CN103780385A - 基于椭圆曲线的盲签名方法和装置 - Google Patents

Abstract

本发明提供了一种基于椭圆曲线的盲签名方法和装置。该方法主要包括：发送用户随机选择盲化因子k∈Z_q ^*，计算R=H₁(m)，S=kR，m为待签名信息中的一个任意长度0、1字符串，S为盲化后的消息，q为设定的大素数，Z_q ^*表示1~(q-1)范围内的整数，H₁是一个单向hash函数，F_p为从0到p-1的整数组成的域，p为设定的大素数，q是p+1的素因子；签名者用自己的私钥d对S进行签名，计算V’=dS=(dk)R，并将V’发送给接收用户；接收用户接收到V’后，计算V=k^-1V’，V的横坐标x即为消息m的签名。本发明实施例的基于椭圆曲线的盲签名方法的盲签名消息长度仅仅为椭圆曲线点的横坐标，增加了系统运行的吞吐量，适合于带宽受限的通讯环境。

Description

基于椭圆曲线的盲签名方法和装置

技术领域

本发明涉及通信技术领域，尤其涉及一种基于椭圆曲线的盲签名方法和装置。

背景技术

PKI（Public Key Infrastructure，公钥基础设施）技术能保证网络安全的四大需求，即机密性、真实性、完整性和不可抵赖性。PKI技术中所采用的非对称密码算法一般包括基于离散对数问题的RSA（Rivest Shamir Adleman）算法和DSA（Digital Signature Algorithm，数字签名算法）算法，以及基于椭圆离散对数问题的ECC（Elliptic Curves Cryptography，椭圆曲线密码）算法。

ECC密码算法是1985年由Koblitz和Miller基于将椭圆曲线算术理论用于密码算法的想法，利用有限域上椭圆曲线的点构成的点群实现的离散对数密码算法。该密码算法分为两种情况：基于大素数域的椭圆曲线和基于特征2的椭圆曲线。

ECC算法与RSA算法和DSA算法相比，具有安全性能高、计算量小，处理速度快、存储空间占用小等优点。ECC的这些特点使它必将取代RSA（DSA），成为新一代通用的公钥加密算法。比如，国家密码管理局制定的SM2算法就是中国自主知识产权的椭圆曲线密码算法标准。

盲签名因为具有盲性这一特点，可以有效保护所签署消息的具体内容，所以在电子商务和电子选举等领域有着广泛的应用。盲签名允许消息者先将消息盲化，而后让签名者对盲化的消息进行签名，最后消息拥有者对签名信息除去盲因子，得到签名者关于原消息的签名。盲签名就是接收者在不让签名者获取所签署消息具体内容的情况下所采取的一种特殊的数字签名技术，它除了满足一般的数字签名条件外，还必须满足下面的两条性质：

1.签名者对其所签署的消息是不可见的，即签名者不知道他所签署消息的具体内容。

2.签名消息不可追踪，即当签名消息被公布后，签名者无法知道这是他哪次签署的。

基于椭圆曲线的盲签名方法是近年来国内外密码研究的重要分支，目前，现有技术中还没有有效的基于椭圆曲线的盲签名方法。

发明内容

本发明的实施例提供了一种基于椭圆曲线的盲签名方法和装置，以实现缩短签名消息长度。

一种基于椭圆曲线的盲签名方法，包括：

发送用户随机选择盲化因子k∈Z_q ^*，计算R=H₁(m)，S=kR，所述m为待签名信息中的一个任意长度0、1字符串m，所述S为盲化后的消息，所述q为设定的大素数，所述Z_q ^*表示1~(q-1)范围内的整数，所述H₁是一个单向hash函数，把m映射到G₁上椭圆曲线E的一个点，所述G₁是F_p上的椭圆曲线E加法群的一个阶为q的子群，所述F_p为从0到p-1的整数组成的域，所述p为设定的大素数，且所述q是p+1的素因子；

签名者用自己的私钥d对S进行签名，计算V’=dS=dkR，并将V’发送给所述接收用户；

所述接收用户接收到所述V’后，计算V=k^-1V’，V的横坐标x即为消息m的签名。

一种基于椭圆曲线的盲签名装置，包括：

消息盲化处理模块，用于通过发送用户随机选择盲化因子k∈Z_q ^*，计算R=H₁(m)，S=kR，所述m为待签名信息中的一个任意长度0、1字符串m，所述S为盲化后的消息，所述q为设定的大素数，所述Z_q ^*表示1~(q-1)范围内的整数，所述H₁是一个单向hash函数，把m映射到G₁上椭圆曲线E的一个点，所述G₁是F_p上的椭圆曲线E加法群的一个阶为q的子群，所述F_p为从0到p-1的整数组成的域，所述p为设定的大素数，且所述q是p+1的素因子；

签名处理模块，用于用签名者的私钥d对S进行签名，计算V’=dS=dkR，并将V’发送给所述接收用户；

签名计算模块，用于通过接收用户计算V=k^-1V’，V的横坐标x即为消息m的签名。

由上述本发明的实施例提供的技术方案可以看出，本发明实施例的基于椭圆曲线的盲签名方法的盲签名消息长度仅仅为椭圆曲线点的横坐标，短于现有椭圆曲线盲签名方法的签名消息长度，增加了系统运行的吞吐量，适合于带宽受限的通讯环境。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一提供的一种基于椭圆曲线的盲签名方法的处理流程图；

图2为本发明实施例一提供的一种盲签名处理的具体过程示意图；

图3为本发明实施例二提供的一种基于椭圆曲线的盲签名装置的具体结构图。

具体实施方式

为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

实施例一

该实施例提供的一种基于椭圆曲线的盲签名方法的处理流程如图1所示，包括如下的处理步骤：

步骤11：选定G₁、G₂、p、q，得到G₁的生成元P，双线性配对

选定G₁、G₂为两个阶为q的群，p、q为两个大素数（其中p至少为512比特位，q至少为160比特位），且q是p+1的素因子，q的比特位数用n表示。G₁是F_p上的椭圆曲线E加法群的一个子群，上述F_p表示从0到p-1的整数组成的域，上述椭圆曲线E可以形如：y²=f(x)的形式，G₂是域上的一个乘法群，其中

是由F_p二次扩张得到的，形如F_p[x]/f，F_p[x]是F_p上的多项式环，f是一个二次不可化约多项式。P为G₁的生成元，即q*P=O，“O”是无穷远点。

为一个双线性映射，该双线性配对是一个从集合G₁×G₁到集合G₂的一个映射，该映射具有如下性质：

双线性：对于任意g1,g2∈G₁和任意的整数a，b∈Zp*，有

$\hat{e}({g_1}^a,{g_2}^b)=\hat{e}{(g_1,g_2)}^{\mathrm{ab}};$

非退化性：存在g₁,g₂∈G₁使得

可计算性：对任意的g₁,g₂∈G₁，都可以快速地计算

的值。

步骤12、选择安全的哈希函数H₁；

H₁：{0,1}^*→G₁，H₁是一个单向hash函数，同时这个函数是安全的，它把需要签名信息的一个任意长度0、1字符串映射到G₁上椭圆曲线E的一个点。安全哈希函数即指由明文的哈希值不能够反推出明文信息，G₁是椭圆曲线E上所有点的集合。

步骤13、CA（Certificate Authority，认证中心）中心向用户和签名者公开系统参数， $\{p,q,E,G_1,G_2,n,P,\hat{e},H_1\}.$

具体来说，可以选择F_p上的超奇异曲线作为上述椭圆曲线E，曲线的阶#E(Fp)=p+1，选取p为1024位的大素数：

p=0xEB348F4B648412EAB3CE675E03B3AF14D434DFE4C6BC54291DD300DBDBA1BFDACB0D7CFEE20185398A64748E3CB8E25EAADF8612D1881FC808A749E661703A734C22EF62112B3A109A0CB86CEB1A2324B81837CA56C52EE75EDB37907E73B7FDF52F1BD333B16A0167D8116BD29B1939E3F3607E4B581BFE3D25969470A88D1B；

选取q为256位的大素数：

q=0xFFFFFFFF00000001000000000000000000000000FFFFFFFFFFFFFFFFFFFFFFFF；

协因子：

cof＝0xEB348F4C4FB8A23618527A47CC4D8726882FECC2976A2A78DD549C5C0939B77715D9A03FB62A2375AB9D47932124F1469F5D6511D1511DCC61C57B874F8108122E932AE6070A1B484CCFD295F03F5031AB641265B4A7E401C2DA696B8F5772E4；

椭圆曲线E_p上所有点的个数称为曲线的阶#E(F_p)，用作密码运算的椭圆曲线E包含大素数因子q（二进制比特位160位或以上），则协因子cof＝#E(F_p)/q。

曲线方程：E：y²=x³+x；

嵌入次数k=2，采用Tate配对进行运算；

嵌入次数即使得q/p^k-1成立的最小正整数。Tate配对运算是从G₁×G₁→G₂的双线性映射。基点P即椭圆曲线E的生成元。

椭圆曲线E的基点P：

(0x887FE3AB3AA6440B8298D4DDD7BE6DE3739A4F7F1D28D7886FA00BD99585A1DAB2A94896B73D066FCB08B262DF04A7ABA6AF977E4627838F62968A9C23CC6CF6163C9FE926402F8876D249B826497817BB50530CEFF0B92C0A76105A1BAEC1B5F44EFBC9D10CD78AD33354D70BA9D63B51CF17BFE39E95D19C8B5652FBE209BB,

0x76433E8F372C45A378CF9076F3BA681922C3952E21BF659EEBAFEBD7ADAE334CBD7E7A768644BECB725C8D7B7E8B36A382F865F3D82352F4A3E5AE99C837B6FEE64106FD81269C7E551E6AA1EE0ED76EDF31C43A47CB47D7B25742B2B1632A9F7E5635EEBFAF39E9E29D987DB51887C43F9E3E7D46DE6814E6E3AAF1021B87F2)。

H₁：{0,1}^*→G₁具体处理过程如下：

1）给定需要签名信息的一个任意长度字符串M∈{0,1}^*，设定i为变量，i←0，“←”表示赋值的意思；

2）设定(x,b)←sha-1(i||M)，这里x是计算的横坐标，b是确定纵坐标的二进制比特位；sha-1表示国际标准哈希算法，设其计算结果的二进制比特位数为n，则最后一个二进制比特位为b，前面n-1个二进制比特位为x。

3）根据方程y²=f(x)，及x横坐标，计算得到两个平方根y值y₀和y₁，根据2）中b的二进制比特值，确定G₁上的点P_M’(x,y_b)；

4）计算P_M=cof*P_M’。若P_M≠0，即输出与M对应的G₁上的点P_M，否则转5）。

5）将变量i自加1，转2）。

步骤14、签名者生成自己的私钥和公钥。

签名者在本地秘密产生不超过q的随机数d作为自己的私钥，签名者计算自己的公钥Q=dP，并将Q传给CA中心，CA中心将上述公钥Q发送给上述用户。

步骤15、签名者对盲化后的信息进行签名处理。

上述盲签名处理的具体过程示意图如图2所示，盲签名过程是在签名者和用户之间交互完成，具体包括如下的处理过程：

用户随机选择盲化因子k∈Z_q ^*，Z_q ^*表示1~(q-1)范围内的整数，并计算R=H₁(m)，

S=kR，

上述S为盲化后的消息，用户将上述S发送给签名人。

签名人收到盲化后的消息S后，用自己的私钥对其进行签名，计算V’=dS=dkR，并将V’发送给接收用户；

步骤16、接收用户对签名后的消息进行去盲和解密处理。

接收用户计算V=k^-1V’，那么V的横坐标x即为消息m的签名。

上述接收用户和签名者都可以通过下面的验证处理过程来验证上述消息m的传输过程的准确性。

验证处理过程：

计算R=H₁(m)；

计算

所述

为一个双线性映射，是一个从集合（R×Q）到集合G₂的一个映射，

根据横坐标x计算得到曲线E上的点V₁；

计算 $g_2=\hat{e}(V_1,P);$

若g₂=g₁或g₂=g₁ ^-1，验证通过；否则验证失败。

根据曲线E的方程y²=f(x)可知(x,y)和(x,-y)都是曲线上的点，因而：V₁=V或V₁=-V，取V₁=V，则：

$g_2=\hat{e}(V_1,P)=\hat{e}(\mathrm{dR},P)=\hat{e}(R,\mathrm{dP})=\hat{e}(R,Q)=g_1$

或取V₁=-V，则：

$g_2=\hat{e}(V_1,P)=\hat{e}(-V,P)={g_1}^{-1}$ 证毕。

实施例二

该实施例提供了一种基于椭圆曲线的盲签名装置，其具体结构如图3所示，包括如下的模块：

消息盲化处理模块31，用于通过发送用户随机选择盲化因子k∈Z_q ^*，计算R=H₁(m)，S=kR，所述m为待签名信息中的一个任意长度0、1字符串m，所述S为盲化后的消息，所述q为设定的大素数，所述Z_q ^*表示1~(q-1)范围内的整数，所述H₁是一个单向hash函数，把m映射到G₁上椭圆曲线E的一个点，所述G₁是F_p上的椭圆曲线E加法群的一个阶为q的子群，所述F_p为从0到p-1的整数组成的域，所述p为设定的大素数，且所述q是p+1的素因子；

签名处理模块32，用于用签名者的私钥d对S进行签名，计算V’=dS=dkR，并将V’发送给所述接收用户；

签名计算模块33，用于通过接收用户计算V=k^-1V’，V的横坐标x即为消息m的签名。

具体的，所述消息盲化处理模块31，还用于通过下述处理过程计算R=H₁(m)

步骤1、给定需要签名信息的一个任意长度字符串M∈{0,1}^*，设定i为变量，i←0；

步骤2、设定(x,b)←sha-1(i||M)，这里x是计算的横坐标，b是确定纵坐标的二进制比特位；

步骤3、根据方程y²=f(x)，及x横坐标，计算得到两个平方根y值y₀和y₁，确定G₁上的点P_M’(x,y_b)；

步骤4、计算P_M=cof*P_M’，所述cof为设定的协因子，若P_M≠0，即输出与M对应的G₁上的点P_M作为H1(m)；否则，将变量i自加1，重新执行上述步骤2、3和4。

具体的，所述签名处理模块32，还用于通过所述签名者在本地产生不超过q的随机数d作为自己的私钥，计算出自己的公钥Q=dP，并将Q传给CA中心，CA中心将所述公钥Q发送给所述接收用户，所述P为所述G1的生成元。

具体，所述的签名计算模块33，还用于计算R=H₁(m)；

计算

所述

为一个双线性映射，是一个从集合（R×Q）到集合G₂的一个映射，所述G₂为阶为q的群，所述q为设定的大素数；

根据横坐标x计算得到曲线E上的点V₁；

计算 $g_2=\hat{e}(V_1,P);$

若g₂=g₁或g₂=g₁ ^-1，验证通过；否则验证失败。

用本发明实施例的装置进行基于椭圆曲线的盲签名的具体过程与前述方法实施例类似，此处不再赘述。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域普通技术人员可以理解：实施例中的设备中的模块可以按照实施例描述分布于实施例的设备中，也可以进行相应变化位于不同于本实施例的一个或多个设备中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

综上所述，本发明实施例的基于椭圆曲线的盲签名方法的盲签名消息长度仅仅为椭圆曲线点的横坐标，短于现有椭圆曲线盲签名方法的签名消息长度，增加了系统运行的吞吐量，适合于带宽受限的通讯环境。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (8)

1.一种基于椭圆曲线的盲签名方法，其特征在于，包括：

发送用户随机选择盲化因子k∈Z_q ^*，计算R=H₁(m)，S=kR，所述m为待签名信息中的一个任意长度0、1字符串m，所述S为盲化后的消息，所述q为设定的大素数，所述Z_q ^*表示1~(q-1)范围内的整数，所述H₁是一个单向hash函数，把m映射到G₁上椭圆曲线E的一个点，所述G₁是F_p上的椭圆曲线E加法群的一个阶为q的子群，所述F_p为从0到p-1的整数组成的域，所述p为设定的大素数，且所述q是p+1的素因子；

签名者用自己的私钥d对S进行签名，计算V’=dS=dkR，并将V’发送给所述接收用户；

所述接收用户接收到所述V’后，计算V=k^-1V’，V的横坐标x即为消息m的签名。

2.根据权利要求1所述的基于椭圆曲线的盲签名方法，其特征在于，所述计算R=H₁(m)包括：

步骤1、给定需要签名信息的一个任意长度字符串M∈{0,1}^*，设定i为变量，i←0；

步骤2、设定(x,b)←sha-1(i||M)，这里x是计算的横坐标，b是确定纵坐标的二进制比特位；

步骤3、根据方程y²=f(x)，及x横坐标，计算得到两个平方根y值y₀和y₁，确定G₁上的点P_M’(x,y_b)；

步骤4、计算P_M=cof*P_M’，所述cof为设定的协因子，若P_M≠0，即输出与M对应的G₁上的点P_M作为H₁(m)；否则，将变量i自加1，重新执行所述步骤2、3和4。

3.根据权利要求1所述的基于椭圆曲线的盲签名方法，其特征在于，所述签名者收到所述盲化后的消息S之前还包括：

所述签名者在本地产生不超过q的随机数d作为自己的私钥，计算出自己的公钥Q=dP，并将Q传给CA中心，CA中心将所述公钥Q发送给所述接收用户，所述P为所述G₁的生成元。

4.根据权利要求1或者2或3所述的基于椭圆曲线的盲签名方法，其特征在于，所述的方法还包括：

计算R=H₁(m)；

计算

所述

为一个双线性映射，是一个从集合（G₁×G₁）到集合G₂的一个映射；

根据横坐标x计算得到曲线E上的点V₁；

计算 $g_2=\hat{e}(V_1,P);$

若g₂=g₁或g₂=g₁ ^-1，验证通过；否则验证失败。

5.一种基于椭圆曲线的盲签名装置，其特征在于，包括：

消息盲化处理模块，用于通过发送用户随机选择盲化因子k∈Z_q ^*，计算R=H₁(m)，S=kR，所述m为待签名信息中的一个任意长度0、1字符串m，所述S为盲化后的消息，所述q为设定的大素数，所述Z_q ^*表示1~(q-1)范围内的整数，所述H₁是一个单向hash函数，把m映射到G₁上椭圆曲线E的一个点，所述G₁是F_p上的椭圆曲线E加法群的一个阶为q的子群，所述F_p为从0到p-1的整数组成的域，所述p为设定的大素数，且所述q是p+1的素因子；

签名处理模块，用于用签名者的私钥d对S进行签名，计算V’=dS=dkR，并将V’发送给所述接收用户；

签名计算模块，用于通过接收用户计算V=k^-1V’，V的横坐标x即为消息m的签名。

6.根据权利要求1所述的基于椭圆曲线的盲签名装置，其特征在于：

所述消息盲化处理模块，还用于通过下述处理过程计算R=H₁(m)

步骤1、给定需要签名信息的一个任意长度字符串M∈{0,1}^*，设定i为变量，i←0；

步骤2、设定(x,b)←sha-1(i||M)，这里x是计算的横坐标，b是确定纵坐标的二进制比特位，所述i为变量；

步骤3、根据方程y²=f(x)，及x横坐标，计算得到两个平方根y值y₀和y₁，确定G₁上的点P_M’(x,y_b)；

步骤4、计算P_M=cof*P_M’，所述cof为设定的协因子，若P_M≠0，即输出与M对应的G₁上的点P_M作为H₁(m)；否则，将变量i自加1，重新执行上述步骤2、3和4。

7.根据权利要求6所述的基于椭圆曲线的盲签名装置，其特征在于：

所述签名处理模块，还用于通过所述签名者在本地产生不超过q的随机数d作为自己的私钥，计算出自己的公钥Q=dP，并将Q传给CA中心，CA中心将所述公钥Q发送给所述接收用户，所述P为所述G1的生成元。

8.根据权利要求5或者6或7所述的基于椭圆曲线的盲签名装置，其特征在于：

所述的签名计算模块33，还用于计算R=H₁(m)；

计算

所述

为一个双线性映射，是一个从集合（G₁×G₁）到集合G₂的一个映射，所述G₂为阶为q的群，所述q为设定的大素数；

根据横坐标x计算得到曲线E上的点V₁；

计算 $g_2=\hat{e}(V_1,P);$

若g₂=g₁或g₂=g₁ ^-1，验证通过；否则验证失败。

Images