CN106375094A - 一种适用于移动支付的ntrumls签名方法 - Google Patents

Abstract

本发明公开了一种适用于移动支付的NTRUMLS签名方法，包含发送方的签名阶段和接收方的验证阶段两个部分，本发明签名算法的安全性达到了可以抗击量子计算攻击的强度；本发明大幅度提高了签名算法生成合理签名值的概率；本发明的签名速度、验证速度和安全性与最新提出的经典算法NTRUMLS性能基本相同。

Description

一种适用于移动支付的NTRUMLS签名方法

技术领域

本发明涉及移动支付领域，尤其涉及一种适用于移动支付的NTRUMLS签名方法。

背景技术

比较经典的数字签名方案是RSA和ECC，这两种算法具有用私钥加密后公钥可以正确解密的性质，因而可以直接用作签名算法。然而RSA签名算法的实现效率很低，ECC签名算法效率虽然相对比较高，可以在嵌入式设备上实现，但是ECC的安全性却不够，无法抗击量子计算的攻击。达到可抗击量子计算攻击的签名算法目前最好的是NTRU类签名算法，其公私钥生成的速度比ECC快了几个数量级，不但实现效率高而且安全性强。但是囿于NTRU加密的特性，用私钥加密会泄漏私钥信息，会给签名带来很大安全隐患。因此需要重新设计基于NTRU格的签名算法。

NSS是NTRU类签名算法早期的一个版本，NSS的签名是用私钥对明文进行加密，因此在这个过程中会有私钥信息的泄漏，针对该私钥信息的泄漏，通过统计分析可以恢复NSS的私钥。针对NSS签名算法存在的攻击，提出了NTRUSign签名算法。其密钥结构和NSS类签名算法没有区别，只是在寻找模乘多项式中有较大改进。这种改进克服了NSS类签名算法泄露私钥信息，易遭到统计攻击的问题，但是也导致NTRUSign的签名速度明显比NSS类的签名速度慢很多，不适合在嵌入式设备上运行。最近也发现了某些针对NTRUSign算法的成功攻击。最新提出的NTRUMLS签名方案可以实现签名值的零知识，大大提高了签名算法抗击统计攻击的能力，但是该方案存在有效签名值偏低的问题，对于移动支付大量的用户群体，出现大量的无效签名值会大大加重网络拥堵以及服务系统的负担。

发明内容

本发明所要解决的技术问题是针对背景技术中所涉及到的缺陷，提供一种适用于移动支付的NTRUMLS签名方法。

本发明为解决上述技术问题采用以下技术方案：

一种适用于移动支付的NTRUMLS签名方法，包含发送方的签名阶段和接收方的验证阶段两个部分；

所述发送方的签名阶段，具体包含如下步骤：

步骤1，输入(f,g,h,u)，其中f，g是私钥，h是公钥，u是关于将被签名的明文多项式；

步骤2，确保步骤1输入的(f,g,h,u)在签名参数的设置上；

步骤3，计算

(s_p,t_p)←Hash(h,u)，其中s_p是签名值，t_p是签名值；

步骤4，随机生成其中为向下取整，p为大于3的素数，q为大整数且与p互素，R(k)＝{f∈R:||f||≤k}， Z[x]为整系数多项式，

其中a_i是多项式系数，N为维度参数，k为常数；

步骤5，根据步骤4获取的r，计算s₀←s_p+pr，其中s₀，s_p均为签名值；

步骤6，根据步骤5获取的s₀，使得其中

步骤7，根据步骤6获取的t₀，使得a为系数；

步骤8，根据步骤7获取的a以及步骤5获取的s₀和步骤6获取的t₀，计算

步骤9，判断条件1：条件2：且和条件3：(s,t)≡(s_p,t_p)(modp)是否同时成立，其中B_t和B_s均为约束常数；若以上条件同时成立，输出(s,t,u)，其中s，t是明文u的签名值，否则跳转至步骤3；

接收方的验证阶段具体包含如下步骤：

步骤a，输入(s,t,u,h)；

步骤b,检查是否满足(s_p,t_p)←Hash(h,u)；

步骤c，如果输出非法并结束，否则继续步骤d；

步骤d，如果或输出非法并结束，否则继续步骤e；

步骤e，如果(s,t)≠(s_p,t_p)(modp)，输出非法并结束，否则输出合法。

作为本发明一种适用于移动支付的NTRUMLS签名方法的进一步优选方案，在步骤4中，为5。

作为本发明一种适用于移动支付的NTRUMLS签名方法的进一步优选方案，在步骤4中，为7。

作为本发明一种适用于移动支付的NTRUMLS签名方法的进一步优选方案，在步骤4中，为11。

作为本发明一种适用于移动支付的NTRUMLS签名方法的进一步优选方案，在步骤4中，为13。

本发明采用以上技术方案与现有技术相比，具有以下技术效果：

1.本发明签名算法的安全性达到了可以抗击量子计算攻击的强度；

2.本发明大幅度提高了签名算法生成合理签名值的概率；

3.本发明的签名速度、验证速度和安全性与最新提出的经典算法NTRUMLS性能基本相同。

附图说明

图1是参数k对生成合理签名值概率的影响；

图2是参数q对生成合理签名值概率的影响；

图3是改进的NTRUMPS算法与经典NTRUMLS算法的实验效果对比。

具体实施方式

下面结合附图对本发明的技术方案做进一步的详细说明：

NTRUMLS是一种出色的签名算法，该算法针对NTRUSign签名算法存在签名值泄露私钥信息的缺陷，设计了一种扰乱技术。从而保证签名信息的零泄漏。但是该算法存在生成合理签名值偏低的问题。这是由于，在格空间较大的情况下，寻找签名值在L∩R空间中是一种概率事件。

本文对的NTRUMLS改进有二：其一在于通过参数选择，尽量缩小寻找合理签名值的空间或者是通过参数设置保证有较大概率选择的签名值在L∩R空间中。第二，在签名过程中，提出了新的合理签名值筛选条件，从而保证生成的签名值都是合理的。图3 是改进的NTRUMLS算法与经典NTRUMPS算法的实验效果对比。

图1显示了提高参数K对NTRUMLS算法能大幅提高合理签名概率。

本发明的具体步骤：一种适用于移动支付的NTRUMLS签名方法，包含发送方的签名阶段和接收方的验证阶段两个部分；

NTRUMPS算法是签名算法，它加密阶段使用的NTRU算法密不可分。NTRU加密算法的公开参数为(N,p,q,d)，其中gcd(N,q)＝gcd(p,q)＝1，且q>>p，多项式环为符号为R中的乘法运算，其规则如下：其中其中a_i,b_j,c_k分别为多项式a(x),b(x),c(x)中的系数。

设Z[x]为整系数多项式，对于其中a_i是多项式系数，那么定义R(k)＝{f∈R:||f||≤k}，定义N为维度参数，p为大于3的素数，q为大整数且与p互素，k为常数。且B₀＝B_t＝B_S，B₀，B_t，B_S都是约束常数。

密钥生成：

1.选取选取多项式并计算多项式f的逆，若逆不存在，则重新选取多项式f，并把(f,g)作为自己的私钥。

2.计算把h作为自己的公钥。

一种适用于移动支付的NTRUMLS签名方法，包含发送方的签名阶段和接收方的验证阶段两个部分；

所述发送方的签名阶段，具体包含如下步骤：

步骤1，输入(f,g,h,u)，其中f，g是私钥，h是公钥，u是关于将被签名的明文多项式；

步骤2，确保步骤1输入的(f,g,h,u)在签名参数的设置上；

步骤3，计算

(s_p,t_p)←Hash(h,u)，其中s_p是签名值，t_p是签名值；

步骤4，随机生成其中为向下取整，p为大于3的素数，q为大整数且与p互素，R(k)＝{f∈R:||f||≤k}， Z[x]为整系数多项式，

其中a_i是多项式系数，N为维度参数，k为常数；

步骤5，根据步骤4获取的r，计算s₀←s_p+pr，其中s₀，s_p均为签名值；

步骤6，根据步骤5获取的s₀，使得其中

步骤7，根据步骤6获取的t₀，使得a为系数；

步骤8，根据步骤7获取的a以及步骤5获取的s₀和步骤6获取的t₀，计算

步骤9，判断条件1：且条件2：且和条件3：(s,t)≡(s_p,t_p)(modp)是否同时成立，其中B_t和B_s均为约束常数；若以上条件同时成立，输出(s,t,u)，其中s，t是明文u的签名值，否则跳转至步骤3；

接收方的验证阶段具体包含如下步骤：

步骤a，输入(s,t,u,h)；

步骤b,检查是否满足(s_p,t_p)←Hash(h,u)；

步骤c，如果输出非法并结束，否则继续步骤d；

步骤d，如果或输出非法并结束，否则继续步骤e；

步骤e，如果(s,t)≠(s_p,t_p)(modp)，输出非法并结束，否则输出合法。

由图1可知，当生成合理签名值的概率50％左右时，常数k≈25。若将常数k提高到25，生成合理签名值的概率将大于70％。因此通过提高常数k将是一种可行的方案。在公式中，参数N反应了NTRUMLS的安全性，因而不可随意发生改变，而参数B_S,B_t是性能与安全的细微调节，更小的B_S,B_t可以提高性能，但是给寻找合适的签名值带来了困难。因此更合理的做法是适当的提高参数q的值。那么根据公式可以得知参数q与生成合理签名值概率的关系如图2所示。

表1 相关参数的NTRUMLS生成合理签名值的概率

NTRUMLS参数(N,p,q,Bs,Bt)	合法签名值的概率
		(401,3,2^18,240,80)	38％
(439,3,2^19,264,88)	55％
		(593,3,2^19,300,100)	41％
(743,3,2^20,336,112)	53％

表2 q参数修改后的合法签名生成概率

NTRUMLS参数(N,p,q,Bs,Bt)	合法签名值的概率
		(401,3,2^19,240,80)	62％
(439,3,2^20,264,88)	74％
		(593,3,2^20,300,100)	64％
(743,3,2^21,336,112)	73％

对比表1和表2可知，将参数q的值提高两倍，其合法生成概率变化非常明显。但是想要使合理签名值接近100％，那么参数q的值将会变得很大。分析表明参数q的大幅提高对NTRUMLS性能的影响微乎其微。这是因为NTRUMLS的密钥结构类似于NTRU，NTRUMLS的密钥尺寸以及密文大小与参数N有关，q对其没有影响。因此为了提高NTRUMLS的合理签名值的概率，本文给出的方案是，适当提高参数q。表2即是本发明给出的修订过的参数选择。

改进二在于增加了一个条件，分析可知，如果(s,t)≡(s_p,t_p)(modp)，那么生成合法签名值的概率为0，因此在判断签名值是合法的第一条件必然是(s,t)≡(s_p,t_p)(modp)。本章节在提高NTRUMLS参数q值的基础上，对待选签名值的验证方案补充了(s,t)≡(s_p,t_p)(modp)

条件从而提出NTRU-MPS签名方案。对于NTRUMLS的合理签名值，必须满足如下条件：

$\left|\right|(s,t)\left|\right|\≤\frac{q}{2}+B$

(s,t)≡(s_p,t_p)(modp)

那么判断待选签名值是否为合理签名值，必须加入一个条件(s,t)≡(s_p,t_p)(modp)，这样可以避免无效签名值在网络中传播，从而造成网络资源的浪费。

本技术领域技术人员可以理解的是，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样定义，不会用理想化或过于正式的含义来解释。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种适用于移动支付的NTRUMLS签名方法，其特征在于：包含发送方的签名阶段和接收方的验证阶段两个部分；

所述发送方的签名阶段，具体包含如下步骤：

步骤1，输入(f,g,h,u)，其中f，g是私钥，h是公钥，u是关于将被签名的明文多项式；

步骤2，确保步骤1输入的(f,g,h,u)在签名参数的设置上；

步骤3，计算

(s_p,t_p)←Hash(h,u)，其中s_p是签名值，t_p是签名值；

步骤4，随机生成其中为向下取整，p为大于3的素数，q为大整数且与p互素，R(k)＝{f∈R:||f||≤k}， Z[x]为整系数多项式，

其中ai是多项式系数，N为维度参数，k为常数；

步骤5，根据步骤4获取的r，计算s₀←s_p+pr，其中s₀，s_p均为签名值；

步骤6，根据步骤5获取的s₀，计算其中

步骤7，根据步骤6获取的t₀，计算a为系数；

步骤8，根据步骤7获取的a以及步骤5获取的s₀和步骤6获取的t₀，计算

步骤9，判断条件1：且条件2：且和条件3：(s,t)≡(s_p,t_p)(modp)是否同时成立，其中B_t和B_s均为约束常数；若以上条件同时成立，输出(s,t,u)，其中s，t是明文u的签名值，否则跳转至步骤3；

接收方的验证阶段具体包含如下步骤：

步骤a，输入(s,t,u,h)；

步骤b,检查是否满足(s_p,t_p)←Hash(h,u)；

步骤c，如果输出非法并结束，否则继续步骤d；

步骤d，如果或输出非法并结束，否则继续步骤e；

步骤e，如果(s,t)≠(s_p,t_p)(modp)，输出非法并结束，否则输出合法。

2.根据权利要求1所述的一种适用于移动支付的NTRUMLS签名方法，其特征在于：在步骤4中，p为5。

3.根据权利要求1所述的一种适用于移动支付的NTRUMLS签名方法，其特征在于：在步骤4中，p为7。

4.根据权利要求1所述的一种适用于移动支付的NTRUMLS签名方法，其特征在于：在步骤4中，p为11。

5.根据权利要求1所述的一种适用于移动支付的NTRUMLS签名方法，其特征在于：在步骤4中，p为13。