CN108055134B

CN108055134B - 椭圆曲线点数乘及配对运算的协同计算方法及系统

Info

Publication number: CN108055134B
Application number: CN201711318078.8A
Authority: CN
Inventors: 龙毅宏
Original assignee: Wuhan University of Technology WUT
Current assignee: Wuhan University of Technology WUT
Priority date: 2017-12-12
Filing date: 2017-12-12
Publication date: 2020-08-25
Anticipated expiration: 2037-12-12
Also published as: CN108055134A

Abstract

发明涉及椭圆曲线点的计算方法：素数n为椭圆曲线点群G的阶；第一方有[1,n‑1]中的秘密h，预先有Q_h＝hQ，Q群G中的元；第一方要计算Q_r＝rQ时，r是不等于h且需保密的整数，第一方将w＝(rh^‑1)mod n发送给第二方；第二方计算Q_r＝wQ_h；发明涉及配对运算的计算方法：素数n是双线性映射e：G₁×G₂→G_T中G₁、G₂、G_T的阶；g＝e(S,R)，S、R是群G₁、G₂中的元；第一方有[1,n‑1]中的秘密u以及g_u＝g^u；第一方要计算g_r＝g^r时，r是不等于u且需保密的整数，第一方将w＝(r‑u)mod n发送给第二方；第二方将计算的g_w＝g^w发送给第一方；第一方计算g_r＝g_wg_u。

Description

椭圆曲线点数乘及配对运算的协同计算方法及系统

技术领域

本发明属于信息安全技术领域，特别是针对基于双线性映射(配对运算)的标识密码中的椭圆曲线点数乘(标量乘运算)及配对运算的协同计算方法及系统。

背景技术

与PKI(Public Key Infrastructure)数字证书技术相比，标识密码(IdentityBased Cryptography，IBC)技术由于用户体验好，技术实现简单，目前日益受到人们的重视，具有广阔的应用前景。目前的标识密码算法大多是采用基于双线性映射(配对运算)的算法，其中的双线性映射(配对运算)为：

e：G₁×G₂→G_T时，其中G₁、G₂是加法循环群，G_T是一个乘法循环群，G₁、G₂、G_T的阶是素数n，即若P、Q、R分别为G₁、G₂中的元，则e(P,Q)为G_T中的元，且：

e(P+R,Q)＝e(P,Q)e(R,Q)，

e(P,Q+R)＝e(P,Q)e(P,R)，

e(aP,bQ)＝e(P,Q)^ab。

在实际应用中，G₁、G₂通常是椭圆曲线点加法群(而G_T通常是构建在整数上的乘法群)，因此，这种基于双线性映射(配对运算)标识密码算法在应用时，需要实时进行椭圆曲线点数乘计算(标量乘运算)和配对运算，而椭圆曲线点数乘计算和配对运算的计算量比较大，尤其是配对运算，这对于大多数计算装置包括智能手机等移动终端并不存在问题的，但是，对于资源受限装置，比如无线传感器、智能穿戴装置、无线传感器甚至通常的USB Key，由于它们的计算能力较弱，实时进行这种大计算量的椭圆曲线点数乘计算以及配对运算(双线性映射运算)会存在问题，主要是计算速度很难满足实时要求。

发明内容

本发明的目的是针对基于双线性映射(配对运算)的标识密码算法在资源受限智能装置中应用时，由于装置计算能力受限，很难快速地进行实时椭圆曲线点数乘计算以及配对运算的问题，提出相应的解决方案。

针对以上发明目的，本专利申请提出的技术方案包括针对基于双线性映射(配对运算)的标识密码算法的椭圆曲线点数乘及配对运算的协同计算方法及系统。

在以下对本发明技术方案的描述中，若P、Q是加法群G₁、G₂中的元，则P+Q表示P、Q在加法群上的加，P-Q表示P加上Q的逆元(加法逆元)，kP或[k]P表示k个P在加法群上的加，即P+P+...+P(共有k个P)(若k是负数，则是|k|个P相加的结果的加法逆元)；

省略号“...”，表示多个同样(类型)的数据项或多个同样的运算；

若a、b是乘法群G_T中的元，则ab或a·b表示a、b在乘法群G_T上的乘(只要不产生无二义性，“·”可以省略)，a^-1表示a在乘法群中逆元(乘法逆元)，a^t表示t个a在乘法群G_T上相乘(t是负数，则是|t|个a相乘的结果的乘法逆元)，即幂运算，a^t的另一种表达方式是a^t；

多个整数相乘(包括整数符号相乘、常数与整数符号相乘)，在不产生二义性的情况下，省略掉乘号“·”，如k₁·k₂简化为k₁k₂，3·c，简化为3c；

若c为整数，则c^-1表示整数c的模n乘法逆(即cc^-1mod n＝1)；如无特别说明，本专利发明中整数的乘逆都是针对群G₁、G₂、G_T的阶n的模n乘法逆；

mod n表示模n运算(modulo operation)；还有，模n运算的算子mod n的优先级是最低的，如a+b mod n等同于(a+b)mod n，a-b mod n等同于(a-b)mod n，ab mod n等同于(ab)mod n。

本专利申请提出的椭圆曲线点数乘的协同计算方法又包括两个方案，具体如下。

方案一、

椭圆曲线点数乘的协同计算方法的方案一针对的是阶为素数n的椭圆曲线点群G；

此方案涉及两方：第一方和第二方，其中第一方保存有[1,n-1]区间中的一个整数秘密h，h对应有第一方预先计算得到或知道的Q_h＝hQ，其中Q是群G中的一个元；

当第一方需要计算Q_r＝rQ时，其中r是第一方在[1,n-1]中随机选择的一个不等于h且需保密的整数，第一方与第二方按如下方式完成Q_r的协同计算：

第一方将满足关系w＝(rh^-1)mod n的w发送给第二方，其中h^-1为h的模n乘法逆(即(hh^-1)mod n＝1)；

第二方计算Q_r＝wQ_h，其中Q_h由第一方在计算过程中发送给第二方或者是第二方预先知道的；

第二方将Q_r发送给第一方，则Q_r即为所求。

以上方法中的Q是需要保密的或者是无需保密的。

当以上所述方法用于双线性映射(配对运算)e：G₁×G₂→G_T时，其中G₁、G₂是加法群，G_T是乘法群，G₁、G₂、G_T的阶是素数n，则所述G对应群G₁或G₂，而Q是G₁或G₂中的元。

方案二、

椭圆曲线点数乘的协同计算方法的方案二同样针对的是阶为素数n的椭圆曲线点群G；

此方案二同样涉及两方：第一方和第二方，其中第一方保存有[1,n-1]区间中的一个整数秘密h，h对应有第一方预先计算得到或知道的Q_h＝hQ，其中Q是群G中的一个元；

第一方将满足关系w＝(r-h)mod n的w发送给第二方；

第二方计算Q_r＝wQ+Q_h，其中Q、Q_h由第一方在计算过程中发送给第二方或者是第二方预先知道的；

第二方将Q_r发送给第一方，则Q_r即为所求。

基于以上所述椭圆曲线点数乘的协同计算方法的方案一和方案二，可构建相应的椭圆曲线点数乘的协同计算系统，包括两个装置，其中一个装置作为所述椭圆曲线点数乘的协同计算方法中的第一方，另一个装置作为所述椭圆曲线点数乘的协同计算方法中的第二方；当作为第一方的装置需要计算Q_r＝rQ时，其中r是作为第一方的装置在[1,n-1]中随机选择的一个需保密的整数，两个装置按所述椭圆曲线点数乘的协同计算方法的方案一或方案二计算得到Q_r。

本专利申请提出的配对运算的协同计算方法又包括两个方案，以满足不同的密码运算需求，具体如下。

方案一、

配对运算的协同计算方法的方案一针对的是第一方预先知道的元的配对计算，此方案涉及双线性映射(配对运算)e：G₁×G₂→G_T，其中G₁、G₂是加法群，G_T是乘法群，G₁、G₂、G_T的阶是素数n；

此方案涉及两方：第一方和第二方，其中第一方保存有[1,n-1]区间中的一个整数秘密u，以及g_u＝g^u，其中g＝e(S,R)，S、R分别是群G₁、G₂中的元；

当第一方需要计算g_r＝g^r时(即计算g_r＝e(S,R)^r时)，其中r是第一方在[1,n-1]中随机选择的一个不等于u且需保密的整数，第一方与第二方按如下方式完成g_r的计算：

第一方将满足关系w＝(r-u)mod n的w发送给第二方；

第二方计算g_w＝g^w，将g_w发送给第一方(g是第二方预先知道的，或者在计算过程中第一方将S、R发送给第二方，之后由第二方根据S、R动态计算)；

第一方计算g_r＝g_wg_u，则g_r即为所求。

(此方案一避免了第一方实时进行g^r幂运算,只要最后的g_r是保密的，此方法就是安全的)

基于前述配对运算的协同计算方法的方案一，可构建相应的配对运算的协同计算系统，系统包括两个装置，其中一个装置作为所述配对运算的协同计算方法中的第一方，另一个装置作为所述配对运算的协同计算方法中的第二方；当作为第一方的装置需要计算g_r＝g^r时，其中r是作为第一方的装置在[1,n-1]中随机选择的一个需保密的整数，两个装置按所述配对运算的协同计算方法的方案一计算得到g_r。

方案二、

配对运算的协同计算方法的方案二针对的是涉及第一方的秘密Q_s，如私钥，的配对计算；此方案二涉及双线性映射(配对运算)e：G₁×G₂→G_T，其中G₁、G₂是加法群，G_T乘法群，G₁、G₂、G_T的阶是素数n；

第一方保存有秘密t，t是[1,n-1]中的整数；

第一方或第三方预先计算得到Q_c＝t^-1Q_s，t^-1是t的模n乘法逆(即(t^-1t)mod n＝1)，Q_s是G₂或G₁中的一个元，Q_s是第二方不知道的秘密(比如Q_s是第一方的私钥)；

当第一方需要计算g_v＝e(V,Q_s)或g_v＝e(Q_s,V)时，其中V是G₁或G₂中的一个元，第一方与第二方按如下方式完成g_v的计算：

第一方将V发送给第二方；

第二方计算g_c＝e(V,Q_c)或g_c＝e(Q_c,V)，其中Q_c由第一方发送给第二方，或者第二方预先保存有Q_c；

第二方将g_c发送给第一方；

第一方计算g_v＝(g_c)^t(群G_T中的幂运算)，则g_v即为所求。

(此方案二避免了第一方实时进行e(V,Q_s)配对运算)

以上所述配对运算的协同计算方法的方案二中，若第二方包括m个装置，其中m≥2，Q_c由第二方的m个装置通过共享秘密方式共享(分享)，则第二方中的m个装置通过协同计算得到g_c＝e(V,Q_c)或g_c＝e(Q_c,V)(注意：Q_c由第二方中的m个装置进一步共享不是必须的)。

以上所述配对运算的协同计算方法的方案二中，若所述Q_c由第二方中的m个装置通过共享秘密方式共享(分享)，其中m≥2，则第二方中的m个装置共享Q_c的方式包括秘密共享方案一和秘密共享方案二，具体如下。

Q_c秘密共享方案一、

m个装置分别有秘密Q₁,t₂,…,t_m，其中Q₁＝t₁Q_s,(t₁t₂…t_m)mod n＝t^-1(t₁,t₂,…,t_m的模n乘积)；

而第二方中的m个装置通过如下方式计算得到g_c：

分享有秘密Q₁的装置计算得到g₁＝e(V,Q₁)或g₁＝e(Q₁,V)；

分享有秘密t₂的装置计算得到

依此类推，最后分享有秘密t_m的装置计算得到

则g_c＝g_m。

Q_c秘密共享方案二、

m个装置分别有秘密Q₁＝t₁Q_s,Q₂＝t₂Q_s,…,Q_m＝t_mQ_s，且(t₁+t₂+…+t_m)mod n＝t^-1(t₁,t₂,…,t_m的模n和)；

而第二方中的m个装置通过如下方式计算得到g_c：

分享有秘密t_iQ_s的装置计算得到g_i＝e(V,Q_i)或g_i＝e(Q_i,V)，i＝1,…,m；

最后由第二方中的一个装置或由第一方计算得到g_c＝g₁g₂…g_m。

基于以上所述配对运算的协同计算方法的方案二，可构建相应的配对运算的协同计算系统，系统包括m+1个装置，其中m≥1；m+1个装置中的一个装置作为所述配对运算的协同计算方法中的第一方，而其他的m个装置作为第二方；当作为第一方的装置需要计算g_v＝e(V,Q_s)或g_v＝e(Q_s,V)时，其中V是G₁或G₂中的一个元素，相应地Q_s是G₂或G₁中的一个元素，Q_s是第二方不知道的秘密，m+1个装置按所述配对运算的协同计算方法计算得到g_v。

基于本发明的椭圆曲线点数乘的协同计算方法和系统、配对运算的协同计算方法和系统，结合具体实施例可以看到，当第一方需要进行椭圆曲线点数乘和/或配对运算时，可以在不暴露自己秘密的情况下，由第二方完成复杂的、计算量大的椭圆曲线点数乘运算和/或配对运算，尤其是复杂的、计算量大的配对运算，而第一方自己仅负责完成整数群上的乘运算或幂运算。在实际应用中，第一方通常是一个资源受限装置,而第二方的装置不属于资源受限装置，比如第一方是一个无线传感器、智能穿戴装置，而第二方是与无线传感器、智能穿戴装置交互的网关、计算设备，再比如，第一方式是USB Key，使用用户秘密进行运算，而第二方是USB Key插入的用户计算机，负责进行复杂的椭圆曲线点数乘以及配对运算。

本发明的方法及系统避免了资源受限装置进行复杂的椭圆曲线点计算及配对运算，从而使得基于双向性映射(配对运算)的标识密码技术能够在资源受限装置(如无线传感器、智能穿戴装置、USB Key)中得到应用。在本发明的方法及系统中，只要作为资源受限方的第一方保护好自己的秘密，作为非资源受限方的第二方无需是一个可信的一方。

附图说明

无。

具体实施方式

下面结合实施例对本发明作进一步的描述。以下实施例仅是本发明列举的几个可能的实施例，不代表全部可能的实施例，不作为对本发明的限定。

实施例1、

此实施例针对的是SM9中的加密运算。SM9是国家密码管理局颁布的一种基于双线性映射(配对运算)的标识密码算法。

SM9算法通过双线性映射(配对运算)完成如下映射：

e：G₁×G₂→G_T时，其中G₁、G₂是椭圆曲线点群(加法群)，G_T是一个整数乘法群，G₁、G₂、G_T的阶是素数n(注：在SM9中G₁、G₂、G_T的阶用的符号N，N对应本专利申请的n)。

在SM9进行加密计算的过程中，加密方要计算C₁＝(H₁(ID_B||hid,n))rP₁+rP_pub，其中H₁是散列函数，ID_B是解密方的身份标识，是一个字节表示的私钥生成函数标识符，P₁是群G₁的生成元，P_pub＝sP₁是主公钥，s是主密钥(主私钥)，r是[1,n-1]中随机选择的整数，其中的关键是计算Q₁＝(H₁(ID_B||hid,n))rP₁和Q₂＝rP_pub。

在此实施例中，进行加密计算的一方是一个资源受限装置(如无线传感器、智能穿戴装置、USB Key等)。

此实施例通过如下方式计算得到Q₁和Q₂：

1)此资源受限装置作为前述椭圆曲线点数乘的协同计算方法中的第一方，与一个具有充分计算能力的第二方，通过采用前述椭圆曲线点数乘的协同计算方法的方案一或方案二，实时计算得到Q₁＝(H₁(ID_B||hid,n))rP₁，此时的(H₁(ID_B||hid,n))r整个数对应于前述椭圆曲线点数乘的协同计算方法的方案一或方案二中的需保密的随机整数r，P₁是前述椭圆曲线点数乘的协同计算方法的方案一或方案二中的Q，P₁是第一方、第二方都预先知道的元；

2)此资源受限装置作为前述椭圆曲线点数乘的协同计算方法的方案一或方案二中的第一方，与一个具有充分计算能力的第二方，通过采用前述椭圆曲线点数乘的协同计算方法的方案一或方案二，实时计算得到Q₂＝rP_pub，此时的r对应于前述椭圆曲线数乘点的协同计算方法的方案一或方案二中的需保密的随机整数r，P_pub是前述椭圆曲线点数乘的协同计算方法的方案一或方案二中的Q，P_pub是第一方、第二方都预先知道的元；

3)在以上计算中，针对Q₁和Q₂所采用的h和G_h是不同的(否则会泄密)。

计算得到Q₁和Q₂之后，再由第二方计算得到C₁＝Q₁+Q₂。

在SM9进行加密计算的过程中，加密方还要计算g_r＝g^r，其中g＝e(P_pub,P₂)，P₂是群G₂的生成元，r是[1,n-1]中的一个随机整数。

由于进行加密计算的一方是一个资源受限装置(如无线传感器、智能穿戴装置)，此资源受限装置作为前述配对运算的协同计算方法的方案一中的第一方，与一个具有充分计算能力的第二方，通过采用前述配对运算的协同计算方法的方案一，实时计算得到g^r，此时，g即为前述配对运算的协同计算方法的方案一中的g，P_pub、P₂为此方案一中的S、R，且S、R为第一方、第二方都预先知道的元；在计算g_r中所采用的u与实施例1中计算Q₁和Q₂时所采用的h是不同的。

此实施例中第一方计算得到的g_r除了对解密方外，对其他方需保密；只有g_r保密，即便第二方在计算的C₁过程中作弊，只会造成解密方无法正常解密数据，不会造成被加密的信息泄露。

实施例2、

此实施例针对的是SM9中的解密运算。

在SM9进行解密计算的过程中，解密方要计算w₁＝e(C₁,d_B)，其中d_B是需要保密的解密方的私钥。

同实施例1一样，进行解密计算的一方是一个资源受限装置(如无线传感器、智能穿戴装置、USB Key等)。

此资源受限装置作为前述配对运算的协同计算方法的方案二中的第一方，与一个具有充分计算能力的第二方，通过采用前述配对运算的协同计算方法的方案二，计算得到w₁＝e(C₁,d_B)，此时的w₁即为前述配对运算的协同计算方法的方案二中的g_v，d_B是此方案二中的Q_s，C₁是此方案二中的V。

实施例3、

此实施例与实施例2的差别在于，具有充分计算能力的第二方又包括m个装置，m≥2，m个装置按前述Q_c秘密共享方案一，共享私钥d_B的秘密；在协同计算w₁＝e(C₁,d_B)的过程中，第二方的m个装置使用共享的秘密，按照与Q_c秘密共享方案一相对应的配对运算的协同计算方式，进行相应的计算。

实施例4、

此实施例与实施例3的差别在于，第二方又包括m个装置，m≥2，m个装置按前述Q_c秘密共享方案二，共享私钥d_B的秘密；在协同计算w₁＝e(C₁,d_B)的过程中，第二方的m个装置使用共享的秘密，按照与Q_c秘密共享方案二相对应的配对运算的协同计算方式，进行相应的计算。

实施例5、

此实施例针对的是SM9中的数字签名运算。

在SM9进行数字签名计算的过程中，签名方要计算g_r＝g^r，其中g＝e(P₁,P_pub)，P₁是群G₁的生成元，r是[1,n-1]中的一个随机整数。

此实施例中，进行数字签名计算的一方是一个资源受限装置(如无线传感器、智能穿戴装置、USB Key等)。

此资源受限装置作为前述配对运算的协同计算方法的方案一中的第一方，与一个具有充分计算能力的第二方，通过采用前述配对运算的协同计算方法的方案一，实时计算得到g^r，此时，g即为方案一中的g，P₁、P_pub为方案一中的S、R，且S、R为第一方、第二方都预先知道的元。

完成g^r计算后，签名方还要计算[l]d_A(注意，这里方括号内的是代表变量的字母“l”不是数字“1”，下同)，其中是用户的私钥。签名方，即资源受限装置，作为前述配对运算的协同计算方法的方案一中的第一方，与一个具有充分计算能力的第二方，通过采用前述椭圆曲线点数乘的协同计算方法的方案一，实时计算得到[l]d_A，此时的，d_A对应前述椭圆曲线点数乘的协同计算方法的方案一中的Q，但Q需要保密，而l对应前述椭圆曲线点数乘的协同计算方法的方案一中的r；此时，计算[l]d_A所采用h与计算g^r时所采用的u不同(其实相同也不影响安全)。

对于SM9的数字签名，签名过程中的配对运算并非完全由第二方完成的，第一方是参与了计算，因此，在数字签名的过程中，如果进行参与配对运算的第二方作弊，只会造成数字签名结果是错的、无法验证通过，并不会造成签名被伪造；

对于SM9的签名验证，不涉及敏感信息，但是，为了防止作弊，针对配对值g＝e(P₁,P_pub)的幂运算必须由验证方进行，其他椭圆曲线点数乘、加法以及其他配对运算可以由验证方之外的一方进行。

对于本专利申请的方法，对于数据加密、解密以及数字签名，涉及敏感信息的配对运算并非完全由第二方完成的，第一方是参与了计算，且最后的结果是第二方无法知道的，因此，在数据加密、解密以及数字签名的过程中，如果参与配对运算的第二方作弊，只会造成加密结果是错的、加密信息无法正确解密，并不会造成敏感信息本身的泄露，只会造成签名结果是错的，验证无法通过，不会造成签名被假冒，而通常情况下，与第二方是正在与第一方交互的一方，在这种情况下第二方没有理由自己给自己捣乱。

基于本发明的方法可构建相应的系统，系统包括两个装置，其中一个装置是一个资源受限装置，如无线传感器、智能穿戴装置、USB Key等，此资源受限装置作为所述椭圆曲线点数乘的协同计算方法和/或配对运算的协同计算方法中的第一方，另一个装置为非资源受限装置，如与资源受限装置交互的网关、计算设备、用户计算机等，此非资源受限装置作为所述椭圆曲线点数乘的协同计算方法和/或配对运算的协同计算方法中的第二方；当作为第一方的装置需要进行标识密码运算时，两个装置采用本发明的椭圆曲线点数乘的协同计算方法(方案一或方案二)和/或配对运算的协同计算方法(方案一或方案二)完成相应的密码运算，如实施前述实施例1、2、5。

进一步地，若，如实施例3、4，由m+1个装置实施本专利发明的配对运算的协同计算方法的方案二，其中m≥2，则基于配对运算的协同计算方法的方案二所构建的协同计算系统包括m+1个装置，其中一个装置是一个资源受限装置，如无线传感器、智能穿戴装置、USBKey等，此资源受限装置作为所述配对运算的协同计算方法中的第一方，另外m个装置为非资源受限装置，此m个装置为非资源受限装置一起作为所述配对运算的协同计算方法中的第二方，按前述Q_c秘密共享方案一或方案二，对Q_c进行密码共享(分享)；当作为一方的装置需要计算g_v＝e(V,Q_s)或g_v＝e(Q_s,V)时，第二方中的m个装置按前述Q_c秘密共享方案一或方案二通过协同计算得到g_c＝e(V,Q_c)或g_c＝e(Q_c,V)；第一方计算g_v＝(g_c)^t(群G_T中的幂运算)。

其他未说明的具体技术实施，对于相关领域的技术人员而言是众所周知，不言自明的。

Claims

1.一种椭圆曲线点数乘的协同计算方法，其特征是：

所述方法针对的是阶为素数n的椭圆曲线点群G；

所述方法涉及两方：第一方和第二方，其中第一方保存有[1,n-1]区间中的一个整数秘密h，h对应有第一方预先计算得到或知道的Q_h＝hQ，其中Q是群G中的一个元；

第一方将满足关系w＝(rh^-1)mod n的w发送给第二方，其中h^-1为h的模n乘法逆；

第二方将Q_r发送给第一方，则Q_r即为所求；

所述第一方是一个进行椭圆曲线点数乘实时计算不能满足要求的资源受限方，而所述第二方是一个进行椭圆曲线点数乘实时计算能满足要求的非资源受限方。

2.一种基于权利要求1所述的椭圆曲线点数乘的协同计算方法的椭圆曲线点数乘的协同计算系统，其特征是：

所述系统包括两个装置，其中一个装置作为所述椭圆曲线点数乘的协同计算方法中的第一方，另一个装置作为所述椭圆曲线点数乘的协同计算方法中的第二方；当作为第一方的装置需要计算Q_r＝rQ时，其中r是作为第一方的装置在[1,n-1]中随机选择的一个需保密的整数，两个装置按所述椭圆曲线点数乘的协同计算方法计算得到Q_r；

作为第一方的装置是一个进行椭圆曲线点数乘实时计算不能满足要求的资源受限装置，而作为第二方的装置是一个进行椭圆曲线点数乘实时计算能满足要求的非资源受限装置。

3.一种椭圆曲线点数乘的协同计算方法，其特征是：

所述方法针对的是阶为素数n的椭圆曲线点群G；

第一方将满足关系w＝(r-h)mod n的w发送给第二方；

第二方将Q_r发送给第一方，则Q_r即为所求；

4.一种基于权利要求3所述的椭圆曲线点数乘的协同计算方法的椭圆曲线点数乘的协同计算系统，其特征是：

5.一种配对运算的协同计算方法，其特征是：

所述方法涉及双线性映射e：G₁×G₂→G_T，其中G₁、G₂是加法群，G_T是乘法群，G₁、G₂、G_T的阶是素数n；

所述方法涉及两方：第一方和第二方，其中第一方保存有[1,n-1]区间中的一个整数秘密u，以及g_u＝g^u，其中g＝e(S,R)，S、R分别是群G₁、G₂中的元；

当第一方需要计算g_r＝g^r时，其中r是第一方在[1,n-1]中随机选择的一个不等于u且需保密的整数，第一方与第二方按如下方式完成g_r的计算：

第一方将满足关系w＝(r-u)mod n的w发送给第二方；

第二方计算g_w＝g^w，将g_w发送给第一方；

第一方计算g_r＝g_wg_u，则g_r即为所求；

所述第一方是一个进行实时配对运算不能满足要求的资源受限方，而所述第二方是一个进行实时配对运算能满足要求的非资源受限方。

6.一种基于权利要求5所述的配对运算的协同计算方法的配对运算的协同计算系统，其特征是：

所述系统包括两个装置，其中一个装置作为所述配对运算的协同计算方法中的第一方，另一个装置作为所述配对运算的协同计算方法中的第二方；当作为第一方的装置需要计算g_r＝g^r时，其中r是作为第一方的装置在[1,n-1]中随机选择的一个需保密的整数，两个装置按所述配对运算的协同计算方法计算得到g_r；

作为第一方的装置是一个进行实时配对运算不能满足要求的资源受限装置，而作为第二方的装置是一个进行实时配对运算能满足要求的非资源受限装置。

7.一种配对运算的协同计算方法，其特征是：

所述方法涉及双线性映射e：G₁×G₂→G_T，其中G₁、G₂是加法群，G_T乘法群，G₁、G₂、G_T的阶是素数n；

第一方保存有秘密t，t是[1,n-1]中的整数；

第一方或第三方预先计算得到Q_c＝t^-1Q_s，t^-1是t的模n乘法逆，Q_s是G₂或G₁中的一个元，Q_s是第二方不知道的秘密；

第一方将V发送给第二方；

第二方将g_c发送给第一方；

第一方计算g_v＝(g_c)^t，则g_v即为所求；

8.根据权利要求7所述的配对运算的协同计算方法，其特征是：

若Q_c由第二方中的m个装置通过共享秘密方式共享，其中m≥2，则第二方中的m个装置共享Q_c的方式包括：m个装置分别有秘密Q₁,t₂,…,t_m，其中Q₁＝t₁Q_s,(t₁t₂…t_m)mod n＝t^-1；

而第二方中的m个装置通过如下方式计算得到g_c：

分享有秘密Q₁的装置计算得到g₁＝e(V,Q₁)或g₁＝e(Q₁,V)；

分享有秘密t₂的装置计算得到g₂＝(g₁)^t2；

依此类推，最后分享有秘密t_m的装置计算得到g_m＝(g_m-1)^tm；

则g_c＝g_m。

9.根据权利要求7所述的配对运算的协同计算方法，其特征是：

若Q_c由第二方中的m个装置通过共享秘密方式共享，其中m≥2，则第二方中的m个装置共享Q_c的方式包括：m个装置分别有秘密Q₁＝t₁Q_s,Q₂＝t₂Q_s,…,Q_m＝t_mQ_s，且(t₁+t₂+…+t_m)modn＝t^-1；

而第二方中的m个装置通过如下方式计算得到g_c：

10.一种基于权利要求7所述的配对运算的协同计算方法的配对运算的协同计算系统，其特征是：

所述系统包括两个装置，其中一个装置作为所述配对运算的协同计算方法中的第一方，另一个装置作为所述配对运算的协同计算方法中的第二方；当作为第一方的装置需要计算g_v＝e(V,Q_s)或g_v＝e(Q_s,V)时，其中V是G₁或G₂中的一个元，两个装置按所述配对运算的协同计算方法计算得到g_v；

11.一种基于权利要求8或9所述的配对运算的协同计算方法的配对运算的协同计算系统，其特征是：

所述系统包括m+1个装置，其中m≥2；m+1个装置中的一个装置作为所述配对运算的协同计算方法中的第一方，而其他的m个装置作为第二方；所述第二方中的m个装置按所述共享Q_c的方式共享Q_c；当作为第一方的装置需要计算g_v＝e(V,Q_s)或g_v＝e(Q_s,V)时，其中V是G₁或G₂中的一个元素，相应地Q_s是G₂或G₁中的一个元素，Q_s是第二方不知道的秘密，m+1个装置按所述配对运算的协同计算方法计算得到g_v；

作为第一方的装置是一个进行实时配对运算不能满足要求的资源受限装置，而作为第二方的m个装置是进行实时配对运算能满足要求的非资源受限装置。