Revocable Ring Signature

Revocable Ring Signature（JCST 2007）：从形式化安全证明到现代格基匿名认证

本文研读对象：Dennis Y. W. Liu, Joseph K. Liu, Yi Mu, Willy Susilo, Duncan S. Wong, Revocable Ring Signature, Journal of Computer Science and Technology 22(6):785–794 (2007)。DOI： https://doi.org/10.1007/s11390-007-9096-5 。本文以原论文印刷页码为准。文中的流程和关系图均为读者自制，不是原论文 Figure。

阅读约定：【原文定义】表示作者实际给出的接口与安全主张；【数学复导】表示根据原文公式独立推导；【现代背景】表示后续密码学研究；【审计判断】表示对证明前提与安全定义的独立检查。证明缺口不能直接等同于真实系统遭到攻击。

一、最先需要澄清的 revocation 语义

2007 年的 Revocable Ring Signature（以下简称 RRS）研究的不是如何吊销某位用户将来的签名资格。它研究的是：怎样让签名者自由组环、向公众保持匿名，同时允许指定撤销权威恢复某一份既有有效签名的实际签名者公钥。

常规环签名让用户从包含自己公钥的集合中选出一个 ring，独自完成签名。公众可以验证签名来自该 ring 的某位成员，但通常不能判断是谁签的。RRS 在保持这种自发组环能力的同时，引入一组独立于环成员的指定权威。

为理解这一设计，必须区分三个主体：

  • 实际签名者：持有自己的一把秘密签名密钥，自行选择公钥 ring。
  • 公开验证者：只能判断消息和签名是否有效，不需要知道实际身份。
  • 指定权威：持有自己的撤销私钥，可对具体签名执行身份恢复。

原文没有为这些主体再加入一个管理 ring 成立的 group manager。权威集合与签名者集合可以完全不相交。

二、从功能到数学假设：十环密码学闭环

环节 论文中的对象 核心问题 仍需要分开审查的边界
Functionality 自发组环与指定开启 谁能签名、验证、开启？ 不处理未来资格吊销
Syntax Gen / Sig / Ver / Revoke 准确输入输出是什么？ 无 Judge 或状态更新
Correctness 诚实签名／身份恢复正确性 合法执行能否成功？ 唯一匹配需额外条件
Security Games 三项安全实验 攻击者有什么权限？ 模型较现代定义受限
Assumptions DLP、BDDH、SPK 的知识与模拟性 归约的基础是什么？ 不是后量子假设
Construction Pairing tags、OR/AND 证明 机制如何实现功能？ 标签与成员见证的绑定
SPK 组合 Signature Proof of Knowledge 验证通过意味着知道什么？ 共享挑战不自动保证共享见证
Reduction Theorem 4.1–4.3 为什么安全游戏难以攻破？ Oracle 模拟和抽取义务
Efficiency 签名长度与配对开销 n、ℓ 增大会怎样？ 仅解析估计，没有 benchmark
Limitations 2007 作者的结论与展望 哪些问题尚未解决？ 更强匿名、常数大小、多权威管理

密码学论文的完整性并不取决于它写出了多少个 theorem，而取决于这些环节是否能够组成一条没有偷换安全模型和数学关系的证明链。

三、四算法接口与最小正确性

【原文定义｜Definition 2.1，p.787】

\[\mathsf{RRS}=(\mathsf{Gen},\mathsf{Sig},\mathsf{Ver},\mathsf{Revoke}). \]

各算法的准确输入输出为：

\[\begin{aligned} (x,y)&\leftarrow\mathsf{Gen}(1^k),\\ \sigma&\leftarrow\mathsf{Sig}(S,x,T,m),\\ 0/1&\leftarrow\mathsf{Ver}(S,m,T,\sigma),\\ y'&\leftarrow\mathsf{Revoke}(S,\hat x,T,\sigma). \end{aligned} \]

这里 Sig 的秘密输入是签名者私钥 x，而 Revoke 的秘密输入是 authority 私钥。两者虽然都被原文写成普通符号 x，角色却完全不同。Revoke 返回的也是签名者公钥，不是现实世界身份认证信息。

【原文构造｜§3，p.789】作者选择同阶循环群 G₁、G₂，生成元 P∈G₁，以及双线性配对：

\[\hat e:G_1\times G_1\longrightarrow G_2. \]

用户与指定权威使用同类密钥：

\[x\leftarrow\mathbb Z_q,\qquad y=xP. \]

环成员和指定权威分别组成：

\[S=\{y_1,\ldots,y_n\},\qquad T=\{\hat y_1,\ldots,\hat y_\ell\}. \]

真实签名者索引为 π，持有 xπ。签名者选择随机数 r，计算：

\[R=rP,\qquad E_j=\hat e(y_\pi,\hat y_j)^r. \]

根据双线性：

\[E_j=\hat e(R,\hat y_j)^{x_\pi}. \]

因此可以要求签名者提供组合 SPK：

\[\operatorname{SPK}\left\{\alpha:\left(\bigwedge_{j=1}^{\ell}E_j=\hat e(R,\hat y_j)^\alpha\right)\land\left(\bigvee_{i=1}^{n}y_i=\alpha P\right)\right\}(m). \]

它有两个逻辑组成部分：一个 OR 证明声称掌握 ring 中某个秘密密钥，另一个 AND 证明声称所有 authority 关联标签均由同一个秘密解释。

完整签名由公开 R、ℓ 个标签 Eⱼ，以及非交互 SPK 记录组成。

Signature Correctness 的正向证明是：诚实签名者选取 α=xπ，便能同时满足 OR 和全部 AND 关系；按 Appendix A 计算证明响应，验证方可正确重建哈希承诺，接受签名。

Revocation Correctness 的正向证明是：合法 authority ξ 使用其私钥 x̂ξ，对每个候选公钥 yᵢ 检查：

\[E_\xi\stackrel{?}{=}\hat e(y_i,R)^{\hat x_\xi}. \]

真实签名者一定满足：

\[\begin{aligned} \hat e(y_\pi,R)^{\hat x_\xi} &=\hat e(y_\pi,rP)^{\hat x_\xi}\\ &=\hat e(y_\pi,\hat x_\xi P)^r\\ &=\hat e(y_\pi,\hat y_\xi)^r\\ &=E_\xi. \end{aligned} \]

但真实成员能匹配，不能未经检查就升级为永远只有该成员匹配。当签名随机数 r=0 时，R 为群零元、所有标签都是目标群单位元，所有候选公钥都可能同时满足测试。要证明唯一性，应明确随机量非零、配对群阶以及公钥互异等前提。

四、三项安全游戏与五条证明结论

2007 年论文定义三项安全实验：

游戏 攻击者希望做到什么 特别重要的限制
Unforgeability，Definition 2.2 输出新的、有效的环签名 目标 ring 不含已腐化成员，不能原样重放 SO 回复
Signer Anonymity，Definition 2.3 区分挑战签名由两名候选者中的谁生成 两候选者及指定 authority 私钥不能被腐化
Signer Revocability，Definition 2.4 让至少一名权威恢复的身份不同于唯一腐化成员 目标 ring 中恰好有一把已腐化 sk

Theorem 4.1：不可伪造性

【原文定理｜p.790】如果基础环签名部分 SPK(3) 在所引用的选择消息和选择公钥模型下不可伪造，而且公钥池 U 的大小 N 为常数，那么作者声称完整构造满足 Definition 2.2 的不可伪造性。

归约者需要事先猜中攻击者最终的目标 ring，其概率为：

\[\Pr[\text{guess correct ring}]=\frac{1}{\binom Nn}. \]

这个因子是原文明确给出的。作者没有详细展开全部 signing oracle 的联合 SPK 模拟、Fiat–Shamir 查询一致性，以及完整 RRS 签名的新鲜性如何转换为基础环签名的伪造新鲜性。

因此，对 Theorem 4.1 更准确的评价是：给出了明确的条件性定理和部分归约思路，但完整的 oracle-level 归约仍待独立闭合。这不等于已经发现一个针对该定理的有效伪造攻击。

Lemma 4.1：IND-BDDH 与 BDDH 的联系

作者使用 IND-BDDH 判断：公开的目标群元素究竟由两个候选秘密指数中的哪一个生成。

若算法 A 以至少 \(1/2+\varepsilon\) 的概率完成区分，Lemma 4.1 给出 BDDH 求解者 B，其成功概率至少约为：

\[\Pr[\mathcal B\text{ succeeds}]\ge\frac12+\frac{\varepsilon}{2}. \]

思路是把待判定的 BDDH 元素随机放入两个候选中的一个位置，另一个候选使用随机群元素。当输入是真实 BDH 关系时，A 的候选判断能力会转化为 B 的判定优势；随机目标情况下则回到随机猜测。形式化证明需要适当处理可忽略的偶然匹配事件。

Lemma 4.2：匿名攻击者归约为 IND-BDDH 区分者

作者预先猜测两名挑战 signer 所在位置，因此出现：

\[\lambda=\frac{1}{\binom N2}=\frac{2}{N(N-1)}. \]

在可模拟组合 SPK 的条件下，作者给出：

\[\Pr[\mathcal A\text{ solves IND-BDDH}]\ge\frac12+\frac{2\varepsilon}{N(N-1)}. \]

但原文的一个关键模拟步骤需要补充：作者把非挑战公钥写作 \(y_i=\alpha_iP_2\)。如果 \(P_2=tP\)，那么对应真实 Gen 私钥应为 \(x_i=\alpha_it\)，而归约者没有说明如何获得 t。

Definition 2.3 却允许攻击者通过 corruption oracle 获得合法私钥，并要求在 Guess 阶段收到大量非挑战用户的私钥 W。模拟一份 SPK transcript，并不能替代交付这些真实秘密标量。

所以，Lemma 4.2 的 CO/W 模拟在公开证明文本中没有闭合。这属于证明缺口，不是已经构造出匿名性攻击。

Theorem 4.2：有条件的 Signer Anonymity

最终匿名性依赖：基础 ring proof 的强匿名性、BDDH 困难、SPK(1) 可模拟性，以及 Lemma 4.1、4.2 的有效归约。

这并不等于完整 RRS 可以抵抗全部 key exposure。若任意指定 authority 私钥暴露，攻击者便获得协议本来赋予权威的身份恢复能力。原文也未定义带 opening oracle 的完整 CCA anonymity 实验。

Theorem 4.3：Signer Revocability

【原文定理｜pp.791–792】作者假设不可伪造性及独立生成密钥之间的不可求性，使用反证法说明：若错误身份恢复发生，攻击者应知道两个不同 ring 成员的私钥。

关键式为：

\[E_\xi\ne\hat e(y_\pi,R)^{\hat x_\xi}=\hat e(R,\hat y_\xi)^{x_\pi} \]

以及作者从 SPK 知识关系得到的：

\[E_\xi=\hat e(R,\hat y_\xi)^\alpha. \]

作者由此推断 α≠xπ，进而声称攻击者掌握两把私钥。

但这一推导的核心前提是：被验证接受的组合 SPK 确实意味着存在一个同一秘密 α，同时满足 ring 和 pairing 两个关系。这必须由实际 Appendix A 的证明协议保障，而不是仅由书面声明保障。

五、Appendix A：共享 Challenge 为什么不等于共享 Witness？

【审计判断】Appendix A 的最终 transcript 使用 pairing 部分的响应 s、ring 分支响应 sᵢ 与挑战分量 cᵢ。验证者检查：

\[C=\sum_i c_i\pmod q, \]

\[A_j^{\mathrm{pair}}=\hat e(R,\hat y_j)^sE_j^C, \]

\[A_i^{\mathrm{ring}}=s_iP+c_iy_i. \]

最后用所有公开参数与承诺计算一个总 Fiat–Shamir 哈希挑战，检查其是否等于 C。

这里确实包括 S、T、R、所有 Eⱼ、两类承诺和消息 m。不能因为质疑该证明，就错误地宣称它漏掉了这些字段。

然而，两个部分即使使用不同见证 β、γ，也能分别构造合法验证等式：

\[s=u_1-C\beta,\qquad s_\pi=u_2-c_\pi\gamma. \]

如果 β=0、γ 是 ring 中一名真实成员的非零私钥，设置所有 Eⱼ=1，则 pairing 和 OR 两个验证式仍可能同时成立，但指定 authority 在通常非退化输入下找不到匹配成员。

这已经由小阶玩具群的独立代数复核支持。它是针对 Appendix A 预期共同见证关系的反例，不应被误写成已经证明任意真实规模上的攻击效率，也不能自动用来否定另外两项安全定理。

六、Definition 2.4 的 SO Replay：安全定义和正确性不能混淆

这个问题与 Appendix A 的知识关系缺口完全独立。

假设攻击者向 signing oracle 查询某个 ring S、权威集合 T 和消息 m，得到一份诚实签名 σ。然后攻击者从 S 中随机选择一名成员，通过 corruption oracle 获得其私钥，再原样输出这份 σ。

Definition 2.4 要求目标 ring 中恰有一名腐化成员，并将此人的公钥作为正确开启的预期结果。但 SO 生成签名时未必使用这位成员的私钥。

如果 SO 的真实 signer 是 ρ，而攻击者腐化了 i≠ρ，那么正确的 Revoke 应输出 yρ；游戏却可能因为 yρ≠yᵢ 而把它判为攻击成功。

在独立均匀选择腐化成员、ring 大小 n≥2 的条件下，这一错位的概率为：

\[1-\frac1n. \]

原文的不可伪造性游戏显式排除 SO 原样重放，但 revocability 游戏没有写出等价的来源或新鲜性排除。因此，这是值得认真记录的安全游戏反例：一份完全正确开启的诚实签名也可能被当成失败。

它说明为什么正确设计安全游戏不仅要定义获胜谓词，还必须完整记录 oracle 输出、腐化时序和被攻击签名的来源。

七、性能：不要把解析估计当成实测

【原文事实｜§4.4，p.792】作者在 q 占 20 bytes、目标群元素占 128 bytes、使用 Appendix A 实例化时，给出签名长度：

\[L_{\rm author}=20+128\ell+40n\ \mathrm{bytes}. \]

从签名组成逐个计数，包含 R∈G₁、ℓ 个 Eⱼ∈G₂、一个 s∈ℤ_q 以及 2n 个 OR 标量。因此自然的编码预算是：

\[L_{\rm full}=|\mathrm{enc}(R)|+128\ell+20(1+2n)+L_{\rm framing}. \]

原文没有说明 R 的准确字节编码成本，因此不能自行赋予它一个固定常数。原文长度公式与完整签名字段之间存在一个需要进一步解释的计数差异。

操作 直接实例中的规模依赖 备注
生成签名 O(n+ℓ) ℓ 个 authority 标签、n 个 OR 分支
公开验证 O(n+ℓ) 配对承诺与 OR 分支检验
单位 authority 身份恢复 O(n) 扫描 ring 内 n 个候选公钥
所有 ℓ 个 authority 分别恢复 O(nℓ) 总量 独立开启，不是阈值联合开启
签名体积 O(n+ℓ) 具体序列化与压缩另计

作者建议预计算 pairing，但每次签名的 R=rP 通常会改变，不能把针对某个已知 R 的数值无条件当成永久缓存。

原论文没有给出可验证的软件 benchmark。因此没有依据声称其在线签名需要多少毫秒、吞吐量多少 TPS，或某种 CPU 上节省多少 cycles。

八、现代 ARS、动态群签名、可追踪环签名是什么关系？

【现代背景】术语相似，不意味着安全功能相同。

原语 身份恢复触发与信任模型 与 2007 RRS 的重要区别
2007 RRS 签名指定 T，合法 authority 可独立开启 无公开 Judge，不控制未来资格
Accountable Ring Signature 指定 opener；现代构造可提供 opening proof 和 Judge 更关注对恶意密钥、错误归责及 opener 声明的审查
Fully Dynamic Group Signature 成员资格由 GM 管理，可能与 opening authority 分离 有加入、退出、epoch/state 的正式模型
Traceable Ring Signature 同 ring / issue tag 下发生某类重复行为时公开揭示或关联 是特殊行为触发，不是任意指定 authority 开启
Revocable-iff-Linked Ring Signature 发生可关联的重复签名时触发身份揭示 该概念早于 2007，撤销条件不同

这几个方向的时间线也必须正确：Xu–Yung 在 CARDIS 2004 已提出 Accountable Ring Signature；Au 等人在 INDOCRYPT 2006 研究了 Revocable-iff-Linked Ring Signature；Fujisaki–Suzuki 的 Traceable Ring Signature 发表于 2008 年。2007 年方案不是这些所有原语共同的起源。

现代 Accountable Ring Signature 中，Bootle 等人的 ESORICS 2015 工作提供了更强的安全定义，并研究 Open、Judge、恶意选择公钥及对数级 ring 签名长度。与之相邻的 Bootle 等人 Foundations of Fully Dynamic Group Signatures（Journal of Cryptology，2020）进一步形式化动态群成员加入和退出、epoch 状态、管理与开启权限分离及 non-frameability。

这些研究改进了相关领域的模型和技术，但不能仅凭模型更强，就断言它们已经修复 2007 年这一个具体 Appendix A transcript。

九、后量子安全性与真正可迁移的研究思想

2007 方案依赖 DLP 和 pairing 相关判定问题，无法作为后量子安全构造。

不过，后续研究已经存在值得直接比较的格密码基线：

  • Ling 等人的 Accountable Tracing Signatures from Lattices（2019）使用 RLWE、RSIS 和格零知识技术研究 accountable tracing signatures；它与可自由组环的 accountable ring signatures 并非完全同一种接口。
  • Wen 等人的 Revocable ring signatures with CCA-anonymity from standard lattices（Computer Standards & Interfaces，2025）声称在标准格假设和 ROM 下实现更强的 CCA anonymity，并引入 revoking oracle。这是讨论格基 RRS 时不可忽略的直接对照；其全文证明与参数仍需要独立精读。
  • Zhang 等人的 SPRING: Sign-then-prove ring signatures from lattices with compactness, extensibility, and efficiency（2026）提出模块化的格环签名思路，但不能从摘要直接推断它已经实现完整动态资格撤销。

2007 论文真正有价值的可迁移思想，是区分匿名成员关系、可公开验证的证明、可授权开启的身份关联信息，以及这些对象之间必须严格保持一致的秘密见证。

如果希望研究未来签名资格撤销，必须另行定义当前状态、撤销生效时间、更新接口、公开状态真实性、防状态回滚、旧签名接受政策和对已撤销用户的安全游戏。单独揭示历史签名者的公钥，不会自动使该用户失去未来使用已有私钥签名的能力。

十、最终审稿结论

综合原文定义、代数、证明与现代比较，可以把这篇历史论文定位为：

一个功能目标清晰、提出配对身份标签和环签名知识证明组合机制、但其完整形式化安全论证需要按现代要求进一步审查的早期可撤销匿名性环签名方案。

它值得学习的不是“只要有一个 SPK 就能证明安全”，而是恰恰相反：

  1. 目标关系和实际证明协议必须一致。
  2. 安全游戏中的 oracle、腐化时序与胜利事件必须一致。
  3. 归约不仅要给出优势损失，还要模拟攻击者真实拥有的全部信息。
  4. 功能上的身份恢复、恶意 opener 的不可栽赃、用户未来资格吊销，是三个不同的问题。
  5. 经典配对构造的设计启发可以保留，但它的困难性假设不能直接迁移为后量子证明。

参考文献（原论文与已核验的一手后续工作）

  1. Liu, D. Y. W., et al. Revocable Ring Signature. Journal of Computer Science and Technology 22(6):785–794, 2007. https://doi.org/10.1007/s11390-007-9096-5 。
  2. Xu, S., & Yung, M. Accountable Ring Signatures: A Smart Card Approach. CARDIS 2004. https://doi.org/10.1007/1-4020-8147-2_18 。
  3. Bootle, J., Cerulli, A., Chaidos, P., Ghadafi, E., Groth, J., Petit, C. Short Accountable Ring Signatures Based on DDH. ESORICS 2015. https://doi.org/10.1007/978-3-319-24174-6_13 。
  4. Bootle, J., Cerulli, A., Chaidos, P., Ghadafi, E., Groth, J. Foundations of Fully Dynamic Group Signatures. Journal of Cryptology 33 (2020). https://doi.org/10.1007/s00145-020-09357-w 。
  5. Fujisaki, E., & Suzuki, K. Traceable Ring Signature. IEICE Transactions on Fundamentals E91-A(1):83–93, 2008. https://doi.org/10.1093/ietfec/e91-a.1.83 。
  6. Au, M. H., Liu, J. K., Susilo, W., Yuen, T. H. Constant-Size ID-Based Linkable and Revocable-iff-Linked Ring Signature. INDOCRYPT 2006. https://doi.org/10.1007/11941378_26 。
  7. Bender, A., Katz, J., Morselli, R. Ring Signatures: Stronger Definitions, and Constructions Without Random Oracles. Journal of Cryptology 22 (2009). https://doi.org/10.1007/s00145-007-9011-9 。
  8. Ling, S., Nguyen, K., Wang, H., Xu, Y. Accountable Tracing Signatures from Lattices. 2019. https://arxiv.org/abs/1901.00240 。
  9. Wen, J., Susilo, W., Yang, R., Yu, Z., Zhang, H. Revocable ring signatures with CCA-anonymity from standard lattices. Computer Standards & Interfaces 91 (2025), 103893. https://doi.org/10.1016/j.csi.2024.103893 。
  10. Zhang, R., Luo, P., Huang, Q. SPRING: Sign-then-prove ring signatures from lattices with compactness, extensibility, and efficiency. Computer Standards & Interfaces 96 (2026), 104084. https://doi.org/10.1016/j.csi.2025.104084 。

十一、Lattice RRS、EPID 与资格撤销：现代一手文献的精确联系

2007 年方案的直接结果是可授权恢复历史 signer public key。在后量子环境中，研究者至少沿三个不同方向推进：一是用格困难问题实现环签名本身；二是为匿名签名加入 accountable opening；三是借助公开状态、撤销表和非撤销证明阻止被撤销者将来被接受。这三条路线不应合并成“统一的 revocable ring signature 性能排名”。

11.1 Raptor：NTRU/CH+ 格基环签名，不自动提供开启

Lu、Au、Zhang 的 Raptor（ACNS 2019，ePrint 2018/857）使用 NTRU 相关结构和 Chameleon Hash with Inversion 机制生成环签名，并讨论 one-time linkable 版本。其公开验证关心的是多组公开槽关系、消息摘要与签名规范是否成立。它不因使用 NTRU、短原像或 OTS 便自动携带历史真实 signer 的可认证身份密文。

因此，若希望比较 Raptor 与 2007 RRS，最直接的技术差异是：Raptor 的原始目标是匿名 ring verification，而 2007 RRS 额外定义了针对每位 authority 的私有 signer identity recovery。一个公开验签结果不足以作为真实历史签名者的开启证明。

11.2 现代 Accountable Ring Signature：不仅能 Open，还能 Judge

Beullens、Dobson、Katsumata、Lai、Pintore 在 Designs, Codes and Cryptography 2023 讨论了可由格或群作用等工具实例化的动态群签名/可问责环签名。它们引入更强的安全模型，关注恶意 opener、公开 opening proof、Judge，以及在线可提取证明等要求。

这类模型不是对 2007 年四算法的文字换名。2007 RRS 用指定权威秘密执行 Revoke 并返回公钥；现代 ARS 还需要第三方在不知道 opener secret 的情况下判断声明是否可信。二者的证明义务不同。

11.3 LaRRS 和标准格 CCA-anonymity RRS

Wen 等人的 LaRRS: Lattice-Based Revocable Ring Signature and Its Application for VANETs（IEEE TVT 2024，2023 年在线发表）继续研究条件隐私、可信权威与格基环签名。其核心动机仍与历史身份识别紧密相关。

Wen 等人的 Revocable ring signatures with CCA-anonymity from standard lattices（Computer Standards & Interfaces 2025）在出版社摘要与 highlights 中明确提出更强的 revoking-oracle 匿名模型。但不能仅凭摘要假设所有 opening-query 排除条件、malicious opener 防嫁祸与代码实现均经过独立核验。

11.4 Jeudy–Sanders：EPID 的签名撤销列表与 Non-Revocation Proof

Jeudy 与 Sanders 的 Lattice EPID with Efficient Revocation（EUROCRYPT 2026，ePrint 2025/1225）研究的是 EPID/匿名凭证式认证，不是自发形成公开密钥 ring 的经典 Ring Signature。

其 SRL（Signature Revocation List）把已有签名关联信息置于撤销列表，之后的新签名必须提供非撤销证明，说明新的 signer secret 与列表中撤销对象不同。作者另考虑 KRL，并讨论恶意 SRL 下的安全性。该工作的技术目标是减少将大量隐藏短向量直接放入通用 ZK 证明的负担，而不是让撤销成本彻底与列表长度无关。

作者完整版本中的参数估计显示，当 SRL 有 10 项时签名大小约 171.51 KB，而有 1000 项时约 5432.95 KB。它们是作者的参数/长度估计，不能拿来当真实端到端 Sign/Verify 的毫秒 benchmark。

11.5 Dong 2026：Future Signing-Eligibility Revocation

Dong、Yao、Wang、Zhou、Yang 的 Improvement of A Lattice-Based Revocable Ring Signature（IEEE Internet of Things Journal，2026；DOI 10.1109/JIOT.2025.3634283）将撤销签名者的未来有效认证资格作为研究目标，作者摘要提出多项式撤销列表与 NIZKPoK。

严格的密码学表述不是“用户私钥无法再进行本地签名计算”，而是“被撤销者即使仍持有旧私钥，其新输出也不能通过最新可信状态下的验证规则”。该区别对动态状态、epoch、历史签名效力、防回滚及撤销列表完整性十分重要。

当前没有在这篇技术综述中独立验证该 IoTJ 论文的完整定理、具体 proof relation、revoked decoy 权限与成本比较。因而上述内容限定为出版社/题录与摘要支持的研究目标，不推断精确安全实验细节。

11.6 SPRING、Blockchain RLRS、动态 GS 的比较边界

  • SPRING（CSI 2026）：sign-then-prove 的格基模块化环签名，作者摘要明确讨论可扩展 accountable features。其报道的 17 KB（ring size 2²⁰）是 base 签名指标，不自动等于 accountable extension 的总成本。
  • Zhao 等（High-Confidence Computing 2025）：面向区块链的对数大小可撤销可链接环签名，摘要涉及 accumulator、ElGamal 和 NISA。因为包含经典 ElGamal 组件，不应未经假设审计就称为全后量子方案。
  • Dong–Yao（Cybersecurity 2026）：面向群签名的用户控制链接与多项式资格撤销，具有动态 group management 语义。它是重要相邻基线，不自动等于自由组环 RRS。

11.7 一张功能矩阵胜过笼统的“新旧 SOTA 排名”

研究对象 主要功能 动态资格状态 历史身份开启 原始环成员自发选择 证据范围
Liu 2007 指定权威撤销历史匿名性 原文无 是 是 PDF 全文
Raptor 2019 格基环签名 / one-time linkability 原文无 无原生接口 是 原论文
Beullens 2023 Accountable opening / dynamic group 依具体实例 是 ARS variant 期刊全文
Wen LaRRS 2024 格基条件隐私/身份打开 未逐项核实 是 ring 模型 官方摘要
Wen CCA RRS 2025 强化匿名性与 opening oracle 未逐项核实 是 ring 模型 官方摘要/highlights
Jeudy–Sanders 2026 EPID SRL/KRL + 非撤销证明 是 不等于本文 Revoke 否，凭证式 作者全文重点章节
Dong IoTJ 2026 未来认证资格阻断 作者摘要声称 待全文核实 作者 RRS 模型 摘要级

十二、最后的密码学阅读原则

一份经典安全论文的可靠闭环应当是：Functionality → Syntax → Correctness → Security Game → Construction → Knowledge Relation → Oracle Simulation → Reduction → Efficiency。即使其数学直觉清楚、诚实配对恒等式成立，归约仍必须解释攻击者的每一项查询、揭露、合法腐化与新鲜性限制。反之，发现证明文本缺少步骤，也不能直接断言所有相关构造均不可能安全。

2007 年 RRS 的持续技术价值是将匿名成员关系和指定身份恢复尝试绑定到同一个秘密见证的设计思想。对后量子方向，能够借鉴的是严格的 relation 设计、安全游戏与权限分离，而不是经典 pairing 本身。

附加一手来源（全文与摘要核验层级不同）

posted @ 2026-11-09 16:49  3cH0_Nu1L  阅读(9)  评论(0)    收藏  举报