CN107017993B - 一种多方联合密钥产生和数字签名方法及系统 - Google Patents

Abstract

本发明提供一种多方联合密钥产生和数字签名方法及系统，联合签名私钥d由m份私钥因子d_i组成，i＝[1,m]，其中m≥3，m份私钥因子d_i由联合各方在密钥生成时独立秘密产生并秘密保存在各自的设备中；联合数字签名完成需要各方按照一定顺序，使用各自秘密保存的私钥因子d_i通过计算共同参与完成。系统包括m个联合方，每个联合方各自具有独立的子系统，每个子系统由三部分组成，分别为联合密钥生成模块、联合签名第一分量计算模块、联合签名第二分量计算模块。本发明实现了SM2密码算法的多方联合密钥产生和数字签名的方法及组成的多种系统，包括无中心和有中心的系统,使得数字签名不再是单独个体完成，而是由多方共同完成。

Description

一种多方联合密钥产生和数字签名方法及系统

技术领域

本发明涉及信息安全技术领域，尤其涉及一种多方联合密钥产生和数字签名方法及系统。

背景技术

使用非对称或公钥密码体系可根据应用，产生密钥对(d，P)，包括一个公钥P和一个私钥d。其中私钥d被秘密保存，主要应用于对特定数据的数字签名S。鉴于互联网的日益广泛应用，手机APP，服务中心、签名中心及多个服务实体与终端联合进行用户签名成为可能。

传统的方法是签名设备独立秘密生产一组密钥对(d，P)，并秘密保存私钥d。需要数字签名时，签名设备独立使用私钥d进行运算出数字签名值Sign＝(r,s)。数据M的数字签名最终结果S由两个签名分量r和s组成，使用用户私钥d对数据e运算，得到最终的数字签名；

即:Sign(M)＝Digital_Sign(e,k,d)＝(r,s)，其中k为随机数，数据e为密码杂凑函数作用于消息M的输出值。

数字签名是使用私钥d对待签名数据进行运算的结果，对于诸如笔记本、智能手机、电视机顶盒等终端设备缺乏专门的安全部件时，私钥将很难做到秘密保存，特别是在使用时，更容易遭到蠕虫、木马等恶意软件的攻击，造成私钥泄露。

另一方面，很多场景需要多方数字签名的场景，需要各方具有独立的私钥，签名时各方使用各自的密钥进行运算，最终得到多方联合数字签名值。如果签名时将各方的各自私钥合成为签名私钥再进行签名运算，或各方密钥是先产生签名私钥再分解后由各方保管，则存在显著的私钥安全泄露隐患。

发明内容

基于此，本发明的目的在于提供一种多方联合密钥产生和数字签名方法及系统，将标准数字签名结果扩展到由多个独立个体组成的联合体的情况，并在各方联合完成数字签名运算的情况下，才可以实现该联合体的数字签名，进一步提高数字签名的安全性。为实现上述目的，本发明的技术方案如下：

一种多方联合密钥产生和数字签名方法，联合签名私钥d由m份私钥因子d_i组成，i＝[1,m]，其中m≥3，m份私钥因子d_i由联合各方在密钥生成时独立秘密产生并秘密保存在各自的设备中；联合数字签名完成需要各方按照一定顺序，使用各自秘密保存的私钥因子d_i通过计算共同参与完成，且m方联合使用各自私钥因子d_i的联合签名结果与单独使用私钥d进行签名的结果一致。

根据本发明的一个方面，提供一种多方联合密钥产生和多方联合数字签名方法，其中多方联合密钥产生包括以下步骤：

m个联合方按照预设顺序产生随机数k_i∈(0,n-1]，并使用密钥产生函数fd()计算P_i＝fd(G,k_i)和Q_i＝fd(Q_i-1,k_i ^-1)，然后将计算出的公钥因子P_i和临时变量Q_i发送至下一个联合方并删除临时变量Q_i；所述下一个联合方重复上述步骤，以此类推，直至计算出所述预设顺序中最后一个联合方的公钥因子P_m和Q_m。最终根据Q_m计算出联合公钥P＝fP(Q_m)，其中fP为联合公钥计算函数。具体的流程可为：

步骤K1:第一顺序方产生随机数k₁∈(0,n-1]作为私钥因子，并计算P₁＝fd(G,k₁)，Q₁＝fd(Q₀,k₁ ^-1)，然后将计算出的公钥因子P₁和临时变量Q₁，将Q₁发送至第二顺序方；其中fd()为密钥产生函数,Q₀为fd()初值，G为椭圆曲线的基点，n为SM2的椭圆曲线基点G的阶。

步骤K2:第二顺序方产生随机数k₂∈(1,n-1]作为私钥因子，并计算P₂＝fd(G,k₂)，Q₂＝fd(Q₁,k₂ ^-1)，然后将计算出的公钥因子P₂和临时变量Q₂，将Q₂发送至第三顺序方；

以此类推。

步骤Ki:第i顺序方产生随机数k_i∈(0,n-1]作为私钥因子，并计算P_i＝fd(G,k_i)，Q_i＝fd(Q_i-1,k_i ^-1)，然后将计算出的公钥因子P_i和临时变量Q_i，将Q_i发送至第i+1顺序方；

直至计算出所述预设顺序中最后一个联合方：第m顺序方；

步骤Km:第m顺序方产生随机数k_m∈(0,n-1]作为私钥因子，并计算P_m＝fd(G,k_m)，Q_m＝fd(Q_m-1,k_m ^-1)；并计算联合公钥P＝fp(Q_m)，其中fp为联合公钥计算函数。

第m顺序方需验证联合公钥P的合法性，如果P是一个合法公钥，则联合密钥产生结束，如P不是一个合法公钥，第m顺序方需重新产生随机数k_m计算P_m、Q_m和联合公钥P，直至联合公钥P合法，密钥产生结束。

经过上述步骤，m个联合方均各自独立地产生出私钥因子d_i＝k_i和公钥钥因子P_i,同时也最终计算出联合公钥P。

上述密钥产生过程的有益结果是，各方均秘密地产生用于数字签名使用的生出私钥因子d_i同时妥善保存，产生过程中其它各方均无法也无需知道其它参与方的私钥信息。最终结果可以表述为联合签名私钥d＝f(d₁,d₂,…,d_m)和联合公钥P，同时保证了(d，P)为一个合法的密钥对。

上述步骤生成的联合签名私钥d由m份私钥因子d_i组成，i＝[1,m]，其中m≥3。私钥因子d_i是在密钥生成时由m个联合方各自分别产生并秘密保存在各自的设备中。

根据本发明的另一个方面，提供一种多方联合密钥产生和数字签名方法，其中多方联合数字签名包括以下步骤：

m个联合方按照预设顺序产生随机数组K_i，计算R_i＝fr(R_i-1,K_i)，其中fr()为联合签名第一分量计算函数。得出所述预设顺序中最后一个联合方的R_m＝(x,y)，计算出联合数字签名第一分量r＝f1(R_m,e)；其中，f1()第一分量取值计算函数，e为密码杂凑函数作用于消息M的输出值；

m个联合方依据与所述预设顺序相反的顺序恢复各自的私钥因子d_i，计算S_i＝fs(S_i+1,K_i,d_i)，其中K_i为计算联合签名第一分量时第i个联合方秘密产生的随机数组，fs()为联合签名第二分量计算函数；得出所述预设顺序中第一个联合方的S₁,并计算出联合签名的第二分量s＝f2(S₁,r)；其中，f2()为第二分量取值计算函数,r为联合数字签名第一分量。

最终，根据联合签名第一分量r和签名第二分量s得到多方联合的数字签名值Sign(M)＝(r,s)。

计算多方联合数字签名的联合签名第一分量r具体流程为：

步骤R1:第一顺序方产生随机数组K₁，计算R₁＝fr(R₀,K₁)，将R₁发送至第二顺序方；其中R₀为函数fr的初值。

步骤R2:第二顺序方产生随机数组K₂，计算R₂＝fr(R₁,K₂)，将R₂发送至第三顺序方；

以此类推。

步骤RI:第i顺序方产生随机数组K_i，计算R_i＝fr(R_i-1,K_i)，将R_i发送至第i+1顺序方；直至计算出所述预设顺序中最后一个联合方：第m顺序方；

步骤Rm:第m顺序方产生随机数组K_m，计算R_m＝fr(R_m-1,K_m)＝(x,y)。

步骤R:最终计算出联合签名第一分量r＝f1(R_m,e)；其中，f1()为第一分量取值计算函数，e为密码杂凑函数作用于消息M的输出值；

计算多方联合数字签名的联合签名第二分量s具体流程为：

步骤Sm:第m顺序方使用私钥因子d_m计算S_m＝fs(S_m+1,K_m,d_m)，将S_m发送至第m-1顺序方；其中S_m+1为函数fs()的初值,d_m是第m顺序方的私钥因子，K_m是第m顺序方在计算联合签名第一分量r时所产生的随机数组；

步骤Sm-1:第m-1顺序方使用私钥因子d_m-1计算S_m-1＝fs(S_m,K_m-1,d_m-1)，将S_m-1发送至第m-2顺序方；其中d_m-1是第m-1顺序方的私钥因子，K_m-1是第m-1顺序方在计算联合签名第一分量r时所产生的随机数组；

以此类推。

步骤Si:第i顺序方使用私钥因子d_i计算S_i＝fs(S_i+1,K_i,d_i)，将S_i发送至第i-1顺序方；其中d_i是第i顺序方的私钥因子，K_i是第i顺序方在计算联合签名第一分量r时所产生的随机数组；

直至计算出所述预设顺序中第一个联合方：第1顺序方；

步骤S1:第1顺序方使用私钥因子d₁计算S₁＝fs(S₂,K₁,d₁)，其中d₁是第1顺序方的私钥因子，K₁是第1顺序方在计算联合签名第一分量r时所产生的随机数组；

步骤S:最终计算出联合数字签名第二分量s＝f2(S₁,r)；其中f2()是第二分量取值计算函数,r是联合签名第一分量值。

最终，根据联合签名第一分量r和联合签名第二分量s得到多方联合的数字签名值Sign(M)＝(r,s)。

经过上述步骤，m个联合方均各自独立地产生随机数组，并使用各自独立秘密保存的私钥因子d_i进行运算，最终得到联合数字签名值。

上述联合数字签名过程的有益结果是，各方均秘密地使用各自的私钥因子进行运算，同时仅将运算送至下一顺序方，私钥无需外送。很好地保证了各自私钥因子的安全性，同时，通过联合运算得到联合数字签名值。由于m方联合签名的结果与单独使用私钥d进行数字签名的结果完全一样，因此，该联合数字签名值(r,s)可使用联合公钥P进行签名验证。

优选地，所述的多方联合密钥产生和数字签名方法还包括m个联合方根据各自的私钥因子d_i和公钥因子P_i进行数据签名和验证，其中第i顺序方使用签名私钥因子d_i对数据进行签名，公钥因子P_i在联合密钥产生时发送相关方或所有其它各方，用于对数据进行验证；具体步骤如下：

计算多方联合数字签名的联合签名第一分量r具体流程为：

步骤R1’:第一顺序方产生随机数组K₁，计算R₁＝fr(R₀,K₁)，同时使用私钥因子d₁对数据R₁进行数字签名Sign₁(R₁),将R₁及签名值Sign₁(R₁)发送至第二顺序方；其中R₀为函数fr()的初值。

步骤R2’:第二顺序方使用第一方公钥因子P₁对签名值Sign₁(R₁)进行签名验证，如验证通过，产生随机数组K₂，计算R₂＝fr(R₁,K₂)，同时使用私钥因子d₂对数据R₂进行数字签名Sign₂(R₂),将R₂及签名值Sign₂(R₂)发送至第三顺序方；

以此类推。

步骤Ri’:第i顺序方使用第i-1顺序方公钥因子P_i-1对签名值Sign_i-1(R_i-1)进行签名验证，如验证通过，产生随机数组K_i，计算R_i＝fr(R_i-1,K_i)，同时使用私钥因子d_i对数据R_i进行数字签名Sign_i(R_i),将R_i及签名值Sign_i(R_i)发送至第i+1顺序方；直至计算出所述预设顺序中最后一个联合方：第m顺序方；

步骤Rm’:第m顺序方使用第m-1方公钥因子P_m-1对签名值Sign_m-1(R_m-1)进行签名验证，如验证通过，产生随机数组K_m，计算R_m＝fr(R_m-1,K_m)。

步骤R’:最终计算出联合数字签名第一分量r＝f1(R_m,e)；其中，f1()为第一分量取值计算函数，e为密码杂凑函数作用于消息M的输出值。

计算多方联合数字签名的联合签名第二分量s具体流程为：

步骤Sm’:第m顺序方使用私钥因子d_m计算S_m＝fs(S_m+1,K_m,d_m)，同时使用私钥因子d_m对数据S_m进行数字签名Sign_m(S_m),将S_m及签名值Sign_m(S_m)发送至第m-1顺序方；其中S_m+1为函数fs的初值。

步骤Sm-1’:第m-1顺序方使用第m方公钥因子P_m对签名值Sign_m(S_m)进行签名验证。如验证通过，使用私钥因子d_m-1计算S_m-1＝fs(S_m,K_m-1,d_m-1)，同时使用私钥因子d_m-1对数据S_m-1进行数字签名Sign_m-1(S_m-1),将S_m-1及签名值Sign_m-1(S_m-1)发送至第m-2顺序方；

以此类推。

步骤Si’:第i顺序方使用第i+1方公钥因子P_i+1对签名值Sign_i+1(S_i+1)进行签名验证。如验证通过，使用私钥因子d_i计算S_i＝fs(S_i+1,K_i,d_i)，同时使用私钥因子d_i对数据S_i进行数字签名Sign_i(S_i)，将S_i及签名值Sign_i(S_i)发送至第i-1顺序方；直至计算出所述预设顺序中第一个联合方：第1顺序方；

步骤S1’:第1顺序方使用第2方公钥因子P₂对签名值Sign₂(S₂)进行签名验证。如验证通过，使用私钥因子d₁计算S₁＝fs(S₂,K₁,d₁)；

步骤S’:最终计算出联合数字签名的联合签名第二分量s＝f2(S₁,r)，其中f2()是第二分量取值计算函数,r是联合数字签名的第一分量值。

最终，根据联合签名第一分量r和联合签名第二分量s得到多方联合的数字签名值Sign(M)＝(r,s)。

上述联合数字签名过程的有益结果是，联合签名各方使用各自秘密保存的私钥因子进行数字签名，而数据接收方使用发送方的公钥因子对数字签名进行签名验证，从而保证数据的真实性和有效性。这对于数据传输网络不是很安全的情况下，增强了整个联合数字签名过程的安全性和可靠性。

进一步地，所述的多方联合密钥产生和数字签名方法还包括m个联合方根据各自的公钥因子P_i和私钥因子d_i进行数据加密和解密，其中第i方使用公钥因子P_k对数据进行数据加密并发送给相关方k，相关方k使用私钥因子d_k对接收的密文进行解密。步骤如下：

计算多方联合数字签名的联合签名第一分量r具体流程为：

步骤R1”:第一顺序方产生随机数组K₁，计算R₁＝fr(R₀,K₁)，同时使用第二顺序方公钥因子P₂对数据R₁进行加密，得到密文R₁”。将R₁”发送至第二顺序方；其中R₀为函数fr的初值。

步骤R2”:第二顺序方使用秘密保存的私钥因子d₂对R₁”解密得到明文R₁。产生随机数组K₂，计算R₂＝fr(R₁,K₂)，同时使用第三顺序方公钥因子P₃对数据R₂进行加密，得到密文R₂”。将R₂”发送至第三顺序方；

以此类推。

步骤Ri”:第i顺序方使用秘密保存的私钥因子d_i对R_i-1”解密得到明文R_i-1。产生随机数组K_i，计算R_i＝fr(R_i-1,K_i)，同时使用第i+1顺序方公钥因子P_i+1对数据R_i进行加密，得到密文R_i”。将R_i”发送至第i+1顺序方；直至计算出所述预设顺序中最后一个联合方：第m顺序方；

步骤Rm”:第m顺序方使用秘密保存的私钥因子d_m对R_m-1”解密得到明文R_m-1。产生随机数组K_m，计算R_m＝fr(R_m-1,K_m)＝(x,y)。

步骤R”:最终计算出联合数字签名的联合签名第一分量r＝f1(R_m,e)；其中，f1()为第一分量取值计算函数，e为密码杂凑函数作用于消息M的输出值；

计算多方联合数字签名的联合签名第二分量s具体流程为：

步骤Sm”:第m顺序方使用私钥因子d_m计算S_m＝fs(S_m+1,K_m,d_m)，同时使用m-1顺序方公钥因子P_m-1对数据S_m加密，得到密文S_m”。将S_m”发送至第m-1顺序方；其中S_m+1为函数fs的初值。

步骤Sm-1”:第m-1顺序方使用私钥因子d_m-1解密密文S_m”，得到明文数据S_m。计算S_m-1＝fs(S_m,K_m-1,d_m-1)，同时使用m-2顺序方公钥因子P_m-2对数据S_m-1加密，得到密文S_m-1”。将S_m-1”发送至第m-2顺序方；

以此类推。

步骤Si”:第i顺序方使用私钥因子d_i解密密文S_i+1”，得到明文数据S_i+1。计算S_i＝fs(S_i+1,K_i,d_i)，同时使用i-1顺序方公钥因子P_i-1对数据S_i加密，得到密文S_i”。将S_i”发送至第i-1顺序方；直至计算出所述预设顺序中第一个联合方：第1顺序方；

步骤S1”:第1顺序方使用私钥因子d₁解密密文S₂”，得到明文数据S₂。计算S₁＝fs(S₂,K₁,d₁)；

步骤S”:最终计算出联合数字签名第二分量s＝f2(S₁,r)，其中f2()是第二分量取值计算函数,r是联合签名第一分量值。

最终，根据联合签名第一分量r和联合签名第二分量s得到多方联合的数字签名值Sign(M)＝(r,s)。

上述联合数字签名过程的有益结果是，联合签名各方使用相关方的公钥因子进行数据加密，并将密文发送给下一个顺序方；而数据接收方使用自己的私钥因子对密文解密得到明文并进行联合数字签名运算，从而保证数据的私密性和安全性。同时，对数据加解密的密钥使用非对称密码算法，也不需要使用额外的密钥。这对于数据传输网络不是很安全的情况下，增强了整个联合数字签名过程的私密性和安全性。

更进一步地，所述的多方联合密钥产生和数字签名方法还可以包括有服务中心的m个联合方进行多方联合密钥产生和数字签名系统。具体步骤如下：

m个联合方进行多方联合密钥产生过程如下：

步骤CK1:服务中心设定初值Q₀,发送Q₀至第一方；

步骤KC1:第一方产生随机数k₁∈(0,n-1]作为私钥因子d₁，并计算公钥因子P₁＝fd(G,k₁)和临时变量Q₁＝fd(Q₀,k₁ ^-1)，将P₁和Q₁发送至服务中心；其中fd()为密钥产生函数，G为椭圆曲线的基点，n为SM2的椭圆曲线基点G的阶；

步骤CK2:服务中心发送Q₁至第二方；

步骤KC2:第二方产生随机数k₂∈(0,n-1]作为私钥因子d₂，并计算公钥因子P₂＝fd(G,k₂)和临时变量Q₂＝fd(Q₁,k₂ ^-1)，将P₂和Q₂发送至服务中心；

以此类推。

步骤KCi:第i方产生随机数k_i∈(0,n-1]作为私钥因子d_i，并计算公钥因子P_i＝fd(G,k_i)和临时变量Q_i＝fd(Q_i-1,k_i ^-1)，将P_i和Q_i发送至服务中心；

步骤CKi:服务中心发送Q_i至第i+1方；

直至计算出所述预设顺序中最后一个联合方：第m方；

步骤KCm:第m方产生随机数k_m∈(0,n-1]作为私钥因子d_m，并计算公钥因子P_m＝fp(G,k_m)和临时变量Q_m＝fd(Q_m-1,k_m ^-1),将P_m和Q_m发送至服务中心；

步骤CKm:服务中心计算联合公钥P＝fP(Q_m)，其中fP为联合公钥计算函数。并将联合公钥P发送给m各方；

计算有中心m个联合方进行多方联合数字签名的联合签名第一分量r具体流程为：

步骤CR0:服务中心根据待签名消息M和联合公钥P计算密码杂凑函数作用于消息M的输出值e，设定函数fr的初值R₀；将M、e、R₀发送到第一方；

步骤RC1:第一方检查签名数据M和e的正确性，产生随机数组K₁，计算R₁＝fr(R₀,K₁)，将R₁发送至服务中心；

步骤CR1:服务中心将M、e、R₁发送至第二方；

步骤RC2:第二方检查签名数据M和e的正确性，产生随机数组K₂，计算R₂＝fr(R₁,K₂)，将R₂发送至服务中心；

步骤CR2:服务中心将M、e、R₂发送至第三方；

以此类推。

步骤RCi:第i方检查签名数据M和e的正确性，产生随机数组K_i，计算R_i＝fr(R_i-1,K_i)，将M、e、R_i发送至服务中心；

步骤CRi:服务中心将M、e、R_i发送至第i+1方；

直至计算出所述预设顺序中最后一个联合方：第m方；

步骤RCm:第m方检查签名数据M和e的正确性，产生随机数组K_m，计算R_m＝fr(R_m-1,K_m)，将R_m发送至服务中心；

步骤CRm:服务中心接收R_m。最终计算出联合签名第一分量r＝f1(R_m,e)；其中，f1()为第一分量取值计算函数，e为密码杂凑函数作用于消息M的输出值；

计算有中心m个联合方进行多方联合数字签名的联合签名第二分量s具体流程为：

步骤CSm+1:服务中心第m方设定函数fs()初值S_m+1，将S_m+1发送至第m方；

步骤SCm:第m方使用私钥因子d_m计算S_m＝fs(S_m+1,K_m,d_m)，将S_m发送服务中心；

步骤CSm:服务中心将S_m发送至第m-1方；

步骤SCm-1:第m-1方使用私钥因子d_m-1计算S_m-1＝fs(S_m,K_m-1,d_m-1)，将S_m-1发送至服务中心；

以此类推。

步骤CSi:服务中心将S_i+1发送至第i方；

步骤SCi:第i方使用私钥因子d_i计算S_i＝fs(S_i+1,K_i,d_i)，将S_i发送至服务中心；

直至计算出所述预设顺序中第一个联合方：第1方；

步骤CS1:服务中心将S₂发送至第1方；

步骤SC1:第1方使用私钥因子d₁计算S₁＝fs(S₂,K₁,d₁),将S₁发送至服务中心；

步骤CS0:服务中心接收S₁，最终计算出联合签名第二分量s＝f2(S₁,r)，其中f2()是第二分量取值计算函数,r是联合签名第一分量值。

最终，根据联合签名第一分量r和联合签名第二分量s得到多方联合的数字签名值Sign(M)＝(r,s)。

上述有中心联合数字签名过程的有益结果是，在服务中心的协调下，m个联合方各方仅与服务中心通信，彼此之间不需要互通；同时m个联合方均不需要关心自己是第几顺序方，各方的运算函数及步骤相同。

进一步，由于服务中心具有m个联合方各方的公钥因子；因此对各方发送给服务中心的数据可以使用各方的私钥因子进行数字签名，服务中心使用对应的公钥因子进行签名验证，以保证数据的可靠性。

更进一步，服务中心可以通过产生一个中心加密密钥对，将中心加密公钥发送给m个联合方各方。这样服务中心发送的数据通过各方的公钥因子进行加密，各方使用各自的私钥因子进行解密。而各方发送的数据，通过中心加密公钥进行加密，中心通过中心加密私钥进行解密，以保证通信过程中的私密性和安全性。

更进一步，服务中心也可以是m个联合方的一方，即服务中心也有用于数字签名的私钥因子和公钥因子，并在数字签名过程中，除了协调和转发数据，同时也产生随机数组，并使用私钥因子进行运算。由于服务中心设施到位，防控措施更加有效，可以更好地保护联合签名私钥。

根据本发明的另一方面，提供了一种多方联合密钥产生和数字签名系统，包括m个联合方，每个联合方各自具有独立的子系统，每个子系统包括：

联合密钥生成模块,用于生成用户私钥因子d_i，m方联合签名私钥d由m份私钥因子d_i组成，i＝[1,m]，其中m≥3，该联合用户签名私钥d是在密钥生成时由m个联合方各自分别产生并秘密保存在各自的设备中；

联合签名第一分量计算模块，用于根据m个联合方按照预设顺序秘密产生随机数组K_i而计算R_i＝fr(R_i-1,K_i)，得出所述预设顺序中最后一方的R_m＝(x,y)，并通过第一分量取值函数f1()计算签名第一分量r＝f1(R_m,e)，e为密码杂凑函数作用于消息M的输出值，fr()为单向函数；

联合签名第二分量计算模块，用于根据m个联合方依据与所述预设顺序相反的顺序恢复各自的私钥因子d_i而计算S_i＝fs(S_i+1,K_i,d_i)，得出所述预设顺序中第一方的S₁,从而通过第二分量取值函数f2()计算出签名第二分量s＝f2(S₁,r)，fs()为非单向函数；

系统还可包括数字签名值计算模块，用于根据签名第一分量r值和签名第二分量s值求出到多方联合的数字签名值Sign(M)＝(r,s)。

本发明的有益效果是：

本发明的多方联合密钥产生和数字签名方法及系统，其显著的效果是单个或多个签名单元的信息泄露并不会造成最终用户私钥的泄露。即只要不是所有的签名单元均被攻破，攻击者并不能达到使用用户私钥签名的目的，而相对集中的签名服务中心，由于设施到位，防控措施有效，可以更好地保护用户私钥。

本发明提出的多方联合数字签名的方法，改变了过去标准的数字签名只能由个体进行数字签名的限制，将数字签名扩展到由多个独立个体组成的联合体的情况，并在各方联合完成数字签名运算的情况下，才可以实现该联合体的数字签名。在联合签名的过程中，每个个体使用公钥加密或私钥签名的手段，进一步保证信息传递的私密性或真实性，有效防止信息传递过程中的信息泄露或信息伪造等攻击。

附图说明

图1为本发明多方联合密钥产生和数字签名系统一实施例的构成示意图；

图2为本发明的多方联合密钥产生和数字签名方法的密钥产生流程示意图；

图3为本发明的多方联合密钥产生和数字签名方法的数字签名第一分量r产生流程示意图；

图4为本发明的多方联合密钥产生和数字签名方法的数字签名第二分量s产生流程示意图；

图5为本发明的多方联合密钥产生和数字签名方法一实施例的三方数字签名流程示意图；

图6为本发明的多方联合密钥产生和数字签名方法一实施例的四方无中心联合密钥生成及数字签名示意图；

图7为本发明的多方联合密钥产生和数字签名方法一实施例的四方有中心联合密钥生成及数字签名示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例对本发明的多方联合密钥产生和数字签名方法及系统进行进一步详细说明。需要说明的是，在不冲突的情况下，以下各实施例及实施例中的特征可以相互组合。应当理解，此处所描述的具体实施例仅用于解释本发明，并不用于限定本发明。

参照图1，本发明一实施例的多方联合密钥产生和数字签名的系统由m个联合方组成，m个联合方的各方均由联合密钥产生模块、联合签名第一分量计算模块和联合签名第二分量计算模块组成。其中：

联合密钥产生模块用于联合签名密钥的产生，即按照预定的次序，接收前一方计算结果，产生各自的私钥因子和公钥因子，并将计算结果传送至下一方。其中第一方为发起方，需设定初始值。第m方为最后一级，计算结果无需再传送，并计算出最终联合签名的公钥结果。

联合签名第一分量计算模块，用于联合数字签名时，计算数字签名的第一分量，即按照预定的顺序接收前一方计算的结果Q_i-1，计算本方的Q_i，并将计算结果传送至下一方。其中第一方为发起方，需设定fr()函数的初始值Q₀。第m方为最后一级，计算结果无需再传送，并计算出最终联合签名的第一分量r。

联合签名第二分量计算模块，用于联合数字签名时，计算数字签名的第二分量，即按照第一分量计算顺序的相反顺序，接收前一方计算结果S_i+1，计算本方的S_i，并将计算结果传送至下一方。其中第m方为第二分量计算的发起方，需设定fs()函数的初始值S_m+1。第一方为最后一级，计算结果无需再传送，并计算出最终联合签名的第二分量s。

服务中心为可选模块，其功能为按照预定的顺序与联合签名各方进行通信，由于各方之间无需再相互通信，m个联合方的各方仅需要与服务中心通信即可，所以简化联合各方的密钥产生流程和联合数字签名的流程。图1中服务中心包括密钥产生模块、签名及验证计算模块、加密及解密计算模块。

同时，服务中心还可以为该m个联合方的服务过程产生中心密钥对。其中，中心公钥传送给联合各方，服务中心秘密保存中心私钥，同时m各方在密钥产生时，除秘密产生并保存自己的私钥因子外，还可以将公钥因子传送给服务中心。这样，服务中心与联合各方可以通过数字签名技术或加密解密技术保护数字签名过程中的通信数据的安全性。

参照图2至图4，本发明实施例的多方联合密钥产生和数字签名方法，包括以下步骤：

生成m个联合方的联合签名私钥d，联合签名私钥d由m份私钥因子d_i组成，i＝[1,m]，其中m≥3，该用户签名私钥d是在密钥生成时，由m个联合方各自分别产生并秘密保存在各自的设备中，即每个联合方秘密产生并保存一份私钥因子d_i。m个联合方联合签名密钥的产生过程为：

设定初始值Q₀,并按照预设顺序使用单向函数fd()进行计算：

首先第一方产生秘密产生私钥因子d₁，并计算Q₁＝fd(Q₀,d₁)；将Q₁传送给第二方；

第二方产生秘密产生私钥因子d₂，并计算Q₂＝fd(Q₁,d₂)；将Q₂传送给第三方；

以此类推。一般地，第i方产生秘密产生私钥因子d_i，并计算Q_i＝fd(Q_i-1,d_i)；将Q_i传送给第i+1方，直至最后第m方；

第m方产生秘密产生私钥因子d_m，并计算Q_m＝fd(Q_m-1,d_m)；并计算出联合签名公钥P＝fp(Q_m)。

m个联合方的各方使用各自秘密保存的私钥因子d_i的联合签名过程分为第一分量r和第二分量s的计算流程，并按照预设顺序分别使用单向函数fr()和非单向函数fs()进行计算，为保护各私钥因子的安全性，计算过程中使用了随机数组K_i，一般地，K_i表述为两个不同的随机数。

m个联合方按照预设顺序产生随机数组K_i，计算R_i＝fr(R_i-1,K_i)，得出所述预设顺序中最后一个联合方的R_m,计算联合签名第一分量r＝f1(R_m,e)；

m个联合方依据与所述预设顺序相反的顺序恢复各自的私钥因子d_i，计算S_i＝fs(S_i+1,K_i,d_i)，得出所述预设顺序中第一个联合方的S₁,计算出联合签名第二分量s＝f2(S₁,r)；

根据联合签名第一分量r和联合签名第二分量s得到多方联合的数字签名值Sign(M)＝(r,s)。

以上方案的显著效果是单个或多个签名单元的信息泄露并不会造成最终用户私钥的泄露。即只要不是所有的签名单元均被攻破，攻击者并不能达到使用用户私钥签名的目的。

采用SM2密码算法时，各函数定义及初值定义为：

函数fd(P,d)为SM2椭圆曲线的倍点运算，初值P₀＝G,G为SM2椭圆曲线的基点，即：

P_i＝fd(P_i-1,d_i)＝[d_i]P_i-1 (公式1)

公钥计算函数fp()为SM2椭圆曲线点所定义的减法：

fp(Q)＝Q-G (公式2)

第一分量计算函数fr()为SM2定义的椭圆曲线上的倍点运算的混合运算,初值R₀＝0，K＝(k₁,k₂)：

R_i＝fr(R_i-1,K)＝[k₁]R_i-1+[k₂]G (公式3)

上述公式中P_i、R_i、Q均为SM2算法定义的椭圆曲线上的点，并定义如果R＝O，则对任何正整数k有[k]R＝O。

第二分量计算函数fs()为模运算：

S＝fs(Y,K,d) (公式4)

s₁＝dk₁y₁(mod n)

s₂＝d(k₂y₁+y₂)(mod n)

上式中:S＝(s₁,s₂),Y＝(y₁,y₂),K＝(k₁,k₂)，初值Y_m+1＝(1，r),n为SM2椭圆曲线的阶。

联合多方数字签名第一分量取值函数f1(R,e)定义为：如果R＝(x,y)是最后一方的运算结果，e是数据M和联合公钥P计算密码杂凑函数作用于消息M的输出值，则联合数字签名的第一分量r值为：

r＝f1(R,e)＝x+e(mod n) (公式5)

联合多方数字签名第二分量取值函数f2(R,e)定义为，如果S＝(s₁,s₂)是循环运算的最后一方运算结果，则联合数字签名的第二分量s值为：

s＝f2(S,r)＝s₂-r(mod n) (公式6)

r为联合签名第一份值.

实例一

本实施例涉及的是三方密钥产生流程及数字签名的实现，一种典型的应用是一个合伙人公司有三个主要领导，分别是第一方：财务总监，第二方:总经理和第三方:董事长。公司重要文件需要三方共同对该文件进行数字签名，三方各自具有公司签名私钥的一个私钥因子，只有三方联合签名才会完成公司重要文件的数字签名。并约定签名的顺序为财务总监、总经理、董事长，即顺序为第一方、第二方、第三方。三方的签名设备可以是他们使用的个人电脑、手机或专用签名设备，如USB-KEY。

如图5所示，以下实例以SM2非对称密码算法为例，说明三方(m＝3)联合密钥产生流程及数字签名的实现。同时，为保障消息来源的真实性，多方签名消息过程中增加了消息签名，以确定消息的真伪。

1、三方密钥产生流程

步骤1：第一方产生随机数作为本方私钥因子d₁∈(0,n-1]，并计算P₁＝fd(G,d₁)，Q₁＝fd(Q₀,d₁ ^-1)，并将第一方公钥因子P₁和临时变量Q₁发送至第二方；

步骤2：第二方产生随机数作为本方私钥因子d₂∈(0,n-1]，并计算P₂＝fd(G,d₂)，Q₂＝fd(Q₁,d₂ ^-1)，删除Q₁并将第二方公钥因子P₂和临时变量Q₂发送至第三方；将第二方公钥因子P₂发送至第一方；

步骤3：第三方产生随机数作为本方私钥因子d₃∈(0,n-1]，并计算P₃＝fd(G,d₃)，Q₃＝fd(Q₂,d₃ ^-1)，计算P＝fp(Q₃)并验证P适合为合法公钥，如果是，则密钥对产生结束，删除Q₂和Q₃并将第三方公钥因子P₃发送至第二方；否则重复步骤3。

其结果是：第一方产生并秘密保存私钥因子d₁，得到第二方的公钥因子P₂；第二方产生并秘密保存私钥因子d₂和第一方及第三方的公钥因子P₁和P₃；第三方产生并秘密保存私钥因子d₃和第二方的公钥因子P₂。

验证通过的公钥P即为联合签名私钥所对应的公钥。

由于函数fd()为单向函数，所以三方的私钥因子d_i仅为产生方所有并秘密保存，其它两方及无关方无法得知。

2、三方联合数字签名流程

令随机数组K_i＝(k_i1,k_i2)，其中k_i1∈(0,n-1],k_i2∈(0,n-1]为两个相互独立的随机数。

设Sign(X，d)为使用私钥d对X的数字签名结果。

已知e为密码杂凑函数作用于消息M的输出值，R₀＝O。则三方联合数字签名第一分量r的计算流程为：

步骤1：第一方产生随机数组K₁＝(k₁₁，k₁₂)，并计算R₁＝fr(R₀,K₁)，并使用私钥因子d₁对R₁进行数字签名SR₁＝Sign(R₁，d₁)，然后将R₁及SR₁发送至第二方；

步骤2：第二方使用第一方公钥因子P₁对SR₁进行验签，确定R₁的真实性。若R₁真实可靠，则产生随机数组K₂＝(k₂₁，k₂₂)，并计算R₂＝fr(R₁,K₂)，并使用私钥因子d₂对R₂进行数字签名SR₂＝Sign(R₂，d₂)，然后将R₂及SR₂发送至第三方；

步骤3：第三方使用第二方公钥因子P₂对SR₂进行验签，确定R₂的真实性。若R₂真实可靠，则产生随机数组K₃＝(k₃₁，k₃₂)，并计算R₃＝fr(R₂,K₃)。计算数字签名第一分量：r＝f1(R₃,e)。

步骤4：令初值S₄＝(1，r)，第三方计算S₃＝fs(S₄,K₃,d₃)，并使用私钥因子d₃对S₃进行数字签名SS₃＝Sign(S₃，d₃)，然后将S₃及SS₃发送至第二方；

步骤5：第二方使用第三方公钥因子P₃对SS₃进行验签，确定S₃的真实性。若S₃真实可靠，计算S₂＝fs(S₃,K₂,d₂)，并使用私钥因子d₂对S₂进行数字签名SS₂＝Sign(S₂，d₂)，然后将S₂及SS₂＝Sign(S₂，d₂)发送至第一方；

步骤6：第一方使用第二方公钥因子P₂对SS₂进行验签，确定S₂的真实性。若S₂真实可靠，计算S₁＝fs(S₂,K₁,d₁)；计算数字签名第二分量：s＝f2(S₁,r)。

其结果是：三方联合并使用各自秘密保管的私钥因子d_i通过多个步骤，共同完成数字签名Sign(M)＝(r,s)。同时该签名可以使用三方密钥产生流程所共同产生的公钥P进行标准SM2签名验证。三方在消息传递过程中，发送方使用了私钥因子进行消息签名，接收方使用对方的公钥因子进行签名验证，保证了消息的真实性。如果任何一方的签名验证失败，则说明该消息不是对方的真实消息，而返回失败结果。

实例二

本实施例涉及的是无中心四方密钥产生流程及数字签名的实现，本发明的另一个特点是对等性，即m个联合签名方相互平等，可以不存在上下级的关联关系。本实例以4个联合签名方组成的例子来说明其对等的密钥产生流程及数字签名的实现。

参照图6，图6是m＝4的四方无中心联合密钥生成及数字签名流程示意图。为表示其地位相等起见，假定四个联合方分别为A方、B方、C方、D方。本实例仅为说明各方的对等关系，因此忽略各方公钥因子的产生和传递过程。

1、无中心四方密钥产生流程

事先假定密钥产生的顺序为A方→B方→C方→D方，记为[A,B,C,D]，如图5的虚线所示，其密钥生产过程流程为：

步骤1：A方由于是初始方，令Q₀＝G，秘密产生私钥因子d_A；计算Q_A＝fd(Q₀，d_A ^-1)；将Q_A发送至B方。

步骤2：B方接收Q_A，秘密产生私钥因子d_B；计算Q_B＝fd(Q_A，d_B)；将Q_B发送至C方。

步骤3：C方接收Q_B，秘密产生私钥因子d_C；计算Q_C＝fd(Q_B，d_C)；将Q_C发送至D方。

步骤4：D方接收Q_C，秘密产生私钥因子d_D；计算Q_D＝fd(Q_C，d_D)；由于D方是密钥产生的最后一方，需计算四方联合公钥P＝P_D–G。并验证公钥P的合法性，如不合法重新产生私钥因子d_D，计算并验证公钥直至公钥P合法。

实际上，上述步骤是按照[A,B,C,D]的顺序进行的，也可以是[B,C,A,D]，也可以是[D,B,A,C]，其结果是一样的，即假设四个联合方的私钥因子d_i不变，其最终联合签名私钥d和公钥是一致的。即：密钥产生顺序不会影响密钥产生的效果。

2、无中心四方数字签名流程

四方联合数字签名同样是与顺序无关，图6的实线标注的顺序是本实例的四方联合数字顺序[D,B,C,A]，其联合数字签名步骤为：

步骤1：D方由于是初始方，令R₀＝O。产生随机数组K_D；计算R_D＝fr(R₀,K_D)；将R_D发送至B方。

步骤2：B方接收R_D；产生随机数组K_B；计算R_B＝fr(R_D,K_B)；将R_B发送至C方。

步骤3：C方接收R_B；产生随机数组K_C；计算R_C＝fr(R_B,K_C)；将R_C发送至A方。

步骤4：A方接收R_C；产生随机数组A_A；计算R_A＝fr(R_C,K_A)＝(x，y)；计算联合签名第一分量r＝f1(R_A,e)。

步骤5：A方恢复私钥因子d_A，令初值S₀＝(1，r)，计算S_A＝fs(S₀,K_A,d_A)，然后将S_A发送至C方；

步骤6：C方接收S_A，C方恢复私钥因子d_C，计算S_C＝fs(S_A,K_C,d_C)，然后将S_C发送至B方；

步骤7：B方接收S_C，B方恢复私钥因子d_B，计算S_B＝fs(S_C,K_B,d_B)，然后将S_B发送至D方；

步骤8：D方接收S_B，D方恢复私钥因子d_D，计算S_D＝fs(S_B,K_D,d_D)＝(s_D1,s_D2)。

计算数字签名第二分量s＝f2(S_D,r)。

实际上，上述数字签名过程的步骤是按照[D,B,C,A]的顺序进行的，也可以是[B,C,A,D]，也可以是[D,A,B,C]等等，其结果是一样的，签名值Sign＝(r,s)均为杂凑值e的四方联合数字签名的有效结果。

实施例三

本实施例涉及的是有中心四方密钥产生流程及数字签名的实现。

多方联合密钥产生和数字签名方法，也可以是有中心的系统构成，其特点是中心负责与联合的各个联络及通信，使得各方不需相互发送消息或结果。在中心的协调下，各方使用各自的私钥因子完成联合密钥产生和数字签名。在有中心的情况下，联合签名的各方与中心之间还可以具有相互独有的加密密钥对即可以对各方与中心之间的信息进行加密，也可以对该信息进行签名以保证各方与中心之间信息的机密性和真实性。

一种典型的应用是一个股份公司A有四个股东，A公司的重要文件需要各股东方对该文件进行数字签名，四个股东各自具有公司签名私钥的一个私钥因子，只有四个股东联合签名才会完成公司的数字签名。而服务中心可以是一个公众服务机构，在该服务中心的配合下完成各方的联合签名工作，同时该服务中心具有A公司的签名公钥P_A，用于鉴定公司签名的有效性或合法性。

参照图7，图7是四方有中心联合密钥生成及数字签名示意图。

1、有中心四方密钥产生流程

有中心的多方密钥产生流程需在服务中心的指挥下完成，由于各联合方地位平等，所以服务中心流程可以任意制定该流程中各方的先后次序。为方便起见，假定服务中心按照[1,2,3,4]的顺序进行。其步骤为：

步骤1：服务中心产生一个随机数d作为中心私钥，并计算中心公钥P＝fd(G,d)；并将P和fr()初值R₀发送给第一方；

步骤2：第一方接收服务中心公钥P，产生随机数d₁作为本方的私钥因子，并计算P₁＝fd(G,d₁)，Q₁＝fd(Q₀,d₁ ^-1)，并将计算结果P₁和Q₁发送给中心。

服务中心得到P₁和Q₁。这样，第一方具有私钥因子d₁和中心公钥P，中心除具有中心私钥d外，还具有第一方的公钥因子P₁和临时变量Q₁。

服务中心将中心公钥P和Q₁发给第二方，并删除Q₁。

步骤3：第二方接收服务中心公钥P和Q₁，产生随机数d₂作为本方的私钥因子，并计算P₂＝fd(G,d₂)，Q₂＝fd(Q₁,d₂ ^-1)，并将计算结果P₂和Q₂发送给服务中心。

服务中心得到P₂和Q₂。这样，第二方具有私钥因子d₂和中心公钥P，服务中心除具有中心私钥d外，还具有第二方的公钥因子P₂和临时变量Q₂。

服务中心将中心公钥P和Q₂发给第三方，并删除Q₂。

步骤4：第三方接收服务中心公钥P和Q₂，产生随机数d₃作为本方的私钥因子，并计算P₃＝fd(G,d₃)，Q₃＝fd(Q₂,d₃ ^-1)，并将计算结果P₃和Q₃发送给服务中心。

服务中心得到P₃和Q₃。这样，第三方具有私钥因子d₃和中心公钥P，服务中心除具有中心私钥d外，还具有第三方的公钥因子P₃和临时变量Q₃。

服务中心将中心公钥P和Q₃发送给第四方，并删除Q₃。

步骤5：第四方接收服务中心公钥P和Q₃，产生随机数d₄作为本方的私钥因子，并计算P₄＝fd(G,d₄)，Q₄＝fd(Q₃,d₄ ^-1)，并将计算结果P₄和Q₄发送给服务中心。

服务中心得到P₄和Q₄。这样，第四方具有私钥因子d₄和中心公钥P，服务中心除具有中心私钥d外，还具有第四方的公钥因子P₄和临时变量Q₄。

服务中心计算该四方联合验签公钥P_A＝fp(Q₄)。中心保存四方联合验签公钥P_A，并删除Q₄。

通过以上5个步骤，四方各自秘密获得签名私钥因子d_i，(i＝1,2,3,4)和中心公钥P，而服务中心获得并保存了与该四方使用的通信私钥d和与各方通信专用的公钥P_i，i＝(1,2,3,4)及四方联合签名公钥P_A。

2、有中心四方数字签名产生流程

有中心的多方数字签名流程需在服务中心的指挥下完成，由于各联合方地位平等，所以服务中心流程可以任意制定该流程中各方的先后次序。为方便起见，假定服务中心按照[1,2,3,4]的顺序进行。其步骤为：

步骤1a：服务中心获得待签名文件M，使用该四方签名公钥P_A、该四方的标识ID_A和文件M，计算密码杂凑函数作用于消息M的输出值e。

步骤1b：服务中心中心使用与第一方公钥因子P₁对R₀进行加密，并将密文R”₀发送给第一方。

步骤2a：第一方使用私钥因子d₁解密密文R”₀，得到明文R₀。

步骤2b：第一方产生随机数组K₁；计算R₁＝fr(R₀,K₁)；

步骤2c：第一方使用中心公钥P对R₁进行加密，并将密文R’₁发送给服务中心。

步骤3a：服务中心使用中心私钥d对R’₁进行解密，获得R₁明文，再使用第二方公钥因子P₂对R₁进行再加密，并将密文R”₁发送给第二方。

步骤3b：第二方使用私钥因子d₂解密密文R”₁，得到明文R₁。

步骤3c：第二方产生随机数组K₂；计算R₂＝fr(R₁,K₂)；

步骤3d：第二方使用中心公钥P对R₂进行加密，并将密文R’₂发送给服务中心。

步骤4a：服务中心使用中心私钥d对R’₂进行解密，获得R₂明文，再使用第三方公钥因子P₃对R₂进行再加密，并将密文R”₂发送给第三方。

步骤4b：第三方使用私钥因子d₃解密密文R”₂，得到明文R₂。

步骤4c：第三方产生随机数组K₃；计算R₃＝fr(R₂,K₃)；

步骤4d：第三方使用中心公钥P对R₃进行加密，并将密文R’₃发送给服务中心。

步骤5a：服务中心使用中心私钥d对R’₃进行解密，获得R₃明文，再使用第四方公钥因子P₄对R₃进行再加密，并将密文R”₃发送给第四方。

步骤5b：第四方使用私钥因子d₄解密密文R”₃，得到明文R₃。

步骤5c：第四方产生随机数组K₄；计算R₄＝fr(R₃,K₄)；

步骤5d：第四方使用中心公钥P对R₄进行加密，并将密文R’₄发送给服务中心。

步骤6：服务中心使用中心私钥d对R’₄进行解密，获得R₄明文，计算四方联合数字签名第一分量r＝f1(R₄,e)。

步骤7a：服务中心使用第四方公钥因子P₄对S₅＝(1，r)进行加密，并将密文S”₅发送给第四方。

步骤7b：第四方使用私钥因子d₄解密密文S”₅，得到明文S₀。

步骤7c：第四方计算S₄＝fs(S₅,K₄,d₄)。

步骤7d：第四方使用中心公钥P对S₄进行加密，并将密文S’₄发送给服务中心。

步骤8a：服务中心使用中心私钥d对S’₄进行解密，获得S₄明文，再使用第三方公钥因子P₃对S₄进行再加密，并将密文S”₄发送给第三方。

步骤8b：第三方使用私钥因子d₃解密密文S”₄，得到明文S₄。

步骤8c：第三方计算S₃＝fs(S₄,K₄,d₃)。

步骤8d：第三方使用中心公钥P对S₃进行加密，并将密文S’₃发送给服务中心。

步骤9a：服务中心使用中心私钥d对S’₃进行解密，获得S₃明文，再使用第二方公钥因子P₂对S₃进行再加密，并将密文S”₃发送给第二方。

步骤9b：第二方使用私钥因子d₂解密密文S’₃，得到明文S₃。

步骤9c：第二方计算S₂＝fs(S₃,K₂,d₂)。

步骤9d：第二方使用中心公钥P对S₂进行加密，并将密文S’₂发送给服务中心。

步骤10a：服务中心使用中心私钥d对S’₂进行解密，获得S₂明文，再使用第一方公钥因子P₁对S₂进行再加密，并将密文S”₂发送给第一方。

步骤10b：第一方使用私钥因子d₁解密密文S”₂，得到明文S₂。

步骤10c：第一方计算S₁＝fs(S₂,K₁,d₁)。

步骤10d：第一方使用中心公钥P对S₁进行加密，并将密文S’₁发送给服务中心。

步骤11：服务中心使用中心私钥d对S’₁进行解密，获得S₁明文。计算四方联合数字签名第二分量s＝f2(S₁,r)。

通过以上步骤，在服务中心指挥下，四方联合的数字签名Sign＝(r,s)完成，服务中心还可以使用该四方联合验签公钥P_A对签名值(r,s)进行验证。

上述通信过程均使用了非对称密码算法对通信内容进行了加密，其优点是，由于使用了公钥加密，只有具有私钥的一方才可以正确解密并获得正确明文。

以上各实施方式的多方联合密钥产生和数字签名方法及系统，将数字签名扩展到由多个独立个体组成的联合体的情况，并在各方联合完成数字签名运算的情况下，才可以实现该联合体的数字签名。在联合签名的过程中，每个个体使用公钥加密或私钥签名的手段，进一步保证信息传递的私密性或真实性，有效防止信息传递过程中的信息泄露或信息伪造等攻击。

以上各实施例的多方联合密钥产生和数字签名方法及系统，其显著的效果是单个或多个签名单元的信息泄露并不会造成最终用户私钥的泄露。即只要不是所有的签名单元均被攻破，攻击者并不能达到使用用户私钥签名的目的。而相对集中的签名服务中心，由于设施到位，防控措施有效，可以更好地保护用户私钥因子。

本发明的主要特点为：

多方各自产生并保管自己的私钥因子d_i，并计算各自的公钥因子P_i；其中私钥因子除进行联合数字签名外,还可以出于安全的目的进行本方的独立的数字签名或数据加密，并且具有其公钥因子的其它方可以进行签名验证或数据解密。

数字签名时需由多方共同联合进行运算，各自按照顺序使用自己秘密保存的私钥d_i进行运算，最终得到多方联合的数字签名值Sign(M)。数字签名Sign(M)由相互独立的多方共同才可以完成，缺失任何一方都无法完成数字签名。多方各自秘密保存独立的私钥因子d_i，多方各自使用独立的私钥因子d_i进行运算，相互配合最终结果完成多方联合数字签名Sign(M)。

私钥d可以表述为私钥因子的函数，即d＝g(d₁,d₂,…d_m)。任何一方、多方或网络监听者均不能获取完整私钥d。任何一方的私钥因子d_i，网络监听者及其它方均不能获取。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (9)

1.一种多方联合密钥产生和数字签名方法，其基于SM2密码算法，其特征在于，联合签名私钥d由m份私钥因子d_i组成，i＝[1,m]，其中m≥3，m份私钥因子d_i由联合各方在密钥生成时独立秘密产生并秘密保存在各自的设备中；联合数字签名完成需要各方按照一定顺序，使用各自秘密保存的私钥因子d_i通过计算共同参与完成，且m方联合使用各自私钥因子d_i的联合签名结果与单独使用私钥d进行签名的结果一致；

还包括计算联合签名第一分量r和联合签名第二分量s的步骤，联合签名第一分量r是由m个联合方按照一定顺序，通过计算共同参与完成；联合签名第二分量s是由m个联合方按照与计算第一分量r时的相反顺序，通过计算共同参与完成；

其中，m个联合方按照预设顺序秘密产生随机数组K_i而计算R_i＝fr(R_i-1,K_i)＝[k_i1]R_i-1+[k_i2]G，得出所述预设顺序中最后一方的R_m＝(x,y)，并通过第一分量取值函数f1()计算签名第一分量r＝f1(R_m,e)＝x+e(mod n)，e为密码杂凑函数作用于消息M的输出值，fr()为单向函数；R_i为SM2算法定义的椭圆曲线上的点，初值R₀＝0；随机数组K_i＝(k_i1,k_i2)，G为SM2椭圆曲线的基点，n为SM2椭圆曲线的阶；

m个联合方依据与所述预设顺序相反的顺序恢复各自的私钥因子d_i而计算S_i＝fs(S_i+1,K_i,d_i)，得出所述预设顺序中第一方的S₁＝(s₁₁,s₁₂),从而通过第二分量取值函数f2()计算出签名第二分量s＝f2(S₁,r)＝s₁₂–r(mod n)，fs()为非单向函数；

S_i＝(s_i1,s_i2)＝fs(Y_i,K_i,d_i)

s_i1＝d_ik_i1y_i1(mod n)

s_i2＝d_i(k_i2y_i1+y_i2)(mod n)

式中:Y_i＝(y_i1,y_i2)＝S_i+1；初值Y_m＝S_m+1＝(1，r)。

2.根据权利要求1所述的多方联合密钥产生和数字签名方法，其特征在于，联合签名第一分量r是由m个联合方按照一定顺序，通过计算共同参与完成，具体步骤为：

第一顺序方产生随机数组K₁，同时使用单向函数fr()计算R₁＝fr(R₀,K₁),并将结果R₁发送给第二顺序方，其中R₀为函数fr()的初值；

第二顺序方接收R₁,产生随机数组K₂，计算R₂＝fr(R₁,K₂),并将结果R₂发送给第三顺序方；

以此类推，直至到m个联合方的最后顺序方；

最后顺序方接收R_m-1,产生随机数组K_m，计算R_m＝fr(R_m-1,K_m,),并最终根据R_m计算出m个联合方的联合签名第一分量r＝f1(R_m,e)，其中，f1()为第一分量取值计算函数，e为密码杂凑函数作用于消息M的输出值。

3.根据权利要求1所述的多方联合密钥产生和数字签名方法，其特征在于，联合签名第二分量s是由m个联合方按照与计算联合签名第一分量r时的相反顺序，并使用各自的私钥因子d_i通过计算共同参与完成，具体步骤为：

第m顺序方使用函数fs()计算S_m＝fs(S_m+1,K_m,d_m),并将结果S_m发送给第m-1顺序方；其中S_m+1为函数fs()的初值,d_m是第m顺序方的私钥因子，K_m是第m顺序方在计算联合签名第一分量r时所产生的随机数组；

第m-1顺序方接收S_m，计算S_m-1＝fs(S_m,K_m-1,d_m-1),并将结果S_m-1发送给第m-2顺序方；其中d_m-1是第m-1顺序方的私钥因子，K_m-1是第m-1顺序方在计算联合签名第一分量r时所产生的随机数组；

以此类推，直至到m个联合方的第一顺序方；

第一顺序方接收S₂，计算S₁＝fs(S₂,K₁,d₁),并最终根据S₁和联合签名第一分量r值，使用第二分量取值计算函数f2()计算出m个联合方的联合签名第二分量s＝f2(S₁,r)；其中d₁是第一顺序方的私钥因子，K₁是第一顺序方在计算联合签名第一分量r时所产生的随机数组。

4.根据权利要求2或3所述的多方联合密钥产生和数字签名方法，其特征在于，联合签名计算过程需按照一定顺序进行计算联合签名第一分量r，并按照相反的顺序计算联合签名第二分量s，其计算过程是每一个联合方均产生各自的随机数组K_i并使用各自的私钥因子参与计算，顺序为任意顺序，只要遍历m个联合方即可，且各联合方均参与且仅参与一次，计算联合签名第二分量s的顺序必须是计算r顺序的相反顺序。

5.根据权利要求1-3任一项所述的多方联合密钥产生和数字签名方法，其特征在于，还包括m个联合方根据各自的私钥因子d_i计算出各自的公钥因子P_i的步骤，该公钥因子和私钥因子可用于m个联合方之间信息传递中的信息加密和解密，也可以用于信息的签名和验证。

6.根据权利要求1-3任一项所述的多方联合密钥产生和数字签名方法，其特征在于，还包括计算用于联合签名验证的公钥P的步骤，用于联合签名验证的公钥P是由m个联合方按照一定顺序，使用各自秘密保存的私钥因子d_i通过计算共同参与完成，具体步骤为：

第一顺序方使用单向函数fd()计算Q₁＝fd(Q₀,d₁),并将结果Q₁发送给第二顺序方，其中Q₀为函数fd()的初值；

第二顺序方接收Q₁,计算Q₂＝fd(Q₁,d₂),并将结果Q₂发送给第三顺序方；

以此类推，直至到m个联合方的最后顺序方；

最后顺序方接收Q_m-1,计算Q_m＝fd(Q_m-1,d_m),并最终计算出m个联合方的用于联合签名验证的公钥P＝fp(Q_m)，其中fp()为用于联合签名验证的公钥计算函数。

7.根据权利要求6所述的多方联合密钥产生和数字签名方法，其特征在于，所述用于联合签名验证的公钥P的计算由m个联合方按照一定顺序进行，其计算过程是每一个联合方均使用各自的私钥因子参与计算，顺序为任意顺序，只要遍历m个联合方即可，且各联合方均参与且仅参与一次。

8.根据权利要求1所述的多方联合密钥产生和数字签名方法，其特征在于，还包括通过服务中心协调各联合方来完成联合数字签名的步骤，在该步骤中，各联合方仅与服务中心通信，该步骤包括：

服务中心制定m个联合方的联合密钥产生和联合数字签名的计算顺序，以及各预设的计算函数初值的赋值；

各联合方按照服务中心制定的第一顺序，使用单向函数fr()依次计算出各自的R_i＝fr(R_i-1,K_i)，并发送至服务中心，i＝1～m；服务中心根据最后一方的R_m计算出m个联合方的联合签名第一分量r＝f1(R_m,e)；其中，f1()为第一分量取值计算函数，e为密码杂凑函数作用于消息M的输出值，K_i为第i方运算时秘密产生的随机数组；

各联合方按照服务中心制定的第二顺序，使用非单向函数fs()依次计算出各自的S_i＝fs(S_i-1,K_i,d_i)，并将S_i发送服务中心，i＝1～m；服务中心根据第二顺序最后一方的S₁计算出联合数字签名第二分量s＝f2(S₁,r)，其中f2()是第二分量取值计算函数，第二顺序与第一顺序相反。

9.一种多方联合密钥产生和数字签名系统，其基于SM2密码算法，其特征在于，包括m个联合方，每个联合方各自具有独立的子系统，每个子系统包括：

联合密钥生成模块，用于联合各方生成用户签名私钥d，用户签名私钥d由m份私钥因子d_i组成，i＝[1,m]，其中m≥3，该用户签名私钥d_i是在密钥生成时由m个联合方各自分别产生并秘密保存在各自的设备中；

联合签名第一分量计算模块，用于联合数字签名时计算联合数字签名第一分量r；联合签名第一分量r是由m个联合方按照一定顺序，通过计算共同参与完成；其中，m个联合方按照预设顺序秘密产生随机数组K_i而计算R_i＝fr(R_i-1,K_i)＝[k_i1]R_i-1+[k_i2]G，得出所述预设顺序中最后一方的R_m＝(x,y)，并通过第一分量取值函数f1()计算签名第一分量r＝f1(R_m,e)＝x+e(mod n)，e为密码杂凑函数作用于消息M的输出值，fr()为单向函数；R_i为SM2算法定义的椭圆曲线上的点，初值R₀＝0；随机数组K_i＝(k_i1,k_i2)，G为SM2椭圆曲线的基点，n为SM2椭圆曲线的阶；

联合签名第二分量计算模块，用于联合数字签名时计算联合数字签名的第二分量s，联合签名第二分量s是由m个联合方按照与计算第一分量r时的相反顺序，通过计算共同参与完成；其中，m个联合方依据与所述预设顺序相反的顺序恢复各自的私钥因子d_i而计算S_i＝fs(S_i+1,K_i,d_i)，得出所述预设顺序中第一方的S₁＝(s₁₁,s₁₂),从而通过第二分量取值函数f2()计算出签名第二分量s＝f2(S₁,r)＝s₁₂–r(mod n)，fs()为非单向函数；

S_i＝(s_i1,s_i2)＝fs(Y_i,K_i,d_i)

s_i1＝d_ik_i1y_i1(mod n)

s_i2＝d_i(k_i2y_i1+y_i2)(mod n)

式中:Y_i＝(y_i1,y_i2)＝S_i+1；初值Y_m＝S_m+1＝(1，r)。

Images