CN111475856B - 数字签名方法和验证数字签名的方法 - Google Patents

Abstract

本说明书本说明书提供一种数字签名方法和验证数字签名的方法，数字签名方法包括：基于随机数r和消息m，采用s＝(α₁+...+α_n)^‑1·(r‑m·α₁‑...‑α_n)modx计算得到s；将所述随机数r和所述s作为所述消息m的签名；其中：α₁,...,α_n为发送方的n个私钥，n≥2；发送方的私钥α₁,...,α_n与对应的公钥A₁,...,A_n均具有离散对数关系；r∈(1,2,…,q‑1)；x根据有限群的阶q确定。本说明书提供的数字签名方法，在采用多个私钥和对应的公钥的基础上，无需使用杂凑函数，其算法的安全性也就提高。

Description

数字签名方法和验证数字签名的方法

技术领域

本发明涉及信息安全技术领域，尤其涉及数字签名方法和验证数字签名验的方法。

背景技术

在信息安全技术领域，为了实现仿伪造、鉴别身份、验证信息是否被篡改和防抵赖等功能，需要采用数字签名技术。具体的：发送者采用自己的私钥对消息进行签名 而生成签名信息，并将签名信息随附消息发送给接收方；接收方在接收到消息和签名 信息后，采用发送方的公钥验证签名信息是否正确，继而判断消息是否被篡改或者发送者身份是否为伪造。

目前，诸如SM2等一类密码算法中的数字签名算法在执行签名操作时，需要使 用杂凑函数计算数据的杂凑值；因为需要使用杂凑函数，因此此类签名算法的安全性 受限于杂凑函数的安全性。

发明内容

本说明书提供一种数字签名方法和验证数字签名的方法，以及对应前述方法的装置。

一方面，本说明书提供一种数字签名方法，包括：

基于随机数r和消息m，采用s＝(α₁+...+α_n)^-1·(r-m·α₁-...-α_n)modx计算得到s；

将所述随机数r和所述s作为所述消息m的签名；

其中：α₁,...,α_n为发送方的n个私钥，n≥2；发送方的私钥α₁,...,α_n与对应的公钥A₁,...,A_n均具有离散对数关系；r∈(1,2,…,q-1)；x根据有限群的阶q确定。

可选地，所述有限群的阶q为一大素数；x＝q-1；

发送方的私钥α₁,...,α_n与对应的公钥A₁,...,A_n关系为：

可选地，所述有限群为椭圆曲线上的点组成的有限群；x为所述有限群的阶q。

另一方面，本说明书提供一种验证数字签名的方法，包括：

获取发送方生成的消息m，以及对所述消息m的签名(r,s)；

根据发送方的公钥A₁,...,A_n、s、模数x和所述消息m计算第一参数；以及根据r 和所述模数x计算第二参数；

在所述第一参数和第二参数相同的情况下，对所述签名(r,s)的验证成功；

其中：A₁,...,A_n为发送方的n个私钥，n≥2；发送方的私钥α₁,...,α_n与对应的公钥A₁,...,A_n均具有离散对数关系，x根据有限群的阶q确定。

可选地，根据发送方的公钥A₁,...,A_n、s和所述消息m计算第一参数，包括：根 据计算所述第一参数；

根据r计算第二参数，包括：根据g^rmodx计算所述第二参数；

发送方的私钥α₁,...,α_n与对应的公钥A₁,...,A_n关系为：

可选地，根据发送方的公钥A₁,...,A_n、s和所述消息m计算第一参数，包括：采 用s·(A₁+...+A_n)+[m mod x]·A₁+(A₂+...+A_n)计算所述第一参数；

根据r计算第二参数，包括：根据[r mod x]·G计算所述第二参数；

发送方的私钥α₁,...,α_n与对应的公钥A₁,...,A_n关系为：A_i＝α_i·G，i＝{1,...,n}。

再一方面，本说明书提供一种数字签名装置，包括：

参数计算单元，用于基于随机数r和消息m，采用 s＝(α₁+...+α_n)^-1·(r-m·α₁-...-α_n)mod x计算得到s；

签名确定单元，用于将所述随机数r和所述s作为所述消息m的签名；

其中：α₁,...,α_n为发送方的n个私钥，n≥2；发送方的私钥α₁,...,α_n与对应的公钥A₁,...,A_n均具有离散对数关系；r∈(1,2,…,q-1)；x根据有限群的阶q确定。

再一方面，本说明书提供一种验证数字签名的装置，包括：

信息获取单元，用于获取发送方生成的消息m，以及对所述消息m的签名(r,s)；

计算单元，用于根据发送方的公钥A₁,...,A_n、s、模数x和所述消息m计算第一 参数；以及根据r和所述模数x计算第二参数；

签名判断单元，用于在所述第一参数和第二参数相同的情况下，对所述签名(r,s)的验证成功；

其中：A₁,...,A_n为发送方的n个私钥，n≥2；发送方的私钥α₁,...,α_n与对应的公钥A₁,...,A_n均具有离散对数关系，x根据有限群的阶q确定。

本说明书提供的数字签名方法，在采用多个私钥和对应的公钥的基础上，无需使用杂凑函数，其算法的安全性也就提高。相对于现有技术的一些算法，本说明书提供 的算法仅需要计算逆元，以及利用随机数和私钥进行整数运算后再进行求模运算，算 法的运算量远小于现有签名算法中需要的指数运算或者双曲线性运算的运算量。

本发明中，上述各技术方案之间还可以相互组合，以实现更多的优选组合方案。本发明的其他特征和优点将在随后的说明书中阐述，并且，部分优点可从说明书中变 得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过说明书中 所特别指出的内容中来实现和获得。

具体实施方式

1.基于素数群离散对数的实施例

在对基于素数群离散对数的实施例的数字签名算法和签名验证算法做分析前，首先对准备步骤做介绍。本实施例中的准备步骤包括初始化步骤和秘钥生成步骤。

初始化步骤：采用系统参数生成算法，输出一个循环群G，其中群的阶为大素数 p，生成元为g，也就是系统参数Param＝(G,g,p)。大素数p即为权利要求中的提 及的有限群的阶q。

秘钥生成步骤：各个参与方根据系统参数，选择n个随机数作为私钥，计算对应 各个随机数的公钥。n个随机数分别为α₁,...,α_n，对应的公钥为

基于前述的准备步骤，采用本实施例的数字签名方法可以形成对消息m的签名。数字签名方法包括步骤S101-S102；应当注意的是，数字签名的方法应用于消息的发 送方。

S101：基于随机数r和消息m，采用s＝(α₁+...+α_n)^-1·(r-m·α₁-...-α_n)mod x计算得到s。

随机数r∈(1,2,…,p-1)，其可以采用随机数发生器生成。x根据有限群的阶p确定。

实际应用中，x是大于1并且小于或者等于p-1的正整数；但是考虑到实际应用 中的安全性，x优选地设置为p-1。

实际应用中，n优选为2，对应的s＝(α₁+...+α₂)^-1·(r-m·α₁-α₂)mod x

S102：将随机数r和s作为对消息m的签名。

具体应用中，可以将(r,s)组合作为消息m的签名，随附消息m发送给消息的接 收方。

对应前述的数字签名方法，本实施例还提供一种验证数字签名的方法，验证数字签名的方法包括步骤S201-S205；应当注意的是，验证数字签名的方法用于消息的接 收方。

S201：获取发送方生成的消息m，以及对应消息m的签名(r,s)。

步骤S101的获取可以是接收方法主动向发送方发送获取请求，并使得发送方发送相应的消息和签名，也可以是接收方被动地接收发送方发送的消息和签名，对此本 实施例并不做特别地限定。在一个应用中，前述的消息和签名可以存储在接收方本地 存储器中，待接收方使用时调用相应的消息和签名。

S202：根据发送方的公钥A₁,...,A_n、s、模数x和所述消息m计算第一参数；以 及根据r和模数x计算第二参数。

步骤202中，计算第一参数采用计算第二参数采用g^rmodx；与前述签名方法对应的，步骤S202中，x根据有限群的阶q确定

S203：判断第一参数和第二参数是否相同；若是，执行S204；若否，执行S205。

S204：判定对签名(r,s)的验证成功。

S205：判定对签名(r,s)的验证失败。

以下对签名验证算法能够实现签名验证的过程进行推导。在消息由发送方发送并且签名正确的情况下：

即在满足第一参数和第二参数相同的情况下，则可以证明签名正确。而在签名为伪造或者消息m被篡改的情况下，前述的推导并不能成立，所以签名也就无法验证成 功。

以下首先以现有技术中的基于素数群离散对数的签名算法为例，分析现有技术的问题；然后通过对比方式确定本实施例解决的技术问题和可以达到的技术效果。

(本段是对现有技术的表述)在现有的基于素数群离散对数的签名算法中，私钥为d_A，公钥为P_A，公钥和私钥关系为离散对数给定消息m、随机数 k∈[1,n-1]，生成元为g，计算得到的签名(r,s)为r＝H(m)+H(g^k)。和 s＝((1+d_A)^-1)(k-r·d_A)。对应的，在签名验证过程中，也需要计算r＝H(m)+H(g^k)

根据前段表述可知，在现有技术签名算法中需要使用杂凑函数H，使得签名算法的安全性受限于杂凑函数的安全性。另外，现有技术中在计算r＝H(m)+H(g^k)采用 指数运算，运算量较大。而本实施例提供的签名算法中，在采用多个私钥和对应的公 钥的基础上，无需使用杂凑函数，因此无需考虑杂凑函数的安全性，其算法的安全性 也就提高。；本实施例在计算签名时仅需要进行计算逆元，以及利用随机数和私钥进 行整数运算后再进行求模运算，因此算法的运算量远小于现有签名算法的运算量。

(本段是对现有技术的表述)对应前述的现有的基于素数群离散对数的签名算法，对应的签名验证算法为：根据生成元g公钥和签名(r,s)，计算第一参数：随后判断等式/>是否成立；如果前述等式成立， 则验证成功。

根据前段表述，现有的签名验证算法也需要杂凑函数H，因此其签名验证算法的安全性也受限于杂凑函数的安全性。

本实施例提供的签名验证算法中，在采用多个公钥的基础上，无需使用杂凑函数，因此需考虑杂凑函数的安全性，其算法的安全性也就提高。

2.基于椭圆曲线离散对数的实施例

在对基于椭圆曲线对数的实施例的数字签名算法和签名验证算法做分析前，首先对准备步骤做介绍。本实施例中的准备步骤包括初始化步骤和秘钥生成步骤。

初始化步骤：椭圆曲线系统参数包括有限域F_q、有限域F_q的规模q。椭圆曲线 E(F_q)方程的两个元素为a,b∈F_q；椭圆曲线E(F_q)上的基点G＝(x_G,y_G)且G≠O，其 中x_G,y_G是有限域F_q中的两个元素，基点G＝(x_G,y_G)的阶为t。因此系统公共参数为 Param＝(F_q,q,E(F_q),a,b,G)。请注意，t即为权利要求中体积的有限群的阶q。

秘钥生成步骤：各个参与方根据系统参数，选择n个随机数作为私钥，计算对应 各个随机数的公钥。n个随机数分别为α₁,...,α_n，对应的公钥为A_i＝α_i·G,i＝{1,...,n}。

基于前述的准备步骤，采用本实施例的数字签名方法可以形成对消息m的签名。数字签名方法包括步骤S301-S302；数字签名的方法应用于消息的发送方。

S301：基于随机数r和消息m，采用s＝(α₁+...+α_n)^-1·(r-m·α₁-...-α_n)mod x计算得到s。

随机数r∈(1,2,…,p-1)，其可以采用随机数发生器生成。x根据有限群的阶n确定；实际应用中，多直接将x设置为t。

实际应用中，n优选为2，对应的s＝(α₁+...+α₂)^-1·(r-m·α₁-α₂)mod x。

S302：将随机数r和s作为对消息m的签名。

具体应用中，可以将(r,s)组合作为消息m的签名，随附消息m发送给消息的接 收方。

对应前述的数字签名方法，本实施例还提供一种验证数字签名的方法，验证数字签名的方法包括步骤S401-S405；验证数字签名的方法用于消息的接收方。

S401：获取发送方生成的消息m，以及对应消息m的签名(r,s)。

步骤S401的获取可以是接收方法主动向发送方发送获取请求，并使得发送方发送相应的消息和签名，也可以是接收方被动地接收发送方发送的消息和签名，对此本 实施例并不做特别地限定。在一个应用中，前述的消息和签名可以存储在接收方本地 存储器中，待接收方使用时调用相应的消息和签名。

S402：根据发送方的公钥A₁,...,A_n、s、模数x和所述消息m计算第一参数；以 及根据r和模数x计算第二参数。

步骤202中，计算第一参数采用s·(A₁+...+A_n)+[m mod x]·A₁+(A₂+...+A_n)，计算第二参数采用[r mod x]·G。

S203：判断第一参数和第二参数是否相同；若是，执行S204；若否，执行S205。

S204：判定对签名(r,s)的验证成功。

S205：判定对签名(r,s)的验证失败。

以下对签名验证算法能够实现签名验证的过程进行推导。在消息由发送方发送并且签名正确的情况下：

s·(A₁+...+A_n)+[m mod x]·A₁+(A₂+...+A_n)＝

s·(A₁+...+A_n)+[m mod x]·A₁+([1mod x]·A₂+...+[1mod x]·A_n)＝

[(r-m·α₁-...-α_n)mod x+m·(α₁mod x)+(α₂...+α_n)mod x]·G＝(rmodx)·G。

即在满足第一参数和第二参数相同的情况下，则可以证明签名正确。而在签名为伪造或者消息m被篡改的情况下，前述的推导并不能成立，所以签名也就无法验证 成功。

以下首先以现有技术中的基于椭圆曲线离散对数的签名算法为例，分析现有技术的问题；然后通过对比方式确定本实施例解决的技术问题和可以达到的技术效果。

(本段是对现有技术的表述)在现有的基于椭圆曲线的签名算法中，假设待签名的消且为m，为了获取消息m的数字签名(r,s)作为签名者的用户A应实现以下运 算。A1：置A2：计算/>按照GB/T32918.1-2016中4.2.4和 4.2.3给出的方法将e的数据类型转换为整数；A3用随机数发生器产生随机数 k∈[1,n-1]；A4：计算椭圆曲线点(x₁,y₁)＝[k]·G。按照GB/T 32918.1-2016中4.2.8 给出的方法将x₁的数据类型转换为正数；A5：计算r＝(e+x₁)modn，若r＝0或 r+k＝n则返回A3；A6：计算s＝((1+d_A)^-1·(k-r·d_A))modn，若s＝0则返回A3； A7：按照GB/T 32918.1-2016中4.2.2中给出的细节将r、s的数据类型转换为字符串， 消息m的签名为(r,s)。

(本段是对现有技术的表述)结合前段的表述可以确定，在现有的签名算法中， 需要进行计算消息m的杂凑值(也就是哈希值)，该方法使得签名算法的安全性受限 于杂凑函数的安全性。另外，现有技术还需要执行A2中的哈希函数运算。而本实施 例提供的签名算法，在采用多个私钥和对应的公钥的基础上，无需使用杂凑函数，因 此无需考虑杂凑函数的安全性，其算法的安全性也就提高。

在现有的签名算法中，在计算椭圆曲线点时需要进行指数运算(在步骤A4中)， 运算量较大。本实施例在计算签名时仅需要进行计算逆元，以及利用随机数和私钥进 行整数运算后再进行求模运算，因此算法的运算量远小于现有签名算法的运算量。

(本段是对现有技术的表述)现有的基于椭圆曲线的签名验证算法基于获得的消 息m的数字签名(r,s)，其步骤包括：B1：检验r∈[1,n-1]是否成立，若不成立验证不通过；B2：检验s∈[1,n-1]是否成立，若不成立验证不通过；B3：置B4：计算按照GB/T32918.1-2016中4.2.4和4.2.3给出的方法将e的数 据类型转换为整数；B5：GB/T32918.1-2016中4.2.3给出的方法将r和s的数据乐行转换为整数，计算t＝(r+s)modn，若t＝0则验证不通过；B6：计算椭圆曲线点 (x₁,y₁)＝[s]·G+[t]P_A；B7：按照GB/T32918.1-2016中4.2.8给出的方法将x₁的数据类 型转换为整数，计算R＝(e+x)modn，验证R＝r是否成立，若成立则验证通过；若 不成立，验证不通过。

(本段是对现有技术的表述)结合前段的表述可以确定，在现有的签名杨峥算法中，需要进行计算消息m的杂凑值(也就是哈希值)，该方法使得签名算法的安全性 受限于杂凑函数的安全性。

而本实施例提供的签名验证算法，在采用多个私钥和对应的公钥的基础上，无需使用杂凑函数，因此无需考虑杂凑函数的安全性，其算法的安全性也就提高。

除了提供前述的数字签名方法和验证数字签名的方法外，本说明书实施例还提供一种数字签名装置和验证数字签名的装置。数字签名装置和验证数字签名的装置和前 述的方法采用相同的构思，因此下文仅就装置的组成做介绍，相应的技术效果和解决 的技术问题可以参见前文表述。

本说明实施例提供一种数字签名装置，包括参数计算单元和签名确定单元。参数计算单元用于基于随机数r和消息m，采用s＝(α₁+...+α_n)^-1·(r-m·α₁-...-α_n)mod x 计算得到s；签名确定单元用于将随机数r和s作为消息m的签名；其中：α₁,...,α_n为 发送方的n个私钥，n≥2；发送方的私钥α₁,...,α_n与对应的公钥A₁,...,A_n均具有离散 对数关系；r∈(1,2,…,q-1)；x根据有限群的阶q确定。在一个应用中，前述的有限 群的阶q为一大素数；x＝q-1；发送方的私钥α₁,...,α_n与对应的公钥A₁,...,A_n关系为：在另一个应用中，有限群为椭圆曲线上的点组成的有限群； x为有限群的阶q。

本说明书实施例提供一种验证数字签名的装置，包括信息获取单元、计算单元和签名判断单元。信息获取单元用于获取发送方生成的消息m，以及对消息m的签名 (r,s)。计算单元用于根据发送方的公钥A₁,...,A_n、s、模数x和消息m计算第一参数； 以及根据r和模数x计算第二参数。签名判断单元，用于在第一参数和第二参数相同的情况下，对签名(r,s)的验证成功。其中：A₁,...,A_n为发送方的n个私钥，n≥2； 发送方的私钥α₁,...,α_n与对应的公钥A₁,...,A_n均具有离散对数关系。在一个应用中， 根据发送方的公钥A₁,...,A_n、s和模数x和消息m计算第一参数，包括：根据计算第一参数；根据和模数r计算第二参数，包括： 根据g^rmodx计算第二参数；发送方的私钥α₁,...,α_n与对应的公钥A₁,...,A_n关系为：/>在另外一个应用中，根据发送方的公钥A₁,...,A_n、s、模 数x和消息m计算第一参数，包括：采用 s·(A₁+...+A_n)+[m mod x]·A₁+(A₂+...+A_n)mod x计算第一参数；根据r和模数x计算 第二参数，包括：根据[r mod x]·G计算第二参数；发送方的私钥α₁,...,α_n与对应的公 钥A₁,...,A_n关系为：A_i＝α_i·G，i＝{1,...,n}。

本说明书实施例还提供一种计算机可读存储介质，存储介质存储有程序代码；程序代码在被处理器加载后可以执行如前的数字签名方法或者验证数字签名的方法。实 际应用中，计算机可读存储介质为磁盘、光盘、只读存储记忆体或随机存储记忆体等。

本说明书实施例还提供一种电子设备。电子设备包括存储器和处理器。存储器存储有程序代码；程序代码在被处理器加载后可以执行如前的数字签名方法或者验证数 字签名的方法。

以上，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替 换，都应涵盖在本发明的保护范围之内。

Claims (6)

1.一种数字签名方法，包括：

基于随机数r和消息m，采用s＝(α₁+...+α_n)^-1·(r-m·α₁-...-α_n)modx计算得到s；

将所述随机数r和所述s作为所述消息m的签名，随附消息m发送给消息的接收方；

其中：α₁，...，α_n为发送方的n个私钥，n≥2；发送方的私钥α₁，...，α_n与对应的公钥A₁，...，A_n均具有离散对数关系；r∈(1，2，…，q-1)；x根据有限群的阶q确定；其中，所述有限群的阶q为一大素数，x＝q-1，或所述有限群为椭圆曲线上的点组成的有限群；x为所述有限群的阶q；发送方的私钥α₁，...，α_n与对应的公钥A₁，...，A_n关系为：

2.一种验证由权利要求1方法得到的数字签名的方法，包括：

获取发送方生成的消息m，以及对所述消息m的签名(r，s)；

根据发送方的公钥A₁，...，A_n、s和所述消息m计算第一参数，以及根据r计算第二参数，包括：根据计算所述第一参数、根据g^rmodx计算所述第二参数，其中发送方的私钥α₁，...，α_n与对应的公钥A₁，...，A_n关系为：或采用s·(A₁+...+A_n)+[mmodx]·A₁+(A₂+...+A_n)计算所述第一参数、根据[rmodx]·G计算所述第二参数，其中发送方的私钥α₁，...，α_n与对应的公钥A₁，...，A_n关系为：A_i＝α_i·G，i＝{1，...，n}；

在所述第一参数和第二参数相同的情况下，对所述签名(r，s)的验证成功；

其中：A₁，...，A_n为发送方的n个私钥，n≥2；发送方的私钥α₁，...，α_n与对应的公钥A₁，...，A_n均具有离散对数关系。

3.一种数字签名装置，用于实现权利要求1所述的数字签名方法，包括：

参数计算单元，用于基于随机数r和消息m，采用s＝(α₁+...+α_n)^-1·(r-m·α₁-...-α_n)modx计算得到s；

签名确定单元，用于将所述随机数r和所述s作为所述消息m的签名；

其中：α₁，...，α_n为发送方的n个私钥，n≥2；发送方的私钥α₁，...，α_n与对应的公钥A₁，...，A_n均具有离散对数关系；r∈(1，2，…，q-1)；x根据有限群的阶q确定。

4.一种验证数字签名的装置，用于实现权利要求2所述的验证数字签名的方法，包括：

信息获取单元，用于获取发送方生成的消息m，以及对所述消息m的签名(r，s)；

计算单元，用于根据发送方的公钥A₁，...，A_n、s、模数x和所述消息m计算第一参数；以及根据r和所述模数x计算第二参数；

签名判断单元，用于在所述第一参数和第二参数相同的情况下，对所述签名(r，s)的验证成功；

其中：A₁，...，A_n为发送方的n个私钥，n≥2；发送方的私钥α₁，...，α_n与对应的公钥A₁，...，A_n均具有离散对数关系，x根据有限群的阶q确定。

5.一种计算机可读存储介质，存储有程序代码；被处理器加载后可执行如权利要求1-2任一项所述的方法。

6.一种电子设备，包括存储器和处理器；所述存储器程序代码；所述程序代码被所述处理器加载后，可执行如权利要求1-2任一项所述的方法。