CN101647229A - 压缩的ecdsa签名 - Google Patents

Abstract

本发明提供了一种用于压缩ECDSA签名的改进压缩方案。对于签名(r，s)，所述方案使用小于s的值c来替代(r，s)中的整数s。值c是根据s和另一个值d来导出的，d足够小使得c小于s。通过使用r和e来计算值，e是消息m的散列，并使用所述值和从r恢复的值R来导出值d，从而验证压缩的签名(r，c)。随后可以恢复值s并且随后恢复并验证完整签名。

Description

压缩的ECDSA签名

技术领域

本发明涉及密码方案并且在数字签名算法中尤其实用。

背景技术

消息的数字签名是依赖于某些只有签名者知道的秘密的数，此外，该数又依赖于被签名的消息的内容。签名应当是可验证的。如果对一方是否对文档进行了签名出现争议(由于签名者试图否认其确实创建的签名，或者由于欺骗性声明而导致)，无偏的第三方应当能公正地解决这件事，而不需要访问签名者的秘密信息(例如，私有密钥)。

数字签名在信息安全中具有很多应用，特别地，它们被使用在密码方案中。一些应用包括认证、数据完整性和不可否认性。数字签名的一种特别重要的应用是验证大型网络中的公共密钥。对于可信的第三方，验证是一种将用户的身份与公共密钥绑定的方式，使得在以后某个时间，其它实体可以对公共密钥进行认证而无需来自可信第三方的帮助。

被称为数字签名算法(DSA)的密码方案基于公知的且经常讨论的离散对数问题的难解决性。DSA由美国国家标准和技术学会(NIST)于1991年提出并已经成为美国联邦信息处理标准(FIPS 186)，称为数字签名标准(DSS)。该算法是公知的ElGamal签名方案的变型，并且可以被分类为具有附录的数字签名(即一种依赖于密码散列(hash)函数而不是定制冗余函数的数字签名)。

椭圆曲线数字签名算法(ECDSA)是一种可以应用于椭圆曲线密码系统且具有类似于DSA的属性的签名方案。它通常被认为是最广泛标准化的基于椭圆曲线的签名方案，出现在ANSI X9.62，FIPS 186-2，IEEE 1363-2000和ISO/IEC 15946-2标准以及多个草案标准中。

ECDSA签名生成过程对若干域参数、私有密钥d和消息m进行运算。输出是签名(r，s)，其中签名分量r和s是整数，并且如下进行处理。

1、选择随机整数k∈_R[1，n-1]，n是域参数之一。

2、计算kG＝(x₁，y₁)并且将x₁转换为整数x₁，其中G是在椭圆曲线E上的点并且是域参数之一。

3、计算r＝x₁ mod n，其中如果r＝0，则返回步骤1。

4、计算e＝H(m)，其中H代表密码散列(hash)函数，其输出具有不超过n的比特长度(如果不满足该条件，则可以截断H的输出)。

5、计算s＝k^-1(e+αr)mod n，其中α是签名者的长期私有密钥。如果

s＝0，则返回步骤1。

6、将(r，s)对作为消息m的ECDSA签名输出。

ECDSA签名验证过程对若干域参数、长期公共密钥Q(其中Q＝αP)、消息m以及以上导出的签名(r，s)进行运算。ECDSA签名验证输出对签名的拒绝或接受，并且如下进行处理。

1、验证r和s是区间[1，n-1]中的整数。如果验证失败，则返回拒绝。

2、计算e＝H(m)

3、计算w＝s^-1 mod n

4、计算u₁＝ew mod n以及u₂＝rw mod n

5、计算R＝u₁P+u₂Q＝s^-1(eP+rQ)(根据以上3和4)

6、如果R＝∞，则拒绝该签名

7、将R的x坐标x₁转换为整数x₁；计算v＝x₁ mod n

8、如果v＝r，则接受该签名，否则拒绝该签名

为了提高ECDSA签名验证的效率，在上面包括s的倒置在内的特定步骤5中，已知通过省略2b比特来截断s而对ECDSA签名进行了压缩。这样的压缩的代价是额外的验证步骤，已知其代价为验证者近似2^2b次额外的椭圆曲线组运算。

在带宽节约极为重要而且验证者可以容易地处理额外密码运算的密码应用中特别需要签名压缩。一个示例是二维条形码，其中带宽非常有限而验证者的处理器可能较快。另一个示例是RFID标签，RFID标签需要来自射频场的功率以便传输数据，并因此非常希望低传输带宽。

需要一种ECDSA签名压缩的方案，该方案中验证者所付出的代价低于上述这种压缩方案。

因此，本发明的目的是消除或减轻至少一个上述缺点。

发明内容

一方面，提供了一种对消息的数字签名进行压缩的方法，所述签名包括一对签名分量r、s，所述方法包括：获得与s在数学上相关的一对值c、d，c、d中的一个值小于s；使用所述一个值来替代数字签名中的签名分量s；以及将所述签名转发给接收者。

在另一方面，提供了一种密码系统，用于根据一对签名分量r、s来生成压缩的签名，所述系统具有：算术单元，用于提供与s在数学上相关的一对值c、d；以及签名生成器，用于使用c、d中的一个值来替代签名s。

在另一方面，提供了一种密码系统，用于验证从使用如上所述系统的发送者接收的签名r、c，所述密码系统包括：算术单元，用于恢复c、d中的另一个值并将所述另一个值与预定准则进行比较。

在另一方面，提供了一种对数字签名(r，s)进行压缩的方法，包括以下步骤：使用小于s的值c来替代值s，值c是根据s和另一个值d导出的，值d足够小使得c小于s；以及使用值c来替代值s以获得压缩的签名(r，c)。

在另一方面，提供了一种对压缩的签名进行验证的方法，所述压缩的签名包括值c，值c用于替代完整签名(r，s)中的值s，所述方法包括以下步骤：使用所述压缩的签名的参数并使用消息来计算值d，值c是根据值d和值s导出的；以及在根据预定准则找到d值的情况下验证所述压缩的签名。

附图说明

现在参考附图，描述仅作为示例的本发明的实施例，其中：

图1是密码通信系统；

图2是示意签名压缩方案和压缩签名的签名验证方案的一个实施例的流程图；

图3是示意签名压缩方案和压缩签名的签名验证方案的另一个实施例的流程图。

具体实施方式

因此，参考图1，密码通信系统总体上由数字10表示。系统10具有第一通信对端12和第二通信对端14，它们可以通过通信信道16互相进行通信。通信信道16可能是安全的，也可能是不安全的。每个通信对端分别具有密码模块18和20，用于执行密码运算。

每个密码模块18和20能够执行椭圆曲线密码运算，如ECDSA签名生成和对椭圆曲线E进行运算的验证方案，其中E定义在域IFq上。这里描述的实施例特别适用于ECDSA算法，在该算法中，例如，可以以验证者需要执行额外密码运算为代价而对签名(r，s)中的整数s进行压缩。

在图2中示例的第一实施例中，通信对端12可以被称为“签名者”，而通信对端14可以被称为“验证者”。如上所述产生由签名者12为消息m生成的ECDSA签名(r，s)。为了减少带宽，通过例如用更小的值c来替代s，可以对签名进行压缩。这个示例中，值s和c由表达式相关，选择d的值使得c是小于s的值。d的值的可能范围或“界”是系统参数的一部分并且在用于确定恢复的d是否可接受的验证步骤中使用。

可以通过使用扩展Euclidean算法的变型来获得c和d的值，以发现形如ds+un＝c的等式。更精确地，扩展Euclidean算法中的中间步骤计算值x、y和z，使得xs+yn＝z。通常，扩展Euclidean算法从小的x和y(取值0或1)和大的z(如n或s那样大)开始，以大的x和y(分别约为n和s大小)和小的z(通常是1，除非n和s具有针对ECDSA中的n和s的选择不会出现的公因数)结束。在本实施例中，扩展Euclidean算法到一定程度停止，以获得中间大小的x和y的值，并分别满足对d和c的要求。

使用针对c而获得的值来替代签名中的s，以提供压缩的签名(r，c)。随后，签名者发送该签名给接收者。

通过计算点R，接收者可以验证压缩的签名(r，c)，其中R可以从r恢复。从r恢复R可以为R提供多种可能性，在这种情形下，验证者14可以为每个这样的R尝试以下验证方案。可选地，可在签名或消息m中嵌入额外的信息，或者与签名或消息m一起发送额外的信息，以指示哪个可能的值是对于R的正确选择。例如这可以是R的y坐标值的第一个比特或类似技术。对于每个这样的R，当且仅当R＝s^-1(eP+rQ)时，完整签名(r，s)定义为有效，根据上面的标记法，R＝s^-1(eP+rQ)等价于cR＝d(eP+rQ)。

为了验证签名(r，c)，验证者14首先计算W＝eP+rQ，这可以通过使用对接收者可用的公共信息来完成。如上面所讨论的，通常将e计算为消息m的散列，例如e＝H(m)。通过利用d小于签名者和验证者为压缩签名而商定的预定界的知识，验证者14随后尝试计算d＝log_W(cR)。如果在该界内没能找到这样的d，则该压缩的签名(r，c)无效而被拒绝。类似地，如果所获得的d值满足所商定的界，则该签名被认为通过验证。这样的离散对数算法通常花费与

成比例的时间。如果

足够小，则对于验证者14来说，使用这样的算法是非常实用的。一旦(并且如果)验证者14获得d，则通过计算s＝c/d mod n可以恢复完整签名(r，s)，允许验证者14使用或验证完整签名(如果他希望这样做)。

在图3所示的另一个实施例中，压缩的签名可以是(r，d)，其中d是上面的标记法中使用的值d，在这种情况下，恢复的c值需要满足特定大小范围，即是“足够小”。

类似于上面的实施例，首先计算值W＝eP+rQ，然后验证者14使用用于选择R的任何合适方法来尝试计算c＝log_R(dW)，如果c足够小则可以实现这一计算。如果没有找到这样的c，则压缩的签名(r，d)无效而被拒绝。一旦(并且如果)获得c，则该签名可以被认为通过验证，虽然通过计算s＝c/d mod n可以恢复完整签名(r，s)(如果验证者14希望使用或验证完整签名(r，s))。

在许多实际应用中，R的选择通常被缩小到在两个值(例如R和-R)之间选择，而不考虑r。通常，用于求解R和某点W之间的离散对数的算法也将找到-R和W之间的对数，这是因为如果第一个对数是例如u，则另一个是-u。典型地，检查-u足够小较为容易，因此，对于每一对候选的(R，-R)，计算一个离散对数通常是足够的。

通过以验证者14执行额外的2^b次椭圆曲线组运算为代价来去除2b个比特，上面的压缩方案可以有效地压缩ECDSA签名，其中b是由签名者选择的预定值。对于已知压缩技术，节约2b个比特的代价是2^2b次额外的签名验证，对与适中大小的b而言这是相当大的额外代价。

应当注意，ECDSA签名(r，s)的验证、压缩和解压缩可以在不使用私有密钥的情况下完成。从安全的角度来看，这意味着压缩的ECDSA签名在很大程度上保证如完整签名一样安全，这是因为无需私有密钥来压缩和解压缩完整签名。从实用的角度来看，这意味着第三方可以通过使用包括上述方案在内的方法来验证压缩的签名，从而提供服务。例如，CA可以作为中间媒介来压缩签名者创建的签名并将其转发给接收者，在接收者处对其进行验证。

虽然参考特定具体实施例描述了本发明，但是，对于本领域技术人员来说，在不脱离所附权利要求中所述的本发明的精神和范围的前提下，本发明各种变型将是显而易见的。例如，该技术可以与其它离散对数签名算法一起使用，所述其它离散对数签名算法使用短暂的私有密钥来生成随后与消息绑定的第一签名分量并使用签名者的长期私有密钥来生成第二签名分量。

Claims (19)

1、一种对消息的数字签名进行压缩的方法，所述签名包括一对签名分量r、s，所述方法包括：获得与s在数学上相关的一对值c、d，c、d中的一个值小于s；使用所述一个值来替代数字签名中的签名分量s；以及将所述签名转发给接收者。

2、根据权利要求1所述的方法，其中，所述值c，d满足预定准则。

3、根据权利要求2所述的方法，其中，所述d值被要求落入预定的界内。

4、根据权利要求3所述的方法，其中，所述值c小于所述分量s。

5、根据权利要求4所述的方法，其中，所述分量r、s表示ECDSA签名。

6、根据权利要求1所述的方法，其中，s、c和d相关，使得s＝c/d mod n。

7、根据权利要求6所述的方法，其中，所获得的所述值c、d满足预定准则。

8、根据权利要求7所述的方法，其中，所述值c、d是通过应用扩展Euclidean算法来获得的，所述算法的迭代在满足所述预定准则时终止。

9、根据权利要求6所述的方法，其中，所述一个值对应于c。

10、根据权利要求6所述的方法，其中，所述一个值对应于d。

11、一种对根据权利要求1而生成的签名进行验证的方法，包括：从所述签名恢复与所述值c、d中的另一个值相等的值，并确定所恢复的值是否满足定义的准则。

12、根据权利要求11所述的方法，其中，所述另一个值的恢复是通过对所述签名分量进行组合而获得的。

13、根据权利要求12所述的方法，其中，从所述消息获得中间值，并将所述中间值与从所述签名分量获得的值组合，以恢复所述另一个值。

14、根据权利要求11所述的方法，其中，所述另一个值被要求落入定义的界内。

15、根据权利要求11所述的方法，包括以下步骤：如果所述另一个值不满足所述预定准则，则拒绝所述签名。

16、根据权利要求11所述的方法，包括以下步骤：如果所述另一个值满足所述预定准则，则接受所述签名。

17、根据权利要求16所述的方法，其中，对原始签名执行进一步验证，所述原始签名是通过将所述一个值和所述接收者恢复的所述另一个值应用至所述接收者接收的所述签名而获得的。

18、一种密码系统，用于根据一对签名分量r、s来生成压缩的签名，所述系统具有：算术单元，用于提供与s在数学上相关的一对值c、d；以及签名生成器，用于使用c、d中的一个值来替代所述签名s。

19、一种密码系统，用于验证从使用根据权利要求18所述的系统的发送者接收的签名r、c，所述密码系统包括：算术单元，用于恢复c、d中的另一个值并将所述另一个值与预定准则进行比较。

Images