CN105827657B - 一种签名权可仲裁的指定验证者签名方法 - Google Patents

Abstract

本发明公开一种签名权可仲裁的指定验证者签名方法，该方法包含：签名者采用系统参数，以及签名者、指定验证者和仲裁者各自的公钥对消息建立签名；指定验证者采用系统参数，以及签名者、指定验证者和仲裁者的公钥验证消息上的签名的有效性；并采用系统参数、签名者的公钥、指定验证者的公钥和私钥、仲裁者的公钥建立模拟签名；仲裁者采用系统参数、仲裁者的私钥、签名者和指定验证者的公钥判定签名属于签名者或指定验证者。本发明实现指定验证者签名的签名权可仲裁，提高效率、隐私保护更好。

Description

一种签名权可仲裁的指定验证者签名方法

技术领域

本发明涉及信息安全技术领域，具体涉及一种签名权可仲裁的指定验证者签名方法。

背景技术

1996年，Jakobsson et al.(EUROCRYPT′96)提出了指定验证者签名的概念。在指定验证者签名中，只有指定的验证者才能确认签名的正确性，通过签名者和指定验证者都可以产生签名来保护签名者的身份信息。指定验证者在电子投票、网上讨价还价系统、网上医疗系统等方面有着广泛的应用前景。目前已有的指定验证者签名基本上都具有完美的不可传递性，这意味着签名者S产生的签名和指定验证者V模拟产生的签名是无法区分的。这样，当签名者S和指定验证者V产生签名归属权纠纷时(即两者都否认签名或者都说签名是自己产生的)没有人能判别签名究竟是谁产生的。这样无法保障真正签名者的权益，也无法阻止真正签名者的欺骗。这些缺陷大大限制了指定验证者签名的广泛应用。

例如：一个网店通过网上讨价还价系统竞价卖商品，为了使商品卖出更好的价钱，网店可能把竞价者A出的价格发给竞价者B看，为了防止网店把竞价者A签名的价格发给竞价者B看，可以采用指定验证者签名，这样网店无法把竞价者A的价格给其它第三人看(比如竞价者B)，因为网店自己也能产生同样的签名价格。但是，竞价结束后，如果竞价者A不承认出过这个价格怎么办？因为网店也能产生同样的价格签名。此时，传统的指定验证者签名将无法解决这个问题。因此，设计签名权可仲裁的指定验证者签名方法具有重要的实际意义和应用场景。

目前大部分指定验证者签名方案都不具有签名权可仲裁的特性。极个别的指定验证者签名方案具有一定的签名权归属判定，但都需要有签名者S交互式的或非交互式的合作才能进行签名归属权的判定，这大大提高了判定的复杂性、降低了判定的效率；此外，任何人都可进行判定，无法保护真正签名者的身份信息。

发明内容

本发明提供一种签名权可仲裁的指定验证者签名方法，提高效率、更好的隐私保护。

为实现上述目的，本发明提供一种签名权可仲裁的指定验证者签名方法，其特点是，该方法包含：

签名者采用系统参数，以及签名者、指定验证者和仲裁者各自的公钥对消息建立签名；

指定验证者采用系统参数，以及签名者、指定验证者和仲裁者的公钥验证消息上的签名的有效性；并采用系统参数、签名者的公钥、指定验证者的公钥和私钥、仲裁者的公钥建立模拟签名；

仲裁者采用系统参数、仲裁者的私钥、签名者和指定验证者的公钥判定签名属于签名者或指定验证者。

上述签名者建立签名前，系统生成系统参数，且签名者、指定验证者和仲裁者分别建立配对的公钥和私钥。

上述生成系统参数包含：

选取一个系统安全参数k∈N；

选取两个大质素p，q∈N，使得p＝2q+1；

选取一个哈希函数H：{0，1}^*→Z_q ^*；

公开发布系统参数params＝{p，q，g，H}，其中g是Z_q ^*的一个生成元，N是自然数集合。

上述签名者、指定验证者和仲裁者分别建立配对的公钥和私钥包含：

签名者S随机选择两个数(x_s，1，x_s，2)∈Z_q ^*作为私钥，并以此计算 作为公钥；

指定验证者V随机选择两个数(x_v，1，x_v，2)∈Z_q ^*作为私钥，并以此计算 作为公钥；

仲裁者J随机选择两个数(x_j，1，x_j，2)∈Z_q ^*作为私钥，并以此计算 作为公钥。

上述签名者S建立签名包含：

签名者S随机选择两个整数r₂，t₂∈Z_q ^*；

签名者S产生消息m上的签名σ＝(r₁，r₂，s，h)；

签名σ中，r₁＝(t₂-c^-1h)(mod q)；c＝(H(m)x_s，1+H(m||g)x_s，2)(mod q)；

上述指定验证者V验证签名有效性包含：

指定验证者V验证下式是否成立，

若上式成立，则指定验证者V接受该签名，签名有效，

如果上式不成立，则指定验证者V拒绝该签名，签名无效。

上述指定验证者V建立模拟签名包含：

指定验证者V随机选择两个整数r₁，t₂∈Z_q ^*；

指定验证者V产生消息m上的签名σ’＝(r₁，r₂，s，h)；

签名σ’中，r₂＝(_t2-c^-1h)(mod q)，c＝(H(m)x_v，1+H(m||g)x_v，2)(mod q)；

上述仲裁者J仲裁签名包含：

仲裁者J使用仲裁者J的私钥x_j，1、签名者S的公钥(Y_s，1，Y_s，2)以及系统参数params计算

仲裁者J判断是否s’＝s成立，若成立，则仲裁者J得出签名σ＝(r₁，r₂，s，h)是由签名者S生成。

上述仲裁者J判断s’＝s不成立，则仲裁者J计算

仲裁者J判断是否s”＝s成立，若是，则仲裁者J得出签名σ＝(r₁，r₂，s，h)是由指定验证者V生成；若否，则判定该签名无效，结束判定。

本发明一种签名权可仲裁的指定验证者签名方法和现有的签名技术相比，其优点在于，本发明具有签名权仲裁性质，防止签名者事后否认签名。本发明增加了仲裁阶段，当签名者S和指定验证者V都否认签名时，可以通过本发明的仲裁方法快速的判断谁在撒谎，使得真正产生签名的签名者不能否认产生过签名，从而避免纠纷的发生；

本发明仲裁过程不需要签名者S或指定验证者V的帮助，防止签名者S或指定验证者V不合作。在本发明中，签名者S可以事先指定一个仲裁者J并将仲裁者J的公钥放入签名中，当发生签名归属纠纷时，仲裁者J无需签名者S或指定验证者V的帮助，能独立通过简单的计算来判定签名的归属，从而可以有效的防止由于签名者S或者指定验证者不合作而造成无法判定的结果，大大提高了判定的效率；

本发明仲裁需要使用仲裁者J的私钥，防止签名者身份的暴露。在本发明中，仲裁的过程需要仲裁者J使用自己的私钥x_j，1才能完成判定，这样可以防止其它第三方通过仲裁来发现真正签名者的身份，有效保护了实际签名者的身份。

附图说明

图1为本发明一种签名权可仲裁的指定验证者签名方法的方法流程图。

具体实施方式

以下结合附图，进一步说明本发明的具体实施例。

如图1所示，本发明公开了一种签名权可仲裁的指定验证者签名方法的实施例，具体包含以下步骤：

S1、系统参数生成阶段，具体包含：

根据系统安全需要，选取一个系统安全参数k∈N；选取两个大质素p，q∈N，使得p＝2q+1；选取一个哈希函数H：{0，1}*→Z_q ^*。

公开发布系统参数params＝{p，q，g，H}，其中g是Z_q ^*的一个生成元，N是自然数集合。

S2、公私钥建立阶段：签名者、指定验证者和仲裁者分别建立配对的公钥和私钥。

签名者S随机选择两个数(x_s，1，x_s，2)∈Z_q ^*作为私钥，并以此计算 作为公钥。

指定验证者V随机选择两个数(x_v，1，x_v，2)∈Z_q ^*作为私钥，并以此计算 作为公钥。

仲裁者J随机选择两个数(x_j，1，x_j，2)∈Z_q ^*作为私钥，并以此计算 作为公钥。

这样签名者S获得它的公私钥键对((Y_s，1，Y_s，2)，(x_s，1，x_s，2))、指定验证者V获得它的公私钥键对((Y_v，1，Y_v，2)，(x_v，1，x_v，2))、仲裁者J获得它的公私钥键对((Y_j，1，Y_j，2)，(x_j，1，x_j，2))。

S3、签名建立阶段：当用户提交一个消息m要求签名时，签名者S使用系统参数params、签名者S的公钥(Y_s，1，Y_s，2)、指定验证者V的公钥(Y_v，1，Y_v，2)、仲裁者J的公钥(Y_j，1，Y_j，2)对消息m建立签名。

S3.1、签名者S随机选择两个整数r₂，t₂∈Z_q ^*。

S3.2、签名者S计算c＝(H(m)x_s，1+H(m||g)x_s，2)(mod q)；

S3.3、签名者S计算h、r₁、s：

r₁＝(t₂-c^-1h)(mod q)

S3.4、签名者S产生消息m上的签名σ＝(r₁，r₂，s，h)。

S4、模拟签名产生阶段：对于给定的消息m，指定验证者V采用系统参数params、签名者S的公钥(Y_s，1，Y_s，2)、指定验证者V的公钥(Y_v，1，Y_v，2)和私钥(x_v，1，x_v，2)、仲裁者的公钥(Y_j，1，Y_j，2)建立模拟签名σ’。具体步骤如下：

S4.1、指定验证者V随机选择两个整数r₁，t₂∈Z_q ^*；

S4.2、指定验证者V计算c＝(H(m)x_v，1+H(m||g)x_v，2)(mod q)；

S4.3、指定验证者V计算h、r₂、s

r₂＝(t₂-c^-1h)(mod q)，

其中H是一个哈希函数(即摘要函数)，输入是任意长度的数，输出是Z_q ^*中的一个数。

S4.4、指定验证者V产生消息m上的模拟签名σ’＝(r₁，r₂，s，h)。

S5、签名验证阶段：对于消息m上的签名σ＝(r₁，r₂，s，h)，指定验证者V用系统参数params、以及签名者S的公钥(Y_s，1，Y_s，2)、指定验证者V的公钥(Y_v，1，Y_v，2)和仲裁者J的公钥(Y_j，1，Y_j，2)，验证消息m上签名σ的有效性，具体为：

指定验证者V验证下式是否成立，

若上式成立，则指定验证者V接受该签名，签名有效，

如果上式不成立，则指定验证者V拒绝该签名，签名无效。

S6.签名仲裁阶段：对于消息m上的签名σ＝(r₁，r₂，s，h)，当出现纠纷时，即签名者S和指定验证者V都否认产生了签名σ或都宣称σ是自己产生时，仲裁者J采用系统参数params、仲裁者J的私钥(x_j，1，x_j，2)、签名者S的公钥(Y_s，1，Y_s，2)、和指定验证者V的公钥(Y_v，1，Y_v，2)判定签名的归属权属于签名者S或指定验证者V。

S6.1、仲裁者J使用仲裁者J的私钥x_j，1、签名者S的公钥(Y_s，1，Y_s，2)以及系统参数params计算

S6.2、仲裁者J判断是否s’＝s成立。

若是，成立，则仲裁者J得出签名σ＝(r₁，r₂，s，h)是由签名者S生成，仲裁完成。

若否，不成立，则仲裁者J计算并跳转到S6.3。

S6.3、仲裁者J判断是否s”＝s成立；

若是，则仲裁者J得出签名σ＝(r₁，r₂，s，h)是由指定验证者V生成；

若否，则判定该签名无效，结束判定。

尽管本发明的内容已经通过上述优选实施例作了详细介绍，但应当认识到上述的描述不应被认为是对本发明的限制。在本领域技术人员阅读了上述内容后，对于本发明的多种修改和替代都将是显而易见的。因此，本发明的保护范围应由所附的权利要求来限定。

Claims (7)

1.一种签名权可仲裁的指定验证者签名方法，其特征在于，该方法包含：

签名者采用系统参数，以及签名者、指定验证者和仲裁者各自的公钥对消息和签名者的私钥建立签名；

指定验证者采用系统参数，以及签名者、指定验证者和仲裁者的公钥验证消息上的签名的有效性；并采用系统参数、签名者的公钥、指定验证者的公钥和私钥、仲裁者的公钥建立模拟签名；

仲裁者采用系统参数、仲裁者的私钥、签名者和指定验证者的公钥判定签名属于签名者或指定验证者；

所述仲裁者J仲裁签名包含：

仲裁者J使用仲裁者J的私钥x_j,1、签名者S的公钥(Y_s,1,Y_s,2)以及系统参数params计算

仲裁者J判断是否s’＝s成立，若成立，则仲裁者J得出签名a＝(r₁,r₂,s,h)是由签名者S生成；

所述仲裁者J判断s’＝s不成立，则仲裁者J计算 其中(Y_v,1,Y_v,2)为验证者V的公钥；

仲裁者J判断是否s”＝s成立，若是，则仲裁者J得出签名a＝(r₁,r₂,s,h)是由指定验证者V生成；若否，则判定该签名无效，结束判定。

2.如权利要求1所述的签名权可仲裁的指定验证者签名方法，其特征在于，所述签名者建立签名前，系统生成系统参数，且签名者、指定验证者和仲裁者分别建立配对的公钥和私钥。

3.如权利要求2所述的签名权可仲裁的指定验证者签名方法，其特征在于，所述生成系统参数包含：

选取一个系统安全参数k∈N；

选取两个大质素p,q∈N，使得p＝2q+1；

选取一个哈希函数H:{0,1}^*→Z_q ^*；

公开发布系统参数params＝{p,q,g,H}，其中g是Z_q ^*的一个生成元，N是自然数集合。

4.如权利要求3所述的签名权可仲裁的指定验证者签名方法，其特征在于，所述签名者、指定验证者和仲裁者分别建立配对的公钥和私钥包含：

签名者S随机选择两个数(x_s,1,x_s,2)∈Z_q ^*作为私钥，并以此计算作为公钥；

指定验证者V随机选择两个数(x_v,1,x_v,2)∈Z_q ^*作为私钥，并以此计算作为公钥；

仲裁者J随机选择两个数(x_j,1,x_j,2)∈Z_q ^*作为私钥，并以此计算 作为公钥。

5.如权利要求4所述的签名权可仲裁的指定验证者签名方法，其特征在于，所述签名者S建立签名包含：

签名者S随机选择两个整数r₂,t₂∈Z_q ^*；

签名者S产生消息m上的签名σ＝(r₁,r₂,s,h)；

签名σ中，r₁＝(t₂–c^-1h)(mod q)；c＝(H(m)x_s,1+H(m||g)x_s,2)(mod q)；

6.如权利要求5所述的签名权可仲裁的指定验证者签名方法，其特征在于，所述指定验证者V验证签名有效性包含：

指定验证者V验证下式是否成立，

若上式成立，则指定验证者V接受该签名，签名有效，

如果上式不成立，则指定验证者V拒绝该签名，签名无效。

7.如权利要求6所述的签名权可仲裁的指定验证者签名方法，其特征在于，所述指定验证者V建立模拟签名包含：

指定验证者V随机选择两个整数r₁,t₂∈Z_q ^*；

指定验证者V产生消息m上的签名σ’＝(r₁,r₂,s,h)；

签名σ’中，r₂＝(t₂–c^-1h)(mod q)，c＝(H(m)x_v,1+H(m||g)x_v,2)(mod q)；