CN107248909B - 一种基于sm2算法的无证书安全签名方法 - Google Patents

Abstract

一种基于SM2算法的无证书安全签名方法，属于公钥密码应用领域，用于解决椭圆曲线上无双性对运算的无证书公钥密码体制中任意N(N≥2)个用户的私钥生成、并由N个用户联合完成对一个消息的SM2签名问题。在本发明中，每个用户均无法获取其他用户的私钥信息，少于N个用户的用户子集不能生成完整的数字签名，充分保证签名的安全性。攻击者也不能在未窃取全部N个私钥的情况下伪造合法签名。本发明所述安全签名过程简单，运算效率高，签名结果符合国密SM2签名算法标准。

Description

一种基于SM2算法的无证书安全签名方法

技术领域

本发明属于公钥密码领域，特别涉及基于国密SM2算法的无证书认证系统的安全签名方法。

背景技术

公钥密码技术在计算机技术和网络技术高度发展的今天，已得到了广泛应用。数字签名技术和公钥加密技术已深入到人们的日常生活。为了保证数字签名的唯一性和签名私钥的安全性，通常由私钥所有者将签名私钥保存在密码设备内，签名运算也在密码设备内执行。所采用的密码设备在服务器端通常为密码机，在客户端为带CPU的USBKEY和IC卡等。在云计算环境和手机移动终端等环境下，使用这些密码设备来保存密钥和执行密码运算就很不方便，因而出现了将密钥保存在手机文件中并在手机上执行密码运算的应用需求。这种软环境给密钥的存储安全和使用安全带来很大隐患。为了提高密钥存储和密码运算的安全性，可以采用密钥共享的方式，由多个用户联合对同一消息签名，最后形成的签名可使用共享的公钥进行验证。对于国密SM2签名算法，由于其算法的特殊性，实现密钥共享和联合签名比较困难。此外，对于一种无双性对运算的无证书公钥密码体制(参见申请号为201410772127.5的专利)，由多方联合完成基于SM2算法的签名则更加困难，目前尚未发现解决这种应用需求的方法。

发明内容

本发明针对无双性对运算的无证书公钥密码体制，提出一种用户密钥共享方法，在无证书密钥生成中心的协助下，N(N≥2)个用户分别生成不同的私钥，并生成一个共享公钥。在需要对消息作数字签名时，由多方联合完成对消息的SM2签名，签名依赖方可用共享公钥按SM2验证签名算法进行验证。这种密钥共享和签名方法满足以下要求：

(1)N个用户对各自的私钥具有完全自主权，其他用户或任何第三方(包括无证书密钥生成中心)对该私钥都不可知。

(2)多方合作完成的数字签名符合国密SM2签名标准要求，签名依赖方可使用共享公钥进行验证。

(3)少于N个用户合作不能构造完整合法的SM2签名。

本发明所涉及到的椭圆曲线参数按国密SM2算法标准设置。有限域上的椭圆曲线记为E(Fq)，其基点为G，而G的阶为素数n。

本发明中，无证书密钥生成中心称为KGC，N个用户分别记为U₁,U₂,…,U_N，他们共享一个标识ID，h(x)为SM3杂凑函数。

一、密钥生成

本发明所述生成无证书共享密钥的方法涉及KGC和用户U₁,U₂,…,U_N，具体技术方案描述如下。

G01所述KGC设置系统私钥s_M和系统公钥P_pub，完成系统建立。

G02所述用户U₁随机选取k₁∈[1,n-1]，计算P₁＝k₁G，发送P₁到用户U₂。

G03对于i＝2,3,…,N-1，所述用户U_i在收到P_i-1后随机选取d_i,k_i∈[1,n-1]，计算P_i＝(d_i)^-1P_i-1+k_iG，发送P_i到U_i+1。

G04所述用户U_N在收到P_N-1后随机选取d_N,k_N∈[1,n-1]，计算P_N＝(d_N)^-1P_N-1+k_NG，发送P_N到KGC。

G05所述KGC随机选取k₀∈[1,n-1]，计算P＝P_N+k₀G，s₀＝k₀+h(ID||P)s_M(mod n)，KGC将P作为用户实体的部分公钥发布，发送s₀到用户U_N。

G06所述用户U_N计算s_N＝d_N(k_N+s₀+1)(mod n)，Q_N＝(d_N)^-1G，发送s_N和Q_N到用户U_N-1。并将d_N作为用户U_N的私钥保存，将Q_N作为用户U_N的公钥参数保存。

G07对于i＝N-1,N-2,…,2，所述用户U_i计算s_i＝d_i(k_i+s_i+1)(mod n)，Q_i＝(d_i)^{- 1}Q_i+1，发送s_i和Q_i到U_i-1。并将d_i作为用户U_i的私钥保存，将Q_i作为用户U_i的公钥参数保存。

G08所述用户U₁计算d₁＝(k₁+s₂)^-1(mod n)，Q₁＝(d₁)^-1Q₂，将d₁作为用户U₁的私钥保存，将Q₁作为用户U₁的公钥参数保存。

按此过程生成的用户密钥信息汇总如下：

(1)用户U_i的私钥为d_i(i＝1,2,…,N)。

(2)用户U_i的公钥参数为Q_i＝(d_i…d_N)^-1G(i＝1,2,…,N)。

(3)N个用户的共享公钥为Q＝((d₁d₂…d_N)^-1–1)G。

(4)N个用户的共同私钥为d＝(d₁d₂…d_N)^-1–1(mod n)。

(5)N个用户的共同部分公钥为P。

在密钥生成的所有环节中，共同私钥d并不实际出现，任何人都可以通过公式Q＝P+h(ID||P)P_pub计算得到共享公钥。

二、签名与验签

本发明所述安全签名方法是指用户实体需要对消息作数字签名时，由N个用户联合按序完成对消息的签名，且签名结果为普通的SM2签名，签名接收方可以使用共享公钥进行验证。

所述安全签名方法涉及到的N个用户为U₁,U₂,…,U_N。用户U_i具有私钥d_i和公钥参数Q_i，他们的共享公钥为Q＝((d₁d₂…d_N)^-1–1)G，且有Q₁＝(d₁d₂…d_N)^-1G，Q₂＝(d₂…d_N)^-1G，…，Q_N＝(d_N ^-1)G。

设待签名的消息为M，e＝h(Z||M)是对消息M的摘要值。由N个用户按次序联合完成对摘要值e的SM2签名。所述多方联合签名的方案如下。

S01所述用户U₁计算摘要值e，再随机选取k₁∈[1,n-1]，计算R₁＝k₁Q₁，发送e和R₁到用户U₂。

S02对于i＝2,3,…，N-1，所述用户U_i在收到R_i-1后随机选取k_i∈[1,n-1]，计算R_i＝R_i-1+k_iQ_i，发送e和R_i到用户U_i+1。

S03所述用户U_N在收到R_N-1后随机选取k_N∈[1,n-1]，计算R_N＝R_N-1+k_NQ_N。

S04设R_N＝(x₁,y₁)，所述用户U_N计算r＝(e+x₁)(mod n)，s_N＝k_N+rd_N(mod n)，生成部分签名(r,s_N)，发送部分签名(r,s_N)到用户U_N-1。

S05对于i＝N-1,N-2,…,1，所述用户U_i在收到用户U_i+1的部分签名(r,s_i+1)后，首先验证该部分签名。验证过程为：计算Q_i+1＝d_iQ_i，R_i+s_i+1Q_i+1–rG＝(x₁’,y₁’)，检验r＝(e+x₁’)(mod n)是否成立。若验证通过，再计算s_i＝k_i+s_i+1d_i(mod n)，生成部分签名(r,s_i)，当i>1时，用户U_i发送部分签名(r,s_i)到用户U_i-1。

S06所述用户U₁计算s＝s₁–r(mod n)，生成最终签名(r,s)。

按此步骤生成的签名(r,s)可以使用共享公钥Q按SM2签名的验证算法进行验证。

签名接收者在接收到消息M和签名(r,s)后，首先根据用户ID及部分公钥P计算共享公钥Q，再按SM2签名验证算法，令u＝r+s(mod n)，计算摘要值e＝h(Z||M)，sG+uQ＝(x₁’,y₁’)，最后验证r＝(e+x₁’)(mod n)是否成立。

通过下面三个步骤，可以证明本发明所述的多方联合签名方法生成的签名能够通过SM2签名验证算法的验证。首先证明对于i＝N-1,N-2,…,1，步骤S05中对部分签名(r,s_i+1)的验证是正确的，然后证明最终签名能够使用共享公钥Q进行验证。

V01验证部分签名(r,s_N)。

由于s_N＝k_N+rd_N(mod n)，Q_N＝(d_N)^-1G，所以(x₁’,y₁’)＝R_N-1+s_NQ_N–rG＝R_N-1+k_NQ_N+rG–rG＝R_N-1+k_NQ_N＝R_N＝(x₁,y₁)，因此有x₁’＝x₁，所以r＝(e+x₁’)(mod n)成立。

V02对于i＝N-1,N-2,…,2，假定已经验证了部分签名(r,s_i+1)，即已经有R_i+s_{i+ 1}Q_i+1–rG＝R_N成立，来验证部分签名(r,s_i)，即验证R_i-1+s_iQ_i–rG＝R_N成立。

由于Q_i＝(d_i)^-1Q_i+1，R_i-1＝R_i–k_iQ_i，s_i＝k_i+s_i+1d_i(mod n)，

所以R_i-1+s_iQ_i–rG＝(R_i–k_iQ_i)+(k_iQ_i+s_i+1d_i(d_i)^-1Q_i+1)–rG＝R_i+s_i+1Q_i+1–rG＝R_N。

于是部分签名(r,s_i)得到验证。

V03验证最终签名(r,s)。

按SM2签名验证算法，只需要验证sG+uQ＝R_N成立，其中Q为用户实体的实际公钥。

在验证过程V02中，已经验证了R₁+s₂Q₂–rG＝R_N成立。由于s＝s₁–r(mod n)，所以u＝r+s＝s₁(mod n)，又因为s₁＝k₁+s₂d₁(mod n)，R₁＝k₁Q₁，Q₁＝(d₁)^-1Q₂，Q＝Q₁–G，所以

sG+uQ＝(s₁–r)G+s₁(Q₁–G)

＝s₁Q₁–rG＝(k₁+s₂d₁)Q₁–rG

＝k₁Q₁+s₂d₁(d₁)^-1Q₂–rG

＝R₁+s₂Q₂–rG＝R_N

至此，所述最终签名(r,s)得到完全验证，因此(r,s)就是一个标准的SM2签名。

本发明所述安全签名方法，共享公钥的N个用户都不能获取其他用户私钥的信息，少于N个用户联合不能构造对消息的合法数字签名，必须由N个用户联合才能完成签名。本发明所述签名过程简单，签名过程中，每个用户只需要各做一次多倍点运算，运算效率高，签名结果符合国密SM2签名算法标准。

从前面的签名过程和验证签名的过程可见，本发明所述安全签名方法，不仅适应于基于SM2的无证书公钥密码体制，而且可以适用于任何使用SM2算法的系统，只要N个用户分别持有的私钥d₁,d₂,…,d_N与共享公钥Q之间满足Q＝((d₁d₂…d_N)^-1–1)G，这N个用户就可以按上述签名过程联合完成对一个消息的SM2签名。

本发明所述由N个用户联合完成签名的方法，签名过程是按次序完成的，但这个次序是可以调整的。如果需要调整签名次序，只需要按新的签名次序重新生成公钥序列Q₁,Q₂,…,Q_N即可。例如，将签名次序调整为U_i1,U_i2,…,U_iN后，N个用户重新依次计算Q_iN＝(d_iN)^{- 1}G,Q_i(N-1)＝(d_i(N-1))^-1Q_iN,…,Q₁＝(d₁)_-1Q₂，则可按新的次序来完成联合签名。

附图说明

图1为本发明所述无证书共享密钥生成流程。

图2为本发明所述多方联合安全签名流程。

具体实施方式

本发明针对基于SM2算法无证书公钥密码体制提出了一种安全的签名方案，下面根据附图详细说明本发明的实施方式。

图1所示为基于无证书公钥密码体制的密钥生成实施流程。本发明所涉及到的有限域上的椭圆曲线参数按国密SM2算法标准设置，所使用的有限域上椭圆曲线记为E(Fq)，其基点为G，而G的阶为素数n，h(x)为SM3杂凑函数。

无证书密钥生成中心称为KGC，共享密钥的N个用户分别记为U₁,U₂,…,U_N，他们共享一个用户标识ID。

步骤(1)所述KGC设置系统私钥s_M和系统公钥P_pub，完成系统建立。

步骤(2)所述用户U₁随机选取k₁∈[1,n-1]，计算P₁＝k₁G，发送P₁到用户U₂。

步骤(3)对于i＝2,3,…,N-1，所述用户U_i在收到P_i-1后随机选取d_i,k_i∈[1,n-1]，计算P_i＝(d_i)^-1P_i-1+k_iG，发送P_i到用户U_i+1。

步骤(4)所述用户U_N在收到P_N-1后随机选取d_N,k_N∈[1,n-1]，计算P_N＝(d_N)^-1P_N-1+k_NG，发送P_N到KGC。

步骤(5)所述KGC根据所述用户ID和P_N为用户生成部分私钥s₀，发送s₀到用户U_N。

步骤(6)所述用户U_N计算s_N＝d_N(k_N+s₀+1)(mod n)，Q_N＝(d_N)^-1G，发送s_N和Q_N到用户U_N-1。并将d_N作为用户U_N的私钥保存，将Q_N作为用户U_N的公钥参数保存。

步骤(7)对于i＝N-1,N-2,…,2，所述用户U_i计算s_i＝d_i(k_i+s_i+1)(mod n)，Q_i＝(d_i)^-1Q_i+1，发送s_i和Q_i到U_i-1。并将d_i作为用户U_i的私钥保存，将Q_i作为用户U_i的公钥参数保存。

步骤(8)所述用户U₁计算d₁＝(k₁+s₂)^-1(mod n)，Q₁＝(d₁)^-1Q₂，将d₁作为用户U₁的私钥保存，将Q₁作为用户U₁的公钥参数保存。

本实施例生成的共享公钥为Q＝((d₁d₂…d_N)^-1–1)G，公众用户可以按无证书公钥密码体制的算法根据用户标识ID和部分公钥计算用户的共享公钥，符合无证书公钥密码体制的特征。

图2所示为用户U₁,U₂,…,U_N联合对一个消息进行签名的实施流程。

有关椭圆曲线和密钥的记号如前，各参数的选择符合国密SM2算法标准的要求。假定待签名的消息为M，e＝H(Z||M)，其中Z为用户标识和公钥信息。多方联合签名按以下步骤实施。

步骤(9)所述用户U₁计算摘要值e，再随机选取k₁∈[1,n-1]，计算R₁＝k₁Q₁，发送e和R₁到用户U₂。

步骤(10)对于i＝2,3,…，N-1，所述用户U_i在收到R_i-1后随机选取k_i∈[1,n-1]，计算R_i＝R_i-1+k_iQ_i，发送e和R_i到用户U_i+1。

步骤(11)所述用户U_N在收到R_N-1后随机选取k_N∈[1,n-1]，计算R_N＝R_N-1+k_NQ_N。

步骤(12)设R_N＝(x₁,y₁)，所述用户U_N计算r＝(e+x₁)(mod n)，s_N＝k_N+rd_N(mod n)，生成部分签名(r,s_N)，发送部分签名(r,s_N)到用户U_N-1。

步骤(13)对于i＝N-1,N-2,…,2，所述用户U_i在收到用户U_i+1的部分签名(r,s_i+1)后，首先验证该部分签名。若验证通过，再计算s_i＝k_i+s_i+1d_i(mod n)，生成部分签名(r,s_i)，发送部分签名(r,s_i)到用户U_i-1。

步骤(14)所述用户U₁在收到用户U₂的部分签名(r,s₂)后，首先验证该部分签名。若验证通过，计算s＝k₁+s₂d₁–r(mod n)，输出签名(r,s)。

上述实施例仅从原理上描述了本发明的内容，任何对本发明实质内容所作的数学上的变形和修饰都包含在本发明专利的保护范围。

Claims (6)

1.一种基于SM2算法的无证书安全签名方法，其特征在于：无证书密钥生成中心KGC协助N(N≥2)个用户U₁,U₂,…,U_N分别生成自已的私钥d₁,d₂,…,d_N，以及共享的公钥Q，在需要对消息作数字签名时，由N个用户联合完成对消息的SM2签名，而签名接收者可以使用共享公钥Q对签名进行验证；

由无证书密钥生成中心KGC和N个用户协同完成用户密钥的生成，所述方法使用SM2算法椭圆曲线参数，G是椭圆曲线的基点，G的阶为素数n，ID为用户标识，密钥生成方法包括以下步骤：

步骤一 KGC设置系统私钥和系统公钥，完成系统建立；

步骤二 用户U₁随机选取k₁∈[1,n-1]，计算P₁＝k₁G，发送P₁到用户U₂；

步骤三 对于i＝2,3,…,N-1，用户U_i在收到P_i-1后随机选取d_i,k_i∈[1,n-1]，计算P_i＝(d_i)^-1P_i-1+k_iG，发送P_i到U_i+1；

步骤四 用户U_N在收到P_N-1后随机选取d_N,k_N∈[1,n-1]，计算P_N＝(d_N)^-1P_N-1+k_NG，发送用户ID和P_N到KGC；

步骤五KGC根据用户ID和P_N为用户生成部分私钥s₀，发送s₀到用户U_N；

步骤六 用户U_N计算s_N＝d_N(k_N+s₀+1)(mod n)，Q_N＝(d_N)^-1G，发送s_N和Q_N到用户U_N-1，并将d_N作为用户U_N的私钥保存，将Q_N作为用户U_N的公钥参数保存；

步骤七 对于i＝N-1,N-2,…,1，用户U_i计算s_i＝d_i(k_i+s_i+1)(mod n)，Q_i＝(d_i)^-1Q_i+1，发送s_i和Q_i到用户U_i-1，并将d_i作为用户U_i的私钥保存，将Q_i作为用户U_i的公钥参数保存；

步骤八 用户U₁计算d₁＝(k₁+s₂)^-1(mod n)，Q₁＝(d₁)^-1Q₂，将d₁作为用户U₁的私钥保存，将Q₁作为用户U₁的公钥参数保存；

按此步骤生成的密钥符合无证书公钥密码体制的特征，N个用户的私钥分别为d₁，d₂，…，d_N，满足Q＝((d₁d₂…d_N)^-1–1)G。

2.根据权利要求1所述的安全签名方法，其特征在于：N个用户对各自的私钥具有完全自主权，其他人和任何第三方(包括KGC)对该私钥都不可知；N个私钥所代表的真实私钥对任何人都不可知，包括用户各方和KGC。

3.根据权利要求1所述的安全签名方法，其特征在于：共享公钥Q的N个用户分别持有私钥d₁，d₂，…，d_N，满足Q＝((d₁d₂…d_N)^-1–1)G，假设待签名消息的摘要值为e，所述安全签名方法包括以下步骤：

步骤一 用户U₁随机选取k₁∈[1,n-1]，计算R₁＝k₁Q₁，发送R₁到用户U₂；

步骤二 对于i＝2,3,…，N-1，用户U_i在收到R_i-1后随机选取k_i∈[1,n-1]，计算R_i＝R_i-1+k_iQ_i，发送R_i到用户U_i+1；

步骤三 用户U_N在收到R_N-1后随机选取k_N∈[1,n-1]，计算R_N＝R_N-1+k_NQ_N；

步骤四 设R_N＝(x₁,y₁)，用户U_N计算r＝(e+x₁)(mod n)，s_N＝k_N+rd_N(mod n)，生成部分签名(r,s_N)，发送部分签名(r,s_N)到U_N-1；

步骤五 对于i＝N-1,N-2,…,1，用户U_i在收到部分签名(r,s_i+1)后，计算Q_i+1＝d_iQ_i，R_i+s_i+1Q_i+1–rG＝(x₁’,y₁’)，检验r＝(e+x₁’)(mod n)是否成立，若成立，再计算s_i＝k_i+s_i+1d_i(mod n)，生成部分签名(r,s_i)，当i>1时，用户U_i发送部分签名(r,s_i)到用户U_i-1；

步骤六 用户U₁计算s＝s₁–r(mod n)，生成最终签名(r,s)；

按此步骤生成的签名(r,s)可以使用共享公钥Q按SM2签名验证方法予以验证。

4.根据权利要求1所述的安全签名方法，其特征在于：签名过程中N个签名人只需各进行一次椭圆曲线上的多倍点运算，签名过程不会暴露各自的私钥和共同的私钥，因此所述方法是高效的和安全的。

5.根据权利要求1所述的安全签名方法，其特征在于：本安全签名方法不仅适合于基于SM2的无证书密码体制，也适用于一般的SM2签名算法，只要生成的私钥d₁，d₂，…，d_N和共享公钥Q之间满足关系Q＝((d₁d₂…d_N)^-1–1)G即可。

6.根据权利要求1所述的安全签名方法，其特征在于：本安全签名方法的签名次序可以根据需要进行调整，只需要在调整次序后重新计算公钥参数序列Q₁,Q₂,…,Q_N即可。

Images