CN101547099B - 基于椭圆曲线的自认证签名方法与装置 - Google Patents

Abstract

本发明公开了一种基于椭圆曲线的自认证签名方法及其拓展的签名方法，以及签名的验证过程。认证授权机构产生签名实体的部分签名私钥，签名实体利用自己选取的部分私钥，结合接收的认证授权机构的私钥，生成签名私钥。利用椭圆曲线，提高运算效率，并且提出了基于椭圆曲线的1-1自认证签名方法，自认证聚合签名方法，以及离线的状态下生成自认证签名的方法，这几种方法的安全性基于提出的SDH+CDH假设。提出的若干方法不仅能够满足签名协议的安全要求，而且在一定程度上能够提高签名效率，满足某些特殊情况要求。

Description

基于椭圆曲线的自认证签名方法与装置

技术领域

本发明涉及密码领域的数字签名技术，自认证技术，通过结合椭圆曲线密码技术，并且利用计算机和其他类型的通讯设备，通过网络或其他途径实现自认证签名系统的设计，从而可以作为构造安全，公平电子商务、电子政务等的模块。

背景技术

数字签名方案中的私钥通常情况下，是由实体自己选取，并且秘密保管，所产生的相应公钥需要由一个认证权威机构产生一个证书来认证。在签名过程中，签名实体利用其私钥可以对任何消息进行签名，当一个验证者验证一个签名的有效性时，首先验证签名者公钥证书的有效性，再利用签名者的公钥来验证消息签名的有效性。在这种传统的PKI公钥体制下，认证权威机构需要对用户公钥证书的产生、更新、撤销和分发等复杂操作进行管理，从而给认证权威机构带来了沉重的负担，也增大了验证者验证的计算量。而基于身份的公钥体制，采用用户的身份，如：IP地址或email地址等作为用户的公钥，删除了传统PKI公钥体制中公钥证书的复杂管理，然而，用户的私钥需要一个私钥产生中心(PKG)来产生，用户必须完全信任该PKG，因而，基于身份的公钥体制存在着密钥托管问题。在现实社会中，这种信任无法完全保证。

为了删除传统PKI体制中认证权威机构对公钥证书的复杂管理，以及基于身份公钥体制中的密钥托管问，我们提出一种自认证签名系统。在该系统中，用户私钥的产生是由用户和权威认证机构共同完成。

本发明提出的基于椭圆曲线的自认证的签名方案，区别于传统公钥密码体制下数字签名方案，也不同于基于身份公钥体制下签名方案，它删除了这两种公钥体制的弊端并继承了它们的优势。在这种方案中，签名实体的私钥由两部分组成，一部分是由签名实体在Z_p中随机一个元素来产生，另一部分是由认证授权机构通过自己的公/私钥对、签名实体的身份和公钥及其系统参数来产生，这样不仅可以使得签名实体的公钥被隐式的验证，而且可以有效的解决密钥的托管问题，同时，也删除了对权威认证机构对公钥证书的复杂管理。有效的限制了权威认证机构的权利的滥用，杜绝了恶意的权威认证机构以签名实体的名义来伪造消息签名。签名实体只有在权威认证机构的帮助下，才能获得有效的签名私钥。因此，不了解密码知识的实体也可以从这种签名方案中受益。

椭圆曲线是代数几何中最重要的一类研究对象，其中椭圆曲线中的双线性对即代数曲线的Weil和Tate对是代数几何研究的重要工具。椭圆曲线上的离散对数问题远难于离散对数问题，在椭圆曲线密码系统中单位比特强度要远高于传统的离散对数系统。因此在使用较短的密钥的情况下，ECC可以达到于DL系统相同的安全性。这带来的好处就是计算参数更小，密钥更短，运算速度更快，签名也更加短小。因此椭圆曲线密码尤其适用于处理器速度、带宽及功耗受限的场合。目前，许多基于椭圆曲线的数字签名方案被提出，尤其是许多基于身份ID的数字签名。随着数字签名的发展，为了能够满足不同的实际情况的要求，出现了适应不同情况的数字签名方案。但关于签名密钥的产生，密钥的托管却一直是研究的难点和重点。

1985年Neal Koblitz和Victor Miller分别提出将椭圆曲线用于公钥密码系统，并用椭圆曲线实现了已存在的公钥密码算法。基于椭圆曲线离散对数问题难解性的密码算法被称为椭圆曲线密码算法(Elliptic Curve Cryptography简称ECC)，成为国际密码界所广泛接受的公钥密码算法。

US4200770给出了一个可以在公开信道中交换密钥的方法和设备，这个方法称为公开密钥交换或称为Diffie-Hellman密钥交换方法。该专利使得通信双方使用一个模函数协商和传递他们的秘密信息，解决了设计安全密码系统的一些密钥管理方面的麻烦。公钥密码系统中，每个实体拥有自己的私钥和公钥，私钥只有实体自己知道，公钥则由系统管理，不需要阻止公钥的公开，由于它的秘密在安全通信和数字签名中是不必要的。但是，公钥密码体制面临着熟悉的认证问题，例如，一个实体提供给签名实体有效的，但是错误的公钥，签名实体利用该公钥将秘密信息编码，编码将有可能被签名实体以外的实体解码，或者骗取签名实体接受含有无效签名的信息。最熟悉的认证公钥的方法是利用明确的证书，像X.509。当某个实体要使用其他实体的公钥时，前者必须要事先验证该公钥的真实性。攻击者要想获得传递的秘密信息，必须解决离散对数问题，如果使用的参数足够大，解离散对数问题是个难解的问题。

在传统公钥PKI框架下，用户的公钥是一串没有意义的字符串，并且有一个公钥证书与之相关联。为了简化证书的管理，在1984年Shamir提出了基于身份的公钥密码系统。在基于身份的公钥是由签名实体的身份产生，相应的私钥由一个值得信赖的认证授权机构产生。显然，这种体制存在着一个致命问题：密钥托管问题。认证授权机构了解所有签名实体的私钥，对于一个不诚实的认证授权机构，它可以任何伪造签名实体的签名。在1991年，Girault提出的自认证的公钥体制，作为除了基于身份的密码系统和传统的公钥密码体系以外的一种可选公钥体制。该公钥体制不仅删除了传统公钥体制下的复杂的证书管理，也克服了基于身份密码系统中的密钥托管问题。签名实体的私钥由认证授权机构和签名实体本身联合产生，有效的杜绝了不诚实认证授权机构的非法操作；在应用中，签名实体的公钥证书是以隐式方式被验证。在1997年Petersen和Hoster将自认证的公钥扩展到基于离散对数的密码系统中，随之也出现了很多基于离散对数的自认证的签名方案，但是由于离散对数的运算量比较大，计算比较复杂，对于密钥的选取比较麻烦，所以这类签名方案不是十分有效，自认证公钥体制的优势没有体现出来。相对于离散对数，椭圆曲线的计算量小，运算速度快，但遗憾的是利用椭圆曲线构造自认证的签名方案还没有正式的给出严格定义，因此需要定义基于椭圆曲线的自认证的签名方案。

一种有效的安全假设，该安全假设是构造基于椭圆曲线的自认证的签名方案的安全基础。对于构造安全的签名方案，通常利用的是强的Diffie-Hellman假设(strong Diffie-Hellman(SDH)assumption)和计算性Diffie-Hellman假设(Computational Diffie-Hellman(CDH)assumption)，为了构造一种安全有效的基于椭圆曲线的自认证签名方案，本发明给出了一种新的，可证明安全的假设，我们称它为强的Diffie-Hellman假设+可计算的Diffie-Hellman假设，该假设将两则安全假设相结合，利用可计算的Diffie-Hellman假设的困难性，说明与所构造假设的困难性介于熟悉的两假设之间，是构造安全有效的基于椭圆曲线的自认证的签名方案的有效工具。

一种有效的基于椭圆曲线的自认证密钥产生方法。通常情况下，签名实体的私钥只有自己知道，并且由私钥所产生的公钥是一个随机的字符串，不便于记忆，并且该公钥需要一个权威认证机构来进行认证。随着电子商务与Internet技术的发展，计算能力小、带宽与内存有限的移动设备和便携设备日益得到普及，如何设计有效的签名技术和简化复杂的管理越来越迫切.1991年Girault的文章“Self-certified public keys(自认证公钥)”被发表在Pro.of the Eurocrypt’94，491-497，提出了自认证公钥的构造及产生，但对于私钥的产生及如何构造基于椭圆曲线的自认证私钥，没有给出具体的描述。自认证签名系统，不仅可以简化对公钥证书的管理和删除密钥托管问题，而且也可以减少验证者对签名验证的计算量。而椭圆曲线密码具有在同等安全强度下，签名长度短特点；因此，我们需要构造一种安全有效的基于椭圆曲线的自认证密钥的方法。

一种有效的自认证签名系统，即一个签名实体利用私钥对消息M产生签名，而验证者可以利用用户的身份ID和权威认证中心的公钥Pca来对这个消息签名进行验证。1997年Petersen和Hoster将自认证的公钥扩展到基于离散对数的密码系统中，文章“Self-certified keys-concept and application(自认证的密钥-概念和应用)”发表在Pro.of the Communication and Multimedia Security’97，102-116。但与椭圆曲线相比，离散对数的计算量，运算速度都不理想，该签名方法可以使签名实体在认证授权机构的帮助下，获得有效的签名密钥，并实现对消息完的签名。但是，还未出现基于椭圆曲线的自认证的签名方案的形式化定义，因此，需要一种基于椭圆曲线的自认证的签名方法。

一种有效的聚合签名方法，即签名实体对多条消息签名，验证者可以对这些消息签名进行同时验证而不是分别验证。目前存在着许多签名方案，但这些方案都不同程度的存在缺陷，比如，验证者对对多个消息签名验证时，签名的长度会随着消息签名的增加而变大，计算量，运算负担也相应变大等。需要一种能够满足验证者能够对多条消息签名验证的签名方法。因此，需要一种有效的基于椭圆曲线的自认证的聚合签名方法。

一种基于椭圆曲线的在线/离线自认证签名方法，能够在线/离线状态下，为签名实体产生消息签名的签名方案。在实际应用中，在线时间比签名时间重要，并不是所有签名过程都是在线状态下完成的，如果能够在离线状态下，仍能完成签名，则可以极大的提高签名效率，节省不必要的浪费。2001年A.Shamir，Y.Tauman的文章“Improved online/offline signature schemes(改进的在线/离线签名方案)”发表在Advances in crypt’2001，355-367。然而，基于椭圆曲线的，能够在/离线状态下同时完成自认证签名的方法却没有出现。因此，需要一种基于椭圆曲线的在线/离线自认证的签名方法，在/离线状态下都可以对消息进行处理，产生自认证签名的签名方法。

因此，本发明的目的之一是提供一种有效的SDH+CDH假设。本发明的目的之二是提供一种有效的基于椭圆曲线的自认证签名方法。本发明的目的之三是提供一种有效的，基于椭圆曲线的自认证的聚合签名方法。本发明的目的之四是提供一种基于椭圆曲线的在/离线自认证签名方法。一种困难性低于Computational Diffie-Hellman(CDH)Assumption而高于q-Strong Diffie-Hellman Assumption的新的假设q-SDH+CDH Assumption，该假设具体内容包括：

选取定义的第一个循环群G₁；

选取第一个循环群G₁中的一个q元数组和一个数组

利用q-SDH Assumption和CDH Assumption假设来选取使得在多项式时间内以不可忽略的概率找到

是不可能的。

一种基于椭圆曲线的，产生关于消息M的自认证签名Sig的方法以及验证，一个签名实体对消息M产生签名δ，最后，一个验证者利用验证算法对该签名δ进行验证，具体内容包括：

在系统初始化阶段，选取第一循环群G₁和第二循环群G₂(阶数均为大素数p)；

选取一个非退化的双线性对映射e，满足能够由G₁中的两个元素映射到G₂中的一个元素；

选取第一循环群G₁的生成元g；

随机选取模p的剩余类Z_p中的一个元素α作为CA的私钥，并且产生P_CA＝g^α作为CA公钥；

用户U_i随机选取模p的剩余类Z_p中的一个元素x_i(i＝1，2，…，n)作为U_i的部分私钥，并且产生

作为签名实体U_i的部分公钥；

选取第一哈希函数H₁，能由第一串二进制数产生第一循环群G₁中的一个元素；

选取第二哈希函数H₂，能由第二串二进制数产生剩余类Z_p中的一个元素；

选取第三哈希函数H，能由第三串二进制数产生剩余类Z_p中的一个元素；

权威授权中心CA和用户U_i进行交互操作来产生用户U_i来产生用户的私钥。当CA接收到用户U_i发送来的信息(IDi，Pi)，CA利用它的公钥和(IDi，Pi)作为第一哈希函数值的输入来计算h₁＝H₁(P_CA，ID_i，P_i)，然后再利用它的私钥来产生用户U_i的部分私钥并返回给用户U_i。

当用户U_i接收到部分私钥d_i以后，利用(P_i，P_CA，ID_i)通过下面的等式来验证U_i的部分私钥d_i的有效性

$e(d_i,P_{\mathrm{CA}}{g}^{-H_{\text{2}}(P_i,{\mathrm{ID}}_i)})=e(h_1,g).$

最后，签名实体U_i的私钥为(x_i，d_i)，其中(i＝1，2，…，n)；

在签名阶段，为了产生对消息M的签名，用户U_i通过自认证签名算法来产生一个签名。具体如下：

1.随机选取模p的剩余类Z_p中的一个元素s；

2.计算

m＝H(δ₂，M，P_i).

3.产生消息M的自认证的签名Sig＝(δ₁，δ₂)

在签名验证阶段，把Sig＝(δ₁，δ₂)和消息M作为验证装置的一个输入，该验证装置工作如下：

1、验证用户公钥U_i的真实性，步骤为：通过确认

来验证公钥的真实性；

2、通过确认

来验证自认证签名Sig＝(δ₁，δ₂)的有效性。

一种基于椭圆曲线的，产生关于消息的自认证聚合签名Sig的方法以及验证，签名实体可以对不同的消息进行签名，最后把这些消息签名聚合生成最终签名，在验证时，验证者只要验证聚合所得到的签名，就意味着所有的消息签名是正确的，通过该方法可以使签名验证的计算量和速度比较所有单个消息签名的验证有很大提高，且聚合后的签名长度比所有单个签名的长度明显缩短，该系统包括：

一个认证授权机构和签名实体进行一个交互操作来签名实体的签名密钥；签名实体利用所产生的签名密钥按照上面的自认证加密签名方法来对不同消息产生签名。最后，签名实体把对不同消息产生的签名聚合成一个最终的签名。

当一个验证者验证几个不同消息的聚合签名时，他利用预先选定的双线性对映射和选定的哈希函数来验证聚合签名的有效性，如果该聚合签名满足验证等式，这就意味着这几个不同消息的签名是有效的。

一个可以由一个签名实体，对一个消息M产生签名的offline/online系统，该系统分为在线和离线两个阶段。该签名实体在离线(offline)状态下，完成签名的主要运算过程；在在线状态下，签名实体基于离线状态下的计算结果，使用较少的计算量来产生消息M签名。该系统包括：

一个认证授权构和签名实体进行交互操作，产生签名实体的签名密钥，每个签名实体对应各自的不同签名密钥，签名实体与认证授权机构共同产生签名实体的签名私钥；

一个与认证授权机构，签名实体相互传递的处理器，该处理器能够利用预先选定的哈希函数，认证机构或者签名实体的输入生成一个函数值，并且利用该函数值和签名实体的私钥，相关公钥生成签名实体的自认证签名；而且，该处理器能够在离线状态下，随机的选择秘密信息和一个随机数，利用预先选定的函数，签名实体的私钥，生成一个离线签名，在在线签名阶段，该处理器能够使用在离线状态下所生成的离线签名与待签消息M，共同生成一个在线自认证签名；

一个与签名验证者相互传递的处理器，该处理器能够利用预先选定的双线性对映射，选定的哈希函数，上面处理器生成的在线自认证签名进行验证，如果通过验证，确定该签名的真实性。

发明内容

本发明给出了可靠的理论基础，提出了安全，有效且快速的密钥，签名产生方法。

本发明的目的在于提出一种新的有效椭圆曲线自认证签名方法。该签名方法基于椭圆曲线离散对数问题，该问题具有高复杂性，因而具有单位安全强度更高的特定，可大大缩短具有相同安全强度的数字签名长度，加快签名速度。

本发明的内容之一，提出了有效的SDH+CDH假设。利用解决强SDH和CDH假设的困难性，将两者的困难性相结合，构造了有效的SDH+CDH假设。在多项式时间内解决SDH假设的概率是可以忽略的，在多项式时间内解决CDH假设的概率也是可以忽略的，由于提出假设的困难性低于解决CDH假设，而高于解决SDH假设，得知在多项式时间内解决SDH+CDH假设的概率也是可以忽略的。利用SDH+CDH假设，可以产生有效的基于椭圆曲线的自认证签名方案，构造方案的安全模型和安全性证明。

本发明的内容之二，提出了一种有效的基于椭圆曲线的自认证密钥产生方法。传统的公钥系统中，用户的私钥可以自己产生或由一个认证机构产生，然后，生成相应的公钥，这个公钥是一个随机的字符串，一般不容易记忆；同时相应的公钥需要一个认证机构来认证该公钥的有效性。因此，带来的问题是：当验证签名时，验证者首先需要公钥的有效性，然后，再利用该公钥来验证签名的有效性。显然，不适合目前流行的低计算、低计算的移动设备。本发明中签名实体的私钥只能在认证授权机构的帮助下才能完成。具体如下：产生第一循环群和第二循环群，选出一个非退化的双线性映射，使得由第一循环群中的两个元素能够得到第二循环群中的一个元素。选出第一循环群的生成元，并产生第二循环群的生成元。随机选取剩余类Zq中一个的元素，生成认证授权机构的密钥。签名实体在剩余类Zq中随机选择一个数作为部分私钥，并产生相应的部分公钥，认证授权机构利用它的私钥、签名实体的身份和第一，第二哈希函数，生成签名实体的另外的部分私钥，最后，签名实体可以将两部分密钥合在一起，产生签名密钥。

本发明的内容之三，提出了一种有效的基于椭圆曲线的自认证签名的方法。具体如下：产生第一循环群和第二循环群，选出一个非退化的双线性映射，使得由第一循环群中的两个元素能够得到第二循环群中的一个元素。选出第一循环群的生成元，并产生第二循环群的生成元。随机选取剩余类Zq中一个的元素，生成认证授权机构的密钥。签名实体选取的部分私钥，产生相应的部分公钥，认证授权机构利用它的私钥、用户的身份和第一，第二哈希函数，生成签名实体的另外的部分私钥。签名实体利用签名私钥，选择随机数、利用哈希函数和自己的身份与认证授权机构的公钥来对消息进行签名。自认证签名可以通过非退化的双线性映射，认证授权机构的公钥和签名实体的身份，以及哈希函数来完成签名的验证。

本发明的内容之四，提出了一种有效的基于椭圆曲线的，聚合的自认证签名方法。签名实体利用签名密钥对不用的消息进行签名，然后，把这些不同的消息签名聚合起来，生成一个聚合签名。然后，该聚合签名可以通过非退化的双线性映射，认证授权机构的公钥和签名实体的身份，及选定的哈希函数来完成签名的验证。

本发明的内容之五，提出了一种基于椭圆曲线的在/离线自认证的签名方法，能够在/离线状态下，为签名实体产生消息签名。利用预先选定的函数，认证机构或者签名实体的输入生成消息函数值，并且利用消息函数值和签名实体的私钥，认证授权机构的公钥生成签名实体的自认证签名；在线时间通常比签名时间更重要，离线状态下，随机的选择秘密信息和一个随机数，随机选择一条消息，利用预先选定的函数，签名实体的私钥生成一个离线签名，在以后的处理中，该处理器能够在在线状态下，能够利用识别出与所给消息相匹配的签名中所包含的随机数来认证。因此，需要一种基于椭圆曲线的在/离线自认证的签名方法，来完成对消息签名的签名方法。

附图说明

图1是一张流程图，该图介绍了本发明的内容之二的操作过程，描述了如何产生一种有效的基于椭圆曲线的自认证密钥的方法；

图2是一张流程图，该图介绍了本发明的内容之三的操作过程，描述了如何产生一种有效的基于椭圆曲线的，一个签名实体对一条消息进行自认证签名的方法；

图3是一张流程图，该图介绍了本发明的内容之四的操作过程，描述了如何产生一种有效的基于椭圆曲线的，自认证的聚合签名方法；

图4是一张流程图，该图介绍了本发明的内容之五的操作过程，描述了如何产生一种基于椭圆曲线的在/离线自认证的签名方法；

图5是本发明的签名装置的方框图。

具体实施方式

本发明所提出的基于椭圆曲线的自认证的签名方法，能够提供安全，快速，简洁而且有效的签名方法，通过对签名实体的签名密钥设置，防止了签名权利的外延。本发明提出的基于椭圆曲线的自认证的签名方法，根据不同的签名实体，签名消息，可以扩展到满足一对多的聚合签名，即一个签名实体对不同消息进行自认证签名，然后，把这些消息签名聚合成一个签名的方法；为了提高在线签名的速度，给出了一种在/离线自认证消息签名方法。

本发明的基于椭圆曲线的自认证的签名方法，在用户的部分私钥产生中需要一个认证授权机构CA。签名实体在产生签名密钥的过程中，与该认证授权机构交互传递，签名实体选择一个剩余类Zp中的随机数作为自己的部分签名私钥，认证授权机构利用签名实体的身份，部分公钥等特殊信息，产生签名实体的另外部分签名私钥，签名实体将两部分私钥结合，得到有效的签名私钥。本发明中的认证授权机构不在是一个完全信任机构，签名实体的私钥不再有它完全产生，它也不能伪造签名实体的签名。

本发明提出的基于椭圆曲线的自认证的签名方法包括4个步骤：建立模型，密钥产生，签名，以及验证。离线状态下的签名步骤则还需要选取随机信息和识别匹配数两个步骤。

在建立模型中，该算法输入安全参数1^k，认证授权机构CA选取秘密参数作为私钥，并用来产生公共参数params，包括第一循环群生成器，哈希函数，双线性映射函数和公钥。私钥的产生只有认证机构CA知道，参数params是公开的。

在密钥产生中，签名实体选取自己的部分私钥，并生成相应的部分公钥。签名实体将身份信息，部分公钥传递给认证授权机构，认证授权机构利用哈希函数，经过处理，得到签名实体的另一部分私钥，传递给签名实体，通过验证，签名实体确定私钥的真实性，产生签名私钥。

在签名过程中，签名实体选取一秘密参数，利用第一循环群生成器，自己的身份信息，公共参数，哈希函数产生部分签名，利用该部分签名和消息得到消息函数，再签名私钥对消息函数签名得到另一部分签名，将两部分签名合产生签名消息的自认证签名。

在验证过程中，利用哈希函数值，对公共参数params和消息进行处理，得到消息函数值。验证生成参数，消息函数值，自认证签名等是否满足验证等式，得到结论“接受”(签名有效)或者“拒绝”(签名无效)。

椭圆曲线

本发明的高效性是基于椭圆曲线上的运算简洁性。本发明提出的签名方法是基于椭圆曲线的，利用椭圆曲线上的对，比如Tate对和Weil对，来进行运算。本发明利用两个阶为大素数q的循环群，一个是椭圆曲线或阿贝尔族上点的加法群G₁，它的生成器是g；另一个是有限域上的乘法群G₂。两个循环群之间存在一种双线性映射函数e：G₁×G₁→G₂，将加法群G₁中的两个元素映射到乘法群G₂中的一个元素。要求该函数满足：首先，双线性的，对于G₁中的元素u，v，整数a，b，满足e(u^a，v^b)＝e(u，v)^ab；其次，非退化的，即对于G₁中的元素g，满足e(g，g)≠1；再次，可计算的，对于G₁中的元素u，v，存在有效的算法计算e(u，v)。除了上面的三个要求，该函数还应该是对称的，即e(u，v)＝e(v，u)。椭圆曲线上点的运算，横纵坐标互相交换的两点，满足对称性，在椭圆曲线上得到的映射点是相同的。强的Diffie-Hellman+可计算的Diffie-Hellman假设。

本发明的安全性基于强的Diffie-Hellman假设-strong Diffie-Hellman(SDH)assumption和可计算的Diffie-Hellman假设-Computational Diffie-Hellman(CDH)assumption，其中，前者定义在(g₁，G₂)中，g₁，g₂分别是G₁和G₂的生成器，给出一个q+2元数组

对于未知整数c，求出

后者定义在G₁上，g₁是G₁的生成器，给出

对于未知整数x，y，求出

对于上面的两种假设，本发明提出了一种新的假设强的Diffie-Hellman假设+可计算的Diffie-Hellman假设。该假设在困难性上，介于强的Diffie-Hellman假设和可计算的Diffie-Hellman假设之间。该假设同样定义在G₁上，g₁是G₁的生成器，给出一个q元数组和2元数组

对于整数c，r，求出

如果强的Diffie-Hellman+可计算的Diffie-Hellman假设可以在多项式时间内解决，令q＝2，则该假设转化为可计算的Diffie-Hellman假设，说明可以在多项式时间内解决可计算的Diffie-Hellman假设。实际上可计算的Diffie-Hellman假设等价于求逆运算，在多项式时间内是不能解决的。因此，提出的强的Diffie-Hellman+可计算的Diffie-Hellman假设也同样不能在多项式时间内，以不可忽略的概率解决。

如上所述，提出的强的Diffie-Hellman+可计算的Diffie-Hellman假设，定义在循环加群G₁上，g₁是G₁的生成器，输入一个q元数组

和2元数组

对于整数c，r，输出

输出结果的概率，决定于g₁，c，r选取的任意性，以及概率算法A。如果一个概率算A法能够在多项式时间输出所要的值，则该算法能以不可忽略的概率解决强的Diffie-Hellman+可计算的Diffie-Hellman假设。但提出的假设，本质上等价于可计算的Diffie-Hellman假设，而可计算的Diffie-Hellman假设的困难性基于离散对数的求逆问题。离散对数的求逆问题，定义在循环加群G₁上，g₁是G₁的生成器，输入

对于未知整数x，输出x。在任意的多项式时间内，不能以不可忽略的概率解决离散对数的求逆问题，能够得出，不能以不可忽略的概率在多项式时间内解决可计算的Diffie-Hellman假设，因此不能以不可忽略的概率在多项式时间内解决强的Diffie-Hellman+可计算的Diffie-Hellman假设。该假设是构造基于椭圆曲线的自认证签名方案的理论基础。由于该假设的困难性，本发明提出的基于椭圆曲线的自认证签名方案是安全的。

基于椭圆曲线的自认证密钥产生方法

在传统的PKI框架下，签名私钥的选取，通常情况下，是签名实体秘密选取，然后生成相应的公钥，并由一个认证机构对该公钥进行认证，或者，由某个认证授权机构产生一对公/私钥，把私钥返回给用户，并对公钥进行认证。这种私钥产生方法给公钥管理以及签名的验证带来一系列的麻烦。在基于身份的体制下，用户的私钥是由一个可信机构来产生，因而，存在着密钥托管问题。为了解决传统公钥体制和基于身份公钥体制下，密钥产生所带来的问题，我们研究自认证的密钥产生方法，签名实体只能产生部分私钥，而另一部分，由认证授权机构对用户的身份和部分公钥产生一个BBS签名作为部分私钥，最后，将两部分私钥结合在一起，构成签名私钥。签名实体无法单独产生有效的签名私钥，认证授权机构的引入，将使得用户的公钥在签名验证时以隐式形式进行研究。

下面结合图1来说明基于椭圆曲线的自认证签名密钥的具体产生方法。图1给出的是一张流程图，描述了包括签名密钥产生及验证等各个步骤。签名实体的信息，作为哈希函数的输入，传递给认证授权机构，产生部分签名私钥。本方法的核心是步骤106和步骤110：步骤106中，签名实体任意选取部分私钥；步骤110中，认证授权机构生成签名实体的另一部分私钥，两部分结合产生签名私钥。

步骤101中，产生两个阶数同为大素数q的，第一循环加群G₁和第二循环乘群G₂；

步骤102中，选取G₁的生成元为g；

步骤103中，选取一个非退化的双线性映射函数e，可以将G₁中的两个元素映射到G₂的元素；

步骤104中，认证授权机构选取秘密整数α作为其私钥；步骤105中，认证授权机构产生其公钥P_CA＝g^α；

步骤106中，签名实体U_i任意选取整数x_i(i＝1，2，…，n)(i＝1，2，)作为其部分私钥，不同的签名实体选取的整数各不相同，不同的签名过程，同一签名实体选取的整数也不同；

步骤107中，签名实体产生部分公钥

部分签名私钥的不同，使得部分公钥也不相同；

步骤108中，选取第一，第二哈希函数，第一哈希函数能够由一串二进制数产生第一循环群中的元素，第二哈希函数能够由一串二进制数产生一整数；

步骤109中，第一哈希函数H₁由认证授权机构的公钥P_CA，签名实体的身份ID_i，部分公钥P_i组成的一串二进制数产生G₁中的元素h₀＝H₁(P_CA，ID_i，P_i)；

步骤110中，利用步骤109中得到的元素，认证授权机构的私钥α，第二哈希函数H₂产生签名实体的另一部分私钥

认证授权机构将该私钥传给签名实体，后者将两部分私钥结合生成签名私钥(x_i，d_i)；

步骤111中，利用双线性对映射e，验证等式满足验证等式的私钥对，签名实体认为是有效的，接受，否则，拒绝。

基于椭圆曲线的自认证签名的方法

基于椭圆曲线的自认证签名，就是一个签名实体对消息签名。本发明提出的方法，能够结合椭圆曲线的运算的高效性，简单的认证，解决了密钥托管问题和公钥复杂管理问题，同时，本方法的安全性和可行性是基于强的Diffie-Hellman+可计算的Diffie-Hellman假设的困难性。

下面结合图2来说明基于椭圆曲线的自认证签名的生成方法。图2给出的是一张流程图，描述了自认证签名产生的具体步骤。本方法的核心是步骤210和步骤213：步骤210，签名实体将选择的部分私钥和由认证授权机构产生的另一部分私钥结合，产生签名私钥；步骤213，签名实体利用签名私钥，消息的第三哈希函数值，产生自认证的签名。

步骤201，产生两个的循环群，第一个为加群G₁，第二个为乘群G₂，阶数都是大素数q；

步骤202，选取G₁的生成元g，然后再随机选择群G₁中的两个元素h₁，h₂∈G₁作为公开参数；

步骤203，选取一个非退化的双线性映射e，可以将G₁中的两个元素映射到G₂中；

步骤204，认证授权机构选取秘密整数α作为其私钥。

步骤205，认证授权机构利用其私钥产生其公钥P_CA＝g^α；

步骤206，签名实体U_i任意选取整数x_i(i＝1，2，…，n)(i＝1，2，)作为其部分私钥，不同的签名实体选取的整数各不相同，不同的签名过程，同一签名实体选取的私钥也不同；

步骤207，签名实体产生部分公钥

部分签名私钥的不同，使得部分公钥也不相同；

步骤208，选取三个哈希函数，第一哈希函数能够由一串二进制数产生第一循环群中的元素，第二哈希函数能够由一串二进制数产生一整数，第三个哈希函数能够由一串二进制数产生一整数；

步骤209中，第一哈希函数H₁由认证授权机构的公钥P_CA，签名实体的身份ID_i，部分公钥P_i组成的一串二进制数产生G₁中的元素h₀＝H₁(P_CA，ID_i，P_i)；

步骤210，利用步骤209得到的元素，认证授权机构的私钥α，第二哈希函数H₂产生签名实体的另一部分私钥

认证授权机构将该私钥传给签名实体，后者将两部分私钥结合生成签名私钥(x_i，d_i)；

步骤211，利用双线性对映射e，验证等式

是否成立，如果等式成立，签名实体认为是有效的，接受，否则，拒绝；

步骤212和213，签名实体分三层来进行签名。第一层，签名实体随机选取一整数s，签名实体利用认证授权机构公钥P_CA，第二哈希函数H₂，签名实体身份信息ID_i，签名实体的部分公钥P_i，生成前签名第二层，签名实体，利用前签名δ₁，签名消息M，签名实体的部分公钥P_i，生成消息的哈希值m＝H(δ₁，M，P_i)；第三层，签名实体利用消息哈希值m，利用签名私钥(x_i，d_i)，第一和第二哈希函数H₁，H₂，签名实体身份信息IN_i，签名实体的部分公钥P_i，生成前签名将前签名和后签名合在一起，生成消息M的签名δ＝(δ₁，δ₂)；

步骤214，任意的验证实体，可以通过签名实体的公钥P_i，身份信息ID_i，签名消息M，来验证签名δ的真实性。首先，计算m＝H(δ₁，M，P_i)和h₀＝H₁(P_CA，ID_i，P_i)；其次，验证等式

是否成立，成立，则认为自认证签名有效，接受，否则，拒绝。

基于椭圆曲线的自认证聚合签名的方法

基于椭圆曲线的自认证聚合签名，就是签名实体对不同消息的签名，然后将这些不同的消息签名聚合成一个签名的方法。在签名的过程，类似于上面的自认证签名方法，签名实体首先利用自己的签名密钥对不同的消息进行签名，然后，通过聚合方法把这些不同消息的签名聚合成一个长度相对短的签名；在验证时，验证者只要对聚合后的签名有效进行验证，如果成立就意味着这些不同的签名是有效的。从而，在签名的长度和验证的计算量上有较大的缩减。

下面结合图3来说明基于椭圆曲线的自认证聚合签名的生成方法。图3给出的是一张流图，描述了签名实体对消息的自认证聚合签名产生的具体步骤。本方法的核心是步骤314，利用签名实体对不同的消息生成自认证的签名，将这些消息签名结合产成一个自认证聚合签名。

步骤301，产生两个的循环群，第一个为加群G₁，第二个为乘群G₂，阶数都是大素数q；

步骤302，选取G₁的生成元g，然后再随机选择群G₁中的两个元素h₁，h₂∈G₁作为公开参数

步骤303，选取一个非退化的双线性函数e，可以将G₁中的两个元素映射到G₂中；

步骤304，认证授权机构选取秘密整数α作为其私钥，在不同的签名过程中，选取的秘密数不同；

步骤305，认证授权机构产生其公钥P_CA＝g^α；

步骤306，签名实体任意选取整数x_i(i＝1，2，…，n)作为其部分私钥，不同的签名实体选取的整数各不相同，不同的签名过程，同一签名实体选取的私钥也不同；

步骤307，签名实体产生部分公钥

部分签名私钥的不同，使得部分公钥也不相同；

步骤308，选取三个哈希函数，第一哈希函数能够由一串二进制数产生第一循环群中的元素，第二哈希函数能够由一串二进制数产生一整数，第三个哈希函数能够由一串二进制数产生一整数；

步骤309，第一哈希函数H₁由认证授权机构的公钥P_CA，签名实体的身份ID_i，部分公钥P_i组成的一串二进制数产生G₁中的元素h₀＝H₁(P_CA，ID_i，P_i)；

步骤310，利用步骤309中得到的元素，认证授权机构的私钥α，第二哈希函数H₂产生签名实体的另一部分私钥

认证授权机构将该私钥传给签名实体，后者将两部分私钥结合生成签名私钥(x_i，d_i)；

步骤311，利用函数e，验证等式如果等式验证成立，签名实体认为是有效的，接受，否则，拒绝；

步骤312和313，聚合签名的过程分为三层。第一层，签名实体任意选取一整数s_i，签名实体利用认证授权机构公钥的P_CA，第二哈希函数H₂，签名实体身份信息ID_i，签名实体的部分公钥P_i，生成前签名

第二层，签名实体利用前签名δ_i1，签名消息M_i。

签名实体的部分公钥P_i，生成消息的哈希值m_i＝H(δ_i1，M_i，P_i)；第三层，签名实体利用消息哈希值m_i，利用签名私钥(x_i，d_i)，第一和第二哈希函数H₁，H₂，签名实体身份信息ID_i，签名实体的部分公钥P_i，生成后签名

将前签名和后签名合在一起，生成消息M_i的签名δ_i＝(δ_i1，δ_i2)；

步骤314，对于n个消息的签名(δ₁，δ₂，…，δ_n)，其中满足δ_i＝(δ_i1，δ_i2)。签名实体的聚合过程如下：首先，计算

接着，对于i＝1，2，…，n，签名实体计算m_i＝H(δ_i1，M_i，P_i)；最后，计算

那么，所产生的聚合签名就是(δ₁，δ₂)。由此，我们可以看出，我们的聚合签名长度仅仅是n个签名长度的1/n。当验证者需要验证该聚合签名的有效性时，只需要验证等式

是否成立。如果成立就意味这该聚合签名是有效的。从聚合签名的验证我们知道，该聚合签名的验证仅仅需要3个对(pairing)计算和1个指数运算。验证的计算量基本上与单个签名的验证相等。注：对计算是椭圆曲线中最耗时的计算。

步骤315，任意的验证实体，可以通过签名实体的公钥P_n，身份信息ID_n，和系统参数h₁，h₂，来验证签名(δ₁，δ₂)的真实性。具体验证等式

是否成立，如果成立，则认为自认证聚合签名有效，接受，否则，拒绝。

基于椭圆曲线的在/离线自认证签名方法

本发明的内容之五，提出了一种基于椭圆曲线的在/离线自认证的签名方法。一般来说，签名过程中，在线签名要比离线签名代价更大，带宽的限制，计算能力的限制，都对在线操作提出了更高的要求.，本方法能够利用离线状态完成签名的主要操作，在在线状态下进行简单的操作来完成消息的签名，节省了在线时间，提高了在线签名的效率，并通过对所选取的与签名消息匹配随机数的识别，验证签名的真实性。

下面结合图4来说明基于椭圆曲线的在/离线自认证签名的生成方法。图4给出的是一张流程图，描述了在/离线状态下产生自认证签名的过程。本方法的核心是步骤412和步骤和步骤414。

步骤412中，认证授权机构随机的选择秘密信息和一随机数，利用预先选定的函数，签名实体的私钥，生成一个离线签名；步骤414中，在在线状态下，利用离线签名，识别出与所给消息相匹配的签名中所包含的随机数，验证签名的真实性。

步骤401，产生两个的循环群，第一个为加群G₁，第二个为乘群G₂，阶数都是大素数q；

步骤402，选取G₁的生成元g，然后再随机选择群G₁中的两个元素h₁，h₂∈G₁作为公开参数

步骤403，选取一个非退化的双线性函数e，可以将G₁中的两个元素映射到G₂中；

步骤404，认证授权机构选取秘密整数α作为其私钥；

步骤405，认证授权机构产生其公钥P_CA＝g^α；

步骤406，签名实体任意选取整数x_i(i＝1，2，…，n)作为其部分私钥，不同的签名实体选取的整数各不相同，不同的签名过程，同一签名实体选取的私钥也不同；

步骤407，签名实体产生部分公钥

部分签名私钥的不同，使得部分公钥也不相同；

步骤408，选取三个哈希函数，第一哈希函数能够由一串二进制数产生第一循环群中的元素，第二哈希函数能够由一串二进制数产生一整数，第三个哈希函数能够由一串二进制数产生一整数；

步骤409中，第一哈希函数H₁由认证授权机构的公钥P_CA，签名实体的身份ID_i，部分公钥P_i组成的一串二进制数产生G₁中的元素h₀＝H₁(P_CA，ID_i，P_i)；

步骤410中，利用步骤409中得到的元素，认证授权机构的私钥α，第二哈希函数H₂产生签名实体的另一部分私钥

认证授权机构将该私钥传给签名实体，后者将两部分私钥结合生成签名私钥(x_i，d_i)；

步骤411，利用函数e，验证等式

是否成立，如果等式成立，签名实体认为是有效的，接受，否则，拒绝；

步骤412，选取n和n’，并令签名信息M′和M分别为M′＝gⁿ′，M＝gⁿ，签名私钥(x′_i，d′_i)，以及随机数r′，其中的信息M′不同于M；

步骤413，利用选取签名私钥进行离线签名，分别生成前签名

消息函数

以及后签名

步骤414，签名实体需要找出一随机数r，要使得即可以在在线状态下的求出将得到的随机数r，消息M，签名一起传递给签名验证实体。

步骤415中，首先，计算

和h₁＝H₁(P_CA，ID_i，P_i)；其次，验证等式

是否成立，成立，则认为自认证签名有效，接受，否则，拒绝。其中的步骤414，仅仅需要简单加法与乘法，所以计算效率非常高。

图5表示了本发明的签名和验证签名装置。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (3)

1.一种基于椭圆曲线的自认证私钥产生及验证方法，一个公认的认证机构CA，和一个签名实体之间进行的，其中的签名实体U_i是一个集合，其中i＝1，2，…，n，签名实体对应的身份信息集合为ID_i其中i＝1，2，…，n，其特征在于：该方案具体内容如下：

在椭圆曲线上，选取第一循环加群G₁和第二循环乘群G₂，其中，阶数均为大素数p；

选取一个非退化的双线性对映射e，该映射e是一种可行的双线性对映射，满足能够由G₁中的两个元素映射得到G₂中的元素；

选取第一循环加群G₁的生成元g；

随机选取模p的剩余类Z_p中的一个元素α作为CA的私钥，并且产生P_CA＝g^α作为CA公钥；

随机选取模p的剩余类Z_p中的一个元素x_i其中i＝1，2，…，n作为U_i的部分私钥，并且产生 

作为签名实体U_i的部分公钥；

选取第一哈希函数H₁，能由第一串二进制数产生第一循环加群G₁中的一个元素；

选取第二哈希函数H₂，能由第二串二进制数产生剩余类Z_p中的一个元素；产生一个第一哈希函数值h₀＝H₁(P_CA，ID_i，P_i)，并利用它产生 生成的签名实体U_i的签名私钥为(x_i，d_i)，其中i＝1，2，...，n；验证签名私钥的真实性，是否接受决定于下面的验证过程，步骤为：确认 

2.根据权利要求1所述的方法，其特征在于： 

所述第一循环加群G₁是超奇异椭圆曲线或阿贝尔族上的点的加法群，所述第二循环乘群G₂则是有限域上的乘法群。

3.根据权利要求1-2任一项所述的方法，其特征在于，

秘密选取认证机构CA的私钥α和签名实体U_i的部分私钥x_i，其中i＝1，2，...，n，产生认证机构CA的公钥P_CA＝g^α和签名实体U_i的部分公钥 

函数值h₀是利用P_CA，ID_i，P_i作为输入，由第一哈希函数H₁根据h₀＝H₁(P_CA，ID_i，P_i)产生的；

签名实体U_i的部分私钥d_i是利用(ID_i，P_i)，H₂，α作为输入根据公式 

产生的，并且，认证机构CA将部分私钥d_i传给签名实体U_i，将两个部分私钥结合生成签名实体U_i的签名私钥(x_i，d_i)并通过验证等式 

进行验证。 

Images