CN110380855B - 支持多方协同增强安全的sm9数字签名生成方法及系统 - Google Patents

支持多方协同增强安全的sm9数字签名生成方法及系统 Download PDF

Info

Publication number
CN110380855B
CN110380855B CN201910748548.7A CN201910748548A CN110380855B CN 110380855 B CN110380855 B CN 110380855B CN 201910748548 A CN201910748548 A CN 201910748548A CN 110380855 B CN110380855 B CN 110380855B
Authority
CN
China
Prior art keywords
calculating
integer
digital signature
devices
calculation
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910748548.7A
Other languages
English (en)
Other versions
CN110380855A (zh
Inventor
龙毅宏
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Wuhan University of Technology WUT
Original Assignee
Wuhan University of Technology WUT
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Wuhan University of Technology WUT filed Critical Wuhan University of Technology WUT
Publication of CN110380855A publication Critical patent/CN110380855A/zh
Application granted granted Critical
Publication of CN110380855B publication Critical patent/CN110380855B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)

Abstract

发明涉及SM9数字签名生成方法：m个标号为第1号到第m号的装置分别保存有[1,n‑1]中的整数秘密ci，n为SM9群的阶，i＝1,…,m，m≥2；PA＝[(c1c2…cm)‑1]dA，PU＝[u]dA，dA为用户的私钥，u为m个装置都不知的[1,n‑1]内的整数秘密；在群G1中任选一个dA之外的非零元PB；当需使用dA对消息签名时，计算得到w＝gU^(r1r2…rm)，h＝H2(M||w,n)，T＝[r1r2…rm]PU+[‑F(z1,...,zm)]PB，V＝[F(z1,...,zm)]PB+[‑hc1c2…cm]PA；S＝T+V；则(h,S)为对消息M的数字签名。

Description

支持多方协同增强安全的SM9数字签名生成方法及系统
技术领域
本发明属于信息安全技术领域，特别是支持多方协同增强安全的SM9数字签名生成方法及系统。
背景技术
SM9是由国家密码管理局颁布的一种基于双线性映射(配对运算)的标识密码算法，其中的双线性映射(配对运算)为：
e：G1×G2→GT时，其中G1、G2是加法循环群，GT是一个乘法循环群，G1、G2、GT的阶是素数n(注：在SM9规范中，G1、G2、GT的阶用的是大写字母N，本专利申请采用小写n)，即若P、Q、R分别为G1、G2中的元，则e(P,Q)为GT中的元，且：
e(P+R,Q)＝e(P,Q)e(R,Q)，
e(P,Q+R)＝e(P,Q)e(P,R)，
e(aP,bQ)＝e(P,Q)ab。
基于SM9密码算法能实现基于标识的数字签名、密钥交换及数据加密。在SM9密码算法中，使用用户的SM9私钥dA针对消息M生成数字签名的过程如下：
计算得到w＝g^r，这里符号^表示幂运算(g的r次幂)，r是在[1,n-1]区间内随机选择的整数，n是SM9密码算法的群G1、G2、GT的阶，g＝e(P1,Ppub)，P1为G1中的生成元，Ppub为主公钥(即Ppub＝[s]P2，s为主私钥或主密钥，P2为G2中的生成元，参见SM9规范；注意，这里的主私钥或主密钥，主公钥，用户标识私钥使用的符号与SM9规范略有不同)；
然后，计算h＝H2(M||w,n)，其中H2为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G1、G2、GT的阶(参见SM9规范)；
若r≠h，计算S＝[r-h]dA，则(h,S)为生成的数字签名；若r＝h，则重新选择r，重新计算w、h，直到r≠h。
针对一些特殊的需求，比如，为了保证非硬件环境下用户私钥使用的安全性，人们提出了一些基于秘密共享(分享)的SM9数字签名生成方法。在这些方法中，多个装置分别保存有用户SM9私钥的秘密份额，或者分别保存有与私钥有关的秘密的秘密份额；在需要使用用户私钥针对一个消息M生成数字签名时，每个装置利用自己的秘密份额与其他装置交互、协同运算，生成针对消息的数字签名。
现有的基于秘密共享的SM9数字签名协同生成方案，通常在密码运算的过程中计算w＝g^(a1r1+…+amrm)，其中ri是第i个装置在[1,n-1]中随机选择的整数，而ai是常数，i＝1,…,m(假设有m个装置)；然后计算h＝H2(M||w,n)，最后m个装置通过协同计算得到S＝[(a1r1+…+amrm)-h]dA。这种方案通常是没有问题的，但也可能出现一种情况，就是恰好出现(a1r1+…+amrm)mod n＝0，而出现这样情况恰好被其中一个装置观测到(比如通过检查w是否是单位元)，但却不报告，则这个装置就有可能从最终得到的数字签名(h,S)中得到用户的SM9私钥。出现这种情况的概率虽然极小，但是仍然有可能发生，尤其是在ri很难做到是真正随机选择的情况下。
如果基于秘密共享的数字签名协同生成方案能做到所采用的方案是w＝g^(ar1…rm)，S＝[(ar1…rm)-h]dA，即这里的r1,…,rm以及一个常数a是以乘积的形式出现，则不会出现(ar1…rm)mod n＝0的情况，这样的方案具有更高的安全性。我们在这里把r1,…,rm以及常数a是以乘积形式出现的情形称为乘积r参数的情形，而把生成数字签名过程中r1,…,rm以及常数a以乘积形式出现的SM9数字签名协同生成方法，称为具有乘积r参数的SM9数字签名协同生成方法。
发明内容
本发明的目的是提出支持多方协同增强安全的SM9数字签名生成技术方案，即支持多方协同具有乘积r参数的SM9数字签名生成技术方案，以增强基于秘密共享的SM9数字签名协同生成技术方案的安全性。
针对本发明的目的，本发明提出的技术方案包括支持多方协同增强安全的SM9数字签名生成方法及相应的系统。
在以下对本发明技术方案的描述中，若P、Q是加法群G1、G2中的元，则P+Q表示P、Q在加法群上的加，P-Q表示P加上Q的逆元(加法逆元)，[k]P表示k个P在加法群上的加，即P+P+...+P(共有k个P)(若k是负数，则是|k|个P相加的结果的加法逆元；这里[]符号的使用与SM9规范一致)；
省略号“...”，表示多个同样(类型)的数据项或多个同样的运算；
若a、b是乘法群GT中的元，则ab或a·b表示a、b在乘法群GT上的乘(只要不产生无二义性，“·”可以省略)，a-1表示a在乘法群中逆元(乘法逆元)，at表示t个a在乘法群GT上相乘(t是负数，则是|t|个a相乘的结果的乘法逆元)，即幂运算，at的另一种表达方式是a^t；
若c为整数，则c-1表示整数c的模n乘法逆(即cc-1mod n＝1)；如无特别说明，本专利发明中整数的乘法逆都是针对群G1、G2、GT的阶n的模n乘法逆；
多个整数相乘(包括整数符号相乘、常数与整数符号相乘)，在不产生二义性的情况下，省略掉乘号“·”，如k1·k2简化为k1k2，3·c，简化为3c；
mod n表示模n运算(modulo operation)，对应于SM9规范中的modN；还有，模n运算的算子mod n的优先级是最低的，如a+b mod n等同于(a+b)mod n，a-b mod n等同于(a-b)mod n，ab mod n等同于(ab)mod n。
本发明提出的支持多方协同增强安全的SM9数字签名生成方法具体如下。
所述方法涉及m个分别标号为第1号，第2号，…，到第m号的装置，m≥2；
第i号装置保存有[1,n-1]区间内的整数秘密ci，i＝1,…,m，其中n为SM9密码算法中群G1、G2、GT的阶(为素数)；
(初始化阶段)预先计算有：
PA＝[c-1]dA，其中dA为用户的SM9标识私钥，c＝(c1c2…cm)mod n为m个装置都没有保存的整数秘密，c-1为c的模n乘法逆；
PU＝[u]dA，其中u是m个装置都没有保存的[1,n-1]区间内的整数秘密；
u和c-1不必互异(二者不同或者相同)；
gU＝g^u，其中^是幂运算(对^前面的元进行幂运算，^后面为幂运算的次数)，g＝e(P1,Ppub)，P1为G1中的生成元，Ppub为主公钥(即Ppub＝[s]P2，s为主私钥或主密钥，P2为G2中的生成元，参见SM9规范)；
在群G1中任选一个用户私钥dA之外的非零元PB(固定选取，比如固定选PB＝P1，或者主观任意选择，或者随机选择，比如，在[1,n-1]中随机选择一个整数b，计算PB＝[b]P1或PB＝[b]dA)；
当需要使用用户的SM9标识私钥dA针对消息M进行数字签名时，m个装置按如下方式进行数字签名的生成(需要使用用户的SM9标识私钥dA、针对消息M进行数字签名的主体可以是调用这m个装置的密码应用程序、系统或密码模块，或者m个装置之一中的密码应用程序、系统)：
首先，m个装置通过交互计算得到w＝gU^(r1r2…rm)，其中ri是计算过程中第i号装置在[1,n-1]区间内随机选择的整数，i＝1,…,m；
然后，(m个装置中的一个装置或其他装置)计算h＝H2(M||w,n)，其中H2为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G1、G2、GT的阶；
(h无需保密，可根据需要自由传送)
(m个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；
之后，m个装置协同计算得到T＝[r1r2…rm]PU+[-F(z1,z2,…,zm)]PB，V＝[F(z1,z2,…,zm)]PB+[-c1c2…cmh]PA，其中r1,r2,…,rm分别是计算w的过程中第1号，第2号，…，第m号装置在[1,n-1]中选择的整数，z1,z2,…,zm分别是在计算T、V的过程中第1号，第2号，…，第m号装置在[1,n-1]中随机选择的整数，F(z1,z2,…,zm)是针对z1,z2,…,zm的(一次)计算式；
最后，(m个装置中的一个装置或之外的装置)计算S＝T+V，则(h,S)是针对消息M的数字签名。
(此时S＝[r1r2…rm]PU+[-c1c2…cmh]PA＝[(r1r2…rm)u-h]dA)
对于以上所述支持多方协同增强安全的SM9数字签名生成方法，若在以上计算过程中不检查w与g^h是否相等，则计算得到S后，若(计算S＝T+V的装置)检查发现S为零元，则m个装置重新进行协同计算，直到S不为零元。
对于以上所述支持多方协同增强安全的SM9数字签名生成方法，m个装置计算得到w＝gU^(r1r2…rm)的方法包括(不是全部可能的方式)：
第1号装置计算g1＝gU^r1，将g1发送第2号装置；
第i号装置接收到gi-1后，i＝2,…,m，计算gi＝gi-1^ri；
若i＝m，则取w＝gm，完成计算，否则，将第i号装置将gi传送给第i+1号装置；
或者，
第m号装置计算gm＝gU^rm，将gm发送第m-1号装置；
第i号装置接收gi+1到后，i＝m-1,…,1，计算gi＝gi+1^ri；
若i＝1，则取w＝g1，完成计算，否则，将第i号装置将gi传送给第i-1号装置。
对于以上所述支持多方协同增强安全的SM9数字签名生成方法，m个装置协同计算得到T＝[r1r2…rm]PU+[-F(z1,z2,…,zm)]PB，V＝[F(z1,z2,…,zm)]PB+[-c1c2…cmh]PA的方式可以包括如下几种(但不一定是全部可能的方式)：
T、V协同计算方案一、
计算得到Q1＝[(r2r3…rm)-1(c2c3…cm)]PB，Q2＝[(r3…rm)-1(c3…cm)]PB，…，Qm-1＝[(rm)-1cm]PB，取Qm＝PB；
取T0＝PU，V0＝[-h]PA；
第1号装置在[1,n-1]中随机选择一个整数z1，计算T1＝[r1]T0+[-z1]Q1，V1＝[z1]PB+[c1]V0，将T1、V1传送给第2号装置；
第i号装置接收到Ti-1、Vi-1后，i＝2,…,m，若检查发现Ti-1为零元，则报错，否则，在[1,n-1]中随机选择一个整数zi，计算Ti＝[ri]Ti-1+[-zi]Qi，Vi＝[zi]PB+[ci]Vi-1；
若i＝m，则取T＝Tm，V＝Vm，完成T、V计算，否则，第i号装置将Ti、Vi传送给第i+1号装置，直到完成Tm、Vm计算；
(此时T＝[r1r2…rm]PU+[-z1(c2c3…cm)-z2(c3…cm)-…-zm-1cm-zm]PB，
V＝[z1(c2c3…cm)+z2(c3…cm)+…+zm-1cm+zm]PB+[-(c1c2…cm)h]PA)
若完成T、V计算后由第m号装置计算S＝T+V，则zm的取值允许为0或[1,n-1]中的整数常数(当然是随机整数也没问题)；
若PA不公开由第1号装置作为秘密保存(当然若PU＝PA，则PU也不公开，也作为秘密由第1号装置保存)，PB≠PA，则将c1作为非秘密时(其取值为1或其他[1,n-1]中的整数)，以上所述计算T、V的方法以及所述支持多方协同增强安全的SM9数字签名生成方法仍然成立。
T、V协同计算方案二、
此方案二在PB＝PA时成立；
计算得到Q1＝[(r2r3…rm)-1(c2c3…cm)]PB，Q2＝[(r3…rm)-1(c3…cm)]PB，…，Qm-1＝[(rm)-1cm]PB，取Qm＝PB；
取T0＝PU，v0＝-h；
第1号装置在[1,n-1]中随机选择一个整数z1，计算T1＝[r1]T0+[-z1]Q1，v1＝(z1+c1v0)mod n，将T1、v1传送给第2号装置；
第i号装置接收到Ti-1、vi-1后，i＝2,…,m，若检查发现Ti-1为零元，则报错，否则，在[1,n-1]中随机选择一个整数zi，计算Ti＝[ri]Ti-1+[-zi]Qi，vi＝(zi+civi-1)mod n；
若i＝m，则取T＝Tm，(m个装置中的一个装置或之外的装置)计算V＝[vm]PA，完成T、V计算，否则，第i号装置将Ti、vi传送给第i+1号装置，直到完成Tm、vm计算；
(此时T＝[r1r2…rm]PU+[-z1(c2c3…cm)-z2(c3…cm)-…-zm-1cm-zm]PB，
vm＝(z1(c2c3…cm)+z2(c3…cm)+…+zm-1cm+zm-(c1c2…cm)h)mod n)
若由第m号装置计算V＝[vm]PA，且完成T、V计算后由第m号装置计算S＝T+V，则zm的取值允许为0或[1,n-1]中的整数常数(当然是随机整数也没问题)；
若PA不公开由第m号装置作为秘密保存，PU≠PA，由第m号装置计算V＝[vm]PA，则将cm作为非秘密时(其取值为1或其他[1,n-1]中的整数)，以上所述计算T、V的方法以及所述支持多方协同增强安全的SM9数字签名生成方法仍然成立。
T、V协同计算方案三、
计算得到Q1＝[(r2r3…rm)(c2c3…cm)-1]PB，Q2＝[(r3…rm)(c3…cm)-1]PB，…，Qm-1＝[rm(cm)-1]PB，取Qm＝PB；
取T0＝PU，V0＝[-h]PA；
第1号装置在[1,n-1]中随机选择一个整数z1，计算T1＝[r1]T0+[-z1]PB，V1＝[z1]Q1+[c1]V0，将T1、V1传送给第2号装置；
第i号装置接收到Ti-1、Vi-1后，i＝2,…,m，若检查发现Ti-1为零元，则报错，否则，在[1,n-1]中随机选择一个整数zi，计算Ti＝[ri]Ti-1+[-zi]PB，Vi＝[zi]Qi+[ci]Vi-1；
若i＝m，则取T＝Tm，V＝Vm，完成T、V的计算，否则，第i号装置将Ti、Vi传送给第i+1号装置，直到完成Tm、Vm计算；
(此时T＝[r1r2…rm]PU+[-z1(r2r3…rm)-z2(r3…rm)-…-zm-1rm-zm]PB，
V＝[z1(r2r3…rm)+z2(r3…rm)+…+zm-1rm+zm]PB+[-(c1c2…cm)h]PA)
若完成T、V计算后由第m号装置计算S＝T+V，则zm的取值允许为0或[1,n-1]中的整数常数(当然是随机整数也没问题)；
若PA不公开由第1号装置作为秘密保存(当然若PU＝PA，则PU也不公开，也作为秘密由第1号装置保存)，PB≠PA，则将c1作为非秘密时(其取值为1或其他[1,n-1]中的整数)，以上所述计算T、V的方法以及所述支持多方协同增强安全的SM9数字签名生成方法仍然成立。
T、V协同计算方案四、
此方案四在PB＝PU时成立；
计算得到Q1＝[(r2r3…rm)(c2c3…cm)-1]PB，Q2＝[(r3…rm)(c3…cm)-1]PB，…，Qm-1＝[rm(cm)-1]PB，取Qm＝PB；
取t0＝1，V0＝[-h]PA；
第1号装置在[1,n-1]中随机选择一个整数z1，计算t1＝(r1t0-z1)mod n，V1＝[z1]Q1+[c1]V0，将t1、V1传送给第2号装置；
第i号装置接收到ti-1、Vi-1后，i＝2,…,m，若检查发现ti-1为0，则报错，否则，在[1,n-1]中随机选择一个整数zi，计算ti＝(riti-1-zi)mod n，Vi＝[zi]Qi+[ci]Vi-1；
若i＝m，则(m个装置中的一个装置或之外的装置)计算T＝[tm]PU，取V＝Vm，完成T、V的计算，否则，第i号装置将ti、Vi传送给第i+1号装置，直到完成tm、Vm计算；
(此时tm＝((r1r2…rm)-z1(r2r3…rm)-z2(r3…rm)-…-zm-1rm-zm)mod n，
T＝[z1(r2r3…cm)+z2(r3…rm)+…+zm-1rm+zm]PB+[-c1c2…cmh]PA)
若由第m号装置计算T＝[tm]PU，且完成T、V计算后由第m号装置计算S＝T+V，则zm的取值允许为0或[1,n-1]中的整数常数(当然是随机整数也没问题)；
若PA不公开由第1号装置作为秘密保存，PU≠PA，则将c1作为非秘密时(其取值为1或其他[1,n-1]内的整数)，以上所述计算T、V的方法以及所述支持多方协同增强安全的SM9数字签名生成方法仍然成立。
对于以上所述计算T、V的方案一、方案二，计算得到Q1＝[(r2r3…rm)-1(c2c3…cm)]PB，Q2＝[(r3…rm)-1(c3…cm)]PB，…，Qm-1＝[(rm)-1cm]PB的一种方式如下：
第m号装置取Qm＝PB，计算Qm-1＝[(rm)-1cm]Qm，将Qm-1发送给第m-1号装置；
第i号装置接收到Qi后，i＝m-1,…,1，若i＝1，则第1号装置将Q1临时保留，完成Q1,Q2,…,Qm-1的计算，否则，第i号装置计算Qi-1＝[(ri)-1ci]Qi，将Qi临时保留，将Qi-1传送给第i-1号装置；
在计算Q1,Q2,…,Qm-1的过程中，若第i号装置检查发现接收到的Qi为零元，i＝m-1,…,1，则报错。
对于以上所述计算T、V的方案三、方案四，计算得到Q1＝[(r2r3…rm)(c2c3…cm)-1]PB，Q2＝[(r3…rm)(c3…cm)-1]PB，…，Qm-1＝[rm(cm)-1]PB的一种方式如下：
第m号装置取Qm＝PB，计算Qm-1＝[rm(cm)-1]Qm，将Qm-1发送给第m-1号装置；
第i号装置接收到Qi后，i＝m-1,…,1，若i＝1，则第1号装置将Q1临时保留，完成Q1,Q2,…,Qm-1的计算，否则，第i号装置计算Qi-1＝[ri(ci)-1]Qi，将Qi临时保留，将Qi-1传送给第i-1号装置；
在计算Q1,Q2,…,Qm-1的过程中，若第i号装置检查发现接收到的Qi为零元，i＝m-1,…,1，则报错。
在以上所述支持多方协同增强安全的SM9数字签名生成方法的基础上可构建SM9数字签名协同生成系统，系统包括m个分别标号为第1号，第2号，…，到第m号的装置，m≥2；第i号装置保存有[1,n-1]区间内的整数秘密ci，i＝1,…,m；当需要使用用户的SM9标识私钥dA针对消息M进行数字签名时，m个装置按所述支持多方协同增强安全的SM9数字签名生成方法生成针对消息M的数字签名。
从以上描述可以看到，通过本发明的方法和系统，当需要使用用户标识私钥dA对消息进行数字签名时，多个装置可以通过交互协同生成针对消息的数字签名，且协同计算过程采用的是乘积r参数，从而具有较高的安全性。
具体实施方式
下面结合实施例对本发明作进一步的描述。以下实施例仅是本发明列举的几个可能的实施例，不代表全部可能的实施例，不作为对本发明的限定。
实施例1、
此实施例有两个标号为第1号、第2号的装置，第1号装置保存有[1,n-1]区间内的整数秘密c1，第2号装置保存有[1,n-1]区间内的整数秘密c2，其中n为SM9密码算法中群G1、G2、GT的阶(为素数)；
(初始化阶段)预先计算有：
PA＝[c-1]dA，其中dA为用户的SM9标识私钥，c＝(c1c2)mod n为两个装置都没有保存的整数秘密，c-1为c的模n乘法逆；
PU＝[u]dA，其中u是两个装置都没有保存的[1,n-1]区间内的整数秘密；u和c-1不必互异(二者不同或者相同)；
gU＝g^u，g＝e(P1,Ppub)；
在群G1中任选一个用户私钥dA之外的非零元PB(固定选取，比如固定选PB＝P1，或者主观任意选择，或者随机选择，比如，在[1,n-1]中随机选择一个整数b，计算PB＝[b]P1或PB＝[b]dA)；
当需要使用用户的SM9标识私钥dA针对消息M进行数字签名时，两个装置首先通过交互计算得到w＝gU^(r1r2)，其中r1是第1号装置在[1,n-1]区间内随机选择的整数，r2是第2号装置在[1,n-1]区间内随机选择的整数；
然后，(两个装置中的一个装置或其他装置)计算h＝H2(M||w,n)，其中H2为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G1、G2、GT的阶；
(两个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；
之间，两个装置按前述T、V协同计算方案一计算得到
T＝[r1r2]PU+[-F(z1,z2)]PB，V＝[F(z1,z2)]PB+[-c1c2h]PA，即：
计算得到Q1＝[(r2)-1c2]PB，取Q2＝PB；
取T0＝PU，V0＝[-h]PA；
第1号装置在[1,n-1]中随机选择一个整数z1，计算
T1＝[r1]T0+[-z1]Q1，V1＝[z1]PB+[c1]V0，然后将T1、V1发送给第2号装置；
第2号装置接收到T1、V1后，若检查发现T1为零元，则报错，否则，在[1,n-1]中随机选择一个整数z2，计算
T2＝[r2]T1+[-z2]Q2，V2＝[z2]PB+[c2]V1；(此时T2＝[r2r1]PU+[-z1c2]PB+[-z2]PB，V2＝[z1c2]PB+[z2]PB+[-c1c2h]PA)；
取T＝T2，V＝V2；
最后，(两个装置中的一个装置或其他装置)计算S＝T+V，则(h,S)为针对消息M的数字签名。
(S＝[r1r2]PU+[-c1c2h]PA＝[(r1r2)u-h]dA)
若完成T、V计算后由第2号装置计算S＝T+V，则T、V计算过程中z2的取值允许为0或[1,n-1]中的整数常数(当然是随机整数也没问题)。
对于实施例1，若PA不公开由第1号装置作为秘密保存(当然若PU＝PA，则PU也不公开，也作为秘密由第1号装置保存)，PB≠PA，则将c1作为非秘密时(其取值为1或其他[1,n-1]内的整数)，得到结果仍然正确。
实施例2、
此实施例有m个分别标号为第1号，第2号，…，到第m号的装置，m≥2，其中第i号装置保存有[1,n-1]区间内的整数秘密ci，i＝1,…,m，其中n为SM9密码算法中群G1、G2、GT的阶(为素数)；
(初始化阶段)预先计算有：
PA＝[c-1]dA，其中dA为用户的SM9标识私钥，c＝(c1c2…cm)mod n为m个装置都没有保存的整数秘密，c-1为c的模n乘法逆；
PU＝[u]dA，其中u是m个装置都没有保存的[1,n-1]区间内的整数秘密；u和c-1不必互异(二者不同或者相同)；
gU＝g^u，g＝e(P1,Ppub)；
在群G1中任选一个用户私钥dA之外的非零元PB(固定选取，比如固定选PB＝P1，或者主观任意选择，或者随机选择，比如，在[1,n-1]中随机选择一个整数b，计算PB＝[b]P1或PB＝[b]dA)；
当需要使用用户的SM9标识私钥dA针对消息M进行数字签名时，m个装置首先通过交互计算得到w＝gU^(r1r2…rm)，其中ri是计算过程中第i号装置在[1,n-1]区间内随机选择的整数，i＝1,…,m；
然后，(m个装置中的一个装置或其他装置)计算h＝H2(M||w,n)，其中H2为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G1、G2、GT的阶；
(m个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；
之后，m个装置按前述T、V协同计算方案一计算得到T＝[r1r2…rm]PU+[-F(z1,z2,…,zm)]PB，V＝[F(z1,z2,…,zm)]PB+[-c1c2…cmh]PA，即：
计算得到Q1＝[(r2r3…rm)-1(c2c3…cm)]PB，Q2＝[(r3…rm)-1(c3…cm)]PB，…，Qm-1＝[(rm)-1cm]PB，取Qm＝PB；
取T0＝PU，V0＝[-h]PA；
第1号装置在[1,n-1]中随机选择一个整数z1，计算T1＝[r1]T0+[-z1]Q1，V1＝[z1]PB+[c1]V0，将T1、V1传送给第2号装置；
第i号装置接收到Ti-1、Vi-1后，i＝2,…,m，若检查发现Ti-1为零元，则报错，否则，在[1,n-1]中随机选择一个整数zi，计算Ti＝[ri]Ti-1+[-zi]Qi，Vi＝[zi]PB+[ci]Vi-1；
若i＝m，则取T＝Tm，V＝Vm，完成T、V的计算，否则，第i号装置将Ti、Vi传送给第i+1号装置，直到完成Tm、Vm计算；
最后，(m个装置中的一个装置或其他装置)计算S＝T+V，则(h,S)为针对消息M的数字签名。
(S＝[r1r2…rm]PU+[-c1c2…cmh]PA＝[(r1r2…rm)u-h]dA)
若完成T、V计算后由第m号装置计算S＝T+V，则T、V计算过程中zm的取值允许为0或[1,n-1]中的整数常数(当然是随机整数也没问题)。
对于实施例2，若PA不公开由第1号装置作为秘密保存(当然若PU＝PA，则PU也不公开，也作为秘密由第1号装置保存)，PB≠PA，则将c1作为非秘密时(其取值为1或其他整数)，得到结果仍然正确。
实施例3、
此实施例有两个标号为第1号、第2号的装置，第1号装置保存有[1,n-1]区间内的整数秘密c1，第2号装置保存有[1,n-1]区间内的整数秘密c2，其中n为SM9密码算法中群G1、G2、GT的阶(为素数)；
(初始化阶段)预先计算有：
PA＝[c-1]dA，其中dA为用户的SM9标识私钥，c＝(c1c2)mod n为两个装置都没有保存的整数秘密，c-1为c的模n乘法逆；
PU＝[u]dA，其中u是m个装置都没有保存的[1,n-1]区间内的整数秘密；u和c-1不必互异(二者不同或者相同)；
gU＝g^u，g＝e(P1,Ppub)；
取PB＝PA；
当需要使用用户的SM9标识私钥dA针对消息M进行数字签名时，两个装置首先通过交互计算得到w＝gU^(r1r2)，其中r1是第1号装置在[1,n-1]区间内随机选择的整数，r2是第2号装置在[1,n-1]区间内随机选择的整数；
然后，(两个装置中的一个装置或其他装置)计算h＝H2(M||w,n)，其中H2为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G1、G2、GT的阶；
(两个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；
之间，两个装置按前述T、V协同计算方案二计算得到
T＝[r1r2]PU+[-F(z1,z2)]PB，V＝[F(z1,z2)]PB+[-c1c2h]PA，即：
计算得到Q1＝[(r2)-1c2]PB，取Q2＝PB；
取T0＝PU，v0＝-h；
第1号装置在[1,n-1]中随机选择一个整数z1，计算
T1＝[r1]T0+[-z1]Q1，v1＝(z1+c1v0)mod n；
第1号装置将T1、v1传送给第2号装置；
第2号装置接收到T1、v1后，若检查发现T1为零元，则报错，否则，在[1,n-1]中随机选择一个整数z2，计算
T2＝[r2]T1+[-z2]Q2，v2＝(z2+c2v1)mod n；
(此时T2＝[r2r1]PU+[-z1c2]PB+[-z2]PB，v2＝(z1c2+z2-c1c2h)mod n)；
取T＝T2，(两个装置中的一个装置或其他装置)计算V＝[v2]PA；
最后，(两个装置中的一个装置或其他装置)计算S＝T+V，则(h,S)为针对消息M的数字签名。
(此时S＝[r1r2]PU+[-c1c2h]PA＝[(r1r2)u-h]dA)
若由第2号装置计算V＝[v2]PA，且完成T、V计算后由第2号装置计算S＝T+V，则T、V计算过程中z2的取值允许为0或[1,n-1]中的整数常数(当然是随机整数也没问题)。
对于实施例3，若PA不公开由第2号装置作为秘密保存，PU≠PA，由第2号装置计算V＝[v2]PA，则将c2作为非秘密时(其取值为1或其他[1,n-1]内的整数)，所得到的结果仍然正确。
实施例4、
此实施例有m个分别标号为第1号，第2号，…，到第m号的装置，m≥2，其中第i号装置保存有[1,n-1]区间内的整数秘密ci，i＝1,…,m，其中n为SM9密码算法中群G1、G2、GT的阶(为素数)；
(初始化阶段)预先计算有：
PA＝[c-1]dA，其中dA为用户的SM9标识私钥，c＝(c1c2…cm)mod n为m个装置都没有保存的整数秘密，c-1为c的模n乘法逆；
PU＝[u]dA，其中u是m个装置都没有保存的[1,n-1]区间内的整数秘密；
u和c-1不必互异(二者不同或者相同)；
gU＝g^u，g＝e(P1,Ppub)；
取PB＝PA；
当需要使用用户的SM9标识私钥dA针对消息M进行数字签名时，m个装置首先通过交互计算得到w＝gU^(r1r2…rm)，其中ri是计算过程中第i号装置在[1,n-1]区间内随机选择的整数，i＝1,…,m；
然后，(m个装置中的一个装置或其他装置)计算h＝H2(M||w,n)，其中H2为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G1、G2、GT的阶；
(m个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；
之后，m个装置按前述T、V协同计算方案二计算得到T＝[r1r2…rm]PU+[-F(z1,z2,…,zm)]PB，V＝[F(z1,z2,…,zm)]PB+[-c1c2…cmh]PA，即：
计算得到Q1＝[(r2r3…rm)-1(c2c3…cm)]PB，Q2＝[(r3…rm)-1(c3…cm)]PB，…，Qm-1＝[(rm)-1cm]PB，取Qm＝PB，
取T0＝PU，v0＝-h；
第1号装置在[1,n-1]中随机选择一个整数z1，计算T1＝[r1]T0+[-z1]Q1，v1＝(z1+c1v0)mod n，将T1、v1传送给第2号装置；
第i号装置接收到Ti-1、vi-1后，i＝2,…,m，若检查发现Ti-1为零元，则报错，否则，在[1,n-1]中随机选择一个整数zi，计算Ti＝[ri]Ti-1+[-zi]Qi，vi＝(zi+civi-1)mod n；
若i＝m，则取T＝Tm，(m个装置中的一个装置或之外的装置)计算V＝[vm]PA，完成T、V的计算，否则，第i号装置将Ti、vi传送给第i+1号装置，直到完成Tm、vm计算；
最后，(m个装置中的一个装置或其他装置)计算S＝T+V，则(h,S)为针对消息M的数字签名。
(S＝[r1r2…rm]PU+[-c1c2…cmh]PA＝[(r1r2…rm)u-h]dA)
若由第m号装置计算V＝[vm]PA，且完成T、V计算后由第m号装置计算S＝T+V，则T、V计算过程中zm的取值允许为0或[1,n-1]中的整数常数(当然是随机整数也没问题)。
对于实施例4，若PA不公开由第m号装置作为秘密保存，PU≠PA，由第m号装置计算V＝[vm]PA，则将cm作为非秘密时(其取值为1或其他[1,n-1]内的整数)，得到的结果仍然正确。
实施例5、
此实施例有两个标号为第1号、第2号的装置，第1号装置保存有[1,n-1]区间内的整数秘密c1，第2号装置保存有[1,n-1]区间内的整数秘密c2，其中n为SM9密码算法中群G1、G2、GT的阶(为素数)；
(初始化阶段)预先计算有：
PA＝[c-1]dA，其中dA为用户的SM9标识私钥，c＝(c1c2)mod n为两个装置都没有保存的整数秘密，c-1为c的模n乘法逆；
PU＝[u]dA，其中u是[1,n-1]区间内的m个装置都没有保存的整数秘密；
u和c-1不必互异(二者不同或者相同)；
gU＝g^u，g＝e(P1,Ppub)；
在群G1中任选一个用户私钥dA之外的非零元PB(固定选取，比如固定选PB＝P1，或者主观任意选择，或者随机选择，比如，在[1,n-1]中随机选择一个整数b，计算PB＝[b]P1或PB＝[b]dA)；
当需要使用用户的SM9标识私钥dA针对消息M进行数字签名时，两个装置首先通过交互计算得到w＝gU^(r1r2)，其中r1是第1号装置在[1,n-1]区间内随机选择的整数，r2是第2号装置在[1,n-1]区间内随机选择的整数；
然后，(两个装置中的一个装置或其他装置)计算h＝H2(M||w,n)，其中H2为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G1、G2、GT的阶；
(两个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；
之间，两个装置按前述T、V协同计算方案三计算得到
T＝[r1r2]PU+[-F(z1,z2)]PB，V＝[F(z1,z2)]PB+[-c1c2h]PA，即：
计算得到Q1＝[r2(c2)-1]PB，取Q2＝PB；
取T0＝PU，V0＝[-h]PA；
第1号装置在[1,n-1]中随机选择一个整数z1，
计算T1＝[r1]T0+[-z1]PB，V1＝[z1]Q1+[c1]V0；
第2号装置接收到T1、V1后，若检查发现T1为零元，则报错，否则，在[1,n-1]中随机选择一个整数z2，
计算T2＝[r2]T1+[-z2]PB，V2＝[z2]Q2+[c2]V1；(此时T2＝[r2r1]PU+[-z1r2]PB+[-z2]PB，V2＝[z1r2]PB+[z2]PB+[-c1c2h]PA)；取T＝T2，V＝V2；
最后，(两个装置中的一个装置或其他装置)计算S＝T+V，则(h,S)为针对消息M的数字签名。
(S＝[r1r2]PU+[-c1c2h]PA＝[(r1r2)u-h]dA)
若完成T、V计算后由第2号装置计算S＝T+V，则T、V计算过程中z2的取值允许为0或[1,n-1]中的整数常数(当然是随机整数也没问题)。
对于实施例5，若PA不公开由第1号装置作为秘密保存(当然若PU＝PA，则PU也不公开，也作为秘密由第1号装置保存)，PB≠PA，则将c1作为非秘密时(其取值为1或其他[1,n-1]内的整数)，得到的结果仍然成立。
实施例6、
此实施例有m个分别标号为第1号，第2号，…，到第m号的装置，m≥2，其中第i号装置保存有[1,n-1]区间内的整数秘密ci，i＝1,…,m，其中n为SM9密码算法中群G1、G2、GT的阶(为素数)；
(初始化阶段)预先计算有：
PA＝[c-1]dA，其中dA为用户的SM9标识私钥，c＝(c1c2…cm)mod n为m个装置都没有保存的整数秘密，c-1为c的模n乘法逆；
PU＝[u]dA，其中u是[1,n-1]区间内的m个装置都没有保存的整数秘密；
u和c-1不必互异(二者不同或者相同)；
gU＝g^u，g＝e(P1,Ppub)；
在群G1中任选一个用户私钥dA之外的非零元PB(固定选取，比如固定选PB＝P1，或者主观任意选择，或者随机选择，比如，在[1,n-1]中随机选择一个整数b，计算PB＝[b]P1或PB＝[b]dA)；
当需要使用用户的SM9标识私钥dA针对消息M进行数字签名时，m个装置首先通过交互计算得到w＝gU^(r1r2…rm)，其中ri是计算过程中第i号装置在[1,n-1]区间内随机选择的整数，i＝1,…,m；
然后，(m个装置中的一个装置或其他装置)计算h＝H2(M||w,n)，其中H2为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G1、G2、GT的阶；
(m个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；
之后，m个装置按前述T、V协同计算方案三计算得到T＝[r1r2…rm]PU+[-F(z1,z2,…,zm)]PB，V＝[F(z1,z2,…,zm)]PB+[-c1c2…cmh]PA，即：
计算得到Q1＝[(r2r3…rm)(c2c3…cm)-1]PB，Q2＝[(r3…rm)(c3…cm)-1]PB，…，Qm-1＝[rm(cm)-1]PB，取Qm＝PB；
取T0＝PU，V0＝[-h]PA；
第1号装置在[1,n-1]中随机选择一个整数z1，计算T1＝[r1]T0+[-z1]PB，V1＝[z1]Q1+[c1]V0，将T1、V1传送给第2号装置；
第i号装置接收到Ti-1、Vi-1后，i＝2,…,m，若检查发现Ti-1为零元，则报错，否则，在[1,n-1]中随机选择一个整数zi，计算Ti＝[ri]Ti-1+[-zi]PB，Vi＝[zi]Qi+[ci]Vi-1；
若i＝m，则取T＝Tm，V＝Vm，完成T、V的计算，否则，第i号装置将Ti、Vi传送给第i+1号装置，直到完成Tm、Vm计算；
最后，(m个装置中的一个装置或其他装置)计算S＝T+V，则针对消息M的数字签名为(h,S)。
(S＝[r1r2…rm]PU+[-c1c2…cmh]PA＝[(r1r2…rm)u-h]dA)
若完成T、V计算后由第m号装置计算S＝T+V，则T、V计算过程中zm的取值允许为0或[1,n-1]中的整数常数(当然是随机整数也没问题)。
对于实施例6，若PA不公开由第1号装置作为秘密保存(当然若PU＝PA，则PU也不公开，也作为秘密由第1号装置保存)，PB≠PA，则将c1作为非秘密时(其取值为1或其他[1,n-1]内的整数)，得到的结果仍然成立。
实施例7、
此实施例有两个标号为第1号、第2号的装置，第1号装置保存有[1,n-1]区间内的整数秘密c1，第2号装置保存有[1,n-1]区间内的整数秘密c2，其中n为SM9密码算法中群G1、G2、GT的阶(为素数)；
(初始化阶段)预先计算有：
PA＝[c-1]dA，其中dA为用户的SM9标识私钥，c＝(c1c2)mod n为两个装置都没有保存的整数秘密，c-1为c的模n乘法逆；
PU＝[u]dA，其中u是[1,n-1]区间内的m个装置都没有保存的整数秘密；
u和c-1不必互异(二者不同或者相同)；
gU＝g^u，g＝e(P1,Ppub)；
取PB＝PU；
当需要使用用户的SM9标识私钥dA针对消息M进行数字签名时，两个装置首先通过交互计算得到w＝gU^(r1r2)，其中r1是第1号装置在[1,n-1]区间内随机选择的整数，r2是第2号装置在[1,n-1]区间内随机选择的整数；
然后，(两个装置中的一个装置或其他装置)计算h＝H2(M||w,n)，其中H2为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G1、G2、GT的阶；
(两个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；
之间，两个装置按前述T、V协同计算方案四计算得到
T＝[r1r2]PU+[-F(z1,z2)]PB，V＝[F(z1,z2)]PB+[-c1c2h]PA，即：
计算得到Q1＝[r2(c2)-1]PB，取Q2＝PB；
取t0＝1，V0＝[-h]PA；
第1号装置在[1,n-1]中随机选择一个整数z1，计算t1＝(r1t0-z1)mod n，V1＝[z1]Q1+[c1]V0，将t1、V1传送给第2号装置；
第2号装置接收到t1、V1后，若检查发现t1为0，则报错，否则，在[1,n-1]中随机选择一个整数z2，计算t2＝(r2t1-z2)mod n，V2＝[z2]Q2+[c2]V1；
(此时t2＝(r2r1-z1r2-z2)mod n，V2＝[z1r2]PB+[z2]PB-[c1c2h]PA；
(两个装置中的一个装置或之外的装置)计算T＝[t2]PU，取V＝V2；
最后，(两个装置中的一个装置或之外的装置)计算S＝T+V，则(h,S)为针对消息M的数字签名。
(S＝[r1r2]PU+[-c1c2h]PA＝[(r1r2)u-h]dA)
若由第2号装置计算T＝[t2]PU，且完成T、V计算后由第2号装置计算S＝T+V，则T、V计算过程中z2的取值允许为0或[1,n-1]中的整数常数(当然是随机整数也没问题)。
对于实施例7，若PA不公开由第1号装置作为秘密保存，PU≠PA，则将c1作为非秘密时(其取值为1或其他[1,n-1]内的整数)，得到结果仍然成立。
实施例8、
此实施例有m个分别标号为第1号，第2号，…，到第m号的装置，m≥2，其中第i号装置保存有[1,n-1]区间内的整数秘密ci，i＝1,…,m，其中n为SM9密码算法中群G1、G2、GT的阶(为素数)；
(初始化阶段)预先计算有：
PA＝[c-1]dA，其中dA为用户的SM9标识私钥，c＝(c1c2…cm)mod n为m个装置都没有保存的整数秘密，c-1为c的模n乘法逆；
PU＝[u]dA，其中u是[1,n-1]区间内的m个装置都没有保存的整数秘密；
u和c-1不必互异(二者不同或者相同)；
gU＝g^u，g＝e(P1,Ppub)；
取PB＝PU；
当需要使用用户的SM9标识私钥dA针对消息M进行数字签名时，m个装置首先通过交互计算得到w＝gU^(r1r2…rm)，其中ri是计算过程中第i号装置在[1,n-1]区间内随机选择的整数，i＝1,…,m；
然后，(m个装置中的一个装置或其他装置)计算h＝H2(M||w,n)，其中H2为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G1、G2、GT的阶；
(m个装置中的一个装置或其他装置)检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；
之后，m个装置按前述T、V协同计算方案四计算得到T＝[r1r2…rm]PU+[-F(z1,z2,…,zm)]PB，V＝[F(z1,z2,…,zm)]PB+[-c1c2…cmh]PA，即：
计算得到Q1＝[(r2r3…rm)(c2c3…cm)-1]PB，Q2＝[(r3…rm)(c3…cm)-1]PB，…，Qm-1＝[rm(cm)-1]PB，取Qm＝PB，
取t0＝1，V0＝[-h]PA；
第1号装置在[1,n-1]中随机选择一个整数z1，计算t1＝(r1t0-z1)mod n，V1＝[z1]Q1+[c1]V0，将t1、V1传送给第2号装置；
第i号装置接收到ti-1、Vi-1后，i＝2,…,m，若检查发现ti-1为0，则报错，否则，在[1,n-1]中随机选择一个整数zi，计算ti＝(riti-1-zi)mod n，Vi＝[zi]Qi+[ci]Vi-1；
若i＝m，则(m个装置中的一个装置或之外的装置)计算T＝[tm]PU，取V＝Vm，完成T、V的计算，否则，第i号装置将ti、Vi传送给第i+1号装置，直到完成tm、Vm计算；
最后，(m个装置中的一个装置或之外的装置)计算S＝T+V，则(h,S)为针对消息M的数字签名。
(S＝[r1r2…rm]PU+[-c1c2…cmh]PA＝[(r1r2…rm)u-h]dA)
若由第m号装置计算T＝[tm]PU，且完成T、V计算后由第m号装置计算S＝T+V，则T、V计算过程中zm的取值允许为0或[1,n-1]中的整数常数(当然是随机整数也没问题)。
对于实施例8，若PA不公开由第1号装置作为秘密保存，PU≠PA，则将c1作为非秘密时(其取值为1或其他[1,n-1]内的整数)，得到结果仍然成立。
对于以上实施例1-8，可以由知道dA的装置(m个装置中的一个或之外的一个)在[1,n-1]中随机选取m个整数作为m个装置的秘密c1,c2,…cm，计算PA、PU、gU，(按前面所述的方式)选取或计算PB。
在以上各实施例1-8中，若在计算过程中不检查w与g^h是否相等，则计算得到S后，若(计算S＝T+V的装置)检查发现S为零元，则m个装置重新进行协同计算，直到S不为零元。
在以上实施例1-8中，m个装置计算得到w＝gU^(r1r2…rm)的方法包括(不是全部可能的方式)：
第1号装置计算g1＝gU^r1，将g1发送第2号装置；
第i号装置接收到gi-1后，i＝2,…,m，计算gi＝gi-1^ri；
若i＝m，则取w＝gm，完成计算，否则，将第i号装置将gi传送给第i+1号装置；
或者，
第m号装置计算gm＝gU^rm，将gm发送第m-1号装置；
第i号装置接收gi+1到后，i＝m-1,…,1，计算gi＝gi+1^ri；
若i＝1，则取w＝g1，完成计算，否则，将第i号装置将gi传送给第i-1号装置。
在以上实施例1-4中，计算得到Q1＝[(r2r3…rm)-1(c2c3…cm)]PB，Q2＝[(r3…rm)-1(c3…cm)]PB，…，Qm-1＝[(rm)-1cm]PB的一种方式如下：
第m号装置取Qm＝PB，计算Qm-1＝[(rm)-1cm]Qm，将Qm-1发送给第m-1号装置；
第i号装置接收到Qi后，i＝m-1,…,1，若i＝1，则第1号装置将Q1临时保留，完成Q1,Q2,…,Qm-1的计算，否则，第i号装置计算Qi-1＝[(ri)-1ci]Qi，将Qi临时保留，将Qi-1传送给第i-1号装置；
在计算Q1,Q2,…,Qm-1的过程中，若第i号装置检查发现接收到的Qi为零元，i＝m-1,…,1，则报错。
在以上实施例5-8中，计算得到Q1＝[(r2r3…rm)(c2c3…cm)-1]PB，Q2＝[(r3…rm)(c3…cm)-1]PB，…，Qm-1＝[rm(cm)-1]PB的一种方式如下：
第m号装置取Qm＝PB，计算Qm-1＝[rm(cm)-1]Qm，将Qm-1发送给第m-1号装置；
第i号装置接收到Qi后，i＝m-1,…,1，若i＝1，则第1号装置将Q1临时保留，完成Q1,Q2,…,Qm-1的计算，否则，第i号装置计算Qi-1＝[ri(ci)-1]Qi，将Qi临时保留，将Qi-1传送给第i-1号装置；
在计算Q1,Q2,…,Qm-1的过程中，若第i号装置检查发现接收到的Qi为零元，i＝m-1,…,1，则报错。
依据本发明的支持多方协同增强安全的SM9数字签名生成方法可构建SM9数字签名协同生成系统，系统包括m个分别标号为第1号，第2号，…，到第m号的装置，m≥2；第i号装置保存有[1,n-1]区间内的整数秘密ci，i＝1,…,m；当需要使用用户的SM9标识私钥dA针对消息M进行数字签名时，m个装置通过实施所述支持多方协同增强安全的SM9数字签名生成方法，包括实施前述实施例1-8，生成针对消息M的数字签名。
其他未说明的具体技术实施，对于相关领域的技术人员而言是众所周知，不言自明的。

Claims (10)

1.一种支持多方协同增强安全的SM9数字签名生成方法，其特征是：
所述方法涉及m个分别标号为第1号，第2号，…，到第m号的装置，m≥2；
第i号装置保存有[1,n-1]区间内的整数秘密ci，i＝1,…,m，其中n为SM9密码算法中群G1、G2、GT的阶；
预先计算有：
PA＝[c-1]dA，其中dA为用户的SM9标识私钥，c＝(c1c2…cm)mod n为m个装置都没有保存的整数秘密，c-1为c的模n乘法逆；
PU＝[u]dA，其中u是m个装置都没有保存的[1,n-1]区间内的整数秘密；
u和c-1不必互异；
gU＝g^u，其中^是幂运算，g＝e(P1,Ppub)，P1为G1中的生成元，Ppub为主公钥；
在群G1中任选一个用户私钥dA之外的非零元PB；
当需要使用用户的SM9标识私钥dA针对消息M进行数字签名时，m个装置按如下方式进行数字签名的生成：
首先，m个装置通过交互计算得到w＝gU^(r1r2…rm)，其中ri是计算过程中第i号装置在[1,n-1]区间内随机选择的整数，i＝1,…,m；
然后，计算h＝H2(M||w,n)，其中H2为SM9中规定的散列函数，M||w表示M和w的字串合并，n为G1、G2、GT的阶；
检查w与g^h是否相等，若w＝g^h，则两个装置重新进行w的计算，直到w≠g^h；
之后，m个装置协同计算得到T＝[r1r2…rm]PU+[-F(z1,z2,…,zm)]PB，V＝[F(z1,z2,…,zm)]PB+[-c1c2…cmh]PA，其中r1,r2,…,rm分别是计算w的过程中第1号，第2号，…，第m号装置在[1,n-1]中选择的整数，z1,z2,…,zm分别是在计算T、V的过程中第1号，第2号，…，第m号装置在[1,n-1]中随机选择的整数，F(z1,z2,…,zm)是针对z1,z2,…,zm的计算式；
最后，计算S＝T+V，则(h,S)是针对消息M的数字签名。
2.根据权利要求1所述的支持多方协同增强安全的SM9数字签名生成方法，其特征是：
若在以上计算过程中不检查w与g^h是否相等，则计算得到S后，若检查发现S为零元，则m个装置重新进行协同计算，直到S不为零元。
3.根据权利要求1所述的支持多方协同增强安全的SM9数字签名生成方法，其特征是：
m个装置计算得到w＝gU^(r1r2…rm)的方法包括：
第1号装置计算g1＝gU^r1，将g1发送第2号装置；
第i号装置接收到gi-1后，i＝2,…,m，计算gi＝gi-1^ri；
若i＝m，则取w＝gm，完成计算，否则，将第i号装置将gi传送给第i+1号装置；
或者，
第m号装置计算gm＝gU^rm，将gm发送第m-1号装置；
第i号装置接收gi+1到后，i＝m-1,…,1，计算gi＝gi+1^ri；
若i＝1，则取w＝g1，完成计算，否则，将第i号装置将gi传送给第i-1号装置。
4.根据权利要求1所述的支持多方协同增强安全的SM9数字签名生成方法，其特征是：
m个装置协同计算得到T＝[r1r2…rm]PU+[-F(z1,z2,…,zm)]PB，V＝[F(z1,z2,…,zm)]PB+[-c1c2…cmh]PA的一种方法如下：
计算得到Q1＝[(r2r3…rm)-1(c2c3…cm)]PB，Q2＝[(r3…rm)-1(c3…cm)]PB，…，Qm-1＝[(rm)- 1cm]PB，取Qm＝PB；
取T0＝PU，V0＝[-h]PA；
第1号装置在[1,n-1]中随机选择一个整数z1，计算T1＝[r1]T0+[-z1]Q1，V1＝[z1]PB+[c1]V0，将T1、V1传送给第2号装置；
第i号装置接收到Ti-1、Vi-1后，i＝2,…,m，若检查发现Ti-1为零元，则报错，否则，在[1,n-1]中随机选择一个整数zi，计算Ti＝[ri]Ti-1+[-zi]Qi，Vi＝[zi]PB+[ci]Vi-1；
若i＝m，则取T＝Tm，V＝Vm，完成T、V计算，否则，第i号装置将Ti、Vi传送给第i+1号装置，直到完成Tm、Vm计算；
若完成T、V计算后由第m号装置计算S＝T+V，则zm的取值允许为0或[1,n-1]中的整数常数；
若PA不公开由第1号装置作为秘密保存，PB≠PA，则将c1作为非秘密时，以上所述计算T、V的方法以及所述支持多方协同增强安全的SM9数字签名生成方法仍然成立。
5.根据权利要求1所述的支持多方协同增强安全的SM9数字签名生成方法，其特征是：若取PB＝PA，则m个装置协同计算得到T＝[r1r2…rm]PU+[-F(z1,z2,…,zm)]PB，V＝[F(z1,z2,…,zm)]PB+[-c1c2…cmh]PA的一种方法如下：
计算得到Q1＝[(r2r3…rm)-1(c2c3…cm)]PB，Q2＝[(r3…rm)-1(c3…cm)]PB，…，Qm-1＝[(rm)- 1cm]PB，取Qm＝PB；
取T0＝PU，v0＝-h；
第1号装置在[1,n-1]中随机选择一个整数z1，计算T1＝[r1]T0+[-z1]Q1，v1＝(z1+c1v0)mod n，将T1、v1传送给第2号装置；
第i号装置接收到Ti-1、vi-1后，i＝2,…,m，若检查发现Ti-1为零元，则报错，否则，在[1,n-1]中随机选择一个整数zi，计算Ti＝[ri]Ti-1+[-zi]Qi，vi＝(zi+civi-1)mod n；
若i＝m，则取T＝Tm，计算V＝[vm]PA，完成T、V计算，否则，第i号装置将Ti、vi传送给第i+1号装置，直到完成Tm、vm计算；
若由第m号装置计算V＝[vm]PA，且完成T、V计算后由第m号装置计算S＝T+V，则zm的取值允许为0或[1,n-1]中的整数常数；
若PA不公开由第m号装置作为秘密保存，PU≠PA，由第m号装置计算V＝[vm]PA，则将cm作为非秘密时，以上所述计算T、V的方法以及所述支持多方协同增强安全的SM9数字签名生成方法仍然成立。
6.根据权利要求1所述的支持多方协同增强安全的SM9数字签名生成方法，其特征是：
m个装置协同计算得到T＝[r1r2…rm]PU+[-F(z1,z2,…,zm)]PB，V＝[F(z1,z2,…,zm)]PB+[-c1c2…cmh]PA的一种方法如下：
计算得到Q1＝[(r2r3…rm)(c2c3…cm)-1]PB，Q2＝[(r3…rm)(c3…cm)-1]PB，…，Qm-1＝[rm(cm)-1]PB，取Qm＝PB；
取T0＝PU，V0＝[-h]PA；
第1号装置在[1,n-1]中随机选择一个整数z1，计算T1＝[r1]T0+[-z1]PB，V1＝[z1]Q1+[c1]V0，将T1、V1传送给第2号装置；
第i号装置接收到Ti-1、Vi-1后，i＝2,…,m，若检查发现Ti-1为零元，则报错，否则，在[1,n-1]中随机选择一个整数zi，计算Ti＝[ri]Ti-1+[-zi]PB，Vi＝[zi]Qi+[ci]Vi-1；
若i＝m，则取T＝Tm，V＝Vm，完成T、V的计算，否则，第i号装置将Ti、Vi传送给第i+1号装置，直到完成Tm、Vm计算；
若完成T、V计算后由第m号装置计算S＝T+V，则zm的取值允许为0或[1,n-1]中的整数常数；
若PA不公开由第1号装置作为秘密保存，PB≠PA，则将c1作为非秘密时，以上所述计算T、V的方法以及所述支持多方协同增强安全的SM9数字签名生成方法仍然成立。
7.根据权利要求1所述的支持多方协同增强安全的SM9数字签名生成方法，其特征是：若取PB＝PU，则m个装置协同计算得到T＝[r1r2…rm]PU+[-F(z1,z2,…,zm)]PB，V＝[F(z1,z2,…,zm)]PB+[-c1c2…cmh]PA的一种方法如下：
计算得到Q1＝[(r2r3…rm)(c2c3…cm)-1]PB，Q2＝[(r3…rm)(c3…cm)-1]PB，…，Qm-1＝[rm(cm)-1]PB，取Qm＝PB；
取t0＝1，V0＝[-h]PA；
第1号装置在[1,n-1]中随机选择一个整数z1，计算t1＝(r1t0-z1)mod n，V1＝[z1]Q1+[c1]V0，将t1、V1传送给第2号装置；
第i号装置接收到ti-1、Vi-1后，i＝2,…,m，若检查发现ti-1为0，则报错，否则，在[1,n-1]中随机选择一个整数zi，计算ti＝(riti-1-zi)mod n，Vi＝[zi]Qi+[ci]Vi-1；
若i＝m，则计算T＝[tm]PU，取V＝Vm，完成T、V的计算，否则，第i号装置将ti、Vi传送给第i+1号装置，直到完成tm、Vm计算；
若由第m号装置计算T＝[tm]PU，且完成T、V计算后由第m号装置计算S＝T+V，则zm的取值允许为0或[1,n-1]中的整数常数；
若PA不公开由第1号装置作为秘密保存，PU≠PA，则将c1作为非秘密时，以上所述计算T、V的方法以及所述支持多方协同增强安全的SM9数字签名生成方法仍然成立。
8.根据权利要求4或5所述的支持多方协同增强安全的SM9数字签名生成方法，其特征是：
计算得到Q1＝[(r2r3…rm)-1(c2c3…cm)]PB，Q2＝[(r3…rm)-1(c3…cm)]PB，…，Qm-1＝[(rm)- 1cm]PB的一种方式如下：
第m号装置取Qm＝PB，计算Qm-1＝[(rm)-1cm]Qm，将Qm-1发送给第m-1号装置；
第i号装置接收到Qi后，i＝m-1,…,1，若i＝1，则第1号装置将Q1临时保留，完成Q1,Q2,…,Qm-1的计算，否则，第i号装置计算Qi-1＝[(ri)-1ci]Qi，将Qi临时保留，将Qi-1传送给第i-1号装置；
在计算Q1,Q2,…,Qm-1的过程中，若第i号装置检查发现接收到的Qi为零元，i＝m-1,…,1，则报错。
9.根据权利要求6或7所述的支持多方协同增强安全的SM9数字签名生成方法，其特征是：
计算得到Q1＝[(r2r3…rm)(c2c3…cm)-1]PB，Q2＝[(r3…rm)(c3…cm)-1]PB，…，Qm-1＝[rm(cm)-1]PB的一种方式如下：
第m号装置取Qm＝PB，计算Qm-1＝[rm(cm)-1]Qm，将Qm-1发送给第m-1号装置；
第i号装置接收到Qi后，i＝m-1,…,1，若i＝1，则第1号装置将Q1临时保留，完成Q1,Q2,…,Qm-1的计算，否则，第i号装置计算Qi-1＝[ri(ci)-1]Qi，将Qi临时保留，将Qi-1传送给第i-1号装置；
在计算Q1,Q2,…,Qm-1的过程中，若第i号装置检查发现接收到的Qi为零元，i＝m-1,…,1，则报错。
10.根据权利要求1-7中任一项所述的支持多方协同增强安全的SM9数字签名生成方法的SM9数字签名协同生成系统，其特征是：
所述系统包括m个分别标号为第1号，第2号，…，到第m号的装置，m≥2；第i号装置保存有[1,n-1]区间内的整数秘密ci，i＝1,…,m；当需要使用用户的SM9标识私钥dA针对消息M进行数字签名时，m个装置按所述支持多方协同增强安全的SM9数字签名生成方法生成针对消息M的数字签名。
CN201910748548.7A 2019-06-14 2019-08-14 支持多方协同增强安全的sm9数字签名生成方法及系统 Active CN110380855B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201910517147 2019-06-14
CN2019105171470 2019-06-14

Publications (2)

Publication Number Publication Date
CN110380855A CN110380855A (zh) 2019-10-25
CN110380855B true CN110380855B (zh) 2020-07-14

Family

ID=68259390

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910748548.7A Active CN110380855B (zh) 2019-06-14 2019-08-14 支持多方协同增强安全的sm9数字签名生成方法及系统

Country Status (1)

Country Link
CN (1) CN110380855B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110880977B (zh) * 2019-11-26 2021-04-27 武汉大学 一种安全高效的sm9环签名生成与验证方法
CN110912708B (zh) * 2019-11-26 2021-04-27 武汉大学 一种基于sm9数字签名算法的环签名生成方法

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106850229B (zh) * 2017-01-22 2019-10-25 武汉理工大学 基于乘积秘密分割的sm2数字签名生成方法及系统
CN107196763B (zh) * 2017-07-06 2020-02-18 数安时代科技股份有限公司 Sm2算法协同签名及解密方法、装置与系统
CN107968710B (zh) * 2017-11-27 2020-08-25 武汉理工大学 Sm9数字签名分离交互生成方法及系统
CN109194478B (zh) * 2018-11-19 2021-12-07 武汉大学 一种非对称环境下多方联合生成sm9数字签名的方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
《SM9标识密码算法综述》;袁峰等;《信息安全研究》;20161130;第2卷(第11期);全文 *

Also Published As

Publication number Publication date
CN110380855A (zh) 2019-10-25

Similar Documents

Publication Publication Date Title
CN107819585B (zh) Sm9数字签名协同生成方法及系统
CN107968710B (zh) Sm9数字签名分离交互生成方法及系统
US8429408B2 (en) Masking the output of random number generators in key generation protocols
Kaya et al. Threshold cryptography based on Asmuth–Bloom secret sharing
CN1326351C (zh) 有限域离散对数密码系统的割圆多项式结构
CN107733648B (zh) 一种基于身份的rsa数字签名生成方法及系统
CN110213057B (zh) 具有乘积r参数的SM9数字签名协同生成方法及系统
US8549299B2 (en) Accelerated key agreement with assisted computations
CN107707358A (zh) 一种ec‑kcdsa数字签名生成方法及系统
CN109951292B (zh) 精简的sm9数字签名分离交互生成方法及系统
CN106656512A (zh) 支持门限密码的sm2数字签名生成方法及系统
CN110166235B (zh) 增强安全的sm9数字签名协同生成方法及系统
CN109962783B (zh) 基于递进计算的sm9数字签名协同生成方法及系统
CN110380855B (zh) 支持多方协同增强安全的sm9数字签名生成方法及系统
CN117118617B (zh) 一种基于模分量同态的分布式门限加解密方法
CN111030801A (zh) 一种多方分布式的sm9密钥生成、密文解密方法与介质
CN110299998B (zh) 借助中间参数的sm9数字签名协同生成方法及系统
CN110519051B (zh) r参数和秘密双乘积的SM9签名协同生成方法及系统
CN110266486B (zh) 基于乘积秘密共享的sm9数字签名简捷生成方法及系统
CA2742530C (en) Masking the output of random number generators in key generation protocols
CN110798313B (zh) 基于秘密动态共享的包含秘密的数的协同生成方法及系统
CN110401524B (zh) 一种借助同态加密的包含秘密的数的协同生成方法及系统
EP2493112A1 (en) Accelerated key agreement with assisted computations
CN110166256B (zh) 具有乘积r参数的SM9数字签名多方协同生成方法及系统
Bassous et al. Ambiguous multi-symmetric cryptography

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant