CN106357410A - 一种在没有单向陷门的格签名上构建阈下信道的方法 - Google Patents

Abstract

本发明属于信息隐藏领域，特别涉及一种在没有单向陷门的格签名上构建宽带或窄带阈下信道的方法。本发明的方法主要是包括以下步骤：1)阈下信道发送方将要传送的阈下信息M_sub嵌入在没有单向陷门的格签名的随机冗余比特中，利用没有单向陷门的格签名方案对待签名的信息M进行签名；2)阈下信道接收方验证签名是否合法，若签名合法，阈下信道接收方提取阈下信息M_sub。本发明直接将阈下信道嵌入随机冗余比特中，降低了计算的复杂性，具有更高的实用性。

Description

一种在没有单向陷门的格签名上构建阈下信道的方法

技术领域

本发明属于信息隐藏领域，特别涉及一种在没有单向陷门的格签名上构建阈下信道的方法。

背景技术

21世纪是信息时代，信息已经渗透到社会生活的方方面面，信息的安全性越来越受到重视。信息加密将信息从明文转换为密文，窃听者在截获密文后必须对密文进行攻击才能获得明文信息。随着计算机计算能力的增长，许多信息加密方案的安全性受到了威胁。信息隐藏是一种将秘密信息隐藏在公共信息中的新技术，其目的是在收发双方间建立一个隐蔽的信道来传递秘密信息。与信息加密不同，信息隐藏技术使攻击者无法直观判断一个公开的信息中是否包含隐藏信道。信息隐藏技术的出现和发展，为信息安全研究拓展了新的思路。

阈下信道是信息隐藏技术中的一种，由美国圣地亚实验室的Gustavus J.Simmons最早提出。在数字签名方案中，用α比特传输一个签名，用β比特来保证合法签名的安全度，如果α＞β，则数字签名中存在α-β比特的冗余。阈下信道利用了全部的α-β比特冗余，被称为宽带阈下信道；利用了小于α-β比特冗余，则被称为窄带阈下信道。要想构造实用的阈下信道，密码系统必须要有随机性，理论上来说，只要数字签名中存在随机冗余比特，就能够构建阈下信道。阈下信道将需要传输的秘密信息嵌入数字签名的随机冗余比特中，阈下信道发送方与阈下信息的合法接收者共享提取阈下信息的密钥，合法接收者可以比较容易地恢复出阈下信息，但由于阈下信道的嵌入不会改变数字签名，看守很难检测出阈下信道的存在，从而保证了阈下信道的安全性。

在阈下信道发展的初期，由于当时主流的RSA签名体制没有冗余比特，不能构造阈下信道，阈下信道的研究主要是关于存在性的研究。二十世纪九十年代，公钥密码体制逐渐成熟，在1991年，美国颁布了数字签名标准DSS，其算法DSA签名算法是ElGamal和Schnorr签名算法的变形，三者的安全性都基于离散对数问题，可以构造阈下信道。这三种签名算法的广泛应用推动了阈下信道的发展，1993年Simmons在DSA中建立起了一个宽带阈下信道和几个窄带阈下信道，随后Anderson等人发现了牛顿信道，实现了签名权利和带宽的折中。在之前构建的宽带阈下信道中，虽然可以将数字签名中的冗余比特都用来构建阈下信道，但是发送方必须和接收方共享私钥。1997年，L.Harn等人在文章”Digital Signature with aSubliminal Channel”中设计了一种新方案构建宽带阈下信道，在这个方案中有两个接收者，每个接收者不能获得完整的发送方私钥，但是如果接收者相互交流了密钥，这种安全性就丢失了。2003年，张方国等人发表文章在基于ID的签名上同时构造了宽带和窄带阈下信道，Narn-Yih Lee等人在数字签名上构造了带门限的阈下信道；2008年，Tao Meng等人提出在广播多重签名上构建阈下信道的方法。

上文提到的文献中，用于构建阈下信道的数字签名的安全性都能够规约到数学的困难问题上，例如大整数分解问题的困难性和求解离散对数的困难性。但是，一旦量子计算机面世，这些数学困难问题都将在多项式时间内被解决，基于其的密码方案和数字签名也将不再安全。因此，能够抵挡量子计算攻击的密码体制被更多人关注，格密码就是其中之一。格密码是一种抗量子计算攻击的公钥密码体制，一方面，格密码的研究是关于计算复杂度和寻找高维格的困难问题的求解算法的研究；另一方面，格密码可以用于分析非格公钥密码体制的安全性，从而进一步发展基于格的密码体制。随着格密码研究的不断推进，基于格的签名也不断被提出。1997年，Goldreich等人提出了第一个基于格的签名方案GGH；2003年，Hoffstein等人基于NTRU格设计了NTRUSIGN签名方案。但是，GGH和NTRUSIGN签名方案都被陆续攻破。2008年，Gentry等人提出了被称为GPV的签名方案，GPV签名方案建立在基于格上困难问题的单向陷门函数上，具有较高的安全性，随后多种改进的数字签名或群签名也基于该单向陷门函数陆续提出。2012年，Lyubashevsky提出了不依赖于GPV中单向陷门函数的数字签名，受到广泛关注。申请号为CN201110324029.1的专利通过改进矩阵编码方式，提高了使用阈下信道进行秘密信息传输的成功率。在申请号为CN201310104742.4的专利中，作者提出了一种适用于物联网感知层通信的基于认证码的阈下信道隐匿通信方法。构建阈下信道有很强的实用意义。如在申请号为CN200810056193.7的专利中，通过构造阈下信道，在不增加数字水印和电子印章所承载的数据量的前提下，有效地扩展了其传输的数据量；再比如在申请号为CN200810094192.1的专利中，作者将语音编码和阈下信道结合，在语音媒体中构建秘密的语音信息，实现语音信息的隐藏和提取，并在申请号为CN200810094190.2的专利中实现了基于信息隐藏的实时语音保密通信系统的搭建。

综上所述，我们考虑在基于格的签名方案上构造阈下信道，将两者的优点结合起来。由于Lyubashevsky提出的没有单向陷门的格签名是一种高效、安全的方案，我们选用该方案作为构建阈下信道的对象。

发明内容

本发明的目的是在没有单向陷门的格签名上构建阈下信道。为了实现上述目的，本发明提出了以下方案，主要步骤为：

1)阈下信道发送方将要传送的阈下信息M_sub嵌入在没有单向陷门的格签名的随机冗余比特中，利用没有单向陷门的格签名方案对待签名的信息M进行签名；

2)阈下信道接收方验证签名是否合法，若签名合法，阈下信道接收方提取阈下信息M_sub。

一、没有单向陷门的格签名的具体方案如下：

生成公钥、私钥和公共参数的过程如下：

1)选取正整数n和k作为矩阵的维数，选取正整数d作为私钥矩阵S中各个分量的最大绝对值，q为一个大整数，待签名的信息用M表示；

2)参数m满足m≈64+n·logq/log(2d+1)；κ为满足的整数；进而得到参数σ，使μ为常数，μ＝O(1)；

3)确定一个哈希函数H:{0,1}*→{v:v∈{-1,0,1}^k,||v||₁＜κ}，v为输出向量；

4)签名的私钥矩阵为其中符号表示在集合中随机取值；从取值范围为的整数中随机选取n×m个整数，得到一个n×m维的矩阵A，表示为由矩阵S和A得到矩阵T←AS,A和T为签名的公钥；

签名的过程如下：

1)输入待签名的信息M，签名公钥A，私钥S，按均值为0、标准差为σ的离散高斯分布D_0,σ随机取m个元素构成m维向量y；

2)利用所述哈希函数H计算c←H(Ay,M)得到向量c，计算z←Sc+y得到向量z；以的概率输出签名(z,c)；

验证签名的过程如下：

输入信息M，签名z和c，签名的公钥A和T，当且c＝H(Az-Tc,M)时，签名验证成功。

对于这种没有单向陷门的格签名，可以构造宽带阈下信道或窄带阈下信道，阈下信息用M_sub表示。

二、构建宽带阈下信道的过程如下：

阈下信道发送方将要传送的阈下信息M_sub嵌入在没有单向陷门的格签名的随机冗余比特中，利用没有单向陷门的格签名方案对待签名的信息M进行签名的过程如下：

1)所述阈下信道发送方与所述阈下信道接收方秘密共享签名私钥S；

2)按照离散高斯分布选出随机向量y；

3)所述阈下信息M_sub∈{0,1}^m，用所述M_sub替代向量y每个分量的最后1位，得到嵌入阈下信息的向量y_sub；

4)输入待签名的信息M，签名公钥A,签名私钥S，利用所述哈希函数H和嵌入阈下信息的向量y_sub计算c←H(Ay_sub,M)得到向量c，计算z←Sc+y_sub得到向量z；

5)计算是否成立，若成立，则阈下信息M_sub嵌入成功；否则从步骤2)开始重新选择向量y嵌入阈下信息；

6)以的概率输出签名(z,c)；

所述阈下信道接收方验证签名是否合法，若签名合法，阈下信道接收方提取阈下信息的过程如下：

1)输入信息M，签名公钥A和T，签名(z,c)，当且c＝H(Az-Tc,M)时，签名验证成功；若签名验证成功，则进入步骤2)，否则拒绝该签名；

2)阈下信道接收方从阈下信道发送方处获得了私钥S，由y_sub＝z-Sc得到嵌入阈下信息的向量y_sub；嵌入阈下信息的向量y_sub的每个分量的最后1位构成M_sub。

三、构建窄带阈下信道的过程如下：

阈下信道发送方将要传送的阈下信息M_sub嵌入在没有单向陷门的格签名的随机冗余比特中，利用没有单向陷门的格签名方案对待签名的信息M进行签名的过程如下：

1)按照m维离散高斯分布选出随机向量y＝(y₁,y₂,…,y_m)；阈下信息M_sub是长度为l的向量且满足M_sub∈{0,1}^l，其中l为一个小于20的小整数；

2)窄带阈下信道发送方与窄带阈下信道接收方秘密共享y、阈下信息M_sub的长度l和哈希函数

3)设定变量b为计数值，其初始值取0，按照y'＝(H'(y₁+b)，H'(y₂+b),…,H'(y_m+b))将向量y加上计数值b后输入哈希函数H'，输出新的向量y'；

4)设定M'为m维向量，所述向量M'的前m-l-1个分量为0，第m-l个分量为随机数α，第m-l+1到第m个分量为阈下信息M_sub，计算y_sub＝y'+M'得到向量y_sub；

5)输入待签名的信息M、签名公钥A和签名私钥S，利用所述哈希函数H和向量y_sub计算c←H(Ay_sub,M)得到向量c，计算z←Sc+y_sub得到向量z；

6)计算是否成立，若成立，则阈下信息M_sub嵌入成功；否则从步骤4)开始重新选择α得到新的嵌入阈下信息的向量y_sub；

7)以的概率输出签名(z,c)；

8)每当进行阈下信息M_sub的下一次嵌入时，计算值b的初始值比本次阈下信息M_sub的嵌入过程中的计算值b的初始值增加1，然后从步骤3)开始按顺序执行步骤3)至步骤7)；

所述阈下信道接收方验证签名是否合法，若签名合法，阈下信道接收方提取阈下信息的过程如下：

1)输入信息M，签名公钥A和T，签名(z,c)，当且c＝H(Az-Tc,M)时，签名验证成功；若签名验证成功，则进入步骤2)，否则拒绝该签名；

2)窄带阈下信道接收方从窄带阈下信道发送方处获得向量y、阈下信息M_sub的长度l和哈希函数H'，由向量y、计数值b和哈希函数H'根据关系式y'＝(H'(y₁+b)，H'(y₂+b),…,H'(y_m+b))可以得到向量y'；由关系式Az-Tc＝Ay_sub＝A(y'+M')得到关系式AM'＝Az-Tc-Ay'，且M_sub∈{0,1}^l，l为一个小于20的小整数，使用穷尽搜索得到向量M'，根据M'得到阈下信息M_sub。

本发明具有以下优点：

首先，基于格的数字签名具有可以抵抗量子计算攻击的能力，在量子时代有比较高的实用性，而本发明就是在没有单向陷门的格签名上构建阈下信道；其次，本发明在构造阈下信道的同时，没有改变数字签名本身的结构和参数的性质，故难以被看守察觉阈下信道的存在，保证了安全性；最后，使用通用方法来构建n比特阈下信道成功的概率为随着阈下信息的长度增加，成功概率呈指数下降，因此，用通用方法来构建实用阈下信道的效率不高，而本发明直接将阈下信道嵌入随机冗余比特中，降低了计算的复杂性。

附图说明

图1是本发明构造阈下信道的流程图。

具体实施方式

下面结合本发明的附图，对本发明实施例中的技术方案进行完整地描述。Lyubashevsky提出的没有单向陷门的格签名有随机冗余比特，因此可以构造阈下信道。本发明提出了宽带和窄带阈下信道的构建方法，两者构造的步骤相同：阈下信道发送方将阈下信息嵌入没有单向陷门的格签名的随机冗余比特中，并且提前与阈下信道接收方共享特定的数据；使用被嵌入阈下信息的随机比特，阈下信道发送方对公开信息按照该格签名的算法进行签名；所有人都可以验证签名的合法性，但是只有阈下信道的接收方可以提取阈下信息；阈下信道接收方先验证签名是否正确，若正确，则利用提前共享的特定数据提取出阈下信息。

实施例1

在没有单向陷门的格签名上构建宽带或窄带阈下信道的主要步骤如下：

1)阈下信道发送方将要传送的阈下信息嵌入格签名的随机冗余比特中，利用格签名方案对信息进行签名；

2)阈下信道接收方验证签名是否合法，若签名合法，阈下信道接收方提取阈下信息。

一、构建宽带阈下信道的过程如下：

所述阈下信道发送方将要传送的阈下信息嵌入格签名的随机冗余比特中，并且利用格签名方案对信息进行签名的过程如下：

1)阈下信道发送方与阈下信道接收方秘密共享签名私钥S；

2)按照离散高斯分布选出随机向量y；

3)所述阈下信息M_sub∈{0,1}^m，用所述M_sub替代向量y每个分量的最后1位，得到嵌入阈下信息的向量y_sub；

4)输入待签名的信息M，签名公钥A,签名私钥S，利用所述哈希函数H和嵌入阈下信息的向量y_sub计算c←H(Ay_sub,M)得到向量c，计算z←Sc+y_sub得到向量z；

5)计算是否成立，若成立，则阈下信息嵌入成功；否则从步骤2)开始重新选择向量y嵌入阈下信息；

6)以的概率输出签名(z,c)。

所述阈下信道接收方验证签名是否合法，若签名合法，阈下信道接收方提取阈下信息的过程如下：

1)输入信息M，签名公钥A和T，签名(z,c)，当且c＝H(Az-Tc,M)时，签名验证成功；若签名验证成功，则进入步骤2)，否则拒绝该签名；

2)阈下信道接收方从阈下信道发送方处获得了私钥S，由y_sub＝z-Sc得到嵌入阈下信息的向量y_sub；嵌入阈下信息的向量y_sub的每个分量的最后1位构成M_sub。

二、构建窄带阈下信道的过程如下：

所述阈下信道发送方将要传送的阈下信息嵌入格签名的随机冗余比特中，并且利用格签名方案对信息进行签名的过程如下：

1)按照m维离散高斯分布选出随机向量y＝(y₁,y₂,…,y_m)；阈下信息M_sub是长度为l的向量且满足M_sub∈{0,1}^l，其中l为一个小于20的小整数；

2)窄带阈下信道发送方与窄带阈下信道接收方秘密共享y、阈下信息M_sub的长度l和哈希函数

3)设定变量b为计数值，其初始值取0，按照y'＝(H'(y₁+b)，H'(y₂+b),…,H'(y_m+b))将向量y加上计数值b后输入哈希函数H'，输出新的向量y'；

4)设定M'为m维向量，所述向量M'的前m-l-1个分量为0，第m-l个分量为随机数α，第m-l+1到第m个分量为阈下信息M_sub，计算y_sub＝y'+M'得到向量y_sub；

5)输入待签名的信息M、签名公钥A和签名私钥S，利用所述哈希函数H和向量y_sub计算c←H(Ay_sub,M)得到向量c，计算z←Sc+y_sub得到向量z；

6)计算是否成立，若成立，则阈下信息M_sub嵌入成功；否则从步骤4)开始重新选择α得到新的嵌入阈下信息的向量y_sub；

7)以的概率输出签名(z,c)；

8)每当进行阈下信息M_sub的下一次嵌入时，计算值b的初始值比本次阈下信息M_sub的嵌入过程中的计算值b的初始值增加1，然后从步骤3)开始按顺序执行步骤3)至步骤7)；

所述阈下信道接收方验证签名是否合法，若签名合法，阈下信道接收方提取阈下信息的过程如下：

1)输入信息M，签名公钥A和T，签名(z,c)，当且c＝H(Az-Tc,M)时，签名验证成功；若签名验证成功，则进入步骤2)，否则拒绝该签名；

阈下信道接收方从阈下信道发送方处获得了向量y，阈下信息M_sub的长度l和哈希函数H'，由向量y、计数值b和哈希函数H'根据关系式y'＝(H'(y₁+b)，H'(y₂+b),…,H'(y_m+b))可以得到向量y'；由关系式Az-Tc＝Ay_sub＝A(y'+M')得到关系式AM'＝Az-Tc-Ay'，且M_sub∈{0,1}^l，l为一个小于20的小整数，使用穷尽搜索得到向量M'，根据M'得到阈下信息M_sub。

构造宽带阈下信道时，提取阈下信息的过程比窄带阈下信道提取阈下信息的过程要更为简便，但是阈下信道发送方必须与阈下信道接收方共享全部的私钥，阈下信道接收方可以伪造签名，因此有很大的安全隐患，只有阈下信道发送方完全相信阈下信道接收方时才能使用。而窄带阈下信道不用共享私钥，因此安全性较高。需要注意的是，在用上述方式构造宽带阈下信道或窄带阈下信道时，不能两次传送相同的阈下信息，否则私钥会被泄露。

Claims (4)

1.一种在没有单向陷门的格签名上构建阈下信道的方法，其特征在于包括以下步骤：

S1)阈下信道发送方将要传送的阈下信息M_sub嵌入在没有单向陷门的格签名的随机冗余比特中，利用所述没有单向陷门的格签名方案对待签名的信息M进行签名；

S2)阈下信道接收方验证所述签名是否合法，若所述签名合法，所述阈下信道接收方提取所述阈下信息M_sub。

2.根据权利要求1所述的一种在没有单向陷门的格签名上构建阈下信道的方法，其特征在于：所述没有单向陷门的格签名方案具体如下：

a.)生成公钥、私钥和公共参数的过程如下：

a1.)选取正整数n和k作为矩阵的维数，选取正整数d作为私钥矩阵S中各个分量的最大绝对值，q为一个大素数，待签名的信息用M表示；

a2.)参数m满足m≈64+n·logq/log(2d+1)；κ为满足的整数；进而得到参数σ，使μ为常数，μ＝O(1)；

a3.)选择哈希函数H:{0,1}^*→{v:v∈{-1,0,1}^k,||v||₁＜κ}，v为输出向量；

a4.)签名的私钥矩阵为其中符号表示在集合中随机取值；从取值范围为的整数中随机选取n×m个整数，得到一个n×m维的矩阵A，表示为由矩阵S和A得到矩阵T←AS,A和T为签名的公钥；

b.)签名的过程如下：

b1.)输入待签名信息M，签名公钥A，私钥S，按均值为0、标准差为σ的离散高斯分布D_0,σ随机取m个元素构成m维向量y；

b2.)利用所述哈希函数H计算c←H(A_y,M)得到向量c，计算z←Sc+y得到向量z；以的概率输出签名(z,c)；

c.)验证签名的过程如下：

c1.)输入信息M，签名z和c，签名的公钥A和T，当且c＝H(Az-Tc,M)时，签名验证成功。

3.根据权利要求2所述的一种在没有单向陷门的格签名上构建阈下信道的方法，其特征在于：所述阈下信道为宽带阈下信道，所述步骤S1)包括如下子步骤：

S1.1)宽带阈下信道发送方与宽带阈下信道接收方秘密共享签名私钥S；

S1.2)按照离散高斯分布选出m维随机向量y；

S1.3)所述阈下信息用所述M_sub替代向量y每个分量的最后1位，得到嵌入阈下信息的向量y_sub；

S1.4)输入待签名的信息M，签名公钥A,签名私钥S，利用所述哈希函数H和嵌入阈下信息的向量y_sub计算c←H(Ay_sub,M)得到向量c，计算z←Sc+y_sub得到向量z；

S1.5)计算是否成立，若成立，则阈下信息M_sub嵌入成功；否则从步骤S1.2)开始重新选择向量y嵌入阈下信息；

S1.6)以的概率输出签名(z,c)；

所述步骤S2)包含如下子步骤：

S2.1)输入信息M，签名公钥A和T，签名(z,c)，当且c＝H(Az-Tc,M)时，签名验证成功；若签名验证成功，则进入步骤S2.2)，否则拒绝签名；

S2.2)阈下信道接收方从阈下信道发送方处获得私钥S，由y_sub＝z-Sc得到嵌入阈下信息的向量y_sub；嵌入阈下信息的向量y_sub的每个分量的最后1位构成阈下信息M_sub。

4.根据权利要求2所述的一种在没有单向陷门的格签名上构建阈下信道的方法，其特征在于：所述阈下信道为窄带阈下信道，所述步骤S1)包括如下子步骤：

S1-1)按照m维离散高斯分布选出随机向量y＝(y₁,y₂,…,y_m)；阈下信息M_sub是长度为l的向量且满足M_sub∈{0,1}^l，其中l为一个小于20的小整数；

S1-2)窄带阈下信道发送方与窄带阈下信道接收方秘密共享向量y、阈下信息M_sub的长度l和哈希函数

S1-3)设定变量b为计数值，其初始值取0，按照y'＝(H'(y₁+b)，H'(y₂+b),…,H'(y_m+b))将向量y加上计数值b后输入哈希函数H'，输出新的向量y'；

S1-4)设定M'为m维向量，所述向量M'的前m-l-1个分量为0，第m-l个分量为随机数α，第m-l+1到第m个分量为阈下信息M_sub，计算y_sub＝y'+M'得到向量y_sub；

S1-5)输入待签名的信息M、签名公钥A和签名私钥S，利用所述哈希函数H和向量y_sub计算c←H(Ay_sub,M)得到向量c，计算z←Sc+y_sub得到向量z；

S1-6)计算是否成立，若成立，则阈下信息M_sub嵌入成功；否则从步骤S1-4)开始重新选择α得到新的嵌入阈下信息的向量y_sub；

S1-7)以的概率输出签名(z,c)；

S1-8)每当进行阈下信息M_sub的下一次嵌入时，计算值b的初始值比本次阈下信息M_sub的嵌入过程中的计算值b的初始值增加1，然后从步骤S1-3)开始按顺序执行步骤S1-3)至步骤S1-7)；

所述步骤S2)包含如下子步骤：

S2-1)输入信息M，签名公钥A和T，签名(z,c)，当且c＝H(Az-Tc,M)时，签名验证成功；若签名验证成功，则进入步骤S2-2)，否则拒绝该签名；

S2-2)窄带阈下信道接收方从窄带阈下信道发送方处获得了向量y、阈下信息M_sub的长度l和哈希函数H'，由向量y、计数值b和哈希函数H'根据关系式y'＝(H'(y₁+b)，H'(y₂+b),…,H'(y_m+b))可以得到向量y'；由关系式Az-Tc＝Ay_sub＝A(y'+M')得到关系式AM'＝Az-Tc-Ay'，且M_sub∈{0,1}^l，l为一个小于20的小整数，使用穷尽搜索得到向量M'，根据M'得到阈下信息M_sub。