CN110932865A - 一种基于sm2数字签名算法的可链接环签名生成方法 - Google Patents

Abstract

本发明公开了一种基于SM2数字签名算法的可链接环签名生成方法，设环内用户数量为n，环内用户公钥的集合为L＝{P₁，P₂，...，P_n}，其中第π个用户为签名者，其公钥为P_π＝[d_π]G，私钥为d_π；该方法包括以下步骤：1)获取待签名消息M的可链接环签名；2)可链接环签名验证。本发明实现了基于SM2数字签名算法的可链接环签名的生成，签名者通过收集用户的公钥将身份隐藏在签名群体中，同时生成签名标签，保护了签名者的隐私避免了签名的滥用。

Description

一种基于SM2数字签名算法的可链接环签名生成方法

技术领域

本发明涉及信息安全技术，尤其涉及一种基于SM2数字签名算法的可链接环签名生成方法。

背景技术

随着信息网络安全的发展和数字签名的广泛应用，传统的数字签名算法不能满足某些领域的特殊功能需求，比如电子投票、电子现金和匿名通讯等领域的匿名性需求。为了同时实现数据的完整性和身份的匿名性，Rivest等提出了环签名的概念。与群签名相比，环签名没有管理员，无需群的建立过程，签名者随机收集用户公钥形成一个群体，签名者代表这个群体进行签名。

由于具备的匿名性，环签名无法判断两个签名是否出自同一人，在某些场景会引起重放攻击。为了解决这个问题，Liu等人提出可链接环签名的概念。可链接环签名是具有签名人关联性的环签名，签名者利用自己的私钥生成一个签名标签，从而可以确定某两个签名是否由某用户代表同一群体签署产生。可链接环签名用于电子现金、电子投票、自组网认证等领域，比如在电子投票系统中，除了保证投票者匿名性之外，可链接环签名可以避免投票者滥用投票权。

为了满足认证服务等应用需求，国家密码管理局于2010年12月17日发布了“SM2椭圆曲线公钥密码算法”，包括数字签名算法、公钥加密算法和密钥协商协议，其中SM2数字签名算法具有安全性高、存储空间小和签名速度快的优势。

科研人员已经提出了多个可链接环签名算法，但没有基于SM2数字签名算法的可链接环签名。本专利设计了基于SM2数字签名算法的可链接环签名，同时给出了两种典型的方案变型。此方案保证了签名的完整性、真实性、不可伪造性、无条件匿名性和可链接性。

发明内容

本发明要解决的技术问题在于针对现有技术中的缺陷，提供一种基于SM2 数字签名算法的可链接环签名生成方法。

本发明解决其技术问题所采用的技术方案是：一种基于SM2数字签名算法的可链接环签名生成方法，设环内用户数量为n，环内用户公钥的集合为 L＝{P₁,P₂,…,P_n}，其中第π个用户为签名者，其公钥为P_π＝[d_π]G，私钥为d_π；

该方法包括以下步骤：

1)获取待签名消息M的可链接环签名，具体如下：

S1：根据环内用户公钥的集合L计算签名者的签名标签Q_π；

R＝H₂(L),Q_π＝[d_π]R，

其中，Q_π为签名者的签名标签；H₂()为密码杂凑函数；

S2：随机产生

据环内用户公钥集合L，待签名消息M和签名标签 Q_π，计算c_π+1＝H₁(L,Q_π,M,[k_π]G,[k_π]R)；

其中，

为由整数1,2,…,q-1组成的整数集合，q为大素数，H₁()为密码杂凑函数，G为循环群

的一个生成元，

是阶为素数q的加法循环群；

S3：对i＝π+1,…,n,1,…,π-1，根据环内用户的公钥集合L，待签名消息 M和签名标签Q_π,计算c_i：

S3.1：随机产生

S3.2：根据r_i、环内用户的公钥集合L、待签名消息M和签名标签Q_π，计算c_i+1；

S4：计算r_π＝((1+d_π)^-1(k_π-c_πd_π))mod q；

S5：签名者生成待签名消息M的可链接环签名sig_L(M)：＝(c₁,r₁,…,r_n,Q_π)；

2)可链接环签名验证

为了检验收到的消息M′及其可链接环签名(c′₁,r′₁,…,r′_n,Q′_π)，作为验证者V采用以下步骤进行验证：

V1：计算R＝H₂(L)；

V2：检验

是否成立，若不成立则验证不通过；

V3：对i从1增至n，检验

是否成立，若不成立则验证不通过；

V4：对i从1增至n，根据r′_i、环内用户的公钥集合L、消息M′和Q′_π，计算c′_i+1；

V5：检验c′₁＝c′_n+1是否成立，若成立则验证通过；否则验证不通过。

按上述方案，所述步骤S3.2中计算c_i+1，具体如下：

计算V_i＝[r_i+c_i]P_i+[r_i]G和W_i＝[r_i+c_i]Q_π+[r_i]R；

其中，G为循环群

的一个生成元；

计算c_i+1＝H₁(L,Q_π,M,V_i,W_i)mod q，其中记c₁＝c_n+1；

所述步骤V4中，计算c′_i+1，具体如下：

V4.1：V_i＝[r′_i+c′_i]P_i+[r′_i]G和W_i＝[r′_i+c′_i]Q′_π+[r′_i]R；

V4.2：c′_i+1＝H₁(L,Q′_π,M′,V_i,W_i)mod q。

按上述方案，所述步骤S3.2中计算c_i+1，具体如下：

计算Z_i＝(x_i,y_i)＝[r_i+c_i](P_i+Q_π)+[r_i](G+R)；

其中，G为循环群

的一个生成元；

计算c_i+1＝H₁(L,Q_π,M,Z_i)mod q，记c₁＝c_n+1；

所述步骤V4中计算c′_i+1，具体如下：

V4.1：Z′_i＝(x′_i,y′_i)＝[r′_i+c′_i](P_i+Q′_π)+[r′_i](G+R)

V4.2：c′_i+1＝H₁(L,Q′_π,M′,Z′_i)mod q。

按上述方案，所述步骤S3.2中计算c_i+1，具体如下：

计算Z_i＝(x_i,y_i)＝[r_i+c_i](P_i+Q_π)+[r_i](G+R)；

其中，G为循环群

的一个生成元；

计算c_i+1＝(H₁(L,Q_π,M)+x_i)mod q，记c₁＝c_n+1；

所述步骤V4中计算c′_i+1，具体如下：

V4.1：Z′_i＝(x′_i,y′_i)＝[r′_i+c′_i](P_i+Q′_π)+[r′_i](G+R)

V4.2：c′_i+1＝(H₁(L,Q′_π,M′)+x′_i)mod q。

本发明产生的有益效果是：本发明实现了基于SM2数字签名算法的可链接环签名的生成，签名者通过收集用户的公钥将身份隐藏在签名群体中，同时生成签名标签，保护了签名者的隐私避免了签名的滥用。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明实施例的方法流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

本专利设计了基于SM2数字签名算法的可链接环签名，同时给出了两种典型的方案变型。此方案保证了签名的完整性、真实性、不可伪造性、无条件匿名性和可链接性。

符号及定义

q：q为素数且q>2²⁵⁶。

mod q：模q运算。例如，19mod 7＝5。

由整数1,2,…,q-1组成的整数集合。

S_π：签名者，为签名群组中第π个用户。

V：验证者。

d_i：用户i的私钥，且

阶为素数q的加法循环群，元素为椭圆曲线上的点。

G：循环群

的一个生成元。

[u]P：加法群

中元素P的u倍。

P_i：用户i的公钥，计算方式为P_i＝[d_i]G。

L：L＝{P₁,P₂,…,P_n}为环签名群体公钥，即n个用户的公钥集合。

H₁()：输入为任意长度比特串{0,1}^*，输出为固定长度的密码杂凑函数。

H₂()：输入为任意长度比特串{0,1}^*，输出为椭圆曲线上的点的密码杂凑函数。

本发明的目的是在保证签名者匿名的情况下完成对消息的签名，同时实现签名人关联性。签名者将自己的私钥和环签名群体公钥按照一定规则进行组合得到签名标签，当验证者接收到由同一签名者产生的两个环签名时，可通过判断签名值内签名标签的一致性来确定两个签名是否可关联为同一用户产生的签名，从而实现签名的链接性。

针对本发明的目的，本发明提出了基于SM2数字签名算法的可链接环签名方法，如图1，包括以下步骤：

1.可链接环签名生成步骤

设环内用户数量为n，环内用户公钥的集合为L＝{P₁,P₂,…,P_n}，其中第π个用户为签名者，其公钥为P_π＝[d_π]G，私钥为d_π。设待签名消息为M，为了获取消息M的可链接环签名(c₁,r₁,…,r_n,Q_π)，作为签名者的用户S_π应实现以下运算步骤：

S1：计算R＝H₂(L),Q_π＝[d_π]R，其中Q_π为签名者的签名标签；

S2：随机产生

计算c_π+1＝H₁(L,Q_π,M,[k_π]G,[k_π]R)；

S3：对i＝π+1,…,n,1,…,π-1，依次执行：

S3.1：随机产生

S3.2：计算V_i＝[r_i+c_i]P_i+[r_i]G和W_i＝[r_i+c_i]Q_π+[r_i]R；

S3.3：计算c_i+1＝H₁(L,Q_π,M,V_i,W_i)mod q，其中记c₁＝c_n+1；

由于步骤S2)中已经计算得到c_π+1，所以我们可以得到V_π+1和W_π+1，然后计算得到c_π+2；

依次类推，根据c_π+2可以计算得到V_π+2和W_π+2，然后计算得到c_π+3；

最后得到c_i，i＝π+1,…,n,1,…,π-1；

S4：计算r_π＝((1+d_π)^-1(k_π-c_πd_π))mod q。

签名者生成的签名为sig_L(M)：＝(c₁,r₁,…,r_n,Q_π).

2.可链接环签名验证步骤

为了检验收到的消息M′及其可链接环签名(c′₁,r′₁,…,r′_n,Q′_π)，作为验证者V应该实现以下步骤：

V1：计算R＝H₂(L)；

V2：检验

是否成立，若不成立则验证不通过；

V3：对i从1增至n，检验

是否成立，若不成立则验证不通过；

V4：对i从1增至n，依次计算：

V4.1：V_i＝[r′_i+c′_i]P_i+[r′_i]G和W_i＝[r′_i+c′_i]Q′_π+[r′_i]R；

V4.2：c′_i+1＝H₁(L,Q′_π，M′,V_i,W_i)mod q；

V5：检验c′₁＝c′_n+1是否成立，若成立则验证通过；否则验证不通过。

3)链接性

当验证者接收到由同一签名者产生的两个环签名时，可通过判断签名值内签名标签的一致性来确定两个签名是否可关联为同一用户产生的签名，从而实现签名的链接性。

当验证者接收到两个环签名

和

时，可通过判断签名值内签名标签的一致性来确定两个签名是否可关联为同一用户产生的签名，即判断等式

是否成立，若等式成立则判断为链接，否则判断为不链接，从而实现签名的链接性。

此外，本发明还提供了两种典型的方案变型：

1)第一种变型，即在签名算法的S3步骤中，每个c_i+1的计算方式变为 c_i+1＝H₁(L,Q_π,M,Z_i)mod q，记c₁＝c_n+1，其中Z_i＝(x_i,y_i)＝[r_i+c_i](P_i+ Q_π)+[r_i](G+R)；同时，验证算法的V4步骤中，每个c′_i+1的计算方式变为 c′_i+1＝H₁(L,Q′_π,M′,Z′_i)mod q，其中Z′_i＝(x′_i,y′_i)＝[r′_i+c′_i](P_i+Q′_π)+ [r′_i](G+R)。

2)第二种变型，即在签名算法的S3步骤中，每个c_i+1的计算方式变为 c_i+1＝(H₁(L,Q_π,M)+x_i)mod q，记c₁＝c_n+1，其中Z_i＝(x_i,y_i)＝[r_i+c_i](P_i+ Q_π)+[r_i](G+R)；同时，验证算法的V4步骤中，每个c′_i+1的计算方式变为 c′_i+1＝(H₁(L,Q′_π,M′)+x′_i)mod q，其中Z′_i＝(x′_i,y′_i)＝[r′_i+c′_i](P_i+Q′_π)+ [r′_i](G+R)。

应当理解的是，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，而所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (4)

1.一种基于SM2数字签名算法的可链接环签名生成方法，设环内用户数量为n，环内用户公钥的集合为L＝{P₁，P₂，...，P_n}，其中第π个用户为签名者，其公钥为P_π＝[d_π]G，私钥为d_π；

其特征在于，该方法包括以下步骤：

1)获取待签名消息M的可链接环签名，具体如下：

S1：根据环内用户公钥的集合L计算签名者的签名标签Q_π；

R＝H₂(L)，Q_π＝[d_π]R，

其中，Q_π为签名者的签名标签；H₂()为密码杂凑函数；

S2：随机产生

据环内用户公钥集合L，待签名消息M和签名标签Q_π，计算c_π+1＝H₁(L，Q_π，M，[k_π]G，[k_π]R)；

其中，

为由整数1，2，...，q-1组成的整数集合，q为大素数，H₁()为密码杂凑函数，G为循环群

的一个生成元，

是阶为素数q的加法循环群；

S3：对i＝π+1，...，n，1，...，π-1，根据环内用户的公钥集合L，待签名消息M和签名标签Q_π，计算c_i：

S3.1：随机产生

S3.2：根据r_i、环内用户的公钥集合L、待签名消息M和签名标签Q_π，计算c_i+1；

S4：计算r_π＝((1+d_π)^-1(k_π-c_πd_π))mod q；

S5：签名者生成待签名消息M的可链接环签名sig_L(M)：＝(c₁，r₁，...，r_n，Q_π)；

2)可链接环签名验证

为了检验收到的消息M′及其可链接环签名(c′₁，r′₁，...，r′_n，Q′_π)，作为验证者V采用以下步骤进行验证：

V1：计算R＝H₂(L)；

V2：检验

是否成立，若不成立则验证不通过；

V3：对i从1增至n，检验

是否成立，若不成立则验证不通过；

V4：对i从1增至n，根据r′_i、环内用户的公钥集合L、消息M′和Q′_π，计算c′_i+1；

V5：检验c′₁＝c′_n+1是否成立，若成立则验证通过；否则验证不通过。

2.根据权利要求1所述的基于SM2数字签名算法的可链接环签名生成方法，其特征在于，所述步骤S3.2中计算c_i+1，具体如下：

计算V_i＝[r_i+c_i]P_i+[r_i]G和W_i＝[r_i+c_i]Q_π+[r_i]R；

其中，G为循环群

的一个生成元；

计算c_i+1＝H₁(L，Q_π，M，V_i，W_i)mod q，其中记c₁＝c_n+1；

所述步骤V4中，计算c′_i+1，具体如下：

V4.1：V_i＝[r′_i+c′_i]P_i+[r′_i]G和W_i＝[r′_i+c′_i]Q′_π+[r′_i]R；

V4.2：c′_i+1＝H₁(L，Q′_π，M′，V_i，W_i)mod q。

3.根据权利要求1所述的基于SM2数字签名算法的可链接环签名生成方法，其特征在于，所述步骤S3.2中计算c_i+1，具体如下：

计算Z_i＝(x_i，y_i)＝[r_i+c_i](P_i+Q_π)+[r_i](G+R)；

其中，G为循环群

的一个生成元；

计算c_i+1＝H₁(L，Q_π，M，Z_i)mod q，记c₁＝c_n+1；

所述步骤V4中计算c′_i+1，具体如下：

V4.1：Z′_i＝(x′_i，y′_i)＝[r′_i+c′_i](P_i+Q′_π)+[r′_i](G+R)

V4.2：c′_i+1＝H₁(L，Q′_π，M′，Z′_i)mod q。

4.根据权利要求1所述的基于SM2数字签名算法的可链接环签名生成方法，其特征在于，所述步骤S3.2中计算c_i+1，具体如下：

计算Z_i＝(x_i，y_i)＝[r_i+c_i](P_i+Q_π)+[r_i](G+R)；

其中，G为循环群

的一个生成元；

计算c_i+1＝(H₁(L，Q_π，M)+x_i)mod q，记c₁＝c_n+1；

所述步骤V4中计算c′_i+1，具体如下：

V4.1：Z′_i＝(x′_i，y′_i)＝[r′_i+c′_i](P_i+Q′_π)+[r′_i](G+R)

V4.2：c′_i+1＝(H₁(L，Q′_π，M′)+x′_i)mod q。

Images