NTRUSign , también conocido como algoritmo de firma NTRU , es un algoritmo de firma digital de criptografía de clave pública NTRU basado en el esquema de firma GGH . La versión original de NTRUSign fue Polynomial Authentication and Signature Scheme ( PASS ), y se publicó en CrypTEC'99. [1] La versión mejorada de PASS se denominó NTRUSign y se presentó en la sesión final de Asiacrypt 2001 y se publicó en formato revisado por pares en la Conferencia RSA 2003. [2] La publicación de 2003 incluía recomendaciones de parámetros para la seguridad de 80 bits. Una publicación posterior de 2005 revisó las recomendaciones de parámetros para la seguridad de 80 bits, presentó parámetros que dieron niveles de seguridad declarados de 112, 128, 160, 192 y 256 bits, y describió un algoritmo para derivar conjuntos de parámetros en cualquier nivel de seguridad deseado. NTRU Cryptosystems, Inc. ha solicitado una patente para el algoritmo.
NTRUSign implica mapear un mensaje a un punto aleatorio en un espacio bidimensional N , donde N es uno de los parámetros de NTRUSign, y resolver el problema del vector más cercano en una red estrechamente relacionada con la red NTRUEncrypt . Se afirma que NTRUSign es más rápido que esos algoritmos en niveles de seguridad bajos, y considerablemente más rápido en niveles de seguridad altos. Sin embargo, el análisis ha demostrado que el esquema original es inseguro y filtraría el conocimiento de la clave privada. [3] [4]
Se presentó un pqNTRUSign rediseñado a la competencia de estandarización de criptografía post-cuántica del NIST . [5] Se basa en la metodología "hash-and-sign" ( transformación Fiat-Shamir contrastante ) y afirma lograr un tamaño de firma más pequeño.
El grupo de trabajo IEEE P1363 está considerando la estandarización de NTRUSign . [ cita requerida ]
En 2000, Wu, Bao, Ye y Deng demostraron que la firma de PASS, la versión original de NTRUSign, se puede falsificar fácilmente sin conocer la clave privada. [6] NTRUSign no es un esquema de firma de conocimiento cero y una transcripción de firmas filtra información sobre la clave privada, como observaron por primera vez Gentry y Szydlo. [3] Nguyen y Regev demostraron en 2006 que, para los conjuntos de parámetros originales no perturbados de NTRUSign, un atacante puede recuperar la clave privada con tan solo 400 firmas. [4]
Las propuestas actuales utilizan perturbaciones para aumentar la longitud de la transcripción necesaria para recuperar la clave privada: el firmante desplaza el punto que representa el mensaje por una pequeña cantidad secreta antes de que se calcule la firma misma. NTRU afirmó que se necesitan al menos 230 firmas , y probablemente muchas más, antes de que una transcripción de firmas perturbadas permita un ataque útil. En 2012 se presentó un ataque al esquema con perturbaciones que requería unos pocos miles de firmas para los parámetros de seguridad estándar. [7]
pqNTRUSign afirma una seguridad clásica y cuántica de 128 bits para su conjunto de parámetros dado.