Este legal?
Nu, și ați dat pe motiv - algoritmul convertește mesajul într-o serie de 16 valori de la 1 la 128, apoi semnează doar pe baza acestuia. Adică un total de 112 biți; de fapt, este ceva mai rău decât atât, deoarece algoritmul pe care îl folosesc pentru a converti hash-ul mesajului în seria de 16 valori va genera valori care însumează întotdeauna (mod 128) la 64;. Aceasta înseamnă că, cu o pereche validă mesaj/semnătură, puteți găsi o a doua imagine care se traduce în aceleași primele 15 valori [1] (și astfel ar fi un mesaj valid pentru aceeași semnătură) cu un așteptat $O(2^{105})$ efort. Și mai rău, deoarece traducerea nu implică nicio randomizare, vă puteți aștepta să găsiți o coliziune (și apoi să cereți semnarea unui mesaj; al doilea mesaj cu aceeași semnătură ar fi un fals) cu un mesaj așteptat. $O(2^{52,5})$ efort.
Lucrarea face și o serie de afirmații eronate; iată cele care îmi ies în evidență:
Ei susțin că „Alte tipuri de scheme OTS/FTS (cu excepția WOTS și a acestuia
variante) nu sunt capabile să permită calculul
cheie publică de la semnături, cu excepția cazului în care un set suplimentar uriaș
informațiile sunt furnizate verificatorului."; acest lucru este incorect. Pentru fiecare schemă de semnătură bazată pe hash pe care am văzut-o, procesul de verificare a fost în esență „preluați mesajul, semnătura și, eventual, o cantitate mică de date din cheia publică, calculați o serie de hashe-uri, iar dacă rezultatul se potrivește cu ceea ce este în cheia publică, câștigați". Adică, tot ce aveți nevoie pentru a reconstrui cheia publică este această „cantitate mică de date”, nu „un set suplimentar uriaș de informații „. Un punct minor, cu excepția faptului că ei subliniază acest lucru în mod repetat.
Evaluarea lor, care constă în compararea cu alte scheme de semnătură bazate pe hash selectate (dar nimic cu un parametru W mare); cu toate acestea, ei insistă să ruleze schemele competitive cu o dimensiune hash nerealist de mare (valoare n) - ei observă că schema lor (care are un parametru W mare și o valoare n mai mică) are ca rezultat semnături mai mici; nu este surprinzător când au pus degetul mare pe cântar atât de greu.
Aceștia mai precizează că „În sfârșit, NOTS a realizat toate aceste reduceri
în dimensiunile cheii și semnăturii fără a compromite nivelul de securitate”; chiar dacă o privire asupra tabelului lor arată că ei susțin că NOTS are un nivel de securitate semnificativ mai scăzut (fără a lua în considerare punctul pe care l-am spus mai sus despre cum nici măcar nu reușește asta).
În ceea ce privește dovezile lor de securitate, ei bine, acestea constă în algoritmi pe care îi furnizează, care ia un fals și generează o coliziune; totuși, parcurgerea algoritmului arată că, chiar și atunci când i se oferă un fals, acesta poate eșua (adică să nu producă o coliziune); deci este invalidă ca dovadă.
[1]: Odată ce primești un meci în primul 15, vei primi întotdeauna un meci în al șaisprezecelea.
