CN104753678B - 利用预计算减小生成ecdsa签名的延迟的方法 - Google Patents

Abstract

为减小椭圆曲线数字签名生成时的延迟，数字签名的一部分在接收信息哈希之前由未修改的ECDSA运算引擎进行预计算。在信息哈希接收到之后，不利用该ECDSA运算引擎而完成数字签名的运算。应用包括在智能交通系统中为安全信息生成数字签名。

Description

利用预计算减小生成ECDSA签名的延迟的方法

技术领域

本发明涉及一种在生成椭圆曲线数字签名算法(ECDSA)的签名过程中减小延迟的方法，特别地，涉及一种利用预计算来减小所述延迟的方法。

背景技术

智能交通系统(ITS)是一种将信息技术与通信技术应用在道路运输领域的系统，其包括基础架构、交通工具和用户，以及交通管理和移动管理。

ITS的一个特色是车辆发起广播(Vehicle-Originating Broadcast，VOB)。发起车辆将与其运动信息、安全相关属性等频繁地进行广播，以确保这些信息可由其他车辆得到，从而每个接收车辆可以差别出该发送车辆的行为中的潜在危险状况。

典型地，这将与基本安全信息的传输有关系，其中基本安全信息应当包括以下与获得信息签名有关的安全需求：认证性、完整性、授权性和权利级别、来源的不可否认性、以及防重放。由作为参考引用在本申请中的ETSI TS 102 687 v 1.1.1、以及美国运输部/欧盟委员会的文件HTG1-1“ITS安全标准现状”版本2012-11-12所披露的ITS安全标准中，整体地指定了基本安全信息之间的最短间隔为40ms。任何符合标准的VOB系统都应当能够每40ms发送一个基本安全信息。然而，如以上所述的，每个基本安全信息都需要一个信息签名，以满足安全方面的需求，这意味着，基本安全信息需要进行签名。由于最短信息间隔是40ms，因此对于生成一个完整的数字签名来说，全部可用的时间预算即是40ms。然而，从应用的角度来看，为生成数字签名而延迟达到40ms是不可接受的，对于基本安全信息来说尤其如此。一般而言，签名生成的延迟应当低于约10ms。应当注意到，签名生成的过程(对信息进行签名)需要在安全环境下进行，例如由安全元件提供，或者更准确而言，由安全元件的软件加密库和密码协处理器来提供，其中在安全环境下可以不需要进行签名核验的过程。由例如是密码协处理器的加密库所代表的安全环境，其所拥有的硬件通常比次安全环境的硬件弱一些。

发明内容

一种利用预计算来减小生成椭圆曲线数字签名的延迟的方法，其特征在于，包括：

在接收信息哈希之前，利用ECDSA运算引擎预计算不完整的椭圆曲线数字签名；以及

在接收信息哈希之后，通过利用所述不完整的椭圆曲线数字签名作为输入，不使用ECDSA运算引擎而完成椭圆曲线数字签名的运算。

本发明还提供一种使用上述利用预计算来减小生成椭圆曲线数字签名的延迟的方法的智能交通系统。

附图说明

图1a所示的是现有技术中计算ECDSA签名的步骤。

图1b所示的是图1a中计算签名的时间预算。

图2a所示的是现有技术中在输入信息哈希之前预计算ECDSA签名的一部分。

图2b所示的是图2a中的运算的时间预算。

图3a-b所示的是本发明的一种实施方式。

图3c所示的是图3a-b中的运算的时间预算。

图4a-b所示的是本发明一种实施方式。

图4c所示的是图4a-b中的运算的时间预算。

图5所示的是本发明的一种实施方式。

具体实施方式

在ITS中，为基本安全信息所选定的签名方案是椭圆曲线数字签名算法(EllipticCurve Digital Signature Algorithm，ECDSA)。ECDSA需要指定定义在有限域F_q上的椭圆曲线E，以及指定将要作为具有高素数阶n的椭圆曲线子群的生成器的椭圆曲线基点G∈E(F_q)。其中n为整数，为G的数阶，这意味着n*G＝O(其中O是识别元素，*表示椭圆曲线点乘以标量)。

图1a所示的是典型的ECDSA签名生成函数的步骤，其用于生成是数字信息签名的对(r，s)。步骤101，输入信息m(例如安全信息)的哈希(密码散列函数)e。密码散列函数HASH可以是NSA的安全哈希算法-2(Secure Hash Algorithm-2，SHA-2)或者其他适合的密码哈希函数。步骤102，选择0到n中的随机整数k。步骤103，计算曲线点(x，y)＝k*G。步骤104，计算r＝x mod n，其中mod为模数运算。步骤105，计算s＝k^-1*(e+d*r)mod n，其中d是私钥整数。最后，步骤106，返回数字信息签名(r，s)。

图1b所示的是ECDSA签名生成函数的时间预算150。当信息m被接收之后，在t 0时，信息哈希e输入到ECDSA签名生成函数，其需要i微秒来计算信息签名，并剩下(j-i)微秒的“富余”时间。在此，j是基本安全信息之间的最短间隔，或者例如在其他需要ECDSA签名生成的应用中的数据包。

典型地减小ECDSA签名生成函数的延迟的方法是预计算ECDSA签名生成函数中不依赖于信息的密码哈希函数HASH(m)的量，例如r和k^-1。图2a所示的是在ECDSA签名生成函数实施中，利用信息可用之前的时间，在信息哈希e被输入之前来预计算r和k^-1。步骤201，选择0到n中的随机整数k。步骤202，计算曲线点(x，y)＝k*G。步骤203，计算r＝x mod n，其中mod为模运算。步骤204，计算t＝k^-1。在步骤205时，接收信息m，计算HASH(m)并作为e输入。步骤206，计算s＝t*(e+d*r)mod n，其中d是私钥整数。最后，步骤207，返回数字信息签名(r，s)。

图2b所示的是ECDSA签名生成函数的时间预算250。在t＝0时，签名生成函数开始步骤201、202、203和204的预计算，其需要α毫秒来进行计算。当e变为可用时，步骤205输入e＝HASH(m)。这一步骤可能在预计算结束之后的某个时间进行。步骤206完成ECDSA数字签名。步骤207，在h毫秒之后，输出完成的数字信息签名，剩下(j-h)毫秒的“富余”时间。在此，j是基本安全信息之间的最短间隔，或者例如在其他需要低延迟m的应用中的数据包。

图2a与图2b中所示的方法中，存在一个问题，即将ECDSA签名计算分割成两个运算，需要对原有的生成ECDSA签名的运算引擎进行修改。ECDSA运算引擎通常包括模加法、模乘法、模逆运算功能以及其他在椭圆曲线加密算法中使用的功能。在ECDSA运算引擎与运行用户软件的安全微控制器之间的接口，通常限制为运算在安全微控制器上的用户软件可以访问的ECDSA运算引擎的那部分基础功能。ECDSA运算引擎的实施方式通常包括密码协处理器，密码协处理器可选地由运行在微处理器上的加密库控制，微处理器电连接到密码协处理器。可选地，ECDSA运算引擎还可以包括运行在密码协处理器上的固件，以控制该协处理器。然而，任何对于已经通过了安全评估的ECDSA运算引擎的修改都可能需要将整个ECDSA运算引擎进行重新认证，这个过程通常耗时较长，花费较大。甚至于，为了实现所需的修改，有必要对于硬件进行重新设计。根据本发明，可以在不需要对现有的生成ECDSA签名的ECDSA运算引擎进行修改的情况下，实现利用预计算来降低ECDSA签名生成的延迟的优势。

根据本发明的一种实施方式，如图3a所示，预计算涉及生成完整ECDSA签名s′，但使用一个虚设哈希e′作为运算的输入。s′的计算是在未修改的ECDSA运算引擎中进行的。步骤301，向ECDSA签名生成器中输入虚设哈希e′，ECDSA签名生成器是ECDSA运算引擎的一部分。步骤302，选择0到n中的随机整数k。步骤303，计算曲线点(x，y)＝k*G。步骤304，计算r＝x mod n，其中mod为模运算。步骤305，计算s′＝k^-1*(e’+d*r)mod n。由于s′的计算缺少了真实的信息哈希，而是利用了虚设输入e′，因此s′是不完整的。最后，步骤306，返回相应于虚设哈希e′的数字信息签名(r，s′)。数字信息签名(r，s′)是不完整的数字签名。

还需要为信息m计算真实的s＝s′+k^-1(e-e′)mod n。这将需要计算k^-1，在α^-1＝(e′+d*r)^-1mod n已知的情况下，其可以由等式s′＝k^-1*α mod n＝k^-1*(e’+d*r)mod n得到。然后可以计算得到k^-1＝s′*α^-1mod n。

图3b所示的本发明的一个实施方式用于完成数字签名。步骤307，计算α＝(e′+d*r)在Z_n上的模数倒数，即α^-1＝ModInv(α，n)。如果安全微处理器与密码协处理器之间的接口允许运行于安全微处理器上的用户软件直接读取密码协处理器上的ModInv功能，则该模数倒数可以在密码协处理器上进行计算。步骤308，计算k^-1＝s′*α^-1mod n。步骤309，输入待签名的信息m的真实哈希(密码散列函数)e，其中HASH(m)＝e。步骤310，由s＝s′+k^-1*(e-e′)mod n计算信息m的数字签名(r，s)的s。步骤311，返回数字签名(r，s)的值s。步骤307-310不是在已经经过安全增强的ECDSA运算引擎中进行的，而是在其外部进行的。从而，在步骤308和310的操作中可能需要进行一些模糊或混乱以进行保护，以防止信息泄漏。同样的，值s′和e′应当是隐蔽的，因为如果s′和e′跟e和s(这二者是公开的)一样是已知的话，k^-1(以及随后的k)将可以由s计算出来，从而可以利用公开的r由s′计算出私钥整数d。因此，需要对步骤308中秘密值α^-1和s′的运算、以及步骤310中k^-1和s′的运算进行模糊。

图3c的示的是根据本发明实施方式的ECDSA签名生成函数的时间预算350。在t＝0时，将信息的虚设哈希e′输入到ECDSA签名生成函数，其需要i毫秒来为虚设哈希e′计算信息签名s′，剩余(j-i)毫秒的时间用来进行步骤307-308中的α^-1和k^-1的预计算、步骤309中的e＝HASH(m)的输入、步骤310中s的计算、以及步骤311中s的输出。在此，j是基本安全信息之间的最短间隔，或者例如在其他需要低延迟ECDSA签名生成的应用中的数据包。

图3a-c中所示的本发明的实施方式不能实现涉及到d为私钥整数时对于d^-1的预计算的优化。通常而言，私钥整数d在每次ECDSA签名生成之后不会改变。例如在ITS系统中，只有当伪身份被切换之后才会加载新的私钥，这个动作在每隔5分钟以上量级时执行，并只在非安全敏感情形下执行，在这种情况下，延迟需要不是非常严格，因此从延迟的角度来说，d^-1的计算可以被忽略。

根据本发明的一种实施方式，预计算涉及完整的ECDSA签名的计算，但是对于图4a所示的e＝0的情况除外，在此种情况下，它是利用未修改的ECDSA运算引擎进行计算的。将e设0，允许进行d^-1的预计算，从而可以进行进一步的优化，但是这将不会模糊步骤407中的反转运算，在该步骤407以下，使用了d；而在步骤308以上，则是对于d进行了模糊，因为它是α的一部分。步骤401，将e＝0输入到ECDSA签名生成器中。步骤402，选择0到n中的随机整数k。步骤403，计算曲线点(x，y)＝k*G。步骤404，计算r＝x mod n，其中mod为模运算。步骤405，计算s′＝k^-1*(0+d*r)mod n＝(k^-1*d*r)mod n，其中d是私钥整数。由于s′的计算缺少了真实的信息哈希，而是利用了虚设输入e＝0，因此s′是不完整的。最后，步骤406，返回相应于e＝0的数字信息签名(r，s′)。数字信息签名(r，s′)是不完整的数字签名。

还需要为信息m计算真实的s＝s′+(k^-1*e)mod n。这将需要计算k^-1，在d^-1和r^-1已知的情况下，其可以由等式s′＝(k^-1*d*r)mod n得到。随后需要为每个数字信息签名计算k^-1＝(s′*d^-1*r^-1)mod n.对于每个数字信息签名来说，需要新选择一个k，需要计算r^-1。可以为多个签名来预计算值d^-1：对于每个私钥整数d，只需要计算一次d^-1＝ModInv(d，n)，其中ModInv是在Z_n(＝整数0，1，…，n-1)上的模数倒数运算。如果安全微处理器与密码协处理器之间的接口允许运行于安全微处理器上的用户软件直接读取密码协处理器上的ModInv功能，则该模数倒数可以在密码协处理器上进行计算。只要在数字签名中使用同一私钥整数d，本讨论中的d^-1的结果就可以有效地认为是一个恒值。

如图4b所示的根据本发明的一种实施方式中，步骤407，在Z_n上计算r的模数倒数r^-1＝ModInv(r，n)。如果安全微处理器与密码协处理器之间的接口允许运行于安全微处理器上的用户软件直接读取密码协处理器上的ModInv功能，则该模数倒数可以在密码协处理器上进行计算。步骤408，计算k^-1＝(s′*d^-1*r^-1)mod n。步骤409，输入待签名的信息m的哈希(密码散列函数)e＝HASH(m)。步骤410，计算数字签名(r，s)(其中r在先前已经计算过)中的s，其中s＝s′+(k^-1*e)mod n。步骤407-411不是在已经经过安全增强的ECDSA运算引擎中进行的，而是通常利用密码协处理器来进行此类运算。从而，有关于两个秘密值：私钥整数d和步骤402中选择的随机整数k，需要在步骤408和410中使用一些模糊或混乱以进行保护，以防止信息泄漏。同样的，值s′应当是隐蔽的，因为如果s′跟e和s(这二者是公开的)一样是已知的话，k^-1(以及随后的k)将可以由s计算出来，从而可以利用公开的r由s′计算出私钥整数d。因此，需要对步骤408和410中秘密值d^-1、k^-1和s′的运算进行模糊。此外，对于私钥整数d进行的模数倒数运算的预计算也是模糊的优选对象，因为该模数倒数运算在安全增强的ECDSA运算引擎之外也要进行。

图4c的示的是根据本发明实施方式的ECDSA签名生成函数的时间预算450。在t＝0时，将信息的哈希e＝0输入到ECDSA签名生成函数，其需要i毫秒来为哈希e＝0计算信息签名s′，剩余(j-i)毫秒的时间用来进行步骤407-408中的r^-1和k^-1的预计算、步骤409中的e＝HASH(m)的输入、步骤410中s的计算、以及步骤411中s的输出。在此，j是基本安全信息之间的最短间隔，或者例如在其他需要低延迟ECDSA签名生成的应用中的数据包。

图5所示的是本发明一种包括ECDSA运算引擎500的实施方式。ECDSA运算引擎500包括密码协处理器520，其可选地由运行在微处理器510上的加密库控制，微处理器510与密码协处理器520接口。ECDSA运算引擎500还可以包括运行在密码协处理器520上的固件525，以控制该协处理器520。

安全微处理器510电耦合到密码协处理器520，它们一起执行软件加密库515，用来生成椭圆曲线数字签名。可选地，固件525可以位于密码协处理器520上，用以控制协处理器520。安全微处理器电耦合到存储器530，存储器530可以包括安全存储器。最后，安全协处理器510电耦合到输入/输出(Input/Out，I/O)540，I/O 540配置为将椭圆曲线数字签名作为发送信息或数据包的一部分而输出。例如，在ITS型系统中，图5所示的实施方式可以包括在发起车辆中，发起车辆将与其运动信息、安全相关属性等以频繁的经过数字签名的安全信息进行广播，以确保这些信息可由其他车辆得到，从而每个接收车辆可以差别出该发送车辆的行为中的潜在危险状况。

Claims (9)

1.一种利用预计算来减小生成椭圆曲线数字签名的延迟的方法，其特征在于，包括：

使用安全增强的ECDSA运算引擎预计算不完整的椭圆曲线数字签名，其中所述不完整的椭圆曲线数字签名是使用信息哈希来计算的；

在所述安全增强的ECDSA运算引擎的外部，在密码协处理器中接收信息哈希；以及

在接收到所述信息哈希之后，通过利用所述不完整的椭圆曲线数字签名作为输入，在ECDSA运算引擎的外部，在密码协处理器中完成椭圆曲线数字签名的运算。

2.如权利要求1所述的方法，其特征在于：所述预计算不完整的椭圆曲线数字签名包括计算r＝x mod n，其中x是曲线点的第一坐标；n为整数，为G的数阶，G为椭圆曲线基点。

3.如权利要求1所述的方法，其特征在于：预计算私钥整数的倒数。

4.如权利要求1所述的方法，其特征在于：将值为0的信息哈希作为安全增强的ECDSA运算引擎的输入，以进行所述不完整的椭圆曲线数字签名的预计算。

5.如权利要求1所述的方法，其特征在于：在ECDSA运算引擎的外部在密码协处理器完成椭圆曲线数字签名的运算使用模糊。

6.如权利要求1所述的方法，其特征在于，所述方法实施于一种智能交通系统中。

7.如权利要求6所述的方法，其特征在于：椭圆曲线数字签名用于对安全信息进行签名。

8.如权利要求4所述的方法，其特征在于，所述方法实施于一种智能交通系统中。

9.如权利要求8所述的方法，其特征在于：每次与私钥整数有关的伪身份发生改变时，预计算私钥整数的倒数。