CN109951292B - 精简的sm9数字签名分离交互生成方法及系统 - Google Patents

Abstract

发明涉及SM9数字签名的分离交互生成方法：装置1有[1,n‑1]内的整数秘密c，n为G₁、G₂、G_T的阶；装置2有秘密P_A＝[c^‑1]d_A，d_A是用户的SM9私钥；当需使用d_A针对消息M数字签名时，两装置先协同计算w＝g^(c^‑1(r₂+r₁))或w＝g^(c^‑1r₂+r₁))，其中g＝e(P₁,P_pub)，r₁、r₂是装置1、2在[1,n‑1]中任选的整数，^为幂运算；装置1或2计算h＝H₂(M||w,n)；装置1计算s₁＝(r₁‑ch)mod n(对应w第一个算式)或s₁＝(cr₁‑ch)mod n，将s₁发送给装置2；装置2计算S＝(r₂+s₁)P_A，则(h,S)为生成的数字签名。

Description

精简的SM9数字签名分离交互生成方法及系统

技术领域

本发明属于信息安全技术领域，特别是一种精简的SM9数字签名分离交互生成方法及系统。

背景技术

SM9是由国家密码管理局颁布的一种基于双线性映射(配对运算)的标识密码算法，其中的双线性映射(配对运算)为：

e：G₁×G₂→G_T时，其中G₁、G₂是加法循环群，G_T是一个乘法循环群，G₁、G₂、G_T的阶是素数n(注：在SM9规范中，G₁、G₂、G_T的阶用的是大写字母N，本专利申请采用小写n)，即若P、Q、R分别为G₁、G₂中的元，则e(P,Q)为G_T中的元，且：

e(P+R,Q)＝e(P,Q)e(R,Q)，

e(P,Q+R)＝e(P,Q)e(P,R)，

e(aP,bQ)＝e(P,Q)^ab。

基于SM9算法能实现基于标识的数字签名、密钥交换及数据加密。针对SM9本专利申请的发明人在专利申请“SM9数字签名分离交互生成方法及系统”(专利申请号：201711206787.7)中提出了一种基于秘密分割的数字签名分离交互生成方案，基于此方案，在需要使用用户SM9私钥针对一个消息生成数字签名时，两个分享有用户SM9私钥秘密的装置，通过在线交互协同生成针对消息的数字签名。专利申请201711206787.7的技术方案可以进一步简化，以提高计算效率。

发明内容

本发明的目的是对现有的SM9数字签名分离交互生成技术方案进行进一步地简化，以提高计算效率。

针对本发明的目的，本发明提出的技术方案是一种精简的SM9数字签名分离交互生成方法及系统。

在以下对本发明技术方案的描述中，若P、Q是加法群G₁、G₂中的元，则P+Q表示P、Q在加法群上的加，P-Q表示P加上Q的逆元(加法逆元)，[k]P表示k个P在加法群上的加(多倍点)，即P+P+...+P(共有k个P)(若k是负数，则是|k|个P相加的结果的加法逆元；这里多倍点的表示方式与SM9规范一致)；

省略号“...”，表示多个同样(类型)的数据项或多个同样的运算；

若a、b是乘法群G_T中的元，则ab或a·b表示a、b在乘法群G_T上的乘(只要不产生无二义性，“·”可以省略)，a^-1表示a在乘法群中逆元(乘法逆元)，a^t表示t个a在乘法群G_T上相乘(t是负数，则是|t|个a相乘的结果的乘法逆元)，即幂运算，a^t的另一种表达方式是a^t；

若a为整数，则a^-1表示整数c的模n乘法逆(即aa^-1mod n＝1)；如无特别说明，本专利发明中整数的乘法逆都是针对群G₁、G₂、G_T的阶n的模n乘法逆；

多个整数相乘(包括整数符号相乘、常数与整数符号相乘)，在不产生二义性的情况下，省略掉乘号“·”，如k₁·k₂简化为k₁k₂，3·c，简化为3c；

mod n表示模n运算(modulo operation)，对应于SM9规范中的modN；还有，模n运算的算子mod n的优先级是最低的，如a+b mod n等同于(a+b)mod n，a-b mod n等同于(a-b)mod n，ab mod n等同于(ab)mod n。

本发明的精简的SM9数字签名分离交互生成方法具体如下。

所述方法涉及两个分别标号为第1号和第2号的装置；第1号装置保存有[1,n-1]区间内的整数秘密c，其中n为SM9密码算法中群G₁、G₂、G_T的阶(为素数)；第2号装置保存有秘密P_A＝[c^-1]d_A(第2号装置没有保存c和d_A)，其中d_A是用户的身份标识ID_A所对应的SM9标识私钥，c^-1为c的模n乘法逆；

当需要使用用户的SM9标识私钥d_A针对消息M进行数字签名时，两个装置按如下方式进行数字签名的生成(需要使用用户的SM9标识私钥d_A、针对消息M进行数字签名的主体可以是调用这两个装置的密码应用程序、系统或密码模块，或者两个装置之一中的密码应用程序、系统)：

首先，两个装置协同计算得到w＝g^(c^-1(r₂+r₁))或w＝g^(c^-1r₂+r₁)，其中r₁、r₂分别是第1号、第2号装置在[1,n-1]区间内随机选择的整数，^表示(对符号左边的群元g进行)幂运算，g＝e(P₁,P_pub)，P₁为G₁中的生成元，P_pub为主公钥(即P_pub＝[s]P₂，s为主私钥或主密钥，P₂为G₂中的生成元，参见SM9规范)；

之后，第1号或第2号装置计算h＝H₂(M||w,n)，其中H₂为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G₁、G₂、G_T的阶；

(h无需保密，可自由传送)

然后，第1号装置按如方式计算s₁：

若w的计算式为w＝g^(c^-1(r₂+r₁))，则s₁＝(r₁-ch)mod n；

若w的计算式为w＝g^(c^-1r₂+r₁)，则s₁＝(cr₁-ch)mod n；

第1号装置将s₁发送给第2号装置；

第2号装置接收到s₁后，计算S＝[(r₂+s₁)mod n]P_A；

则(h,S)为生成的针对消息M的数字签名。

对于以上所述SM9数字签名分离交互生成方法，两个装置协同计算得到w＝g^(c^-1(r₂+r₁))或w＝g^(c^-1r₂+r₁)的一种方式如下：

在初始化阶段，(第1号装置或其他装置)预先计算得到g_c＝g^(c^-1)，第2号装置保存g_c；若g_c是由第1号装置之外的其他装置计算，则计算g_c的装置在完成g_c计算后将c销毁；

若要计算w＝g^(c^-1(r₂+r₁))，则第1号装置计算w₁＝g_c^r₁；

若要计算w＝g^(c^-1r₂+r₁)，则第1号装置计算w₁＝g^r₁；

第2号装置计算w₂＝g_c^(r₂)；

之后，第1号或第2号装置计算w＝w₂w₁。

对于以上所述SM9数字签名分离交互生成方法，可选地，在第1号或第2号装置完成计算h＝H₂(M||w,n)后，在第1号装置计算s₁前，第1号或第2号装置检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；

或者，若第2号装置在计算S之前，若检查发现(r₂+s₁)mod n的值为零，则两个装置重新开始计算w，直到(r₂+s₁)mod n不为零。

对于以上所述SM9数字签名分离交互生成方法，可选地，在返回或接受数字签名(h,S)前，第2号装置利用用户的身份标识ID_A、消息M，验证(h,S)作为消息M的数字签名的有效性，若有效，则(h,S)是针对消息M的数字签名，返回或接受数字签名(h,S)，否则，第2号装置报错，或者两个装置重新进行生成针对消息M的数字签名。

对于以上所述SM9数字签名分离交互生成方法，在初始化阶段，预先知道d_A的装置(可以是两个装置中的一个装置或两个装置之外的一个装置)在[1,n-1]区间内随机选择一个整数c，计算得到P_A＝[c^-1]d_A，然后将d_A销毁，c由第1号装置保存，P_A由第2号装置保存；若P_A是由第1号装置计算，则第1号装置完成P_A计算后将P_A销毁；若P_A是由第2号装置计算，则第2号装置完成P_A计算后将c销毁。

基于以上所述SM9数字签名分离交互生成方法，可构建相应的SM9数字签名分离交互生成系统，系统包括两个装置，其中一个装置作为前面所述第1号装置，另一个装置作为前面所述第2号装置，当需要使用用户的SM9私钥d_A针对消息M生成数字签名时，所述两个装置按所述SM9数字签名分离交互生成方法生成针对消息M的数字签名。

从以上描述可以看到，通过本发明的方法，当需要使用用户标识私钥d_A对消息进行数字签名时，两个装置可以分离交互生成针对消息的数字签名；相对于现有技术，本发明的方法使用了更少的参数，更简单的计算式，这些都提高了计算效率。

附图说明

无。

具体实施方式

下面结合实施例对本发明作进一步的描述。以下实施例仅是本发明列举的几个可能的实施例，不代表全部可能的实施例，不作为对本发明的限定。

实施例1、

此实施例涉及两个装置，其中一个装置是移动或微小智能装置，比如，智能移动终端、智能穿戴装置、智能传感器等，此移动或微小智能装置作为第1号装置，另一个装置是位于网络上的密码服务器；第1号装置保存有[1,n-1]内的整数秘密c，第2号装置保存有秘密P_A＝[c^-1]d_A，其中d_A是用户SM9私钥。

当第1号装置或第1号装置中的应用程序需要使用用户SM9私钥d_A对消息M进行数字签名时，所述第1号装置和第2号装置采用前面所述的精简的SM9数字签名分离交互生成方法，通过网络交互，协同生成针对消息M的数字签名。

实施例2、

此实施例涉及两个装置，其中一个移动或微小智能装置，比如，智能移动终端、智能穿戴装置、智能传感器等，此移动或微小智能装置作为一个便携式密码装置实施SM9密码运算，此移动或微小智能装置作为第1号装置，另一个装置是位于网络上的密码服务器；第1号装置保存有[1,n-1]内的整数秘密c，第2号装置保存有秘密P_A＝[c^-1]d_A，其中d_A是用户SM9私钥。

当一个应用程序或系统调用作为便携式密码装置的第1号装置，使用用户SM9私钥d_A对消息M进行数字签名时，所述第1号装置和第2号装置采用前面所述的精简的SM9数字签名分离交互生成方法，通过网络交互，协同生成针对消息M的数字签名。

实施例3、

此实施例涉及两个装置，其中一个装置是用户计算装置(如台式计算机、服务器)，此用户计算装置作为第1号装置，另一个装置是位于网络上的密码服务器；第1号装置保存有[1,n-1]内的整数秘密c，第2号装置保存有秘密P_A＝[c^-1]d_A，其中d_A是用户SM9私钥。

当第1号装置或第1号装置中的应用程序需要使用用户SM9私钥d_A对消息M进行数字签名时，所述第1号装置和第2号装置采用前面所述的精简的SM9数字签名分离交互生成方法，通过网络交互，协同生成针对消息M的数字签名。

实施例4、

此实施例涉及两个装置，两个装置都是位于网络上的密码服务器，其中一个是第1号密码服务器，另一个作为第2号密码服务；第1号装置保存有[1,n-1]内的整数秘密c，第2号装置保存有秘密P_A＝[c^-1]d_A，其中d_A是用户SM9私钥。

当一个应用程序或系统调用第1号装置或第2号装置，使用用户SM9私钥d_A对消息M进行数字签名时，所述第1号装置和第2号装置采用前面所述的精简的SM9数字签名分离交互生成方法，通过网络交互，协同生成针对消息M的数字签名。

依据本发明的方法可以构建相应的SM9数字签名分离交互生成系统，系统包括两个装置，这两个装置可以都是提供密码服务的密码服务器，或者两个装置中的一个装置是用户装置，另一个是提供密码服务的密码服务器，其中用户装置是一个移动或微小智能装置，或者是一个计算装置(如台式计算机、服务器)；两个装置中的一个被标号为第1号装置，另一个被标号为第2号装置，若两个装置中的一个装置是资源受限装置，则此资源受限装置作为第1号装置；第1号装置保存有[1,n-1]内的整数秘密c，第2号装置保存有秘密P_A＝[c^-1]d_A，其中d_A是用户SM9私钥；当需要使用用户的SM9私钥d_A对消息M生成数字签名时，两个装置通过实施本发明的精简的SM9数字签名分离交互生成方法，交互协同生成使用用户的SM9标识私钥d_A针对消息M的数字签名。

其他未说明的具体技术实施，对于相关领域的技术人员而言是众所周知，不言自明的。

Claims (5)

1.一种精简的SM9数字签名分离交互生成方法，其特征是：

所述方法涉及两个分别标号为第1号和第2号的装置；第1号装置保存有[1,n-1]区间内的整数秘密c，其中n为SM9密码算法中群G₁、G₂、G_T的阶；第2号装置保存有秘密P_A＝[c^-1]d_A，其中d_A是用户的身份标识ID_A所对应的SM9标识私钥，c^-1为c的模n乘法逆；

当需要使用用户的SM9标识私钥d_A针对消息M进行数字签名时，两个装置按如下方式进行数字签名的生成：

首先，两个装置协同计算得到w＝g^(c^-1(r₂+r₁))或w＝g^(c^-1r₂+r₁)，其中r₁、r₂分别是第1号、第2号装置在[1,n-1]区间内随机选择的整数，^表示幂运算，g＝e(P₁,P_pub)，P₁为G₁中的生成元，P_pub为主公钥；

之后，第1号或第2号装置计算h＝H₂(M||w,n)，其中H₂为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G₁、G₂、G_T的阶；

然后，第1号装置按如方式计算s₁：

若w的计算式为w＝g^(c^-1(r₂+r₁))，则s₁＝(r₁-ch)mod n；

若w的计算式为w＝g^(c^-1r₂+r₁)，则s₁＝(cr₁-ch)mod n；

第1号装置将s₁发送给第2号装置；

第2号装置接收到s₁后，计算S＝[(r₂+s₁)mod n]P_A；

则(h,S)为生成的针对消息M的数字签名。

2.根据权利要求1所述的精简的SM9数字签名分离交互生成方法，其特征是：

两个装置协同计算得到w＝g^(c^-1(r₂+r₁))或w＝g^(c^-1r₂+r₁)的一种方式如下：

在初始化阶段，预先计算得到g_c＝g^(c^-1)，第2号装置保存g_c；若g_c是由第1号装置之外的其他装置计算，则计算g_c的装置在完成g_c计算后将c销毁；

若要计算w＝g^(c^-1(r₂+r₁))，则第1号装置计算w₁＝g_c^r₁；

若要计算w＝g^(c^-1r₂+r₁)，则第1号装置计算w₁＝g^r₁；

第2号装置计算w₂＝g_c^(r₂)；

之后，第1号或第2号装置计算w＝w₂w₁。

3.根据权利要求1所述的精简的SM9数字签名分离交互生成方法，其特征是：

在第1号或第2号装置完成计算h＝H₂(M||w,n)后，在第1号装置计算s₁前，第1号或第2号装置检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；

或者，若第2号装置在计算S之前，若检查发现(r₂+s₁)mod n的值为零，则两个装置重新开始计算w，直到(r₂+s₁)mod n不为零。

4.根据权利要求1所述的精简的SM9数字签名分离交互生成方法，其特征是：

在初始化阶段，预先知道d_A的装置在[1,n-1]区间内随机选择一个整数c，计算得到P_A＝[c^-1]d_A，然后将d_A销毁，c由第1号装置保存，P_A由第2号装置保存；若P_A是由第1号装置计算，则第1号装置完成P_A计算后将P_A销毁；若P_A是由第2号装置计算，则第2号装置完成P_A计算后将c销毁。

5.一种基于权利要求1-4中任一项所述的精简的SM9数字签名分离交互生成方法的SM9数字签名分离交互生成系统，其特征是：

所述系统包括两个装置，其中一个装置作为所述第1号装置，另一个装置作为所述第2号装置，当需要使用用户的SM9私钥d_A针对消息M生成数字签名时，所述两个装置按所述SM9数字签名分离交互生成方法生成针对消息M的数字签名。