CN111447065A

CN111447065A - 一种主动安全的sm2数字签名两方生成方法

Info

Publication number: CN111447065A
Application number: CN201910039524.4A
Authority: CN
Inventors: 张振峰; 唐国锋
Original assignee: Institute of Software of CAS
Current assignee: Institute of Software of CAS
Priority date: 2019-01-16
Filing date: 2019-01-16
Publication date: 2020-07-24
Anticipated expiration: 2039-01-16
Also published as: CN111447065B

Abstract

本发明公开了一种主动安全的SM2数字签名两方生成方法。本方法为：1)参与方P₁生成部分私钥d₁并存储，参与方P₂生成部分私钥d₂并存储，P₁、P₂产生用户公钥Y；2)P₁随机产生临时私钥k₁，计算临时公钥R₁＝k₁·G，并将R₁发给P₂；3)P₂随机产生临时私钥k₂₁、k₂₂，计算临时公钥R₂₁＝k₂₁·G，R₂₂＝k₂₂·G，并将其发给P₁；4)P₁、P₂分别根据各自临时私钥计算一共同的证据值R；5)P₂根据k₂₁，k₂₂，d₂和R计算消息m的部分签名s₁和s₂，并将其发给P₁；6)P₁根据s₁、s₂和d₁、k₁、R生成消息m的完整签名并验证其有效性，如果验证成功，则输出该完整签名。

Description

一种主动安全的SM2数字签名两方生成方法

技术领域

本发明涉及一种主动安全的SM2数字签名两方生成方法，属于计算机软件技术领域。

背景技术

目前，基于公钥密码学的数字签名技术已经广泛应用到电子商务、身份认证等应用中，成为保证信息安全不可缺少的工具。数字签名的思想就是用户使用私钥进行签名，从而达到身份认证等目的，私钥的安全性是数字签名算法的基础。

门限数字签名是为了保障私钥安全性而提出的一种技术，其思想来源于Shamir的秘密分享技术，即将私钥进行拆分并放在不同的物理设备中，数量高于门限值的多个设备联合协作完成数字签名操作。在一个(t,n)的门限数字签名方案中，私钥分片分别由n个成员掌握，任意的t个成员通过合作可以完成数字签名，而少于t个成员则不可以。基于门限数字签名方案，我们可以保证即使攻击者已经攻击了t-1个设备，签名方案的私钥仍然是安全的。

SM2数字签名算法在工业界有着广泛的应用，并正式发布为ISO/IEC国际标准，门限SM2数字签名方案有着巨大的应用前景。针对SM2数字签名算法，现已有多个门限数字签名方案，但存在诸多缺点：一些两方数字签名协议只考虑了针对被动敌手的安全性，难以抵抗主动攻击下的签名私钥安全性和签名方案的存在不可伪造安全性；还有一些门限签名方案的交互复杂高，通信与计算代价大，不适应现实应用的需求。因此，高效而可证明安全的门限SM2签名方案值得期待。

发明内容

鉴于现有技术中存在的技术问题，本发明的目的在于提供一种SM2数字签名的两方生成方法，也就是一种(2,2)的门限签名方案，它可以让用户把私钥分别保存在客户端和服务器端，如果两方中的任意一方的设备遭到攻击，攻击者仍然不能伪造签名。

本发明的技术方案是这样实现的：

1.通信双方为参与方P₁、参与方P₂，P₁是客户端，P₂是服务器端。参与方P₁生成部分私钥d₁并存储，参与方P₂生成部分私钥d₂并存储，然后通过密钥交换的方式产生用户公钥Y。用户公钥Y不随部分私钥的更新而发生变化。

2.双方P₁、P₂通过重随机化的方式定期更新其部分私钥d₁,d₂，重随机化因子可以由一方产生并通过安全信道发送给另一方，也可以由两方密钥协商机制导出。

3.参与方P₁随机产生临时私钥k₁，计算临时公钥R₁＝k₁·G，并将R₁发给P₂；G表示椭圆曲线E上n阶的基点；

4.参与方P₂随机产生临时私钥k₂₁,k₂₂，计算临时公钥R₂₁＝k₂₁·G,R₂₂＝k₂₂·G，并将R₂₁和R₂₂发给P₁；

5.参与方P₁和参与方P₂分别以密钥交换的方式计算出一个共同的证据值R，使得只有在掌握各自临时私钥的情况下才能计算出该证据值。可以通过一种涉及三个秘密值的密钥交换协议计算出共同的证据值R。

6.参与方P₂根据临时私钥k₂₁,k₂₂和部分私钥d₂，计算待签名消息m的部分签名s₁和s₂，并将s₁,s₂发给P₁；

7.参与方P₁根据部分签名s₁,s₂和部分私钥d₁以及部分临时私钥k₁，生成该消息m的完整签名并验证其有效性，如果验证成功，则输出该完整签名。

与现有技术相比，本发明的积极效果为：

1.密钥生成阶段和签名阶段均为两轮协议，交互少，通信代价小；

2.协议中没有使用同态加密等其他密码学原语，计算代价小；

3.本发明提供的机制在一般群模型下是可证明安全的，也就是说，如果敌手攻击了任意一方的设备，仍然不能伪造用户的数字签名。

4.本发明提供了一种部分私钥的主动更新方式，使得一方的旧部分私钥无法与另一方的新部分私钥组合以产生联合签名，从而增强两方签名的安全性。

附图说明

图1为本发明的两方密钥生成阶段的示意图。

图2为本发明的两方生成签名阶段的示意图。

具体实施方式

本发明的协议由两个参与方运行，参与方P₁与参与方P₂，以下简称P₁与P₂。在实际应用中，两方签名的联合生成协议是由P₁发起，完整的签名也是由P₁产生并输出；参与方P₂计算部分签名以协助参与方P₁生成完整签名。

两个参与方的公共输入是SM2数字签名算法的系统参数，包括椭圆曲线参数

G和n，其中E为定义在有限域

上的椭圆曲线，G表示椭圆曲线E上n阶的基点，椭圆曲线上的无穷远点为O，系统参数的具体选取应符合SM2数字签名算法标准规范。

本发明的具体实施方式如下：

1.参与方P₁与P₂按照如下方式联合生成SM2数字签名算法的密钥

步骤1：P₁在[1,n-1]之间选择一个随机数d₁，计算部分公钥Y₁＝d₁·G。

步骤2：P₂在[1,n-1]之间选择一个随机数d₂，计算部分公钥Y₂＝d₂·G。

步骤3：P₁将Y₁发给P₂。

步骤4：P₂检查如果Y₁＝O，则终止协议。

步骤5：P₂计算Y＝d₂·Y₁-G，如果Y＝O，则P₂返回到步骤2；否则，将Y作为用户公钥输出。

步骤6：P₂将Y₂发给P₁。

步骤7：P₁计算Y′＝d₁·Y₂-G，如果Y′≠Y或者Y′＝O，则P₁终止协议；否则，P₁储存Y作为SM2签名算法的公钥。

2.参与方P₁与P₂按照如下方式主动更新SM2数字签名算法的部分私钥。

步骤8：P₁在[1,n-1]之间选择一个随机数δ，并通过一个安全信道发送给P₂。双方也可以通过密钥协商的方式由导出一个共享的秘密值δ。

步骤9：P₁计算d′₁＝d₁·δmod n，并且存储d′₁作为新的部分私钥。

步骤10：P₂计算d′₂＝d₂·δ^-1mod n，并且存储d′₂作为新的部分私钥。

3.对于给定的消息m，参与方P₁与P₂按照如下方式联合产生SM2数字签名

步骤11：根据系统参数、签名者P₁,P₂的标识和公钥Y，参与方P₁,P₂分别计算出签名用户的杂凑值Z＝H(ENTL||ID||a||b||G||Y)，其中ENTL是ID的长度，ID是参与方P₁,P₂的身份标识，(a,b)是椭圆曲线的参数，H是哈希函数。

步骤12：P₁在[1,n-1]之间选择一个k₁，并计算临时公钥R₁＝k₁·G。

步骤13：P₂在[1,n-1]之间选择随机数k₂₁,k₂₂，计算临时公钥R₂₁＝k₂₁·G，R₂₂＝k₂₂·G。

步骤14：P₁将R₁发给P₂。

步骤15：P₂计算(x₀,y₀)＝R＝(k₂₁+x·k₂₂)·R₁+R₂₂，其中x＝h(R₁||R₂₁||R₂₂)，h是值域为有限域

的哈希函数，并计算r＝x₀+h(Z||m)mod n。

步骤16：P₂检查如果R＝O或者r＝0，则重新回到步骤13。

步骤17：P₂计算

如果s₁＝0或者s₂＝0，则P₂需要重新回到步骤13。

步骤18：P₂将R₂₁,R₂₂,s₁,s₂发给参与方P₁。

步骤19：P₁计算x＝(R₁||R₂₁||R₂₂)，(x₀,y₀)＝R＝k₁·(R₂₁+x·R₂₂)+R₂₂，r＝x₀+h(Z||m)mod n。

步骤20：P₁检查如果R＝O或者r＝0，则终止协议。

步骤21：P₁计算

并将(r,s)作为完整签名σ，即为σ＝(r,s)。

步骤22：根据SM2数字签名算法验证流程，P₁验证σ是否是关于消息m和公钥Y的合法签名，如果验证通过，则输出σ；如果验证不通过，则终止协议。

以上通过形式表达和实施案例对本发明进行了详细的说明，但本发明的具体实现形式并不局限于此。本领域的一般技术人员，可以在不背离本发明所述方法的精神和原则的情况下对其进行各种显而易见的变化与修改。本发明的保护范围应以权利要求书所述为准。

Claims

1.一种主动安全的SM2数字签名两方生成方法，其步骤包括：

1)参与方P₁生成部分私钥d₁并存储，参与方P₂生成部分私钥d₂并存储，然后参与方P₁、参与方P₂通过密钥交换的方式产生用户公钥Y；其中，参与方P₁为客户端，参与方P₂为服务器端；

2)参与方P₁随机产生临时私钥k₁，计算临时公钥R₁＝k₁·G，并将R₁发给参与方P₂；G表示椭圆曲线E上n阶的基点；

3)参与方P₂随机产生临时私钥k₂₁、k₂₂，计算临时公钥R₂₁＝k₂₁·G，R₂₂＝k₂₂·G，并将R₂₁和R₂₂发给参与方P₁；

4)参与方P₁和参与方P₂分别根据各自的临时私钥计算出一个共同的证据值R；

5)参与方P₂根据临时私钥k₂₁，k₂₂和部分私钥d₂，计算待签名消息m的部分签名s₁和s₂，并将s₁，s₂发给参与方P₁；

6)参与方P₁根据部分签名s₁，s₂和部分私钥d₁以及部分临时私钥k₁，生成该消息m的完整签名并验证其有效性，如果验证成功，则输出该完整签名。

2.如权利要求1所述的方法，其特征在于，生成用户公钥Y的方法为：

11)参与方P₁在[1，n-1]之间选择一个随机数d₁，计算部分公钥Y₁＝d₁·G；

12)参与方P₂在[1，n-1]之间选择一个随机数d₂，计算部分公钥Y₂＝d₂·G；

13)参与方P₁将Y₁发给参与方P₂；

14)参与方P₂检查如果Y₁＝O，则终止；

15)参与方P₂计算Y＝d₂·Y₁-G，如果Y＝O，则参与方P₂返回到步骤12)；否则，将Y作为用户公钥输出；

16)参与方P₂将Y₂发给参与方P₁；

17)参与方P₁计算Y′＝d₁·Y₂-G，如果Y′≠Y或者Y′＝O，则终止；否则，参与方P₁储存Y作为SM2签名算法的用户公钥。

3.如权利要求1或2所述的方法，其特征在于，参与方P₁、P₂定期更新其部分私钥d₁，d₂。

4.如权利要求3所述的方法，其特征在于，参与方P₁、P₂通过重随机化的方式定期更新其部分私钥d₁，d₂，其方法为：

21)P₁在[1，n-1]之间选择一个随机数δ，并通过安全信道发送给P₂；或者参与方P₁、P₂通过密钥协商的方式导出一个共享的秘密值δ；

22)P₁计算d′₁＝d₁·δmod n，并且存储d′₁作为新的部分私钥；

23)P₂计算d′₂＝d₂·δ^-1mod n，并且存储d′₂作为新的部分私钥。

5.如权利要求1所述的方法，其特征在于，参与方P₁和参与方P₂分别以密钥交换的方式计算出一个共同的证据值R。

6.如权利要求5所述的方法，其特征在于，计算所述证据值R的方法为：

31)参与方P₁，P₂分别计算出一相同的杂凑值Z；

32)参与方P₁在[1，n-1]之间选择一个k₁作为临时私钥，并计算临时公钥R₁＝k₁·G；并

将R₁发给参与方P₂；

33)参与方P₂在[1，n-1]之间选择随机数k₂₁，k₂₂作为临时私钥，计算临时公钥

R₂₁＝k₂₁·G，R₂₂＝k₂₂·G；

34)参与方P₂计算(x₀，y₀)＝R＝(k₂₁+x·k₂₂)·R₁+R₂₂，其中x＝h(R₁||R₂₁||R₂₂)，并计算r＝x₀+h(Z||m)mod n，h是值域为有限域

的哈希函数；

35)参与方P₂检查R、r的值，如果R＝O或者r＝0，则返回步骤33)；否则，将R₂₁，R₂₂发给P₁；

36)参与方P₁计算x＝(R₁||R₂₁||R₂₂)，(x₀，y₀)＝R＝k₁·(R₂₁+x·R₂₂)+R₂₂，

r＝x₀+h(Z||m)mod n；

37)参与方P₁检查R、r的值，如果R＝O或者r＝0，则终止。

7.如权利要求6所述的方法，其特征在于，计算待签名消息m的部分签名s₁和s₂的方法为：

如果s₁＝0或者s₂＝0，则重新执行步骤33)～35)。

8.如权利要求7所述的方法，其特征在于，生成所述完整签名的方法为：参与方P₁计算

将(r，s)作为完整签名，并验证签名是否合法，如果合法；则输出，否则终止。

9.如权利要求6所述的方法，其特征在于，根据SM2算法的系统参数、签名用户的标识和公钥Y，参与方P₁，P₂分别计算出一相同的杂凑值Z。

10.如权利要求9所述的方法，其特征在于，所述杂凑值Z＝H(ENTL||ID||a||b||G||Y)；其中，ID是签名用户的身份标识，ENTL是ID的长度，(a，b)是椭圆曲线参数，H是哈希函数。