Tôi đã tìm thấy một phần câu trả lời trong Dennis Jackson, Cas Cremers, Katriel Cohn-Gordon và Ralf Sasse: Có vẻ hợp pháp: Phân tích tự động các cuộc tấn công tinh vi vào các giao thức sử dụng chữ ký, Trong Cryptology ePrint Lưu trữ, Báo cáo 2019/779, ban đầu trong thủ tục của ACM CCS 2019.
Thuật ngữ của họ cho cuộc tấn công chống lại sơ đồ chữ ký là Chữ ký va chạm, còn hơn là Chữ ký trùng lặp trong bài báo gốc ở chú thích 1 của câu hỏi.
Họ đặt tên cho tài sản mong muốn mà ECDSA thiếu Chữ ký không xung đột. Sec1v2 loại bỏ đó là một rủi ro từ chối đáng lo ngại, như sau:
Người ký ác ý có thể cố gắng từ chối chữ ký trên một trong các thư. Lập luận bác bỏ dẫn đến việc bên thứ ba nào đó đã gây ra chữ ký trùng lặp dường như giả định trước sự tồn tại của một cuộc tấn công giả mạo thực sự. Bởi vì các cuộc tấn công như vậy là không xác định, sự cân bằng của các xác suất rơi vào ác ý của người ký, vì người ký có quyền truy cập vào khóa riêng và do đó khả năng tạo chữ ký cao hơn nhiều. Ngoài những lo ngại chung này, cuộc tấn công chữ ký trùng lặp này còn có thêm nhược điểm là nó làm lộ khóa riêng của người ký. Vì khóa riêng được xác định bởi chữ ký và hai thông báo được ký, xác suất người ký đã tạo khóa riêng một cách trung thực là không đáng kể và người ta có thể suy luận gần như chắc chắn rằng khóa riêng được tạo ra một cách có chủ ý để khởi chạy khóa này. tấn công. Do đó, để từ chối chữ ký, người ký sẽ phải khẳng định rằng một số bên thứ ba đã tạo khóa riêng của người ký, điều này mâu thuẫn với khẳng định thông thường mà người ký phải đưa ra để không từ chối: cụ thể là người ký đã tạo khóa riêng và không tiết lộ nó cho bất cứ ai khác.
Tôi hiểu lý lẽ, nhưng "thà an toàn còn hơn xin lỗi" xuất hiện trong tâm trí tôi. Là một học viên, tôi ước ECDSA đã buộc $Y$ phối hợp đồng đều, điều này sẽ ngăn chặn điều này và thực hiện sơ đồ SEUF-CMA trong một lần di chuyển. Đồng quan điểm, tôi ước gì EdDSA đã từ chối một vài khóa công khai cấp thấp ngay từ đầu.
Quá trình chính thức hóa khi thử nghiệm bảo mật diễn ra: trên đầu vào $1^n$, đối thủ cố gắng xuất $(\mathrm{pk},m,m',\sigma)$ với đúng $n$ truyền đạt trong $\mathrm{pk}\,$, $m\ne m'\,$, $\mathsf{Vrfy}(\mathrm{pk},m,\sigma)=1\,$, và $\mathsf{Vrfy}(\mathrm{pk},m',\sigma)=1$.
Nhưng câu hỏi cũng hỏi về một cuộc tấn công đáng lo ngại hơn vào chữ ký ngắn Schnorr, điều này khác vì khóa công khai/riêng tư không được tạo một cách độc hại và một số cặp thông báo có thể được tạo.
Đối với điều này, tôi không tìm thấy tài liệu tham khảo (tôi sẽ không đánh dấu câu trả lời là được chấp nhận vì lý do này). Tôi tạm thời đặt tên cho cuộc tấn công Chữ ký xung đột không được tính toán trước. Tôi ngần ngại cho tài sản bảo đảm.
Việc chính thức hóa dưới dạng thử nghiệm bảo mật có thể diễn ra: trên đầu vào $(\mathrm{pk},\mathrm{sk})$ đầu ra bởi $\mathsf{Gen}$, đối thủ cố gắng xuất $(m,m',\sigma)$ với $m\ne m'\,$, $\mathsf{Vrfy}(\mathrm{pk},m,\sigma)=1\,$, và $\mathsf{Vrfy}(\mathrm{pk},m',\sigma)=1$. Một biến thể nhỏ cũng sẽ cung cấp đầu vào là một bản sao của $\mathsf{Gen}$băng ngẫu nhiên/máy phát điện.
