico. Mueve el campo de las posibilidades teóricas a las herramientas concretas y utilizables. Los investigadores han demostrado que es posible tener una firma que sea lo suficientemente fuerte como para ser confiable para el destinatario, pero lo suficientemente débil como para ser negada a todos los demás, todo ello manteniendo los datos lo suficientemente pequeños como para ser usados en cualquier lugar. Este equilibrio de privacidad, seguridad y eficiencia marca un paso significativo en la preparación de nuestra infraestructura digital para los desafíos del futuro.

Resumen Técnico: Un esquema de firma de verificador designado fuerte y compacto post-cuántico basado en isogenias

Planteamiento del problema

Las firmas digitales tradicionalmente proporcionan no repudio, lo que significa que cualquier parte con acceso a la clave pública de un firmante puede verificar la autenticidad de una firma. Si bien esto es útil para muchas aplicaciones, esta propiedad es indeseable en escenarios que requieren comunicaciones "fuera de registro" (off-the-record), donde un firmante (Alice) desea autenticar un mensaje para un destinatario específico (Bob) sin permitir que Bob pueda demostrar a un tercero que el mensaje se originó de Alice.

Para abordar esto, se introdujeron las Firmas de Verificador Designado Fuertes (SDVS). Un esquema SDVS asegura que solo el verificador designado pueda verificar la autenticidad de la firma. Crucialmente, satisface la no transferibilidad: el verificador designado puede simular firmas que son computacionalmente indistinguibles de las reales, evitando que pueda convencer a un tercero de la validez de la firma. Además, los esquemas SDVS deben satisfacer la Privacidad de la Identidad del Firmante (PSI), asegurando que, dada una firma válida y múltiples claves públicas candidatas, ningún tercero pueda determinar qué clave se utilizó para firmar.

Existen esquemas SDVS en la criptografía clásica (basados en emparejamientos bilineales o firmas Schnorr), pero son vulnerables a ataques cuánticos mediante el algoritmo de Shor. Las propuestas post-cuánticas existentes basadas en códigos o retículos a menudo sufren de tamaños de clave y firma grandes (por ejemplo, complejidad $O(\lambda^2)$ ) o se ha demostrado que fallan en las propiedades de no transferibilidad. Las propuestas recientes basadas en isogenias han enfrentado rupturas de seguridad (por ejemplo, SIDH) o dependen de supuestos que pueden no ser tan robustos como se desea.

Metodología

Los autores proponen CSI-SDVS, un nuevo esquema SDVS basado en la acción de grupo de Difie-Hellman de Isogenia Supersingular Conmutativa (CSIDH). La construcción aprovecha la estructura algebraica de la acción del grupo de clases ideales actuando sobre el conjunto de curvas elípticas supersingulares sobre un cuerpo finito $\mathbb{F}_p$ .

Componentes Principales

Configuración de la Acción de Grupo: El esquema opera dentro de una acción de grupo efectiva $(G, X, *)$ , donde $G$ es el grupo de clases ideales de un orden en un campo cuadrático imaginario, y $X$ es el conjunto de curvas elípticas supersingulares. La acción es libre y transitiva.
Generación de Claves:
- El firmante y el verificador generan claves secretas ( $sk_S, sk_V$ ) como enteros aleatorios en $\mathbb{Z}_N$ (donde $N$ es el número de clase).
- Las claves públicas se generan aplicando la acción de grupo a una curva base $E$ : $pk_S = [g^{sk_S}] * E$ y $pk_V = [g^{sk_V}] * E$ .
Firma y Simulación:
- Firma: Para firmar un mensaje $m$ , el firmante elige un $z \in \mathbb{Z}_N$ aleatorio, calcula $Y = [g^{z+sk_S}] * pk_V$ y establece la firma $\sigma = (h, z)$ donde $h = H(Y || m)$ .
- Simulación: El verificador, poseyendo $sk_V$ , puede simular una firma eligiendo un $z$ aleatorio, calculando $Y = [g^{z+sk_V}] * pk_S$ y estableciendo $\sigma = (h, z)$ con $h = H(Y || m)$ .
- Corrección: Debido a la conmutatividad de la acción de grupo, $[g^{z+sk_S}] * pk_V = [g^{z+sk_S+sk_V}] * E = [g^{z+sk_V}] * pk_S$ . Por lo tanto, el valor $Y$ calculado por el firmante y el simulador es idéntico, asegurando que ambos produzcan firmas válidas para la misma entrada de hash.
Verificación: El verificador comprueba si $h = H([g^{z+sk_V}] * pk_S || m)$ .

Contribuciones Clave

SDVS Post-Cuántico Compacto: El artículo presenta CSI-SDVS, un esquema SDVS eficiente con una complejidad de $O(\lambda)$ para claves y firmas. Utilizando parámetros CSIDH-512, el esquema logra:
- Clave Secreta: 256 bits.
- Clave Pública: 512 bits.
- Firma: 512 bits.
  Esto representa una mejora significativa respecto a los esquemas SDVS previos basados en retículos, que a menudo tienen tamaños $O(\lambda^2)$ , y a los esquemas basados en isogenias con claves públicas más grandes.
Pruebas de Seguridad en ROM y AGAM:
- No Transferibilidad (NT): Probada incondicionalmente, ya que las distribuciones de las firmas reales y simuladas son idénticas.
- Inforjabilidad Fuerte (SUF-CMA) y PSI: Probadas seguras en el Modelo de Oráculo Aleatorio (ROM) bajo el supuesto de Difie-Hellman de Acción de Grupo (GA-DDH).
- Reducciones Estrechas (Tight Reductions): Los autores demuestran además que, en el Modelo de Acción de Grupo Algebraica (AGAM), la seguridad SUF-CMA y PSI de CSI-SDVS se reducen estrechamente al Problema Inverso de Acción de Grupo (GAIP), un problema computacional en lugar de uno decisional.
Análisis de Seguridad: Se demuestra que el esquema satisface todas las definiciones estándar de seguridad SDVS (NT, SUF-CMA y PSI) sin depender del protocolo SIDH, el cual ha sido roto, utilizando la acción de grupo CSIDH, que se cree actualmente segura.

Resultados

El artículo proporciona pruebas formales de seguridad demostrando que:

El esquema es incondicionalmente no transferible.
Bajo el supuesto GA-DDH en el ROM, el esquema es fuertemente inforjable y proporciona privacidad de la identidad del firmante.
Bajo el supuesto GAIP en el AGAM y el ROM, el esquema logra reducciones estrechas para la seguridad tanto de SUF-CMA como de PSI.
Rendimiento: La Tabla 1 del artículo compara CSI-SDVS contra trabajos previos (Sun et al. [26] y Khuc et al. [12]). CSI-SDVS ofrece la clave pública (512 bits) y la firma (512 bits) más pequeñas entre los esquemas post-cuánticos comparados, manteniendo una clave secreta de 256 bits.

Significancia

Los autores posicionan a CSI-SDVS como una solución práctica y segura para firmas de verificador designado post-cuánticas. La significancia radica en:

Eficiencia: Logra parámetros compactos adecuados para entornos con recursos limitados, abordando las limitaciones de tamaño de las propuestas anteriores basadas en retículos e isogenias.
Robustez: Al basar la seguridad en el GAIP (un supuesto computacional) en el AGAM, el esquema evita la dependencia de supuestos decisionales que a veces pueden ser más débiles o menos intuitivos en el entorno de acción de grupo.
Integridad: El trabajo proporciona un análisis de seguridad completo que cubre los tres pilares de SDVS (no transferibilidad, inforjabilidad y privacidad del firmante) en un entorno post-cuántico, llenando un vacío dejado por esquemas previos que o bien fallaban en la no transferibilidad o sufrían de ineficiencia.

El artículo concluye que CSI-SDVS ofrece un equilibrio entre seguridad y eficiencia, convirtiéndolo en un candidato viable para aplicaciones que requieren autenticación no transferible y resistente a la computación cuántica.