CN102301643B - 数据处理系统中的密码证书的管理方法和系统 - Google Patents

Abstract

本发明提供了用于在数据处理系统(1)中管理密码证书的动态集合的方法和装置。在所述集合中的密码证书和预定义的多个组元素的相应组元素之间定义映射。周期性地生成指示证书的集合的密码累加器。该密码累加器包括与映射到该集合中的证书的组元素相关的相应组元素的乘积。为该集合中的每个证书周期性地生成证据。每个证据包括该组元素的相应不同子集的乘积，针对每个证据的子集依赖于在所述集合中的证书和为其生成证据的证书。周期性地在数据处理系统(1)中发布密码累加器以便对系统组件(6，7)可用，该系统组件(6，7)涉及验证在系统(1)中使用的密码证书是否是由该累加器指示的动态集合的成员。

Description

数据处理系统中的密码证书的管理方法和系统

技术领域

本发明大体上涉及数据处理系统中的密码证书的管理。提供在数据处理系统中管理此类证书的动态集合中使用的方法、装置和计算机程序。 

背景技术

密码证书典型地是密码签名、证明或者其它由可信方(“发行者”)向用户发行的密码令牌。继而可以接下来在用户和另一方(“验证者”，其可以是或可以不是发行者)之间的数据通信中使用证书作为针对其发行证书的信息的证明。典型的场景包括用户通过数据通信网络连接到远程服务器并使用证书来证明访问某些受限制的服务或者其它资源的授权。用户和验证者之间的证书验证过程经常涉及证明证书是定义的数据项集合中的一个，例如，证书是在授权证书或有效证书的列表上。也可能需要以不公开该证书本身的方式，或者没有实际上揭露关于该证书或证明方的任何其它信息的方式来制作此类证明，以便大体上保持匿名性和用户隐私。 

在大多数应用中，有效证书的集合是动态的，由于发行新证书并且从集合中移除“旧”证书而随时间改变。特别是，密码证书的有效性可以是暂时的，这或是因为证书是针对有限时间周期而发行的，或是因为证书在发行后出于某些其它原因而被撤销。在前者的情况下，可以在证书中包括截止日期(例如，作为在证书中加密的数据的成分或者“属性”之一)并由验证者检查以确保有效性。然而，在后者的情况下，其中意外的事件可能要求证书的早期撤销(无效)，验证者从发行者(或其它可信方)请求附加信息来证实有效性。例如，当用户从他的工作辞职时，应当使允许他访问工作场所的证书无效。更极 端的例子是对撤销已经被泄露并被恶意方用于非法购买的信用卡之类的证书的需求。在此类情况下，验证者需要检查可信方证书的有效性。 

验证者检查证书有效性的需求引起了各种问题，特别是在隐私是首要关注的情况下。在匿名不是问题的场景中，可以在事务期间向验证者揭露诸如与证书相关的序列号之类的标识符。验证者继而可以在由发行者周期性发布的被撤销证书id的列表中检查此项。另一解决办法是验证者向在线发行者发送证书撤销状态查询。前者解决办法是通信低效率的，这是由于被撤销证书的列表可能非常大，而后者解决办法要求签发机关长期在线。两个解决办法都要求所有各方的证书id的知识，破坏了用户的隐私。然而，匿名证书系统要求以用户仅公开发生事务所要求的最少量的信息的方式执行用户、发行者和验证者之间的事务。而且，发行者无法知晓向验证者示出了哪些证书属性，并且发行者和验证者无法链接用户事务。由于匿名证书系统的目的在于保护用户匿名性和事务不可链接性，因此发行者和验证者在事务期间无法知晓证书的id，并且需要备选的撤销状态检查技术。 

用于处理以上问题的一种已知技术使用密码累加器。密码累加器允许大集合的输入被哈希到单个短输出，即累加器中。继而由累加器证据(witness)来提供在累加器中实际上包含给定输入的证据。例如，如果通过F(x_I,...，x_n)＝ACC来为输入x₁至x_n定义累加器(ACC)，则证明在ACC中包含给定输入x_i要求证据w_i以及存在验证函数V，从而使得V(x_i，w_i)＝ACC。通过如果在累加器中不包含x_y，则计算w_y，从而使得V(x_y，w_y)＝ACC不可行的特征来确保安全性。当在上述场景中应用时，累加所有当前有效证书的序列号，并且发布所生成的累加器。用户继而可以通过使用他们的证据以证明(在零知识的情况下)他们的证书的序列号包含在发布的累加器中，来向验证者证明他们的证书仍然有效。此类系统已经在以下中进行了描述：“Short group signatures”，Boneh等，编辑Matthew K.Franklin，Advances in Cryptology-CRYPTO 2004，LNCS第3152卷，第41-55页，Springer Verlag，2004； 以及“Dynamic accumulators and application to efficient revocation of anonymous credentials”，Camenisch和Lysyanskaya，编辑Moti Yung，Advances in Cryptology-CRYPTO 2002，LNCS第2442卷，第61-76页，Springer Verlag，2002。然而，这些解决办法的缺点是用户需要更新他们的累加器证据，并且更新为每个新撤销的证书要求至少一次模幂运算。由于在典型应用中可能有大量被撤销的证书，这些解决办法带来重大的计算(和通信)开销，以及特别是远大于能由诸如智能卡之类的资源受限的用户设备处理的开销。例如，上文的Camenisch和Lysyanskaya的参考文献介绍了动态累加器，并示出了动态累加器在匿名证书系统以及身份托管和组签名中撤销的适用性。所提出的累加器和用户证据的更新需要与增加到系统或从系统中撤销的用户数量呈线性的若干取幂。在“Universal accumulators with efficient nonmembership proofs”，Jiangtao Li等，编辑Jonathan Katz和Moti Yung，ACNS，Computer Science中的Lecture Notes第4521卷，第253-269页，Springer，2007中，该累加器被扩展，引入了值没有被累加的证据和证明。 

在“Accumulators from bilinear pairings and applications”，Lan Nguyen，编辑Alfred Menezes，CT-RSA，Computer Science中的Lecture Notes第3376卷，第275-292页，Springer，2005中，从双线性配对构造动态累加器。将该系统应用到匿名证书系统导致要由每个用户存储非常大的系统参数(与可累加的值的数量呈线性的若干元素)以便证明他们的证书有效性。同样地，在“Cryptanalysis and improvement of an ID-based ad-hoc anonymous identification scheme”，Zhang和Chen，CT-RSA 05，2005中指出累加器并不安全，并且任何方在没有任何秘密知识的情况下也能够在匿名识别协议中成功。而且，更新证据要在每个事件取一次幂并且因而没有效率(在论文中，作者撰写了乘法并将加法用作代数组的基本操作，这是由于加法有时与双线性映射和椭圆曲线组相关地完成(参见上文的Nguyen参考文献))。 

在“A new dynamic accumulator for batch updates”，Peishun Wang 等，编辑Sihan Qing等，ICICS，Computer Science中的Lecture Notes第4861卷，第98-112页，Springer，2007中提出了用于批更新的动态累加器。错过了许多证据更新的用户可以向发行者请求更新信息，并使用一次乘法来更新他们的证据。然而，该方案对于诸如证书撤销之类的应用将不可用。例如，一方将如何实现对包含在累加器中的元素的知识的有效证据并不显而易见，而这对于针对证书撤销的累加器的使用是必要的。 

发明内容

本发明的第一方面提供一种用于在数据处理系统中管理密码证书的动态集合的方法。该方法包含： 

在所述集合的密码证书和预定义的多个组元素的相应组元素之间定义映射； 

周期性地生成指示证书集合的密码累加器，所述密码累加器包括与映射到所述集合中的证书的组元素相关的相应组元素的乘积； 

在所述数据处理系统中周期性地发布密码累加器；以及 

周期性地为所述集合中的每个证书生成证据，每个证据包括所述组元素的相应不同子集的乘积，针对每个证据的所述子集依赖于所述集合中的证书以及为其生成证据的证书。 

体现本发明的方法可以提供快速且有效的基于累加器的技术，该技术用于在数据处理系统中管理密码证书的动态集合以及提供证书撤销。生成证据作为上文定义的组元素的子集的乘积，并且这可以带来有效的证据更新。特别地，证据的计算与该集合中的证书的数量是呈线性的，并且每个证据的更新与该集合的变化的数量是呈线性的。因而可以使用一次乘法来实现证据更新。计算复杂性上的改进使得在典型应用中的证据更新可以例如由发行者或者一个或更多证据更新授权机构实际地集中处理，将计算负担从用户中转移出去。这允许在涉及诸如智能卡之类的资源受限的用户设备或者其它具有受限计算能力的设备的数据处理系统中的便利的应用。而且，如由以下示例所 证明的一样，系统可以基于匿名证书为在用户和验证者之间的有效证明协议提供基础，并且因而可非常适合于隐私敏感型应用。 

可以不时地、定期地或以其它方式执行密码累加器的周期性生成，以反映在证书的动态集合中的变化。因此，在任何时刻，累加器应当包括与集合中当前映射到证书的元素相关的组元素的乘积。在操作开始时，可以通过从针对证书的初始集合的适当的组元素计算定义的乘积来生成累加器。然而，随后，可以仅通过经由乘法因子来更新先前的累加器值来生成累加器，以反映如下文描述的新乘积。类似地，可以通过计算组元素的适当子集的乘积来生成针对证书的初始集合的每个证据，而可以通过经由如下文描述的乘法因子更新先前的证据来生成遵循集合中的改变的更新的证据。每一次重新生成累加器时，典型地将生成新的证据集合，尽管系统可以被设想为仅当期望时(例如，针对个体用户的“需求”)，执行证据更新。在任何情况下，由于证据优选地由如上文讨论的代表用户的授权机构生成，因而在优选实施例中，在数据处理系统中周期性地发布证据以供用户访问。类似地，每一次生成累加器时，典型地将立即在数据处理系统中发布该累加器，以使其能够由在后续的证书验证过程中涉及的系统的组件使用。系统可以被设想为在其中可以通过直接向相关的系统组件传递累加器/证据来影响发布。然而，更通常地，将通过提供经由该系统中的一个或多个数据通信信道对该累加器/证据的访问来影响发布，其中当要求验证过程时系统组件能够访问累加器/证据。 

体现本发明的方法可以包括生成多个组元素。虽然本领域技术人员可以设想备选方式，但如下文描述的优选实施例一样，可以使用(至少)秘密值γ和组生成器g来生成每个组元素。更具体地，在优选实施例中，对于i∈{1，2，3，...，n}，组元素包括相应元素 其中n是在集合中的证书预定义最大数量。(组元素也可以包括用于在如下讨论的系统中使用的附加的或“辅助的”值)。继而，在集合中的证书和相应组元素g_i之间定义映射。在这些实施例中，密码累加器包括针对使组元素g_i被映射到该集合中的证书的值i的组元素g_n+1-i的乘积。因 而，累加的元素经由i值与映射到集合中的证书的元素g_i相关。在优选实施例中，组元素包括辅助元素 $g_{n+2}=g^{{\mathrm{\γ}}^{n+2}},g_{n+3}=g^{{\mathrm{\γ}}^{n+3}},g_{n+4}=g^{{\mathrm{\γ}}^{n+4}},...,g_{2n}=g^{{\mathrm{\γ}}^{2n}}$ 以供在生成证据中使用。具体而言，对于集合中映射到组元素g_i的每个证书，证据包括针对使组元素g_j被映射到集合中的另一证书的所有j值的组元素g_n+1-j+i的乘积。 

可以在相应组元素和诸如与每个证书相关联的序列号之类的数字标识符之间定义证书到组元素的映射。该标识符理想地被定义在证书本身中。在一些实施例中，可以通过将所分配的组元素指定为针对证书的标识符来定义映射。 

本发明的第二方面提供用于在数据处理系统中管理密码证书的动态集合的装置。所述装置包括适于执行根据本发明的第一方面的方法的控制逻辑，以及用于所述多个组元素的存储器。 

本发明的第三方面提供一种数据处理系统，其包括都适于经由数据通信网络通信的用户计算机和验证者计算机以及适于经由网络与所述用户计算机和验证者计算机通信的证书管理装置。所述证书管理装置包括控制逻辑，其适于执行根据本发明的第一方面的用于管理包括与所述用户计算机相关联的用户证书的密码证书的动态集合的方法。所述用户计算机存储所述用户证书，并且适于经由所述网络获得由所述证书管理装置为所述用户证书周期性生成的证据。所述用户计算机和验证者计算机适于经由网络通信，以实现证明所述用户计算机对与由密码累加器指示的集合中的证书对应的证据的知识的验证协议。如较早讨论的，证据更新可以作为对于其他证书/累加器管理操作的独立的任务而被处理。因而证书管理装置可以包括：发行者计算机，其适于周期性地生成指示证书集合的密码累加器；以及一个或多个证据更新计算机，其用于基于遵循在所述集合中的变化的密码累加器的生成来为证书周期性地生成更新的证据。本发明的第四方面提供根据本发明的第三方面的上述数据处理系统的证据更新计算机。本发明的第五方面提供根据本发明的第三方面的数据处理系统的用户计算机。 

本发明的第六方面提供包括程序代码装置的计算机程序，该程序 代码装置用于使计算机执行根据本发明第一方面的方法。应当理解，在此以最普遍的含义使用术语“计算机”并且其包括任何具有用于实现计算机程序的数据处理能力的设备、组件或系统。而且，体现本发明的计算机程序可以构成独立的程序，或者可以是更大的程序的成分，并且可以被供应例如体现为诸如用于加载到计算机中的电子传送或者磁盘之类的计算机可读介质。计算机程序的程序代码装置可以包含指令集合的以任何语言、代码或注释的任何表达，该指令集合旨在使计算机直接地，或者在(a)转换成另一语言、代码或注释，和b)以不同的介质形式再现，两者之一后或两者之后，执行所述的方法。 

通常，在这里参照本发明的一个方面的实施例来描述特征的情况下，可以在本发明的另一方面的实施例中提供相应的特征。 

附图说明

现在将通过示例的方式，参考附图来描述本发明的优选实施例，其中： 

图1是体现本发明的数据处理系统的示意性图示； 

图2指示由图1系统的发行者计算机执行的设置过程； 

图3指示图1的发行者计算机的后续操作； 

图4图示在图1系统中的用户计算机和验证者计算机之间的交互；以及 

图5图示在图1系统中的优选实现中的用户计算机和验证者计算机之间的交互。 

具体实施方式

在描述体现本发明的数据处理系统之前，首先提出被用作将在所描述的示例性实施例的操作中使用的构造块的各种假定和密码工具。 

如果对每个整数c，存在整数K，从而使得对所有k＞K，|υ(k)|＜1/k^c，则函数υ可以忽略不计。如果对于输入的大小不存在概率多项式时间(p.p.t)算法来解决，则问题被认为是严重的(或难处理的)。 

双线性配对假设G和G_T是素数阶q的组，映射e：G×G→G_T必须满足以下属性： 

(a)双线性：如果e(a^x，b^y)t＝e(a，b)^x，y，则映射e：G×G→G_T是双线性的 

(b)非简并性：对于所有生成器g，h∈G，e(g，h)，生成G_T； 

(c)有效性：存在有效算法BMGen(1^k)输出(q，G，G_T，e，g)以生成双线性映射，并且针对任何a，b∈G，存在有效的算法以计算e(a，b)。 

安全性基于下列数论假定。将描述的实施例中的累加器结构基于Diffie-Hellman指数假定。证书的不可伪造性基于强Diffie-Hellman假定。对于证书撤销，需要证明对针对证书的累加器证据的拥有。该证据基于我们的新的隐藏强Diffie-Hellman指数(SDHE)假定。 

定义1(n-DHE)。Diffie-Hellman指数(DHE)假定：在素数阶q的组G中的n-DHE问题定义如下：假设 对于输入{g，g₁，g₂，...g_n，g_n+2，...，g_2n}∈G²ⁿ，输出g_n+1。 

n-DHE假定说明该问题难于解决。 

在“Hierarchicalidentity based encryption with constant size ciphertext”，Boneh等，第440-456页，编辑Cramer，Advances in Cryptology-EUROCRYPT 2005，24th Annual International Conference on the Theory and Applications of Cryptographic Techniques，Aarhus，Denmark，5月22-26日，2005，Proceedings，Computer Science中的Lecture Notes，第3494卷，Springer，2005，作者介绍了在双线性映射上定义的双线性Diffie-Hellman指数(BDHE)假定。这里对手不得不计算 $e{(g,h)}^{{\mathrm{\γ}}^{n+1}\∈}\∈G_T.$

引理1 针对具有双线性配对e：G×G→G_T的组G的n-DHE假定由针对同一组的n-BDHE假定来蕴涵。 

在“Short signatures without random oracles”，Dan Boneh和Xavier Boyen，编辑Christian Cachin和Jan Camenisch，EUROCRYPT，Computer Science中的Lecture Notes第3027卷，第56-73页，Springer，2004中，Boneh和Boyen介绍了强Diffie-Hellman假定。 

定义2(n-SDH-见前述参考文献“Short signatures without random  oracles”)。对于输入 输出(g^1/(x+c)，c)在计算上不可行。 

在“Full-domain subgroup hiding and constant-size group signatures”，Boyen和Waters，编辑Tatsuaki Okamoto和XiaoyunWang，Public Key Cryptography，Computer Science中的Lecture Notes第4450卷，第1-15页，Springer，2007中，作者介绍了隐藏强Diffie-Hellman假定，以允许在消息未知的情况下使用BB签名(参见上文引用的“Short signatures without random oracles”)。我们使用或要求隐藏强Diffie-Hellman假定的变体，将其称为隐藏强Diffie-Hellman指数(n-HSDHE)假定。这两个假定迄今为止是无与伦比的。 

定义3(n-HSDHE)。对于输入 $g,g^x,u\∈G,{\{g^{1/(x+y^i)},g^{{\mathrm{\γ}}^i},u^{{\mathrm{\γ}}^i}\}}_{i=1...n}$ 和 输出新元组{g^1/(x+c)，g^c，u^c}在计算上不可行。 

已知的基于离散对数的零知识证明

在普通参数模型中，我们使用若干已知的结果来证明关于离散对数的陈述。当涉及这些证据时，我们将遵循由Camenisch和Stadler介绍的，针对各种离散对数知识的证据以及关于离散对数的陈述的有效性的证据的表示法(“Proof systems for general statements about discrete logarithms”，Jan Camenisch和Markus Stadler，Technical Report TR 260，Institute for Theoretical Computer Science，ETH Zurich，1997年3月)。例如， 

表示“整数α，β和δ知识的零知识证明以使保持y＝g^αh^β和 其中y，g，h， 是具有相同阶的一些组G＝<g>＝<h>和 的元素。(要注意，在y和 的表示中的一些元素是相等的)。常规上值α，β和δ表示正被证明的哪个知识的量(并保密)，而所有其它值已经对验证者已知。对于包括了我们在此考虑的所有组 的素数阶组，众所周知存在能够从成功的证明器中提取这些量的知识提取器。 

具有有效协议的签名方案

在将被描述的证书系统中的签名方案在“Signature schemes and anonymous credentials from bilinear maps”，Camenisch和Lysyanskaya，编辑Matthew K.Franklin，Advances in Cryptology-CRYPTO 2004，LNCS第3152卷，第56-72页，Springer Verlag，2004中详述，并且在n-SDH假定下已被证明是安全的。假定具有生成器h，h₀，h₁，...，h_l，h_l+1的素数阶q的非简并双线性映射e：G×G→G_T。签名者的密钥是x∈Z_q而公钥是y＝h^x。 

通过挑选 以及计算 来计算消息 上的签名。签名是(σ，c，s)。通过检查是否 来验证。多个消息  $m_1,...,m_l\&Element;Z_q^{*}$ 可以被签名为 $\mathrm{\&sigma;}={(h_0{h}_1^{m_1},...,h_l^{m_l}{h}_{l+1}^s)}^{\frac{1}{x+c}}$ 并且通过检查是否  $e(\mathrm{\&sigma;},{\mathrm{yh}}^c)=e(h_0{h}_1^m...h_l^{m_l}{h}_{l+1}^s,h)$ 来验证。 

证明签名的知识。

现在假定在消息m₁，...，m_l∈Z_q中向我们给予了签名(σ，c，s)，并且想要证明我们事实上拥有这样的签名。为此，我们需要使用值 来增大公钥以使 未知。 

签名的知识如下证明： 

1.选择随机值r←Z_q和open←Z_q，并计算承诺 和盲签名  $A=\mathrm{\&sigma;}{\tilde{h}}^r.$

2.计算下列证明 

$\frac{e(h_0,h)}{e(A,y)}=e{(A,h)}^c\&CenterDot;e{(\tilde{h},y)}^{-r}\&CenterDot;e{(\tilde{h},h)}^{-\mathrm{mult}}\&CenterDot;\underset{i-1}{\overset{l}{\mathrm{\&Pi;}}}e{(h_i,h)}^{-m_i}\&CenterDot;e{(h_{l+1},h)}^{-s}\}$

我们接着介绍动态累加器的一些基础来帮助理解将要描述的实施例。如果从累加器中添加/删除元素的计算开销独立于在累加器中包含的元素的数量，则累加器是动态的。安全的累加器包含算法AccGen，AccAdd，AccUpdate，AccWitUpdate和AccVerify。这些算法由管理累 加器(“授权机构”)、用户和验证器的授权机构使用。(在将要描述的一些优选实施例中，这些算法中的某些算法也可以由不可信的更新实体使用)。 

授权机构使用AccGen算法创建累加器密钥对(sk_A，pk_A)、累加器acc_φ和发布状态state_φ。可以使用AccAdd算法向累加器acc_V增加新的值i以获得新的累加器acc_V∪{i}和状态state_U∪{i}，以及一起获得的证据wit_i。可以使用AccUpdate算法来计算针对值V的给定集合的累加器。 

在这些操作中，acc_V和wit_i是常量大小(独立于累加的值的数量)。授权机构做一些关于当证据wit_i被生成时包含在累加器中的值和累加器的状态的记录。这些集合被分别表示为V和V_w。将记录信息进行发布，并且记录信息仅在更新证据时需要，而在验证值包含在累加器中时不需要。 

每一次累加器改变时，旧的证据变得无效。然而对于包含在累加器中的值i∈V，可以从记录信息V_w中更新所有的证据。在现存的累加器系统中，该更新是最性能密集的操作。累加器状态state_U也包含记录信息U，其为曾经添加到累加器中(但并不一定包含在当前的累加器中)的元素的集合。这是V和V_w的超集。 

在用户对于当前累加器的值i获得了更新的证据wit′_i之后，他们可以使用AccVerify算法向任何验证者证明i是在累加器中。 

AccGen(1^k，n)创建了累加器密钥对(sk_A，pk_A)、空累加器acc_φ(用于累加至n值)和初始状态state_φ。 

AccAdd(sk_A，i，acc_V，state_U)允许授权机构向累加器添加i。其针对i输出新的累加器acc_V∪{i}和状态state_U∪{i}以及证据wit_i。 

AccUpdate(pk_A，V，state_U)针对值 输出累加器acc_V。 

如果wit_i是针对acc_V的证据并且i∈V，则对acc_V， 

AccWitUpdate(pk_A，wit_i，V_w，acc_V，V，state_U)输出证据wit′_i。 

AccVerify(pk_A，i，wit_i，acc_V)使用最新的证据wit_i和累加器acc_V来验证υ∈V。在此情况下，算法接受，否则算法拒绝。 

附图的图1是体现本发明的第一数据处理系统的简化示意图，该 示意图示出了在系统的操作中涉及的主要组件。数据处理系统1包括由负责管理数据项(在这里是密码证书)和负责管理密码累加器以供在将描述的证书验证过程中使用的授权机构操作的数据项管理计算机2。特别是，该授权机构(在这里是“发行者”)向用户发出密码证书并经由将要描述的累加器来指示系统中的有效证书。发行者计算机2包括用于实现以下描述的过程的证书管理逻辑3、存储器4和通信接口5。系统1还包括：用于使用从发行者计算机2获得的密码证书的用户计算机6，以及用于通过参考将要描述的累加器来验证用户证书的验证者计算机7。用户计算机6包括用于实现下面描述的密码过程的证明者逻辑8、存储器7和通信接口8。验证者计算机3包括用于执行下面描述的密码验证过程的验证者逻辑11、存储器12和通信接口13。计算机2、6和7可以经由它们各自的通信接口在数据通信网络15中进行通信(其中网络15实际上可能包括多个组件网络和/或互联网络)。此外，系统1包括分发者计算机16，这里在网络15中示出并对所有计算机2、6、7是可访问的，分发者计算机的目的在下面说明。 

发行者、用户和验证者计算机的控制逻辑3、8、11被配置用于实现下面描述的密码过程的适当的步骤。通常，该控制逻辑可以实现为硬件或软件或它们的组合，并且用户、验证者和发行者设备2、6、7的明确形式很大程度上与将要描述的系统的基本操作无关。然而，在该示例中，我们假定这些设备由通用计算机、作为用户pc的用户计算机6、作为用户pc2经由网络15可连接到的服务器的发行者计算机2和验证者计算机7来实现。证书管理逻辑3、证明者逻辑8和验证者逻辑11在这里由将主计算机配置为执行所描述的功能的相应计算机程序来实现。通过这里的描述，合适的软件对本领域技术人员来说是显而易见的。然而，应当注意，计算机2、6、7和16的功能通常可以由一个或多个组件设备来实现。例如，用户计算机6的功能在实际中可以分布在向网络15提供通信接口的通用计算机和诸如智能卡之类的独立用户设备之间。此类独立设备可以为证书和密码软件提 供安全存储，并且当期望时可以经由有线或者无线链路连接到用户计算机。 

在这个说明性示例中，在访问控制场景中使用系统1。验证者计算机7由服务提供者(SP)来操作。操作用户计算机6的用户可以通过网络15连接到SP计算机7以请求对受限服务的访问权。为了获得对该服务的访问权，用户必须证明拥有从发行者2获得的密码证书。SP计算机7必须验证所出示的证书是有效的。这涉及证实证书是由发行者2维护的有效证书集合中的一个证书。这通过使用密码累加器构造来实现。我们首先考虑在用户隐私并非最主要的出发点的情形中基于累加器系统的操作。即，用户需要证明拥有有效证书但并不关注由此过程带来的其它可能的身份揭露信息。构成此初始累加器构造的基础的算法将被定义如下并部分基于Boneh、Gentry和Waters(参见“Collusion Resistant Broadcast Encryption with Short Ciphertexts and Private Keys”，Boneh、Gentry和Waters，Advances in Cryptology-CRYPTO 2005，Computer Science中的Lecture Notes第3621卷，第258-275页，Springer，2005)的广播加密方案。特别地，在将要被描述的构造中的累加器计算与加密密钥在参考方案中生成的方式有关，并且证据计算与解密密钥在参考方案中生成的方式有关。 

我们首先考虑在系统操作中的预备阶段，其中证书首先由发行者计算机2向用户发行。在图2的流程图中指示了发行者计算机2的操作中的关键步骤。(注意，通常，证书的发行可以脱机执行(例如，在向用户发行的智能卡上提供)和/或证书可以经由网络15随着用户的成功应用来在线发行。图2表示了发行过程的简化，但可以从该图中理解相关的操作原则)。设置过程开始于步骤20，其中证书管理逻辑3生成将在累加器的操作中被使用的各种参数。这个参数设置过程通过由逻辑3实现的以下的算法来定义： 

AccGen(1^k，n)：运行BMGen(1^k)来获得双线性映射e：G×G→G_T的设置参数params_BM＝(q，G，G_T，e，g)。 

挑选随机值γ∈Z_q。为安全签名方案，例如在SDH假定下安全的 上文讨论的BB签名方案，生成密钥对sk和pk。假设  ${\mathrm{pk}}_A=({\mathrm{params}}_{\mathrm{BM}},\mathrm{pk},z=e{(g,g)}^{\mathrm{\&gamma;}+1}),$ sk_A＝(params_BM，γ，sk)， 并且 

在该过程中，证书管理逻辑3使用秘密值γ和组生成器g来生成组元素 其中n是将要“被包含”在累加器中(即，在有效证书的集合中)的证书的预定义最大数量。这些是将要按如下解释的映射到证书的组元素。此外，逻辑3生成辅助组元素  $g_{n+2}=g^{{\mathrm{\&gamma;}}^{n+2}},g_{n+3}=g^{{\mathrm{\&gamma;}}^{n+3}},g_{n+4}=g^{{\mathrm{\&gamma;}}^{n+4}},...,g_{2n}=g^{{\mathrm{\&gamma;}}^{2n}},$ 其将被用于如下所述的证据计算。 

接下来，在图2的步骤21中，逻辑3定义了在组元素和将要发行的证书之间的映射。每个证书具有在证书中定义的、采取序列号形式的标识符，并且该映射在这些序列号和相应组元素之间定义。虽然当然地能够提供到组元素的任意数字映射，但为了简化，在这里我们通过整数集合1至n来表示序列号。因而，对于具有序列号i∈{1，2，3，...，n}的每个证书，在这里证书被映射到组元素 

步骤22表示由逻辑3对将要发行给用户的证书C(i)的初始集合的生成。这些是将被初始包含在累加器中的证书。可以按照已知的方式生成证书，每个证书包括相应序列号i。接下来，在步骤23中，逻辑3按照下面的算法生成累加器以用于证书的初始集合： 

AccUpdate(pk_A，V，state_U)：检查是否 以及否则输出⊥。该算法输出acc_V＝∏_i∈Vg_n+1-i。 

因而，对于其中组元素g_i映射到有效证书集合中的证书的i的值，在这里生成密码累加器作为组元素g_n+1-i的乘积。实际上累加的组元素因而经由i的值与映射到有效证书的元素g_i相关。 

在图2的步骤24中，证书逻辑3通过计算在签名密钥sk下g_i‖i时的 和签名σ_i，生成针对累加器中的每个证书C的证据。 

因而，对于每个证书i，计算累加器证据w作为组元素的相应不同的子集的乘积。该子集依赖于在有效集合中的证书的i值，以及也依赖于为其生成每个证据的该证书的i值。具体而言，对于每个映射 到组元素g_i的有效证书，对于针对其组元素g_j映射到另一有效证书的所有j的值，证据包含组元素g_n+1-j+i的乘积。因而，证据的生成利用了较早定义的辅助的组元素g_n+2，...，g_2n。签名σ_i指示在关联的证书和对应的组元素之间的映射。证据被输出为wit_i＝(w，σ_i，g_i)。 

在步骤25中，每个证书C(i)，连同其关联的证据wit_i一起经由网络15向所述用户发送。接下来，在步骤26中，证书逻辑3通过向一个或多个分发者计算机16发送在步骤23中计算的累加器来发布密码累加器。分发者16通过提供对任何连接着的计算机6、7的访问权来在网络15上发布该累加器。继而完成了累加器设置的初始阶段。 

假定可能发行了新证书并且旧证书由发行者2撤销，证书逻辑3必须管理累加器以在有效证书的动态集合中反映变化。在图3的简化流程图中表示了该累加器管理过程。步骤30表示在定义的“阶段”中发生的证书的发行和撤销。每一次发行或者撤销证书，证书逻辑3将该事实与序列号i一起记录在存储器4中。尽管每一次发行或者撤销证书，原则上都能够执行确保更新过程，但典型地仍以有规律间隔周期性执行更新，例如每天。因此，在决定步骤31中，证书逻辑3检查当前阶段是否已经结束，并且如果没有结束则操作回到步骤30。然而，在每个阶段末，操作进行到步骤32，其中逻辑3更新累加器来说明每个从有效证书的集合中添加或者删除的证书。继而在步骤33中，通过为新发行的证书生成证据并且为现有的证书更新旧的证据来更新证据的集合，以反映有效集合中的变化。对于每个新发行的证书，通过下面的算法来定义这些过程： 

AccAdd(sk_A，i，acc_V，state_U)：计算在签名密钥sk下且g_i‖i时的 和签名σ_i。该算法输出wit_i＝(w，σ_i，g_i)，更新的累加器值acc_V∪{i}＝acc_V·g_n+1-i，并且状态state_U∪{i}＝(U∪{i}，g₁，...g_n，g_n+2，...，g_2n)。 

可以看出仅通过将之前的acc值乘以组元素g_n+1-i就实现了将证书i添加到累加器中。类似地，仅通过将之前的acc值除以组元素g_n+1-i就实现了证书i的撤销。累加器更新因而变得快速而有效率，复杂度与添加/撤销的证书的数量是呈线性的。针对新添加的证书的证据生成与 以上在图2中的相同。现有证据的更新由以下定义： 

AccWitUpdate(pk_A，wit_i，Vw，acc_V，V，state_U)：将wit_i解析成(w，σ_i，g_i)。如果i∈V并且 $V\&cup;\mathrm{Vw}\&Subset;U,$ 计算 

$w^{\&prime;}=w\frac{\underset{j\&Element;V\backslash V_w}{\mathrm{\&Pi;}}{g}_{n+1-j+i}}{\underset{j\&Element;V_w\backslash V}{\mathrm{\&Pi;}}{g}_{n+1-j+i}}$

输出经更新的证据wit′_i为(w′，σ_i，g_i)。否则输出⊥。 

可以看出更新证据来提供给定证书的增加(或者撤销)仅要求旧证据值的乘以(或除以)适当的组元素g_n+1-j+i。由于这可以用单一的乘法来获得，所以证据更新同样既快又有效率，复杂度与每个证据的改变的数量是呈线性的。 

回到图3，在步骤34中发行者计算机2的证书逻辑3向分发者计算机16发送更新的累加器和证据以供在网络15上发布。用一些识别标签的形式发布证据以支持个体用户在要求时识别针对他们的特定证书的证据。继而操作回到步骤30以进行新阶段。 

图4说明了当用户接下来希望经由验证者计算机7使用他的证书来访问在线服务时的进程。该图指示了由在图的左边的用户计算机6和在图的右边的验证者计算机7执行的关键步骤。当用户计算机6连接到验证者计算机7以请求对服务的访问权时，操作开始。计算机7的验证者逻辑11通过请求用户的证书来响应。该请求由用户计算机6的证明者逻辑8接收。证明者逻辑继而建立到分发者计算机16的连接以下载之前从发行者2获得并存储在存储器9中的针对证书C(i)的证据w的当前值。对说明累加器中的任何变化来说该步骤是必要的，这是因为依照图3的步骤32至34来发行证书。更新的证据w存储在存储器9中。接下来，证明者逻辑8向验证者7发送证书C(i)，其包含如更早讨论的序列号i以及前面定义的所有证据wit_i(w，σ_i，g_i)。验证者逻辑11继而类似地访问分发者计算机16以下载累加器acc_V的当前值，该当前值继而存储在存储器12中。接下来，验证者逻辑11运行下列验证协议： 

AccVerify(pk_A，i，wit_i，acc_V)：解析wit_i＝(w，σ_i，g_i)。如果σ_i是在验证密钥pk 下g_i‖i时的有效签名，并且 则输出接受。否则输出拒绝。 

在该过程中，验证者逻辑11检查签名σ_i对于用户的证书C(i)以及相关联的组元素g_i的序列号i是有效的。(注意，对将g_i与它们映射到的值一起签名的该签名方案的使用避免了发布g_i值的映射的需求，从而在验证期间避免了大量的发布参数)。验证者逻辑11还检查证据w证实组元素g_i是在当前累加器acc_V中。这证实了用户的证书是有效的。验证者逻辑11继而根据证书是否被视为有效来允许或者拒绝用户计算机6对服务的访问。 

注意，尽管示出的当前证据和累加器值的获取集成在图4中的访问过程中，但在实践中每一方都可以周期性地在每个新阶段的开始仅获取新的值。 

将看到，上述内容提供了基于动态累加器构造的、具有累加器和证据的快速且有效的计算和更新的高效率证书验证系统。证据更新举例来说仅需要与对累加器的变化的数量呈线性的乘法(无取幂)，并且不要求任何秘密信息的知识。因而，通常，可以由用户本身、或者由发行者，或者由某第三方来将针对用户的证据保持为最新。然而，尽管可以如现有方案中一样由用户单个执行证据更新，但优选实施例利用了系统的效率，其支持所有证据被可行地保持在主存储器中，以允许集中执行证据计算。这在上面的实施例中由发行者2来完成。作为备选，由于对包含在累加器中的值i∈V，能够从记录信息V_w更新所有的证据而无需任何密钥的知识，证据更新可以被有效地卸载到运行AccWitUpdate并仅被给予累加器状态state_U和记录信息V和V_w的不可信的更新实体。例如，图1中的分发者计算机16能够附加地用作证据更新计算机。在由发行者计算机2遵循有效集合中的变化而更新累加器的过程中，可以整体或者分批地，由一个或者多个此类分发者计算机16来执行保留在集合中的证书的证据更新。 

上文描述的基础方案充分有效地提供了在完全匿名的证书撤销系统中的操作的基础。以下讨论对上文的基础系统的各种变体，以实现匿名证书撤销系统的特定优选实施例。 

隐藏值被累加的有效证据

我们首先考虑支持用户证明她拥有包含在当前累加器中的值而不揭露她拥有哪个值(或者向她分配了哪个索引i)的有效协议。在这部分中，我们给出为我们的累加器构造而实现此点的有效协议。在前述的实施例中，通过对每一个组元素g₁，...，g_n进行签名来认证组元素g₁，...，g_n，用户继而如所描述的向验证者提供g_i和签名。这里我们要求证明者证明她了解累加器发行者对“她”的g_i的签名，而不揭露该签名或者g_i值。这样的证据需要是有效的，并且要求具体的签名方案。由于累加的值仅被证明而从不揭露，我们可以并不与g_i一起签名i来操作。这允许更有效的签名方案和证明系统。 

先决条件。我们用具体例证说明签名方案，该签名方案用于通过挑选新的u←G、密钥sk←Z_q以及公钥pk＝g^sk来签名g_i。签名包含两个元素 和 并且通过检查e(pk·g_i，σ_i)＝e(g，g)来验证。 

假设通过已经描述的累加器操作来生成  ${\mathrm{pk}}_A=({\mathrm{params}}_{\mathrm{BM}},\mathrm{pk},z=e{(g,g)}^{{\mathrm{\&gamma;}}^{n+1}}),$ sk_A＝(params_BM，γ，sk)，以及 我们也挑选附加的 用于承诺。h和u关于g的离散对数对于证明者应当是未知的。 

知识证明。对于任意 且i∈V，在输入acc_V＝∏_i∈Vg_n+1-i和对应的证据wit_i＝(w，σ_i，u_i，g_i)时， 针对值i，证明者执行下列随机化： 

随机挑选r，r′，r″，r′″，open∈Z_q并分别计算  $G^{\&prime;}=g_i{\tilde{h}}^r,$ $W^{\&prime;}=w{\tilde{h}}^{r^{\&prime;}},$ $D^{\&prime;}=g^r{\tilde{h}}^{\mathrm{open}},$ $S^{\&prime;}={\mathrm{\&sigma;}}_i{\tilde{h}}^{r^{\&prime;\&prime;}},$ 和 $U^{\&prime;}=u_i{\tilde{h}}^{r^{\&prime;\&prime;\&prime;}}.$ 继而证明者证明 

$\frac{g(G^{\&prime;},u)}{e(g,U^{\&prime;})}=e{(\tilde{h},u)}^{r}e{(1/g,\tilde{h})}^{r^{\&prime;\&prime;\&prime;}}\}.$

在n-DHE和n-HSDHE假定下，上述协议是随机化值r的知识证 明，该随机化值r允许将G’反随机化为值g_i，其中i在acc_V中累加，即，i∈V。 

在匿名证书方案(例如，匿名电子现金(e-cash)，组签名，匿名证书系统，假名系统等等)中，用户得到一些可以按照匿名保护方式使用的的证书形式。在“A cryptographic framework for the controlled release of certified data”，Bangerter等，编辑Christianson等，Security Protocols Workshop，Computer Science中的Lecture Notes第3957卷，第20-42页，Springer，2004中，作者针对在证书中证明的信息的受控发布给出了密码框架。这使用了具体的签名协议，称为Camenisch-Lysyanskaya(CL)签名，用于向用户发行私人证书(参见“A signature scheme with efficient protocols”，Jan Camenisch和Anna Lysyanskaya，编辑I Cimato等，Security in Communication Networks，Third International Conference，SCN2002，LNCS第2576卷，第268-289页，Springer Verlag，2003)。私人证书(cert)包含与传统证书非常相像的属性和基于这些属性的签名，只是使用了更强大的签名方案： 

cert＝(σ，m₁，...，m_l)，具有σ＝Sign(m₁，...，m_l；sk_I) 

假设(sk_I，pk_I)←IssuerKeygen(1^k)是证书发行者的密钥对。该框架支持两种类型的协议：1)交互式证书发行协议ObtainCert，其允许基于将要获得的承诺值的签名而不揭露这些值；以及2)签名拥有的知识的有效零知识证明。 

假设(m₁，...，m_l)表示一列数据项并假设 是数据项的子集。使用第一个协议，用户能够获得关于(m₁，...，m_l)的证书，从而使得发行者并不知晓H中的该数据项的任何知识，但发行者知晓其他数据项，即L\H。 

用户的私有证书对用户保持私有，也就是说，它们从不对任何其它方发布(作为整体)：当使用(出示)证书以用于主张属性信息时，用户证明她知道(具有)具有特定属性的证书。该用户可以发布特定属性，而仅证明证书的剩余部分的知识： 

PK{(σ，m₁，...，m_l’)：1＝VerifySign(σ，m₁，...，m_l’，m_l’+1，...，m_I；pk_I)∧...} 

在上述证明中仅m_l′+1至m_I的属性值被揭露。 

我们将上述框架扩展如下。假设V是具有阶段信息epoch_V的针对阶段的有效证书集合。如前，证书被分配唯一标识符i(嵌入证书中作为属性之一)和证据wit_i。我们要求只有当i∈V时，用户能够向验证者证明她拥有未撤销的证书。这通过使用户证明嵌入在她证书中的标识符对当前阶段是有效的标识符来实现。因而，在从事于证明之前，用户需要更新她的证据，并且双方(用户和验证者)需要获得针对V的最近阶段的信息epoch_V。优选的证书撤销系统基于更新的IssuerKeygen和ObtainCert协议、用于管理撤销的UpdateEpoch和UpdateWitness新算法、以及针对允许拥有证据wit_i的证明的新断言VerifyEpoch的零知识证明系统： 

IssuerKeygen(1^k；n)创建用于发行多至n张证书的 阶段信息 和发行者密钥对(sk_I，pk_I)。 

ObtainCert(U(pk_I，H，{m_j}_j∈H)；I(sk_I，H，{m_j}_j∈L\H，epoch_V，state_U))允许用户从发行者获得私人证书cert_i。发行者计算并发布用户的证据wit_i，以及更新的阶段信息epoch_V∪{i}和state_V∪{i}。 

如果 则UpdateEpoch(V，state_U)输出阶段信息epoch_V。否则其输出⊥。 

如果 则UpdateWitness(wit_i，epoch_V，state_U)输出更新的证据wit′_i。否则其输出⊥。 

知道证书cert_i和对应的最新证据wit_i的用户能够如下使用新断言VerifyEpoch来向验证者证明拥有该证书和当前阶段的证书有效性。用户的秘密输入是cert_i。协议的通常输入是发行者的公钥pk_I、阶段信息epoch_V以及证明陈述的详细说明(这包括关于证书所揭露的信息)。在下面的示例中，用户选择将前l′条消息保密，而揭露剩余的消息。PK{(σ、m₁，...，m_l’，i，wit_i)：1＝VerifySign(σ，m₁，....，m_l’，m_l’+1，...，m_l，i；pk_I)∧ 

                             1＝VerifyEpoch(i，wit_i；epoch_V，pk_I)} 

签名方案。在下面的实施例中，通过将g_i包括在证书中使得隐含i到g_i的映射，以使得证明更加有效。因而，g_i值用于私人证书和累加器两者来表示证书id _i。这要求我们将较早提供的签名方案扩展 以在不知道秘密指数γⁱ的情况下允许验证： 

1.签名者生成g，h，h₀，h₁，...，h_l，h_l+1←G并创建密钥x∈Z_q和y＝h^x。 

2.接下来，签名者发布他在签名中允许的列表 

3.签名者挑选c，s←Z^* _q并按 $(\mathrm{\&sigma;}={(h_0{h}_1^{m_1}...h_l^{m_l}{g}_i{h}_{l+1}^s)}^{\frac{1}{x+c}},c)$ 计算签名。 

4.通过检查 是在g_i值的列表中并且检查  $e(\mathrm{\&sigma;},{\mathrm{yh}}^c)=e\left(h_0{\mathrm{\&Pi;}}_{j=1}^l{h}_j^{m_j}\right){\hat{g}}_i{h}_{l+1}^s,h$ 来验证关于消息m₁，...，m_k的签名(σ，c，s)。 

(如较早的实施例中所示，这里的最后一个步骤中对 是在g_i值的列表中的检查稍后将由关于g_i的签名/认证者来取代)。 

在经修改的结构中，由发行者计算机2的证书管理逻辑3执行的设置过程(对应于图2的步骤20)被定义为：IssuerKeygen(1^k，n)。运行BMGen(1^k)以生成(对称)双线性映射e：G×G→G_T的参数params_BM＝(q，G，G_T，e，g)。挑选附加的基数 和x，sk，γ←Z_q，并计算y＝h^x和pk＝g^sk。(g，h， 和u关于彼此的离散对数互相未知)。计算g₁，...，g_n，g_n+2，...，g_2n，其中 并且 

输出  $({\mathrm{sk}}_l,{\mathrm{pk}}_l)=(({\mathrm{params}}_{\mathrm{BM}},x,\mathrm{sk},\mathrm{\&gamma;}),({\mathrm{params}}_{\mathrm{BM}},y,h,h_0,...,h_{l+1},\tilde{h},u,\mathrm{pk},z)),$ 以及 

用户证书和证据的发行(对应于图2的步骤22、24和25)在下文中定义： 

ObtainCert(U(pk_I，H，{m_j}_j∈H)，I(sk_I，H，{m_j}_j∈L\H，epoch_V，state_U))。用户(用户计算机6的证明者逻辑8)运行下面的协议来从发行者中获得证书cert_i： 

1.用户挑选随机数s′∈Z^* _q，计算 并向发行者发送X。 

2.用户(作为证明者)使发行者(这里作为验证者)从事以下的证明 

$\mathrm{PK}\{({\left\{m_j\right\}}_{j\&Element;H},s^{\&prime;}):X=\underset{j\&Element;H}{\mathrm{\&Pi;}}{h}_j^{m_j}{h}_{l+1}^{s^{\&prime;}}\},$

其将使发行者确认正确形成了X。 

3.发行者将epoch_V解析成(acc_V，V)并将state_U解析成(U，g₁，...，g_n，g_n+2，...，g_2n)。继而计算epoch_V∪{i}＝(acc_V·g_n+1-i，V∪{i})和state_U∪{i}＝(U∪{i}，g₁，...，g_n，g_n+2，...，g_2n)。 

4.发行者挑选随机数c，s″∈Z^* _q，并计算 $\mathrm{\&sigma;}={\left(\left({\mathrm{\&Pi;}}_{j\&Element;L\backslash H}{h}_j^{m_j}\right)X_{g_i}{h}_{l+1}^{s^{\&prime;\&prime;}}\right)}^{1/(x+c)}.$

5.发行者计算 $w={\mathrm{\&Pi;}}_{j\&Element;V}^{j\&NotEqual;i}{g}_{n+1-j+i},$ ${\mathrm{\&sigma;}}_i=g^{1/(\mathrm{sk}+{\mathrm{\&gamma;}}^i)}$ 和 $u_i=u^{{\mathrm{\&gamma;}}^i},$ 并设置wit_i＝(σ_i，u_i，g_i，w，V∪{i})。 

6.发行者向用户发送(σ，c，s″，{m_j}_j∈L\H，g_i，i)并输出wit_i、epoch_V∪{i}以及state_U∪{i}。 

7.用户验证获得的证书，并输出cert_i＝(σ，c，m₁，...m_l，g_i，s＝s′+s″，i)。 

对应于图2的步骤23的算法给出如下： 

UpdateEpoch(V，state_U)：检查是否 否则输出⊥。该算法创建epoch_V用于证明拥有cert_i，i∈V。假设acc_V＝∏_i∈Vg_n+1-i，输出epoch_V＝(acc_V，V)。 

对应于图3的步骤33的旧证据的更新被定义为： 

UpdateWitness(wit_i，epoch_V，state_U)：如果 用⊥中止。否则其将wit_i解析成(σ_i，u_i，g_i，w，V_w)。假设 该算法将wit′_i输出为(σ_i，u_i，g_i，w′，V)。 

图5说明了当用户接下来希望与关联的证据wit_i＝(σ_i，g_i，u_i，w，V_w)一起使用他的匿名证书cred_i＝(σ，c，m₁，...，m_l，g_i，s，i)时，在本实施例中在用户计算机6和验证者计算机7之间的交互。在每个新阶段的开始，每一方6，7从分发者计算机16下载更新的值以考虑累加器中的其间的改变。具体而言，证明者逻辑8获得针对用户的证书cred_i的当前证据值w_i，并且验证者逻辑11获得包含当前累加器值的当前发布的epoch_V＝(acc_V，V)。接着，响应于用户的访问请求，验证者逻辑11向证明者逻辑6发送验证请求。接下来，证明者逻辑定义将要在确保的证据中使用的各种参数。具体而言，证明者逻辑挑选ρ，ρ′，r，r′，r″，r′″←Z_q， 并挑选开口open，open′←Z_q来分别承诺ρ和r。证明者逻辑继而计算承诺  $C=h^{\mathrm{\&rho;}}{\tilde{h}}^{\mathrm{open}},$ $C^{\&prime;}=g^r{\tilde{h}}^{{\mathrm{open}}^{\&prime;}}$ 和盲值 $A=\mathrm{\&sigma;}{\tilde{h}}^{\mathrm{\&rho;}},$ $g\text{'}=g_i{\tilde{h}}^r,$ $W\text{'}=w{\tilde{h}}^{r^{\&prime;}},$ $S\text{'}={\mathrm{\&sigma;}}_i{\tilde{h}}^{r^{\&prime;\&prime;}},$ 以及 证明者逻辑继而向验证者发送C，C’，A，G’，W’，S’和U’。证明者逻辑8和验证者逻辑11继而通信以实现零知识(ZK)验证协议。该协议的普通输入是发行者的公钥pk_I、阶段信息epoch_V以及证明陈述的详细说明(这包括关于证书而揭露的信息)。在下面的示例中，用户选择将前l′条消息保密，而他揭露其余的消息： 

PK{(c，ρ，open，mult，tmp，m₁，...，m_l’s，r，open’，mult’，tmp’，r’，r”，r’”，)： 

$\frac{e(h_0\&CenterDot;{\mathrm{\&Pi;}}_{j=i^{\&prime;}+1}^l{h}_j^{m_j}\&CenterDot;G^{\&prime;},h)}{e(A,y)}=e{(A,h)}^c\&CenterDot;e{(\tilde{h},h)}^r$

$\frac{e(G^{\&prime;},u)}{e(g,U^{\&prime;})}=e{(\tilde{h},u)}^{r}e{(1/g,\tilde{h})}^{r^{\&prime;\&prime;\&prime;}}\}.$

在n-HSDHE和n-DHE假定下，上述协议是对关于(m₁，...，m_l，g_i)的适应签名的知识证明以使i∈V。 

以上过程允许用户证明拥有有效的证书而不向验证者揭露任何其它信息，维持了完全的匿名性和交易不可链接性。与要求昂贵计算的先前的提案不同，所描述的系统是计算高效的，尤其是提供了高效率的证据更新。在具有大量用户的撤销系统(诸如基于被设想具有引入电子身份e-ID，电子票e-ticket等的电子系统的电子令牌之类)中，每个阶段撤销的数量很可能非常大。资源受限的用户设备典型地将无法处理要求适应这些变化的计算。然而，使用上述系统，通过单个授权机构(可以是或可以不是发行者)来处理更新是计算上可行的，从而允许采用动态累加器以用于在具有大量用户的隐私保护的系统中的撤销。甚者可能存在多个证据更新实体，负责为组用户升级证据。例如，在国家电子身份(e-ID)系统中，可以由每个县或者每个城市来 执行证据更新。这仅要求发布的参数，并且更新授权机构仅负责对它们组中的用户的证据更新的正确计算。证据更新实体之一的恶意行为并不会破坏系统安全性(因为他们仅需要发布的参数)而是可能仅导致服务的拒绝。也就是说，如果证据没有被正确地计算(不反映在累加器中的最新的变化)其将防止用户证明她的证书的有效性。在这种情况下，用户可以向发行授权机构报告以获得有效的证据更新并信令证据更新实体的不当行为。与现有系统相比，用户因而需要进行少得多的计算，并且更新授权机构需要按照重要性的次序进行更少量的计算。通过将计算复杂性的负担从用户转移到诸如发行授权机构之类的更强大方，甚至能够在移动场景中开展有效的证书撤销状态检查，在移动场景中用户使用诸如移动电话或者智能卡之类的设备从事与验证者的事务。 

当然应当理解，对上述示例性实施例可以进行多种改变。例如，累加器等的发布可以由发行者2而非独立分发者16执行，并且由所描述的实施例中的单个计算机表示的组件可以在实践中通过分布式计算系统中的多于一个计算机来实现。而且，本发明的实施例当然可以应用于除密码证书之外的数据项中。下面将介绍用于进一步改进效率的附加的修改。 

在前述的结构中，AccGen算法定义了state_U＝(U，g₁，...，g_n，g_n+2，...，g_2n)，其中U是跟踪曾经加入到该累加器(但可能后来已经被移除)的所有元素的记录信息。状态的其余部分是静态的。现在将描述减小state_U的大小的修改。在前述结构中的发布参数的大小与可能需要被累加的值的数量的预测上界是呈线性的。在这个上界难于预测的场景中，过度预测可能是耗费开销的事件。然而，在其中在给定时间点从不累加比 更大的值的具体情况中，可以把该开销降低到 通过累加器参数的懒惰评价来实现这点。假设 是最大的累加值。对于值i∈V，需要(1)值g_n+1-i以将i添加到累加器中，(2)值g_i以验证在累加器中的成员身份，以及(3)对于j∈(V\V_w)∪(V_w\V)的值g_n+1-j+i，以计算和更新证据。注意，对于所有j ∈V∪V_w，j比 更小。我们声明，值 对于所有这些操作来说是足够的。显然，前两个要求是满足的。而且，如果j＞i，则 $g_{n+1-j+i}\&Element;{\left\{g_{n+1-i}\right\}}_{i=1}^{\tilde{n}}.$ 否则，1≤j＜i并且 $g_{n+1-j+i}\&Element;{\left\{g_{n+1}\right\}}_{i=1}^{\tilde{n}}.$ 这确立了第三个要求。在上述撤销方案的ObtainCert协议中， 加一，并且丢失的累加器参数被添加到state_U中。注意 更新的状态继而被用来更新阶段信息epoch_V和证据wit_i。可以对所描述的实施例做出多种其他变化和修改，而不背离本发明的范围。 

Claims (12)

1.一种用于在数据处理系统(1)中管理密码证书的动态集合的方法，所述方法包括： 

在所述集合中的密码证书和预定义的多个组元素的相应组元素之间定义映射； 

周期性地生成指示所述密码证书集合的密码累加器，所述密码累加器包括与映射到所述集合中的所述密码证书的所述组元素相关的相应组元素的乘积； 

在所述数据处理系统(1)中周期性地发布所述密码累加器； 

周期性地为所述集合中的每个所述密码证书生成证据，每个证据包括所述组元素的相应不同子集的乘积，针对每个证据的所述子集依赖于所述集合中的所述密码证书以及为其生成证据的所述密码证书；以及 

使用秘密值γ和组生成器g来生成每个组元素，其中： 

所述组元素包括相应组元素其中，n是所述集合中的所述密码证书的预定义的最大数量；以及 

所述映射在所述集合中的所述密码证书和相应组元素g_i之间定义，其中所述密码累加器包括针对使所述组元素g_i被映射到所述集合中的所述密码证书的i值的组元素g_n+1-i的乘积。 

2.根据权利要求1所述的方法，包括在所述数据处理系统(1)中周期性地发布针对所述集合中的所述密码证书的所述证据。 

3.根据权利要求1或权利要求2所述的方法，其中所述映射在定义在每个所述密码证书中的数字标识符和所述相应组元素之间定义。 

4.根据权利要求1所述的方法，包括生成所述密码证书。 

5.根据权利要求4所述的方法，包括向所述数据处理系统(1)的用户计算机(6)传递每个所生成的密码证书。 

6.根据权利要求1所述的方法，其中： 

所述组元素包括辅助元素以 及 

对于映射到组元素g_i的所述集合中的每个所述密码证书，所述证据包括针对使组元素g_j被映射到在所述集合中的另一密码证书的所有j值的组元素g_n+1-j+i的乘积。 

7.一种用于在数据处理系统(1)中管理密码证书的动态集合的系统，所述系统包括： 

一装置，被配置为在所述集合中的密码证书和预定义的多个组元素的相应组元素之间定义映射； 

一装置，被配置为周期性地生成指示所述密码证书集合的密码累加器，所述密码累加器包括与映射到所述集合中的所述密码证书的所述组元素相关的相应组元素的乘积； 

一装置，被配置为在所述数据处理系统(1)中周期性地发布所述密码累加器； 

一装置，被配置为周期性地为所述集合中的每个所述密码证书生成证据，每个证据包括所述组元素的相应不同子集的乘积，针对每个证据的所述子集依赖于所述集合中的所述密码证书以及为其生成证据的所述密码证书；以及 

一装置，被配置为使用秘密值γ和组生成器g来生成每个组元素，其中： 

所述组元素包括相应组元素其中，n是所述集合中的所述密码证书的预定义的最大数量；以及 

所述映射在所述集合中的所述密码证书和相应组元素g_i之间定义，其中所述密码累加器包括针对使所述组元素g_i被映射到所述集合中的所述密码证书的i值的组元素g_n+1-i的乘积。 

8.根据权利要求7所述的系统，包括一装置，被配置为在所述数据处理系统(1)中周期性地发布针对所述集合中的所述密码证书的所述证据。 

9.根据权利要求7或权利要求8所述的系统，其中所述映射在定义在每个所述密码证书中的数字标识符和所述相应组元素之间定义。 

10.根据权利要求7所述的系统，包括一装置，被配置为生成所述密码证书。 

11.根据权利要求10所述的系统，包括一装置，被配置为向所述数据处理系统(1)的用户计算机(6)传递每个所生成的密码证书。 

12.根据权利要求7所述的系统，其中： 

所述组元素包括辅助元素以及 

对于映射到组元素g_i的所述集合中的每个所述密码证书，所述证据包括针对使组元素g_j被映射到在所述集合中的另一密码证书的所有j值的组元素g_n+1-j+i的乘积。