附录 B. 安全强度 (Security Strengths)

NIST 没有使用安全比特数来定义量子算法的强度, 而是定义了一组宽泛的安全强度类别. 每个类别都由一个相对易于分析的参考原语定义, 该原语覆盖现有 NIST 对称密码学标准所提供的一系列安全强度, NIST 预期这些强度能够显著抵抗量子密码分析. 这些类别描述了任何破坏相关安全定义的攻击所必须需要的计算资源, 其规模应当相当于或大于以下操作所需资源:

Level 1 - 对 128 比特密钥的分组密码进行密钥搜索, 例如 AES128.
Level 2 - 对 256 比特哈希函数进行碰撞搜索, 例如 SHA256/SHA3-256.
Level 3 - 对 192 比特密钥的分组密码进行密钥搜索, 例如 AES192.
Level 4 - 对 384 比特哈希函数进行碰撞搜索, 例如 SHA384/SHA3-384.
Level 5 - 对 256 比特密钥的分组密码进行密钥搜索, 例如 AES 256.

为 NIST 安全级别 1, 3 和 5 定义的 SLH-DSA 参数集列在表 1 中, 同时列出了相应的签名, 公钥和私钥大小, 单位为字节. HashSLH-DSA 参数集与对应的 Pure SLH-DSA 参数集具有相同数值.

+==============================+============+======================+
| OID                          | NIST Level |   Size (in bytes)    |
|                              |            +=======+======+=======+
|                              |            | Sig.  | Pub. | Priv. |
|                              |            |       | Key  | Key   |
+==============================+============+=======+======+=======+
| id-(hash-)slh-dsa-sha2-128s  | 1          | 7856  | 32   | 64    |
+------------------------------+------------+-------+------+-------+
| id-(hash-)slh-dsa-sha2-128f  | 1          | 17088 | 32   | 64    |
+------------------------------+------------+-------+------+-------+
| id-(hash-)slh-dsa-sha2-192s  | 3          | 16224 | 48   | 96    |
+------------------------------+------------+-------+------+-------+
| id-(hash-)slh-dsa-sha2-192f  | 3          | 35664 | 48   | 96    |
+------------------------------+------------+-------+------+-------+
| id-(hash-)slh-dsa-sha2-256s  | 5          | 29792 | 64   | 128   |
+------------------------------+------------+-------+------+-------+
| id-(hash-)slh-dsa-sha2-256f  | 5          | 49856 | 64   | 128   |
+------------------------------+------------+-------+------+-------+
| id-(hash-)slh-dsa-shake-128s | 1          | 7856  | 32   | 64    |
+------------------------------+------------+-------+------+-------+
| id-(hash-)slh-dsa-shake-128f | 1          | 17088 | 32   | 64    |
+------------------------------+------------+-------+------+-------+
| id-(hash-)slh-dsa-shake-192s | 3          | 16224 | 48   | 96    |
+------------------------------+------------+-------+------+-------+
| id-(hash-)slh-dsa-shake-192f | 3          | 35664 | 48   | 96    |
+------------------------------+------------+-------+------+-------+
| id-(hash-)slh-dsa-shake-256s | 5          | 29792 | 64   | 128   |
+------------------------------+------------+-------+------+-------+
| id-(hash-)slh-dsa-shake-256f | 5          | 49856 | 64   | 128   |
+------------------------------+------------+-------+------+-------+

                Table 1: SLH-DSA Security Strengths