CN110166256B - 具有乘积r参数的SM9数字签名多方协同生成方法及系统 - Google Patents

Abstract

发明涉及SM9数字签名生成方法：m个标号为第1号到第m号的装置分别保存有[1,n‑1]中的整数秘密c_i，n为SM9群的阶，i＝1,…,m，m≥2；P_A＝[(c₁+c₂+…+c_m)^‑1]d_A，P_B＝[b]d_A，d_A为用户的私钥，b为m个装置都不知的[1,n‑1]内的整数秘密；当需使用d_A对消息签名时，计算得到w＝g_B^(r₁r₂…r_m)，h＝H₂(M||w,n)，Q₁＝[(r₂r₃…r_m)^‑1]P_A，Q₂＝[(r₃…r_m)^‑1]P_A，Q_m‑1＝[(r_m)^‑1]P_A，取Q_m＝P_A,S₀＝P_B；m个装置递归计算S_i＝[r_i]S_i‑1+[‑c_ih]Q_i，令S＝S_m，则(h,S)为针对消息的数字签名。

Description

具有乘积r参数的SM9数字签名多方协同生成方法及系统

技术领域

本发明属于信息安全技术领域，特别是具有乘积r参数的SM9数字签名多方协同生成方法及系统。

背景技术

SM9是由国家密码管理局颁布的一种基于双线性映射(配对运算)的标识密码算法，其中的双线性映射(配对运算)为：

e：G₁×G₂→G_T时，其中G₁、G₂是加法循环群，G_T是一个乘法循环群，G₁、G₂、G_T的阶是素数n(注：在SM9规范中，G₁、G₂、G_T的阶用的是大写字母N，本专利申请采用小写n)，即若P、Q、R分别为G₁、G₂中的元，则e(P,Q)为G_T中的元，且：

e(P+R,Q)＝e(P,Q)e(R,Q)，

e(P,Q+R)＝e(P,Q)e(P,R)，

e(aP,bQ)＝e(P,Q)^ab。

基于SM9密码算法能实现基于标识的数字签名、密钥交换及数据加密。在SM9密码算法中，使用用户的SM9私钥d_A针对消息M生成数字签名的过程如下：

计算得到w＝g^r，这里符号^表示幂运算(g的r次幂)，r是在[1,n-1]区间内随机选择的整数，n是SM9密码算法的群G₁、G₂、G_T的阶，g＝e(P₁,P_pub)，P₁为G₁中的生成元，P_pub为主公钥(即P_pub＝[s]P₂，s为主私钥或主密钥，P₂为G₂中的生成元，参见SM9规范；注意，这里的主私钥或主密钥，主公钥，用户标识私钥使用的符号与SM9规范略有不同)；

然后，计算h＝H₂(M||w,n)，其中H₂为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G₁、G₂、G_T的阶(参见SM9规范)；

若r≠h，计算S＝[r-h]d_A，则(h,S)为生成的数字签名；若r＝h，则重新选择r，重新计算w、h，直到r≠h。

针对一些特殊的需求，比如，为了保证非硬件环境下用户私钥使用的安全性，人们提出了一些基于秘密共享(分享)的SM9数字签名生成方法。在这些方法中，多个装置分别保存有用户SM9私钥的秘密份额，或者分别保存有与私钥有关的秘密的秘密份额；在需要使用用户私钥针对一个消息M生成数字签名时，每个装置利用自己的秘密份额与其他装置交互、协同运算，生成针对消息的数字签名。

现有的基于秘密共享的SM9数字签名协同生成方案，通常在密码运算的过程中计算w＝g^(a₁r₁+...+a_mr_m)，其中r_i是第i个装置在[1,n-1]中随机选择的整数，而a_i是常数，i＝1,...,m(假设有m个装置)；然后计算h＝H₂(M||w,n)，最后m个装置通过协同计算得到S＝[(a₁r₁+...+a_mr_m)-h]d_A。这种方案通常是没有问题的，但也可能出现一种情况，就是恰好出现(a₁r₁+...+a_mr_m)mod n＝0，而出现这样情况恰好被其中一个装置观测到(比如通过检查w是否是单位元)，但却不报告，则这个装置就有可能从最终得到的数字签名(h,S)中得到用户的SM9私钥。出现这种情况的概率虽然极小，但是仍然有可能发生，尤其是在r_i很难做到是真正随机选择的情况下。

如果基于秘密共享的数字签名协同生成方案能做到所采用的方案是w＝g^(ar₁...r_m)，S＝[(ar₁...r_m)-h]d_A，即这里的r₁,...,r_m以及一个常数a是以乘积的形式出现，则不会出现(ar₁...r_m)mod n＝0的情况，这样的方案具有更高的安全性。我们在这里把r₁,...,r_m以及常数a是以乘积形式出现的情形称为乘积r参数的情形，而把生成数字签名过程中r₁,…,r_m以及常数a以乘积形式出现的SM9数字签名协同生成方法，称为具有乘积r参数的SM9数字签名协同生成方法。

发明内容

本发明的目的是提出增强安全的SM9数字签名多方协同生成技术方案，即具有乘积r参数的SM9数字签名多方协同生成技术方案，以增强基于秘密共享的SM9数字签名协同生成技术方案的安全性。

针对本发明的目的，本发明提出的技术方案包括具有乘积r参数的SM9数字签名多方协同生成方法及相应的系统。

在以下对本发明技术方案的描述中，若P、Q是加法群G₁、G₂中的元，则P+Q表示P、Q在加法群上的加，P-Q表示P加上Q的逆元(加法逆元)，[k]P表示k个P在加法群上的加，即P+P+...+P(共有k个P)(若k是负数，则是|k|个P相加的结果的加法逆元；这里[]符号的使用与SM9规范一致)；

省略号“...”，表示多个同样(类型)的数据项或多个同样的运算；

若a、b是乘法群G_T中的元，则ab或a·b表示a、b在乘法群G_T上的乘(只要不产生无二义性，“·”可以省略)，a^-1表示a在乘法群中逆元(乘法逆元)，a^t表示t个a在乘法群G_T上相乘(t是负数，则是|t|个a相乘的结果的乘法逆元)，即幂运算，a^t的另一种表达方式是a^t；

若c为整数，则c^-1表示整数c的模n乘法逆(即cc^-1mod n＝1)；如无特别说明，本专利发明中整数的乘法逆都是针对群G₁、G₂、G_T的阶n的模n乘法逆；

多个整数相乘(包括整数符号相乘、常数与整数符号相乘)，在不产生二义性的情况下，省略掉乘号“·”，如k₁·k₂简化为k₁k₂，3·c，简化为3c；

mod n表示模n运算(modulo operation)，对应于SM9规范中的modN；还有，模n运算的算子mod n的优先级是最低的，如a+b mod n等同于(a+b)mod n，a-b mod n等同于(a-b)mod n，ab mod n等同于(ab)mod n。

本发明提出的具有乘积r参数的SM9数字签名多方协同生成方法具体如下。

所述方法涉及m个分别标号为第1号，第2号，...，到第m号的装置，m≥2；

第i号装置保存有[1,n-1]区间内的整数秘密c_i，i＝1,...,m，其中n为SM9密码算法中群G₁、G₂、G_T的阶(为素数)，且(c₁+c₂+...+c_m)mod n≠0；

(初始化阶段)预先计算有：

P_A＝[c^-1]d_A，其中d_A为用户的SM9标识私钥，c^-1为c的模n乘法逆，c＝(c₁+c₂+...+c_m)mod n为m个装置都没有保存的整数秘密；

P_B＝[b]d_A，其中b是[1,n-1]区间内的m个装置都没有保存的整数秘密；

b和c^-1不必互异(二者不同或者相同)；

g_B＝g^b，其中^是幂运算(对^前面的元进行幂运算，^后面为幂运算的次数)，g＝e(P₁,P_pub)，P₁为G₁中的生成元，P_pub为主公钥(即P_pub＝[s]P₂，s为主私钥或主密钥，P₂为G₂中的生成元，参见SM9规范)；

m个装置都不保存d_A；

当需要使用用户的SM9标识私钥d_A针对消息M进行数字签名时，m个装置按如下方式进行数字签名的生成(需要使用用户的SM9标识私钥d_A、针对消息M进行数字签名的主体可以是调用这m个装置的密码应用程序、系统或密码模块，或者m个装置之一中的密码应用程序、系统)：

首先，m个装置通过交互计算得到w＝g_B^(r₁r₂...r_m)，其中r_i是计算过程中第i号装置在[1,n-1]区间内随机选择的整数，i＝1,...,m；

然后，(m个装置中的一个装置或其他装置)计算h＝H₂(M||w,n)，其中H₂为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G₁、G₂、G_T的阶；

(h无需保密，可根据需要自由传送)

(m个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则m个装置重新进行w的计算，直到w≠g^h；

之后，计算得到Q₁＝[(r₂r₃...r_m)^-1]P_A，Q₂＝[(r₃...r_m)^-1]P_A，...，Q_m-1＝[(r_m)^-1]P_A，取Q_m＝P_A；

取S₀＝P_B；

第1号装置计算S₁＝[r₁]S₀+[-c₁h]Q₁，其中r₁与计算w时的r₁相同，然将S₁传送给第2号装置；

第i号装置接收到S_i-1后，i＝2,...,m，若检查发现S_i-1为零元，则报错，否则，计算S_i＝[r_i]S_i-1+[-c_ih]Q_i，其中r_i与计算w时的r_i相同；

若i＝m，则取S＝S_m，(h,S)为生成的针对消息M的数字签名，否则，将S_i传送给第i+1号装置，直到完成S_m的计算。

(此时S＝[r₁r₂...r_m]P_B+[-c₁hr₂...r_m]Q₁+[-c₂hr₃...r_m]Q₂+...+[-c_m-1hr_m]Q_m-1+[-c_mh]Q_m＝[r₁r₂...r_m]P_B+[-(c₁+c₂+...+c_m)h]P_A＝[(r₁r₂...r_m)b-h]d_A)

对于以上所述的具有乘积r参数的SM9数字签名多方协同生成方法，m个装置计算得到w＝g_B^(r₁r₂...r_m)的方法包括(不是全部可能的方式)：

第1号装置计算g₁＝g_B^r₁，将g₁发送第2号装置；

第i号装置接收到g_i-1后，i＝2,...,m，计算g_i＝g_i-1^r_i；

若i＝m，则取w＝g_m，完成计算，否则，将第i号装置g_i传送给第i+1号装置；

或者，

第m号装置计算g_m＝g_B^r_m，将g_m发送第m-1号装置；

第i号装置接收g_i+1到后，i＝m-1,...,1，计算g_i＝g_i+1^r_i；

若i＝1，则取w＝g₁，完成计算，否则，将第i号装置g_i传送给第i-1号装置。

对于以上所述的具有乘积r参数的SM9数字签名多方协同生成方法，若在计算过程中不检查w与g^h是否相等，则计算得到S后，若(m个装置中的一个或其他装置)检查发现S为零元，则m个装置重新进行协同计算，直到S不为零元。

对于以上所述的具有乘积r参数的SM9数字签名多方协同生成方法，计算得到Q₁＝[(r₂r₃...r_m)^-1]P_A，Q₂＝[(r₃...r_m)^-1]P_A，...，Q_m-1＝[(r_m)^-1]P_A的一种方式如下：

第m号装置取Q_m＝P_A，计算Q_m-1＝[(r_m)^-1]Q_m，将Q_m-1发送给第m-1号装置；

第i号装置接收到Q_i后，i＝m-1,…,1，若i＝1，则第1号装置将Q₁临时保留，完成Q₁,Q₂,...,Q_m-1的计算，否则，第i号装置计算Q_i-1＝[(r_i)^-1]Q_i，将Q_i临时保留，将Q_i-1传送给第i-1号装置。

对于以上所述的具有乘积r参数的SM9数字签名多方协同生成方法，若取c_m＝0并将P_A作为秘密由第m号装置保存，且b≠c^-1(即P_B≠P_A)，则按前述方法计算得到S_m(此时[-c_mh]Q_m为零元)后，第m号装置取S＝S_m，检验(h,S)作为消息M的数字签名的有效性，若有效，则(h,S)是针对消息M的数字签名，否则，第m号装置报错。

在以上所述的具有乘积r参数的SM9数字签名多方协同生成方法的基础上可构建SM9数字签名协同生成系统，系统包括m个分别标号为第1号，第2号，...，到第m号的装置，m≥2；第i号装置保存有[1,n-1]区间内的整数秘密c_i，i＝1,...,m；当需要使用用户的SM9标识私钥d_A针对消息M进行数字签名时，m个装置按所述具有乘积r参数的SM9数字签名多方协同生成方法生成针对消息M的数字签名；特别地，若取c_m＝0，并将P_A作为秘密由第m号装置保存，且b≠c^-1(即P_B≠P_A)，则按所述具有乘积r参数的SM9数字签名多方协同生成方法计算得到S_m(此时[-c_mh]Q_m为零元)后，第m号装置取S＝S_m，检验(h,S)作为消息M的数字签名的有效性，若有效，则(h,S)是针对消息M的数字签名，否则，第m号装置报错。

从以上描述可以看到，通过本发明的方法和系统，当需要使用用户标识私钥d_A对消息进行数字签名时，多个装置可以通过交互协同生成针对消息的数字签名，且协同计算过程采用的是乘积r参数，从而具有较高的安全性。

附图说明

无。

具体实施方式

下面结合实施例对本发明作进一步的描述。以下实施例仅是本发明列举的几个可能的实施例，不代表全部可能的实施例，不作为对本发明的限定。

实施例1、

此实施例有两个标号为第1号、第2号的装置，第1号装置保存有[1,n-1]区间内的整数秘密c₁，第2号装置保存有[1,n-1]区间内的整数秘密c₂，其中n为SM9密码算法中群G₁、G₂、G_T的阶(为素数)，且(c₁+c₂)mod n≠0；

(初始化阶段)预先计算有：

P_A＝[c^-1]d_A，其中d_A为用户的SM9标识私钥，c^-1为c的模n乘法逆，c＝(c₁+c₂)mod n为两个装置都没有保存的整数秘密；

P_B＝[b]d_A，其中b是[1,n-1]区间内的m个装置都没有保存的整数秘密；

b和c^-1不必互异(二者不同或者相同)；

g_B＝g^b，其中^是幂运算(对^前面的元进行幂运算，^后面为幂运算的次数)，g＝e(P₁,P_pub)，P₁为G₁中的生成元，P_pub为主公钥(即P_pub＝[s]P₂，s为主私钥或主密钥，P₂为G₂中的生成元，参见SM9规范)；

两个装置都不保存d_A；

当需要使用用户的SM9标识私钥d_A针对消息M进行数字签名时，两个装置首先通过交互计算得到w＝g_B^(r₁r₂)，其中r₁是第1号装置在[1,n-1]区间内随机选择的整数，r₂是第2号装置在[1,n-1]区间内随机选择的整数；

然后，(两个装置中的一个装置或其他装置)计算h＝H₂(M||w,n)，其中H₂为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G₁、G₂、G_T的阶；

(两个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；

之后，计算得到Q₁＝[(r₂)^-1]P_A，取Q₂＝P_A；

取S₀＝P_B；

第1号装置计算S₁＝[r₁]S₀+[-c₁h]Q₁，其中r₁与计算w时的r₁相同，然将S₁传送给第2号装置；

第2号装置接收到S₁后，若检查发现S₁为零元，则报错，否则，计算S₂＝[r₂]S₁+[-c₂h]Q₂，其中r₂与计算w时的r₂相同；

取S＝S₂，则(h,S)为针对消息M的数字签名。

(此时S＝[r₁r₂]P_B+[-c₁hr₂]Q₁+[-c₂h]Q₂＝[r₁r₂]P_B+[-(c₁+c₂)h]P_A

＝[(r₁r₂)b-h]d_A)

对于此实施例，在初始化阶段，可以由知道d_A的装置(两个装置中的一个或之外的一个装置)在[1,n-1]中随机选择两个整数c₁、c₂，检查(c₁+c₂)mod n是否为0，若为0，则在[1,n-1]内重新选择两个整数c₁、c₂，直到(c₁+c₂)mod n不为0；

若(c₁+c₂)mod n不为0，则将c₁、c₂分别交由第1号、第2号装置作为秘密保存；

然后，知道d_A的装置计算P_A＝[c^-1]d_A，其中c^-1为c的模n乘法逆，c＝(c₁+c₂)mod n；在[1,n-1]中随机选择一个整数b，计算P_B＝[b]d_A；

最后将P_A、P_B交由需要的装置使用，将c、b、d_A销毁。

实施例2、

此实施例有m个分别标号为第1号，第2号，...，到第m号的装置，m≥2，其中第i号装置保存有[1,n-1]区间内的整数秘密c_i，i＝1,...,m，其中n为SM9密码算法中群G₁、G₂、G_T的阶(为素数)，且(c₁+c₂+...+c_m)mod n≠0；

(初始化阶段)预先计算有：

P_A＝[c^-1]d_A，其中d_A为用户的SM9标识私钥，c＝(c₁+c₂+...+c_m)mod n为m个装置都没有保存的整数秘密，c^-1为c的模n乘法逆；

P_B＝[b]d_A，其中b是[1,n-1]区间内的m个装置都没有保存的整数秘密；

b和c^-1不必互异(二者不同或者相同)；

g_B＝g^b，其中^是幂运算(对^前面的元进行幂运算，^后面为幂运算的次数)，g＝e(P₁,P_pub)，P₁为G₁中的生成元，P_pub为主公钥(即P_pub＝[s]P₂，s为主私钥或主密钥，P₂为G₂中的生成元，参见SM9规范)；

m个装置都不保存d_A；

当需要使用用户的SM9标识私钥d_A针对消息M进行数字签名时，m个装置首先通过交互计算得到w＝g_B^(r₁r₂...r_m)，其中r_i是计算过程中第i号装置在[1,n-1]区间内随机选择的整数，i＝1,...,m；

然后，(m个装置中的一个装置或其他装置)计算h＝H₂(M||w,n)，其中H₂为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G₁、G₂、G_T的阶；

(h无需保密，可根据需要自由传送)

(m个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则m个装置重新进行w的计算，直到w≠g^h；

之后，计算得到Q₁＝[(r₂r₃...r_m)^-1]P_A，Q₂＝[(r₃...r_m)^-1]P_A，...，Q_m-1＝[(r_m)^-1]P_A，取Q_m＝P_A；

取S₀＝P_B；

第1号装置计算S₁＝[r₁]S₀+[-c₁h]Q₁，其中r₁与计算w时的r₁相同，然将S₁传送给第2号装置；

第i号装置接收到S_i-1后，i＝2,...,m，若检查发现S_i-1为零元，则报错，否则，计算S_i＝[r_i]S_i-1+[-c_ih]Q_i，其中r_i与计算w时的r_i相同；

若i＝m，则取S＝S_m，(h,S)为生成的针对消息M的数字签名，否则，将S_i传送给第i+1号装置。

(此时S＝[r₁r₂...r_m]P_B+[-c₁hr₂...r_m]Q₁+[-c₂hr₃...r_m]Q₂+...+[-c_m-1hr_m]Q_m-1+[-c_mh]Q_m＝[r₁r₂...r_m]P_B+[-(c₁+c₂+...+c_m)h]P_A＝[(r₁r₂...r_m)b-h]d_A)

对于此实施例，在初始化阶段，可以由知道d_A的装置(m个装置中的一个或之外的一个装置)在[1,n-1]中随机选择m个整数c_i，i＝1,...,m，检查(c₁+c₂+...+c_m)mod n是否为0，若为0，则在[1,n-1]内重新选择m个整数，直到(c₁+c₂+...+c_m)mod n不为0；

若(c₁+c₂+...+c_m)mod n不为0，则将c_i交由第i号装置作为秘密保存,i＝1,...,m；

然后知道d_A的装置计算P_A＝[c^-1]d_A，其中c^-1为c的模n乘法逆，c＝(c₁+c₂+...+c_m)mod n；

然后知道d_A的装置在[1,n-1]中随机选择一个整数b，计算P_B＝[b]d_A；

最后将P_A、P_B交由需要的装置，将c、b、d_A销毁。

实施例3、

此实施例有两个标号为第1号、第2号的装置，第1号装置保存有[1,n-1]区间内的整数秘密c₁，其中n为SM9密码算法中群G₁、G₂、G_T的阶(为素数)；第2号装置保存有秘密P_A＝[(c₁)^-1]d_A(此时c₂＝0)，其中d_A为用户的SM9标识私钥，(c₁)^-1为c₁的模n乘法逆；

(初始化阶段)预先计算有：

P_B＝[b]d_A，其中b是[1,n-1]区间内的m个装置都没有保存的整数秘密；

b和(c₁)^-1不同；

g_B＝g^b，其中^是幂运算(对^前面的元进行幂运算，^后面为幂运算的次数)，g＝e(P₁,P_pub)，P₁为G₁中的生成元，P_pub为主公钥(即P_pub＝[s]P₂，s为主私钥或主密钥，P₂为G₂中的生成元，参见SM9规范)；

两个装置都不保存d_A；

当需要使用用户的SM9标识私钥d_A针对消息M进行数字签名时，两个装置首先通过交互计算得到w＝g_B^(r₁r₂)，其中r₁是第1号装置在[1,n-1]区间内随机选择的整数，r₂是第2号装置在[1,n-1]区间内随机选择的整数；

然后，(两个装置中的一个装置或其他装置)计算h＝H₂(M||w,n)，其中H₂为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G₁、G₂、G_T的阶；

(两个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；

之后，计算得到Q₁＝[(r₂)^-1]P_A；

取S₀＝P_B；

第1号装置计算S₁＝[r₁]S₀+[-c₁h]Q₁，其中r₁与计算w时的r₁相同，然将S₁传送给第2号装置；

第2号装置接收到S₁后，若检查发现S₁为零元，则报错，否则，计算S₂＝[r₂]S₁(此时c₂＝0)，其中r₂与计算w时的r₂相同；

第2号装置取S＝S₂，检查(h,S)作为消息M的数字签名的有效性，若有效，则(h,S)为针对消息M的数字签名，否则，第2号装置报错。

(此时S＝[r₁r₂]P_B+[-c₁r₂h]Q₁＝[r₁r₂]P_B+[-c₁h]P_A＝[(r₁r₂)b-h]d_A)

对于此实施例，在初始化阶段，可以由知道d_A的装置(两个装置中的一个或之外的一个装置)在[1,n-1]中随机选择一个整数c₁，将c₁交由第1号装置作为秘密保存；计算P_A＝[(c₁)^-1]d_A，将P_A交由第2号装置作为秘密保存(此时c₂＝0)；知道d_A的装置在[1,n-1]内随机选择一个整数b且b≠(c₁)^-1，计算P_B＝[b]d_A，将P_B交由需要的装置，将b、d_A销毁。

实施例4、

此实施例有m个分别标号为第1号，第2号，...，到第m号的装置，m≥2，其中第1号到第m-1号装置分别保存有[1,n-1]区间内的整数秘密c_i，i＝1,...,m-1，其中n为SM9密码算法中群G₁、G₂、G_T的阶(为素数)，且(c₁+c₂+...+c_m-1)mod n≠0；第m号装置保存有秘密P_A＝[c^-1]d_A，其中d_A为用户的SM9标识私钥，c^-1为c的模n乘法逆，c＝(c₁+c₂+...+c_m-1)mod n；

(初始化阶段)预先计算有：

P_B＝[b]d_A，其中b是[1,n-1]区间内的m个装置都没有保存的整数秘密；

b和c^-1不同；

g_B＝g^b，其中^是幂运算(对^前面的元进行幂运算，^后面为幂运算的次数)，g＝e(P₁,P_pub)，P₁为G₁中的生成元，P_pub为主公钥(即P_pub＝[s]P₂，s为主私钥或主密钥，P₂为G₂中的生成元，参见SM9规范)；

m个装置都不保存d_A；

当需要使用用户的SM9标识私钥d_A针对消息M进行数字签名时，m个装置首先通过交互计算得到w＝g_B^(r₁r₂...r_m)，其中r_i是计算过程中第i号装置在[1,n-1]区间内随机选择的整数，i＝1,...,m；

然后，(m个装置中的一个装置或其他装置)计算h＝H₂(M||w,n)，其中H₂为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G₁、G₂、G_T的阶；

(h无需保密，可根据需要自由传送)

(m个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则m个装置重新进行w的计算，直到w≠g^h；

之后，计算得到Q₁＝[(r₂r₃...r_m)^-1]P_A，Q₂＝[(r₃…r_m)^-1]P_A，...，Q_m-1＝[(r_m)^-1]P_A，取Q_m＝P_A；

取S₀＝P_B；

第1号装置计算S₁＝[r₁]S₀+[-c₁h]Q₁，其中r₁与计算w时的r₁相同，然将S₁传送给第2号装置；

第i号装置接收到S_i-1后，i＝2,...,m，若检查发现S_i-1为零元，则报错，否则，计算S_i＝[r_i]S_i-1+[-c_ih]Q_i，其中r_i与计算w时的r_i相同；这里若i＝m，c_m＝0；

若i＝m，则结束S₁,S₂,...,S_m的计算，否则，将S_i传送给第i+1号装置；

第m号装置取S＝S_m，检查(h,S)作为消息M的数字签名的有效性，若有效，则(h,S)为针对消息M的数字签名，否则，第m号装置报错。

(此时S＝[r₁r₂...r_m]P_B+[-c₁hr₂...r_m]Q₁+[-c₂hr₃...r_m]Q₂+...+[-c_m-1hr_m]Q_m-1＝[r₁r₂…r_m]P_B+[-(c₁+c₂+...+c_m-1)h]P_A＝[(r₁r₂...r_m)b-h]d_A)

对于此实施例，在初始化阶段，可以由知道d_A的装置(m个装置中的一个或之外的一个装置)在[1,n-1]中随机选择m-1个整数c_i，i＝1,...,m-1，检查(c₁+c₂+...+c_m-1)mod n是否为0，若为0，则在[1,n-1]内重新选择m-1个整数，直到(c₁+c₂+...+c_m-1)mod n不为0；

若(c₁+c₂+...+c_m-1)mod n不为0，则将c_i交由第i号装置作为秘密保存,i＝1,...,m-1(此时c_m＝0)；

然后知道d_A的装置计算P_A＝[c^-1]d_A，其中c^-1为c的模n乘法逆，c＝(c₁+c₂+...+c_m-1)mod n；

然后知道d_A的装置在[1,n-1]中随机选择一个整数b且b≠c^-1，计算P_B＝[b]d_A；

最后将P_A交由第m号装置作为秘密保存，将P_B交给需要的装置，将c、b、d_A销毁。

在以上实施例1-4中，m个装置计算得到w＝g_B^(r₁r₂...r_m)的方法包括(不是全部可能的方式)：

第1号装置计算g₁＝g_B^r₁，将g₁发送第2号装置；

第i号装置接收到g_i-1后，i＝2,...,m，计算g_i＝g_i-1^r_i；

若i＝m，则w＝g_m，完成计算，否则，将第i号装置g_i传送给第i+1号装置；

或者，

第m号装置计算g_m＝g_B^r_m，将g_m发送第m-1号装置；

第i号装置接收g_i+1到后，i＝m-1,...,1，计算g_i＝g_i+1^r_i；

若i＝1，则w＝g₁，完成计算，否则，将第i号装置g_i传送给第i-1号装置。

在以上实施例1-4中，若在计算过程中不检查w与g^h是否相等，则计算得到S后，若检查发现S为零元，则m个装置重新进行协同计算，直到S不为零元。

在以上实施例1-4中，计算得到Q₁＝[(r₂r₃...r_m)^-1]P_A，Q₂＝[(r₃...r_m)^-1]P_A，...，Q_m-1＝[(r_m)^-1]P_A的一种方式如下：

第m号装置取Q_m＝P_A，计算Q_m-1＝[(r_m)^-1]Q_m，将Q_m-1发送给第m-1号装置；

第i号装置接收到Q_i后，i＝m-1,...,1，若i＝1，则第1号装置将Q₁临时保留，完成Q₁,Q₂,...,Q_m-1的计算，否则，第i号装置计算Q_i-1＝[(r_i)^-1]Q_i，将Q_i临时保留，将Q_i-1传送给第i-1号装置。

依据本发明的具有乘积r参数的SM9数字签名多方协同生成方法可构建相应的SM9数字签名协同生成系统，系统包括m个分别标号为第1号，第2号，...，到第m号的装置，m≥2；第i号装置保存有[1,n-1]区间内的整数秘密c_i，i＝1,...,m；当需要使用用户的SM9标识私钥d_A针对消息M进行数字签名时，m个装置按所述具有乘积r参数的SM9数字签名多方协同生成方法生成针对消息M的数字签名；特别地，若取c_m＝0，并将P_A作为秘密由第m号装置保存，且b≠c^-1(即P_B≠P_A)，则按所述具有乘积r参数的SM9数字签名多方协同生成方法计算得到S_m(此时[-c_mh]Q_m为零元)后，第m号装置取S＝S_m，检验(h,S)作为消息M的数字签名的有效性，若有效，则(h,S)是针对消息M的数字签名，否则，第m号装置报错。

其他未说明的具体技术实施，对于相关领域的技术人员而言是众所周知，不言自明的。

Claims (6)

1.一种具有乘积r参数的SM9数字签名多方协同生成方法，其特征是：

所述方法涉及m个分别标号为第1号，第2号，…，到第m号的装置，m≥2；

第i号装置保存有[1,n-1]区间内的整数秘密c_i，i＝1,…,m，其中n为SM9密码算法中群G₁、G₂、G_T的阶，且(c₁+c₂+…+c_m)mod n≠0；

预先计算有：

P_A＝[c^-1]d_A，其中d_A为用户的SM9标识私钥，c^-1为c的模n乘法逆，c＝(c₁+c₂+…+c_m)mod n为m个装置都没有保存的整数秘密；

P_B＝[b]d_A，其中b是[1,n-1]区间内的m个装置都没有保存的整数秘密；

b和c^-1不必互异；

g_B＝g^b，其中^是幂运算，g＝e(P₁,P_pub)，P₁为G₁中的生成元，P_pub为主公钥；

m个装置都不保存d_A；

当需要使用用户的SM9标识私钥d_A针对消息M进行数字签名时，m个装置按如下方式进行数字签名的生成：

首先，m个装置通过交互计算得到w＝g_B^(r₁r₂…r_m)，其中r_i是计算过程中第i号装置在[1,n-1]区间内随机选择的整数，i＝1,…,m；

然后，计算h＝H₂(M||w,n)，其中H₂为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G₁、G₂、G_T的阶；

检查w与g^h是否相等，若w＝g^h，则m个装置重新进行w的计算，直到w≠g^h；

之后，计算得到Q₁＝[(r₂r₃…r_m)^-1]P_A，Q₂＝[(r₃…r_m)^-1]P_A，…，Q_m-1＝[(r_m)^-1]P_A，取Q_m＝P_A；

取S₀＝P_B；

第1号装置计算S₁＝[r₁]S₀+[-c₁h]Q₁，其中r₁与计算w时的r₁相同，然将S₁传送给第2号装置；

第i号装置接收到S_i-1后，i＝2,…,m，若检查发现S_i-1为零元，则报错，否则，计算S_i＝[r_i]S_i-1+[-c_ih]Q_i，其中r_i与计算w时的r_i相同；

若i＝m，则取S＝S_m，(h,S)为生成的针对消息M的数字签名，否则，将S_i传送给第i+1号装置，直到完成S_m的计算。

2.根据权利要求1所述的具有乘积r参数的SM9数字签名多方协同生成方法，其特征是：

m个装置计算得到w＝g_B^(r₁r₂…r_m)的方法包括：

第1号装置计算g₁＝g_B^r₁，将g₁发送第2号装置；

第i号装置接收到g_i-1后，i＝2,…,m，计算g_i＝g_i-1^r_i；

若i＝m，则取w＝g_m，完成计算，否则，将第i号装置g_i传送给第i+1号装置；

或者，

第m号装置计算g_m＝g_B^r_m，将g_m发送第m-1号装置；

第i号装置接收g_i+1到后，i＝m-1,…,1，计算g_i＝g_i+1^r_i；

若i＝1，则取w＝g₁，完成计算，否则，将第i号装置g_i传送给第i-1号装置。

3.根据权利要求1所述的具有乘积r参数的SM9数字签名多方协同生成方法，其特征是：

若在计算过程中不检查w与g^h是否相等，则计算得到S后，若检查发现S为零元，则m个装置重新进行协同计算，直到S不为零元。

4.根据权利要求1所述的具有乘积r参数的SM9数字签名多方协同生成方法，其特征是：

计算得到Q₁＝[(r₂r₃…r_m)^-1]P_A，Q₂＝[(r₃…r_m)^-1]P_A，…，Q_m-1＝[(r_m)^-1]P_A的一种方式如下：

第m号装置取Q_m＝P_A，计算Q_m-1＝[(r_m)^-1]Q_m，将Q_m-1发送给第m-1号装置；

第i号装置接收到Q_i后，i＝m-1,…,1，若i＝1，则第1号装置将Q₁临时保留，完成Q₁,Q₂,…,Q_m-1的计算，否则，第i号装置计算Q_i-1＝[(r_i)^-1]Q_i，将Q_i临时保留，将Q_i-1传送给第i-1号装置。

5.根据权利要求1所述的具有乘积r参数的SM9数字签名多方协同生成方法，其特征是：

若取c_m＝0并将P_A作为秘密由第m号装置保存，且b≠c^-1，则按前述方法计算得到S_m后，第m号装置取S＝S_m，检验(h,S)作为消息M的数字签名的有效性，若有效，则(h,S)是针对消息M的数字签名，否则，第m号装置报错。

6.一种基于权利要求1-4中任一项所述的具有乘积r参数的SM9数字签名多方协同生成方法的SM9数字签名协同生成系统，其特征是：

所述系统包括m个分别标号为第1号，第2号，…，到第m号的装置，m≥2；第i号装置保存有[1,n-1]区间内的整数秘密c_i，i＝1,…,m；当需要使用用户的SM9标识私钥d_A针对消息M进行数字签名时，m个装置按所述具有乘积r参数的SM9数字签名多方协同生成方法生成针对消息M的数字签名；

若取c_m＝0并将P_A作为秘密由第m号装置保存，且b≠c^-1，则按所述具有乘积r参数的SM9数字签名多方协同生成方法计算得到S_m后，第m号装置取S＝S_m，检验(h,S)作为消息M的数字签名的有效性，若有效，则(h,S)是针对消息M的数字签名，否则，第m号装置报错。