🔢 mathematics

Z-Sigil: A Public-Key Cryptosystem with Chained Selection over a Fiber Bundle of Module-Lattice Keys

本文介绍了 Z-Sigil，这是一种通过纤维丛结构和基于哈希的状态更新机制来链接模格密钥的公钥密码体制，旨在决策模 LWE 假设下实现 IND-CPA 安全性，同时提供了形式化正确性证明和噪声分析，但并未建立认证性、选择密文安全性或具体的安全强度。

原作者： Andrea Rondelli

发布于 2026-10-01✓ Author reviewed ⓘ

📖 1 分钟阅读🧠 深度阅读

CC BY 4.0

原作者： Andrea Rondelli

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在数字世界中，保护秘密的安全依赖于复杂性与可预测性之间微妙的平衡。现代加密通常使用被称为格（lattices）的数学结构，它们就像是庞大的、多维的网格点。为了隐藏一条信息，发送者使用一个秘密密钥对信息进行扰乱，并在结果中加入微小的随机噪声。这种噪声使得对于没有密钥的人来说，扰乱后的信息看起来就像随机的静电噪声；但对于拥有正确密钥的人，可以通过减去噪声来读取原始文本。这些系统的安全性取决于这样一个事实：即从带有噪声的公开信息中寻找出秘密密钥是极其困难的，即使对于强大的计算机也是如此。随着量子计算机威胁到许多当今的密码，研究人员不断寻找新的方法来排列这些数学网格，以保持领先地位。

一位研究人员提出了一种组织这些密钥的新方法，它背离了使用单一密钥处理整个消息的标准做法。该系统被称为 Z-Sigil，它不再依赖于一个静态密钥，而是使用一个预先生成的庞大密钥族。该设计的独特之处在于，消息本身决定了每一块数据使用哪一个密钥。随着消息被分解成小块，每块的内容决定了在密钥族中所走的路径。这创造了一场动态的旅程，其密钥的顺序并非由发送者或接收者固定，而是由被发送的数据所驱动。研究人员将该系统构建在一个他们描述为“平坦环面上的密钥丛束”的几何框架之上，这个形状可以被理解为一个边缘相对连接的甜甜圈表面，尽管在他们的工作中，这是一个用于计算的离散、有限版本。

该提案的核心是一种以明文（即可读的消息）作为引导的方法。在发送任何消息之前，系统会生成一组固定的秘密密钥及其对应的公开版本。当准备一条消息时，它会被分成 32 字节的块。对于第一个块，系统使用一个公开的起点来选择一个密钥。一旦对该块进行了加密，系统便利用恢复出的该块内容来更新其内部状态，进而为下一个块选择密钥。这一过程在整个消息处理过程中不断重复。因为下一个密钥的选择取决于前一个块的内容，所以穿梭于密钥族中的路径是针对特定消息而唯一的。如果攻击者试图在不知道消息的情况下猜测这条路径，他们将面临一个规则随每一步都在变化的移动目标。

研究人员证明了该方法在特定条件下能够正常工作。他们表明，如果加密过程中添加的噪声保持在一定限度内，接收者就可以通过遵循相同的路径成功恢复消息。他们计算出，对于一个典型的 64 块大小的消息，系统解码失败的概率微乎其微，远低于一千万亿亿分之一。在给定的判定模模格 LWE（Module-LWE）假设下，他们证明了该链条对于选择明文攻击具有机密性（IND-CPA），允许在公开密钥生成后选择消息。然而，他们谨慎地区分了可靠性与安全性。虽然该系统具有高度的可靠性并提供 IND-CPA 安全性，但他们明确指出，该方案不提供身份验证或选择密文安全性。此外，他们还论证了，如果攻击者掌握了一部分秘密密钥，其解密能力被严格限制在特定的“直接前缀”模型中，即他们只能恢复初始的若干个块（前提是路径恰好落在这些已知密钥上）；这并不限制不受限攻击者的能力。

论文还通过回顾该研究人员之前的尝试，解释了为什么这种新方法是必要的。早期的版本尝试使用一种更复杂的几何形状，但失败了，因为它无意中泄露了部分秘密消息。新设计通过确保消息从不与一个公开对象相乘来修复了这个问题，而这正是旧版本中导致泄露的原因。相反，消息仅仅是在两个选项之间进行选择，从而使秘密与公开数据之间的关系保持着噪声化且隐蔽的状态。研究人员还探讨了如果系统尝试以更复杂的方式移动密钥（例如在行进过程中扭转路径）会发生什么。他们发现，在不破坏系统数学规则的前提下这样做是极其困难的，因为这将要求密钥以一种几乎无法用整数实现的变换方式进行改变。

最终，这项工作呈现的是一种新的加密架构，而非一个可立即投入使用的成品。它提供了一个关于如何将密钥相互链接的新视角，即利用消息本身来驱动整个过程。研究人员提供了构建该系统的详细蓝图，包括密钥大小和所需噪声量的具体数值。他们还提供了一种让其他人测试并验证结果的方法。虽然该系统目前尚未具备针对所有可能攻击的证明安全性，也缺乏消息认证或选择密文安全性等功能，但它是一项关于如何隐藏数据的严谨数学探索。它展示了通过让消息在密钥森林中选择自己的路径，人们可以创造出一个既高度可靠又在结构上区别于当今静态方法的系统。

技术摘要：“Z-Sigil：一种基于模格密钥纤维丛的链式选择公钥密码体制”

问题陈述
标准的公钥密码系统通常固定一个单一的密钥来加密所有消息块。Z-Sigil 探讨了一个架构性问题：即明文是否可以决定预生成的密钥族中被访问的顺序，从而在密钥空间中创造一种“行走”（walk），而非仅仅是静态地应用单个密钥。本文研究了这种架构，旨在确定这种将由明文驱动的状态与模格密钥族相结合的机制，是否可以在保持安全性和正确性的同时得以构建，并避免此前几何方案中无意间暴露明文标量（plaintext scalars）的陷阱。

方法论与构造
该构造建立在三个截然不同的组件之上：

Module-LWE 基础： 其核心算术依赖于模学习误差（Module-LWE）假设。生成一个共享公矩阵 $A$ 和一组公向量族 $b_t = A s_t + e_t$ ，其中 $s_t$ 是小秘密向量， $e_t$ 是小误差向量。
几何抽象（纤维丛）： 密钥族被建模为定义在有限基（ $P$ ，一个平坦 Kähler 环面上的挠点集）上的离散纤维丛的一个截面 $\sigma$ 。公钥是该截面的带噪声图像。消息并不创建新密钥，而是通过在基 $P$ 上追踪一条“行走”路径 $\gamma$ ，来选择每一块所使用的纤维（即对应的秘密密钥 $s_t$ ）。
链式选择机制：
- 状态初始化： 公共随机数初始化哈希状态 $x_{-1}$ 。
- 分块处理： 对于每个块 $i$ ，当前状态 $x_{i-1}$ 通过哈希函数选择一个密钥索引 $t_i$ ，并推导出比特掩码 $\kappa_i$ 。
- 加密： 明文块 $m_i$ 被掩码化（ $\mu_i = m_i \oplus \kappa_i$ ），并通过选定的密钥 $s_{t_i}$ 按照标准的 Lindner–Peikert/Kyber 式块映射进行加密，生成密文 $(u_i, v_i)$ 。
- 状态更新： 恢复的明文 $m_i$ （发送者已知，接收者恢复）被反馈回哈希函数以更新状态 $x_i$ ，从而决定下一个块所使用的密钥。

这产生了一种依赖关系，即密钥选择的轨迹取决于消息内容，但密钥本身在加密前是独立于消息生成的。

主要贡献
本文做出了以下具体的数学与技术贡献：

几何框架： 它定义了一个位于平坦 Kähler 环面上的模格密钥离散纤维丛，其中私钥是一个截面，而公钥是经过纤维化自同态后的带噪声图像。
明确规范： 它提供了完整的、相互独立的密钥生成、加密和解密规范，包括特定的块映射和链式逆运算命题。
正确性证明： 它证明了如果累积噪声（来自密钥生成的误差和新鲜加密产生的误差）保持在特定界限内，则解密能够成功。文中推导出了解码失败的上界，该界限取决于特定的密钥族实现（例如，对于 16 个密钥和 64 个块，失败率 $< 2^{-192}$ ）。
安全性归约： 它为完整的链式结构建立了条件 IND-CPA（选择明文攻击下的不可区分性）归约。该归约允许在公钥已知后选择消息，且无需将哈希函数建模为随机预言机。证明采用了两条路径：通过猜测纤维（代价为 $T$ ）或同时在所有纤维中嵌入挑战。
部分暴露分析： 它提供了针对“直接前缀”恢复模型的精确概率律，即在对手拥有部分密钥的情况下。它表明，虽然暴露的密钥允许恢复一段前缀消息，但链式结构阻止了对后续块的立即恢复，除非“行走”路径持续处于这些暴露的密钥之上。
对前作的修正： 它明确识别并修复了早期几何方案中的失效问题（该方案会沿公方向暴露明文标量），通过确保明文以加法形式进入并被掩码化，从而防止了标量暴露。

结果与界限

可靠性： 对于配置为 $T=16$ 个密钥和 $L=64$ 个块的情况，解码失败概率的上界为 $2^{-192}$ 。这是一个可靠性界限，而非安全强度估计。
安全性： 该方案的机密性以判定型 Module-LWE 问题的难度为条件。归约过程会产生乘性损失（例如因子 $T$ 或 $L$ ），这意味着在没有进一步假设的情况下，该方案并不声称具有具体的定值安全性（如 128 位安全）。
暴露限制： 在对手持有分数比例 $p$ 的密钥的受限模型中，可直接恢复的块数的期望值遵循有上限的几何分布。然而，论文指出，这并不限制可能利用候选消息攻击或已知明文来推断未来状态的无限制对手。

意义与主张
本文谦逊地将 Z-Sigil 定位为对一种特定组合架构的研究，而非一种新的密码原语或符合标准的实现（它不是 ML-KEM）。

无认证性： 该方案不提供身份认证或抗选择密文攻击（IND-CCA）的安全性。
无量子加速声明： 其几何动机引用了量子叠加概念（引用 Manin），但明确指出这仅作为研究该架构的动机，而非论证该方案能抵御量子攻击。
研究方向： 本工作作为探索“路径依赖几何学”在密码学中应用的试验场。它区分了当前的平坦几何（作为一种表示）与未来涉及传输与全纯（holonomy）的非平凡弯曲纤维丛的研究，并指出目前的整全传输约束非常严苛（受限于为了保持噪声预算而采用的有符号置换）。
可验证性： 论文强调了可复现性，提供了字节剖面、伪代码和已知答案向量，同时将实现记录与数学证明分开处理。

总之，Z-Sigil 证明了可以构建一种依赖于明文的、在预生成密钥族上进行的“行走”，只要能够管理好噪声预算且几何结构不会无意中暴露明文标量。它作为一个特定类别的状态化、基于密钥族的加密方案的严谨提案，并对其安全保证划定了明确的边界。

技术摘要：“Z-Sigil：一种基于模格密钥纤维丛的链式选择公钥密码体制”

类似论文