CN105007160A - 量子数字签名中消息完整性保护方法 - Google Patents

Abstract

量子数字签名中消息完整性保护方法，通过初始化、特殊签名与验证，起始符和结束符为11，而且中间没有非法码字10和11，解决了目前量子数字签名技术方案无法保证被签名消息完整性这一重要的安全问题，为量子数字签名技术的进一步研发提供了技术支持，具有重要和广泛的应用前景。

Description

量子数字签名中消息完整性保护方法

技术领域

本发明属于信息安全技术领域，主要涉及量子数字签名技术方案中被签名消息的完整性保护技术。

背景技术

数字签名技术主要用来保护消息的完整性和不可否认性. 然而，传统的数字签名技术方案的安全性一般基于某个数学难题，如大数分解问题和离散对数问题等，随着计算机运算速度的不断提高和各种先进算法的提出，尤其是量子计算机的可能出现，使得传统数字签名技术的安全性面临着严峻的挑战. 因此，Gottesman和Chuang于2001年提出了量子数字签名的概念^[1]，并利用量子单向函数给出了第一个量子数字签名技术方案，随后量子数字签名引起了人们的广泛关注. 最近，Clarke等提出了一种新颖的量子数字签名技术方案，并在实验上进行了演示^[2]，Dunjko等对其进行了改进^[3]，改进后的方案不再需要量子存储，因此实现上更加容易^[4]. 然而，我们发现现有量子数字技术方案存在一个共同的安全性问题：消息是被逐比特进行签名和验证的，因而无法保证被签名消息的完整性，使得攻击者在已知消息攻击模式下很容易伪造新的有效消息-签名对，例如：假定消息 m由三个经典比特                                                ,,按序组成，即，本专利中记号||表示比特间的级联，利用现有技术方案，签名者Alice将对消息m的三个经典比特,,分别进行签名并记其签名为,,，这样 Alice对消息m的最后签名为||，收到Alice发送的消息-签名对后，接收者Bob丢掉第三个消息比特和其签名，仅将消息-签名对发送给验证者Charlie. 根据数字签名技术方案的要求：签名阶段和验证阶段签名者与验证者之间不能进行任何通信联系，所以Charlie无法知道Alice签名消息的实际长度. 而且，Bob未对被签名消息比特,及其签名,,进行任何修改. 因此，消息-签名对将顺利通过Charlie的验证. 通过该例可以看出：被签名消息m的完整性无法得到有效保护，而保护被签名消息的完整性是数字签名技术的主要目标和任务.

为了解决现有量子数字签名技术方案无法保证被签名消息完整性这一重要的安全问题，本专利给出了一种有效的技量子数字签名术方案，并论证了其安全性。

[1]     Gottesman, D. & Chuang, I. Quantum digital signatures. Preprint at http://arxiv. org/abs/quant-ph/0105032 (2001).

[2]     Clarke, P.J., et al. Experimental demonstration of quantum digital signatures using phase-encoded coherent states of light. Nat. Commun.  3, 1174 (2012).

[3]     Dunjko, V., Wallden, P., & Andersson, E. Quantum digital signatures without quantum memory. Phys.Rev. Lett.  112, 040502 (2014).

[4]     Collins, R.J., et al. Realization of quantum digital signatures without the requirement of quantum memory. Phys. Rev. Lett.  113, 040502 (2014)。

发明内容

本发明的目的是解决目前量子数字签名技术方案无法保证被签名消息完整性这一重要安全问题，为量子数字签名技术的应用研发提供理论指导和算法支持。

针对上述目的，本发明采取如下技术方案：量子数字签名中消息完整性保护方法，包括以下步骤：

A、初始化阶段

签名者分配足够多的签名验证密钥( ,), (,), …, (,), …, (,)给签名接收者和验证者，签名者保存相应的签名密钥，其中，表示将来对指标为的比特0的签名的验证密钥，表示将来对指标为的比特1的签名的验证密钥；

B、签名阶段

对于长度为L的待签名消息，其中，，，签名者首先对待签名消息进行编码，具体编码方法如下：

① 首先，对于消息M的每个比特，其中，如果，则将其编码为00；否则，将其编码为01，消息M被编码为由码字00和01组成的长度为2L的比特序列；

② 其次，选择签名密钥起始指标二进制数S，并利用步骤①中的方法将起始指标S编码为由码字00和01组成的长度为2S的比特序列；

③ 最后，在由00和01组成的码字序列的开头和结尾分别加上码字11作为开始符和结束符，这样待签名消息M最后就被编码为，并记；

对于的每个比特，其中，签名者根据在初始化阶段采用的技术方案，利用相应的签名单个消息比特的技术方法依次按序对进行签名，即利用指标为S的签名密钥对消息比特进行签名，利用指标为S+1的签名密钥对消息比特进行签名，以此类推，这样最后对消息M的量子数字签名为，其中，表示对消息比特的量子数字签名，， 最后，签名者将消息-签名对发送给签名接收者；

收到消息-签名对后，消息接收者对其进行验证，具体验证技术方法如下：

① 首先验证序列中是否除了开头和结尾为码字11外，其它码字均为00或01，若开头码字或结尾码字不是11或者中间出现了非法码字10或11，则认为消息被篡改，签名无效；否则，继续进行下一步验证；

② 根据签名密钥起始指标S，接收者选择相应的验证密钥利用相应的验证方法依次按序对序列中的每一个比特，的量子数字签名进行验证，即对，用指标为S的验证密钥对其验证，对，用指标为S+1的验证密钥对其验证，依次类推. 若每一个比特-签名对，，都能够通过验证，接收者对进行解码得到消息M，并认为消息M来自签名者且未被篡改，同时保存消息-签名对；

C、验证阶段

当签名接收者需要验证者对消息M来自于签名者这一事实进行确认时，签名接收者将消息-签名对发送给验证者，验证者利用接收者在步骤（3）中一样的方法对其进行验证，若通过验证，则确认消息M来自签名者，签名有效；否则，认为消息被篡改，签名无效。

本发明有益效果是：

本专利给出了一种新的量子数字签名技术，解决了目前量子数字签名技术方案无法保证被签名消息完整性这一重要的安全问题，为量子数字签名技术的进一步研发提供了技术支持，具有重要和广泛的应用前景。

本专利技术方案中，除了签名者，任何人（包括签名接收者）即使获得了签名者无数个消息-签名对，也无法伪造一个新的有效消息-签名对。

具体实施方式

量子数字签名中消息完整性保护方法，包括以下步骤：

(1)   首先，签名者对消息01的每个比特进行编码，将0编码为00, 1编码为01；

(2)   接着，签名者选择签名密钥起始指标101（二进制数），并将其编码为010001；

(3)   然后，签名者再在编码后的比特序列0100010001开头和结尾加上起始符11和结束符11，最后消息比特01就被编码为11010001000111。

(4)   对11010001000111中的每个比特，签名者利用初始化阶段采用的文献[1-4]中签名单个比特的技术选择签名密钥依次对每个比特进行签名，这样对消息01的最终签名为：

下标表示签名者所用签名密钥的指标，最后，签名者将消息-签名对发送给签名接收者。

(5)   签名接收者对消息-签名对 进行验证：

① 签名接收者首先验证序列11010001000111中是否除了开头和结尾为码字11外，其它码字均为00或01，若通过验证，则继续进行下一步：

② 根据签名密钥指标101（二进制数），接收者选择相应的验证密钥并利用文献[1-4]中相应的方法对序列11010001000111中每一个比特的签名依次进行验证，若每一个比特-签名对都能够通过验证，接收者对11010001000111进行解码得到消息01，并认为01来自签名者且未被篡改，同时保存消息-签名对。

(6)   当签名接收者需要验证者对消息01来自签名者进行确认时，签名接收者将消息-签名对发送给验证者，验证者利用接收者在步骤（5）中一样的方法对其进行验证，若通过验证，则确认消息01来自签名者，签名有效；否则，认为消息被篡改，签名无效。

根据本专利技术方案，攻击者若想伪造一个有效的消息-签名对，攻击者必须伪造一个比特序列，使得的起始符和结束符为11，而且中间没有非法码字10和11，同时保证比特序列的每一个比特的签名都能通过验证者的验证。 然而，这是不可能的。 因为，若要伪造一个有效的消息-签名对，攻击者必须至少伪造一个新的开始符或结束符，但在本专利技术方案中，签名密钥的选择是依次按序选择的，所以攻击者不能选择有效签名消息中不同位置的比特1组成开始符或结束符，否则，由于验证者是按照验证密钥的顺序依次对比特序列中的比特进行验证的，从而导致签名比特的验证失败。因此，攻击者只能通过以下三种途径伪造新的开始符或结束符：一是直接伪造对比特11的签名，但根据文献[1-4]中的结论，伪造单个比特的签名是不可能的；二是在获得的有效签名消息比特序列中间寻找，这也是不可能的，因为由00和01组成的有效消息序列中间显然不会出现码字11；三是将签名密钥指标连续的两个签名消息或多个签名消息的级联作为伪造的新消息，或选取其一部分作为伪造的新消息，这样虽然可能不用伪造新的开始符或结束符，但是通过简单的分析可以发现这种伪造方式将不可避免导致非法码字10或11在伪造消息序列中间出现，因而也无法通过验证者的验证。因此，攻击者即使获得了签名者无数个消息签名对，攻击者也无法伪造一个新的有效的消息-签名对，从而证明了本专利可以有效保护被签名消息的完整性。

Claims (1)

1.量子数字签名中消息完整性保护方法，其特征在于：包括以下步骤：

A、初始化阶段

签名者分配足够多的签名验证密钥(                                                ,),(,), …, (,), …, (,)给签名接收者和验证者，签名者保存相应的签名密钥，其中，表示将来对指标为的比特0的签名的验证密钥，表示将来对指标为的比特1的签名的验证密钥；

B、签名阶段

对于长度为L的待签名消息，其中，，，签名者首先对待签名消息进行编码，具体编码方法如下：

① 首先，对于消息M的每个比特，其中，如果，则将其编码为00；否则，将其编码为01，消息M被编码为由码字00和01组成的长度为2L的比特序列；

② 其次，选择签名密钥起始指标二进制数S，并利用步骤①中的方法将起始指标S编码为由码字00和01组成的长度为2S的比特序列；

③ 最后，在由00和01组成的码字序列的开头和结尾分别加上码字11作为开始符和结束符，这样待签名消息M最后就被编码为，并记；

对于的每个比特，其中，签名者根据在初始化阶段采用的技术方案，利用相应的签名单个消息比特的技术方法依次按序对进行签名，即利用指标为S的签名密钥对消息比特进行签名，利用指标为S+1的签名密钥对消息比特进行签名，以此类推，这样最后对消息M的量子数字签名为，其中，表示对消息比特的量子数字签名，， 最后，签名者将消息-签名对发送给签名接收者； 

收到消息-签名对后，消息接收者对其进行验证，具体验证技术方法如下：

① 首先验证序列中是否除了开头和结尾为码字11外，其它码字均为00或01，若开头码字或结尾码字不是11或者中间出现了非法码字10或11，则认为消息被篡改，签名无效；否则，继续进行下一步验证；

② 根据签名密钥起始指标S，接收者选择相应的验证密钥利用相应的验证方法依次按序对序列中的每一个比特，的量子数字签名进行验证，即对，用指标为S的验证密钥对其验证，对，用指标为S+1的验证密钥对其验证，依次类推. 若每一个比特-签名对，，都能够通过验证，接收者对进行解码得到消息M，并认为消息M来自签名者且未被篡改，同时保存消息-签名对；

C、验证阶段

当签名接收者需要验证者对消息M来自于签名者这一事实进行确认时，签名接收者将消息-签名对发送给验证者，验证者利用接收者在步骤（3）中一样的方法对其进行验证，若通过验证，则确认消息M来自签名者，签名有效；否则，认为消息被篡改，签名无效。