CN111082945A - 两方EdDSA协同签名协议 - Google Patents

Abstract

本发明公开了两方EdDSA协同签名协议，属于密码学技术领域。包括密钥生成、签名过程和验证过程，所述密钥生成过程：构造哈希函数H(·)，生成密钥sk，所述密钥生成中密钥sk分割成多个部分，并由双方分别保管；所述签名过程：第一方和第二方共同完成签名过程，最后所得的签名为coding(R)||coding(S)，其中S由第一方所得，R由第二方所得；所述验证过程：对于明文M签名后的消息coding(R)||coding(S)，使用验证密钥coding(A)验证；判断等式是否成立。提高签名密钥的安全性。

Description

两方EdDSA协同签名协议

技术领域

本发明涉及密码学技术领域，具体涉及两方EdDSA协同签名协议。

背景技术

Edwards-curve数字签名算法被称为EdDSA，是一种比ECDSA更高效的新型签名方案。在EdDSA算法中，需要对整数或字符串进行如下编码：

coding(·)：整数s以小尾数形式编码为b位。将椭圆曲线上的一个元素(x，y)编码为b比特字符串，记为coding(x，y)，它是y的b-1比特和1比特的x相连。对于x的值，若原x是负的，则为1；若原x是正的，则为0。

EdDSA的签名过程如下：

·密钥生成：

随机选择一个b比特的字符串k，通过哈希函数得到H(k)＝(h₀，h₁，...，h_2b-1)，并计算出

以及A＝[s]B，由此得到验证密钥为coding(A)，签名密钥为s。其中coding(·)的功能如上描述。

·签名过程：

对于明文消息M，输出签名后的消息coding(R)//coding(S)，其中r＝H(h_b||…||h_2b-1||M)，R＝[r]B，S＝(r+H(coding(R)||(coding(A))||M)*s)mod L。

·验证过程：

对于明文M签名后的消息coding(R)//coding(S)，使用验证密钥coding(A)验证。判断等式[2^c*S]B＝2^c*R+[2^c*h]A是否成立，其中h＝H(coding(R)||coding(A)||M)。

对以上所用符号的说明如下：p为椭圆曲线E的奇素数幂；b为满足8的倍数的整数，其中EdDSA的公钥恰好为b比特，EdDSA的签名恰好为b比特；c为等于2或3的整数；n为满足c＜＝n＜b的整数；B为椭圆曲线E上的点；L是由B所组成的有限循环群的阶。

在EdDSA算法中，签名密钥一旦泄露，整个方案将不再安全。为了提高签名密钥的安全性，本专利提出一个两方协同的EdDSA签名算法。

发明内容

针对现有技术的不足，本发明提供一种两方EdDSA协同签名协议的技术方案，解决了现有签名方式不安全的问题。

两方EdDSA协同签名协议，包括密钥生成、签名过程和验证过程，所述密钥生成过程构造哈希函数H(·)，生成密钥sk，所述密钥生成中密钥sk分割成多个部分，并由双方分别保管；

所述签名过程：第一方和第二方共同完成签名过程，最后所得的签名为coding(R)//coding(S)，其中S由第一方所得，R由第二方所得；

所述验证过程：对于明文M签名后的消息coding(R)||coding(S)，使用验证密钥coding(A)验证；判断等式是否成立。

进一步的，所述密钥sk包括三个部分，第一部分是第一个/′/4位的d₁₁，第二部分是第二个/′/4位的d₁₀，最后一部分是其余的/′/2位的d₂。

进一步的，所述的密钥d₁₁、d₁₀、d₂分配完成后，第一部分是由第一方保存，剩下的两个部分是由第二方保存；第一方需要发送SHA256([s₁]B)给第二方，第二方发送在发送[s₂]B给第一方，第一方收到[s₂]B后，再发送[s₁]B给第二方。

进一步的，所述的共同完成签名的过程为：

1)第一方通过d₁₁计算出r₁＝H(d₁₁||M)，并计算σ_A＝(r₁-s₁-α)mod L以及R_A＝[α]B；第一方将σ_A和R_A发送给第二方；

2)第二方通过d₁₀计算r₂＝H(d₁₀||M)，并令β＝H(coding(R)||coding(A)||M)；当第二方接收到第一方发送的σ_A和R_A后，计算出[r₁]B的值，于是能够得到R＝[r₁]B+[r₂]B＝[r]B；

3)第二方计算σ_B＝[σ_A+r₂+β(s₂-σ_A)]mod L，并将σ_B和β发送给第一方；

4)第一方接收到σ_B和β后，计算出S＝[σ_B+s₁+α+β(r₁-α)]mod L＝(r+βs)mod L；

5)最后双方共同所得到的签名为coding(R)//coding(S)。

进一步的，所述哈希函数H(·)为h＝H(coding(R)||coding(A)||M)，将任意长度的比特串编码为/′长度的字符串；当x＜I′/2时，将其填充为/′/2比特，当x＞＝/′/2，将x分为/′/4比特的x0，I′/4比特的x₁，剩下的为x₂，然后计算H(x)＝h(x₀||x₂)||h(x₁||x₂)。

进一步的，哈希函数H(·)具有单向性，通过以下方法证明：

若哈希函数h是单向的，则哈希函数H也是单向的；假设攻击者A可以攻破哈希函数H的单向性；设计算法B攻破h的单向性，就是给出y和h，能找到x能够满足y＝h(x)，B把y||y发送给A，通过y||y＝h(x₀||x₂)||h(x₀||x₂)＝H(x₀||x₀||x₂)，A求出x₀||x₂，B计算出x₀||x₂作为x的值。

进一步的，哈希函数H(·)具有防碰撞性，证明方法如下：

假设攻击者A可以攻破哈希函数H的抗碰撞性。设计算法B攻破h的抗碰撞性，就是(1)给出h，能找到x和x′，满足h(x)＝h(x′)；(2)给出x和h，能找到x′满足h(x)＝h(x′)。

(1)攻击者A求出不同的x₀||x₁||x₂和x′₀||x′₁||x₂′满足H(x₀||x₁||x₂)＝H(x′₀||x′₁||x′₂)＝h(x₀||x₂)||h(x₁||x₂)＝h(x₀′||x₂′)||h(x₁′||x₂′)。由于A可以攻破哈希函数H的抗碰撞性，那么我们有x₀||x₂≠x′₀||x′₂或x₁||x₂≠x′₁||x′₂。因此，B就能得到x＝x₀||x₂和x′＝x′₀||x₂′；或者x＝x₁||x₂和x′＝x′₁||x₂′

(2)攻击者A得到不同的x′₀||x′₁||x₂′满足H(x₀||x₀||x₂)＝h(x₀||x₂)||h(x₀||x₂)＝H(x′₀||x′₁||x′₂)，其中x＝x₀||x₂，B就能得到x′＝x′₀||x₂′。

本方法最大特点在于在保持原有EdDSA签名算法的特点(如签名时所用的随机数是确定的)的前提下，实现了两方协同签名，提高签名密钥的安全性。

附图说明

图1为两方EdDSA算法的密钥生成；

图2为两方EdDSA算法的签名过程。

具体实施方式

下面结合说明书附图对本发明的技术方案作进一步说明。

对于传统的EdDSA，存在密钥保存不安全问题。对此，通过安全的两方数字签名协议来解决这个问题。

首先，在一个安全的哈希函数h(·)的基础上，构造一个新的函数H(·)。该哈希函数h(·)将任意长度的字符串编码为/长度的比特串。而新函数H(·)将任意长度的比特串编码为/′长度的字符串。当x＜I′/2时，将其填充为/′/2比特。当x＞＝I′/2，将x分为/′/4比特的x₀，/′/4比特的x₁，剩下的为x₂。然后计算H(x)＝h(x₀||x₂)||h(x₁||x₂)。

以下证明所构造的新哈希函数H(·)符合密码哈希函数的单向性和抗碰撞性。

·若哈希函数h是单向的，则提出的哈希函数H也是单向的

假设攻击者A可以攻破哈希函数H的单向性。设计算法B攻破h的单向性，就是给出y和h，能找到x能够满足y＝h(x)。B把y||y发送给A。通过y||y＝h(x₀||x₂)||h(x₀||x₂)＝H(x₀||x0||x₂)，A求出x₀||x₂。B计算出x₀||x₂作为x的值。

·抗碰撞性

假设攻击者A可以攻破哈希函数H的抗碰撞性。设计算法B攻破h的抗碰撞性，就是(1)给出h，能找到x和x′，满足h(x)＝h(x′)；(2)给出x和h，能找到x′满足h(x)＝h(x′)。具体如下：

(1)攻击者A求出不同的x₀||x₁||x₂和x′₀||x′₁||x₂′满足H(x₀||x₁||x₂)＝H(x′₀||x′₁||x′₂)＝h(x₀||x₂)||h(x₁||x₂)＝h(x₀′||x₂′)||h(x₁′||x₂′)。由于A可以攻破哈希函数H的抗碰撞性，那么我们有x₀||x₂≠x′₀||x′₂或x₁||x₂≠x′₁||x′₂。因此，B就能得到x＝x₀||x₂和x′＝x′₀||x₂′；或者x＝x₁||x₂和x′＝x′₁||x₂′

(2)攻击者A得到不同的x′₀||x′₁||x₂′满足H(x₀||x₀||x₂)＝h(x₀||x₂)||h(x₀||x₂)＝H(x′₀||x′₁||x′₂)，其中x＝x₀||x₂，B就能得到x′＝x′₀||x₂′。

由以上可知所构造的哈希函数H(·)满足单向性和抗碰撞性。

在EdDSA算法中，通常建议edwards25519和edwards448这两条曲线来实例化。本专利中的算法适合于这条曲线的实例化。

两方EdDSA签名过程如下：

·密钥生成：

如图一所示。与原EdDSA方案相比，将签名密钥sk分割成三个部分，第一部分是第一个/′/4位的d₁₁，第二部分是第二个/′/4位的d₁₀，最后一部分是其余的I′/2位的d₂。第一部分是由Alice(第一方)保存，剩下的两个部分是由Bob(第二方)保存。值得一提的是，在发送[s₁]B给Bob之前，Alice需要发送5HA256([s₁]B)给Bob，Alice收到Bob的[s₂]B后，再发送[s₁]B给Bob。此步骤是用于防止Bob能够单独地决定A的签名过程。最后，得到验证密钥A＝[s₁]B+[s₂]B＝[s]B，相应的签名密钥d＝d₁₁||d₁₀||d₂。Alice拥有d₁₁、s₁，Bob拥有d₁₀、d₂、[s₁]B、s₂。

·签名过程：

如图二所示，具体过程如下：

1)Alice通过d₁₁计算出r₁＝H(d₁₁||M)，并计算σ_A＝(r₁-s₁-α)mod L以及R_A＝[α]B，Alice将σ_A和R_A发送给Bob；

2)Bob通过d₁₀计算r₂＝H(d₁₀||M)，令β＝H(coding(R)||coding(A)||M)。当Bob接收到Alice发送的σ_A和R_A后，可以计算出[r₁]B的值。于是能够得到R＝[r₁]B+[r₂]B＝[r]B；

3)Bob计算σ_B＝[σ_A+r₂+β(s₂-σ_A)]mod L，并将σ_B和β发送给Alice；

4)Alice接收到σ_B和β后，就可以计算出S＝[σ_B+s₁+α+β(r₁-α)]mod L＝(r+βs)modL；

5)最后所得到的签名为coding(R)//coding(S)。

·验证过程：

对于明文M签名后的消息coding(R)||coding(S)，使用验证密钥coding(A)验证。判断等式是否成立，其中h＝H(coding(R)||coding(A)||M)。

在所设计的两方签名协议中，对于Bob，他只知道三个方程，分别为σ_A＝r₁-s₁-α、σ_B＝σ_A+r₂+β(s₂-σ_A)和y＝[α]B。最后一个方程y＝[α]B类似于离散对数方程，不可解。因此实际上为两个方程和三个未知数，联立方程组后不可解。所以Alice所拥有的密钥对于Bob是安全的。

而对于Alice，他只知道方程S＝σ_B+s₁+α+β(r₁-α)，R＝[r₁]B+[r₂]B。对于最后一个方程R＝[r₁]B+[r₂]B，同样不可解。因此实际上为一个方程组，两个未知数，无解。所以Bob所拥有的密钥对于Alice是安全的。

Claims (7)

1.两方EdDSA协同签名协议，包括密钥生成、签名过程和验证过程，其特征在于所述密钥生成过程：构造哈希函数H(·)，生成密钥sk，所述密钥生成中密钥sk分割成多个部分，并由双方分别保管；

所述签名过程：第一方和第二方共同完成签名过程，最后所得的签名为coding(R)||coding(S)，其中S由第一方所得，R由第二方所得；

所述验证过程：对于明文M签名后的消息coding(R)||coding(S)，使用验证密钥coding(A)验证；判断等式是否成立。

2.根据权利要求1所述的两方EdDSA协同签名协议，其特征在于所述密钥sk包括三个部分，第一部分是第一个l’/4位的d₁₁，第二部分是第二个l’/4位的d₁₀，最后一部分是其余的l’/2位的d₂。

3.根据权利要求2所述的双方EdDSA协同签名协议，其特征在于所述的密钥d₁₁、d₁₀、d₂分配完成后，第一部分是由第一方保存，剩下的两个部分是由第二方保存；第一方需要发送SHA256([s₁]B)给第二方，第二方发送在发送[s₂]B给第一方，第一方收到[s₂]B后，再发送[s₁]B给第二方。

4.根据权利要求2所述的两方EdDSA协同签名协议，其特征在于所述的共同完成签名的过程为：

1)第一方通过d₁₁计算出r₁＝H(d₁₁||M)，并计算σ_A＝(r₁-s₁-α)modL以及R_A＝[α]B；第一方将σ_A和R_A发送给第二方；

2)第二方通过d₁₀计算r₂＝H(d₁₀||M)，并令β＝H(coding(R)||coding(A)||M)；当第二方接收到第一方发送的σ_A和R_A后，计算出[r₁]B的值，于是能够得到R＝[r₁]B+[r₂]B＝[r]B；

3)第二方计算σ_B＝[σ_A+r₂+β(s₂-σ_A)]modL，并将σ_B和β发送给第一方；

4)第一方接收到σ_B和β后，计算出S＝[σ_B+s₁+α+β(r₁-α)]modL＝(r+βs)modL；

5)最后双方共同所得到的签名为coding(R)||coding(S)。

5.根据权利要求1所述的两方EdDSA协同签名协议，其特征在于所述哈希函数H(·)为h＝H(coding(R)||coding(A)||M)，将任意长度的比特串编码为l’长度的字符串；当x<l’/2时，将其填充为l’/2比特，当x>＝l’/2，将x分为l’/4比特的x₀，l’/4比特的x₁，剩下的为x₂，然后计算H(x)＝h(x₀||x₂)||h(x₁||x₂)。

6.根据权利要求5所述的两方EdDSA协同签名协议，其特征在于哈希函数H(·)具有单向性，通过以下方法证明：

若哈希函数h是单向的，则哈希函数H也是单向的；假设攻击者A可以攻破哈希函数H的单向性；设计算法B攻破h的单向性，就是给出y和h，能找到x能够满足y＝h(x)，B把y||y发送给A，通过y||y＝h(x₀||x₂)||h(x₀||x₂)＝H(x₀||x₀||x₂)，A求出x₀||x₂，B计算出x₀||x₂作为x的值。

7.根据权利要求5所述的两方EdDSA协同签名协议，其特征在于哈希函数H(·)具有防碰撞性，证明方法如下：

假设攻击者A可以攻破哈希函数H的抗碰撞性。设计算法B攻破h的抗碰撞性，就是(1)给出h，能找到x和x'，满足h(x)＝h(x′)；(2)给出x和h，能找到x'满足h(x)＝h(x')。

(1)攻击者A求出不同的x₀||x₁||x₂和x′₀||x′₁||x₂′满足H(x₀||x₁||x₂)＝H(x′₀||x′₁||x′₂)＝h(x₀||x₂)||h(x₁||x₂)＝h(x₀′||x₂′)||h(x₁′||x₂′)。由于A可以攻破哈希函数H的抗碰撞性，那么我们有x₀||x₂≠x′₀||x′₂或x₁||x₂≠x′₁||x′₂。因此，B就能得到x＝x₀||x₂和x′＝x′₀||x₂′；或者x＝x₁||x₂和x′＝x′₁||x₂′；

(2)攻击者A得到不同的x′₀||x′₁||x₂′满足H(x₀||x₀||x₂)＝h(x₀||x₂)||h(x₀||x₂)＝H(x′₀||x′₁||x′₂)，其中x＝x₀||x₂，B就能得到x′＝x′₀||x₂′。

Images