CN111342973A - 一种安全的pki与ibc之间的双向异构数字签名方法 - Google Patents

Abstract

本发明公开了一种安全的PKI与IBC之间的双向异构数字签名方法。本发明通过私钥生成中心生成系统参数，并公开系统参数；公钥基础设施环境的用户与基于身份加密环境的用户生成各自的公钥、私钥；公钥基础设施环境的用户为签名者，基于身份加密环境的用户为验证者，签名者生成签名，发送给验证者，验证者验证签名，验证通过，接受消息，否则，拒绝接受消息；基于身份加密的用户为签名者，公钥基础设施环境的用户为验证者，签名者生成签名，发送给验证者，验证者验证签名，验证通过，接受消息，否则，拒绝接受消息。本发明保护了公钥基础设施和基于身份加密环境的用户之间通信的安全性、正确性、不可否认性、不可伪造性，达到了安全和隐私要求。

Description

一种安全的PKI与IBC之间的双向异构数字签名方法

技术领域

本发明属于用户通信安全的技术领域，尤其涉及一种安全的PKI与IBC之间的双向异构数字签名方法。

背景技术

公钥密码设施(Public Key Infrasture,PKI)，是当前部署传统的公钥密码系统(Public Key Cryptography,PKC)的主要手段，用户的身份与证书绑定，一个用户的身份与其公钥之间的绑定关系是通过数字证书形式获得的，证书由可信的证书权威机构(Certificate Authority,CA)为用户颁发。所有的数据经证书权威机构用自己的私钥签名后就形成证书。证书权威机构在给用户发放证书之前，先验证该用户身份的真实性。任何一个通信方对证书权威机构信任，都可以通过验证对方数字证书上证书权威机构的数字签名来建立起与对方的信任关系，并且获得对方的公钥以备使用。因此，PKI中存在证书存储管理以及验证证书合法性问题。

基于身份加密(identity based cryptography,IBC)，为了简化证书管理问题，Shamir于1984年首次提出了基于身份的公钥密码系统(ID-PKC)的概念，指出关于公钥密码系统中密钥真实性问题，可以不使用证书而得到解决。在ID-PKC中，每个用户都有一个身份信息ID，一个用户的公钥直接由他的身份信息ID导出，相应的私钥则由一个被称为私钥生成中心(Private Key Generation，PKG)的可信第三方利用其主密钥为该用户生成。私钥生成中心在证实了用户身份后，才会为他计算出相应的私钥并发送给他。这意味着用户获得了一种确保其身份和公钥之间捆绑关系的内在证明。与PKI相比，用户的密钥基于用户的身份，不存在证书存储管理以及验证证书合法性问题。

数字签名，可以实现完整性、认证性和不可否认性。发送报文时，发送方用一个哈希函数从报文文本中生成报文摘要，然后用对方的公钥对此报文摘要进行加密，这个加密后的摘要将作为报文的数字签名和报文一起发送给接收方，接收方首先用与发送方一样的哈希函数从接收到的原始报文中计算出报文摘要，接着再用接收方的私钥来对报文附加的数字签名进行解密，如果这两个摘要相同，接收方可以确认该数字签名来自发送方。

2010年前，用户基于同一种密码体制进行通信，基于公钥基础设施环境，或者基于身份环境，或者基于无证书环境，但是全世界的通信方采用不同的密码体制，因此，只在一种环境中通信，无法再满足用户的通信要求。2010年，Sun和Li提出异构签密思想，异构签密思想应用于不同密码系统的通信，提出一种基于传统公钥密码体制和基于身份公钥密码体制之间的签密方案，实现了异构密码系统之间的通信。2013年，Fu等构造了一个多接受者异构签密方案，同年，Li等提出新的IDPKC→TPKI型和TPKI→IDPKC型异构签密方案。2016年，张玉磊等提出CLPKC→TPKI异构签密方案，该方案满足密文匿名性，可以有效地保护收发双方的身份隐私，使用不同的密码系统参数，更接近于实际应用环境，与已有异构签密方案相比，该方案的效率较高，适合于收发双方身份保密和带宽受限的应用需求。异构签密方案中的签密在一个签密步骤中，对应地，有一个解签密步骤，签密步骤与解签密步骤中运用点乘运算、异或运算、哈希函数、双线性对等知识。

异构签密方案，对消息进行异或运算，对消息加密，此外，还对消息进行签名，在很多通信的场合，消息的发送者与接收者之间进行消息通信，只需要确定消息的来源是否为发送者，确定消息没有被篡改，不需要对消息做加密运算，也是异构通信技术中存在的问题。数字签名，对发送的消息实现认证。与异构签密方案和传统的数字签名技术相比，一种安全的PKI与IBC之间的双向异构数字签名方法融合了异构签密和数字签名两种思想，在异构环境下，对消息的数字签名，实现了对消息源的认证。

因此，首次提出异构数字签名的概念，在异构的环境下实现对消息的数字签名。提出一种安全的PKI与IBC之间的双向异构数字签名方法，是本领域技术人员需要解决的技术问题。

发明内容

发明目的：针对现有技术中存在的问题，本发明提供一种安全的PKI与IBC之间的双向异构数字签名方法，实现公钥基础设施环境PKI与基于身份环境IBC之间的双向异构数字签名，实现两种密码体制环境下用户的通信。

技术方案：一种安全的PKI与IBC之间的双向异构数字签名方法，包括以下步骤：

步骤1：私钥生成中心选择阶为素数的循环加法群以及循环乘法群以生成双线性对，定义两个无碰撞哈希函数，从阶为素数的整数群中随机选取一个数字作为主密钥并设置主公钥，公开系统参数；

步骤2：公钥基础设施环境中的用户向证书权威机构提交身份以颁发证书，从阶数为素数的整数群中随机选择一个数字作为公钥基础设施环境中用户的私钥，计算公钥基础设施环境中用户的公钥，基于身份加密环境中用户向私钥生成中心提交用户身份，计算基于身份加密环境中用户的私钥，再回传至基于身份加密环境中用户从而得到公钥；

步骤3：若公钥基础设施环境中的用户作为签名者用于生成签名，且基于身份加密环境中的用户作为验证者用于验证签名，签名者从阶数为素数的整数群中随机选择两个数字分别用于计算签名者生成签名的第一部分签名以及第二部分签名，签名者计算双线性对的值，签名者利用其私钥以及给定的消息，通过哈希函数、点乘运算，计算签名者生成签名的第三部分签名，签名者通过签名者生成签名、给定的消息构建组合消息发送给验证者，验证者通过组合消息中签名者生成签名的第二部分签名计算验证者双线性对的值，验证者通过组合消息计算验证者的签名验证，验证者将验证者的签名验证与签名者生成签名的第一部分签名进行比较，判断是否接收给定的消息；

步骤4：若基于身份加密环境中的用户作为签名者拥有生成签名，公钥基础设施环境中的用户作为验证者用于验证签名，签名者从阶数为素数的整数群中随机选择两个数字分别用于计算签名者生成签名的第一部分签名以及第二部分签名签名者计算签名者双线性对的值，签名者利用其公钥、私钥以及给定的消息，通过哈希函数、点乘运算，计算签名者生成签名的第三部分签名，签名者通过签名者生成签名、给定的消息构建组合消息发送给验证者，验证者通过组合消息中签名者生成签名的第二部分签名计算验证者双线性对的值，验证者通过组合消息计算验证者的签名验证，验证者将验证者的双线性对的第一个验证值与双线性对的第二个验证值进行比较，判断是否接收给定的消息；

作为优选，步骤1中所述私钥生成中心选择阶为素数的循环加法群以及循环乘法群以生成双线性对为：

选择阶为素数q的循环加法群即G₁和循环乘法群即G₂，双线性对e，e:G₁×G₁→G₂。

所述定义两个无碰撞哈希函数：

H₁:{0,1}^*→G₁、

其中，H₁是把用户的身份信息映射到加法循环群G₁上的无碰撞哈希函数，{0,1}*表示长度为任意比特的二进制序列组合的集合，

表示阶为q的整数群除去0元素，

H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，{0,1}ⁿ表示长度为n比特的二进制序列组合的集合；

所述从阶为素数的整数群中随机选取一个数字作为主密钥并设置主公钥为：

随机选取一个

s为主密钥，s保密，设置主公钥P_pub＝sP，P是G₁的生成元，G₁是阶为素数q的循环加法群；

所述公开系统参数为：

param＝{k,q,G₁,G₂,P,e,H₁,H₂,P_pub}

其中，param为系统参数，k为输入安全参数，保留s，s为私钥生成中心的主密钥，P是G₁的生成元，G₁是阶为素数q的循环加法群；

作为优选，步骤2中所述公钥基础设施环境中的用户向证书权威机构提交身份以颁发证书为：

公钥基础设施环境中的用户A向证书权威机构提交ID_A，ID_A为用户A的身份，证书权威机构给用户A颁发证书；

所述从阶数为q的整数群

中随机选择一个数字作为公钥基础设施环境中用户的私钥为：

用户A随机选取一个随机数为

表示阶数为q的整数群除去0元素，

设置x作为用户A的私钥，即SK_A＝x，SK_A为公钥基础设施环境中用户A的私钥；

所述计算公钥基础设施环境中用户的公钥为：

PK_A＝xP，P是G₁的生成元，x作为用户A的私钥，G₁为阶为素数q的循环加法群；

所述基于身份加密环境中用户向私钥生成中心提交用户身份为：

基于身份加密环境中用户B向私钥生成中心提交ID_B，ID_B为基于身份加密环境中用户B的身份；

所述计算基于身份加密环境中用户的私钥为：

私钥生成中心计算基于身份加密环境中用户B的私钥：

SK_B＝sH₁(ID_B)，发送给用户B；

其中，基于身份加密环境中用户B的私钥为SK_B，s为私钥生成中心的主密钥，ID_B为基于身份加密环境中用户B的身份，H₁是把用户的身份信息映射到加法循环群G₁上的无碰撞哈希函数；

所述再回传至基于身份加密环境中用户从而得到公钥为：

PK_B＝H₁(ID_B)为基于身份加密环境中用户B的公钥；

作为优选，步骤3中所述签名者从阶数为素数的整数群中随机选择两个数字分别用于计算签名者生成签名的第一部分签名以及第二部分签名：

签名者随机选择

计算R₁＝r₁P，签名者利用自己的公钥计算R₂＝r₂PK_A：

其中，

表示是从

中任意选取的一个元素，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，PK_A表示签名者的公钥，R₁表示签名者生成签名的第一部分签名，R₂表示表示签名者生成签名的第二部分签名；

步骤3所述签名者计算签名者双线性对的值：

W₁＝e(T,U)

T＝SK_AP_pubP

U＝r₂PK_B

其中，W₁表示签名者双线性对的值，T表示签名者双线性对的值的第一个输入值，U表示签名者双线性对的值的第二个输入值，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，SK_A表示签名者的私钥，P_pub为私钥生成中心的主密钥，PK_B表示验证者的公钥；

步骤3所述签名者利用其私钥以及给定的消息，通过哈希函数、点乘运算，计算签名者生成签名的第三部分签名：

S＝r₁+SK_AH₂(W₁,m)

其中，r₁为随机数，SK_A表示签名者的私钥，H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，m为给定的消息，W₁表示签名者双线性对的值；

步骤3所述签名者通过签名者生成签名、给定的消息构建组合消息发送给验证者：

所述签名者生成签名为：

σ＝(R₁,R₂,S)

所述组合消息为：

δ＝(σ,m)

其中，R₁表示签名者生成签名的第一部分签名，R₂表示签名者生成签名的第二部分签名，S表示签名者生成签名的第三部分签名，σ表示签名者生成签名，m表示给定的消息；

步骤3所述验证者通过组合消息中签名者生成签名的第二部分签名计算验证者双线性对的值：

W₂＝e(N,SK_B)

N＝R₂P

其中，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，N表示验证者双线性对的值的第一个输入值，R₂表示签名者生成签名的第二部分签名，SK_B表示验证者的私钥，是W₂的第二个输入值，W₂表示验证者双线性对的值；

步骤3所述验证者通过组合消息计算验证者的签名验证为：

V＝SP－H₂(W₂,m)PK_A

其中，S表示签名者生成签名的第三部分签名，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，PK_A表示签名者的公钥，H₂表示阶为素数q的循环乘法群映射到整数群Z_q*的无碰撞哈希函数，m表示给定的消息，W₂表示验证者双线性对的值；

步骤3所述验证者将验证者的签名验证与签名者生成签名的第一部分签名进行比较，判断是否接收给定的消息：

所述验证者验证V＝R₁等式是否；

若等式成立，接受m，输出正确提示符；否则拒绝接受m，输出错误提示符。

作为优选，步骤4所述签名者从阶数为素数的整数群中随机选择两个数字分别用于计算签名者生成签名的第一部分签名以及第二部分签名：

签名者随机选择

计算R₁＝r₁P，签名者利用自己的公钥计算R₂＝r₂PK_B：

其中，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，r₂表示随机数，PK_B表示签名者B的公钥，R₁表示签名者生成签名的第一部分签名，R₂表示签名者生成签名的第二部分签名；

步骤4所述签名者计算签名者双线性对的值：

W₁＝e(T,U)

T＝SK_BP

U＝r₂PK_A

其中，W₁表示签名者双线性对的值，T表示签名者双线性对的值的第一个输入值，U表示签名者双线性对的值的第二个输入值，SK_B表示签名者的私钥，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，r₂表示随机数，PK_A表示验证者的公钥；

步骤4所述签名者利用其公钥、私钥以及给定的消息，通过哈希函数、点乘运算，计算签名者生成签名的第三部分签名：

S＝r₁PK_B+SK_BH₂(W₁,m)

其中，S表示签名者生成签名的第二部分签名，r₁表示随机数，PK_B表示签名者的公钥，SK_B表示签名者的私钥，H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，W₁表示签名者双线性对的值，m表示给定消息；

步骤4所述签名者通过签名者生成签名、给定的消息构建组合消息发送给验证者：

所述签名者生成签名为：

σ＝(R₁,R₂,S)

所述组合消息为：

δ＝(σ,m)

其中，R₁表示签名者生成签名的第一部分签名，R₂表示签名者生成签名的第二部分签名，S表示签名者生成签名的第三部分签名，σ表示签名者生成签名，m表示给定的消息，δ表示组合消息；

步骤4所述验证者通过组合消息中签名者生成签名的第二部分签名计算验证者双线性对的值：

N＝R₂P_pub

其中，W₂表示验证者双线性对的值，N表示验证者双线性对的值的第一个输入值，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，SK_A表示验证者A的私钥，R₂表示签名者生成签名的第二部分签名，P_pub为私钥生成中心的主密钥；

步骤4所述验证者通过组合消息计算验证者的签名验证为：

步骤4所述验证者将验证者的双线性对的第一个验证值与双线性对的第二个验证值进行比较，判断是否接收给定的消息：

双线性对的第一个验证值：

e(S,P)

其中，S表示签名者生成签名的第三部分签名，P是G₁的一个生成元，G₁是阶为素数q的循环加法群；

双线性对的第二个验证值：

e(R₁+hP_pub,PK_B)

h＝H₂(W₂,m)

其中，R₁表示签名者生成签名的第一部分签名，h表示哈希函数H₂()的输入为验证者双线性对的值W₂与给定的消息m，P_pub表示私钥生成中心的主公钥，PK_B表示签名者B的公钥，H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，W₂表示签名计算验证者双线性对的值，m表示给定的消息；

所述验证者验证e(S,P)＝e(R₁+hP_pub,PK_B)等式是否成立：

若等式成立，接受m，输出正确提示符；否则拒绝接受m，输出错误提示符。

本发明在一个逻辑步骤内实现认证性和不可伪造性。考虑到公钥基础设施与基于身份加密环境中计算资源，异构环境适合这样的特性，在异构数字签名方案中，通信的一方基于公钥基础设施环境，可以负担证书管理问题。通信的另一方基于基于身份加密环境，不存在证书管理问题。

本发明的主要益处在于：在异构环境下，实现对消息的数字签名，不需要对消息加密，减少了加密的运算量，只需要验证签名者的签名，确定消息的来源，并且实现通信的安全性、正确性、不可否认性、不可伪造性，达到一定的安全和隐私要求。

附图说明

图1：第一实施例的通信。

图2：第二实施例的通信。

图3：第一实施例的签名者生成签名。

图4：第一实施例的验证者验证签名。

图5：第二实施例的签名者生成签名。

图6：第二实施例的验证者验证签名。

图7：第一实施例的不可伪造性分析一。

图8：第一实施例的不可伪造性分析二。

图9：第一实施例的不可伪造性分析三。

图10：第二实施例的不可伪造性分析一。

图11：第二实施例的不可伪造性二。

图12：第二实施例的不可伪造性分析三。

图13：本发明方法流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面根据签名者和验证者的环境不同，结合两个具体实施例。

第一实施例为：若公钥基础设施环境中的用户为签名者，基于身份加密环境中的用户为验证者；

第二实施例为：若基于身份加密环境中的用户为签名者，公钥基础设施环境中的用户为验证者。

本发明涉及的第一实施例具体步骤为：

步骤1：私钥生成中心选择阶为素数的循环加法群以及循环乘法群以生成双线性对，定义两个无碰撞哈希函数，从阶为素数的整数群中随机选取一个数字作为主密钥并设置主公钥，公开系统参数；

所述私钥生成中心选择阶为素数的循环加法群以及循环乘法群以生成双线性对为：

选择阶为素数q的循环加法群即G₁和循环乘法群即G₂，双线性对e，e:G₁×G₁→G₂。

所述定义两个无碰撞哈希函数：

H₁:{0,1}^*→G₁、

其中，H₁是把用户的身份信息映射到加法循环群G₁上的无碰撞哈希函数，{0,1}^*表示长度为任意比特的二进制序列组合的集合，

表示阶为q的整数群除去0元素，

H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，{0,1}ⁿ表示长度为n比特的二进制序列组合的集合；

所述从阶为素数的整数群中随机选取一个数字作为主密钥并设置主公钥为：

随机选取一个

s为主密钥，s保密，设置主公钥P_pub＝sP，P是G₁的生成元，G₁是阶为素数q的循环加法群；

所述公开系统参数为：

param＝{k,q,G₁,G₂,P,e,H₁,H₂,P_pub}

其中，param为系统参数，k为输入安全参数，保留s，s为私钥生成中心的主密钥，P是G₁的生成元，G₁是阶为素数q的循环加法群；

步骤2：公钥基础设施环境中的用户向证书权威机构提交身份以颁发证书，从阶数为素数的整数群中随机选择一个数字作为公钥基础设施环境中用户的私钥，计算公钥基础设施环境中用户的公钥，基于身份加密环境中用户向私钥生成中心提交用户身份，计算基于身份加密环境中用户的私钥，再回传至基于身份加密环境中用户从而得到公钥；

所述公钥基础设施环境中的用户向证书权威机构提交身份以颁发证书为：

公钥基础设施环境中的用户A向证书权威机构提交ID_A，ID_A为用户A的身份，证书权威机构给用户A颁发证书，参见图1；

所述从阶数为q的整数群

中随机选择一个数字作为公钥基础设施环境中用户的私钥为：

用户A随机选取一个随机数为

表示阶数为q的整数群除去0元素，

设置x作为用户A的私钥，即SK_A＝x，SK_A为公钥基础设施环境中用户A的私钥；

所述计算公钥基础设施环境中用户的公钥为：

PK_A＝xP，P是G₁的生成元，x作为用户A的私钥，G₁为阶为素数q的循环加法群；

所述基于身份加密环境中用户向私钥生成中心提交用户身份为：

基于身份加密环境中用户B向私钥生成中心提交ID_B，ID_B为基于身份加密环境中用户B的身份，参见图1；

所述计算基于身份加密环境中用户的私钥为：

私钥生成中心计算基于身份加密环境中用户B的私钥：

SK_B＝sH₁(ID_B)，发送给用户B；

其中，基于身份加密环境中用户B的私钥为SK_B，s为私钥生成中心的主密钥，ID_B为基于身份加密环境中用户B的身份，H₁是把用户的身份信息映射到加法循环群G₁上的无碰撞哈希函数；

所述再回传至基于身份加密环境中用户从而得到公钥为：

PK_B＝H₁(ID_B)为基于身份加密环境中用户B的公钥；

步骤3：若公钥基础设施环境中的用户作为签名者用于生成签名，且基于身份加密环境中的用户作为验证者用于验证签名，签名者从阶数为素数的整数群中随机选择两个数字分别用于计算签名者生成签名的第一部分签名以及第二部分签名，签名者计算双线性对的值，签名者利用其私钥以及给定的消息，通过哈希函数、点乘运算，计算签名者生成签名的第三部分签名，签名者通过签名者生成签名、给定的消息构建组合消息发送给验证者，验证者通过组合消息中签名者生成签名的第二部分签名计算验证者双线性对的值，验证者通过组合消息计算验证者的签名验证，验证者将验证者的签名验证与签名者生成签名的第一部分签名进行比较，判断是否接收给定的消息；

步骤3所述签名者从阶数为素数的整数群中随机选择两个数字分别用于计算签名者生成签名的第一部分签名以及第二部分签名：

签名者随机选择

计算R₁＝r₁P，签名者利用自己的公钥计算R₂＝r₂PK_A：

其中，

表示是从

中任意选取的一个元素，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，PK_A表示签名者的公钥，R₁表示签名者生成签名的第一部分签名，R₂表示表示签名者生成签名的第二部分签名，参见图3；

步骤3所述签名者计算签名者双线性对的值：

W₁＝e(T,U)

T＝SK_AP_pubP

U＝r₂PK_B

其中，W₁表示签名者双线性对的值，T表示签名者双线性对的值的第一个输入值，U表示签名者双线性对的值的第二个输入值，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，SK_A表示签名者的私钥，P_pub为私钥生成中心的主密钥，PK_B表示验证者的公钥，参见图3；

步骤3所述签名者利用其私钥以及给定的消息，通过哈希函数、点乘运算，计算签名者生成签名的第三部分签名：

S＝r₁+SK_AH₂(W₁,m)

其中，r₁为随机数，SK_A表示签名者的私钥，H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，m为给定的消息，W₁表示签名者双线性对的值，参见图3；

步骤3所述签名者通过签名者生成签名、给定的消息构建组合消息发送给验证者：

所述签名者生成签名为：

σ＝(R₁,R₂,S)

所述组合消息为：

δ＝(σ,m)

其中，R₁表示签名者生成签名的第一部分签名，R₂表示签名者生成签名的第二部分签名，S表示签名者生成签名的第三部分签名，σ表示签名者生成签名，m表示给定的消息，参见图3；

步骤3所述验证者通过组合消息中签名者生成签名的第二部分签名计算验证者双线性对的值：

W₂＝e(N,SK_B)

N＝R₂P

参见图4，其中，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，N表示验证者双线性对的值的第一个输入值，R₂表示签名者生成签名的第二部分签名，SK_B表示验证者的私钥，是W₂的第二个输入值，W₂表示验证者双线性对的值；

步骤3所述验证者通过组合消息计算验证者的签名验证为：

V＝SP－H₂(W₂,m)PK_A

其中，V表示验证者的签名验证，S表示签名者生成签名的第三部分签名，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，PK_A表示签名者的公钥，H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，m表示给定的消息，W₂表示验证者双线性对的值，参见图4；

步骤3所述验证者将验证者的签名验证与签名者生成签名的第一部分签名进行比较，判断是否接收给定的消息：

所述验证者验证V＝R₁等式是否；

若等式成立，接受m，输出正确提示符；否则拒绝接受m，输出错误提示符，参见图4。

分析不可伪造性，签名者的签名改变，给定的消息不变，参见图7。

分析不可伪造性，签名者的签名不变，给定的消息改变，参见图8。

分析不可伪造性，签名者的签名与给定的消息改变，参见图9。

其中，R'₁表示伪造的签名者签名的第一部分，R'₂表示伪造签名者的签名的第二部分，S'表示伪造的签名者的签名的第三部分，V'表示签名验证的伪造，N'表示验证者双线性对的值的第一个输入值的伪造，W'₂表示验证者双线性对的值的伪造，SK'_B表示用户B的虚假私钥，m'表示非给定的消息。

本发明涉及的第二实施例具体步骤为：

步骤1：私钥生成中心选择阶为素数的循环加法群以及循环乘法群以生成双线性对，定义两个无碰撞哈希函数，从阶为素数的整数群中随机选取一个数字作为主密钥并设置主公钥，公开系统参数；

所述私钥生成中心选择阶为素数的循环加法群以及循环乘法群以生成双线性对为：

选择阶为素数q的循环加法群即G₁和循环乘法群即G₂，双线性对e，e:G₁×G₁→G₂。

所述定义两个无碰撞哈希函数：

H₁:{0,1}^*→G₁、

其中，H₁是把用户的身份信息映射到加法循环群G₁上的无碰撞哈希函数，{0,1}^*表示长度为任意比特的二进制序列组合的集合，

表示阶为q的整数群除去0元素，

H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，{0,1}ⁿ表示长度为n比特的二进制序列组合的集合；

所述从阶为素数的整数群中随机选取一个数字作为主密钥并设置主公钥为：

随机选取一个

s为主密钥，s保密，设置主公钥P_pub＝sP，P是G₁的生成元，G₁是阶为素数q的循环加法群；

所述公开系统参数为：

param＝{k,q,G₁,G₂,P,e,H₁,H₂,P_pub}

其中，param为系统参数，k为输入安全参数，保留s，s为私钥生成中心的主密钥，P是G₁的生成元，G₁是阶为素数q的循环加法群；

步骤2：公钥基础设施环境中的用户向证书权威机构提交身份以颁发证书，从阶数为素数的整数群中随机选择一个数字作为公钥基础设施环境中用户的私钥，计算公钥基础设施环境中用户的公钥，基于身份加密环境中用户向私钥生成中心提交用户身份，计算基于身份加密环境中用户的私钥，再回传至基于身份加密环境中用户从而得到公钥；

所述公钥基础设施环境中的用户向证书权威机构提交身份以颁发证书为：

公钥基础设施环境中的用户A向证书权威机构提交ID_A，ID_A为用户A的身份，证书权威机构给用户A颁发证书，参见图2；

所述从阶数为q的整数群

中随机选择一个数字作为公钥基础设施环境中用户的私钥为：

用户A随机选取一个随机数为

表示阶数为q的整数群除去0元素，

设置x作为用户A的私钥，即SK_A＝x，SK_A为公钥基础设施环境中用户A的私钥；

所述计算公钥基础设施环境中用户的公钥为：

PK_A＝xP，P是G₁的生成元，x作为用户A的私钥，G₁为阶为素数q的循环加法群；

所述基于身份加密环境中用户向私钥生成中心提交用户身份为：

基于身份加密环境中用户B向私钥生成中心提交ID_B，ID_B为基于身份加密环境中用户B的身份，参见图2；

所述计算基于身份加密环境中用户的私钥为：

私钥生成中心计算基于身份加密环境中用户B的私钥：

SK_B＝sH₁(ID_B)，发送给用户B；

其中，基于身份加密环境中用户B的私钥为SK_B，s为私钥生成中心的主密钥，ID_B为基于身份加密环境中用户B的身份，H₁是把用户的身份信息映射到加法循环群G₁上的无碰撞哈希函数；

所述再回传至基于身份加密环境中用户从而得到公钥为：

PK_B＝H₁(ID_B)为基于身份加密环境中用户B的公钥；

步骤3：若基于身份加密环境中的用户作为签名者拥有生成签名，公钥基础设施环境中的用户作为验证者用于验证签名，签名者从阶数为素数的整数群中随机选择两个数字分别用于计算签名者生成签名的第一部分签名以及第二部分签名签名者计算签名者双线性对的值，签名者利用其公钥、私钥以及给定的消息，通过哈希函数、点乘运算，计算签名者生成签名的第三部分签名，签名者通过签名者生成签名、给定的消息构建组合消息发送给验证者，验证者通过组合消息中签名者生成签名的第二部分签名计算验证者双线性对的值，验证者通过组合消息计算验证者的签名验证，验证者将验证者的双线性对的第一个验证值与双线性对的第二个验证值进行比较，判断是否接收给定的消息；

所述签名者从阶数为素数的整数群中随机选择两个数字分别用于计算签名者生成签名的第一部分签名以及第二部分签名：

签名者随机选择

计算R₁＝r₁P，签名者利用自己的公钥计算R₂＝r₂PK_B：

其中，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，r₂表示随机数，PK_B表示签名者B的公钥，R₁表示签名者生成签名的第一部分签名，R₂表示签名者生成签名的第二部分签名，参见图5；

所述签名者计算签名者双线性对的值：

W₁＝e(T,U)

T＝SK_BP

U＝r₂PK_A

其中，W₁表示签名者双线性对的值，T表示签名者双线性对的值的第一个输入值，U表示签名者双线性对的值的第二个输入值，SK_B表示签名者的私钥，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，r₂表示随机数，PK_A表示验证者的公钥，参见图5；

所述签名者利用其公钥、私钥以及给定的消息，通过哈希函数、点乘运算，计算签名者生成签名的第三部分签名：

S＝r₁PK_B+SK_BH₂(W₁,m)

其中，S表示签名者生成签名的第二部分签名，r₁表示随机数，PK_B表示签名者的公钥，SK_B表示签名者的私钥，H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，W₁表示签名者双线性对的值，m表示给定消息，参见图5；

所述签名者通过签名者生成签名、给定的消息构建组合消息发送给验证者：

所述签名者生成签名为：

σ＝(R₁,R₂,S)

所述组合消息为：

δ＝(σ,m)

其中，R₁表示签名者生成签名的第一部分签名，R₂表示签名者生成签名的第二部分签名，S表示签名者生成签名的第三部分签名，σ表示签名者生成签名，m表示给定的消息，δ表示组合消息，参见图5；

所述验证者通过组合消息中签名者生成签名的第二部分签名计算验证者双线性对的值：

N＝R₂P_pub

其中，W₂表示验证者双线性对的值，N表示验证者双线性对的值的第一个输入值，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，SK_A表示验证者A的私钥，R₂表示签名者生成签名的第二部分签名，P_pub为私钥生成中心的主密钥，参见图6；

所述验证者通过组合消息计算验证者的签名验证为：

所述验证者将验证者的双线性对的第一个验证值与双线性对的第二个验证值进行比较，判断是否接收给定的消息：

双线性对的第一个验证值：

e(S,P)

其中，S表示签名者生成签名的第三部分签名，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，参见图6；

双线性对的第二个验证值：

e(R₁+hP_pub,PK_B)

h＝H₂(W₂,m)

其中，R₁表示签名者生成签名的第一部分签名，h表示哈希函数H₂()的输入为验证者双线性对的值W₂与给定的消息m，P_pub表示私钥生成中心的主公钥，PK_B表示签名者B的公钥，H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，W₂表示签名计算验证者双线性对的值，m表示给定的消息，参见图6；

所述验证者验证e(S,P)＝e(R₁+hP_pub,PK_B)等式是否成立：

若等式成立，接受m，输出正确提示符；否则拒绝接受m，输出错误提示符，参见图6。

分析不可伪造性，签名者的签名改变，给定的消息不变，参见图10。

分析不可伪造性，签名者的签名不变，给定的消息改变，参见图11。

分析不可伪造性，签名者的签名与给定的消息改变，参见图12。

其中，R'₁表示伪造的签名者签名的第一部分，R'₂表示伪造签名者的签名的第二部分，S'表示伪造的签名者的签名的第三部分，N'表示验证者双线性对的值的第一个输入值的伪造，SK'_A表示用户A的虚假私钥，W'₂表示验证者双线性对的值的伪造，图10中，h表示哈希函数H₂()的输入为验证者双线性对的值的伪造W'₂与给定的消息m，图11中，h表示哈希函数H₂()的输入为验证者双线性对的值W₂与非给定的消息m'，图12中，h表示哈希函数H₂()的输入为验证者双线性对的值的伪造W'₂与非给定的消息m'，m'表示非给定的消息。

本发明保护了签名者的签名不被泄露、篡改，确保了签名者不能否认已经发送的签名，验证者不能否认收到签名，攻击者无法伪造签名，达到了一定的安全和隐私要求，其说明如下：

安全性：方案是安全的，攻击者没有签名者的私钥，无法生成消息m的签名σ。攻击者没有验证者的私钥，无法验证消息m的签名σ。所以，本方案可以实现安全性。

正确性：理论是正确的，在正常通信的情况下，验证者可以验证签名的真实性，因为W₁＝W₂，W₁与m做连接后的哈希函数值H₂()相等，即H₂(W₁,m)＝H₂(W₂,m)，V＝R₁＝r₁P。所以，本方案可以实现正确性。

不可否认性：生成签名步骤中，生成的签名中包含签名者的密钥信息，签名者不能否认自己的签名。验证签名步骤中，验证过程用到验证者的私钥，验证者不能否认自己收到签名。所以，本方案可以实现不可否认性。

不可伪造性：在双向异构数字签名方法中，若签名者属于基于公钥基础设施环境的用户，验证者属于基于基于身份加密环境的用户，攻击者无法伪造签名者的签名σ或者给定的消息m，使得验证签名δ＝(σ,m)的等式V＝R₁成立，即验证失败。A的私钥SK_A只有A自己知道，攻击者不知道A的真实私钥SK_A，攻击者只知道A的私钥为A的虚假私钥SK_A'，并且SK_A≠SK_A'，伪造的签名者签名σ'，给定的消息m改变为非给定的消息m'，W₁≠W₂，哈希函数的值发生改变，不相等，即H₂(W₁,m)≠H₂(W₂,m)，无法验证签名。

分析方案的不可伪造性，分为三种情况：

签名者的签名σ改变，给定的消息m不变的情况参见图7；

签名者的签名σ不变，给定的消息m改变的情况参见图8；

签名者的签名σ与给定的消息m都改变的情况参见图9。

上述三种情况下，攻击者伪造的签名者签名，验证等式不成立，因此，验证伪造的签名者签名σ'不成功。若签名者属于基于基于身份加密环境的用户，验证者属于基于公钥基础设施环境的用户，攻击者无法伪造签名σ或者消息m，使得验证等式e(S,P)＝e(R₁+hP_pub,PK_B)成立，即验证失败。B的私钥SK_B只有B自己知道，攻击者C不知道B的真实私钥SK_B，攻击者只知道B的私钥为B的虚假私钥SK_B'，并且SK_B≠SK_B'，伪造的签名者的签名σ'，给定的消息m改变为非给定的信息m'，W₁≠W₂，哈希函数的值发生改变，不相等，H₂(W₁,m)≠H₂(W₂,m)，无法验证签名。

分析方案的不可伪造性，分为三种情况：

签名者的签名σ改变，给定的消息m不变的情况参见图10；

签名者的签名σ不变，给定的消息m改变的情况参见图11；

签名者的签名σ与给定的消息m都改变的情况参见图12。上述三种情况下，攻击者C伪造的签名者的签名，验证等式不成立，验证伪造的签名σ'不成功。所以，本方案可以实现不可伪造性。

本发明方法流程图参见图13。

应当理解的是，本说明书未详细阐述的部分均属于现有技术。

应当理解的是，上述针对较佳实施例的描述较为详细，并不能因此而认为是对本发明专利保护范围的限制，本领域的普通技术人员在本发明的启示下，在不脱离本发明权利要求所保护的范围情况下，还可以做出替换或变形，均落入本发明的保护范围之内，本发明的请求保护范围应以所附权利要求为准。

Claims (5)

1.一种安全的PKI与IBC之间的双向异构数字签名方法，其特征在于，包括以下步骤：

步骤1：私钥生成中心选择阶为素数的循环加法群以及循环乘法群以生成双线性对，定义两个无碰撞哈希函数，从阶为素数的整数群中随机选取一个数字作为主密钥并设置主公钥，公开系统参数；

步骤2：公钥基础设施环境中的用户向证书权威机构提交身份以颁发证书，从阶数为素数的整数群中随机选择一个数字作为公钥基础设施环境中用户的私钥，计算公钥基础设施环境中用户的公钥，基于身份加密环境中用户向私钥生成中心提交用户身份，计算基于身份加密环境中用户的私钥，再回传至基于身份加密环境中用户从而得到公钥；

步骤3：若公钥基础设施环境中的用户作为签名者用于生成签名，且基于身份加密环境中的用户作为验证者用于验证签名，签名者从阶数为素数的整数群中随机选择两个数字分别用于计算签名者生成签名的第一部分签名以及第二部分签名，签名者计算双线性对的值，签名者利用其私钥以及给定的消息，通过哈希函数、点乘运算，计算签名者生成签名的第三部分签名，签名者通过签名者生成签名、给定的消息构建组合消息发送给验证者，验证者通过组合消息中签名者生成签名的第二部分签名计算验证者双线性对的值，验证者通过组合消息计算验证者的签名验证，验证者将验证者的签名验证与签名者生成签名的第一部分签名进行比较，判断是否接收给定的消息；

步骤4：若基于身份加密环境中的用户作为签名者拥有生成签名，公钥基础设施环境中的用户作为验证者用于验证签名，签名者从阶数为素数的整数群中随机选择两个数字分别用于计算签名者生成签名的第一部分签名以及第二部分签名签名者计算签名者双线性对的值，签名者利用其公钥、私钥以及给定的消息，通过哈希函数、点乘运算，计算签名者生成签名的第三部分签名，签名者通过签名者生成签名、给定的消息构建组合消息发送给验证者，验证者通过组合消息中签名者生成签名的第二部分签名计算验证者双线性对的值，验证者通过组合消息计算验证者的签名验证，验证者将验证者的双线性对的第一个验证值与双线性对的第二个验证值进行比较，判断是否接收给定的消息。

2.根据权利要求1所述的安全的PKI与IBC之间的双向异构数字签名方法，其特征在于：步骤1中所述私钥生成中心选择阶为素数的循环加法群以及循环乘法群以生成双线性对为：

选择阶为素数q的循环加法群即G₁和循环乘法群即G₂，双线性对e，e:G₁×G₁→G₂；

所述定义两个无碰撞哈希函数：

H₁:{0,1}^*→G₁、

其中，H₁是把用户的身份信息映射到加法循环群G₁上的无碰撞哈希函数，{0,1}^*表示长度为任意比特的二进制序列组合的集合，

表示阶为q的整数群除去0元素，

H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，{0,1}ⁿ表示长度为n比特的二进制序列组合的集合；

所述从阶为素数的整数群中随机选取一个数字作为主密钥并设置主公钥为：

随机选取一个

s为主密钥，s保密，设置主公钥P_pub＝sP，P是G₁的生成元，G₁是阶为素数q的循环加法群；

所述公开系统参数为：

param＝{k,q,G₁,G₂,P,e,H₁,H₂,P_pub}

其中，param为系统参数，k为输入安全参数，保留s，s为私钥生成中心的主密钥，P是G₁的生成元，G₁是阶为素数q的循环加法群。

3.根据权利要求1所述的安全的PKI与IBC之间的双向异构数字签名方法，其特征在于：步骤2中所述公钥基础设施环境中的用户向证书权威机构提交身份以颁发证书为：

公钥基础设施环境中的用户A向证书权威机构提交ID_A，ID_A为用户A的身份，证书权威机构给用户A颁发证书；

所述从阶数为q的整数群

中随机选择一个数字作为公钥基础设施环境中用户的私钥为：

用户A随机选取一个随机数为

表示阶数为q的整数群除去0元素，

设置x作为用户A的私钥，即SK_A＝x，SK_A为公钥基础设施环境中用户A的私钥；

所述计算公钥基础设施环境中用户的公钥为：

PK_A＝xP，P是G₁的生成元，x作为用户A的私钥，G₁为阶为素数q的循环加法群；

所述基于身份加密环境中用户向私钥生成中心提交用户身份为：

基于身份加密环境中用户B向私钥生成中心提交ID_B，ID_B为基于身份加密环境中用户B的身份；

所述计算基于身份加密环境中用户的私钥为：

私钥生成中心计算基于身份加密环境中用户B的私钥：

SK_B＝sH₁(ID_B)，发送给用户B；

其中，基于身份加密环境中用户B的私钥为SK_B，s为私钥生成中心的主密钥，ID_B为基于身份加密环境中用户B的身份，H₁是把用户的身份信息映射到加法循环群G₁上的无碰撞哈希函数；

所述再回传至基于身份加密环境中用户从而得到公钥为：

PK_B＝H₁(ID_B)为基于身份加密环境中用户B的公钥。

4.根据权利要求1所述的安全的PKI与IBC之间的双向异构数字签名方法，其特征在于：步骤3中所述签名者从阶数为素数的整数群中随机选择两个数字分别用于计算签名者生成签名的第一部分签名以及第二部分签名：

签名者随机选择

计算R₁＝r₁P，签名者利用自己的公钥计算R₂＝r₂PK_A：

其中，

表示是从

中任意选取的一个元素，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，PK_A表示签名者的公钥，R₁表示签名者生成签名的第一部分签名，R₂表示表示签名者生成签名的第二部分签名；

步骤3所述签名者计算签名者双线性对的值：

W₁＝e(T,U)

T＝SK_AP_pubP

U＝r₂PK_B

其中，W₁表示签名者双线性对的值，T表示签名者双线性对的值的第一个输入值，U表示签名者双线性对的值的第二个输入值，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，SK_A表示签名者的私钥，P_pub为私钥生成中心的主密钥，PK_B表示验证者的公钥；

步骤3所述签名者利用其私钥以及给定的消息，通过哈希函数、点乘运算，计算签名者生成签名的第三部分签名：

S＝r₁+SK_AH₂(W₁,m)

其中，r₁为随机数，SK_A表示签名者的私钥，H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，m为给定的消息，W₁表示签名者双线性对的值；

步骤3所述签名者通过签名者生成签名、给定的消息构建组合消息发送给验证者：

所述签名者生成签名为：

σ＝(R₁,R₂,S)

所述组合消息为：

δ＝(σ,m)

其中，R₁表示签名者生成签名的第一部分签名，R₂表示签名者生成签名的第二部分签名，S表示签名者生成签名的第三部分签名，σ表示签名者生成签名，m表示给定的消息；

步骤3所述验证者通过组合消息中签名者生成签名的第二部分签名计算验证者双线性对的值：

W₂＝e(N,SK_B)

N＝R₂P

其中，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，N表示验证者双线性对的值的第一个输入值，R₂表示签名者生成签名的第二部分签名，SK_B表示验证者的私钥，是W₂的第二个输入值，W₂表示验证者双线性对的值；

步骤3所述验证者通过组合消息计算验证者的签名验证为：

V＝SP－H₂(W₂,m)PK_A

其中，S表示签名者生成签名的第三部分签名，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，PK_A表示签名者的公钥，H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，m表示给定的消息，W₂表示验证者双线性对的值；

步骤3所述验证者将验证者的签名验证与签名者生成签名的第一部分签名进行比较，判断是否接收给定的消息：

所述验证者验证V＝R₁等式是否；

若等式成立，接受m，输出正确提示符；否则拒绝接受m，输出错误提示符。

5.根据权利要求1所述的安全的PKI与IBC之间的双向异构数字签名方法，其特征在于：步骤4所述签名者从阶数为素数的整数群中随机选择两个数字分别用于计算签名者生成签名的第一部分签名以及第二部分签名：

签名者随机选择

计算R₁＝r₁P，签名者利用自己的公钥计算R₂＝r₂PK_B：

其中，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，r₂表示随机数，PK_B表示签名者B的公钥，R₁表示签名者生成签名的第一部分签名，R₂表示签名者生成签名的第二部分签名；

步骤4所述签名者计算签名者双线性对的值：

W₁＝e(T,U)

T＝SK_BP

U＝r₂PK_A

其中，W₁表示签名者双线性对的值，T表示签名者双线性对的值的第一个输入值，U表示签名者双线性对的值的第二个输入值，SK_B表示签名者的私钥，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，r₂表示随机数，PK_A表示验证者的公钥；

步骤4所述签名者利用其公钥、私钥以及给定的消息，通过哈希函数、点乘运算，计算签名者生成签名的第三部分签名：

S＝r₁PK_B+SK_BH₂(W₁,m)

其中，S表示签名者生成签名的第二部分签名，r₁表示随机数，PK_B表示签名者的公钥，SK_B表示签名者的私钥，H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，W₁表示签名者双线性对的值，m表示给定消息；

步骤4所述签名者通过签名者生成签名、给定的消息构建组合消息发送给验证者：

所述签名者生成签名为：

σ＝(R₁,R₂,S)

所述组合消息为：

δ＝(σ,m)

其中，R₁表示签名者生成签名的第一部分签名，R₂表示签名者生成签名的第二部分签名，S表示签名者生成签名的第三部分签名，σ表示签名者生成签名，m表示给定的消息，δ表示组合消息；

步骤4所述验证者通过组合消息中签名者生成签名的第二部分签名计算验证者双线性对的值：

N＝R₂P_pub

其中，W₂表示验证者双线性对的值，N表示验证者双线性对的值的第一个输入值，P是G₁的一个生成元，G₁是阶为素数q的循环加法群，SK_A表示验证者A的私钥，R₂表示签名者生成签名的第二部分签名，P_pub为私钥生成中心的主密钥；

步骤4所述验证者通过组合消息计算验证者的签名验证为：

步骤4所述验证者将验证者的双线性对的第一个验证值与双线性对的第二个验证值进行比较，判断是否接收给定的消息：

双线性对的第一个验证值：

e(S,P)

其中，S表示签名者生成签名的第三部分签名，P是G₁的一个生成元，G₁是阶为素数q的循环加法群；

双线性对的第二个验证值：

e(R₁+hP_pub,PK_B)

h＝H₂(W₂,m)

其中，R₁表示签名者生成签名的第一部分签名，h表示哈希函数H₂()的输入为验证者双线性对的值W₂与给定的消息m，P_pub表示私钥生成中心的主公钥，PK_B表示签名者B的公钥，H₂表示阶为素数q的循环乘法群映射到整数群

的无碰撞哈希函数，W₂表示签名计算验证者双线性对的值，m表示给定的消息；

所述验证者验证e(S,P)＝e(R₁+hP_pub,PK_B)等式是否成立：

若等式成立，接受m，输出正确提示符；否则拒绝接受m，输出错误提示符。

Images