CN111130804A - 一种基于sm2算法的协同签名方法及装置、系统、介质 - Google Patents

Abstract

本发明涉及数字签名技术领域，更具体的说，涉及一种基于SM2算法的协同签名方法及装置、系统、介质。本方法包括以下步骤：S1第一通信方和第二通信方分别生成第一私钥分量D_A和第二私钥分量D_B，执行基于SM2算法的安全计算协议，得到双方共同的公钥P_pub；S2第一通信方和第二通信方的第一私钥分量D_A和第二私钥分量D_B进行加法分享变换，获得第一私钥变换分量D₁和第二私钥变换分量D₂，满足如下变换关系，D₁+D₂＝D_A·D_B modn；S3第一通信方和第二通信方，采用第一私钥变换分量D₁和第二私钥变换分量D₂，基于SM2算法协同签名协议，交换中间结果和/或椭圆曲线群元素，协同生成数字签名。本发明实现两方协同完成数字签名，既保证签名的正确性，又保证签名密钥的安全性。

Description

一种基于SM2算法的协同签名方法及装置、系统、介质

技术领域

本发明涉及数字签名技术领域，更具体的说，涉及一种基于SM2算法的协同签名方法及装置、系统、介质。

背景技术

公钥密码算法已经在电子商务、电子政务、移动警务、移动办公得到广泛使用，在车联网、智能医疗系统、智能家居系统等物联网应用以及云计算系统中也发挥了越来越重要的作用。在公钥密码体制中，保证私钥的安全性是一个非常重要的问题。用户的私钥通常需要在专门的硬件安全模块(HSM，Hardware Security Module)中安全存储和使用，私钥不能从密码硬件中导出。常见的HSM包括USBKEY(U盾)、智能卡、TF卡(Trans-flash Card，闪存卡)、密码芯片等。

随着互联网技术的发展，移动智能终端的普及率越来越高，随之而来的是安全问题，需要解决移动端的身份认证和数字签名。智能移动终端通常并没有配置专用的硬件密码模块，只能依赖于软件密码模块来完成密码运算，私钥则需要存储在用户终端本地存储介质中。

然而智能移动终端的防护能力较弱，虽然存储私钥时可以使用加密、PIN码(Personal Identification Number，个人识别密码)等方式加以保护，并保存在永久存储设备中，但是攻击者可能通过权限提升、动态分析算法运算过程等手段来获得私钥，这增加了私钥泄露的风险。比如，攻击者通过木马窃取保存在移动终端中的用户私钥，破解用户保护私钥的PIN码，从而获得用户私钥。

针对此类问题，常见的解决方法是采用门限秘密共享方案，将签名私钥被分割成t个子密钥，并安全地分给t个参与者掌管，这些t个参与者中的k(k≤t)个及以上所构成的子集可以重构签名私钥，少于k个参与者则无法获得完整签名私钥。这会存在以下两个问题，一方面，恢复出完整签名私钥之后，持有完整签名私钥的一方就可以在其他参与方不知情的情况下独立地进行签名，从而破坏了系统的安全性和公平性，另一方面，参与者的原始的子密钥参与重构签名私钥会造成原始子密钥泄露的风险。特别是在只有两个参与方的情况下，原始子密钥的泄露或者某一方恢复并持有完整签名私钥，就可以在另一方不知情的情况下独立地进行签名，给系统造成利益损失。

发明内容

本发明的目的是提供一种基于SM2算法的协同签名方法及装置、系统、介质，解决现有技术中两个参与方之间协同完成数字签名时的私钥分量的安全性问题。

为了实现上述目的，本发明提供了一种基于SM2算法的协同签名方法，包括以下步骤：

S1第一通信方和第二通信方分别生成第一私钥分量D_A和第二私钥分量D_B，执行基于SM2算法的安全计算协议，得到双方共同的公钥P_pub，其中，第一私钥分量D_A和第二私钥分量D_B为乘法分享的私钥分量；

S2第一通信方和第二通信方的第一私钥分量D_A和第二私钥分量D_B进行加法分享变换，获得第一私钥变换分量D₁和第二私钥变换分量D₂，满足如下变换关系，D₁+D₂＝D_A·D_Bmodn，n为素数，是椭圆曲线E的基点G的阶，

其中，第一私钥变换分量D₁和第二私钥变换分量D₂为加法分享的私钥分量，用于执行后续的协同签名操作；

S3第一通信方和第二通信方，采用第一私钥变换分量D₁和第二私钥变换分量D₂，基于SM2算法协同签名协议，交换中间结果和/或椭圆曲线群元素，协同生成数字签名。

在一实施例中，所述步骤S1中，基于SM2算法的安全计算协议，进一步包括以下步骤：S111第一通信方选择一个随机数D_A∈[1,…,n-1]，作为第一私钥分量D_A；

S112第二通信方选择一个随机数D_B∈[1,…,n-1]，作为第二私钥分量D_B；

S113第一通信方根据第一私钥分量D_A，计算第一公钥参数P₁，并将第一公钥参数P₁发送给第二通信方，其中

S114第二通信方根据接收的第一公钥参数P₁和第二私钥分量D_B，生成双方共同的公钥P_pub，其中

在一实施例中，所述步骤S1中，得到双方共同的公钥P_pub之后，进一步包括以下步骤：验证公钥P_pub是否有效。

在一实施例中，所述步骤S1中，得到双方共同的公钥P_pub之后，进一步包括以下步骤：将生成的公钥P_pub发送公开。

在一实施例中，所述步骤S1中，基于SM2算法的安全计算协议，进一步包括以下步骤：

S121第一通信方选择一个随机数D_A∈[1,…,n-1]，作为第一私钥分量D_A；

S122第二通信方选择一个随机数D_B∈[1,…,n-1]，作为第二私钥分量D_B；

S123第一通信方根据第一私钥分量D_A，计算第一公钥参数P₁，并将第一公钥参数P₁发送给第二通信方，其中

S124第二通信方根据第二私钥分量D_B，计算第二公钥参数P₂，并将第二公钥参数P₂发送给第一通信方，其中

S125第一通信方和第二通信方分别独立计算得到公钥P_pub，并发送公开公钥。

在一实施例中，所述步骤S2中，私钥分量变换，采用基于茫然传输协议的私钥分量变换协议实现，进一步包括以下步骤：

S21第一通信方和第二通信方在椭圆曲线E上随机选取一个群元素P作为公共参数；

S22第二通信方基于SM2算法计算得到混淆因子集合{U_i}＝{U₁,U₂,…,U_l}，所述混淆因子集合{U_i}中每一个元素U_i与第二私钥分量D_B中的1个比特相对应；

第二通信方将混淆因子集合的计算结果{U_i}发给第一通信方；

S23第一通信方接收混淆因子集合{U_i}；

选择l个随机数x₁,x₂,…,x_l，根据随机参数V_aP和混淆因子集合{U_i}，对随机数x_i，i∈{1,2,…,l}与第一私钥分量D_A形成的第一集合{<s_j,s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j,X′_j>}，j∈{1,2,…,l}；

第一通信方将随机参数V_a和加密结果集合{<X_j,X′_j>}发送给第二通信方；

第一通信方计算得到第一私钥变换分量D₁：

S24第二通信方接收随机参数V_a和加密结果集合{<X_j,X′_j>}；

根据随机参数V_a和加密结果集合{<X_j,X′_j>}，计算分享参数集合{t_i}，所述分享参数集合{t_i}中每一个元素t_i与第二私钥分量D_B中的1个比特相对应；

计算得到第二私钥变换分量D₂：

第一私钥变换分量D₁和第二私钥变换分量D₂，满足如下变换关系，D₁+D₂＝D_A·D_Bmod n。

在一实施例中，所述步骤S21中，第一通信方和第二通信方通过密钥协商算法，协商选取公共参数。

在一实施例中，所述步骤S22中，混淆因子集合{U_i}的计算方法，进一步包括以下步骤：S221选择l个随机数m₁,m₂,…,m_i,…m_l，l为第二私钥分量D_B的比特长度；

S222第二通信方从第二私钥分量D_B中提取每一个比特b_i∈{0,1}，i∈{1,2,…,l}；

S223第二通信方根据比特b_i的值来决定计算U_i的计算公式：

若b_i＝0，计算U_i＝[m_i]G；

若b_i＝1，计算U_i＝P-[m_i]G；

其中，G是椭圆曲线E的基点，P是协商选取的公共参数，[m_i]G代表基点G的m_i倍点。

在一实施例中，所述步骤S23中，随机参数V_a、V_aP和第一集合{〈s_j,s′_j>}通过以下步骤获得：根据第一私钥分量D_A，计算得到第一集合{<s_j,s′_j>}，j∈{1,2,…,l}，其中第j个元素<s_j,s′_j>的计算公式为：

选取1个比特长度为l的随机数a∈{0,1}^l，计算随机参数V_a和V_aP，其中随机参数V_a和V_aP的计算公式为：

在一实施例中，所述步骤S23中，第一集合{<s_j,s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j,X′_j>}，第j个元素<X_j,X′_j>的计算公式：

在一实施例中，所述步骤S24中，分享参数集合{t_i}的计算方法，进一步包括以下步骤：

S2411第二通信方从第二私钥分量D_B中提取每一个比特b_i∈{0,1}，i∈{1,2,…,l}；

S2412第二通信方根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：

若b_i＝0，计算

若b_i＝1，计算

在一实施例中，所述步骤S23中，第一集合{<s_j,s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j,X′_j>}，第j个元素<X_j,X′_j>的计算公式：

在一实施例中，所述步骤S24中，分享参数集合{t_i}的计算方法，进一步包括以下步骤：S2421第二通信方从第二私钥分量D_B中提取每一个比特b_i∈{0,1}，i∈{1,2,…,l}；

S2422第二通信方根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：若b_i＝0，计算

若b_i＝1，计算

在一实施例中，所述步骤S23中，第一集合{<s_j,s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j,X′_j>}，第j个元素<X_j,X′_j>的计算公式：

在一实施例中，所述步骤S24中，分享参数集合{t_i}的计算方法，进一步包括以下步骤：

S2431第二通信方从第二私钥分量D_B中提取每一个比特b_i∈{0,1}，i∈{1,2,…,l}；

S2432第二通信方根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：

若b_i＝0，计算：

若b_i＝1，计算：

在一实施例中，所述第一私钥变换分量D₁设为固定值。

在一实施例中，所述步骤S3中，基于SM2算法协同签名协议，交换中间结果和/或椭圆曲线群元素之前，还包括以下步骤：基于SM2算法，根据用户的可辨别标识计算出杂凑值Z_A，并获取待签名原文M作为输入。

在一实施例中，所述步骤S3中，基于SM2算法协同签名协议，交换中间结果和/或椭圆曲线群元素，进一步包括以下步骤：

S31第一通信方选择第一随机数；

根据第一随机数和第一私钥变换分量D₁，计算得到第一中间结果；

根据第一随机数和公钥P_pub，计算得到第一椭圆曲线群元素；

将第一中间结果和第一椭圆曲线群元素发送给第二通信方；

S32第二通信方接收第一中间结果和第一椭圆曲线群元素；

选择第二随机数；

根据第二随机数、第一椭圆曲线群元素和公钥P_pub，计算得到第二椭圆曲线群元素(x₁,y₁)，其中x₁是第二椭圆曲线群元素(x₁,y₁)的x轴坐标；

根据消息摘要e和第二椭圆曲线群元素(x₁,y₁)，计算得到第二部分签名结果r；

根据第一中间结果、第二随机数，第二部分签名结果r和第二私钥变换分量D₂，计算得到第二中间结果；

将第二中间结果和第二部分签名结果r发送给第一通信方；

S33第一通信方接收第二中间结果和第二部分签名结果r；

根据第一随机数、第二中间结果、第二部分签名结果r和第一私钥变换分量D₁，计算得到第一部分签名结果s；

根据第一部分签名结果s和第二部分签名结果r，输出完整的数字签名结果(r,s)。

在一实施例中，步骤S31中，所述第一随机数包括随机数k₁∈[1,…,n-1]，随机数k′₁∈[1,…,n-1]；

所述第一中间结果u＝D₁k₁；

所述第一椭圆曲线群元素包括R₁和R′₁，

步骤S32中，所述第二随机数包括随机数k₂∈[1,…,n-1]，随机数k′₂∈[1,…,n-1]；

所述第二椭圆曲线群元素(x₁,y₁)＝[k₂]R₁+R′₁+[k′₂](P_pub+G)；

所述消息摘要e＝H_v(Z_A||M)，其中Z_A为基于SM2算法根据用户的可辨别标识计算出的杂凑值，M为待签名原文；

所述第二部分签名结果r＝e+x₁mod n；

所述第二中间结果包括v₁和v₂，

步骤S33中，所述第一部分签名结果s＝r(D₁-1)+v₂+v₁k₁+k′₁。

在一实施例中，步骤S31中，所述第一随机数包括随机数k₁∈[1,…,n-1]，随机数k′₁∈[1,…,n-1]；

所述第一中间结果u＝D₁+k₁；

所述第一椭圆曲线群元素包括R₁＝[k₁+k′₁]G+[k′₁]P_pub；

步骤S32中，所述第二随机数包括随机数k₂∈[1,…,n-1]，随机数k′₂∈[1,…,n-1]；

所述第二椭圆曲线群元素(x₁,y₁)＝R₁+[k₂+k′₂]G+[k′₂]P_pub；

所述消息摘要e＝H_v(Z_A||M)，其中Z_A为基于SM2算法根据用户的可辨别标识计算出的杂凑值，M为待签名原文；

所述第二部分签名结果r＝e+x₁mod n；

所述第二中间结果包括v₁和v₂，

步骤S33中，所述第一部分签名结果s＝r(D₁-1)+v₂+(D₁+v₁)k₁+k′₁。

在一实施例中，所述步骤S3中，基于SM2算法协同签名协议，交换中间结果和/或椭圆曲线群元素，进一步包括以下步骤：

S31第一通信方选择第一随机数；

根据第一随机数和公钥P_pub，计算得到第一椭圆曲线群元素；

将第一椭圆曲线群元素发送给第二通信方；

S32第二通信方接收第一椭圆曲线群元素；

选择第二随机数；

根据第二随机数、第一椭圆曲线群元素和公钥P_pub，计算得到第二椭圆曲线群元素(x₁,y₁)，其中x₁是第二椭圆曲线群元素(x₁,y₁)的x轴坐标；

根据消息摘要e和第二椭圆曲线群元素(x₁,y₁)，计算得到第二部分签名结果r；

根据第二随机数，第二部分签名结果r和第二私钥变换分量D₂，计算得到第二中间结果；

将第二中间结果和第二部分签名结果r发送给第一通信方；

S33第一通信方接收第二中间结果和第二部分签名结果r；

根据第一随机数、第二中间结果、第二部分签名结果r和第一私钥变换分量D₁，计算第一部分签名结果s；

结合第一部分签名结果s和第二部分签名结果r，输出完整的数字签名结果(r,s)。

在一实施例中，步骤S31中，所述第一随机数包括随机数k₁∈[1,…,n-1]；所述第一椭圆曲线群元素包括R₁＝[k₁](P_pub+G)；

步骤S32中，所述第二随机数包括随机数k₂∈[1,…,n-1]；

所述第二椭圆曲线群元素(x₁,y₁)＝R₁+[k₂](P_pub+G)；

所述消息摘要e＝H_v(Z_A||M)，其中Z_A为基于SM2算法根据用户的可辨别标识计算出的杂凑值，M为待签名原文；

所述第二部分签名结果r＝e+x₁mod n；

所述第二中间结果包括u＝rD₂+k₂；

步骤S33中，所述第一部分签名结果s＝u+r(D₁-1)+k₁。

在一实施例中，所述步骤S32中，第二通信方计算得到第二部分签名结果r之后，还包括以下步骤：判断第二部分签名r的值，如果r＝0，则返回步骤S1重新执行。

在一实施例中，所述步骤S32中，第二通信方计算得到第二部分签名结果r之后，还包括以下步骤：计算[r]G+(x₁,y₁)，判断计算结果与无穷远点O是否相等，如果相等则返回步骤S1重新执行。

在一实施例中，所述步骤S33中，第一通信方接收第二中间结果之后，还包括以下步骤：判断第二中间结果的值，如果第二中间结果值为0，则返回步骤S1重新执行。

在一实施例中，所述步骤S33中，第一通信方计算得到第一部分签名结果s之后，还包括以下步骤：计算r+s，判断计算结果是否满足(r+s)mod n＝0，如果满足条件则返回步骤S1重新执行。

为了实现上述目的，本发明提供了一种基于SM2算法的协同签名装置，包括第一通信方和第二通信方：

所述第一通信方包括第一密钥生成单元、第一密钥变换单元和第一协同签名单元；

所述第二通信方包括第二密钥生成单元、第二密钥变换单元和第二协同签名单元：

所述第一密钥生成单元，生成乘法分享的第一私钥分量D_A，所述第二密钥生成单元，生成乘法分享的第二私钥分量D_B；

第一密钥生成单元和第二密钥生成单元，基于SM2算法的安全计算协议计算得到公钥P_pub；

所述第一密钥变换单元和第二密钥变换单元，将乘法分享的第一私钥分量D_A和第二私钥分量D_B，变换为加法分享的第一私钥变换分量D₁和第二私钥变换分量D₂，满足如下变换关系，D₁+D₂＝D_A·D_Bmod n，n为素数，是椭圆曲线E的基点G的阶；

所述第一协同签名单元，接收第一密钥变换单元的得到的第一私钥变换分量D₁；所述第二协同签名单元，接收第二密钥变换单元的得到的第二私钥变换分量D₂；

第一协同签名单元和第二协同签名单元，基于SM2算法的协同签名协议，交换中间结果和/或椭圆曲线群元素，协同生成数字签名。

在一实施例中，所述第一密钥变换单元和第二密钥变换单元，采用基于茫然传输协议实现私钥分量变换；

第一通信方和第二通信方在椭圆曲线E上随机选取一个群元素P作为公共参数；

所述第一密钥变换单元，接收第二密钥变换单元发送的混淆因子集合{U_i}，

所述第一密钥变换单元，随机选择l个随机数x_i，i∈{1,2,…,l}，计算得到第一私钥变换分量D₁：

所述第一密钥变换单元，根据随机参数V_aP和混淆因子集合{U_i}，对随机数x_i，i∈{1,2,…,l}与第一私钥分量D_A形成的集合{<s_j,s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j,X′_j>}，j∈{1,2,…,l}，向第二密钥变换单元发送随机参数V_a和加密结果集合{<X_j,X′_j>}；

所述第二密钥变换单元，基于SM2算法计算得到混淆因子集合{U_i}＝{U₁,U₂,…,U_l}，向第一密钥单元发送混淆因子集合{U_i}，所述混淆因子集合{U_i}中每一个元素U_i与第二私钥分量D_B中的1个比特相对应；

所述第二密钥变换单元，根据随机参数V_a和加密结果集合{<X_j,X′_j>}，计算分享参数集合{t_i}，计算得到第二私钥变换分量D₂：

所述分享参数集合{t_i}中每一个元素t_i与第二私钥分量D_B中的1个比特相对应。

在一实施例中，所述混淆因子集合{U_i}，由第二密钥变换单元通过以下方式获得：

选择l个随机数m₁,m₂,…,m_i,…m_l，l为第二私钥分量D_B的比特长度；

从第二私钥分量D_B中提取每一个比特b_i∈{0,1}，i∈{1,2,…,l}；

根据比特b_i的值来决定计算U_i的计算公式：

若b_i＝0，计算U_i＝[m_i]G；

若b_i＝1，计算U_i＝P-[m_i]G；

其中，G是椭圆曲线E的基点，P是协商选取的公共参数，[m_i]G代表基点G的m_i倍点。

在一实施例中，所述随机参数V_a、V_aP和第一集合{<s_j,s′_j>}，由第一密钥变换单元通过以下方式获得，

选择l个随机数x₁,x₂,…,x_l，根据第一私钥分量D_A，计算得到第一集合{<s_j,s′_j>}，j∈{1,2,…,l}，其中第j个元素<s_j,s′_j>的计算公式为：

选取1个比特长度为l的随机数a∈{0,1}^l，计算随机参数V_a和V_aP，其中随机参数V_a和V_aP的计算公式为：

在一实施例中，所述第一密钥变换单元，对第一集合{<s_j,s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j,X′_j>}，第j个元素<X_j,X′_j>的计算公式为：

在一实施例中，所述分享参数集合{t_i}，由第二密钥变换单元通过以下方式获得：从第二私钥分量D_B中提取每一个比特b_i∈{0,1}，i∈{1,2,…,l}；

根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：

若b_i＝0，计算

若b_i＝1，计算

在一实施例中，所述第一密钥变换单元，对第一集合{<s_j,s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j,X′_j>}，第j个元素<X_j,X′_j>的计算公式为：

在一实施例中，所述分享参数集合{t_i}，由第二密钥变换单元通过以下方式获得：从第二私钥分量D_B中提取每一个比特b_i∈{0,1}，i∈{1,2,…,l}；

根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：

若b_i＝0，计算

若b_i＝1，计算

在一实施例中，所述第一密钥变换单元，对第一集合{<s_j,s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j,X′_j>}，第j个元素<X_j,X′_j>的计算公式为：

在一实施例中，所述分享参数集合{t_i}，由第二密钥变换单元通过以下方式获得：从第二私钥分量D_B中提取每一个比特b_i∈{0,1}，i∈{1,2,…,l}；

根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：

若b_i＝0，计算：

若b_i＝1，计算：

在一实施例中，所述第一协同签名单元，选择第一随机数，将计算获得的第一中间结果和第一椭圆曲线群元素发送给第二协同签名单元；

所述第二协同签名单元，接收第一中间结果和第一椭圆曲线群元素，选择第二随机数，将计算获得的第二中间结果和第二部分签名结果r发送给第一协同签名单元；

第一协同签名单元，接收第二中间结果和第二部分签名结果r，计算得到第一部分签名结果s，输出完整的数字签名结果(r,s)；

其中，第一中间结果由第一协同签名单元并根据第一随机数和第一私钥变换分量D₁计算得到；第一椭圆曲线群元素由第一协同签名单元根据第一随机数和公钥P_pub计算得到；

第二部分签名结果r由第二协同签名单元通过以下方式获得：

根据第二随机数、第一椭圆曲线群元素和公钥P_pub，计算得到第二椭圆曲线群元素(x₁,y₁)，其中x₁是第二椭圆曲线群元素(x₁,y₁)的x轴坐标；

基于SM2算法，根据用户的可辨别标识计算出杂凑值Z_A，并获取待签名原文M作为输入，根据杂凑值Z_A和待签名原文M，计算得到消息摘要e；

根据消息摘要e和第二椭圆曲线群元素(x₁,y₁)，计算得到第二部分签名结果r；

第二中间结果由第二协同签名单元根据第一中间结果、第二随机数，第二部分签名结果r和第二私钥变换分量D₂计算得到；

第一部分签名结果s由第一协同签名单元根据第一随机数、第二中间结果、第二部分签名结果r和第一私钥变换分量D₁计算得到。

在一实施例中，所述第一协同签名单元，选择第一随机数，将计算获得的第一椭圆曲线群元素发送给第二协同签名单元；

所述第二协同签名单元，接收第一椭圆曲线群元素，选择第二随机数，将计算获得的第二中间结果和第二部分签名结果r发送给第一协同签名单元；

第一协同签名单元，接收第二中间结果和第二部分签名结果r，计算得到第一部分签名结果s，输出完整的数字签名结果(r,s)；

其中，第一椭圆曲线群元素由第一协同签名单元根据第一随机数和公钥P_pub计算得到；

第二部分签名结果r由第二协同签名单元通过以下方式获得：

根据第二随机数、第一椭圆曲线群元素和公钥P_pub，计算得到第二椭圆曲线群元素(x₁,y₁)，其中x₁是第二椭圆曲线群元素(x₁,y₁)的x轴坐标；

基于SM2算法，根据用户的可辨别标识计算出杂凑值Z_A，并获取待签名原文M作为输入，根据杂凑值Z_A和待签名原文M，计算得到消息摘要e；

根据消息摘要e和第二椭圆曲线群元素(x₁,y₁)，计算得到第二部分签名结果r；

第二中间结果由第二协同签名单元根据第二随机数，第二部分签名结果r和第二私钥变换分量D₂计算得到；

第一部分签名结果s由第一协同签名单元根据第一随机数、第二中间结果、第二部分签名结果r和第一私钥变换分量D₁计算得到。

在一实施例中，第一通信方是客户端，第二通信方是服务器。

为了实现上述目的，本发明提供了一种基于SM2算法的协同签名系统，包括：存储器，用于存储可由处理器执行的指令；

处理器，用于执行所述指令以实现如上述任一项所述的方法。

为了实现上述目的，本发明提供了一种计算机可读介质，其上存储有计算机指令，其中当计算机指令被处理器执行时，执行如上述任一项所述的方法。

本发明提供的一种SM2算法的协同签名方法及装置、系统、介质，实现两个参与方之间协同完成数字签名，该签名必须由两方共同参与，并且原始的私钥分量不参与签名过程，在签名过程中不会恢复完整的签名私钥，既保证签名的正确性，又能保证签名密钥的安全性。

附图说明

本发明上述的以及其他的特征、性质和优势将通过下面结合附图和实施例的描述而变的更加明显，在附图中相同的附图标记始终表示相同的特征，其中：

图1揭示了根据本发明一实施例的基于SM2算法的协同签名方法流程图；

图2揭示了根据本发明一实施例的协同签名装置的结构示意图；

图3揭示了根据本发明一实施例的协同签名系统的框图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释发明，并不用于限定发明。

椭圆曲线密码(ECC，Elliptic curve cryptography)是一种基于在有限域上定义的椭圆曲线算法的公开密钥体制。SM2算法是是ECC密码体制的一种具体算法。在国家标准《GB/T 32918信息安全技术SM2椭圆曲线公钥密码算法》标准中规定了一种椭圆曲线公钥密码算法，基于SM2的数字签名的生成算法符合该标准的规定。

本发明的技术方案基于椭圆曲线密码体制(ECC，Elliptic curvecryptography)，涉及两个对等的通信实体，在通信双方执行规定的协议，实现基于SM2算法的两方协同签名。

参考图1所示，图1揭示了根据本发明一实施例的基于SM2算法的协同签名方法流程图。该基于SM2算法的协同签名方法，主要包括如下的步骤：

S1、密钥对生成。第一通信方和第二通信方分别生成第一私钥分量D_A和第二私钥分量D_B，执行基于SM2算法的安全计算协议，得到双方共同的公钥P_pub，其中，第一私钥分量D_A和第二私钥分量D_B为乘法分享的私钥分量。

S2、私钥分量变换。第一通信方和第二通信方的第一私钥分量D_A和第二私钥分量D_B进行加法分享变换，获得第一私钥变换分量D₁和第二私钥变换分量D₂，满足如下变换关系，D₁+D₂＝D_A·D_Bmod n，n为素数，是椭圆曲线E的基点G的阶，

其中，第一私钥变换分量D₁和第二私钥变换分量D₂为加法分享的私钥分量，用于执行后续的协同签名操作。

S3、两方协同生成数字签名。第一通信方和第二通信方，采用第一私钥变换分量D₁和第二私钥变换分量D₂，基于SM2算法协同签名协议，交换中间结果和/或椭圆曲线群元素，协同生成数字签名。

下面对基于SM2算法的协同签名方法中的每一步骤进行详细的展开阐述。

不失一般性，使用Alice和Bob来标识两个对等的通信实体。通信实体Alice和Bob分别对应第一通信方和第二通信方，两者的地位与顺序可以互换，不影响整体方案的实现。

Alice和Bob共同约定椭圆曲线的公共参数，并规定以下符号，以下符号同样参照了国家标准《GB/T 32918信息安全技术SM2椭圆曲线公钥密码算法》规定的参数：

F_q，包含q个元素的有限域；a,b，F_q中的元素，它们定义F_q上的一条椭圆曲线E；E，有限域上由a和b定义的一条椭圆曲线。

E(F_q)，F_q上椭圆曲线E的所有有理点(包括无穷远点O)组成的集合。

#E(F_q)，E(F_q)上点的数目，称为椭圆曲线E(F_q)的阶。

G，椭圆曲线的一个基点，其阶为素数；n，基点G的阶，n是#E(F_q)的素因子；mod n，模n运算。

O，椭圆曲线上的一个特殊点，称为无穷远点或零点，是椭圆曲线加法群的单位元；P，P＝(x_P,y_P)是椭圆曲线上除O之外的一个点，其坐标x_P，y_P满足椭圆曲线方程。

x_P，点P的x坐标；y_P，点P的y坐标；x||y，x与y的拼接，其中x和y是比特串或字节串；P₁+P₂，椭圆曲线E上两个点P₁与P₂的和。

[k]P，椭圆曲线上点P的k倍点，即

其中k是正整数。

H_v(*)，消息摘要长度为v比特的密码杂凑算法；ID_A，用户A的可辨别标识；M，待签名消息；e，密码杂凑算法作用于消息M的输出值。

Z_A，关于用户A的可辨别标识、部分椭圆曲线系统参数和用户A公钥的杂凑值。

⊕，长度相等的两个比特串按比特的异或运算。

步骤S1、密钥对生成。

在进行数字签名之前，通信实体Alice和Bob分别生成第一私钥分量和第二私钥分量，并执行基于SM2算法的两方安全计算协议，推导得出双方共享的共同公钥P_pub，其中，第一私钥分量和第二私钥分量为乘法分享的私钥分量。较佳的，私钥和公钥密码算法符合国家标准《GB/T 32918信息安全技术SM2椭圆曲线公钥密码算法》。

本方法中生成私钥分量及执行基于SM2的安全计算协议的第一实施例进一步包括如下步骤：

S111、Alice选择一个随机数D_A∈[1,…,n-1]，作为第一私钥分量D_A；

S112、Bob选择一个随机数D_B∈[1,…,n-1]，作为第二私钥分量D_B；

S113、Alice根据第一私钥分量D_A，计算第一公钥参数

并将第一公钥参数P₁发送给Bob；

S114、Bob根据接收的第一公钥参数P₁和第二私钥分量D_B，生成双方的共同公钥

并公开共同公钥P_pub。

更进一步的，还可以包括以下步骤：

在步骤S114生成公钥P_pub后，验证公钥P_pub是否有效。

可选的，验证公钥P_pub的方法为GB/T 32918.1标准给出的公钥验证方法。

更进一步的，还可以包括以下步骤：

在步骤S114生成公钥P_pub后，公钥P_pub发送给电子认证机构(CA机构)用于签发数字证书，电子认证机构签发数字证书的过程可以与后续私钥分量变换的步骤并行完成，减少总体运行时间。

本方法中生成私钥分量及执行基于SM2的安全计算协议的第二实施例进一步包括如下步骤：

S121、Alice选择一个随机数D_A∈[1,…,n-1]，作为第一私钥分量D_A；

S122、Bob选择一个随机数D_B∈[1,…,n-1]，作为第二私钥分量D_B；

S123、Alice根据第一私钥分量D_A，计算第一公钥参数

并将第一公钥参数P₁发送给Bob；

S124、Bob根据第二私钥分量D_B，计算第二公钥参数

并将第二公钥参数P₂发送给Alice；

S125、Alice和Bob分别独立计算出公钥P_pub，并公开公钥。

该技术方案类似与DH(Diffie-Hellman，密钥交换协议)算法，如果攻击者替换了中间结果(第一公钥参数P₁或第二公钥参数P₂)，则Alice和Bob两方的公钥计算结果不一致，从而进一步保证安全性。

步骤S2、私钥分量变换。

Alice和Bob在生成第一私钥分量D_A和第二私钥分量D_B并推导共同的SM2公钥之后，还需要将私钥分量进行变换，获得第一私钥变换分量D₁和第二私钥变换分量D₂，用于执行后续的两方协同签名操作，其中，第一私钥变换分量D₁和第二私钥变换分量D₂为加法分享的私钥分量。

第一私钥变换分量D₁、第二私钥变换分量D₂和第一私钥分量D_A、第二私钥分量D_B应满足如下数学关系：

D_l+D₂＝D_A·D_Bmod n；

其中，n为素数，是椭圆曲线E的基点G的阶。

本步骤中的私钥分量变换得到的加法分享的私钥分量D₁、D₂，参与后续的两方协同签名操作，解决了以下两方面的问题：

一方面，加法分享的私钥分量D₁、D₂不会逆向得到原始的乘法分享的私钥分量D_A、D_B，双方都无法获取到对方私钥D_A、D_B的任何信息，保证私钥分量D_A、D_B的安全性；

另一方面，加法分享的私钥分量D₁、D₂参与协同签名过程中，不会恢复出完整的签名密钥，解决了参与的一方获得完整的签名密钥，从而破坏安全性的问题。

本步骤中的私钥分量变换可以采用多种安全多方计算协议来实现。可选的，采用基于Paillier(帕耶)半同态加密实现该私钥分量的变换。

作为较优实施例，本发明提出一种基于茫然传输协议(Oblivious Transfer，简称OT)的技术方案，实现基于茫然传输协议的私钥分量变换协议。

Alice持有比特长度为l的第一私钥分量D_A作为秘密输入，Bob持有比特长度为l的第二私钥分量D_B作为秘密输入。Alice与Bob通过交换中间计算结果，并执行如下分布式计算协议：

S21、Alice和Bob在椭圆曲线E上随机选取一个群元素P作为公共参数。

作为安全条件Alice和Bob可以通过密钥协商算法，协商选取公共参数。在本实施例中，Alice和Bob执行ECDH(elliptic curves Diffie-Hellman，椭圆曲线密钥交换算法)协议来选取群元素P，计算共享的点乘结果，Alice和Bob任何一方均无法获得群元素P的离散对数结果。

S22、Bob基于SM2算法计算混淆因子集合{U_i}＝{U₁,U₂,…,U_l}，混淆因子集合{U_i}中每一个元素U_i与第二私钥分量D_B的1个比特相对应。

本实施例中，混淆因子集合{U_i}具体计算规则如下：

步骤S221、Bob选择l个随机数m₁,m₂,…,m_i,…m_l，l为第二私钥分量D_B的比特长度；

步骤S222、Bob从第二私钥分量D_B中提取每一个比特b_i∈{0,1}，i∈{1,2,…,l}；

步骤S223、根据比特b_i的值来决定计算U_i的公式：

若b_i＝0，计算U_i＝[m_i]G；

若b_i＝1，计算U_i＝P-[m_i]G；

其中，G是椭圆曲线E的基点，P是在步骤S21中协商获得的公共参数；

[m_i]G代表基点G的m_i倍点。

在完成对混淆因子集合{U_i}的计算之后，Bob将混淆因子集合{U_i}的结果发给Alice。

S23、Alice收到混淆因子集合{U_i}之后，选择1个比特长度为l的随机数a∈{0,1}^l，计算以下随机参数：

选择l个随机数x₁,x₂,…,x_l，根据第一私钥分量D_A，来计算得到第一集合{<s_j,s′_j>}，j∈{1,2,…,l}，其中第j个元素<s_j,s′_j>的计算公式为：

根据随机参数V_aP和混淆因子集合{U_i}，对第一集合{<s_j,s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j,X′_j>}，j∈{1,2,…,l}。

本发明根据加密结果集合的加密计算方法的区别，提出三种不同的实施例。

在第一实施例中，加密结果集合{<X_j,X′_j>}，j∈{1,2,…,l}，其中第j个元素<X_j,X′_j>的计算公式：

其中，运算符“||”代表将其两边的操作数执行比特串接的运算；U_j是混淆因子集合{U_i}的第j个元素，是一个椭圆曲线E上的群元素；[a]U_j代表以标量a作为输入与群元素U_j执行椭圆曲线点乘运算的计算结果。

labelA和labelB是固定的标签参数，在本实施例中，labelA＝′D_A′，labelB＝′D_B′。

{(x,y)|[a]U_j}代表将点乘计算结果[a]U_j的横坐标x和纵坐标y按照预先定义的方式进行处理。在本实施例中，预先定义的方式为将比特串进行串接。

H_v(*)代表使用预先规定的密码杂凑函数H来对输入数据进行处理并获得杂凑值，保证了本发明算法的安全性。可选的，密码杂凑函数H_v采用的SM3密码杂凑算法。更进一步的，密码杂凑算法采用的相关标准为GB/T32905-2016《信息安全技术SM3密码杂凑算法》。

在第二实施例中，加密结果集合{<X_j,X′_j>}，j∈{1,2,…,l}，其中第j个元素<X_j,X′_j>的计算公式：

其中，U_j是混淆因子集合{U_i}的第j个元素，是一个椭圆曲线E上的群元素；[a]U_j代表以标量a作为输入与群元素U_j执行椭圆曲线点乘运算的计算结果。

{(x,y)|[a]U_j}代表将点乘计算结果[a]U_j的横坐标x和纵坐标y按照预先定义的方式进行处理。在本实施例中，预先定义的方式为将比特串进行串接。

H_v(*)代表使用预先规定的密码杂凑函数H_v来对输入数据进行处理并获得杂凑值，可选的，密码杂凑函数H_v采用的SM3密码杂凑算法。更进一步的，密码杂凑算法采用的相关标准为GB/T 32905-2016《信息安全技术SM3密码杂凑算法》。

在第三实施例中，加密结果集合{<X_j,X′_j>}，j∈{1,2,…,l}，其中第j个元素<X_j,X′_j>的计算公式：

其中，{(x,y)|[a]U_j}代表将点乘计算结果[a]U_j的横坐标x和纵坐标y按照预先定义的方式进行处理。在本实施例中，预先定义的方式为将比特串进行串接。

KDF(*)代表使用预先规定的密钥派生函数，klen表述输出的比特串长度。密钥派生函数的作用是对输入数据进行处理并获得密钥数据。可选的，密钥派生函数采用的相关标准为GB/T 32918.4-2016《信息安全技术SM2椭圆曲线公钥密码算法第4部分：公钥加密算法》。

Alice计算得到第一私钥变换分量D₁：

在完成计算之后，Alice将随机参数V_a和加密结果集合{<X_j,X′_j>}发送给Bob。

在一实施例中，第一私钥变换分量D₁设为固定值，l个随机数x₁,x₂,…,x_l求和得到的值为固定值，从而简化Alice作为服务器端的实现。对于每一个用户Bob，在执行乘法-加法变换的OT协议过程中，服务端Alice都选择一组不同的随机数x_i，i∈{1,2,…,l}，但是x_i的求和总是和固定值D₁相等。这一方案的优点是作为服务端的Alice仅需要存储1个加法第一私钥变换分量D₁，就可以为海量的移动终端Bob提供协同签名服务。为了确保安全性，服务端需要将第一私钥变换分量D₁存储在HSM内部以保证私钥变换分量的私密性。

S24、Bob在收到随机参数V_a和加密结果集合{<X_j,X′_j>}之后，根据收到的结果来计算分享参数集合{t_i}，所述分享参数集合{t_i}中每一个元素t_i与第二私钥分量D_B中的1个比特相对应。

对应于加密结果集合的三个实施例，在第一实施例中，分享参数集合{t_i}计算规则如下：

S2411第二通信方从第二私钥分量D_B中提取每一个比特b_i∈{0,1}，i∈{1,2,…,l}；

S2412第二通信方根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：

若b_i＝0，计算

若b_i＝1，计算

在第二实施例中，分享参数集合{t_i}计算规则如下：

步骤S2421、Bob从第二私钥分量D_B中提取每一个比特b_i∈{0,1}，i∈{1,2,…,l}；

步骤S2422、Bob根据比特b_i的值来决定计算分享参数集合{t_i}中第i个元素t_i的公式：

若b_i＝0，计算：

若b_i＝1，计算：

在第三实施例中，分享参数集合{t_i}计算规则如下：

S2431第二通信方从第二私钥分量D_B中提取每一个比特b_i∈{0,1}，i∈{1,2,…,l}；

S2432第二通信方根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：

若b_i＝0，计算：

若b_i＝1，计算：

Bob在计算出分享参数集合{t_i}之后，计算得到第二私钥变换分量D₂：

在执行上述分布式计算协议之后，Alice获得第一私钥变换分量D₁，Bob获得第二私钥变换分量D₂，它们满足如下数学关系：D₁+D₂＝D_A·D_Bmod n。

通过基于ECC的茫然传输协议来执行私钥变换操作，可以在协同签名方案中采用SM2标准算法实现全部私钥变换过程，而不需要引入其他类型的半同态加密算法，有利于产品标准化，满足合规性。

同时，基于ECC的茫然传输协议的效率较高，相比逐比特传输可以减少大量运算步骤。对于双方传输256比特的秘密，与本发明的技术方案相比较，现有技术的茫然传输协议将需要执行更多的ECC点乘运算，同时需要传输更多的中间计算结果。

步骤S3、两方协同生成数字签名。

Alice和Bob，采用第一私钥变换分量D₁和第二私钥变换分量D₂，基于SM2算法协同签名协议，交换中间结果和/或椭圆曲线群元素，协同生成数字签名。根据交换中间结果和/或椭圆曲线群元素的不同，本发明提出了以下三种协同签名方案。

第一种协同签名方案的具体实施步骤如下所示：

在生成数字签名之前，根据用户A的可辨别标识ID_A计算出杂凑值Z_A，并获取待签名原文M作为输入。

在本实施例中，按照GB/T 32918标准的规定计算杂凑值。作为签名者的用户A具有长度为entlen_A比特的可辨别标识ID_A，记ENTL_A是由整数entlen_A转换而成的两个字节，使用密码杂凑函数H_v求得用户A的杂凑值Z_A＝H₂₅₆(ENTL_A||ID_A||a||b||x_G||y_G||x_A||y_A)，其中椭圆曲线方程参数a、b、G的坐标x_G、y_G、和公钥P_A的坐标x_A、y_A，在本实施例中，消息摘要长度为256比特。

Alice持有第一私钥变换分量D₁，Bob持有第二私钥变换分量D₂。

Alice与Bob协同执行如下协议，两方协同生成数字签名结果(r,s)。

S311、Alice选择第一随机数，第一随机数包括随机数k₁∈[1,…,n-1]，随机数k′₁∈[1,…,n-1]。

根据随机数k₁和第一私钥变换分量D₁，计算得到第一中间结果：

u＝D₁k₁。

根据随机数k₁、随机数k′₁和公钥P_pub，计算得到第一椭圆曲线群元素：

将第一椭圆曲线群元素R₁、R′₁和第一中间结果u发送给Bob。

S312、Bob接收第一椭圆曲线群元素R₁、R′₁和第一中间结果u。

Bob选择第二随机数，第二随机数包括随机数k₂∈[1,…,n-1]，随机数k′₂∈[1,…,n-1]，计算得到第二椭圆曲线群元素：

(x₁,y₁)＝[k₂]R₁+R′₁+[k′₂](P_pub+G)；

其中，x₁是第二椭圆曲线群元素(x₁,y₁)的x轴坐标。

Bob根据杂凑值Z_A和待签名原文M，计算得到消息摘要e。

Bob计算消息摘要e＝H(Z_A||M)，计算第二部分签名结果r＝e+x₁mod n。

更进一步的，判断第二部分签名r的值，如果r＝0，则返回步骤S1重新执行。

更进一步的，计算[r]G+(x₁,y₁)，检查判断计算结果与无穷远点O是否相等，如果相等则返回步骤S1重新执行。

上述验证步骤来对中间计算结果进行检查，提升安全性，如果不进行检查，则其后续步骤计算及传输的中间结果可能会泄漏私钥的部分信息。

Bob使用第二随机数k₂、k′₂、第二部分签名结果r和第二私钥变换分量D₂计算第二中间结果：

在完成计算之后，Bob将第二中间结果v₁和v₂，第二部分签名结果r发送给Alice。

S313、Alice接收第二中间结果v₁和v₂，第二部分签名结果r。

更进一步的，检查判断第二中间结果v₁和v₂的值，若检查发现v₁＝0或者v₂＝0，则返回步骤S1重新执行。

Alice使用第一随机数k₁、k′₁、第二部分签名结果r和第一私钥变换分量D₁，计算得到另一个部分签名结果，即第一部分签名结果s：

s＝r(D₁-1)+v₂+v₁k₁+k′₁。

更进一步的，计算r+s，判断计算结果是否满足(r+s)mod n＝0，如果满足条件则返回步骤S1重新执行。

上述验证步骤来对中间计算结果进行检查，提升安全性，如果不进行检查，则其后续步骤计算及传输的中间结果可能会泄漏私钥的部分信息。

Alice根据第一部分签名结果s和第二部分签名结果r，输出完整的数字签名结果(r,s)。

第二种协同签名方案与第一种协同签名方案的步骤相似，区别在于第一中间结果、第二中间结果、第一椭圆曲线群元素和第二椭圆曲线群元素的计算形式和具体值不同，第二种协同签名方案具体实施步骤如下所示：

在生成数字签名之前，根据用户A的可辨别标识ID_A计算出杂凑值Z_A，并获取待签名原文M作为输入。在本实施例中，按照GB/T 32918标准的规定计算杂凑值。

Alice持有第一私钥变换分量D₁，Bob持有第二私钥变换分量D₂。

Alice与Bob协同执行如下协议，生成数字签名结果(r,s)：

S321、Alice选择第一随机数，第一随机数包括随机数k₁∈[1,…,n-1]，随机数k′₁∈[1,…,n-1]。

根据随机数k₁和第一私钥变换分量D₁，计算得到第一中间结果：

u＝D₁+k₁。

根据随机数k₁、随机数k′₁和公钥P_pub，计算得到第一椭圆曲线群元素：

R₁＝[k₁+k′₁]G+[k′₁]P_pub。

将第一椭圆曲线群元素R₁和第一中间结果u发送给Bob。

S322、Bob接收第一椭圆曲线群元素R₁和第一中间结果u。

Bob选择第二随机数，第二随机数包括随机数k₂∈[1,…,n-1]，随机数k′₂∈[1,…,n-1]，计算得到第二椭圆曲线群元素：

(x₁,y₁)＝R₁+[k₂+k′₂]G+[k′₂]P_pub

其中，x₁是第二椭圆曲线群元素(x₁,y₁)的x轴坐标。

Bob根据杂凑值Z_A和待签名原文M，计算得到消息摘要e。

Bob计算消息摘要e＝H(Z_A||M)，计算第二部分签名结果r＝e+x₁mod n。

更进一步的，判断第二部分签名r的值，如果r＝0，则返回步骤S1重新执行。

更进一步的，计算[r]G+(x₁,y₁)，检查判断计算结果与无穷远点O是否相等，若相等则返回步骤S1重新执行。

Bob第二随机数k₂、k′₂、第二部分签名结果r和第二私钥变换分量D₂计算第二中间结果：

在完成计算之后，Bob将第二中间结果v₁和v₂，第二部分签名结果r发送给Alice。

S323、Alice接收第二中间结果v₁和v₂，第二部分签名结果r。

更进一步的，检查判断第二中间结果v₁和v₂的值，若检查发现v₁＝0或者v₂＝0，则返回步骤S1重新执行。

Alice使用第一随机数k₁、k′₁、第二部分签名结果r和第一私钥变换分量D₁，计算得到另一个部分签名结果，即第一部分签名结果s：

s＝r(D₁-1)+v₂+(D₁+v₁)k₁+k′₁

更进一步的，计算r+s，判断计算结果是否满足(r+s)mod n＝0，如果满足条件则返回步骤S1重新执行。

Alice根据第一部分签名结果s和第二部分签名结果r，输出完整的数字签名结果(r,s)。

第三种协同签名方案与第一种、第二种协同签名方案的区别在于，第三种协同签名方案的交换结果中不存在第一中间结果，第三种协同签名方案具体实施步骤如下所示：

在生成数字签名之前，根据用户A的可辨别标识ID_A计算出杂凑值Z_A，并获取待签名原文M作为输入。

在本实施例中，按照GB/T 32918标准的规定计算杂凑值。

Alice持有第一私钥变换分量D₁，Bob持有第二私钥变换分量D₂。

Alice与Bob协同执行如下协议，两方协同生成数字签名结果(r,s)。

S331、Alice选择第一随机数，第一随机数包括随机数k₁∈[1,…,n-1]。

根据第一随机数k₁和公钥P_pub，计算得到第一椭圆曲线群元素：

R₁＝[k₁](P_pub+G)。

然后将第一椭圆曲线群元素R₁发送给Bob。

S332、Bob接收第一椭圆曲线群元素R₁。

Bob选择第二随机数k₂∈[1,…,n-1]，计算得到第二椭圆曲线群元素：

(x₁,y₁)＝R₁+[k₂](P_pub+G)。

其中，x₁是第二椭圆曲线群元素(x₁,y₁)的x轴坐标。

Bob根据杂凑值Z_A和待签名原文M，计算得到消息摘要e。

Bob计算消息摘要e＝H(Z_A||M)，计算第二部分签名结果r＝e+x₁mod n。

更进一步的，判断第二部分签名r的值，如果r＝0，则返回步骤S1重新执行。

更进一步的，计算[r]G+(x₁,y₁)，然后检查计算结果与无穷远点O是否相等，如果相等则返回步骤S1重新执行。

Bob使用第二随机数k₂、第二部分签名结果r和第二私钥变换分量D₂计算第二中间结果：u＝rD₂+k₂。

在完成计算之后，Bob将第二中间结果u和第二部分签名结果r发送给Alice。

S333、Alice接收第二中间结果u和第二部分签名结果r。

更进一步的，检查判断第二中间结果u的值，若检查发现u＝0，则返回步骤S1重新执行。

Alice使用第一随机数k₁、第二部分签名结果r和第一私钥变换分量D₁，计算得到另一个部分签名结果，即第一部分签名结果s：

s＝u+r(D₁-1)+k₁。

更进一步的，计算r+s，判断计算结果是否满足(r+s)mod n＝0，如果满足条件则返回步骤S1重新执行。

Alice根据第一部分签名结果s和第二部分签名结果r，输出完整的数字签名结果(r,s)。

必须指出，在上述基于SM2算法的协同签名方法中，Alice和Bob可以代表客户端、服务端其中一个角色，如果Alice是客户端则Bob是服务端。一般地，优先选择服务端执行Bob的步骤，因为客户端执行Alice的步骤，则客户端计算明文摘要和输出签名结果，这样有利于保护用户隐私。

本发明的基于SM2算法的协同签名方案，结合移动端的特点，利用移动设备(客户端)和云端密码服务(服务端)共同产生SM2密钥，并将密钥分割为两部分(私钥分量)，分别由移动设备端和云端密码服务器各自保存，由移动设备和云端共同完成数字签名，保证了签名过程密钥不被泄露，并能有效的保护移动设备端的密钥安全性。协同签名过程中不使用原始的乘法分享的私钥分量，通信双方均无法获取到对方私钥的任何信息，因此攻击者在入侵其中任何一方的情况下，都不能伪造签名或解密密文。

本发明还提供了一种可以实现上述基于SM2算法的协同签名方法的协同签名装置。图2揭示了根据本发明一实施例的协同签名装置的结构示意图，如图2所示，该协同签名装置包括第一通信方100和第二通信方200：

所述第一通信方100包括第一密钥生成单元101、第一密钥变换单元102和第一协同签名单元103；所述第二通信方200包括第二密钥生成单元201、第二密钥变换单元202和第二协同签名单元203。

第一密钥生成单元101，与第一密钥变换单元102连接，生成乘法分享的第一私钥分量D_A，并发送给第一密钥变换单元102，与第二密钥生成单元201连接。

第二密钥生成单元201，与第二密钥变换单元202连接，生成乘法分享的第二私钥分量D_B，并发送给第二密钥变换单元202，第一密钥生成单元101和第二密钥生成单元201，基于SM2算法的安全计算协议共同计算得到公钥P_pub。

所述第一密钥变换单元102和第二密钥变换单元202，进行中间数据交换，将乘法分享的第一私钥分量D_A和第二私钥分量D_B，变换为加法分享的第一私钥变换分量D₁和第二私钥变换分量D₂，满足如下变换关系，D₁+D₂＝D_A·D_Bmod n，n为素数，是椭圆曲线E的基点G的阶。

所述第一协同签名单元103，与第一密钥变换单元102、第二协同签名单元203连接，接收第一密钥变换单元102的第一私钥变换分量D₁；所述第二协同签名单元203，与第二密钥变换单元202连接，接收第二密钥变换单元202的第二私钥变换分量D₂。第一协同签名单元103和第二协同签名单元203，基于SM2算法的协同签名协议，交换中间结果和/或椭圆曲线群元素，协同生成数字签名。

更进一步的，所述第一密钥变换单元102和第二密钥变换单元202，采用基于茫然传输协议实现私钥分量变换，具体通过以下方法实现：

第一通信方100和第二通信方200在椭圆曲线E上随机选取一个群元素P作为公共参数。

第一密钥变换单元102，接收第二密钥变换单元202发送的混淆因子集合{U_i}，根据随机参数V_aP和混淆因子集合{U_i}，对随机数x_i，i∈{1,2,…,l}与第一私钥分量D_A形成的第一集合{<s_j,s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j,X′_j>}，j∈{1,2,…,l}，向第二密钥变换单元202发送随机参数V_a和加密结果集合{<X_j,X′_j>}。

第一密钥变换单元102，计算得到第一私钥变换分量D₁：

x_i为随机选择的l个随机数。

第二密钥变换单元202，根据第一密钥变换单元102发送的随机参数V_a和加密结果集合{<X_j,X′_j>}，计算分享参数集合{t_i}，计算得到第二私钥变换分量D₂：

所述分享参数集合{t_i}中每一个元素t_i与第二私钥分量D_B中的1个比特相对应。

其中，混淆因子集合{U_i}，由第二密钥变换单元202通过步骤S2中的方式获得；随机参数V_a、V_aP、第一集合{<s_j,s′_j>}，由第一密钥变化单元102通过步骤S22中的方式获得。

更进一步的，所述第一密钥变换单元102，对第一集合{<s_j,s′_j>}的每一个元素进行加密计算，加密计算公式通过上述步骤S23中的方式获得。

更进一步的，所述分享参数集合{t_i}的计算公式，由第二密钥变换单元通过上述步骤S24中的方式获得。

以下通过两个实施例对第一协同签名单元103与第二协同签名单元203的协同签名过程进行详细说明。

在第一实施例中，所述第一协同签名单元103，选择第一随机数，将计算获得的第一中间结果和第一椭圆曲线群元素发送给第二协同签名单元203。

所述第二协同签名单元203，接收第一中间结果和第一椭圆曲线群元素，选择第二随机数，将计算获得的第二中间结果和第二部分签名结果r发送给第一协同签名单元103。

第一协同签名单元103，接收第二中间结果和第二部分签名结果r，计算得到第一部分签名结果s，输出完整的数字签名结果(r,s)；

其中，第一中间结果由第一协同签名单元103根据第一随机数和第一私钥变换分量D₁计算得到；第一椭圆曲线群元素由第一协同签名单元103第一随机数和公钥P_pub计算得到。

第二部分签名结果r由第二协同签名单元203通过上述步骤S3中的方式获得；第二中间结果由第二协同签名单元203根据第一中间结果、第二随机数，第二部分签名结果r和第二私钥变换分量D₂计算得到。

第一部分签名结果s由第一协同签名单元103根据第一随机数、第二中间结果、第二部分签名结果r和第一私钥变换分量D₁计算得到。

在第二实施例中，第一协同签名单元103和第二协同签名单元203的协同签名流程与第一实施例中相同，区别在于具体算法不同，在第二实施例中，第一协同签名单元103不产生第一中间结果，第一协同签名单元103和第二协同签名单元203之间的交换中没有第一中间结果参与。

基于同样的理由，较佳的，第一通信方100是客户端，第二通信方200是服务器，则客户端计算明文摘要和输出签名结果，这样有利于保护用户隐私。

如果系统仅需支持协同签名操作，不需要支持协同解密操作，则在获得第一私钥变换分量D₁和第二私钥变换分量D₂之后，第一通信方100可以销毁第一私钥分量D_A并仅存储第一私钥变换分量D₁，第二通信方200可以销毁第二私钥分量D_B并仅存储第二私钥变换分量D₂，进一步保证原始乘法分享的私钥分量D_A、D_B的安全性。

如果系统需要同时支持协同签名、协同解密操作，则第一通信方100需要同时存储私钥分量D₁和D_A，第二通信方200需要同时存储私钥分量D₂和D_B。

图3揭示了根据本发明一实施例的协同签名系统的框图。协同签名系统可包括内部通信总线301、处理器(processor)302、只读存储器(ROM)303、随机存取存储器(RAM)304、通信端口305、输入/输出端306以及硬盘307。内部通信总线301可以实现协同签名系统组件间的数据通信。处理器302可以进行判断和发出提示。在一些实施例中，处理器302可以由一个或多个处理器组成。

通信端口305可以实现协同签名系统与外部的输入/输出设备之间进行数据传输与通信。在一些实施例中，协同签名系统可以通过通信端口305从网络发送和接收信息及数据。在一些实施例中，协同签名系统可以通过输入/输出端306以有线的形式与外部的输入/输出设备之间进行数据传输与通信。在一些实施例中，输入端为虚拟键盘，在签名过程中供用户在移动终端输入验证信息，验证信息可以是PIN码。

协同签名系统还可以包括不同形式的程序储存单元以及数据储存单元，例如硬盘307，只读存储器(ROM)303和随机存取存储器(RAM)304，能够存储计算机处理和/或通信使用的各种数据文件，以及处理器302所执行的可能的程序指令。处理器302执行这些指令以实现方法的主要部分。处理器302处理的结果通过通信端口305传给外部的输出设备，在输出设备的用户界面上显示。

举例来说，上述的协同签名方法的实施过程文件可以为计算机程序，保存在硬盘307中，并可记载到处理器302中执行，以实施本申请的方法。

需要指出的是，术语“计算机”应该做广义的理解，可以包括但不限于云计算服务器，智能移动终端，物联网设备，计算机电脑等。对于移动端，私钥分量/私钥变换分量可以储存在本地介质中，对于服务端，私钥分量/私钥变换分量可以选择储存在数据库、HSM内部。

协同签名方法的实施过程文件为计算机程序时，也可以存储在计算机或移动设备的可读存储介质中作为制品。例如，计算机可读存储介质可以包括但不限于磁存储设备(例如，硬盘、软盘、磁条)、光盘(例如，压缩盘(CD)、数字多功能盘(DVD))、智能卡和闪存设备(例如，电可擦除可编程只读存储器(EPROM)、卡、棒、键驱动)。此外，本文描述的各种存储介质能代表用于存储信息的一个或多个设备和/或其它机器可读介质。术语“机器可读介质”可以包括但不限于能存储、包含和/或承载代码和/或指令和/或数据的无线信道和各种其它介质(和/或存储介质)。

本发明提供的一种SM2算法的协同签名方法及装置、系统、介质，实现两个参与方之间协同完成数字签名，该签名必须由两方共同参与，并且原始的私钥分量不参与签名过程，在签名过程中不会恢复完整的签名密钥，既保证签名的正确性，又能保证签名密钥的安全性。本发明具体具有以下技术效果：

1)在执行生成乘法私钥分量并推导出共同公钥之后，可以将公钥发给CA机构，因此CA签发数字证书的过程与私钥变换的过程可以并行完成，减少总体运行时间；

2)通过基于ECC的茫然传输协议来执行私钥变换操作，这样可以在协同签名方案中采用SM2标准算法实现全部过程，而不需要引入其他类型的半同态加密算法，有利于产品标准化，满足合规性；

3)茫然传输协议的效率较高，相比逐比特传输可以减少大量运算步骤。

尽管为使解释简单化将上述方法图示并描述为一系列动作，但是应理解并领会，这些方法不受动作的次序所限，因为根据一个或多个实施例，一些动作可按不同次序发生和/或与来自本文中图示和描述或本文中未图示和描述但本领域技术人员可以理解的其他动作并发地发生。如本申请和权利要求书中所示，除非上下文明确提示例外情形，“一”、“一个”、“一种”和/或“该”等词并非特指单数，也可包括复数。一般说来，术语“包括”与“包含”仅提示包括已明确标识的步骤和元素，而这些步骤和元素不构成一个排它性的罗列，方法或者设备也可能包含其他的步骤或元素。

上述实施例是提供给熟悉本领域内的人员来实现或使用本发明的，熟悉本领域的人员可在不脱离本发明的发明思想的情况下，对上述实施例做出种种修改或变化，因而本发明的保护范围并不被上述实施例所限，而应该是符合权利要求书提到的创新性特征的最大范围。

Claims (40)

1.一种基于SM2算法的协同签名方法，其特征在于，包括以下步骤：

S1第一通信方和第二通信方分别生成第一私钥分量D_A和第二私钥分量D_B，执行基于SM2算法的安全计算协议，得到双方共同的公钥P_pub，其中，第一私钥分量D_A和第二私钥分量D_B为乘法分享的私钥分量；

S2第一通信方和第二通信方的第一私钥分量D_A和第二私钥分量D_B进行加法分享变换，获得第一私钥变换分量D₁和第二私钥变换分量D₂，满足如下变换关系，D₁+D₂＝D_A·D_Bmod n，n为素数，是椭圆曲线E的基点G的阶，

其中，第一私钥变换分量D₁和第二私钥变换分量D₂为加法分享的私钥分量，用于执行后续的协同签名操作；

S3第一通信方和第二通信方，采用第一私钥变换分量D₁和第二私钥变换分量D₂，基于SM2算法协同签名协议，交换中间结果和/或椭圆曲线群元素，协同生成数字签名。

2.根据权利要求1所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S1中，基于SM2算法的安全计算协议，进一步包括以下步骤：

S111第一通信方选择一个随机数D_A∈[1，…，n-1]，作为第一私钥分量D_A；

S112第二通信方选择一个随机数D_B∈[1，…，n-1]，作为第二私钥分量D_B；

S113第一通信方根据第一私钥分量D_A，计算第一公钥参数P₁，并将第一公钥参数P₁发送给第二通信方，其中

S114第二通信方根据接收的第一公钥参数P₁和第二私钥分量D_B，生成双方共同的公钥P_pub，其中

3.根据权利要求1所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S1中，得到双方共同的公钥P_pub之后，进一步包括以下步骤：

验证公钥P_pub是否有效。

4.根据权利要求1所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S1中，得到双方共同的公钥P_pub之后，进一步包括以下步骤：

将生成的公钥P_pub发送公开。

5.根据权利要求1所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S1中，基于SM2算法的安全计算协议，进一步包括以下步骤：

S121第一通信方选择一个随机数D_A∈[1，…，n-1]，作为第一私钥分量D_A；

S122第二通信方选择一个随机数D_B∈[1，…，n-1]，作为第二私钥分量D_B；

S123第一通信方根据第一私钥分量D_A，计算第一公钥参数P₁，并将第一公钥参数P₁发送给第二通信方，其中

S124第二通信方根据第二私钥分量D_B，计算第二公钥参数P₂，并将第二公钥参数P₂发送给第一通信方，其中

S125第一通信方和第二通信方分别独立计算得到公钥P_pub，并发送公开公钥。

6.根据权利要求1所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S2中，私钥分量进行加法分享变换，采用基于茫然传输协议的私钥分量变换协议实现，进一步包括以下步骤：

S21第一通信方和第二通信方在椭圆曲线E上随机选取一个群元素P作为公共参数；

S22第二通信方基于SM2算法计算得到混淆因子集合{U_i}＝{U₁，U₂，...，U_l}，所述混淆因子集合{U_i}中每一个元素U_i与第二私钥分量D_B中的1个比特相对应；

第二通信方将混淆因子集合的计算结果{U_i}发给第一通信方；

S23第一通信方接收混淆因子集合{U_i}；

选择l个随机数x₁，x₂，...，x_l，根据随机参数V_aP和混淆因子集合{U_i}，对随机数x_i，i∈{1，2，…，l}与第一私钥分量D_A形成的第一集合{<s_j，s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j，X′_j>}，j∈{1，2，…，l}；

第一通信方计算得到第一私钥变换分量D₁：

第一通信方将随机参数V_a和加密结果集合{<X_j，X′_j>}发送给第二通信方；

S24第二通信方接收随机参数V_a和加密结果集合{<X_j，X′_j>}；

根据随机参数V_a和加密结果集合{<X_j，X′_j>}，计算分享参数集合{t_i}，所述分享参数集合{t_i}中每一个元素t_i与第二私钥分量D_B中的1个比特相对应；

计算得到第二私钥变换分量D₂：

第一私钥变换分量D₁和第二私钥变换分量D₂，满足如下变换关系，D₁+D₂＝D_A·D_Bmod n。

7.根据权利要求6所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S21中，第一通信方和第二通信方通过密钥协商算法，协商选取公共参数。

8.根据权利要求6所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S22中，混淆因子集合{U_i}的计算方法，进一步包括以下步骤：

S221选择l个随机数m₁，m₂，...，m_i，...m_l，l为第二私钥分量D_B的比特长度；

S222第二通信方从第二私钥分量D_B中提取每一个比特b_i∈{0，1}，i∈{1，2，…，l}；

S223第二通信方根据比特b_i的值来决定计算U_i的计算公式：

若b_i＝0，计算U_i＝[m_i]G；

若b_i＝1，计算U_i＝P-[m_i]G；

其中，G是椭圆曲线E的基点，P是协商选取的公共参数，[m_i]G代表基点G的m_i倍点。

9.根据权利要求6所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S23中，随机参数V_a、V_aP和第一集合{<s_j，s′_j>}通过以下步骤获得：

根据第一私钥分量D_A，计算得到第一集合{<s_j，s′_j>}，j∈{1，2，…，l}，其中第j个元素<s_j，s′_j>的计算公式为：

选取1个比特长度为l的随机数a∈{0，1}^l，计算随机参数V_a和V_aP，其中随机参数V_a和V_aP的计算公式为：

10.根据权利要求9所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S23中，第一集合{<s_j，s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j，X′_j>}，第j个元素<X_j，X′_j>的计算公式：

11.根据权利要求10所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S24中，分享参数集合{t_i}的计算方法，进一步包括以下步骤：

S2411第二通信方从第二私钥分量D_B中提取每一个比特b_i∈{0，1}，i∈{1，2，…，l}；

S2412第二通信方根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：

若b_i＝0，计算

若b_i＝1，计算

12.根据权利要求9所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S23中，第一集合{<s_j，s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j，X′_j>}，第j个元素<X_j，X′_j>的计算公式：

13.根据权利要求12所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S24中，分享参数集合{t_i}的计算方法，进一步包括以下步骤：

S2421第二通信方从第二私钥分量D_B中提取每一个比特b_i∈{0，1}，i∈{1，2，…，l}；

S2422第二通信方根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：

若b_i＝0，计算

若b_i＝1，计算

14.根据权利要求9所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S23中，第一集合{<s_j，s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j，X′_j>}，第j个元素<X_j，X′_j>的计算公式：

15.根据权利要求14所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S24中，分享参数集合{t_i}的计算方法，进一步包括以下步骤：

S2431第二通信方从第二私钥分量D_B中提取每一个比特b_i∈{0，1}，i∈{1，2，…，l}；

S2432第二通信方根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：

若b_i＝0，计算：

若b_i＝1，计算：

16.根据权利要求6所述的基于SM2算法的协同签名方法，其特征在于，所述第一私钥变换分量D₁设为固定值。

17.根据权利要求1所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S3中，基于SM2算法协同签名协议，交换中间结果和/或椭圆曲线群元素，进一步包括以下步骤：

S31第一通信方选择第一随机数；

根据第一随机数和第一私钥变换分量D₁，计算得到第一中间结果；

根据第一随机数和公钥P_pub，计算得到第一椭圆曲线群元素；

将第一中间结果和第一椭圆曲线群元素发送给第二通信方；

S32第二通信方接收第一中间结果和第一椭圆曲线群元素；

选择第二随机数；

根据第二随机数、第一椭圆曲线群元素和公钥P_pub，计算得到第二椭圆曲线群元素(x₁，y₁)，其中x₁是第二椭圆曲线群元素(x₁，y₁)的x轴坐标；

根据消息摘要e和第二椭圆曲线群元素(x₁，y₁)，计算得到第二部分签名结果r；

根据第一中间结果、第二随机数，第二部分签名结果r和第二私钥变换分量D₂，计算得到第二中间结果；

将第二中间结果和第二部分签名结果r发送给第一通信方；

S33第一通信方接收第二中间结果和第二部分签名结果r；

根据第一随机数、第二中间结果、第二部分签名结果r和第一私钥变换分量D₁，计算得到第一部分签名结果s；

根据第一部分签名结果s和第二部分签名结果r，输出完整的数字签名结果(r，s)。

18.根据权利要求17所述的基于SM2算法的协同签名方法，其特征在于：

步骤S31中，所述第一随机数包括随机数k₁∈[1，…，n-1]，随机数k′₁∈[1，…，n-1]；

所述第一中间结果u＝D₁k₁；

所述第一椭圆曲线群元素包括R₁和R′₁，

步骤S32中，所述第二随机数包括随机数k₂∈[1，…，n-1]，随机数k′₂∈[1，…，n-1]；

所述第二椭圆曲线群元素(x₁，y₁)＝[k₂]R₁+R′₁+[k′₂](P_pub+G)；

所述消息摘要e＝H_v(Z_A||M)，其中Z_A为基于SM2算法根据用户的可辨别标识计算出的杂凑值，M为待签名原文；

所述第二部分签名结果r＝e+x₁mod n；

所述第二中间结果包括v₁和v₂，

步骤S33中，所述第一部分签名结果s＝r(D₁-1)+v₂+v₁k₁+k′₁。

19.根据权利要求17所述的基于SM2算法的协同签名方法，其特征在于：

步骤S31中，所述第一随机数包括随机数k₁∈[1，…，n-1]，随机数k′₁∈[1，…，n-1]；

所述第一中间结果u＝D₁+k₁；

所述第一椭圆曲线群元素包括R₁＝[k₁+k′₁]G+[k′₁]P_pub；

步骤S32中，所述第二随机数包括随机数k₂∈[1，…，n-1]，随机数k′₂∈[1，…，n-1]；

所述第二椭圆曲线群元素(x₁，y₁)＝R₁+[k₂+k′₂]G+[k′₂]P_pub；

所述消息摘要e＝H_v(Z_A||M)，其中Z_A为基于SM2算法根据用户的可辨别标识计算出的杂凑值，M为待签名原文；

所述第二部分签名结果r＝e+x₁mod n；

所述第二中间结果包括v₁和v₂，

步骤S33中，所述第一部分签名结果s＝r(D₁-1)+v₂+(D₁+v₁)k₁+k′₁。

20.根据权利要求1所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S3中，基于SM2算法协同签名协议，交换中间结果和/或椭圆曲线群元素，进一步包括以下步骤：

S31第一通信方选择第一随机数；

根据第一随机数和公钥P_pub，计算得到第一椭圆曲线群元素；

将第一椭圆曲线群元素发送给第二通信方；

S32第二通信方接收第一椭圆曲线群元素；

选择第二随机数；

根据第二随机数、第一椭圆曲线群元素和公钥P_pub，计算得到第二椭圆曲线群元素(x₁，y₁)，其中x₁是第二椭圆曲线群元素(x₁，y₁)的x轴坐标；

根据消息摘要e和第二椭圆曲线群元素(x₁，y₁)，计算得到第二部分签名结果r；

根据第二随机数，第二部分签名结果r和第二私钥变换分量D₂，计算得到第二中间结果；

将第二中间结果和第二部分签名结果r发送给第一通信方；

S33第一通信方接收第二中间结果和第二部分签名结果r；

根据第一随机数、第二中间结果、第二部分签名结果r和第一私钥变换分量D₁，计算第一部分签名结果s；

结合第一部分签名结果s和第二部分签名结果r，输出完整的数字签名结果(r，s)。

21.根据权利要求20所述的基于SM2算法的协同签名方法，其特征在于：

步骤S31中，所述第一随机数包括随机数k₁∈[1，…，n-1]；

所述第一椭圆曲线群元素包括R₁＝[k₁](P_pub+G)；

步骤S32中，所述第二随机数包括随机数k₂∈[1，…，n-1]；

所述第二椭圆曲线群元素(x₁，y₁)＝R₁+[k₂](P_pub+G)；

所述消息摘要e＝H_v(Z_A||M)，其中Z_A为基于SM2算法根据用户的可辨别标识计算出的杂凑值，M为待签名原文；

所述第二部分签名结果r＝e+x₁mod n；

所述第二中间结果包括u＝rD₂+k₂；

步骤S33中，所述第一部分签名结果s＝u+r(D₁-1)+k₁。

22.根据权利要求17或权利要求20所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S32中，第二通信方计算得到第二部分签名结果r之后，还包括以下步骤：

判断第二部分签名r的值，如果r＝0，则返回步骤S1重新执行。

23.根据权利要求17或权利要求20所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S32中，第二通信方计算得到第二部分签名结果r之后，还包括以下步骤：

计算[r]G+(x₁，y₁)，判断计算结果与无穷远点O是否相等，如果相等则返回步骤S1重新执行。

24.根据权利要求17或权利要求20所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S33中，第一通信方接收第二中间结果之后，还包括以下步骤：

判断第二中间结果的值，如果第二中间结果值为0，则返回步骤S1重新执行。

25.根据权利要求17或权利要求20所述的基于SM2算法的协同签名方法，其特征在于，所述步骤S33中，第一通信方计算得到第一部分签名结果s之后，还包括以下步骤：

计算r+s，判断计算结果是否满足(r+s)mod n＝0，如果满足条件则返回步骤S1重新执行。

26.一种基于SM2算法的协同签名装置，其特征在于，包括第一通信方和第二通信方：

所述第一通信方包括第一密钥生成单元、第一密钥变换单元和第一协同签名单元；

所述第二通信方包括第二密钥生成单元、第二密钥变换单元和第二协同签名单元：

所述第一密钥生成单元，生成乘法分享的第一私钥分量D_A，所述第二密钥生成单元，生成乘法分享的第二私钥分量D_B；

第一密钥生成单元和第二密钥生成单元，基于SM2算法的安全计算协议计算得到公钥P_pub；

所述第一密钥变换单元和第二密钥变换单元，将乘法分享的第一私钥分量D_A和第二私钥分量D_B，变换为加法分享的第一私钥变换分量D₁和第二私钥变换分量D₂，满足如下变换关系，D₁+D₂＝D_A·D_Bmod n，n为素数，是椭圆曲线E的基点G的阶；

所述第一协同签名单元，接收第一密钥变换单元的得到的第一私钥变换分量D₁，所述第二协同签名单元，接收第二密钥变换单元的得到的第二私钥变换分量D₂；

第一协同签名单元和第二协同签名单元，基于SM2算法的协同签名协议，交换中间结果和/或椭圆曲线群元素，协同生成数字签名。

27.根据权利要求26所述的基于SM2算法的协同签名装置，其特征在于，所述第一密钥变换单元和第二密钥变换单元，采用基于茫然传输协议实现私钥分量变换；

第一通信方和第二通信方在椭圆曲线E上随机选取一个群元素P作为公共参数；

所述第一密钥变换单元，接收第二密钥变换单元发送的混淆因子集合{U_i}，

所述第一密钥变换单元，随机选择l个随机数x_i，i∈{1，2，…，l}，计算得到第一私钥变换分量D₁：

所述第一密钥变换单元，根据随机参数V_aP和混淆因子集合{U_i}，对随机数x_i，i∈{1，2，…，l}与第一私钥分量D_A形成的第一集合{<s_j，s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j，X′_j>}，j∈{1，2，…，l}，向第二密钥变换单元发送随机参数V_a和加密结果集合{<X_j，X′_j>}；

所述第二密钥变换单元，基于SM2算法计算得到混淆因子集合{U_i}＝{U₁，U₂，...，U_l}，向第一密钥单元发送混淆因子集合{U_i}，所述混淆因子集合{U_i}中每一个元素U_i与第二私钥分量D_B中的1个比特相对应；

所述第二密钥变换单元，根据随机参数V_a和加密结果集合{<X_j，X′_j>}，计算分享参数集合{t_i}，计算得到第二私钥变换分量D₂：

所述分享参数集合{t_i}中每一个元素t_i与第二私钥分量D_B中的1个比特相对应。

28.根据权利要求27所述的基于SM2算法的协同签名装置，其特征在于，所述混淆因子集合{U_i}，由第二密钥变换单元通过以下方式获得：

选择l个随机数m₁，m₂，...，m_i，...m_l，l为第二私钥分量D_B的比特长度；

从第二私钥分量D_B中提取每一个比特b_i∈{0，1}，i∈{1，2，…，l}；

根据比特b_i的值来决定计算U_i的计算公式：

若b_i＝0，计算U_i＝[m_i]G；

若b_i＝1，计算U_i＝P-[m_i]G；

其中，G是椭圆曲线E的基点，P是协商选取的公共参数，[m_i]G代表基点G的m_i倍点。

29.根据权利要求27所述的基于SM2算法的协同解密装置，其特征在于，所述随机参数V_a、V_aP和第一集合{<s_j，s′_j>}，由第一密钥变换单元通过以下方式获得，

选择l个随机数x₁，x₂，...，x_l，根据第一私钥分量D_A，计算得到第一集合{<s_j，s′_j>}，j∈{1，2，…，l}，其中第j个元素<s_j，s′_j>的计算公式为：

选取1个比特长度为l的随机数a∈{0，1}^l，计算随机参数V_a和V_aP，其中随机参数V_a和V_aP的计算公式为：

30.根据权利要求29所述的基于SM2算法的协同签名装置，其特征在于，所述第一密钥变换单元，对第一集合{<s_j，s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j，X′_j>}，第j个元素<X_j，X′_j>的计算公式为：

31.根据权利要求30所述的基于SM2算法的协同签名装置，其特征在于，所述分享参数集合{t_i}，由第二密钥变换单元通过以下方式获得：

从第二私钥分量D_B中提取每一个比特b_i∈{0，1}，i∈{1，2，…，l}；

根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：

若b_i＝0，计算

若b_i＝1，计算

32.根据权利要求29所述的基于SM2算法的协同签名装置，其特征在于，所述第一密钥变换单元，对第一集合{<s_j，s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j，X′_j>}，第j个元素<X_j，X′_j>的计算公式为：

33.根据权利要求32所述的基于SM2算法的协同签名装置，其特征在于，所述分享参数集合{t_i}，由第二密钥变换单元通过以下方式获得：

从第二私钥分量D_B中提取每一个比特b_i∈{0，1}，i∈{1，2，…，l}；

根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：

若b_i＝0，计算

若b_i＝1，计算

34.根据权利要求29所述的基于SM2算法的协同签名装置，其特征在于，所述第一密钥变换单元，对第一集合{<s_j，s′_j>}的每一个元素分别加密计算，得到加密结果集合{<X_j，X′_j>}，第j个元素<X_j，X′_j>的计算公式为：

35.根据权利要求34所述的基于SM2算法的协同签名装置，其特征在于，所述分享参数集合{t_i}，由第二密钥变换单元通过以下方式获得：

从第二私钥分量D_B中提取每一个比特b_i∈{0，1}，i∈{1，2，…，l}；

根据比特b_i的值来决定计算分享参数集合{t_i}的计算公式：

若b_i＝0，计算：

若b_i＝1，计算：

36.根据权利要求26所述的基于SM2算法的协同签名装置，其特征在于：

所述第一协同签名单元，选择第一随机数，将计算获得的第一中间结果和第一椭圆曲线群元素发送给第二协同签名单元；

所述第二协同签名单元，接收第一中间结果和第一椭圆曲线群元素，选择第二随机数，将计算获得的第二中间结果和第二部分签名结果r发送给第一协同签名单元；

第一协同签名单元，接收第二中间结果和第二部分签名结果r，计算得到第一部分签名结果s，输出完整的数字签名结果(r，s)；

其中，第一中间结果由第一协同签名单元并根据第一随机数和第一私钥变换分量D₁计算得到；第一椭圆曲线群元素由第一协同签名单元根据第一随机数和公钥P_pub计算得到；

第二部分签名结果r由第二协同签名单元通过以下方式获得：根据第二随机数、第一椭圆曲线群元素和公钥P_pub，计算得到第二椭圆曲线群元素(x₁，y₁)，其中x₁是第二椭圆曲线群元素(x₁，y₁)的x轴坐标；基于SM2算法，根据用户的可辨别标识计算出杂凑值Z_A，并获取待签名原文M作为输入，根据杂凑值Z_A和待签名原文M，计算得到消息摘要e；根据消息摘要e和第二椭圆曲线群元素(x₁，y₁)，计算得到第二部分签名结果r；

第二中间结果由第二协同签名单元根据第一中间结果、第二随机数，第二部分签名结果r和第二私钥变换分量D₂计算得到；

第一部分签名结果s由第一协同签名单元根据第一随机数、第二中间结果、第二部分签名结果r和第一私钥变换分量D₁计算得到。

37.根据权利要求26所述的基于SM2算法的协同签名装置，其特征在于：

所述第一协同签名单元，选择第一随机数，将计算获得的第一椭圆曲线群元素发送给第二协同签名单元；

所述第二协同签名单元，接收第一椭圆曲线群元素，选择第二随机数，将计算获得的第二中间结果和第二部分签名结果r发送给第一协同签名单元；

第一协同签名单元，接收第二中间结果和第二部分签名结果r，计算得到第一部分签名结果s，输出完整的数字签名结果(r，s)；

其中，第一椭圆曲线群元素由第一协同签名单元根据第一随机数和公钥P_pub计算得到；

第二部分签名结果r由第二协同签名单元通过以下方式获得：根据第二随机数、第一椭圆曲线群元素和公钥P_pub，计算得到第二椭圆曲线群元素(x₁，y₁)，其中x₁是第二椭圆曲线群元素(x₁，y₁)的x轴坐标；基于SM2算法，根据用户的可辨别标识计算出杂凑值Z_A，并获取待签名原文M作为输入，根据杂凑值Z_A和待签名原文M，计算得到消息摘要e；根据消息摘要e和第二椭圆曲线群元素(x₁，y₁)，计算得到第二部分签名结果r；

第二中间结果由第二协同签名单元根据第二随机数，第二部分签名结果r和第二私钥变换分量D₂计算得到；

第一部分签名结果s由第一协同签名单元根据第一随机数、第二中间结果、第二部分签名结果r和第一私钥变换分量D₁计算得到。

38.根据权利要求36或权利要求37所述的基于SM2算法的协同签名装置，其特征在于，第一通信方是客户端，第二通信方是服务器。

39.一种基于SM2算法的协同签名系统，包括：

存储器，用于存储可由处理器执行的指令；

处理器，用于执行所述指令以实现如权利要求1-25任一项所述的方法。

40.一种计算机可读介质，其上存储有计算机指令，其中当计算机指令被处理器执行时，执行如权利要求1-25任一项所述的方法。

Images