CN111010285B - 一种适用于轻量级客户端的sm2两方协同签名方法及介质 - Google Patents

Abstract

本发明提出了针对非平衡的客户端/服务器网络架构，两方协同生成SM2数字签名方案，具体涉及一种适用于轻量级客户端的SM2两方协同签名方法及介质，在本发明方案中，生成SM2数字签名时，有两方共同参与，一方为客户端U，一方为服务器S。客户端U和服务器S在本阶段利用各自的部分私钥，协同产生关于消息m的SM2签名。本发明具有安全性高、实现简单、易验证的特点。

Description

一种适用于轻量级客户端的SM2两方协同签名方法及介质

技术领域

本发明属于信息安全技术领域，特别是针对轻量级客户端的两方非平衡产生SM2数字签名生成方法及系统。

背景技术

数字签名是公钥密码体系中重要的一部分，在很多场合有着重要的作用。常见的，一方生成数字签名，可以公开被验证。在某些场合，需要多方对一份文件产生电子签名，比如一些高机密的文档，需要被多人签名。在去中心化的货币交易中，例如比特币交易，也需要多方同时对某个交易进行签名，如果签名密钥被盗则会造成直接的经济损失。多方生成一个电子签名也因此成为了研究的热点。

对于此类问题，比较常见的解决方法是将密钥分割为多份，比如门限秘密分割，将私钥分发给多个参与方，当需要使用私钥进行签名时，t个被分割的密钥可以合并形成用户的原始私钥再参加运算，如果低于t个参与者，则无法恢复原始私钥。一旦私钥被恢复，任何单独的一方都可以在其他参与方不知晓的情况下进行解密或者签名运算。特别是在两方需要共同签名一个合同或协议的情况下，两方中的一方如果获得了原始的签名私钥，则可以在不经过对方同意的情况下对任意合同进行签名。

针对这种情况，本专利设计了一种针对轻量级客户端的两方非平衡产生SM2数字签名生成方法及系统，此方案保证协同签名的正确性和公平性，同时客户端的计算量非常小，适用于非平衡的客户端-服务器架构。

SM2是由国家密码管理局颁布的一种椭圆曲线公钥密码算法(参见《SM2椭圆曲线公钥密码算法》规范，国家密码管理局，2010年12月)，基于此算法能实现数字签名、密钥交换及数据加密。在这里，不同于各种普通的密钥分割或门限秘密分割。本专利提出的针对轻量级客户端的两方非平衡产生SM2数字签名生成方法及系统，既保证签名必须在两方共同运算下才能产生，任何一方都无法得到原始的私钥，由极大减轻了客户端的运算量，具有实际应用价值。

发明内容

本发明的目的是提出两方在不泄漏自己的签名密钥并无法获得完整的签名密钥的情况下完成对消息的签名。

针对本发明的目的，本发明提出了一个两方共同生成SM2数字签名的方案。在本方案中，生成SM2数字签名时，有两方共同参与，一方为客户端U，一方为服务器S。客户端U和服务器S在本阶段利用各自的部分私钥，协同产生关于消息m的SM2签名。

符号及定义

q：q为素数且q＞2²⁵⁶。

mod q：模q运算。例如，19mod7＝5。

由整数1,2,…,q-1组成的整数集合。

阶为素数q的加法循环群，元素为椭圆曲线上的点。

G：循环群

的一个生成元。

[u]P：加法群

中元素P的u倍。

U：用户。

S：服务器。

d_U：用户U的生成第一部分私钥。

P_U：用户U的生成第一部分公钥，这里

d_S：服务器S的生成第二部分私钥。

P_S：服务器S的生成第二部分公钥，这里

P_PUB：用户U的完整公钥，这里

m：待签名的消息。

Z：签名算法输入的共同信息。

H()：输入为任意长度比特串{0,1}^*，输出为固定长度的密码杂凑函数。

具体实现包括以下步骤：

步骤1、U在

中选择第三个随机数k_U作为部分临时私钥，计算e＝H(Z||m)和第一部分临时公钥K_U＝k_U·d_U·G；最后U发送(e,K_U)给S；

步骤2、S在

中选择第四个随机数k_S作为部分私钥，计算临时公钥

计算第一部分签名r＝x₁+e mod q，生成中间变量s′＝d_S·(k_S+r)mod q；最后S将(r,s′)返回给U；

步骤3、U计算第二部分签名s＝d_U·(s′+d_U·k_U)-rmod q，使用P_PUB验证签名δ_m＝{r,s}；的正确性，若签名正确则输出签名δ_m，否则终止协议。

一种计算机存储介质，其特征在于，存储有计算机程序，运行计算机程序包括以下步骤：

生成SM2数字签名时，有两方共同参与，一方为客户端U，一方为服务器S；客户端U和服务器S在本阶段利用各自的部分私钥，协同产生关于消息m的SM2签名，具体应实现以下步骤：

步骤1、U在

中选择第三个随机数k_U作为部分临时私钥，计算e＝H(Z||m)和第一部分临时公钥K_U＝k_U·d_U·G；最后U发送(e,K_U)给S；

步骤2、S在

中选择第四个随机数k_S作为部分私钥，计算临时公钥

计算第一部分签名r＝x₁+e mod q，生成中间变量s′＝d_S·(k_S+r)mod q；最后S将(r,s′)返回给U；

步骤3、U计算第二部分签名s＝d_U·(s′+d_U·k_U)-rmod q，使用P_PUB验证签名δ_m＝{r,s}；的正确性，若签名正确则输出签名δ_m，否则终止协议。

本发明与现有技术相比具有如下优点和有益效果：

首先，目前现有的普通的密钥分割或门限秘密分割，虽然能够将密钥进行分割，但是在签名的阶段，密钥会被恢复并被某一方所掌握，这样降低了多方签名的安全性和公平性，持有完整私钥的一方便可以完成签名，不需要全部参与方共同完成签名。

其次，这类分割最终将完整的签名私钥暴露给其中一方，造成了密钥的泄漏，得到完整签名密钥的一方可以在没有其他参与方参与的情况下对其他文件进行签名。

本发明实现了客户端/服务器结构下的轻量级两方分布式生成SM2数字签名的功能，不仅要求生成签名时，两方必须同时参与，同时保证了签名私钥的安全性。

在本发明中，密码生成阶段客户端(服务器)仅需执行一次点乘和一次点加，在协同签名阶段客户端仅执行一次点乘，服务器执行两次点乘。无论从系统整体和各参与方的角度来看，计算量都是非常小的。

附图说明

图1是两方协同签名示意图。

具体实施方式

下面通过实施例，对本发明的技术方案作进一步具体的说明。

实施例：

本发明提出了一个两方共同生成SM2数字签名的方案。在本方案中，生成SM2数字签名时，有两方共同参与，一方为客户端U，一方为服务器S。客户端U和服务器S在本阶段利用各自的部分私钥，协同产生关于消息m的SM2签名，具体应实现以下步骤：

1).U在

中选择第三个随机数k_U作为部分临时私钥，计算e＝H(Z||m)和第一部分临时公钥K_U＝k_U·d_U·G。最后U发送(e,K_U)给S。

2).S在

中选择第四个随机数k_S作为部分私钥，计算临时公钥

计算第一部分签名r＝x₁+e mod q，生成中间变量s′＝d_S·(k_S+r)mod q。最后S将(r,s′)返回给U。

3).U计算第二部分签名s＝d_U·(s′+d_U·k_U)-rmod q，使用P_PUB验证签名δ_m＝{r,s}。的正确性，若签名正确则输出签名δ_m，否则终止协议。

本发明还涉及一种计算机存储介质，存储有计算机程序，运行计算机程序包括以下步骤：

生成SM2数字签名时，有两方共同参与，一方为客户端U，一方为服务器S；客户端U和服务器S在本阶段利用各自的部分私钥，协同产生关于消息m的SM2签名，具体应实现以下步骤：

步骤1、U在

中选择第三个随机数k_U作为部分临时私钥，计算e＝H(Z||m)和第一部分临时公钥K_U＝k_U·d_U·G；最后U发送(e,K_U)给S；

步骤2、S在

中选择第四个随机数k_S作为部分私钥，计算临时公钥

计算第一部分签名r＝x₁+e mod q，生成中间变量s′＝d_S·(k_S+r)mod q；最后S将(r,s′)返回给U；

步骤3、U计算第二部分签名s＝d_U·(s′+d_U·k_U)-rmod q，使用P_PUB验证签名δ_m＝{r,s}；的正确性，若签名正确则输出签名δ_m，否则终止协议。

本文中所描述的具体实施例仅仅是对本发明精神作举例说明。本发明所属技术领域的技术人员可以对所描述的具体实施例做各种各样的修改或补充或采用类似的方式替代，但并不会偏离本发明的精神或者超越所附权利要求书所定义的范围。

Claims (2)

1.一种适用于轻量级客户端的SM2两方协同签名方法，其特征在于，

生成SM2数字签名时，有两方共同参与，一方为客户端U，一方为服务器S；客户端U和服务器S在本阶段利用各自的部分私钥，协同产生关于消息m的SM2签名，具体应实现以下步骤：

步骤1、U在

中选择第三个随机数k_U作为部分临时私钥，计算e＝H(Z||m)和第一部分临时公钥K_U＝k_U·d_U·G；最后U发送(e,K_U)给S；

步骤2、S在

中选择第四个随机数k_S作为部分私钥，计算临时公钥

计算第一部分签名r＝x₁+e mod q，生成中间变量s′＝d_S·(k_S+r)mod q；最后S将(r,s′)返回给U；

步骤3、U计算第二部分签名s＝d_U·(s′+d_U·k_U)-r mod q，使用P_PUB验证签名δ_m＝{r,s}；的正确性，若签名正确则输出签名δ_m，否则终止协议；

其中，H代表输入为任意长度比特串{0,1}^*，输出为固定长度的密码杂凑函数；Z代表签名算法输入的共同信息；k_U代表用户U的部分临时私钥；d_U代表用户U的生成第一部分私钥；G代表循环群

的一个生成元；d_S代表服务器S的生成第二部分私钥；q为素数且q>2²⁵⁶；P_PUB代表用户U的完整公钥。

2.一种计算机存储介质，其特征在于，存储有计算机程序，运行计算机程序包括以下步骤：

生成SM2数字签名时，有两方共同参与，一方为客户端U，一方为服务器S；客户端U和服务器S在本阶段利用各自的部分私钥，协同产生关于消息m的SM2签名，具体应实现以下步骤：

步骤1、U在

中选择第三个随机数k_U作为部分临时私钥，计算e＝H(Z||m)和第一部分临时公钥K_U＝k_U·d_U·G；最后U发送(e,K_U)给S；

步骤2、S在

中选择第四个随机数k_S作为部分私钥，计算临时公钥

计算第一部分签名r＝x₁+e mod q，生成中间变量s′＝d_S·(k_S+r)mod q；最后S将(r,s′)返回给U；

步骤3、U计算第二部分签名s＝d_U·(s′+d_U·k_U)-r mod q，使用P_PUB验证签名δ_m＝{r,s}；的正确性，若签名正确则输出签名δ_m，否则终止协议；

其中，H代表输入为任意长度比特串{0,1}^*，输出为固定长度的密码杂凑函数；Z代表签名算法输入的共同信息；k_U代表用户U的部分临时私钥；d_U代表用户U的生成第一部分私钥；G代表循环群

的一个生成元；d_S代表服务器S的生成第二部分私钥；q为素数且q>2²⁵⁶；P_PUB代表用户U的完整公钥。

Images