CN106452790A - 一种无信任中心的多方量子数字签名方法 - Google Patents

Abstract

本发明公开了一种无信任中心的多方量子数字签名方法，包括步骤a，发送方对原文进行运算获得缩减后原文；步骤b，发送方生成签名并分别向各验证方发送；步骤c，各验证方两两之间相互交换部分拥有的签名；步骤d，发送方将原文以及步骤b生成的签名发送至其中一个验证方；步骤e，当前验证方对收到的原文进行运算获得缩减后原文，针对缩减后原文的每个比特，将从发送方或上一接收方接收到的签名与步骤c完成交换后所拥有的签名进行对比验证；验证通过后按照顺序其他验证方依次进行验证，直至预定数量的验证方均通过验证。本发明多方量子数字签名方法，克服了单比特签名需要大量密钥的问题，可以满足多方签名的需要，适用场景大大扩展。

Description

一种无信任中心的多方量子数字签名方法

技术领域

本发明涉及量子通信技术领域，尤其涉及一种无信任中心的多方量子数字签名方法。

背景技术

数字签名技术一般用于证明数字信息发送者的身份和数字信息本身的真实可靠，如金融业务、软件更新、法律合同中的数字信息。更重要的是，数字签名保证了消息的可传送性，即消息被接收后再次转发，被转发者仍然认为其是有效的。当前主流的数字签名技术使用公钥加密算法。

经典数字签名算法基于数学算法的计算复杂性，由于计算复杂性并无严格理论证明其安全性，加上目前计算机的计算能力日渐增长，经典数字签名算法越来越难以保证实际数字签名的安全需要。无条件安全数字签名并不依赖于数学算法的计算复杂性，而是基于信息论的安全，是有严格理论证明其安全性的。

量子通信基于量子物理的基本原理，与无条件安全数字签名的理念相结合后，提出了一批量子数字签名方法。2001年，Gottesman和Chuang提出了第一个量子数字签名方法(可参见Quantum digital signatures，arXiv:quant-ph/0105032v2，2001)。虽然其影响力较大，但由于方法实现时的难题暂时无法实用，因此后续有一些改进的量子数字签名方法。由于目前已经有一些量子通信设备问世，个别量子数字签名方法已经可以较方便地实现，但离实用化还有距离。

量子数字签名方法一般包括两个阶段：分配阶段和消息阶段(签名发送及验证)。在分配阶段，数字签名发送方先给接收方发送数字签名验证信息；在消息阶段，数字签名发送方发送实际的信息及其签名给接收方，接收方验证数字签名通过后转发之，被转发者也验证数字签名。

现有经典数字签名基于计算复杂性。由于计算复杂性并无严格理论证明其安全性，加上目前计算机的计算能力日渐增长，经典数字签名算法越来越难以保证实际数字签名的安全需要。特别地，目前量子计算机的发展已经极大威胁到目前经典数字签名普遍使用的公钥密码体制。

一些量子数字签名方法由于硬件实现的难题无法方便地实用化。比如，要求具有量子存储，或要求有专用量子通信设备，导致这些方法的高度不可操作性。

一些量子数字签名方法需要有一个可信权威(Trusted Authority)来完成数字签名的整个过程，大大影响了算法的可适用范围。

另外，当前主流量子数字签名方法一般只涉及三方，只有少数方法能实现多方量子数字签名，可参见Arrazola J M，Wallden P，Andersson E.Multiparty QuantumSignature Schemes[J].Computer Science，2015。

其公开的单比特多方签名方法中，通信多方为P₀，P₁，……，P_N，总个数为N+1，N>＝2。其中P₀为数字签名发送方，其余为数字签名接收验证方。多方之间拥有两两之间的量子密钥对，每对量子密钥中的双方密钥值是相等的。优选为，两两之间的量子密钥对可以由量子通信网络生成，因为量子通信网络可以进行无条件安全的量子密钥分发。优选为，两两之间的量子密钥对可以是预分配密钥对，这些预分配密钥对都是由量子真随机数发生器生成，且经由存储设备拷贝至两地。

签名分为两个阶段：

1.1单比特多方签名的分配阶段

(1)签名生成：

对于每个将要发送的消息比特m＝0，1，P₀生成N个不同的密钥，也称为签名，记为σ＝{σ₁，σ₂，……，σ_N}。共计2N个签名，每个签名的长度为NL。

(2)签名发送：

对于每个将要发送的消息比特m＝0，1，P₀分别发送N个密钥给所有签名接收方，即第i个签名σ_i发送给第i个签名接收方P_i。这样每个签名接收方分别收到2个密钥。发送方式是用量子密钥对签名进行加密，对方用同样的量子密钥对签名进行解密。量子密钥可以是量子密钥分发生成的密钥对，或者量子真随机数的预分配密钥对。

(3)签名交换：

对于每个将要发送的消息比特m＝0，1，第i个签名接收方P_i对第i个签名σ_i随机均分为N份，记为{σ_i1，σ_i2，……，σ_iN}，每份的长度为L；同时记录了这些元素对应的位置集合，记为{p_i1，p_i2，……，p_iN}。对第j份签名元素σ_ij，第i个签名接收方将其发送给第j个签名接收方，发送时还附带该签名元素的位置信息p_ij。发送方式是用量子密钥对签名元素进行加密，对方用同样的量子密钥对签名元素进行解密。量子密钥可以是量子密钥分发生成的密钥对，或者量子真随机数的预分配密钥对。特别地，P_i将σ_ii与p_ii保留给自己。其他签名接收方也与P_i执行同样的操作。这样所有签名接收方分别收到来自其他所有签名接收方的N-1个密钥子串，加上自己保留的密钥子串σ_ii，共有N个密钥子串，记为{σ_1i，σ_2i，……，σ_Ni}，对应的位置子串记为{p_1i，p_2i，……，p_Ni}。

1.2单比特多方签名的消息阶段(签名发送及验证)

(1)原文进行签名并发送

为发送单比特的消息m及其签名，P₀发送消息串S＝(m，σ^m)给签名接收方，σ^m是P₀对于消息m发送给签名接收方的签名。设第一个签名接收方为P₁。其余签名接收方接收S有先后顺序，即在上一个签名接收方验证签名通过后，从上一个签名接收方转发给下一个签名接收方。但P₁与其他签名接收方的签名验证流程是一样的。以下假设当前签名接收方为P_j。

(2)分段签名验证

P_j将σ^m均分为N段，记第i段为σ_mi。P_j存储的对于第i段的签名信息，包括σ_ij及其位置信息p_ij。P_j根据p_ij取出σ_mi对应位置的签名信息，形成新的待验证签名子串σ_mij。设用户P_j第i段的签名验证结果为T_ijl。当σ_mij与σ_ij的差异比特个数小于s_lL时，定义为该段签名验证成功，即T_ijl＝1；否则定义为该段签名验证失败，即T_ijl＝0。l为验证级别(verificationlevel)，s_l为当前l下的一个阈值参数，具体可见参考文献[1]。

(3)最终签名验证

P_j在分段签名验证全部结束后，可以计算最终签名验证结果V_jl：

如果V_jl大于f_lN，则P_j对S最终签名验证成功；否则P_j对S最终签名验证失败，流程结束。f_l为当前l下的一个阈值参数。

(4)转发签名

如果P_j对S最终签名验证成功，并且还有签名的转发需求，则P_j发送消息串S＝(m，σ^m)给下一个签名接收方。

上述量子数字签名方法中签名单比特的信息需要多个比特的量子密钥，无法方便地实用化。因为数字签名的数据量远远不止单比特，量子密钥分发设备的资源目前还不足以支撑这样大的业务量。

不仅如此，一些量子数字签名方法仅考虑三方的情况，无法满足多方签名的需要。

发明内容

本发明提供一种多方量子数字签名方法，克服了单比特签名需要大量密钥的问题，通过缩减原文长度极大降低了量子密钥的消耗以及量子通信设备的压力，可以满足多方签名的需要，适用场景大大扩展。

一种无信任中心的多方量子数字签名方法，包括签名的分配阶段和验证阶段，所述分配阶段包括：

步骤a，发送方对原文进行运算获得缩减后原文；

步骤b，发送方生成签名并分别向各验证方发送，所述签名的数量根据缩减后原文的比特数和验证方数量计算得到；

步骤c，各验证方两两之间相互交换部分拥有的签名；

所述验证阶段包括：

步骤d，发送方将原文以及步骤b生成的签名发送至其中一个验证方；

步骤e，当前验证方对收到的原文进行运算获得缩减后原文，针对缩减后原文的每个比特，将从发送方或上一接收方接收到的签名与步骤c完成交换后所拥有的签名进行对比验证；

步骤f，验证通过后，当前验证方将原文以及签名按照预定的传递次序发送至下一验证方进行验证；

步骤g，循环步骤e～步骤f，直至预定数量的验证方均通过验证。

在一般的应用场景中，数字签名的原文为消息或文件，少则几个比特，多则达到K、M或者G个比特的级别。由于本发明的量子数字签名方法是以比特为单位的，原文的比特数越多，数字签名所需密钥量越多，因此在步骤a中，发送方对原文通过特定算法的运算缩减原文的长度。

作为优选，步骤a中，发送方对原文进行运算时采用摘要函数。

发送方对原文进行缩减的算法旨在抽取原文特征信息，优选为摘要函数，如通用Hash算法或者经典Hash算法等。如果原文过长，则对原文进行分段后，再分别进行缩减运算。

经典的Hash算法基于计算复杂性，无法达到信息论安全，因此作为优选，步骤a中，利用通用Hash算法对原文进行运算获得缩减后原文。

在根据实际原文长度选择了合适参数的情况下，通用Hash算法的碰撞概率能达到任意低的水平，且碰撞概率的上限是可计算的。而当安全性要求不太高时，也可以采用经典Hash算法如SHA3等。经过运算原文长度得到了极大的缩减，为后续数字签名做好准备。

这里采用Hash函数对原文进行处理，其结果也可以称为原文的数字摘要。数字摘要的特性有：对输入的长度无要求，较长的原文也能缩短为固定长度的较短的消息；从原文计算得到数字摘要，计算不太复杂；防碰撞性能好，即不同的原文得到相同的摘要的可能性非常低，也就是说，一定条件下可以认为数字摘要是原文的标识物，并与原文一一对应。根据数字签名的以上特点，可以对原文的数字摘要进行签名而不失其安全性，并将数据长度大大缩短，从而使得数字签名的长度大大缩短。

如果使用的是通用Hash函数，需要传输Hash函数本身的数据，而Hash函数的长度取决于原文的长度。因此在原文数据量很大的情况下，为防止Hash函数的数据量太大，作为优选，将原文分段，每一段都使用同一个通用Hash函数进行运算，以得到所述的缩减后原文。这样通用Hash函数本身的数据量将比原先所需的数据量大大减小。

步骤b中，采用量子随机数发生器生成的真随机数作为所述签名。当然也可以预先生成，而后读取调用。

步骤b中，生成签名时，缩减后原文的每个比特对应2N个签名，每个比特的0、1值均对应N个不同的签名，并分别发送给各验证方，N为验证方数量，且N>＝2，签名的总长度根据每个比特所需的数据量乘以缩减后原文的比特数和验证方数量得到。N例如为3、4或5等等。

针对每个比特，与0值相应的签名为互不相同的N个，分别分配给各验证方；同理与1值相应的签名为互不相同的N个，分别分配给各验证方。

步骤b中根据缩减后原文的比特数来确定签名的数量，例如缩减后原文有n比特，则签名的数量为2×N×n。针对比特值为0的签名数量为N×n，分别分配给N个验证方，每个验证方获得n个签名；同理针对比特值为1的签名数量为N×n，分别分配给N个验证方，每个验证方获得n个签名；

对每一个比特的安全性，主要是抗抵赖(Non-repudiation)性能、抗伪造(Non-forging)性能和可转移(Transferability)性能，在Arrazola J M，Wallden P，AnderssonE.Multiparty Quantum Signature Schemes[J].Computer Science，2015中已经作了数学阐述，公布了风险上限与各参数的关系。可以根据风险上限的计算公式，结合当前所需实现的安全标准，选择合适的重要参数，如每比特签名长度NL等。

步骤b中，发送方向各验证方发送签名时，采用量子密钥加密签名后以密文方式发送；发送方与各验证方之间的量子密钥对为预分配的量子密钥对或量子密钥分发生成的量子密钥对，其中预分配的量子密钥对由量子真随机数发生器生成，且经由存储设备拷贝至发送方与各验证方；量子密钥分发生成的量子密钥对由量子密钥分发设备生成，依据量子密钥分发协议将量子密钥对分发至发送方与各验证方。

发送方与各验证方之间的量子密钥对由量子通信网络的量子密钥分发设备生成时，例如采用现有的QKD方式，利用量子通信网络网络可以进行无条件安全的量子密钥分发。

如加密传输数据量较大，则采用经典对称加密算法代替一次一密加密算法，以缩减量子密钥使用量。

现有技术中，直接使用量子密钥分发对一个签名进行一次一密的加密传输需要消耗与签名同等长度的量子密钥对，在待签名原文数据量较大的情况下，代价较为昂贵。现有技术对每一个比特所需的数据量为2N²L，对n个比特所需的数据量为2N²Ln，当n或N比较大时，所需一次一密的量子密钥量将对量子密钥分发的性能产生极大压力和挑战。

本发明将两两之间的量子密钥对作为密钥，采用对称加密算法，在双方之间传送大量量子真随机数作为分配的签名。一方面，利用量子真随机数发生器产生大量的真随机数作为签名，量子真随机数拥有量子物理所保证的最好的真随机性，无法被预测；另一方面，签名分配发送方的量子密钥仅仅用于作为对称加密算法的密钥，将真随机数安全地发送给对方，用较短共享量子密钥实现了大量量子密钥的共享。即：对于n个比特的信息来说，原先所需的2N²Ln长度的用于加密传输量子数字签名的量子密钥，现在只需对称加密算法的加密密钥的长度即可。例如，对称加密算法可以为AES，其密钥长度可以为128、192、256等，比2N²Ln将有所缩短，甚至大大缩短。

步骤c中，任意两验证方之间针对每个签名，相互交换部分签名元素，每个签名包含L个比特，每个比特为一个签名元素，相互交换时各验证方随机将本地签名平均分配为N份，将其中的N-1份(连同签名元素的位置信息)发送给其他验证方，1份保留在本地，与签名元素一起传输的还有该签名元素在原签名中的位置信息；

相互交换时两验证方采用量子密钥加密交换的比特后以密文方式发送；两验证方之间的量子密钥对为预分配的量子密钥对或量子密钥分发生成的量子密钥对，其中预分配的量子密钥对由量子真随机数发生器生成，且经由存储设备拷贝至两验证方；其中量子密钥分发生成的量子密钥对由量子密钥分发设备生成，依据量子密钥分发协议将量子密钥对分发至两验证方。

如加密传输数据量较大，则采用经典对称加密算法代替一次一密加密算法，以缩减量子密钥使用量。

随机均分签名时，随机的将所有签名元素进行分配，生成N个用于交换的签名段，并记录每个签名元素在原签名中的位置。

两验证方之间的量子密钥对例如可采用现有的QKD方式，利用量子通信网络可以进行无条件安全的量子密钥分发。作为优选，步骤d中，发送方将用于生成缩减后原文的算法发送至所述的其中一个验证方；步骤e中，验证方采用与发送方或上一验证方相同算法对原文进行运算获得缩减后原文，步骤f中，当前验证方将来自发送方或上一验证方的用于生成缩减后原文的算法发送至下一个验证方。

步骤e中，验证方将从发送方或上一验证方接收到的签名按照缩减后原文的比特数进行划分，划分后逐一与所拥有的签名的对应部分进行对比验证。

步骤e中，验证方进行对比验证时的通过条件可以采用现有方式进行判定。

作为优选，步骤b生成的签名包括用以发送给各验证方的多部分签名，在步骤d中发送方将多部分签名均发送至接收方；

步骤c中，验证方两两相互交换部分签名元素后，每一验证方均拥有在步骤b接收到的原有签名，以及在步骤c中获得的来自其余各验证方的多个交换签名；

步骤e中，验证方进行对比验证时的通过条件为：

验证方所拥有的原有签名以及各交换签名记为N个参照签名，每个参照签名与验证阶段接收的签名的相应部分进行对比，差异比特数小于第一阈值时，视为该参照签名通过验证，当通过验证的参照签名数量大于第二阈值，视为通过步骤e的对比验证。

作为优选，步骤f所述的传递次序预先在发送方以及各验证方之间协定，或由发送方指定(或根据实际情况动态变化)；且前一验证方通过验证后，再转由下一验证方进行验证。

某一数据签名需要经过多少验证方进行验证，可以根据保密需要或认证强度等预先设定，作为优选，步骤g中所述的预定数量预先在发送方以及各验证方之间协定，或由发送方指定(或根据实际情况动态变化)。

步骤e中，如果任一验证方的数字签名验证未通过，则数字签名流程退出，不需要再执行后续步骤。

本发明克服了经典数字签名基于计算复杂性的弱点，基于量子通信和无条件安全数字签名的安全性理论，其安全性在理论上得到证明。

本发明签名方法简单实用，可以用来替代经典的数字签名方法乃至一些无条件安全数字签名方法。也克服了一些量子数字签名方法需要有一个可信权威来完成数字签名的缺点，并不需要一个可信权威即可完成本发明的数字签名方法。

本发明签名方法不需要使用量子存储，也不需要使用专用量子通信设备，仅需要使用通用量子通信设备。克服了一些量子数字签名方法签名单比特的信息需要好多个比特的量子密钥的问题，主要通过Hash函数等算法缩减原文长度、量子密钥使用对称加密算法加密传输真随机数两种方式，极大降低了量子数字签名对量子通信设备的压力。

本发明还克服了一些量子数字签名方法仅考虑三方的情况，可以满足多方签名的需要，适用场景大大扩展。

附图说明

图1为n比特多方量子数字签名的流程图。

图2为当前验证方进行签名验证的流程图。

具体实施方式

结合图1，图2，本实施例一种无信任中心的多方量子数字签名方法包括：

签名方原文缩减以及密钥准备

签名方采用Hash函数H，将较长的原文缩减为较短的Hash值，假设有n个比特。设原文为Mo，缩减后的原文为Mh，其中Mh＝H(Mo)。

签名方根据缩减后的原文长度和所需要实现的安全性要求，选择单比特的签名所需要的密钥长度，随之计算得到所需密钥的数量。然后从量子随机数发生器获得该数量的真随机数。

n比特多方签名的分配阶段

与单比特多方签名的分配阶段类似地，执行完毕n比特的签名分配。

(1)签名生成：

对于n个比特，设第k个比特的消息比特为m_k。对于每个将要发送的消息比特m_k＝0，1，发送方(以下简称P₀)生成N个不同的密钥，也称为签名，记为σ＝{σ₁，σ₂，……，σ_N}。共计2N个签名，每个签名的长度为NL。

N为验证方的数量，例如N＝4，但本发明中并不一定要求所有的验证方参与后续签名的对比验证。

(2)签名发送：

对于n个比特，对于每个将要发送的消息比特m_k＝0，1，P₀将N个签名分给各所有签名接收方(签名接收方即本发明所述的验证方)，第i个签名σ_i发送给第i个签名接收方P_i。这样每个签名接收方分别收到2n个密钥。发送方式是用量子密钥对签名进行加密，对方用同样的量子密钥对签名进行解密。量子密钥可以是量子密钥分发生成的密钥对，或者量子真随机数的预分配密钥对。

(3)签名交换：

对于n个比特中每个将要发送的消息比特m_k＝0，1，第i个签名接收方P_i对第i个签名σ_i随机均分为N份，记为{σ_i1，σ_i2，……，σ_iN}，每份的长度为L；同时记录了这些元素对应的位置集合，记为{p_i1，p_i2，……，p_iN}。对第j份签名元素σ_ij，第i个签名接收方将其发送给第j个签名接收方，发送时还附带该签名元素的位置信息p_ij。

发送方式是用量子密钥对签名元素进行加密，对方用同样的量子密钥对签名元素进行解密。量子密钥可以是量子密钥分发生成的密钥对，或者量子真随机数的预分配密钥对。

特别地，P_i将σ_ii与p_ii保留给自己。其他签名接收方也与P_i执行同样的操作。这样所有签名接收方对于一个比特来说，分别收到来自其他所有签名接收方的N-1个密钥子串，加上自己保留的密钥子串σ_ii，共有N个密钥子串，记为{σ_1i，σ_2i，……，σ_Ni}，对应的位置子串记为{p_1i，p_2i，……，p_Ni}。

n比特多方签名的验证阶段(签名发送及验证)

(1)原文进行签名

为发送原文及其数字签名，P₀形成消息串S＝(Mo，H，σ^M)，Mo是原文，H是Hash函数，σ^M是P₀对于消息Mo的Hash结果Mh生成的签名。

(2)原文及签名发送给签名接收方

P₀将消息串S＝(Mo，H，σ^M)发送给签名接收方。设第一个签名接收方为P₁。其余签名接收方接收S有先后顺序，(具体顺序可由实际业务需求而定)即在上一个签名接收方验证签名通过后，从上一个签名接收方转发给下一个签名接收方。但P₁与其他签名接收方的签名验证流程是一样的。以下假设当前签名接收方为P_j。

(3)按比特划分签名

P_j收到S后，将S转化为S_j＝(M_j，σ^M)。其中M_j＝H(Mo)，长度为n。σ^M的长度为N²Ln，其中每个比特的签名长度为N²L。因此以N²L为长度单位，将σ^M均分为n段。其中第x个比特可以表示为M_jx，第x段签名可以表示为σ_x ^M，为下文表述简单起见分别命名为m和σ^m，即第x比特的比特签名对为S_jx＝(m，σ^m)。

(4)单比特分段签名验证

P_j将σ^m均分为N段，记第i段为σ_mi。P_j存储的对于第x比特第i段的签名信息，包括σ_ij及其位置信息p_ij。P_j根据p_ij取出σ_mi对应位置的签名信息，形成新的待验证签名子串σ_mij。设用户P_j第i段的签名验证结果为T_ijl。当σ_mij与σ_ij的差异比特个数小于s_lL时，定义为该段签名验证成功，即T_ijl＝1；否则定义为该段签名验证失败，即T_ijl＝0。l为验证级别(verification level)，s_l为当前l下的一个阈值参数。

(5)单比特最终签名验证

P_j在分段签名验证全部结束后，可以计算第x比特的最终签名验证结果V_jl：

如果V_jl大于f_lN，则P_j对S_jx最终签名验证成功；否则P_j对S_jx最终签名验证失败，亦代表P_j对S_j签名验证失败，亦代表P_j对S签名验证失败，流程结束。f_l为当前l下的一个阈值参数。

(6)判断签名验证是否完成

P_j需要逐个验证每个比特的比特签名对S_jx，x＝1，2，……，n。查看是否完成了n个比特的单比特签名验证。如果n个单比特的签名验证全部成功，则多比特签名验证成功，即代表P_j对S签名验证成功，流程结束；如果n个单比特的签名验证尚未全部成功，则取出x+1位置的比特签名对，并回到步骤(4)。

(7)转发签名

如果P_j对S多比特签名验证成功，并且还有签名的转发需求，则P_j发送消息串S＝(Mo，H，σ^M)给下一个签名接收方。使j++，并令下一个签名接收方成为当前签名接收方，并回到步骤(3)。

以下结合具体参数说明本实施例签名安全性和数据量

本实施例的Hash函数采用LFSR-Toeplitz方案来实现(可参见崔珂，罗春丽，张鸿飞，等.基于FPGA的量子密钥分发系统中身份认证的设计，全国核电子学与核探测技术学术年会.2012.)，即Hash函数体现为Toeplitz矩阵。

m为信息原文长度，n为Hash结果的长度，则Hash函数需要的数据量为m+n-1。如果原文长度为1T比特，那么Hash函数需要的数据量也将达到1T比特以上。

由于Hash函数是需要传输的，传输1T比特显然太大，因此对1T比特的原文数据进行切割，每次处理m＝10⁸比特大小的数据块，共有10⁴个数据块。发生碰撞的可能性小于m/2^n-1，假设对m＝10⁸比特的数据块来说，认为10^-20是一个安全的阈值，即令10⁸/2^n-1<10^-20，可以得到n>＝95。1T比特的10⁴个数据块均使用该Hash函数，其碰撞概率提升10⁴倍，即10^-16。假设认为10^-16是一个可以接受的碰撞概率，那么可以取m＝10⁸，n＝95。

考虑原文长度1T比特，这里取m＝10⁸，n＝95，N＝4，L＝200为例子，即每个数据块大小为10⁸，每个数据块最终形成的Hash信息长度为95比特，签名接收方的数量为4个，每个签名接收方对每个比特收到的签名长度为NL＝800。P₀需要准备的签名数据量：

(1)签名数据

每段数据块的签名数据需要2N²Ln＝2X16X200X95＝608000比特，共有10⁴个数据块，共计6.08X10⁹比特。

(2)Hash函数

Hash函数需要的数据量为m+n-1＝10⁸+94。

因此根据计算，原文长度1T比特，在m＝10⁸，n＝95，N＝4，L＝200的情况下所需要的数据量约为6.18X10⁹比特，是原文长度的0.618％。而如果不做任何优化，每个比特需要2N²L＝2X16X200＝6400个签名比特，因此总共需要6.4X10¹⁵个比特。可见在这种情况下，本方案的数字签名P₀所需数据量约为原始方案的10⁶分之一。

同样考虑原文长度1T比特，在m＝10⁸，n＝95，N＝4，L＝200的情况下，P_j需要转发(或接收)的签名数据量。

每个比特需要转发(或接收)的签名数据量为2(N-1)L＝2X3X200＝1200是固定的。本方案对于数字签名实际参与计算的比特数为nX10⁴＝9.5X10⁵，共计需要转发(或接收)的签名数据量为1200X9.5X10⁵＝1.14X10⁹。原方案对于数字签名实际参与计算的比特数为1T比特。可见在这种情况下，本方案的数字签名P_j所需转发(或接收)数据量约为原始方案的10⁶分之一，该数据量是原文长度的0.114％。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内，因此本发明的保护范围应以权利要求的保护范围为准。

Claims (12)

1.一种无信任中心的多方量子数字签名方法，包括签名的分配阶段和验证阶段，其特征在于，所述分配阶段包括：

步骤a，发送方对原文进行运算获得缩减后原文；

步骤b，发送方生成签名并分别向各验证方发送，所述签名的数量根据缩减后原文的比特数和验证方数量计算得到；

步骤c，各验证方两两之间相互交换部分拥有的签名；

所述验证阶段包括：

步骤d，发送方将原文以及步骤b生成的签名发送至其中一个验证方；

步骤e，当前验证方对收到的原文进行运算获得缩减后原文，针对缩减后原文的每个比特，将从发送方或上一接收方接收到的签名与步骤c完成交换后所拥有的签名进行对比验证；

步骤f，验证通过后，当前验证方将原文以及签名按照预定的传递次序发送至下一验证方进行验证；

步骤g，循环步骤e～步骤f，直至预定数量的验证方均通过验证。

2.如权利要求1所述无信任中心的量子数字签名方法，其特征在于，步骤a中，发送方对原文进行运算时采用摘要函数。

3.如权利要求1所述的无信任中心的多方量子数字签名方法，其特征在于，步骤b中，采用量子随机数发生器生成的真随机数作为所述签名。

4.如权利要求1所述的无信任中心的多方量子数字签名方法，其特征在于，步骤b中，生成签名时，缩减后原文的每个比特对应2N个签名，每个比特的0、1值均对应N个不同的签名，并分别发送给各验证方，N为验证方数量，且N>＝2，签名的总长度根据每个比特所需的数据量乘以缩减后原文的比特数和验证方数量得到。

5.如权利要求1所述的无信任中心的多方量子数字签名方法，其特征在于，步骤b中，发送方向各验证方发送签名时，采用量子密钥加密签名后以密文方式发送；发送方与各验证方之间的量子密钥对为预分配的量子密钥对或量子密钥分发生成的量子密钥对，其中预分配的量子密钥对由量子真随机数发生器生成，且经由存储设备拷贝至发送方与各验证方；量子密钥分发生成的量子密钥对由量子密钥分发设备生成，依据量子密钥分发协议将量子密钥对分发至发送方与各验证方。

6.如权利要求1所述的无信任中心的多方量子数字签名方法，其特征在于，步骤c中，任意两验证方之间针对每个签名，相互交换部分签名元素，每个签名包含L个比特，每个比特为一个签名元素，相互交换时各验证方随机将本地签名平均分配为N份，将其中的N-1份发送给其他验证方，1份保留在本地，与签名元素一起传输的还有该签名元素在原签名中的位置信息；

相互交换时两验证方采用量子密钥加密交换的比特后以密文方式发送；两验证方之间的量子密钥对为预分配的量子密钥对或量子密钥分发生成的量子密钥对，其中预分配的量子密钥对由量子真随机数发生器生成，且经由存储设备拷贝至两验证方；其中量子密钥分发生成的量子密钥对由量子密钥分发设备生成，依据量子密钥分发协议将量子密钥对分发至两验证方。

7.如权利要求1所述的无信任中心的多方量子数字签名方法，其特征在于，步骤d中，发送方将用于生成缩减后原文的算法发送至所述的其中一个验证方；步骤e中，验证方采用与发送方或上一验证方相同算法对原文进行运算获得缩减后原文，步骤f中，当前验证方将来自发送方或上一验证方的用于生成缩减后原文的算法发送至下一个验证方。

8.如权利要求1所述的无信任中心的多方量子数字签名方法，其特征在于，步骤e中，验证方将从发送方或上一验证方接收到的签名按照缩减后原文的比特数进行划分，划分后逐一与所拥有的签名的对应部分进行对比验证。

9.如权利要求1所述的无信任中心的多方量子数字签名方法，其特征在于，步骤b生成的签名包括用以发送给各验证方的多部分签名，在步骤d中发送方将多部分签名均发送至接收方；

步骤c中，验证方两两相互交换部分签名元素后，每一验证方均拥有在步骤b接收到的原有签名，以及在步骤c中获得的来自其余各验证方的多个交换签名；

步骤e中，验证方进行对比验证时的通过条件为：

验证方所拥有的原有签名以及各交换签名记为N个参照签名，每个参照签名与验证阶段接收的签名的相应部分进行对比，差异比特数小于第一阈值时，视为该参照签名通过验证，当通过验证的参照签名数量大于第二阈值，视为通过步骤e的对比验证。

10.如权利要求1所述的无信任中心的多方量子数字签名方法，其特征在于，步骤f所述的传递次序预先在发送方以及各验证方之间协定，或由发送方指定；且前一验证方通过验证后，再转由下一验证方进行验证。

11.如权利要求1所述的无信任中心的多方量子数字签名方法，其特征在于，步骤g中所述的预定数量预先在发送方以及各验证方之间协定，或由发送方指定。

12.如权利要求1所述无信任中心的量子数字签名方法，其特征在于，步骤e中，如果任一验证方的数字签名验证未通过，则数字签名流程退出，不需要再执行后续步骤。