CN112187469B - 一种基于密钥因子的sm2多方协同数字签名方法和系统 - Google Patents

Abstract

本发明公开了一种基于密钥因子的SM2多方协同数字签名方法和系统，包括：签名发起方和签名协同方分别生成不同的私钥因子dA和dB，其中dA∈[1，n‑1]、dB∈[1，n‑1]；选定同一椭圆曲线上阶为n的基点G，签名发起方生成第一随机数k1，k1∈[1，n‑1]；签名发起方采用点乘法生成第一变量Q1，其中Q1＝[k1]G；签名发起方将所述第一变量Q1发送给至少一个签名协同方，所述签名协同方生成第二随机数k2和第三随机数k3，其中k2∈[1，n‑1]，k3∈[1，n‑1]；采用点乘法计算签名协同方的第一签名分量r和两个临时签名分量s2和s3；签名协同方将r、s2和s3发送给签名发起方，所述签名发起方根据获取的r、s2和s3计算第二签名分量s，其中s＝(dA*k1)*s2+dA*s3–r，进一步获取完整的签名分量(r，s)。

Description

一种基于密钥因子的SM2多方协同数字签名方法和系统

发明领域

本发明涉及一种数字签名方法，本发明涉及一种基于密钥因子的SM2多方协同数字签名方法和系统。

背景技术

目前常用于数字签名中的密码算法包括RSA和SM2算法，其中SM2是国产的密码算法，SM2算法的描述是：一个大数乘以一个基点(椭圆曲线上的一个固定的点)得到椭圆曲线上的另外一个点是容易的，但是通过另外一个点来反推这个大数是困难的。采用SM2算法的数字签名算法通过用户自己保管的私钥和公开的公钥进行“签名-验签”操作，从而确保信息的完整性和真实性和不可抵赖性；但目前的SM2算法只能适用于单一的用户签名，对于多用户签名的场景需要每个用户分别做一次签名、验证签名的时候也需要对每个签名都验证一次，如此提高了签名难度，并且降低了签名的效率。另外，为了保护数字签名的安全，传统的SM2签名算法的私钥需要集中管理，极大地限制了SM2算法的数字签名在分布式系统、云计算和物联网行业中的应用。

发明内容

本发明其中一个目的在于提供一种基于密钥因子的SM2多方协同数字签名方法和系统，所述方法和系统采用点乘法，基于同一椭圆曲线上的相同基点乘以随机数，分别生成多个私钥因子，所述私钥因子可被保存于不同的用户，无需集中管理，从而使得所述方法和系统可适用于分布式的网络。

本发明另一个目的在于提供一种基于密钥因子的SM2多方协同数字签名方法和系统，所述方法是基于现有的SM2签名算法，通过本发明所述的点乘法产生的私钥因子获得完整的数字签名符合《GM/T0003-2012SM2椭圆曲线公钥密码算法第2部分数字签名算法》标准，因此可兼容现有的SM2加密算法，具有广泛的适用性。

本发明另一个目的在于提供一种基于密钥因子的SM2多方协同数字签名方法和系统，所述方法和系统基于同一椭圆曲线上的相同基点乘以随机数的点乘法，实现步骤简单明确，无需构建复杂的算法模块，可以提高系统数字签名的效率。

本发明另一个目的在于提供一种基于密钥因子的SM2多方协同数字签名方法和系统，所述方法和系统通过完整的签名结果进行签名验证，无需对每个私钥因子产生的签名分量分别进行验证，从而可以大幅提高多方数字签名的验证效率。

本发明另一个目的在于提供一种基于密钥因子的SM2多方协同数字签名方法和系统，所述方法和系统需要使用所有的签名分量才能完成数字签名操作，由于不同的签名分量对应私钥因子被保存于不同的用户中，从而使得破解签名的需要攻破每个用户的安全系统获取私钥因子，大幅提高签名破解的难度。

本发明另一个目的在于提供一种基于密钥因子的SM2多方协同数字签名方法和系统，所述方法和系统可将不同的签名分量对应的私钥因子进行分级保护，由于单一的签名分量不具有实现签名效果，最高安全等级的签名分量对应的用户可有效保障签名结果不被泄露。

本发明另一个目的在于提供一种基于密钥因子的SM2多方协同数字签名方法和系统，所述方法和系统可适用于平等主体之间进行协同签名，其网络构架可适用于分布式架构，同时也适用于主-从架构和服务器-客户端架构。

为了实现至少一个上述发明目的，本发明进一步提供一种基于密钥因子的SM2多方协同数字签名方法，所述方法包括如下步骤：

签名发起方和签名协同方分别生成不同的私钥因子dA和dB，其中dA∈[1，n-1]、dB∈[1，n-1]；

选定同一椭圆曲线上阶为n的基点G，签名发起方生成第一随机数k1，k1∈[1，n-1]；

签名发起方采用点乘法生成第一变量Q1，其中Q1＝[k1]G；

签名发起方将所述第一变量Q1发送给至少一个签名协同方，所述签名协同方生成第二随机数k2和第三随机数k3，其中k2∈[1，n-1]，k3∈[1，n-1]；

采用点乘法计算签名协同方的第一签名分量r和两个临时签名分量s2和s3；

签名协同方将r、s2和s3发送给签名发起方，所述签名发起方根据获取的r、s2和s3计算第二签名分量s，其中s＝(dA*k1)*s2+dA*s3–r，进一步获取完整的签名分量(r，s)；

根据完整的签名分量(r，s)进行签名验证。

根据本发明一个较佳实施例，签名发起方将原文数据进行杂凑运算，获取杂凑结果e，所述签名发起方将杂凑结果e和第一变量Q1同时发送给所述签名协同方。

根据本发明另一较佳实施例，所述签名协同方在接收到签名发起方的杂凑结果后采用相同的杂凑算法计算签名协同方的杂凑结果e1，对比e和e1，若不同则向所述签名发起方返回错误信息。

根据本发明另一较佳实施例，若e和e1相同，则根据第二随机数k2和第三随机数k3计算第二变量Q2，其中Q2＝[k2]Q1+[k3]G＝(x1,y1)；若x1和/或y1∈∞，则返回重新计算第二随机数k2和第三随机数k3，并重新计算所述第二变量Q2。

根据本发明另一较佳实施例，若x1和/或y1存在，则计算签名协同方的签名分量r，其中r＝(e+x1)mod n。

根据本发明另一较佳实施例，若x1和/或y1存在，则根据第二随机数k2和第三随机数k3分别计算两个签名方临时签名分量s2和s3，其中s2＝dB*k2，s3＝dB(r+k3)。

根据本发明另一较佳实施例，当计算获取签名发起方的第二签名分量s后，进一步判断s是否为0或完整签名分量(r+s)mod n是否为0，若是，则所述签名发起方重新生成随机数k1。

根据本发明另一较佳实施例，验证完整签名分量方法包括：判断条件“r∈[1,n-1]且s∈[1,n-1]”是否满足，若不满足，则判断验证失败，进一步计算所述第二变量Q2＝[s]G+[t]P＝(x1,y1)，其中P为公钥，并获取所述第二变量Q2中的x1，计算验证签名分量R，其中R＝(e+x1)mod n，若R＝r，则判断验证成功，完成签名流程，若否，则判断验证失败。

根据本发明另一较佳实施例，根据签名发起方和签名协同方的私钥因子计算并获取公钥P，方法包括如下步骤：

签名发起方生成临时公钥Pc，其中Pc＝[dA^-1]G，dA^-1为随机数dA的乘法逆元；

将所述临时公钥Pc发送给签名协同方；

所述签名协同方根据私钥因子dB采用点乘法计算公钥P，其中P＝[dB^-1]Pc-G，其中dB^-1为私钥因子dB的乘法逆元。

为了实现至少一个上述发明目的，本发明进一步提供一种基于密钥因子的SM2多方协同数字签名系统，所述系统采用上述一种基于密钥因子的SM2多方协同数字签名方法。

附图说明

图1显示的本发明一种基于密钥因子的SM2多方协同数字签名方法一种流程示意图；

图2显示的是本发明中采用SM2技术的密钥因子和公钥生成方法示意图；

图3显示的是本发明一种基于密钥因子的SM2多方协同数字签名方法另一种流程示意图；

图4显示的是本发明中密钥因子签名验证方法示意图。

以下描述用于揭露本发明以使本领域技术人员能够实现本发明。以下描述中的优选实施例只作为举例，本领域技术人员可以想到其他显而易见的变型。在以下描述中界定的本发明的基本原理可以应用于其他实施方案、变形方案、改进方案、等同方案以及没有背离本发明的精神和范围的其他技术方案。

可以理解的是，术语“一”应理解为“至少一”或“一个或多个”，即在一个实施例中，一个元件的数量可以为一个，而在另外的实施例中，该元件的数量可以为多个，术语“一”不能理解为对数量的限制。

请参考图2显示的是本发明中采用SM2算法的密钥因子和公钥生成方法示意图，对于签名发起方A和签名协同方B分别生成不同的私钥因子dA和dB，dA和dB为随机数，其中dA和dB∈[1，n-1]。需要说明的是，n是签名发起方A和签名协同方B基于选定的同一椭圆曲线E上相同基点G的阶，签名方A根据私钥因子dA生成临时公钥Pc，其中Pc＝[dA^-1]G，[dA^-1]表示私钥dA的乘法逆元，是使得dA*y≡(1mod n)成立的唯一整数y，且y∈[1,n-1]，所述签名发起方A将所述临时公钥Pc发送给签名协同方B，需要说明的是，签名协同方B可以是一个或多个，并且所述签名发起方A也可以是一个或多个，签名发起方和协同方属于平等主体，因此可适用于分布式网络结构的签名运算。

进一步的，请继续参考图2，当所述签名协同方B接收到所述临时公钥Pc时，所述签名协同方采用点乘法进一步计算公钥P，其中P＝[dB^-1]Pc-G，dB^-1是私钥因子的乘法逆元，即是使得dB*y≡(1mod n)成立的唯一整数y，并且[dB^-1]Pc表示该乘法逆元和所述临时公钥Pc的进行点乘，由于Pc＝[dA^-1]G，所以，可得P＝[dA^-1][dB^-1]*G-G，进一步进行公式转化获得：P＝([dA^-1*dB^-1]-1)*G，由此可得完整的私钥d是[dA^-1*dB^-1]-1，即签名协同方只能获取临时公钥Pc而非真实私钥因子，真实私钥因子分别保存于签名发起方和签名协同方。由于不同的真实私钥因子存储于不同的平等主体中，使得获取完整私钥的难度大幅增加，可有效提高签名的安全性能。

进一步的，请结合图1和图3，在本发明一个较佳实施例中，为了验证签名数据的一致性，还需要签名发起方和签名协同方分别对待签名的数据进行杂凑计算，具体方法如下：

所述签名发起方A对待签名数据原文进行杂凑运算，计算获取杂凑结果e；所述签名发起方生成第一随机数k1，其中k1∈[1，n-1]，采用点乘法计算第一变量Q1，其中Q1＝[k1]G，所述签名发起方A同时将杂凑结果e和第一变量Q1发送给所述签名协同方B，所述签名协同方B接收到杂凑结果e和第一变量Q1后，对待签名数据原文进行杂凑运算，获取杂凑结果e1，所述签名协同方对比杂凑结果e和e1，若相同，则说明待签名数据是一致的，可执行下一步操作，若不一致，则向所述签名发起方A返回错误信息。

进一步的，当所述签名协同方B判断杂凑结果e和e1相同后，生成第二随机数k2和第三随机数k3，其中k2和k3∈[1，n-1]，根据所述第二随机数k2和第三随机数k3生成第二变量Q2，其中Q2＝[k2]Q1+[k3]G＝(x1,y1)。根据所述第二变量中的x1计算签名协同方的第一签名分量r，其中r＝(e+x1)mod n，r的含义为e+x1的值对基点G的阶n取余后的值，并同时计算两个临时签名分量s2和s3，其中s2＝dB*k2，s3＝dB*(r+k3)。所述签名协同方B将所述第一签名分量r、两个临时签名分量s2、s3同时发送给所述签名发起方A，所述签名发起方A获取r、s2、s3，进一步计算第二签名分量s＝(dA*k1)*s2+dA*s3–r，并根据所述第二签名分量s获取完成的签名分量(r，s)。

为了说明本发明涉及的点乘法同样适用于《GM/T0003-2012SM2椭圆曲线公钥密码算法第2部分数字签名算法》，本发明做如下验证：

Q＝[k2]Q1+[k3]G＝[k2][k1]G+[k3]G＝[k1*k2+k3]G

设新的随机数k＝k1*k2+k3

所以：s＝(dA*k1)*s2+dA*s3–r

＝dA*k1*dB*k2+dA*dB(r+k3)–r

＝dA*dB(k1*k2+k3+r)-dA*dB*(dA*dB)^-1*r

＝dA*dB(k1*k2+k3-((dA*dB*)^-1-1)*r

又因为dA*dB＝(1+d)^-1；(dA*dB*)^-1-1＝d；k＝k1*k2+k3；

所以：s＝(1+d)^-1(k-r*d)mod n；

因此计算得到的完整签名分量(r，s)符合《GM/T0003-2012SM2椭圆曲线公钥密码算法第2部分数字签名算法》标准，具有较好的兼容性。

当所述签名发起方A获取完整签名分量(r，s)后，进一步执行签名验证，所述签名验证方法包括如下步骤：

获取待签名数据原文和完整签名分量(r，s)；

判断签名分量(r，s)是否满足“r∈[1,n-1]且s∈[1,n-1]”，若不满足，则返回验证失败；

若满足“r∈[1,n-1]且s∈[1,n-1]”，则计算t＝(r+s)mod n，判断t是否为0，若是，则返回验证失败；

若t≠0，则采用点乘法计算所述第二变量Q2＝[s]G+[t]P＝(x1,y1)；

提取第二变量Q2中的横坐标值x1，计算验证签名分量R＝(e+x1)mod n；

若R值和第一签名分量r相等，则判断签名成功，完成签名流程，若不等则返回签名失败。

特别地，根据本发明公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分从网络上被下载和安装，和/或从可拆卸介质被安装。在该计算机程序被中央处理单元(CPU)或GPU执行时，执行本申请的方法中限定的上述功能。需要说明的是，本申请上述的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域的技术人员应理解，上述描述及附图中所示的本发明的实施例只作为举例而并不限制本发明，本发明的目的已经完整并有效地实现，本发明的功能及结构原理已在实施例中展示和说明，在没有背离所述原理下，本发明的实施方式可以有任何变形或修改。

Claims (10)

1.一种基于密钥因子的SM2多方协同数字签名方法，其特征在于，所述方法包括如下步骤：

签名发起方和签名协同方分别生成不同的私钥因子dA和dB，其中dA∈[1，n-1]、dB∈[1，n-1]；

选定同一椭圆曲线上阶为n的基点G，签名发起方生成第一随机数k1，k1∈[1，n-1]；

签名发起方采用点乘法生成第一变量Q1，其中Q1= [k1]G；

签名发起方将所述第一变量Q1发送给至少一个签名协同方，所述签名协同方生成第二随机数k2和第三随机数k3，其中k2∈[1，n-1]，k3∈[1，n-1]；

采用点乘法计算签名协同方的第一签名分量r和两个临时签名分量s2和s3;

签名协同方将r、s2和s3发送给签名发起方，所述签名发起方根据获取的r、s2和s3计算第二签名分量s，其中s =(dA*k1)*s2+dA*s3–r，进一步获取完整的签名分量（r，s）；

根据完整的签名分量（r，s）进行签名验证。

2.根据权利要求1所述的一种基于密钥因子的SM2多方协同数字签名方法，其特征在于，签名发起方将原文数据进行杂凑运算，获取杂凑结果e，所述签名发起方将杂凑结果e和第一变量Q1同时发送给所述签名协同方。

3.根据权利要求2所述的一种基于密钥因子的SM2多方协同数字签名方法，其特征在于，所述签名协同方在接收到签名发起方的杂凑结果后采用相同的杂凑算法计算签名协同方的杂凑结果e1，对比e和e1，若不同则向所述签名发起方返回错误信息。

4.根据权利要求3所述的一种基于密钥因子的SM2多方协同数字签名方法，其特征在于，若e和e1相同，则根据第二随机数k2和第三随机数k3计算第二变量Q2，其中Q2=[k2]Q1+[k3]G=(x1,y1)；若x1和/或y1∈∞，则返回重新计算第二随机数k2和第三随机数k3，并重新计算所述第二变量Q2。

5.根据权利要求4所述的一种基于密钥因子的SM2多方协同数字签名方法，其特征在于，若x1和/或y1存在，则计算签名协同方的签名分量r，其中r= (e+x1)mod n。

6.根据权利要求4所述的一种基于密钥因子的SM2多方协同数字签名方法，其特征在于，若x1和/或y1存在，则根据第二随机数k2和第三随机数k3分别计算两个签名方临时签名分量s2和s3，其中s2=dB*k2 ，s3=dB(r+k3)。

7.根据权利要求6所述的一种基于密钥因子的SM2多方协同数字签名方法，其特征在于，当计算获取签名发起方的第二签名分量s后，进一步判断s是否为0或完整签名分量(r+s)mod n是否为0，若是，则所述签名发起方重新生成随机数k1。

8.根据权利要求7所述的一种基于密钥因子的SM2多方协同数字签名方法，其特征在于，验证完整签名分量方法包括：判断条件“r∈[1,n-1]且s∈[1,n-1]”是否满足，若不满足，则判断验证失败，若满足，则计算t=(r+s)mod n，判断t是否为0，若是，则返回验证失败；若t≠0，则计算所述第二变量Q2=[s]G+[t]P=(x1,y1)，其中P为公钥，并获取所述第二变量Q2中的x1，计算验证签名分量R，其中R= (e+x1)mod n，若R=r，则判断验证成功，完成签名流程，若否，则判断验证失败。

9.根据权利要求1所述的一种基于密钥因子的SM2多方协同数字签名方法，其特征在于，根据签名发起方和签名协同方的私钥因子计算并获取公钥P，方法包括如下步骤：

签名发起方生成临时公钥Pc，其中Pc=[dA^-1]G，dA^-1为随机数dA的乘法逆元；

将所述临时公钥Pc发送给签名协同方；

所述签名协同方根据私钥因子dB采用点乘法计算公钥P，其中P=[dB^-1]Pc-G，其中dB^-1为私钥因子dB的乘法逆元。

10.一种基于密钥因子的SM2多方协同数字签名系统，其特征在于，所述系统采用权利要求1-9中任意一项所述的一种基于密钥因子的SM2多方协同数字签名方法。