CN108551392A - 一种基于sm9数字签名的盲签名生成方法及系统 - Google Patents

Abstract

本发明公开了一种基于SM9数字签名的盲签名生成方法及系统，该方法包括以下步骤：1)由密钥生成中心KGC产生签名者Signer的签名私钥DS_A；2)签名者Signer计算第一个临时变量w，并将w发送给User；3)用户User收到w后，计算第二个临时变量w′，和待签名消息M的哈希值h)，并计算第三个临时变量h′，最后将h′发送给签名者Signer；4)签名者Signer收到h′后，计算出临时签名S′，并将S′发送给User；5)用户User收到s′后计算出签名值S，并输出签名(h，S)。本发明具有实现复杂度低、安全性高、易验证等特点，产生签名的过程必须有Signer和User两方同时参与，生成SM9盲签名的过程不会向签名者泄漏被签名的消息，保证了消息的安全性，提高了SM9数字签名生成的公平性。

Description

一种基于SM9数字签名的盲签名生成方法及系统

技术领域

本发明涉及信息安全技术，尤其涉及一种基于SM9数字签名的盲签名生成方法及系统。

背景技术

数字签名是伴随着信息网络技术的发展而出现的一种安全保障技术，目的就是通过技术手段实现传统的纸面签字或者盖章的功能，用于鉴定签名人的身份以及对一项电子数据内容的认可。它还能验证出文件的原文在传输过程中有无变动，确保传输电子文件的完整性、真实性和不可抵赖性。数字签名是公钥密码体系中重要的一部分，在很多场合有着重要的作用。

在很多场合，要求签名者对消息进行签名的时候，并不知道所签名的内容，而且签名过后对自己的签名也不能进行跟踪。尤其在各种不方便透露真名的场合，例如，投票和选举、电子商务、电子现金系统、移动支付等。盲签名恰好能满则这一需求，它的优点在于它比一般数字签名更能保护用户的隐私，因为对于签名者来说在签名的过程中对用户提供的消息是完全未知的，而且，签名以后也无法追踪自己所签的名。

SM9标识密码算法是一种基于双线性对的标识密码算法，它可以把用户的身份标识用以生成用户的公、私密钥对。SM9的应用与管理不需要数字证书、证书库或密钥库，主要用于数字签名、数据加密、密钥交换以及身份认证等。该算法于2015年发布为国家密码行业标准(GM/T 0044-2016)。

发明内容

本发明要解决的技术问题在于针对现有技术中的缺陷，提供一种基于SM9数字签名的盲签名生成方法及系统。

本发明解决其技术问题所采用的技术方案是：一种基于SM9数字签名的盲签名生成方法，包括以下步骤：

1)由密钥生成中心KGC产生系统参数和签名者Signer的签名私钥DS_A；

2)签名者Signer在集合{1,2,…,N-1}中选择第一个随机数r，计算第一个临时变量w＝g^r，并将w发送给User；

其中，N为循环群和的阶，g＝e(P₁,P_pub-s)，e为双线性对运算，P₁为的生成元，P_pub-s为系统主公钥；

3)用户User收到w后，在集合{1,2,…,N-1}中选择两个随机数α，β，计算第二个临时变量w′＝w^αg^β，和待签名消息M的哈希值h＝H₂(M||w′,N)，并计算第三个临时变量h′＝α^-1(h-β)mod N，最后将h′发送给签名者Signer；

4)签名者Signer收到h′后，计算出临时签名S′＝[r-h′]DS_A，并将S′发送给User；

5)用户User收到s′后计算出签名值S＝[α]S′，并输出签名(h,S)

按上述方案，所述步骤1)中，密钥生成中心KGC产生系统参数和签名者Signer的签名私钥DS_A的过程如下：

1.1)KGC随机选择ks∈[0,N-1]作为签名主私钥，计算P_pub-s＝[ks]P₂作为签名主公钥；密钥生成中心秘密保存ks，公开P_pub-s；密钥生成中心选择并公开用一个字节表示的签名密钥生成函数识别符hid；其中，P₂为的生成元；

1.2)签名者A的标识为ID_A，KGC为签名者A的产生签名私钥DS_A，具体如下：KGC首先计算临时变量t₁＝H₁(ID_A||hid,N)+ks，若t₁＝0则返回步骤1.1)重新产生签名主私钥，计算和公开签名主公钥，并更新已有用户的签名私钥；否则计算最后计算DS_A＝[t₂]P₁。

一种基于SM9数字签名的盲签名生成系统，包括：

签名者签名私钥生成模块，用于通过密钥生成中心KGC产生系统参数和签名者Signer的签名私钥DS_A；

签名者变量生成模块，用于签名者Signer在集合{1,2,…,N-1}中选择第一个随机数r，计算第一个临时变量w＝g^r，并将w发送给User；

其中，N为循环群和的阶，g＝e(P₁,P_pub-s)，e为双线性对运算，P₁为的生成元，P_pub-s为系统主公钥；

用户变量生成模块，用于用户User收到w后，在集合{1,2,…,N-1}中选择两个随机数α，β，计算第二个临时变量w′＝w^αg^β，和待签名消息M的哈希值h＝H₂(M||w′,N)，并计算第三个临时变量h′＝α^-1(h-β)mod N，最后将h′发送给签名者Signer；

临时签名生成模块，用于签名者Signer收到h′后，根据公式：S′＝[r-h′]DS_A计算出临时签名，并将S′发送给User；

盲签名生成模块，用于用户User收到s′后计算出签名值S＝[α]S′，并输出签名(h,S)。

按上述方案，签名者签名私钥生成模块中，密钥生成中心KGC产生签名者Signer的签名私钥DS_A的过程如下：

1)KGC随机选择ks∈[0,N-1]作为签名主私钥，计算P_pub-s＝[ks]P₂作为签名主公钥；密钥生成中心秘密保存ks，公开P_pub-s；密钥生成中心选择并公开用一个字节表示的签名密钥生成函数识别符hid；其中，P₂为的生成元；

2)签名者的标识为ID_A，KGC为签名者产生签名私钥DS_A，具体如下：KGC首先计算临时变量t₁＝H₁(ID_A||hid,N)+ks，若t₁＝0则返回步骤1.1)重新产生签名主私钥，计算和公开签名主公钥；否则计算最后计算DS_A＝[t₂]P₁。

本发明产生的有益效果是：本发明设计了一种SM9盲签名生成方案，现有的大多数盲签名方案是基于离散对数的，安全性和效率都不高，而SM9数字签名是基于椭圆曲线的算法，具有更高的安全性和高效性。本发明方案由签名者Signer和用户User共同执行，既能保证签名的正确性，又能保证签名消息的隐私性。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明实施例的方法流程图；

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

如图1所示，本发明提供的基于SM9数字签名的盲签名生成方法需要签名的签名者Signer和用户User共同产生SM2盲签名，

本实施例中的符号及定义如下：

KGC:密钥生成中心

Signer,User:通信双方。

阶为素数N的加法循环群。

阶为素数N的乘法循环群。

e:从到的双线性对。

g^u:乘法群中g的u次幂。

H₁(·),H₂(·):由{0,1}^*到的密码杂凑函数。

ID_A:签名者的标识。

DS_A:签名者的签名密钥。

mod N:模N运算。例如27mod 5≡2。

N:循环群和的阶，且N>2¹⁹¹为素数。

P₁,P₂:分别是群和的生成元。

[u]P:加法群中元素P的u倍。

x||y:x与y的拼接，其中x和y是比特串或字节串。

[x,y]：不小于x且不大于y的整数的集合。

如图1，一种基于SM9数字签名的盲签名生成方法，包括以下步骤：

1)由密钥生成中心KGC产生系统参数和签名者Signer的签名私钥DS_A；

步骤1)中，密钥生成中心KGC产生系统参数和签名者Signer的签名私钥DS_A的过程如下：

1.1)KGC随机选择ks∈[0,N-1]作为签名主私钥，计算P_pub-s＝[ks]P₂作为签名主公钥；密钥生成中心秘密保存ks，公开P_pub-s；密钥生成中心选择并公开用一个字节表示的签名密钥生成函数识别符hid；

1.2)签名者的标识为ID_A，KGC为签名者产生签名私钥DS_A，具体如下：KGC首先计算临时变量t₁＝H₁(ID_A||hid,N)+ks，若t₁＝0则返回步骤1.1)重新产生签名主私钥，计算和公开签名主公钥，并更新已有用户的签名私钥；否则计算最后计算DS_A＝[t₂]P₁。

2)签名者Signer在集合{1,2,…,N-1}中选择第一个随机数r，计算第一个临时变量w＝g^r，并将w发送给User；

其中，N为循环群和的阶，g＝e(P₁,P_pub-s)，e为双线性对运算，P₁为的生成元，P_pub-s为系统主公钥。

3)用户User收到w后，在集合{1,2,…,N-1}中选择两个随机数α，β，计算第二个临时变量w′＝w^αg^β，和待签名消息M的哈希值h＝H₂(M||w′,N)，并计算第三个临时变量h′＝α^-1(h-β)mod N，最后将h′发送给签名者Signer；

4)签名者Signer收到h′后，计算出临时签名S′＝[r-h′]DS_A，并将S′发送给User；

5)用户User收到s′后计算出签名值S＝[α]S′，并输出签名(h,S)

一种基于SM9数字签名的盲签名生成系统，包括：

签名者签名私钥生成模块，用于通过密钥生成中心KGC产生系统参数和签名者Signer的签名私钥DS_A；

签名者变量生成模块，用于签名者Signer在集合{1,2,…,N-1}中选择第一个随机数r，计算第一个临时变量w＝g^r，并将w发送给User；

其中，N为循环群和的阶，g＝e(P₁,P_pub-s)，e为双线性对运算，P₁为的生成元，P_pub-s为系统主公钥；

用户变量生成模块，用于用户User收到w后，在集合{1,2,…,N-1}中选择两个随机数α，β，计算第二个临时变量w′＝w^αg^β，和待签名消息M的哈希值h＝H₂(M||w′,N)，并计算第三个临时变量h′＝α^-1(h-β)mod N，最后将h′发送给签名者Signer；

临时签名生成模块，用于签名者Signer收到h′后，根据公式：S′＝[r-h′]DS_A计算出临时签名，并将S′发送给User；

盲签名生成模块，用于用户User收到s′后计算出签名值S＝[α]S′，并输出签名(h,S)。

本方案生成的签名的验证算法如下：

1)检查h是否属于集合{1,2,…,N-1}中，如果不是则验证不通过，否则检查S是否属于如果不是则验证不通过，否则进入第二步；

2)计算g＝e(P₁,P_pub-s)；

3)计算临时变量h₁＝H₁(ID_A||hid,N)和临时变量P＝h₁P₂+P_pub-s；

4)计算临时变量u＝e(S,P)和临时变量t＝g^h；

5)计算w′＝t·u，计算h₂＝H₂(M||w′,N)；

6)若h₂＝h则验证通过。

本发明具有实现复杂度低、安全性高、易验证等特点，使用于签名者不知道消息的情况下生成正确的SM9盲签名，产生签名的过程必须有Signer和User两方同时参与，生成SM9盲签名的过程不会向签名者泄漏被签名的消息，保证了消息的安全性，提高了SM9数字签名生成的公平性。

应当理解的是，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，而所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (4)

1.一种基于SM9数字签名的盲签名生成方法，其特征在于，包括以下步骤：

1)由密钥生成中心KGC产生签名者Signer的签名私钥DS_A；

2)签名者Signer在集合{1,2,…,N-1}中选择第一个随机数r，计算第一个临时变量w＝g^r，并将w发送给User；

其中，N为循环群和的阶，g＝e(P₁,P_pub-s)，e为双线性对运算，P₁为的生成元，P_pub-s为系统主公钥；

3)用户User收到w后，在集合{1,2,…,N-1}中选择两个随机数α，β，计算第二个临时变量w′＝w^αg^β，和待签名消息M的哈希值h＝H₂(M||w′,N)，并计算第三个临时变量h′＝α^-1(h-β)mod N，最后将h′发送给签名者Signer；

4)签名者Signer收到h′后，计算出临时签名S′＝[r-h′]DS_A，并将S′发送给User；

5)用户User收到s′后计算出签名值S＝[α]S′，并输出签名(h,S)。

2.根据权利要求1所述的盲签名生成方法，其特征在于，所述步骤1)中，密钥生成中心KGC产生签名者Signer的签名私钥DS_A的过程如下：

1.1)KGC随机选择ks∈[0,N-1]作为签名主私钥，计算P_pub-s＝[ks]P₂作为签名主公钥；密钥生成中心秘密保存ks，公开P_pub-s；密钥生成中心选择并公开用一个字节表示的签名密钥生成函数识别符hid；其中，P₂为的生成元；

1.2)签名者的标识为ID_A，KGC为签名者产生签名私钥DS_A，具体如下：KGC首先计算临时变量t₁＝H₁(ID_A||hid,N)+ks，若t₁＝0则返回步骤1.1)重新产生签名主私钥，计算和公开签名主公钥；否则计算最后计算DS_A＝[t₂]P₁。

3.一种基于SM9数字签名的盲签名生成系统，其特征在于，包括：

签名者签名私钥生成模块，用于通过密钥生成中心KGC产生签名者Signer的签名私钥DS_A；

签名者变量生成模块，用于签名者Signer在集合{1,2,…,N-1}中选择第一个随机数r，计算第一个临时变量w＝g^r，并将w发送给User；

其中，N为循环群和的阶，g＝e(P₁,P_pub-s)，e为双线性对运算，P₁为的生成元，P_pub-s为系统主公钥；

用户变量生成模块，用于用户User收到w后，在集合{1,2,…,N-1}中选择两个随机数α，β，计算第二个临时变量w′＝w^αg^β，和待签名消息M的哈希值h＝H₂(M||w′,N)，并计算第三个临时变量h′＝α^-1(h-β)mod N，最后将h′发送给签名者Signer；

临时签名生成模块，用于签名者Signer收到h′后，根据公式：S′＝[r-h′]DS_A计算出临时签名，并将S′发送给User；

盲签名生成模块，用于用户User收到s′后计算出签名值S＝[α]S′，并输出签名(h,S)。

4.根据权利要求3所述的盲签名生成系统，其特征在于，所述签名者签名私钥生成模块中，密钥生成中心KGC产生签名者Signer的签名私钥DS_A的过程如下：

1)KGC随机选择ks∈[0,N-1]作为签名主私钥，计算P_pub-s＝[ks]P₂作为签名主公钥；密钥生成中心秘密保存ks，公开P_pub-s；密钥生成中心选择并公开用一个字节表示的签名密钥生成函数识别符hid；其中，P₂为的生成元；

2)签名者的标识为ID_A，KGC为签名者产生签名私钥DS_A，具体如下：KGC首先计算临时变量t₁＝H₁(ID_A||hid,N)+ks，若t₁＝0则返回步骤1.1)重新产生签名主私钥，计算和公开签名主公钥；否则计算最后计算DS_A＝[t₂]P₁。