🔢 mathematics

A Compact Post-quantum Strong Designated Verifier Signature Scheme from Isogenies

Este artigo propõe um novo esquema de assinatura de verificador designado forte, compacto e pós-quântico baseado em ações de grupo (abeliano) e isogenias, garantindo que apenas o verificador designado possa confirmar a autenticidade de uma assinatura.

Autores originais: Farzin Renan, Wendi Gao, Jason T. LeGrow

Publicado 2026-09-14

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Farzin Renan, Wendi Gao, Jason T. LeGrow

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

No mundo digital, a confiança é geralmente um assunto público. Quando você assina um documento online, uma assinatura digital atua como um selo que qualquer pessoa com as ferramentas adequadas pode verificar. Essa transparência é a espinha dorsal da segurança moderna, garantindo que uma mensagem realmente veio de seu remetente e não foi alterada. No entanto, existem situações em que essa natureza pública é uma falha, em vez de uma característica. Imagine uma conversa privada entre duas pessoas onde uma deseja provar sua identidade à outra, mas deve garantir que nenhum terceiro possa jamais ser convencido de que a mensagem veio dela. Se o destinatário pudesse provar a origem a um juiz ou a um amigo, a privacidade do intercâmbio seria quebrada. Este é o desafio das assinaturas de "verificador designado": criar uma prova que seja inegável para o destinatário pretendido, mas completamente pouco convincente para qualquer outra pessoa.

A dificuldade se aprofunda quando consideramos o futuro. Os métodos de criptografia que atualmente protegem nossos dados dependem de problemas matemáticos que são difíceis para os computadores de hoje, mas que poderiam ser resolvidos facilmente por máquinas quânticas poderosas. Enquanto cientistas correm para construir sistemas que possam resistir a essas ameações futuras, eles estão recorrendo a um ramo da matemática que envolve as formas de curvas e as maneiras pelas quais elas podem ser transformadas umas nas outras. Essas transformações, conhecidas como isogenias, oferecem uma nova base para a segurança que se acredita ser segura contra ataques quânticos. O objetivo é construir um sistema que não apenas sobreviva à era quântica, mas também preserve a delicada privacidade das conversas designadas.

Uma equipe de pesquisadores introduziu agora um novo método para criar essas assinaturas privadas e seguras contra ataques quânticos. Eles chamam seu sistema de CSI-SDVS, um esquema construído sobre as propriedades de isogenias supersingulares comutativas. A ideia central é usar a relação matemática única entre curvas elípticas para criar uma assinatura que apenas o destinatário pretendido possa verificar. Neste sistema, o remetente e o destinatário possuem cada um uma chave secreta e uma chave pública correspondente. Quando o remetente deseja assinar uma mensagem, ele usa sua chave secreta e a chave pública do destinatário para gerar um código único. O destinatário pode então usar sua própria chave secreta para verificar se o código é válido. A genialidade do design reside em sua capacidade de simular. O destinatário também pode usar sua chave secreta para gerar uma assinatura que pareça exatamente uma vinda do remetente. Como o destinatário pode criar uma falsificação perfeita, ele não pode provar a um terceiro que uma assinatura específica veio do remetente em vez de ter sido criada por ele mesmo. Essa propriedade, conhecida como não transferibilidade, garante que a conversa permaneça privada mesmo se o destinatário tentar compartilhar a evidência.

Os pesquisadores demonstraram que seu novo esquema não é apenas seguro contra computadores quânticos, mas também altamente eficiente. Em tentativas anteriores de construir sistemas semelhantes, as chaves digitais e as assinaturas eram frequentemente enormes, exigindo centenas de kilobytes de dados para armazenar ou transmitir. Isso as tornava impraticáveis para muitas aplicações do mundo real. O novo design, no entanto, é notavelmente compacto. Usando um conjunto específico de parâmetros conhecidos como CSIDH-512, os pesquisadores alcançaram um sistema onde as chaves secretas têm 256 bits de comprimento, as chaves públicas têm 512 bits e as próprias assinaturas têm também apenas 512 bits. Para colocar isso em perspectiva, uma assinatura digital padrão em sistemas antigos poderia ter o tamanho de um pequeno arquivo de texto, enquanto esta nova assinatura tem aproximadamente o tamanho de uma única linha de texto. Essa redução dramática de tamanho torna a tecnologia viável para uso em dispositivos com memória e largura de banda limitadas.

A equipe provou que seu sistema atende a todos os rigorosos padrões de segurança exigidos para este tipo de criptografia. Eles mostraram que um invasor não pode forjar uma assinatura sem as chaves secretas, e provaram que a identidade do signatário permanece oculta para qualquer pessoa além do verificador designado. Essas provas baseiam-se na suposição de que resolver certos problemas matemáticos relacionados às ações de grupo dessas curvas é computacionalmente impossível, mesmo para um computador quântico. Os pesquisadores também exploraram um modelo matemático específico para mostrar que a segurança de seu sistema poderia ser ligada a um problema ligeiramente diferente, mas igualmente difícil. Essa abordagem de camada dupla fortalece a confiança na robustez do sistema.

Ao combinar a privacidade da verificação designada com a eficiência da criptografia baseada em isogenias, este trabalho oferece uma solução prática para a comunicação segura e privada em um mundo pós-quântico. Ele move o campo das possibilidades teóricas para ferramentas concretas e utilizáveis. Os pesquisadores mostraram que é possível ter uma assinatura que seja forte o suficiente para ser confiada pelo destinatário, mas fraca o suficiente para ser negada a todos os outros, tudo isso mantendo os dados pequenos o suficiente para serem usados em qualquer lugar. Esse equilíbrio de privacidade, segurança e eficiência marca um passo significativo no preparo de nossa infraestrutura digital para os desafios do futuro.

Resumo Técnico: Um Esquema de Assinatura de Verificador Designado Forte e Compacto Pós-Quântico baseado em Isogenias

Declaração do Problema

Assinaturas digitais tradicionalmente fornecem não-repúdio, o que significa que qualquer parte com acesso à chave pública de um signatário pode verificar a autenticidade de uma assinatura. Embora útil para muitas aplicações, essa propriedade é indesejável em cenários que exigem comunicação "off-the-record" (fora do registro), onde um signatário (Alice) deseja autenticar uma mensagem para um destinatário específico (Bob) sem permitir que Bob prove a um terceiro que a mensagem se originou de Alice.

Para abordar isso, as Assinaturas de Verificador Designado Fortes (SDVS) foram introduzidas. Um esquema SDVS garante que apenas o verificador designado possa verificar a autenticidade da assinatura. Crucialmente, ele satisfaz a não-transferibilidade: o verificador designado pode simular assinaturas que são computacionalmente indistinguíveis de assinaturas reais, impedindo que ele convença um terceiro da validade da assinatura. Além disso, os esquemas SDVS devem satisfazer a Privacidade da Identidade do Signatário (PSI), garantindo que, dada uma assinatura válida e múltiplas chaves públicas candidatas, nenhum terceiro possa determinar qual chave foi usada para assinar.

Embets existam esquemas SDVS na criptografia clássica (baseados em pareamentos bilineares ou assinaturas de Schnorr), eles são vulneráveis a ataques quânticos via algoritmo de Shor. Propostas pós-quânticas existentes baseadas em códigos ou reticulados (lattices) frequentemente sofrem com grandes tamanhos de chaves e assinaturas (ex: complexidade $O(\lambda^2)$ ) ou demonstraram falhar nas propriedades de não-transferibilidade. Propostas recentes baseadas em isogenias enfrentaram quebras de segurança (ex: SIDH) ou dependem de suposições que podem não ser tão robustas quanto desejado.

Metodologia

Os autores propõem o CSI-SDVS, um novo esquema SDVS baseado na ação de grupo CSIDH (Commutative Supersingular Isogeny Diffie-Hellman). A construção aproveita a estrutura algébrica da classe de ideais atuando sobre o conjunto de curvas elípticas supersingulares sobre um corpo finito $\mathbb{F}_p$ .

Componentes Principais

Configuração da Ação de Grupo: O esquema opera dentro de uma ação de grupo efetiva $(G, X, *)$ , onde $G$ é a classe de ideais de uma ordem em um corpo quadrático imaginário, e $X$ é o conjunto de curvas elípticas supersingulares. A ação é livre e transitiva.
Geração de Chaves:
- O signatário e o verificador geram chaves secretas ( $sk_S, sk_V$ ) como inteiros aleatórios em $\mathbb{Z}_N$ (onde $N$ é o número de classe).
- As chaves públicas são geradas aplicando a ação de grupo a uma curva base $E$ : $pk_S = [g^{sk_S}] * E$ e $pk_V = [g^{sk_V}] * E$ .
Assinatura e Simulação:
- Assinatura: Para assinar uma mensagem $m$ , o signatário escolhe um $z \in \mathbb{Z}_N$ aleatório, computa $Y = [g^{z+sk_S}] * pk_V$ , e define a assinatura $\sigma = (h, z)$ onde $h = H(Y || m)$ .
- Simulação: O verificador, possuindo $sk_V$ , pode simular uma assinatura escolhendo um $z$ aleatório, computando $Y = [g^{z+sk_V}] * pk_S$ , e definindo $\sigma = (h, z)$ com $h = H(Y || m)$ .
- Corretude: Devido à comutatividade da ação de grupo, $[g^{z+sk_S}] * pk_V = [g^{z+sk_S+sk_V}] * E = [g^{z+sk_V}] * pk_S$ . Assim, o valor $Y$ computado pelo signatário e pelo simulador é idêntico, garantindo que ambos produzam assinaturas válidas para a mesma entrada de hash.
Verificação: O verificador verifica se $h = H([g^{z+sk_V}] * pk_S || m)$ .

Principais Contribuições

SDVS Pós-Quântico Compacto: O artigo apresenta o CSI-SDVS, um esquema SDVS eficiente com complexidade $O(\lambda)$ para chaves e assinaturas. Usando parâmetros CSIDH-512, o esquema alcança:
- Chave Secreta: 256 bits.
- Chave Pública: 512 bits.
- Assinatura: 512 bits.
  Isso representa uma melhoria significativa em relação a esquemas SDVS anteriores baseados em reticulados, que frequentemente possuem tamanhos $O(\lambda^2)$ , e esquemas baseados em isogenias com chaves públicas maiores.
Provas de Segurança em ROM e AGAM:
- Não-Transferibilidade (NT): Provada incondicionalmente, pois as distribuições de assinaturas reais e simuladas são idênticas.
- Não-Falsificabilidade Forte (SUF-CMA) e PSI: Provadas seguras no Modelo de Oráculo Aleatório (ROM) sob a suposição GA-DDH (Group Action Decisional Diffie-Hellman).
- Reduções Estreitas (Tight Reductions): Os autores provam ainda que, no Modelo de Ação de Grupo Algébrica (AGAM), a segurança SUF-CMA e PSI do CSI-SDVS reduzem estritamente ao GAIP (Group Action Inverse Problem), um problema computacional em vez de um decisional.
Análise de Segurança: Demonstra-se que o esquema satisfaz todas as definições padrão de segurança SDVS (NT, SUF-CMA, PSI) sem depender do protocolo SIDH (que foi quebrado), utilizando a ação de grupo CSIDH, atualmente considerada segura.

Resultados

O artigo fornece provas formais de segurança demonstrando que:

O esquema é incondicionalmente não-transferível.
Sob a suposição GA-DDH no ROM, o esquema é fortemente não-falsificável e fornece privacidade da identidade do signatário.
Sob a suposição GAIP no AGAM e ROM, o esquema alcança reduções estreitas para ambas as seguranças SUF-CMA e PSI.
Desempenho: A Tabela 1 do artigo compara o CSI-SDVS com trabalhos anteriores (Sun et al. [26] e Khuc et al. [12]). O CSI-SDVS oferece a menor chave pública (512 bits) e assinatura (512 bits) entre os esquemas pós-quânticos comparados, mantendo uma chave secreta de 252 bits.

Significância

Os autores posicionam o CSI-SDVS como uma solução prática e segura para assinaturas de verificador designado pós-quânticas. A significância reside em:

Eficiência: Alcança parâmetros compactos adequados para ambientes com recursos limitados, abordando as limitações de tamanho de propostas anteriores baseadas em reticulados e isogenias.
Robustez: Ao basear a segurança no GAIP (uma suposição computacional) no AGAM, o esquema evita a dependência de suposições decisionais que podem ser mais fracas ou menos intuitivas no contexto de ação de grupo.
Completude: O trabalho fornece uma análise de segurança completa cobrindo os três pilares do SDVS (não-transferibilidade, não-falsificabilidade e privacidade do signatário) em um cenário pós-quântico, preenchendo uma lacuna deixada por esquemas anteriores que ou falhavam na não-transferibilidade ou sofriam de ineficiência.

O artigo conclui que o CSI-SDVS oferece um equilíbrio entre segurança e eficiência, tornando-o um candidato viável para aplicações que exigem autenticação não-transferível e resistente ao quantum.