CN114205081A

CN114205081A - 一种保护用户隐私的盲协同签名方法

Info

Publication number: CN114205081A
Application number: CN202111466500.0A
Authority: CN
Inventors: 荆继武; 王平建; 王跃武; 王鹏; 雷灵光; 刘丽敏; 孙思维; 寇春静
Original assignee: University of Chinese Academy of Sciences
Current assignee: University of Chinese Academy of Sciences
Priority date: 2021-12-03
Filing date: 2021-12-03
Publication date: 2022-03-18
Anticipated expiration: 2041-12-03
Also published as: CN114205081B

Abstract

本发明公开了一种保护用户隐私的盲协同签名方法，其步骤包括：发起方和服务方分别生成各自的密钥对(d₁,P₁)和(d₂,P₂)，发起方获得服务方的部分公钥P₂并根据P₂生成用户A的公钥P_A；其中发起方为用户A所在的终端；发起方向服务方发起盲协同签名请求；服务方收到所述盲协同签名请求后生成临时私钥k₂，并计算对应的公钥Q₂，将Q₂发送给发起方；发起方计算待签名消息M的摘要e，产生随机数k₁,k₃，并根据e、Q₂、k₁、k₃和P₂生成临时签名第一部分r₁，将r₁发送给服务方；服务方根据d₂、k₂和r₁计算临时签名第二部分s₂后返回给发起方；发起方根据d₁、k₁、s₂和r得到最终的签名(r,s)。

Description

一种保护用户隐私的盲协同签名方法

技术领域

本发明涉及密码领域，特别涉及适用于需要保护用户隐私的盲协同签名方法。

背景技术

基于公钥密码学的数字签名技术已经广泛应用于电子商务、身份认证、数字票据等应用中，而私钥的生成及使用的安全性是保证数字签名安全的基础，而硬件密码模块(如U盾等)和移动终端已成为个人身份凭证中的重要载体，但存在容易被盗和丢失的风险。另一方面，针对移动终端的攻击越来越多，许多恶意应用能够窃取用户存储在终端上的私有数据，攻击终端与服务器的通信，因此亟需解决移动终端上的密钥存储和计算安全。基于密钥拆分和协同计算的协同签名技术，在易于推广部署的同时，还能够满足签名私钥的保护要求。

为了便于理解，我们下面将发起协同签名的一方称为发起方，另一方称为服务方。在已有专利《一种支持信息隐藏的协同签名方法与系统》(申请公布号CN110535635A)中公开了一种支持信息隐藏的协同签名方法与系统，其特点是：发起方不会将待签名消息的明文、摘要信息或最终签名泄露给服务方，有效地保护了用户隐私信息。但是该方案存在如下不足：

1)在密钥对生成过程，发起方需要将自己的部分私钥对应的公钥发送给服务方，这样服务方也能计算出完整私钥对应的用户公钥P，从而当签名被公开后，服务方能够通过使用P验证签名的方式来判断公开的签名是否是自己参与生成的，也就是说服务方能够追踪签名。

2)在签名生成过程中，服务方需要计算Q₁＝[k₁]W₁，其中k₁是服务方生成的随机数，W₁是和服务方私钥相关的一个椭圆曲线点，相对于椭圆曲线基点G的点乘，其它椭圆曲线点的乘法将慢很多，并且在一个服务方对应海量发起方的情景下也无法进行预计算，这容易造成服务方服务能力的瓶颈。

发明内容

有鉴于此，本发明公开了一种保护用户隐私的盲协同签名方法，定义了能够保护用户隐私的密钥对生成协议和防止服务方追踪签名的签名生成协议，除了提供用户隐私保护的特性外还通过使用可以优化的计算方法等增强了服务方的性能。

为了达到上述目的，本发明的技术方案是这样实现的：

1)密钥对生成协议：发起方和服务方分别生成各自的密钥对(d₁,P₁)和(d₂,P₂)，发起方获得服务方的部分公钥P₂并生成用户A的公钥P_A，其中发起方为用户A所在的终端。具体步骤如下：

发起方：

A1：发起方向服务方发送协同密钥对生成请求。

服务方：

B1：产生随机数d₂∈[1,n-1]，其中n为椭圆曲线基点G的阶；

B2：计算椭圆曲线点P₂＝[d₂]G，服务方的密钥对为(d₂,P₂)；

B3：将P₂发送给发起方。

发起方：

A2：验证P₂是否满足椭圆曲线方程，若不满足则协同生成密钥对失败；满足则进行A3；

A3：产生随机数d₁∈[1,n-1]；

A4：计算椭圆曲线点P₁＝[d₁]G，发起方的密钥对为(d₁,P₁)；

A5：计算椭圆曲线点P_A＝[d₁]P₂-G，输出用户A的公钥为P_A。

2)签名生成协议：消息内容对服务方不可见。在签名被发起方公开后，服务方不能追踪签名。发起方和服务方需要进行两轮通信才能完成对消息M的签名。发起方首先向服务方发起盲协同签名请求；服务方生成临时私钥k₂，并计算对应的公钥Q₂，将Q₂发送给发起方；发起方计算待签名消息M的摘要e，产生随机数k₁,k₃，并根据e、Q₂、k₁、k₃和服务方公钥P₂一起生成临时签名第一部分r₁，将r₁发送给服务方；服务方根据d₂、k₂和r₁计算临时签名第二部分s₂后返回给发起方；发起方再根据d₁、k₁、s₂和r计算并输出最终的签名(r,s)。具体步骤如下：

发起方：

A1：发起方向服务方发起协同签名请求。

服务方：

B1：产生随机数k₂∈[1,n-1]；

B2：计算椭圆曲线点Q₂＝[k₂]G；

B3：将Q₂发送给发起方。

发起方：

A2：验证Q₂是否满足椭圆曲线方程，若不满足则协同签名失败；满足则进行A3；

A3：计算消息摘要e＝H_v(Z_A||M)，将e的数据类型转换为整数，其中Z_A需按照GM/T0003.2-2012第2部分5.5节中定义的方法计算得到；

A4：产生随机数k₁,k₃∈[1,n-1]；

A5：计算椭圆曲线点(x₁,y₁)＝[k₁]P₂+Q₂+[k₃]G，按GM/T 0003.1-2012第1部分4.2节中定义的方法将x₁数据类型转换为整数；

A6：计算r＝(e+x₁)mod n，如果r＝0或者r+k₃＝n，则返回A4；

A7：计算r₁＝(r+k₃)mod n；

A8：将r₁发送给服务方。

服务方：

B4：计算s₂＝(d₂ ^-1·(k₂+r₁))mod n；

B5：将s₂发送给发起方。

发起方：

A9：计算s＝(d₁ ^-1·(k₁+s₂)-r)mod n，如果s＝0或s+r＝n则返回A1；

A10：使用公钥P_A验证签(r,s)是否为消息M的签名，如果不是则签名失败；否则输出(r,s)作为消息M的签名。

可见，本发明所述方案中，服务方不知道用户公钥，不需要关联发起方私钥，从而能够有效保护用户的隐私。同时协议执行过程中发送的数据不包含敏感内容，不需要对通信数据做机密性保护；签名生成协议中，不向服务方发送关于待签名消息或者其摘要，服务方仅需要产生一个随机数，并且对于耗时较多的椭圆曲线点乘运算，服务方仅需要计算基点G和随机数的点乘，还可以在发起方请求前就进行预计算，从而本发明公布的服务方具有更高的性能。

附图说明

图1为本发明保护用户隐私的盲协同签名方法实施例的流程图。

图2为本发明密钥对生成协议的过程示意图。

图3为本发明签名生成协议的过程示意图。

具体实施方式

为了使本发明的技术方案更加清楚、明白，以下参照附图并举实施例，对本发明所述方案作进一步的详细说明。

本发明使用以下术语和定义：

1)协同数字签名：由两个参与方通过协议交互和使用各自掌握的用户部分私钥完成某输入消息的数字签名计算的过程。

2)部分私钥：在协同数字签名过程中由发起方和服务方分别专用的秘密数据项。

3)用户公钥：用户私钥对应的公钥，在本文件中是由两个参与方分别掌握的部分私钥共同组成的用户私钥对应的公钥。

4)密钥对协同生成：由两个参与方通过协议交互生成各自掌握的部分私钥并输出用户公钥的过程。

5)发起方：在协议的操作过程中发送首轮信息的参与方，本文件中一般为用户使用的终端。

6)服务方：在协议的操作过程中协助发起方完成密钥对生成或签名的参与方，本文件中一般为服务端或辅助设备。

7)盲协同签名：让服务方无法根据已签名消息内容或者签名值追踪签名的一种协同数字签名方式。

本发明使用下列符号：

d₁ 发起方的部分私钥。

d₂ 服务方的部分私钥。

d^-1mod n d模n的逆。

E(F_q) F_q上椭圆曲线E的所有有理点(包括无穷远点)组成的集合。

F_q 包含q个元素的有限域。

e 密码杂凑算法作用于消息M的输出值。

G 椭圆曲线的一个基点，其阶为素数。

H_v() 消息摘要长度为v比特的密码杂凑算法。

M 待签名的消息。

mod n 模n运算。

n 基点G的阶。

P₁ 发起方的部分公钥。

P₂ 服务方的部分公钥。

P_A 用户A的公钥。

x||y x与y的拼接，其中x、y可以是比特串或字节串。

Z_A 关于用户A的标识、部分椭圆曲线系统参数和用户A公钥的杂凑值。

[k]P 椭圆曲线上点P的k倍点，k是正整数。

(r,s) 消息的签名。

[x,y] 大于或等于x且小于或等于y的整数的集合。

图1为本发明保护用户隐私的盲协同签名方法实施例的流程图，如图1所示，包括以下步骤11～13。

步骤11：服务方向发起方发送椭圆曲线点Q₂。

步骤12：发起方向服务方发送F_q上的元素r₁。

步骤13：服务方向发起方发送F_q上的元素s₂。

图2为本发明密钥对生成协议的过程示意图。如图2所示，包括发起方步骤A1～A5和服务方步骤B1～B3。

发起方：

A1：发起方向服务方发送协同密钥对生成请求。

服务方：

B1：产生随机数d₂∈[1,n-1]；

B3：将P₂发送给发起方。

发起方：

A2：验证P₂是否满足椭圆曲线方程，若不满足则协同生成密钥对失败；

A3：产生随机数d₁∈[1,n-1]；

A5：计算椭圆曲线点P_A＝[d₁]P₂-G，用户A的公钥为P_A。

通过上述步骤所示过程，即可生成发起方和服务方各自的部分私钥d₁和d₂，并合成用户公钥P_A。用户实际私钥为d_A＝(d₁d₂-1)mod n，无论是发起方还是服务方，都不能独立计算出用户私钥。

需要说明的是，上述步骤表示方式仅为举例说明，并不用于限制各步骤的执行顺序，在实际应用中，可根据实际需要设定各步骤的执行顺序，只要最终能够得到所需的结果即可，后续涉及到的各示意图中同样如此，不再赘述。

图3为本发明签名生成协议的过程示意图。如图3所示，包括发起方步骤A1～A10和服务方步骤B1～B5。

发起方：

A1：发起方向服务方发起协同签名请求。

服务方：

B1：产生随机数k₂∈[1,n-1]；

B2：计算椭圆曲线点Q₂＝[k₂]G；

B3：将Q₂发送给发起方。

发起方：

A2：验证Q₂是否满足椭圆曲线方程，若不满足则协同签名失败；

A3：计算消息摘要e＝H_v(Z_A||M)，按GM/T 0003.1-2012第1部分4.2节中定义的方法将e的数据类型转换为整数，其中Z_A需按照GM/T 0003.2-2012第2部分5.5节中定义的方法计算得到；

A4：产生随机数k₁,k₃∈[1,n-1]；

A6：计算r＝(e+x₁)mod n，如果r＝0或者r+k₃＝n，则返回A4；

A7：计算r₁＝(r+k₃)mod n；

A8：将r₁发送给服务方。

服务方：

B4：计算s₂＝(d₂ ^-1·(k₂+r₁))mod n；

B5：将s₂发送给发起方。

发起方：

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种保护用户隐私的盲协同签名方法，其步骤包括：

1)发起方和服务方分别生成各自的密钥对(d₁,P₁)和(d₂,P₂)，发起方获得服务方的部分公钥P₂并根据P₂生成用户A的公钥P_A；其中，发起方为用户A所在的终端；

2)发起方向服务方发起盲协同签名请求；服务方收到所述盲协同签名请求后生成临时私钥k₂，并计算对应的公钥Q₂，将Q₂发送给发起方；

3)发起方计算待签名消息M的摘要e，产生随机数k₁,k₃，并根据e、Q₂、k₁、k₃和P₂生成临时签名第一部分r₁，将r₁发送给服务方；服务方根据d₂、k₂和r₁计算临时签名第二部分s₂后返回给发起方；发起方再根据d₁、k₁、s₂和r计算并输出最终的签名(r,s)。

2.根据权利要求1所述的方法，其特征在于，所述公钥Q₂的生成方法为：产生随机数k₂∈[1,n-1]作为临时私钥，然后计算椭圆曲线点Q₂＝[k₂]G作为所述公钥Q₂。

3.根据权利要求2所述的方法，其特征在于，根据e、Q₂、k₁、k₃和P₂生成r₁的方法为：

31)发起方验证Q₂是否满足椭圆曲线方程，若不满足则结束协同签名；如果满足则计算消息M的摘要e，将e的数据类型转换为整数；

32)产生随机数k₁,k₃∈[1,n-1]，计算椭圆曲线点(x₁,y₁)＝[k₁]P₂+Q₂+[k₃]G，将x₁数据类型转换为整数；然后计算r＝(e+x₁)mod n，

33)如果r＝0或者r+k₃＝n，则返回步骤32)；否则计算r₁＝(r+k₃)mod n。

4.根据权利要求1所述的方法，其特征在于，服务方计算s₂的方法为：s₂＝(d₂ ^-1·(k₂+r₁))mod n。

5.根据权利要求1所述的方法，其特征在于，所述签名(r,s)的生成方法为：发起方计算s＝(d₁ ^-1·(k₁+s₂)-r)mod n，如果s＝0或s+r＝n则结束协同签名或返回步骤2)；否则使用公钥P_A验证签(r,s)是否为消息M的签名，如果不是则签名失败；否则输出(r,s)作为消息M的签名。

6.根据权利要求1所述的方法，其特征在于，公钥P_A＝[d₁]P₂-G。