CN109768866A - 基于椭圆曲线数字签名的区块链智能合约不可拆分签名方法 - Google Patents

Abstract

本发明公开了一种基于椭圆曲线数字签名的区块链智能合约不可拆分签名方法，属于密码学与区块链技术领域。包括以下算法：(1)Setup：该算法用于生成方案的公共系统参数。(2)KGEN:生成用户的用于签名的私钥和验证的公钥。(3)SignFuncGen：该算法用于在客户端生成不可拆分数字签名算法。(4)Sign：该算法用于生成交易的签名值，输入为不可拆分签名算法f_Signed(x)，待签名的交易t。(5)Verify：该算法用于签名验证交易的签名，输入公钥Y，交易t，需求描述字符串Q，签名值<r,s,u,v,Y_Q>，并输出“有效”或者“无效”。本发明在白盒攻击环境下，可实现智能合约代理不可拆分数字签名。

Description

基于椭圆曲线数字签名的区块链智能合约不可拆分签名方法

技术领域

本发明属于密码学与区块链技术领域，具体涉及椭圆曲线签名算法，应用于区块链智能合约相关的签名算法。

背景技术

伴随着区块链技术的发展，区块链技术进入了2.0时代，即智能合约时代。以以太坊为例，在该区块链网络中存在两种账户，一种是外部账户，由用户的私钥控制，另外一种称为合约账户，由智能合约代码控制。外部账户不包含代码，用户通过创建和签名一个交易来发送消息，在一个合约账户中，每次它接收到消息都会执行内部的代码，然后对内部存储读取或写入，并且发送消息给其它账户，或创建新的智能合约。

对于现有的以太坊交易，主要的安全保护措施是利用数字签名，保证了交易的身份验证，完整性，不可否认性。签名过程一般由持有私钥的外部账户执行，智能合约的功能主要是接受消息，执行代码、验证签名等。在区块链网络中还存在一些称为矿工的节点，它们通过解决具有一定工作量的工作量证明机制问题，来管理区块链网络。每一个网络节点向网络进行广播交易，这些广播出来的交易在经过矿工(在网络上的计算机)验证后，矿工可使用自己的工作证明结果来表达确认，确认后的交易会被打包到数据块中，数据块会串起来形成连续的数据块链。每一个区块链的节点都会收集所有尚未确认的交易，并将其归集到一个数据块中，矿工节点会附加一个随机调整数，并计算前一个数据块的散列运算值。挖矿节点不断重复进行尝试，直到它找到的随机调整数使得产生的散列值低于某个特定的目标。

该方案建立在区块链中常用的椭圆曲线签名算法的基础上。其安全性依赖于椭圆曲线离散对数问题(ECDLP)的难解性。其中大部分基本概念，如群、域，都属于近世代数的标准概念。

相似技术(产品)简述：

在传统的移动代理电子签名方案中，代理一般会携带用户私钥进行签名，这样在签名的过程中可能会受到攻击而泄露用户私钥，采用Y.Shi,Q.Zhao,and Q.Liu,“Securemobile agents in ecommerce with forward-secure undetachable digitalsignatures,”Etri Journal,vol.37,no.3,pp.573–583,2015.；Y.Shi,J.Lin,G.Xiong,andH.Fan,“Key-insulated undetachable digital signature scheme and solution forsecure mobile agents in electronic commerce,”Mobile Information Systems,vol.2016,no.2,pp.1–18,2016.和Y.Shi and G.Xiong,“An undetachable thresholddigital signature scheme based on conic curves,”Applied Mathematics&Information Sciences,vol.7,no.2,pp.823–828,2013.三篇文献给出的任意一种不可拆分电子签名，可以在一定程度上控制签名密钥或者签名方法的泄露。可以防止攻击者在白盒攻击环境下从代理端破解签名算法，获取用户密钥。

发明内容

众所周知，数字签名技术是保证区块链交易安全的核心技术，以目前的新一代区块链技术的典型代表——以太坊为例，交易的数字签名过程一般都由持有私钥的外部账户执行，然而对于智能合约而言，其功能主要是一个匿名的代理，总是存在于区块链网络的执行环境中，总是在被一个消息或者交易调用时执行一段具体的代码。目前来看，当前的区块链交易中的用户签名方式主要有三种：(1)使用本地的连接区块链网络的客户端(Geth或Parity)签名；(2)使用如MetaMask的浏览器插件进行签名；(3)离线签名。

对于以上三种签名方式来说，都具有一定的安全问题或者便捷性问题。首先对于区块链客户端来说，不论是Geth还是Parity，它们都是可以与区块链网络上的任一节点进行通信的，然而在这些节点中，可能就存在恶意节点，但是客户端并不提供过滤恶意节点的功能，这些恶意节点可以发送任意数据到用户的主机上，这就可能会威胁到用户的账户，甚至于窃取私钥。对于Metamask等浏览器插件来说，它们会在浏览器中管理用户的区块链账户，用户的私钥会保存在浏览器中。目前来看，Metamask还存在着一些安全漏洞。在用户解锁Metamask进行区块链交易的时候，所有浏览器的其它标签页都可能读取到用户执行交易的地址，因为所有的区块链交易都是公开的，攻击者可以使用用户的地址查询到交易的详细信息，然后利用该信息伪造交易失败的弹窗界面，诱导用户重新进行交易，并暗自将交易收益地址改为攻击者自己的账户。相比前两种方式，离线签名的安全性较好，因为用户首先在一台不联网的主机上对交易进行签名，可以保证在签名生成的阶段不会受到恶意攻击，然后将签名后的交易字符串使用一台联网的主机广播至区块链网络。一些网站例如Etherscan和Infura可以提供广播的服务。但是这些网站所提供的服务也不能保证安全性，例如近来Etherscan网站也受到了黑客的攻击，该网站被黑客恶意植入了弹窗警告信息“1337,you’ve been hacked”，虽然该漏洞马上就被网站维护人员修复，但可见使用该网站的服务并不是完全安全的，可能有未知的安全漏洞，会造成用户的财产的损失。并且使用离线的签名服务步骤较为繁琐，需要在两台机器上操作(一台离线，另外一台联网)，增加了操作的复杂性。

本发明的创新性在于通过特殊的算法设计，使得智能合约可以作为一个代理来替代用户进行签名，保证攻击者无法伪造签名算法，并且可以保证该签名过程在白盒攻击环境下是安全的，用户的私钥不会被恶意窃取。该签名还具有不可拆分签名的特性，代理在代表原始签名者生成数字签名时不携带签名密钥，因此密钥在调用智能合约时可以受到保护。此外可以保证用户原始需求不被篡改，即无法在修改用户需求约束条件的情况下创建新的有效的签名。

为此，本发明给出的技术方案为：

一种适用于区块链智能合约的不可拆分的数字签名方案，它包括的步骤如下：

步骤1.在每一台运行区块链客户端的计算机上，在规定好的安全级别下，即输入需要的安全参数k，运行算法1，算法定义如下：

算法1.系统初始化算法：Setup(1^k)，输入的k∈N(N为自然数)是一个安全参数，算法输出公共参数设置Ω＝(CURVE,G,p,q,H(·))。上述中，关于安全参数1^k是一个概念性说法，k就是安全指数，可以简单理解为加密系统是k位长度的，当具体实现时，视项目需求和采用的公钥加密系统(比如椭圆曲线等)而定。

在公共参数Ω中，CURVE代表所使用的椭圆曲线的方程式及其数域，G代表椭圆曲线的基点，即椭圆曲线的生成元，其阶数为质数q，满足q·G＝O，O代表零点，“·”表示椭圆曲线标量点乘法。p表示椭圆曲线坐标所在的域的阶数，也为质数。H(·)是一个密码杂凑函数。

步骤2.客户端上算法1执行结束后得到了系统参数Ω，区块链中所有用户都可以得到该参数，随后每一个客户本地运行算法2，具体定义如下：

算法2.密钥生成算法:随机选取x作为私钥，计算Y＝x·G，“·”表示椭圆曲线标量点乘法，Y为公钥。

在运行完算法2后，每个用户各自妥善保管自己的私钥，其公钥可以公开在区块链网络中。

步骤3.客户端在本地将私钥x，需求描述字符串Q作为输入运行算法3，Q是客户端对交易的一种限定，比如该交易消耗的金额不能超过600以太币等各种规定。该算法将生成一个不可拆分签名函数f_Signed(x)。

算法3.不可拆分签名算法生成算法SignFuncGen(x,Q)

(1)随机选取

(2)计算Z＝(z_x,z_y)＝w·G

(3)计算x_Q＝xw+z_x

(4)计算Y_Q＝xZ+z_x·G

(5)计算u＝H(Z||Q||Y_Q)

(6)v＝w-xumodq

(7)输出f_Signed(x)＝＜x_Q,Y_Q,u,v＞

执行完该算法后客户端将输出一个不可拆分签名函数f_Signed(x)＝＜x_Q,Y_Q,u,v＞，该函数对应私钥x和需求描述字符串Q有唯一的＜x_Q,Y_Q,u,v＞值。

步骤4.客户端调用代理签名智能合约，并将不可拆分签名函数f_Signed(x)以及待签名交易t传递给智能合约，智能合约收到参数后执行算法4，代理用户对该交易进行签名。

算法4.不可拆分签名生成算法Sign(f_Signed(x),t)。输入不可拆分签名函数f_Signed(x)，待签名交易t，算法步骤按顺序执行如下：

(1)计算e＝H(t)，其中H(·)是密码杂凑函数

(2)随机选取

(3)计算R＝(r_x,r_y)＝k·G

(4)计算r＝r_xmodq，如果r＝0，返回步骤(2)

(5)从f_Signed(x)中提取x_Q

(6)计算s＝k^-1·(e+r·x_Q)modq，如果s＝0，返回步骤(2)

(7)从f_Signed(x)中提取u,v,Y_Q

(8)输出签名值Sig(t)＝<r,s,u,v,Y_Q>

步骤5.智能合约将该签名后的交易以及其签名值广播到区块链网络中去。

步骤6.签名后的交易被加入到区块链中矿工节点所维护的交易池中，之后矿工按顺序检验交易的合法性，运行算法5，验证该交易的签名。

算法5.签名验证算法Verify(Y,t,Q,<r,s,u,v,Y_Q>)。输入公钥Y，交易t，需求描述字符串Q，签名值<r,s,u,v,Y_Q>，算法步骤按顺序执行如下：

(1)检验Y_Q是否是椭圆曲线CURVE上的点，如果不是则签名无效，否则执行下一步

(2)检验Y_Q是否是椭圆曲线CURVE的零点O，如果是则签名无效，否则执行下一步

(3)检验r和s是否都是中的元素，如果不是则签名无效

(4)计算Z_v＝v·G+u·Y

(5)计算u_v＝H(Z_v||Q||Y_Q)，其中H(·)是密码杂凑函数

(6)判断是否u_v＝u，如果不相等则签名无效

(7)计算e＝H(t)，其中H(·)是密码杂凑函数

(8)计算w＝s^-1modq

(9)计算u₁＝ewmod q和u₂＝rwmodq

(10)计算曲线点(x₁,y₁)＝u₁·G+u₂·Y_Q，如果(x₁,y₁)＝O则签名无效

(11)如果r≡x₁(modq)则签名有效，否则无效

如果签名有效，则该代理交易合法，完成交易并将该交易添加到下一个区块中即可，如果签名无效，则表明该交易不合法或者代理合约不合法，则该交易无效，并不会被区块链网络所认可。

至此，整个方案的步骤结束。

通过以上技术方案，本发明在区块链网络中实现了在白盒攻击环境下，进行安全的智能合约代理不可拆分签名算法。本方案解决了目前区块链网络中没有较为安全的代理签名方案的问题。本方案中智能合约不会携带用户的私钥进行签名，保证了用户私钥的安全性，同时用户不需要自己操作客户端或浏览器插件等工具为自己的交易签名，提高了操作的便捷性，并且该方案可以保证在白盒攻击环境下用户的私钥不被窃取，安全性相比与现有的签名方案有很大的提升。同时该方案具有不可拆分签名的特性，代理在代表原始签名者生成数字签名时不携带签名密钥，因此密钥在调用智能合约时可以受到保护。此外可以保证用户原始签名不被篡改，即无法在修改用户需求约束条件的情况下创建新的有效的签名。

附图说明

图1为本发明基于椭圆曲线数字签名的区块链智能合约不可拆分签名方案的工作原理

图2为对照于图1的流程示意图

具体实施方式

图1，图2描述各算法在基于椭圆曲线数字签名的区块链智能合约不可拆分签名方案中的使用。

如图1所示，基于椭圆曲线数字签名的区块链智能合约不可拆分签名方案通常的工作原理如下。首先所有安装区块链客户端的客户节点以及矿工节点组成了一个区块链网络，代理签名的智能合约就部署在区块链客户端上。首先，在每一台运行以太坊客户端的计算机上，在规定好的安全级别下，即输入需要的安全参数k，运行Setup函数，生成全局公共参数，每一台客户端的公共参数都保持一致。以以太坊网络为例,其中使用的密码杂凑函数H(·)是KECCAK-256。椭圆曲线方程式为：y²＝x³+ax+b，其中a＝0,b＝7。基点G＝0279BE667E F9DCBBAC55A06295CE870B07 029BFCDB 2DCE28D9 59F2815B 16F81798。有限域阶数p＝FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFEFFFFFC2F。G的阶数q＝FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFE BAAEDCE6AF48A03BBFD25E8C D0364141。

随后每一个客户本地运行KGEN算法生成签名的公私钥，之后每个用户各自妥善保管自己的私钥，其公钥可以公开在区块链网络中，对应该公钥生成该用户的区块链地址。然后客户端在本地将私钥x，需求描述字符串Q作为输入运行SignFuncGen，生成一个不可拆分签名函数f_Signed(x)。生成该函数之后，客户端调用代理签名智能合约，并将不可拆分签名函数f_Signed(x)以及待签名交易t传递给智能合约，智能合约收到参数后执行Sign算法，代理用户对该交易进行签名。智能合约将该签名后的交易以及其签名值广播到区块链网络中去。签名后的交易被加入到区块链中矿工节点所维护的交易池中，之后矿工按顺序检验交易的合法性，运行Verify算法，验证该交易的签名。如果签名有效，则该代理交易合法，完成交易并将该交易添加到下一个区块中即可，如果签名无效，则表明该交易不合法或者代理合约不合法，则该交易无效，并不会被区块链网络所认可。

如图2所示，基于椭圆曲线数字签名的区块链智能合约不可拆分签名方案包括如下六个步骤：

步骤1.在每一台运行以太坊客户端的计算机上，在规定好的安全级别下，即输入需要的安全参数k，运行Setup。

步骤2.客户端上Setup执行结束后得到了系统参数Ω，区块链中所有用户都可以得到该参数，随后每一个客户本地运行KGEN。

步骤3.客户端在本地将私钥x，需求描述字符串Q作为输入运行SignFuncGen，该算法将生成一个不可拆分签名函数f_Signed(x)。

步骤4.客户端调用代理签名智能合约，并将不可拆分签名函数f_Signed(x)以及待签名交易t传递给智能合约，智能合约收到参数后执行Sign，代理用户对该交易进行签名。

步骤5.智能合约将该签名后的交易以及其签名值广播到区块链网络中去。

步骤6.签名后的交易被加入到区块链中矿工节点所维护的交易池中，之后矿工按顺序检验交易的合法性，运行Verify，验证该交易的签名。

如果签名有效，则该代理交易合法，完成交易并将该交易添加到下一个区块中即可，如果签名无效，则表明该交易不合法或者代理合约不合法，则该交易无效，并不会被区块链网络所认可。至此，整个方案的步骤结束。

上述过程包含了以下五个算法：

(1)Setup：该算法用于生成方案的公共系统参数。输入一个安全参数k，k∈N(N为自然数)。该算法输出系统参数Ω。

(2)KGEN:生成用户的用于签名的私钥和用于验证的公钥。

(3)SignFuncGen：该算法用于在客户端生成不可拆分签名函数，该算法需要用户的需求约束条件Q和用户私钥x，该算法输出一个函数f_Signed(x)。

(4)Sign：该算法用于生成对应交易的签名值，需要不可拆分签名函数f_Signed(x)和待签名的交易t作为输入。该算法输出一个不可拆分的数字签名。

(5)Verify：该算法用于签名验证交易的不可拆分签名，输入公钥Y，交易t，需求描述字符串Q，签名值<r,s,u,v,Y_Q>，并输出“有效”或者“无效”。

Claims (1)

1.一种适用于区块链智能合约的不可拆分数字签名方法，它包括六个如下步骤：

步骤1.在每一台运行区块链客户端的计算机上在规定好的安全级别下(输入需要的安全指数k)运行算法1，算法定义如下：

算法1.系统初始化算法：Setup(1^k)，输入的k∈N(N为自然数)是一个安全参数，算法输出公共参数设置Ω＝(CURVE,G,p,q,H(·))。

在公共参数Ω中，CURVE代表所使用的椭圆曲线的方程式及其数域，G代表椭圆曲线的基点，即椭圆曲线的生成元，其阶数为质数q，满足q·G＝O，O代表零点，“·”表示椭圆曲线标量点乘法。p表示椭圆曲线坐标所在的域的阶数，也为质数。

定义：在椭圆曲线上的离散对数问题(ECDLP)：给定素数阶p和椭圆曲线CURVE，对B＝k·A，在已知点A,B的情况下，可以证明已知k和A计算B比较容易，而由B和A计算k则比较困难。

步骤2.算法1执行结束后得到了系统参数Ω，区块链中所有用户都可以得到该参数，随后每一个客户本地运行算法2，具体定义如下：

算法2.KGEN()

(1)

(2)Y＝x·G

在运行完算法2后，每个用户得到公钥Y和私钥x。用户各自妥善保管自己的私钥，其公钥可以公开在区块链网络中。

步骤3.客户端在本地将私钥x，需求描述字符串Q作为输入运行算法3，Q是客户端对交易的一种限定。该算法将生成一个不可拆分签名函数f_Signed(x)。

算法3.不可拆分签名算法生成算法SignFuncGen(x,Q)

(1)随机选取

(2)计算Z＝(z_x,z_y)＝w·G

(3)计算x_Q＝xw+z_x

(4)计算Y_Q＝xZ+z_x·G

(5)计算u＝H(Z||Q||Y_Q)，H(·)是密码杂凑函数

(6)v＝w-xu mod q

(7)输出f_Signed(x)＝＜x_Q,Y_Q,u,v＞

执行完该算法后客户端将输出一个不可拆分签名函数f_Signed(x)＝＜x_Q,Y_Q,u,v＞，该函数对应私钥x和Q有唯一的＜x_Q,Y_Q,u,v＞值。

步骤4.客户端调用代理签名智能合约，并将不可拆分签名函数f_Signed(x)以及待签名交易t传递给智能合约，智能合约收到参数后执行算法4，代理用户对该交易进行签名。

算法4.不可拆分签名生成算法Sign(f_Signed(x),t)。输入不可拆分签名函数f_Signed(x)，待签名交易t，算法步骤按顺序执行如下：

(1)计算e＝H(t)，其中H(·)是密码杂凑函数

(2)随机选取

(3)计算R＝(r_x,r_y)＝k·G

(4)计算r＝r_x mod q，如果r＝0，返回步骤(2)

(5)从f_Signed(x)中提取x_Q

(6)计算s＝k^-1·(e+r·x_Q)mod q，如果s＝0，返回步骤(2)

(7)从f_Signed(x)中提取u,v,Y_Q

(8)输出签名值Sig(t)＝<r,s,u,v,Y_Q>

步骤5.智能合约将该签名后的交易t以及其签名值Sig(t)广播到区块链网络中去。

步骤6.签名后的交易被加入到区块链中矿工节点所维护的交易池中，之后矿工按顺序检验交易的合法性，运行算法5，验证该交易的签名。

算法5.签名验证算法Verify(Y,t,Q,<r,s,u,v,Y_Q>)。输入公钥Y，交易t，需求描述字符串Q，签名值<r,s,u,v,Y_Q>，算法步骤按顺序执行如下：

(1)检验Y_Q是否是椭圆曲线CURVE上的点，如果不是则签名无效，否则执行下一步

(2)检验Y_Q是否是椭圆曲线CURVE上的零点O，如果是则签名无效，否则执行下一步

(3)检验r和s是否都是中的元素，如果不是则签名无效

(4)计算Z_v＝v·G+u·Y

(5)计算u_v＝H(Z_v||Q||Y_Q)，H(·)是密码杂凑函数

(6)判断是否u_v＝u，如果不相等则签名无效

(7)计算e＝H(t)，其中H(·)是密码杂凑函数

(8)计算w＝s^-1 mod q

(9)计算u₁＝ew mod q和u₂＝rw mod q

(10)计算曲线点(x₁,y₁)＝u₁·G+u₂·Y_Q，如果(x₁,y₁)＝O则签名无效。

(11)如果r≡x₁(mod q)则签名有效，否则无效。

如果签名有效，则该交易合法，完成交易并将该交易添加到下一个区块中即可，如果签名无效，则表明该交易不合法或者代理合约不合法，则该交易无效，并不会被区块链网络所认可。

至此，整个方案的步骤结束。