CN108989050A - 一种无证书数字签名方法 - Google Patents

Abstract

本发明公开了一种无证书数字签名方法，属于信息安全技术领域。为了使无证书环境的签名者能够对一个消息进行签名，本发明的方法包括初始化系统参数后，密钥生成中心生成部分私钥D_ID并发送给签名端；签名端基于系统参数随机生成一个秘密值x_ID、联合部分私钥D_ID设置完全私钥S_ID和公钥PK_ID；签名端根据系统参数、身份、完全私钥S_ID和消息m，生成签名结果σ，并将该签名结果σ、消息m和签名端的身份和公钥发送给验证端进行合法性检查。如果σ是签名端关于m的合法签名，验证端输出“接受”，否则输出“拒绝”。本发明用于通信网络中的实体认证和消息认证，提供认证性、完整性和不可否认性服务。

Description

一种无证书数字签名方法

技术领域

本发明属于信息安全技术领域，特别是涉及一种无证书数字签名方法。

背景技术

数字签名是密码学中的一个基本原语，可以使验证端确认签名端的身份和消息的完整性，是实现完整性(integrity)、认证(authentication)和不可否认性(non-repudiation)的重要方法。这里的完整性是指信息在传输或存储过程中，不能被偶然或蓄意地删除、修改、伪造、重放、插入等破坏和丢失的特性。认证是确保通信方的确是它所声称的那位。确认一个实体的身份称为实体认证，确认一个信息的来源称为消息认证。不可否认性是防止通信方对以前的许诺或者行为的否认。

数字签名属于公钥密码技术，每个签名端拥有两个密钥：私钥(secret key)和公钥(publickey)，其中私钥由签名端秘密保存，公钥可以发给验证端用于签名的验证。一种数字签名方法一般包含两个重要阶段，即签名(signature)阶段和验证(verification)阶段。签名阶段的输入是签名端的私钥sk和消息m，输出是对m的签名结果σ。验证阶段输入的是签名者的公钥pk，消息m和签名结果σ，输出“接受”(签名合法)或“拒绝”(签名不合法)。公钥密码技术易受到“公钥替换”攻击，即攻击者用自己选定的假公钥替换一个公钥目录中真实的公钥。当验证端用这个假公钥验证一个签名时，攻击者就可以输出“合法”签名。为了抵抗公钥替换攻击，需要让用户的公钥以一种可验证和可信的方式与用户的身份信息关联起来。目前，认证用户的公钥有三种方法：基于公钥基础设施(public key infrastructure,PKI)的方法、基于身份(identity-based)的方法和无证书(certificateless)方法。

(1)基于公钥基础设施的方法：每个签名端的公钥都伴随一个公钥证书，这个公钥证书由证书权威(certificate authority，CA)签发。公钥证书是一个结构化的数据记录，它包括了用户的身份信息、公钥参数和CA的签名等。验证端可以通过验证证书的合法性(CA的签名)来认证公钥。这种方法有如下两个缺点：①使用任何公钥前都需要先验证公钥证书的合法性，增加了验证端的计算量；②CA需要管理大量的证书，包括证书的颁发、存储、撤销等。

(2)基于身份的方法：为了简化密钥管理，Shamir于1984年首次提出了基于身份的密码体制的概念。在基于身份的方法中，签名端的公钥可以根据其身份信息(如姓名、身份证号码、电话号码、E-mail地址等)直接计算出来，签名端的私钥则是由一个称为私钥生成中心(private key generator,PKG)的可信方生成。基于身份的方法取消了公钥证书，减少了公钥证书的存储和合法性验证。但是，基于身份的方法有一个致命的缺点：所有签名端的私钥都由PKG生成。PKG知道所有签名端的私钥不可避免的引起密钥托管问题。

(3)无证书方法：为了克服基于身份的方法中的密钥托管问题，Al-Riyami和Paterson于2003年提出了无证书密码体制(certificateless cryptography)的概念。在这种方法中，签名端的私钥来自于两部分，一部分是签名端自己选择的秘密值，一部分是由密钥生成中心(key generating centre,KGC)根据签名端的身份信息计算的部分私钥。公钥通常利用秘密值来生成，但这里的公钥不必有单独认证的公钥证书。也就是说，签名端需要联合KGC生成的部分私钥和自己的秘密值来生成完全私钥。KGC并不知道签名端的完全私钥，从而消除了密钥托管问题。

当前，无证书签名方法主要有以下几种：

2003年，Al-Riyami和Paterson[S.S.Al-Riyami,K.G.Paterson,Certificatelesspublic key cryptography,Advances in Cryptology-ASIACRYPT 2003,LNCS 2894,pp.452-473,2003.]利用双线性对，提出了一种无证书签名方法。该方法在签名阶段不需要双线性对运算，在验证阶段需要4次双线性对运算。他们将敌手分为两种：类型I敌手和类型II敌手。类型I敌手不知道主密钥，但是可以任意替换签名端的公钥。类型II敌手知道主密钥，但是不能替换签名端的公钥。遗憾的是，Huang等[X.Huang,W.Susilo,Y.Mu,et al.Onthe security of certificateless signature schemes from Asiacrypt2003.Cryptology and Network Security-CANS 2005,LNCS 3810,pp.13-25,2005.]显示了该签名方法对于类型I敌手是不安全的，类型I敌手可以伪造一个消息m的签名。主要原因在于不能保证公钥中使用的秘密值与完全私钥中使用的秘密值是同一个值。Huang等也给出了一个改进的签名方法。该方法在签名阶段需要1次双线性对运算，在验证阶段需要5次双线性对运算。

2006年，Zhang等[Z.Zhang,D.S.Wong,J.Xu,et al.Certificateless public-keysignature:security model and efficient construction.Applied Cryptography andNetwork Security-ACNS 2006,LNCS 3989,pp.293-308,2006.]提出了一种高效的无证书签名方法，他们将使用了主密钥、随机数和秘密值的三种短签名进行了聚合，获得了无证书签名方法。该方法在签名阶段不需要双线性对运算，在验证阶段需要4次双线性对运算。

2007年，Liu等[J.K.Liu,M.H.Au,W.Susilo.Self-generated-certificatepublic key cryptography and certificateless signature/encryption scheme inthe standard model.ACM Symposium on Information,Computer and CommunicationsSecurity-ASIACCS 2007,pp.273-283,2007.]给出了一种标准模型下安全的无证书签名方法。标准模型不依赖随机预言模型，能够取得更强的安全性质，但效率较低。

2012年，He等[D.He,J.Chen,R.Zhang.An efficient and provably-securecertificateless signature scheme without bilinear pairings.InternationalJournal of Communication Systems,2012,25(11):1432-1442.]设计了一种基于椭圆曲线离散对数问题的无证书签名方法，该方法没有使用双线性对，在效率方面比使用了双线性对的方法更有优势。

2014年，Liu等[J.Liu,Z.Zhang,X.Chen,and K.S.Kwak.Certificateless remoteanonymous authentication schemes for wireless body area networks.IEEETransactions on Parallel and Distributed Systems,2014,25(2):332-342]也设计了一种无证书签名方法，其安全性基于计算Diffie-Hellman问题(computational Diffie-Hellman problem,CDHP)。该方法在签名阶段需要1次双线性对运算，在验证阶段需要2次双线性对运算。

另外，中国专利申请CN104320259A公开了一种基于Schnorr签名算法的无证书签名方法，该方法使用Schnorr签名算法完成签名端的公钥生成与验证，减少了双线性对的使用次数。中国专利CN103023648B公开了一种基于椭圆曲线离散对数问题的无证书签名方法，使用了Schnorr签名算法来生成签名端的部分私钥。中国专利CN102983971B公开了一个签名长度比较短的无证书签名方法，其签名长度为群G₁中的一个元素长度。中国专利申请CN106936584A公开了一种无证书签名方法，将部分私钥和秘密值合并成一个元素作为完全私钥。这些无证书签名方法在验证端至少需要2次双线性对运算，计算成本较高。

发明内容

本发明的目的在于：高效实现无证书环境中的签名方法，为使用者提供完整性、认证和不可否认性服务。

本发明公开了一种无证书签名方法，包括：

一种无证书数字签名方法，其特征在于，包括下列步骤：

步骤S1：设定系统参数，包括：选择素数p，设置p阶的循环加法群G₁，并选择群G₁的一个生成元，记为参数P，以及设置p阶的循环乘法群G₂，并基于G₁、G₂，设置双线性映射定义三个安全哈希函数H₁,H₂和H₃，其中H₁为从{0,1}^*映射到H₂从G₁映射到H₃是从{0,1}^*×{0,1}^*×G₁×G₂映射到其中{0,1}^*表示任意比特长的二进制序列组成的集合，表示有限域去掉元素零所得到的有限域；以及计算系统参数

公开系统参数

步骤S2：生成密钥：

签名端提交身份信息ID给密钥生成中心；

密钥生成中心从有限域中随机选择主密钥s，计算公钥P_pub＝sP，部分私钥并将公钥P_pub、部分私钥D_ID发送给签名端；

签名端从有限域中随机选择参数x_ID作为秘密值，计算公钥PK_ID＝x_ID(H₁(ID)P+P_pub)，并设置完全私钥

步骤S3：生成消息m的签名：

签名端从有限域中随机选取参数r，计算承诺t＝g^r；以及计算哈希值h＝H₃(m,ID,PK_ID,t)、签名S＝(r+h)S_ID；

将消息m及其签名σ＝(h,S)，以及签名端的身份ID和公钥PK_ID发送给验证端；

S4：验证消息m的签名：

验证端在收到消息m、签名σ＝(h,S)和签名端的身份ID以及公钥PK_ID后，计算参数

计算哈希值h^*＝H₃(m,ID,PK_ID,t′)；

验证等式h^*＝h是否成立，若成立，则认为签名σ合法，验证端输出“接受”；否则输出“拒绝”。

由于采用了上述技术方案，本发明的有益效果是：本发明的签名方法，在验证端只需要执行一次双线性对运算，比以往的基于双线性对的无证书签名方法都要高效，从而高效的为无证书环境的用户提供完整性、认证和不可否认性服务。

附图说明

图1是本发明的具体实施方式的系统结构示意图；

图2是本发明具体实施方式的签名操作流程图；

图3是本发明具体实施方式的验证操作流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面结合实施方式和附图，对本发明作进一步地详细描述。

本发明的一种无证书签名方法，包括：

设定系统参数，用于生成签名端的私钥S_ID和公钥PK_ID，以及签名端的签名生成和验证端的签名验证；

签名端提交身份信息ID给密钥生成中心，密钥生成中心根据系统参数和身份信息ID生成部分私钥D_ID并发送给签名端；签名端基于系统参数随机生成一个秘密值x_ID，根据秘密值x_ID与部分私钥D_ID设置完全私钥S_ID和公钥PK_ID；

签名端根据系统参数、身份信息ID、私钥S_ID和消息m，生成签名结果σ，并将σ、身份信息ID和公钥PK_ID发送给验证端。

参见图3，具体执行步骤包括设定系统参数、生成密钥、签名和验证，具体描述如下：

(1)设定系统参数：

(1.1)设G₁为由P生成的循环加法群，阶为p，G₂为具有相同阶p的循环乘法群，为一个双线性映射。定义三个安全Hash函数H₁,H₂和H₃。H₁为从{0,1}^*映射到H₂从G₁映射到H₃是从{0,1}^*×{0,1}^*×G₁×G₂映射到其中{0,1}^*表示任意比特长的二进制序列组成的集合，表示有限域去掉元素零所得到的有限域。

基于上述设定，得到的系统参数为：并公开这些系统参数。

通常系统参数由密钥生成中心设定并公开，以便于签名端、验证端可从系统参数设置端获得计算时所需的系统参数。

(1.2)密钥生成中心随机选择一个主密钥计算相应的公钥P_pub＝sP。

(1.3)密钥生成中心计算参数

(2)生成密钥：

(2.1)签名端提交身份信息ID给密钥生成中心，密钥生成中心计算部分私钥并将其发送给签名端。

(2.2)签名端随机选择参数作为秘密值。

(2.3)签名端设置完全私钥其中公钥PK_ID＝x_ID(H₁(ID)P+P_pub)。

(3)签名：

签名端可以利用身份ID和完全私钥S_ID对消息m进行签名。参见图2，具体步骤如下：

(3.1)随机选取参数计算承诺t＝g^r。

(3.2)根据哈希函数H₃计算哈希值h＝H₃(m,ID,PK_ID,t)。

(3.3)计算签名S＝(r+h)S_ID。

(3.4)发送消息m及其签名结果σ＝(h,S)、以及签名端的身份ID和公钥PK_ID给验证端。

(4)验证：

接收端在收到消息m、签名结果σ＝(h,S)和签名端的身份ID以及公钥PK_ID时，参见图3，具体执行以下步骤：

(5.1)计算参数即恢复出承诺t。

(5.1)计算哈希值h^*＝H₃(m,ID,PK_ID,t′)。

(5.2)通过验证等式h^*＝h是否成立来验证签名的合法性，若成立，则认为σ是签名端关于m的合法签名，验证端输出“接受”，否则输出“拒绝”。

为了验证本发明的运行速率，将本发明的签名方法在英特尔酷睿(Intel Core)i55200U处理器(2.20GHz)、内存为8G的计算机上，利用PBC库(选择类型A配对)对本发明进行了编程验证(运行1000次后取平均值)：设定系统参数需要的时间为38.52毫秒、密钥生成中心生成部分私钥需要的时间为9.64毫秒、签名端设置完全私钥和公钥需要的时间为28.89毫秒、签名需要的时间为12.10毫秒、验证需要的时间为31.53毫秒。可见本发明具有验证处理效率高效和实用的特点。

以上所述，仅为本发明的具体实施方式，本说明书中所公开的任一特征，除非特别叙述，均可被其他等效或具有类似目的的替代特征加以替换；所公开的所有特征、或所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以任何方式组合。

Claims (2)

1.一种无证书数字签名方法，其特征在于，包括下列步骤：

步骤S1：设定系统参数，包括：选择素数p，设置p阶的循环加法群G₁，并选择群G₁的一个生成元，记为参数P，以及设置p阶的循环乘法群G₂，并基于G₁、G₂，设置双线性映射定义三个安全哈希函数H₁,H₂和H₃，其中H₁为从{0,1}^*映射到H₂从G₁映射到H₃是从{0,1}^*×{0,1}^*×G₁×G₂映射到其中{0,1}^*表示任意比特长的二进制序列组成的集合，表示有限域去掉元素零所得到的有限域；以及计算系统参数

公开系统参数

步骤S2：生成密钥：

签名端提交身份信息ID给密钥生成中心；

密钥生成中心从有限域中随机选择主密钥s，计算公钥P_pub＝sP，部分私钥并将公钥P_pub、部分私钥D_ID发送给签名端；

签名端从有限域中随机选择参数x_ID作为秘密值，计算公钥PK_ID＝x_ID(H₁(ID)P+P_pub)，并设置完全私钥

步骤S3：生成消息m的签名：

签名端从有限域中随机选取参数r，计算承诺t＝g^r；以及计算哈希值h＝H₃(m,ID,PK_ID,t)、签名S＝(r+h)S_ID；

将消息m及其签名σ＝(h,S)，以及签名端的身份ID和公钥PK_ID发送给所述验证端；

S4：验证消息m的签名：

验证端在收到消息m、签名σ＝(h,S)和签名端的身份ID以及公钥PK_ID后，计算参数

计算哈希值h^*＝H₃(m,ID,PK_ID,t′)；

验证等式h^*＝h是否成立，若成立，则认为签名σ合法，验证端输出“接受”；否则输出“拒绝”。

2.如权利要求1所述的方法，其特征在于，所述系统参数由密钥生成中心设定并公开。