CN107528696B - 一种隐藏私钥秘密的数字签名生成方法及系统 - Google Patents

Abstract

本发明涉及一种隐藏私钥秘密的数字签名生成方法：m或m+1个装置使用随机生成的、与用户SM2私钥d_A毫无关系的秘密c₁,…,c_m以及隐藏了私钥d_A的c₀=(c₁c₂…c_m)^‑1(1+d_A)^‑1 mod n，协同计算得到使用用户的SM2私钥d_A针对消息的数字签名，其中c₁,…,c_m由m个不同装置保存、使用，c₀由m个装置中的一个或第m+1个装置使用。基于本发明的方法，除了保存、使用c₀的装置，其他装置使用的是与用户私钥无关的、随机选择的秘密。本发明的方法中的c₀,c₁,…,c_m可不断更新，从而进一步提高了方法的安全性。本发明的方法在保证安全的同时能很好地满足《中华人民共和国电子签名法》的要求。

Description

一种隐藏私钥秘密的数字签名生成方法及系统

技术领域

本发明属于信息安全技术领域，特别是一种隐藏私钥秘密的数字签名生成方法及系统。

背景技术

SM2是由国家密码管理局颁布的一种椭圆曲线公钥密码算法(参见《SM2椭圆曲线公钥密码算法》规范，国家密码管理局，2010年12月)，基于此算法能实现数字签名、密钥交换及数据加密。但是，由于SM2算法独特的数字签名运算方式，通常的秘密共享(分割)方式及对应的基于秘密共享的密码运算方式，无法适合于使用SM2私钥进行数字签名的情形。针对此问题，人们提出了一些相应的技术方案。这些技术方案普遍采用的方法是将用户的SM2私钥d_A的秘密(1+d_A)^-1，分割成多份，即d₁,…,d_m，每份称为秘密份额，而这些秘密份额与(1+d_A)^-1满足关系(d₁d₂…d_m)mod n＝(1+d_A)^-1或(d₁d₂…d_m)mod n＝(1+d_A)(这两者等价)，或(d₁+d₂…+d_m)mod n＝(1+d_A)^-1，然后将此多份秘密份额分别交给m个装置保存；当需要使用用户私钥d_A针对一个消息进行数字签名时，由m个装置分别使用d₁,…,d_m通过协同计算得到针对消息的数字签名。但是，这类方法存在如下问题：

一是，每个装置保存、使用的是与秘密(1+d_A)^-1直接相关的秘密份额，一旦泄露，就为攻击者破解(1+d_A)^-1(即d_A)提供了有用的信息，增大了私钥d_A破解的风险(虽然个别装置秘密份额的泄露不意味私钥被破解，但增大了破解的风险)；

二是私钥秘密(1+d_A)^-1一旦分割、共享，秘密份额就不能改变(改变意味着私钥的改变)，而秘密份额长时间保持不变，会增大被破解的风险。

发明内容

本发明的目的是提出一种能隐藏私钥秘密、能对秘密更新的数字签名生成方法以及相应的系统，以便进一步提高基于协同计算的SM2数字签名生成方法的安全性，降低私钥破解的风险。

针对本发明的目的，本发明提出的技术方案是一种隐藏私钥秘密的数字签名生成方法及系统。

在以下对本发明技术方案的描述中，若P、Q是椭圆曲线点群中的元素(点)，则P+Q表示P、Q的点加，P-Q表示P加上Q的逆元，[k]P表示k个椭圆曲线点P的点加，即P+P+...+P(共有k个P)；省略号“...”，表示多个同样(类型)的数据项或多个同样的运算；c^-1表示整数c的模n乘法逆(即cc^-1mod n＝1)；多个整数相乘(包括整数符号相乘、常数与整数符号相乘)，在不产生二义性的情况下，省略掉乘号“·”，如k₁·k₂简化为k₁k₂，3·c，简化位3c；mod n表示模n运算(modulo operation)，对应于《SM2椭圆曲线公钥密码算法》规范(国家密码管理局，2010年12月)中的modn；还有，模n运算的算子mod n的优先级是最低的，如a+b mod n等同于(a+b)mod n，a-b mod n等同于(a-b)mod n，ab mod n等同于(ab)mod n。

本发明的隐藏私钥秘密的数字签名生成方法又包括基本方法和派生的方法，其中基本方法如下。

所述基本方法涉及m个装置，其中m≥2；

m个装置分别标号为第1号到第m号装置；

m个装置分别保存有[1,n-1]区间内的整数秘密c₁,c₂,…,c_m，其中c_i是由第i号装置保存的秘密，i＝1,…,m；第1号装置同时保存有[1,n-1]区间内的整数c₀；m个装置保存的秘密满足如下关系：

c₀＝(c₁c₂…c_m)^-1(1+d_A)^-1mod n，

其中，d_A是用户的SM2私钥，n是SM2密码运算所使用的椭圆曲线点群的阶，也即SM2密码运算所使用的椭圆曲线点群的基点G的阶(SM2密码运算所使用的椭圆曲线点群是指由基点G生成的循环群)；

(这里c₀实际上是使用秘密c₁,c₂,…,c_m对私钥秘密(1+d_A)^-1进行加密的结果，即加密的私钥秘密)

在初始化阶段预先计算得到：

G_d＝[1+d_A]G，

P＝[d_A]G，

其中，d_A是用户的SM2私钥，G是SM2密码运算所使用的椭圆曲线点群的基点，P是d_A对应的公钥；

将G_d分发给所述m个装置、将公钥P公开发布；

当需要使用用户的SM2私钥d_A针对消息M进行数字签名时，m个装置按如下方式进行数字签名的生成(需要使用用户的SM2私钥d_A、针对消息M进行数字签名的主体可以是调用这m个装置的密码应用程序、系统或密码模块，或者m个装置之一中的密码应用程序、系统)：

第1号装置取G₀为SM2椭圆曲线的零元(无穷远点)；

第1号装置在[1,n-1]区间内随机选择一整数k₁，计算G₁＝[c₁]G₀+[k₁]G_d或G₁＝[c₁](G₀+[k₁])G_d；

第1号装置将G₁传送给下一个装置即第2号装置；

第i号装置接收到G_i-1后，i＝2,…,m，在[1,n-1]区间内随机选择一整数k_i，计算G_i＝[c_i]G_i-1+[k_i]G_d或G_i＝[c_i](G_i-1+[k_i]G_d)；

若i＝m，则转入计算r，否则，第i号装置将G_i传送给下一装置即第i+1号装置，直到第m号装置完成G_m的计算；

不同的装置计算G_i所采用的计算公式相同或者不同(独立选择)；

完成G_m的计算后，由m个装置中的一个装置或者由m个装置之外的一个装置计算r＝(e+x₁)mod n，其中x₁取自(x₁,y₁)＝G_m，e是从用户标识和消息M导出的杂凑值(即散列值)(按SM2算法，e是从用户标识ID_A等参数导出的杂凑值Z_A同消息M合并后的数据的杂凑值，参见SM2规范)；

若得到的r、G_m满足：r≠0且[r]G+G_m不是SM2椭圆曲线点群的零元(无穷远点)，则继续计算数字签名，否则，重新计算G_m和r(可以从G₁从头开始重新计算)，直到r≠0且[r]G+G_m不是SM2椭圆曲线点群的零元(无穷远点)；

完成r的计算后转入s的计算；

第1号装置计算s₀＝(c₀r)mod n(即s₀＝(c₀·r)mod n)；

第1号装置按如下方式计算s₁：

若之前计算G₁采用公式G₁＝[c₁]G₀+[k₁]G_d，则s₁＝(c₁s₀+k₁)mod n；

若之前计算G₁采用公式G₁＝[c₁](G₀+[k₁])G_d，则s₁＝c₁(s₀+k₁)mod n；

(此时计算s₁的k₁与计算G₁的k₁相同)

第1号装置将s₁传送给下一个装置即第2号装置；

第i号装置接收到s_i-1后，i＝2,…,m，按如下方式计算s_i：

若之前计算G_i采用公式G_i＝[c_i]G_i-1+[k_i]G_d，则s_i＝(c_is_i-1+k_i)mod n；

若之前计算G_i采用公式G_i＝[c_i](G_i-1+[k_i]G_d)，则s_i＝c_i(s_i-1+k_i)mod n；

(此时计算s_i的k_i与计算G_i的k_i相同)

若i＝m，则转入计算s，否则，第i号装置将s_i传送给下一装置即第i+1号装置，直到第m号装置完成s_m的计算；

第m号装置或其他装置计算得到s＝(s_m-r)mod n；

则(r,s)就是生成的针对消息M的数字签名。

最后计算得到(r,s)的装置，利用消息M及用户私钥d_A对应的公钥验证数字签名(r,s)的有效性，若无效则m个装置重新进行数字签名的生成。

在以上所述方法中，c₀即便公开以上所述方法也是安全的，除非m个装置共谋，c₀即便公开了攻击者也无法得到用户的SM2私钥d_A，但不公开，更安全。

若d_A是预先知道的(已生成)，则在初始化阶段，预先知道d_A的装置按如下方式选取或计算c_i，i＝0,1,…,m，计算得到G_d＝[1+d_A]G，以及用户私钥d_A对应的公钥P：

在[1,n-1]区间中随机选择m个整数c_i，i＝1,…,m，分别交由m个装置安全保存，其中c_i是第i号装置保存的整数秘密；

计算得到c₀＝(c₁c₂…c_m)^-1(1+d_A)^-1mod n；

计算得到G_d＝[1+d_A]G；

计算得到P＝[d_A]G；

在完成c₀、G_d和P的计算后，将计算得到的G_d分发给m个装置，将c₀交由第1号装置保存，将公钥P发布，将d_A销毁，将不属于自身保存、使用的c_i销毁，i＝0,1,…,m；

所述预先知道d_A的装置是m个装置中的一个装置或者m个装置之外的一个装置(若是m个装置中的一个装置，则对于基本方法，通常是第1号装置，对于派生的方法通常是第0号装置)。

若d_A不是预先知道的(尚未生成)，则在初始化阶段，m个装置按如下方式选取c_i，i＝0,1,…,m，计算得到G_d＝[1+d_A]G，以及用户私钥d_A对应的公钥P：

m个装置中的每个装置分别在[1,n-1]区间中随机选择一个整数c_i，i＝1,…,m，其中c_i是第i号装置随机选择的整数；

第1号装置在[1,n-1]区间中还随机选择一个整数c₀；

m个装置按如下方式计算得到G_d＝[1+d_A]G：

第1号装置计算P₀＝[(c₀)^-1]G，P₁＝[(c₁)^-1]P₀；

第1号装置将P₁传送给下一个装置即第2号装置；

第i号装置接收到P_i-1后，i＝2,…,m，计算P_i＝[(c_i)^-1]P_i-1；

若i＝m，则G_d＝P_m即为[1+d_A]G，否则，第i号装置将P_i传送给下一装置即第i+1号装置，直到第m号装置完成P_m的计算；

第m号装置(或其他装置)计算得到P＝P_m-G；

若P不是SM2椭圆曲线点群的零元(无穷远点)，则P即为用户私钥d_A对应的SM2公钥，否则，重新开始c_i的选择，i＝0,1,…,m，重新计算G_d、P，直到P不是SM2椭圆曲线点群的零元(无穷远点)；

完成G_d和P计算后，将计算得到的G_d分发给m个装置，将公钥P发布。

在计算G_i过程中，i＝1,…m的，一旦出现G_i是SM2椭圆曲线点群的零元(无穷远点)，则重新进行G_i的计算(通常全部装置从头开始，重新计算G₁,…,G_i)，直到G_i不是SM2椭圆曲线点群的零元(无穷远点)。

若上述计算过程中，在计算得到G_m、r后,仅检查r是否为零，不检查[r]G+G_m是否是SM2椭圆曲线点群的零元(无穷远点)，且仅在r＝0时重新进行G_m、r的计算(只要r≠0就不重新进行G_m、r计算)，则：

在计算得到s后，若检查发现(s+r)mod n＝0，则放弃计算得到的s，重新计算G_m、r(比如从G₁开始从头计算，或仅重新计算G_m)，重新计算s，重复此过程，直到(s+r)mod n≠0。

第i号装置，i＝1或,…,或m，按如下方式更新c_i(m个装置无需同时更新c_i)：

在[1,n-1]区间内随机选择一个整数t_i，用(t_ic_i)mod n更新c_i(作为新的c_i值)；

将t_i交给保存有c₀的装置(对于基本方法，若i＝1，则是交给自己；对于后面所述的派生的方法，则是交给第0号装置)；

保存有c₀的装置用((t_i)^-1c₀)mod n更新c₀(作为新的c₀值)(这样并不会造成c_i的泄露)；

若第i号装置取t_i＝b_i(c_i)^-1mod n，其中b_i是[1,n-1]区间内随机选择的一个整数，则第i号装置将其秘密从c_i替换成了b_i；

保存有c₀的装置按如下方式主动更新c₀：

在[1,n-1]区间内随机选择一个整数t₀，用(t₀c₀)mod n更新c₀(作为新的c₀值)；

将t₀交给第i号装置，i＝1或,…,或m(从第1到第m号装置中随机选择一个装置，对于基本方法，若i＝1，则是交给自己；对于后面所述的派生的方法，则是交给第0号装置)；

第i号装置用((t₀)^-1c_i)mod n更新c_i(作为新的c_i值)。

基于以上所述的隐藏私钥秘密的数字签名生成方法的基本方法，可以构建一个隐藏私钥秘密的数字签名生成系统，所述系统包括m个装置，m个装置分别被标号为第1号到第m号装置，所述m个装置按所述数字签名生成方法，使用c₀,c₁,c₂,…,c_m，生成针对消息的SM2数字签名。

在上述隐藏私钥秘密的数字签名生成方法的基本方法的基础上，可派生出一种隐藏私钥秘密的数字签名生成方法，具体如下。

所述派生的数字签名生成方法涉及m+1个装置，其中m≥2；

m+1个装置分别标号为第0号装置，第1号装置，…，第m号装置；

所述派生的数字签名生成方法与派生前的原方法的差别在于：

满足关系c₀＝(c₁c₂…c_m)^-1(1+d_A)^-1mod n的c₀作为秘密由第0号装置保存使用，其中c₁,…,c_m分别为第1号到第m号装置保存的秘密；

当需要使用用户的SM2私钥d_A针对消息M进行数字签名时，第0号装置在[1,n-1]区间内随机选择一个整数k₀，计算G₀＝[k₀]G_d或G₀＝[c₀k₀]G_d，然后将G₀传送给第1号装置，之后第1号到第m号装置，基于G₀按前述隐藏私钥秘密的数字签名生成方法的基本方法中的协同计算方式，计算得到满足条件的r；

计算得到r后，第0号装置按如下方式计算得到s₀：

若之前计算G₀采用公式是G₀＝[k₀]G_d，则s₀＝(k₀+c₀r)mod n；

若之前计算G₀采用公式是G₀＝[c₀k₀]G_d，则s₀＝(c₀k₀+c₀r)mod n；

(此时的k₀与G₀计算的k₀相同)

之后，第1号到第m号装置，基于s₀按前述隐藏私钥秘密的数字签名生成方法的基本方法中的协同计算方式，计算得到s_m；

之后，第m号装置或其他装置计算得到s＝(s_m-r)mod n；

则(r,s)即为针对消息M的数字签名。

(这里，在此方案中，c₀是作为安全秘密使用的，其中m个装置作弊也无法破解私钥d_A)

对于上述派生的数字签名方法，其初始化如下。

若d_A是预先知道的(已生成)，则在初始化阶段，预先知道d_A的装置将计算得到的c₀交由第0号装置保存使用；

若d_A不是预先知道的(尚未生成)，则在初始化阶段，m+1个装置中的每个装置分别在[1,n-1]区间中随机选择一个整数c_i，i＝0,1,…,m，其中c_i是第i号装置随机选择的整数；第0号装置计算得到P₀＝[(c₀)^-1]G，将P₀交给第1号装置，之后由第1号到第m号装置基于P₀以及c_i，i＝1,…,m，按前述方式计算得到G_d、P；

将G_d分发给所述m+1装置，将P公开发布；

在对c₀更新时(主动或被动更新)，c₀的更新操作由第0号装置完成。

在以上所述派生的数字签名生成方法的基础上，可构建相应的数字签名生成系统，所构建的数字签名生成系统包括m+1个装置，其中m≥2；m+1个装置分别标号为第0号装置，第1号装置，…，第m号装置；所述m+1个装置按所述派生的数字签名生成方法，使用c₀,c₁,c₂,…,c_m，生成针对消息的SM2数字签名。

与通常的直接分割私钥秘密(1+d_A)^-1，利用分割后的私钥秘密通过协同运算得到数字签名不同，本发明实际上是利用多个密钥c₁,…,c_m对私钥秘密(1+d_A)^-1进行加密，然后使用加密后的私钥秘密即c₀以及加密密钥c₁,…,c_m通过协同计算得到数字签名。

在本发明的方法中，由于c₀＝(c₁c₂…c_m)^-1(1+d_A)^-1mod n，因此，实际上由c₀隐藏了私钥d_A的秘密(即隐藏了(1+d_A)^-1)，而在d_A未预先生成的情况下，选择c₀相当于以一种非常间接、保密的方式生成d_A。

从以上描述可以看到，基于本发明的方法，m或m+1个装置使用随机生成的、与用户SM2私钥d_A毫无关系的秘密c₁,…,c_m，以及隐藏了用户SM2私钥d_A秘密的c₀，协同计算得到使用用户的SM2私钥d_A针对一个消息的数字签名；m或m+1个装置使用c₁,…,c_m以及c₀的协同计算过程实际上是在不暴露c₁,…,c_m以及私钥秘密(1+d_A)^-1的情况下对c₀的解密过程。

在本发明的方法中，包含私钥秘密的c₀原本是无需保密的，只要c₁,…,c_m保护好，本发明的方法本身就是安全的，但是，在本发明中，c₀也被当作秘密使用，这样就进一步提高了方法的安全性；再有，本发明中的秘密c₀,c₁,…,c_m可不断更新，从而进一步提高方法的安全性。

《中华人民共和国电子签名法》要求电子签名生成数据由签名者控制，而本发明的方法很好地满足了《电子签名法》的要求。基于本发明的方法，无论用户的私钥d_A是预先已产生的还是非预先已产生的，只要使用c₀的装置是拥有私钥的用户的装置，比如用户的移动终端，那么，由于其他装置没有接触到用户私钥的任何秘密，因此用户私钥完全在用户的控制之下。

本专利申请的一个突出优点是，m个装置的秘密c₁,…,c_m可以保存在一个安全中心，而私钥拥有者保护好被加密的c₀；当某个装置的秘密c_i丢失时，可从安全中心恢复c_i，但安全中心无法得到用户的私钥；其他的SM2数字签名协同计算方案无法做到这点。

附图说明

无。

具体实施方式

下面结合实施例对本发明作进一步的描述。以下实施例仅是本发明列举的几个可能的实施例，不代表全部可能的实施例，不作为对本发明的限定。

实施例1、

此实施例包括m个分别标号为第1号到第m号的装置，其中第1号装置有用户的预先生成的d_A；在初始化阶段，第1号装置按如下方式选取或计算c_i，i＝0,1,…,m，计算得到G_d＝[1+d_A]G，以及用户私钥d_A对应的公钥P：

在[1,n-1]区间中随机选择m个整数c_i，i＝1,…,m，分别交由m个装置安全保存，其中c_i是第i号装置保存的整数秘密(c₁由第1号装置自己保存)；

计算得到c₀＝(c₁c₂…c_m)^-1(1+d_A)^-1mod n；

计算得到G_d＝[1+d_A]G；

计算得到P＝[d_A]G；

在完成c₀、G_d和P的计算后，c₀由第1号装置自己保存，将计算得到的G_d分发给m个装置，将公钥P发布，将d_A销毁，第1号装置将不属于自身保存、使用的c_i销毁(i＝2,…，m)；

之后，当需要使用用户私钥d_A针对消息M进行SM2数字签名时，m个装置按所述隐藏私钥秘密的数字签名生成方法的基本方法生成针对消息M的SM2数字签名。

实施例2、

此实施例包括m个分别标号为第1号到第m号的装置，m个装置之外的一个装置有用户的预先生成的d_A；在初始化阶段，预先知道d_A的装置按如下方式选取或计算c_i，i＝0,1,…,m，计算得到G_d＝[1+d_A]G，以及用户私钥d_A对应的公钥P：

在[1,n-1]区间中随机选择m个整数c_i，i＝1,…,m，分别交由m个装置安全保存，其中c_i是第i号装置保存的整数秘密；

计算得到c₀＝(c₁c₂…c_m)^-1(1+d_A)^-1mod n；

计算得到G_d＝[1+d_A]G；

计算得到P＝[d_A]G；

在完成c₀、G_d和P的计算后，将计算得到的G_d分发给m个装置，将c₀交由第1号装置保存，将公钥P发布，将d_A销毁，将c_i销毁(i＝0,1,…,m)；

之后，当需要使用用户私钥d_A针对消息M进行SM2数字签名时，m个装置按所述隐藏私钥秘密的数字签名生成方法的基本方法生成针对消息M的SM2数字签名。

实施例3、

此实施例包括m个分别标号为第1号到第m号的装置，没有装置有用户的预先生成的SM2私钥d_A；在初始化阶段，m个装置按如下方式选取c_i，i＝0,1,…,m，计算得到G_d＝[1+d_A]G，以及用户私钥d_A对应的公钥P：

m个装置中的每个装置分别在[1,n-1]区间中随机选择一个整数c_i，i＝1,…,m，其中c_i是第i号装置随机选择的整数；

第1号装置在[1,n-1]区间中还随机选择一个整数c₀；

m个装置按如下方式计算得到G_d＝[1+d_A]G：

第1号装置计算P₀＝[(c₀)^-1]G，P₁＝[(c₁)^-1]P₀；

第1号装置将P₁传送给下一个装置即第2号装置；

第i号装置接收到P_i-1后，i＝2,…,m，计算P_i＝[(c_i)^-1]P_i-1；

若i＝m，则G_d＝P_m即为[1+d_A]G，否则，第i号装置将P_i传送给下一装置即第i+1号装置，直到第m号装置完成P_m的计算；

第m号装置(或其他装置)计算得到P＝P_m-G；

若P不是SM2椭圆曲线点群的零元(无穷远点)，则P即为用户私钥d_A对应的SM2公钥，否则，重新开始c_i的选择，i＝0,1,…,m，重新计算G_d、P，直到P不是SM2椭圆曲线点群的零元(无穷远点)；

完成G_d和P计算后，将计算得到的G_d分发给m个装置，将公钥P发布；

之后，当需要使用用户私钥d_A针对消息M进行SM2数字签名时，m个装置按所述隐藏私钥秘密的数字签名生成方法的基本方法生成针对消息M的SM2数字签名。

实施例4、

此实施例包括m+1个分别标号为第0号、第1号到第m号的装置，其中第0号装置有用户的预先生成的SM2私钥d_A；在初始化阶段，第0号装置按如下方式选取或计算c_i，i＝0,1,…,m，计算得到G_d＝[1+d_A]G，以及用户私钥d_A对应的公钥P：

在[1,n-1]区间中随机选择m个整数c_i，i＝1,…,m，分别交由m个装置安全保存，其中c_i是第i号装置保存的整数秘密；

计算得到c₀＝(c₁c₂…c_m)^-1(1+d_A)^-1mod n；

计算得到G_d＝[1+d_A]G；

计算得到P＝[d_A]G；

在完成c₀、G_d和P的计算后，c₀由第0号装置自己保存，将计算得到的G_d分发给m个装置，将公钥P发布，将d_A销毁，第0号装置将不属于自身保存、使用的c_i销毁(i＝1,…，m)；

之后，当需要使用用户私钥d_A针对消息M进行SM2数字签名时，m+1个装置按所述隐藏私钥秘密的数字签名生成方法的派生的方法生成针对消息M的SM2数字签名。

实施例5、

此实施例包括m+1个分别标号为第0号、第1号到第m号的装置，没有装置有用户的预先生成的d_A；在初始化阶段，m个装置按如下方式选取c_i，i＝0,1,…,m，计算得到G_d＝[1+d_A]G，以及用户私钥d_A对应的公钥P：

m+1个装置中的每个装置分别在[1,n-1]区间中随机选择一个整数c_i，i＝0,1,…,m，其中c_i是第i号装置随机选择的整数；

m个装置按如下方式计算得到G_d＝[1+d_A]G：

第0号装置计算P₀＝[(c₀)^-1]G，将P₀传送给第1号装置；

第1号装置计算P₁＝[(c₁)^-1]P₀，P₁传送给下一个装置即第2号装置；

第i号装置接收到P_i-1后，i＝2,…,m，计算P_i＝[(c_i)^-1]P_i-1；

若i＝m，则G_d＝P_m即为[1+d_A]G，否则，第i号装置将P_i传送给下一装置即第i+1号装置，直到第m号装置完成P_m的计算；

第m号装置(或其他装置)计算得到P＝P_m-G；

若P不是SM2椭圆曲线点群的零元(无穷远点)，则P即为用户私钥d_A对应的SM2公钥，否则，重新开始c_i的选择，i＝0,1,…,m，重新计算G_d、P，直到P不是SM2椭圆曲线点群的零元(无穷远点)；

完成G_d和P计算后，将计算得到的G_d分发给m个装置，将公钥P发布；

之后，当需要使用用户私钥d_A针对消息M进行SM2数字签名时，m+1个装置按所述隐藏私钥秘密的数字签名生成方法的派生的方法生成针对消息M的SM2数字签名。

基于本发明的方法可构建相应的隐藏私钥秘密的数字签名生成系统，此系统包括m或m+1个装置，m≥2，其中一个装置可以是用户的移动终端(比如，作为基本方法中的第1号装置，或派生方法中的第0号装置)，剩余装置是位于网络上的密码服务器，或者所有装置都是位于网络上的密码服务器；此m或m+1个装置通过实施本发明的基本方法或派生的方法，生成使用用户的SM2私钥d_A针对消息的数字签名；所构建的数字签名生成系统可用于前述实例1到实施5。

其他未说明的具体技术实施，对于相关领域的技术人员而言是众所周知，不言自明的。

Claims (10)

1.一种隐藏私钥秘密的数字签名生成方法，其特征是：

所述方法涉及m个装置，其中m≥2；

m个装置分别标号为第1号到第m号装置；

m个装置分别保存有[1,n-1]区间内的整数秘密c₁,c₂,…,c_m，其中c_i是由第i号装置保存的秘密，i＝1,…,m；第1号装置同时保存有[1,n-1]区间内的整数c₀；m个装置保存的秘密满足如下关系：

c₀＝(c₁c₂…c_m)^-1(1+d_A)^-1mod n，

其中，d_A是用户的SM2私钥，n是SM2密码运算所使用的椭圆曲线点群的阶，也即SM2密码运算所使用的椭圆曲线点群的基点G的阶；

在初始化阶段预先计算得到：

G_d＝[1+d_A]G，

P＝[d_A]G，

其中，d_A是用户的SM2私钥，G是SM2密码运算所使用的椭圆曲线点群的基点，P是d_A对应的公钥；

将G_d分发给所述m个装置、将公钥P公开发布；

当需要使用用户的SM2私钥d_A针对消息M进行数字签名时，m个装置按如下方式进行数字签名的生成：

第1号装置取G₀为SM2椭圆曲线的零元；

第1号装置在[1,n-1]区间内随机选择一整数k₁，计算G₁＝[c₁]G₀+[k₁]G_d或G₁＝[c₁](G₀+[k₁])G_d；

第1号装置将G₁传送给下一个装置即第2号装置；

第i号装置接收到G_i-1后，i＝2,…,m，在[1,n-1]区间内随机选择一整数k_i，计算G_i＝[c_i]G_i-1+[k_i]G_d或G_i＝[c_i](G_i-1+[k_i]G_d)；

若i＝m，则转入计算r，否则，第i号装置将G_i传送给下一装置即第i+1号装置，直到第m号装置完成G_m的计算；

不同的装置计算G_i所采用的计算公式相同或者不同；

完成G_m的计算后，由m个装置中的一个装置或者由m个装置之外的一个装置计算r＝(e+x₁)mod n，其中x₁取自(x₁,y₁)＝G_m，e是从用户标识和消息M导出的杂凑值；

若得到的r、G_m满足：r≠0且[r]G+G_m不是SM2椭圆曲线点群的零元，则继续计算数字签名，否则，重新计算G_m和r，直到r≠0且[r]G+G_m不是SM2椭圆曲线点群的零元；

完成r的计算后转入s的计算；

第1号装置计算s₀＝(c₀r)mod n；

第1号装置按如下方式计算s₁：

若之前计算G₁采用公式G₁＝[c₁]G₀+[k₁]G_d，则s₁＝(c₁s₀+k₁)mod n；

若之前计算G₁采用公式G₁＝[c₁](G₀+[k₁])G_d，则s₁＝c₁(s₀+k₁)mod n；

第1号装置将s₁传送给下一个装置即第2号装置；

第i号装置接收到s_i-1后，i＝2,…,m，按如下方式计算s_i：

若之前计算G_i采用公式G_i＝[c_i]G_i-1+[k_i]G_d，则s_i＝(c_is_i-1+k_i)mod n；

若之前计算G_i采用公式G_i＝[c_i](G_i-1+[k_i]G_d)，则s_i＝c_i(s_i-1+k_i)mod n；

若i＝m，则转入计算s，否则，第i号装置将s_i传送给下一装置即第i+1号装置，直到第m号装置完成s_m的计算；

第m号装置或其他装置计算得到s＝(s_m-r)mod n；

则(r,s)就是生成的针对消息M的数字签名。

2.根据权利要求1所述的隐藏私钥秘密的数字签名生成方法，其特征是：

若d_A是预先知道的，则在初始化阶段，预先知道d_A的装置按如下方式选取或计算c_i，i＝0,1,…,m，计算得到G_d＝[1+d_A]G，以及用户私钥d_A对应的公钥P：

在[1,n-1]区间中随机选择m个整数c_i，i＝1,…,m，分别交由m个装置安全保存，其中c_i是第i号装置保存的整数秘密；

计算得到c₀＝(c₁c₂…c_m)^-1(1+d_A)^-1mod n；

计算得到G_d＝[1+d_A]G；

计算得到P＝[d_A]G；

在完成c₀、G_d和P的计算后，将计算得到的G_d分发给m个装置，将c₀交由第1号装置保存，将d_A对应的公钥P发布，将d_A销毁，将不属于自身保存、使用的c_i销毁，i＝0,1,…,m；

所述预先知道d_A的装置是m个装置中的一个装置或者m个装置之外的一个装置。

3.根据权利要求1所述的隐藏私钥秘密的数字签名生成方法，其特征是：

若d_A不是预先知道的，则在初始化阶段，m个装置按如下方式选取c_i，i＝0,1,…,m，计算得到G_d＝[1+d_A]G，以及用户私钥d_A对应的公钥P：

m个装置中的每个装置分别在[1,n-1]区间中随机选择一个整数c_i，i＝1,…,m，其中c_i是第i号装置随机选择的整数；

第1号装置在[1,n-1]区间中还随机选择一个整数c₀；

m个装置按如下方式计算得到G_d＝[1+d_A]G：

第1号装置计算P₀＝[(c₀)^-1]G，P₁＝[(c₁)^-1]P₀；

第1号装置将P₁传送给下一个装置即第2号装置；

第i号装置接收到P_i-1后，i＝2,…,m，计算P_i＝[(c_i)^-1]P_i-1；

若i＝m，则G_d＝P_m即为[1+d_A]G，否则，第i号装置将P_i传送给下一装置即第i+1号装置，直到第m号装置完成P_m的计算；

第m号装置计算得到P＝P_m-G；

若P不是SM2椭圆曲线点群的零元，则P即为用户私钥d_A对应的SM2公钥，否则，重新开始c_i的选择，i＝0,1,…,m，重新计算G_d、P，直到P不是SM2椭圆曲线点群的零元；

完成G_d和P计算后，将计算得到的G_d分发给m个装置，将公钥P发布。

4.根据权利要求1所述的隐藏私钥秘密的数字签名生成方法，其特征是：

在计算G_i过程中，i＝1,…,m，一旦出现G_i是SM2椭圆曲线点群的零元，则重新进行G_i的计算，直到G_i不是SM2椭圆曲线点群的零元。

5.根据权利要求1所述的隐藏私钥秘密的数字签名生成方法，其特征是：

若上述计算过程中，在计算得到G_m、r后,仅检查r是否为零，不检查[r]G+G_m是否是SM2椭圆曲线点群的零元，且仅在r＝0时重新进行G_m、r的计算，则：

在计算得到s后，若检查发现(s+r)mod n＝0，则放弃计算得到的s，重新计算G_m、r，重新计算s，重复此过程，直到(s+r)mod n≠0。

6.根据权利要求1所述的隐藏私钥秘密的数字签名生成方法，其特征是：

第i号装置，i＝1或,…,或m，按如下方式更新c_i：

在[1,n-1]区间内随机选择一个整数t_i，用(t_ic_i)mod n更新c_i；

将t_i交给保存有c₀的装置；

保存有c₀的装置用((t_i)^-1c₀)mod n更新c₀；

若第i号装置取t_i＝b_i(c_i)^-1mod n，其中b_i是[1,n-1]区间内随机选择的一个整数，则第i号装置将其秘密从c_i替换成了b_i；

保存有c₀的装置按如下方式主动更新c₀：

在[1,n-1]区间内随机选择一个整数t₀，用(t₀c₀)mod n更新c₀；

将t₀交给第i号装置，i＝1或,…,或m；

第i号装置用((t₀)^-1c_i)mod n更新c_i。

7.一种基于权利要求1-6中任一项的隐藏私钥秘密的数字签名生成方法的隐藏私钥秘密的数字签名生成系统，其特征是：

所述系统包括m个装置，m个装置分别被标号为第1号到第m号装置，所述m个装置按所述数字签名生成方法，使用c₀,c₁,c₂,…,c_m，生成针对消息的SM2数字签名。

8.一种从权利要求1-6中任一项所述的隐藏私钥秘密的数字签名生成方法派生的数字签名生成方法，其特征是：

所述派生的数字签名生成方法涉及m+1个装置，其中m≥2；

m+1个装置分别标号为第0号装置，第1号装置，…，第m号装置；

所述派生的数字签名生成方法与派生前的原方法的差别在于：

满足关系c₀＝(c₁c₂…c_m)^-1(1+d_A)^-1mod n的c₀作为秘密由第0号装置保存使用，其中c₁,…,c_m分别为第1号到第m号装置保存的秘密；

当需要使用用户的SM2私钥d_A针对消息M进行数字签名时，第0号装置在[1,n-1]区间内随机选择一个整数k₀，计算G₀＝[k₀]G_d或G₀＝[c₀k₀]G_d，然后将G₀传送给第1号装置，之后第1号到第m号装置，基于G₀按前述派生前的隐藏私钥秘密的数字签名生成方法中的协同计算方式，计算得到满足条件的r；

计算得到r后，第0号装置按如下方式计算得到s₀：

若之前计算G₀采用公式是G₀＝[k₀]G_d，则s₀＝(k₀+c₀r)mod n；

若之前计算G₀采用公式是G₀＝[c₀k₀]G_d，则s₀＝(c₀k₀+c₀r)mod n；

之后，第1号到第m号装置，基于s₀按前述派生前的隐藏私钥秘密的数字签名生成方法中的协同计算方式，计算得到s_m；

之后，第m号装置或其他装置计算得到s＝(s_m-r)mod n；

则(r,s)即为针对消息M的数字签名。

9.根据权利要求8所述的派生的数字签名生成方法，其特征是：

若d_A是预先知道的，则在初始化阶段，预先知道d_A的装置将计算得到的c₀交由第0号装置保存使用；

若d_A不是预先知道的，则在初始化阶段，m+1个装置中的每个装置分别在[1,n-1]区间中随机选择一个整数c_i，i＝0,1,…,m，其中c_i是第i号装置随机选择的整数；第0号装置计算得到P₀＝[(c₀)^-1]G，将P₀交给第1号装置，之后由第1号到第m号装置基于P₀以及c_i，i＝1,…,m，计算得到G_d、P；

将G_d分发给所述m+1装置，将P公开发布；

在对c₀更新时，c₀的更新操作由第0号装置完成。

10.一种基于权利要求8所述的派生的数字签名生成方法的数字签名生成系统，其特征是：

所述数字签名生成系统包括m+1个装置，其中m≥2；m+1个装置分别标号为第0号装置，第1号装置，…，第m号装置；所述m+1个装置按所述派生的数字签名生成方法，使用c₀,c₁,c₂,…,c_m，生成针对消息的SM2数字签名。