Efficient Pairing-Free Partially Blind Strong Designated-Verifier Signatures for Edge Environments

技術要約：エッジ環境のための効率的なペアリングフリー部分盲目的強設計検証者署名

問題提起
従来のデジタル署名は、署名者の公開鍵を持つすべての当事者が真正性を検証できるため、機密性の高いシナリオではプライバシーが損なわれる可能性があります。指定検証者署名スキーム（DVSS）は、検証を特定の受信者に限定することで、非転送性を確保し、この問題に対処します。しかし、既存の部分盲目的指定検証者署名スキーム（PB-DVSS）は、リソース制約のあるエッジ環境（IoT、VANET、UAVなど）において重大な制限に直面しています。XuらやCaoらによる現在の構成は、計算負荷の高い双線型ペアリングに大きく依存しており、多くの場合、マルチラウンドの相互作用を伴います。さらに、著者らは、Xuら[12]による基礎的なスキームにおいて、当初述べられていた正当性を達成することを妨げる根本的な代数的不整合を特定しています。これらの非効率性と正当性の問題は、低レイテンシと高スループットが極めて重要となるリアルタイムのエッジシステムへの、プライバシー保護型認証の導入を阻害しています。

手法
著者らは、新しい暗号プリミティブである**部分盲目的強設計検証者署名スキット（PB–SDVSS）**を提案しています。この構成は、双線型ペアリングを完全に排除し、標準的な素数次楕円曲線群のみで動作するように設計されています。

• プロトコル構造： スキームは、署名者（$S$）、指定検証者（$V$）、ユーザー（$U$）の3つのエンティティで構成されます。これはメッセージのペア $(m, \text{info})$ をサポートします。ここで、$m$ は（ユーザーによって盲目的化された）プライベートなメッセージ成分であり、$\text{info}$ は署明者に見える公開情報です。
• 代数的核： プロトコルは、標準的な楕旋曲線演算（点乗算、スカラー加算）と、ランダムオラクルとしてモデル化されたハッシュ関数を利用します。
  • 署名： ユーザーはランダム値（$u_1, u_2, d$）を用いてリクエストを盲目的化し、署明者と相互作用します。署明者は、自身の秘密鍵と盲目的化されたチャレンジに基づいてレスポンスを計算します。その後、ユーザーはレスポンスの盲目解除を行い、最終的な署名 $\sigma = (x^\star, \alpha^\star, \text{sig}_1, \text{sig}_2)$ を形成します。
  • 検証： 指定検証者は、自身の秘密鍵を使用して、2つの条件（ハッシュの一貫性チェック $\alpha^\star = H(m, \text{info}, x^\star)$ と、署名者の公開鍵、検証者の公開鍵、および署名成分を含む代数的検証方程式）をチェックします。
  • シミュレーション： 強力なDVSSの重要な特徴は、指定検証者が署明者との相互作用なしに有効な署名をシミュレートできることです。著者らは、検証者が実在の署名と区別がつかない署名を生成するためのアルゴリズムを提供しており、これにより非転送性が保証されます。
• セキュリティモデル： スキームは、計算的ディフィー・ヘルマン（CDH）仮定の下、ランダムオラクルモデル（ROM）において安全であることが証明されています。セキュリティ特性には以下が含まれます：
  • 完全な部分盲目的性質： 署明者は、合意された公開情報 $\text{info}$ 以外のプライベートなメッセージ $m$ について何も知ることができません。
  • 強力なワンモア不可偽性： 攻撃者は、完了した署名相互作用の数よりも多くの有効な署名を作成することはできません。
  • 指定検証者による非転送性： 検証者は、自身で区別がつかないトランスクリプトを生成できるため、第三者に署名の起源を確信させることはできません。

主な貢献

1. ペアリングフリーの効率性： 著者らは、双線型ペアリングを完全に排除し、標準的な楕円曲線演算のみに依存する、初のPB–SDVSS構成を提示しています。これは、計算負荷の高い既存のスキーム（例えば、7回のペアリングを必要とするXuら、4回のペアリングを必要とするCaoら）とは対照的です。
2. 既存文献の暗号解読： 本論文は、Xuら[12]によって提案されたスキームが、正当性を達成することを妨げる根本的な不整合を含んでいることを示す厳密な代数的分析を提供し、性能ベンチマークから当該スキームを除外することを正当化しています。
3. 形式的セキュリティフレームワーク： 部分盲目的性質と強力な指定検証者特性を組み合わせた、統一された形式的定義がPB–SDVSSに対して確立されました。完全な部分盲目的性質、強力なワンモア不可偽性（CDHの下）、および非転送性に関する形式的な証明が提供されています。
4. オープンソース実装と評価： 著者らは完全なオープンソース実装を提供し、典型的なIoTエッジゲートウェイを代表するRaspberry Pi 4を用いた広範な実験的評価を行っています。

実験結果
評価は、NIST P-256およびその他の楕円曲線を使用し、Raspberry Pi 4 (ARM Cortex-A72) 上で実施されました。

• パフォーマンス： NIST P-256において、本スキームは署名時間約 1.5 ms、検証時間約 0.6 ms を達成しています。
• スループット： シングルコアシステムは、約656回の署名/秒および約1,544回の検証/秒をサポートします。4コアの並列実行では、スループットはそれぞれ約2,607件の署名/秒および約5,984件の検証/秒に増加します。
• 比較： 同様のハードウェア上で実装されたペアリングベースのベースライン（Cao, Sharma, Zhang–Wen）と比較して、提案スキームは大幅な高速化を示しています。例えば、OpenSSLの設定において、PB–SDVSSはZhang–Wenのベースラインと比較して、最大 7.5倍の高い署名スループット と 27.5倍の高い検証スループット を達成しています。
• 堅牢性： 検証コストは、無効または不正な形式の署名を処理する場合でも安定しており、不正な入力によるサービス拒否攻撃に対する耐性を示しています。
• オーバーヘッド： NIST P-256における署名サイズは 130バイト (1040 bits) とコンパクトであり、帯域幅制約のある環境に適しています。

意義と主張
本論文は、PB–SDVSSがプライバシー保護が必要かつリソース制約のある環境において、非常に適した暗号学的構成要素であることを主張しています。双線型ペアリングという計算上のボトルネックを取り除くことで、本スキームは以下のようなシナリオにおいて、きめ細かなメッセージプライバシーと非転送的な認証を可能にします：

• UAVスウォーム（無人機群）： リーダーが、地上管制センターに向けてスウォームデータの盲目的集計に署名する場合。
• 車載アドホックネットワーク（VANET）： 位置プライバシーを維持しつつ、信頼できる路側機（RSU）が安全ビーコンを検証できるようにする場合。
• IoTおよびエッジコンピューティング： 医療用IoT、スマートホーム、および分散型システムにおける軽量な認証の提供。

著者らは、本スキームがV2I通信のような安全性が重要なアプリケーションで要求される厳格なレイテンシ予算（多くの場合 < 50 ms）に適合することを強調しています。結論として、理論的なセキュリティ証明と実用的な組み込み性能の組み合わせが、次世代のエッジ認証システムにおける本スキームの有用性を検証しているとしています。今後の課題として、本スキームを実際のVANETやUAVスウォーム環境へ統合すること、および非委任性のための証明付きバリアントを探索することが挙げられています。