CN112202568A - 软硬件协同设计sm9数字签名通信方法和系统 - Google Patents

Abstract

本发明涉及通信安全技术领域，为在遵循国密SM9数字签名标准的前提下，提出一种实用高效的基于嵌入式片上系统(SOC)的软硬件协同实现的数字签名系统，本发明软硬件协同设计SM9数字签名通信系统和方法，包括软件实现模块和硬件实现模块，用以实现基于椭圆曲线建立的SM9数字签名协议，其中，硬件实现模块中，设置一个双线性对运算硬件加速模块实现双线性对的运算，设置一阶标量乘硬件加速模块实现签名过程中的标量乘运算；软件实现模块中，设置密码函数H₁()H₂()用于实现签名算法中的密码函数部分，设置十二阶扩域下幂运算实现幂的运算。软硬件协同设计SM9数字签名通信方法。本发明主要应用于设计制造场合。

Description

软硬件协同设计SM9数字签名通信方法和系统

技术领域

本发明涉及通信安全技术领域，具体涉及软硬件协同设计SM9数字签名通信方法和装置。

背景技术

长久以来，我国都极度依赖从国外引进的加密方案，直接从国外采购相关产品，这无疑存在很多不可控的安全隐患。SM9数字签名方案是在2016年由我国国家密码管理局发布的一种标识密码标准，其技术方案完全自主可控具有极高的研究价值。SM9数字签名方案是一种非对称密码协议，是目前保障信息安全的主要手段之一，在当前密码研究领域中具有十分重要的地位。

非对称密码体系又称公钥密码体系，采用设置一对不同的密钥的方案，这一对密钥分别被称为公钥和私钥。其中公钥公开，私钥由接受信息方保存，发送方利用公开的公钥进行加密，接受方用自己持有的私钥进行解密。SM9密码协议是基于椭圆曲线建立，其安全性基于椭圆曲线的离散对数问题。SM9数字签名算法中包含双线性对(pairing)、

次扩域下幂运算、

次扩域下的标量乘运算等一系列运算流程。基于上述计算，相较于以往的公钥密码协议具有更强的安全性保证。

非对称密码协议虽然算法复杂度高、计算难度大，但省去了在安全信道进行协商密钥的过程。但是传统的公钥密码体系往往需要借助证书颁发机构(CA)作为可信第三方，负责用户公钥证书的生成、保管、维护、撤销等环节。这将耗费大量的计算和存储资源，同时也带来了密钥托管和用户私钥的可信性问题。2001年，Boneh和Franklin利用双线性对成功地设计了一个基于身份的加密方案(IBE)，基于双线性对的公钥密码协议摆脱了需要借助第三方可信机构进行密钥托管的问题。SM9密码协议同样采用了这种基于身份的加密方案，因此其是一种具有极强优越性的加密方案。

SM9公钥密码协议虽然具有以上的优点，但是其计算量相较于以往的公钥密码协议更大，且涉及到有限域和椭圆曲线等多个数学领域的研究内容，这些极大的制约着双线性对加密技术进一步发展和应用。2004年Miller算法的应用使得双线性对的计算复杂度大幅度降低，此后很多研究人员基于Miller算法进行了大量的研究和优化，使得基于双线性对的公钥加密方案可以应用到实际的领域内。

SM9密码协议的提出弥补了我国密码安全领域的空缺，是一款真正的由我国完全自主可控加密方案并且具有极其强大的抗攻击能力。可以预见其必将会在智能终端、物联网、大数据和云存储等安全领域大显身手，并逐渐成为我国信息安全保护的核心手段。因此，针对SM9密码协议进行研究，对相关算法进行优化，设计高效可靠的系统，提出相应的抗攻击手段，具有重要的价值和广阔的发展前景。

发明内容

为克服现有技术的不足，本发明旨在在遵循国密SM9数字签名标准的前提下，针对BN曲线设计一种实用高效的基于嵌入式片上系统(SOC)的软硬件协同实现的数字签名系统，为高效快速地执行SM9数字签名算法提供一种有效的解决方案。本发明采取的技术方案是，软硬件协同设计SM9数字签名通信方法，步骤如下：

(1)密码生成中心产生公钥、私钥

密码生成中心产生随机数ks∈[1,N-1]作为签名主私钥，计算

中的元素P_pub-s作为签名主公钥，则签名主密钥对为(ks,P_pub-s)，密码生成中心保存ks，公开P_pub-s；

密码生成中心选择并公开用一个字节表示的签名私钥并生成函数识别符hid；

用户A的标识为ID_A，为产生用户A的签名私钥ds_A，密码生成中心首先在有限域F_N上计算t₁＝H₁(ID_A||hid,N)+ks，若t₁＝0则需重新产生签名主私钥，计算和公开签名主公钥，并更新已有用户的签名私钥；否则计算t₂＝ks·t₁ ^-1,然后计算ds_A＝[t₂]P₁；签名主私钥对为(ks,ds_A)；

(2)数字签名生成算法

待签名的消息为比特串M，为了得到消息M的数字签名(h,S)，作为签名者的用户A要实现的计算步骤如下：

步骤1)：通过双线性对运算计算群

中的元素g＝e(P₁,P_pub-s)；

步骤2)：产生随机数r∈[1,N-1]；

步骤3)：十二阶域模幂运算计算群

中的元素w＝g^r，将w转换为比特串；

步骤4)：计算整数h＝H₂(M||w,N)，H₂()为定义好的辅助密码函数；

步骤5)：计算整数l＝(r-h)mod N，若l＝0则返回第二步；

步骤6)：一阶标量乘运算调用设计的专用硬件加速器计算群

中的元素S＝[l]ds_A；

步骤7)：将h和S转换为字节串，得到消息M的签名(h,S)；

(3)数字签名验证算法

为了检验收到的消息M′及其数字签名(h′,S′)，作为验证者的用户B应实现以下的运算步骤：

步骤1)：按一定规则将h′的数据类型转换为整数，检验h′∈[1,N-1]是否成立，若不成立则验证不通过；

步骤2)：将S′的数据类型转换为椭圆曲线上的点，按照规则检验

是否成立，若不成立则验证不通过；

步骤3)：双线性对运算调用设计的专用硬件加速器计算群

中的元素g＝e(P₁,P_pub-s)

步骤4)：十二阶域模幂运算计算群

中的元素t＝g^h′

步骤5)：计算整数h₁＝H₁(ID_A||hid,N)

步骤6)：计算群

中的元素P＝[h₁]P₂+P_pub-s

步骤7)：双线性对运算调用设计的专用硬件加速器计算群

中的元素u＝e(S′,P)

步骤8)：计算群

中的元素w′＝u·t,按照一定的规则将w′的数据类型转换为比特串

步骤9)：计算整数h₂＝H₂(M′||w′,N),检验h₂＝h′是否成立，若成立则验证通过；否则验证不通过。

参数选择如下：

SM9数字签名是基于256位BN曲线上的运算完成完整的数字签名方案，保证签名过程中所有的运算都在有限域下进行，选择的BN曲线为以下方程所示的一组椭圆曲线：

E:y²＝x³+b(b≠0)；

其中，x,y分别代表椭圆曲线的横纵坐标，b为自定义的参数。构造BN曲线的主要参数包括有限域的特征p(t),r次扰点群的阶r(t)以及frobenius映射的迹(trace)tr(t),这些都可以表示为参数t的函数：

q(t)＝36t⁴+36t³+24t²+6t+1

N(t)＝36t⁴+36t³+18t²+6t+1

t_r(t)＝6t²+1

该族椭圆曲线的嵌入次数k＝12，因此在数字签名中使用的R-ate pairing算法需要在十二阶扩域中运算，通过三次有限域的扩展完成从素域到十二阶扩域的塔式扩张,α、ξ、v为对应的扩张系数，其有限域的扩展方式为：

(a)将素域扩展为二次扩域，约化多项式为：x²-α,α＝-2；

(b)将二次扩域扩展为四次扩域，约化多项式为：x²-u,u²＝α；

(c)将四次扩域扩展为十二次扩域，约化多项式为：x³-v,v²＝u；

通过上述扩域方式，得到不同域下的值的表示方式，而不同域下的值又形成坐落于不同坐标系下的点，主体部分通过仿射坐标系实现椭圆曲线上点的表示，在双线性对运算模块使用雅各比坐标系表示，并通过转换函数进行数值的换算，所有在SM9数字签名算法运算中的点必须坐落于已经构造出的BN曲线上。

其中，密码函数H1的运算过程均按照SM9密码行业标准中定义进行运算，密码函数H1中需要使用密码杂凑函数选用由国家密码管理局批准的密码杂凑函数：SM3密码杂凑函数，该函数将输入的长度小于2⁶⁴的消息比特串进行运算输出一个长度为256比特的杂凑值，密码函数H1调用SM3密码杂凑函数实现将输入的比特串Z和整数n进行运算输出一个整数h参与后续的运算；

一阶标量乘算法一级标量乘模块的运算过程在映射坐标系中由点加和点倍运算实现：

点倍的计算公式为：设

且y₁≠0，P₃＝(x₃,y₃)＝P₁+P₁，则

其中，λ＝(3x₁ ²+a)/(2y₁)；

点加的计算公式为：设

且x₁≠x₂，设P₃＝(x₃,y₃)＝P₁+P₂，则

其中，λ＝(y₂-y₁)/(x₂-x₁)；

通过SM9密码行业标准中定义多倍点公式实现一级标量乘运算；

由此，密码生成中心生成签名主公钥P_pub-s并将其公开，生成签名主私钥ds_A将其保存以便进行验证。

数字签名生成过程中，步骤中1)的双线性对为设计的专用硬件加速模块，双线性对的计算时选用R-ate对完成相应的计算，使用R-ate对进行双线性对计算的完整算法参照SM9密码行业标准中的定义，其加密公钥P＝(P_x,P_y)为BN曲线上素域有理点群G1中的点，私钥Q＝(X₁,Y₁,Z₁)属于BN曲线上二阶有限域有理点群G2中的点；

整个pairing运算过程在雅各比坐标系中由以下运算构成：点倍与直线函数、点加与直线函数、Frobenius映射到p次幂、Frobenius映射到p²次幂、Frobenius映射到p³次幂，其中，点倍与直线函数计算公式为

L_T,T(P)坐标用(X₂,Y₂,Z₂)。

点倍与直线函数计算公式为

L_T,T(P)坐标用(X₃,Y₃,Z₃)。

Frobenius映射到p次幂计算公式为

Frobenius映射到p²次幂计算公式为

Frobenius映射到p³次幂计算公式为

为对应扩域下素数的共轭值，δ_1,5、δ_1,2、δ_1,4、δ_1,1、δ_1,3等为提前定义好的参数。

软硬件协同设计SM9数字签名通信装置，包括软件实现模块和硬件实现模块，用以实现基于椭圆曲线建立的SM9数字签名协议，进行双线性对运算、

次扩域下幂运算、一阶以及二阶扩域下的标量乘运算、密码函数运算；其中，硬件实现模块中，设置一个双线性对运算硬件加速模块实现双线性对的运算，设置一阶标量乘硬件加速模块实现签名过程中的标量乘运算；软件实现模块中，设置密码函数H₁()H₂()用于实现签名算法中的密码函数部分，设置十二阶扩域下幂运算实现幂的运算。

模加减模块：设

模加/减即计算C＝(A±B)mod P的值，共有四种情况：如果是模加，则C＝A+B或C＝A+B-P；如果是模减，则C＝A-B或C＝A-B+P，利用一个3-2压缩器，将三个操作数压缩为两个操作数输入加法器；

模乘模块：为了避免除法，

上的模乘运算采用蒙哥马利模乘来代替，Montgomery模乘即：Mont(X,Y)＝X*Y*R^-1mod P，其中R＝2^k，k为P的位数，其核心思想是将对P的取模运算转化为对R的取模和除法运算，这样在执行的过程中就只需要简单的截取和移位操作，具体使用两个计算单元计算通用表达式(c,z)＝z+xy+c，取m＝4，n＝64，则将操作数分成4段，计算单元完成64位乘加运算，总共需要29个时钟周期；

运算模块由模加/减计算单元和模乘计算单元组成,由上述两个模块组成素域运算单元，有了底层

计算单元之后，以之为基础设计

计算单元，

上的基本运算同样包括模加/减，模乘和模逆，与

上不同的是，这些运算都是基于多项式规则来定义的，

上的模加/减运算由两个独立的

上的模加/减运算组成，即

A±B＝(a₁±b₁)u+(a₀±b₀)

是由两个

单元并行完成；

上的模乘运算公式为

A*B＝(a₁u+a₀)(b₁u+b₀)

＝(a₁b₀+a₀b₁)u+(αa₁b₁+a₀b₀)

这里的a₀、b₀、a₁、b₁均为一阶素域

上的值，根据SM9中的塔式扩张机制，这里的α＝-2，将αa₁b₁替换成-(a₁b₁+a₁b₁)，于是模乘运算包含4个独立的

乘法和3个

加减法，也可由两个独立的

单元并行完成，因此其底层封装了两个

模块；

双线性对的硬件模块采用并行化设计，因此下含两个相同的

计算单元。模逆运算使用扩展欧几里得算法转换成一系列模加/减和模乘运算。

软硬件协同设计SM9数字签名通信系统，包括密码生成中心、FPGA及其内存，密码生成中心产生公钥、私钥；所述内存中存储并在FPGA中运行数字签名生成算法程序、数字签名验证算法，程序步骤如下：

(1)数字签名生成算法

待签名的消息为比特串M，为了得到消息M的数字签名(h,S)，作为签名者的用户A要实现的计算步骤如下：

步骤1)：通过双线性对运算计算群

中的元素g＝e(P₁,P_pub-s)；

步骤2)：产生随机数r∈[1,N-1]；

步骤3)：十二阶域模幂运算计算群

中的元素w＝g^r，将w转换为比特串；

步骤4)：计算整数h＝H₂(M||w,N)，H₂()为定义好的辅助密码函数；

步骤5)：计算整数l＝(r-h)mod N，若l＝0则返回第二步；

步骤6)：一阶标量乘运算调用设计的专用硬件加速器计算群

中的元素S＝[l]ds_A；

步骤7)：将h和S转换为字节串，得到消息M的签名(h,S)；

(2)数字签名验证算法

为了检验收到的消息M′及其数字签名(h′,S′)，作为验证者的用户B应实现以下的运算步骤：

步骤1)：按一定规则将h′的数据类型转换为整数，检验h′∈[1,N-1]是否成立，若不成立则验证不通过；

步骤2)：将S′的数据类型转换为椭圆曲线上的点，按照规则检验

是否成立，若不成立则验证不通过；

步骤3)：双线性对运算调用设计的专用硬件加速器计算群

中的元素g＝e(P₁,P_pub-s)

步骤4)：十二阶域模幂运算计算群

中的元素t＝g^h′

步骤5)：计算整数h₁＝H₁(ID_A||hid,N)

步骤6)：计算群

中的元素P＝[h₁]P₂+P_pub-s

步骤7)：双线性对运算调用设计的专用硬件加速器计算群

中的元素u＝e(S′,P)

步骤8)：计算群

中的元素w′＝u·t,按照一定的规则将w′的数据类型转换为比特串

步骤9)：计算整数h₂＝H₂(M′||w′,N),检验h₂＝h′是否成立，若成立则验证通过；否则验证不通过。

本发明的特点及有益效果是：

本发明遵循国密SM9数字签名协议，在现场可编程门阵列(FPGA)平台上实现了SM9数字签名系统的签名和认证过程，均达到较好的实验结果。本发明采用了软硬件协同设计的方法，所述双线性对实现装置采用并行化设计，极大提高了提高运算速度；所述一阶素域下标量乘采用了并行化设计和防御措施，提高运算速度的同时具有一定的抗侧信道攻击的作用。采用软件进行硬件模块的调用的同时完成整体签名算法。操作简单，易于实现，有很大的实用价值。

附图说明：

图1SM9数字签名算法签名过程。

图2模加减运算模块架构

图3模乘运算模块架构。

图4

运算模块架构。

图5双线性对运算模块架构。

图6一阶素域标量乘运算模块架构

图7SM9数字签名算法认证过程。

图8基于Microblaze的片上系统。

具体实施方式

为克服现有技术的不足，本发明旨在在遵循国密SM9数字签名标准的前提下，针对BN曲线设计一种实用高效的基于SOC嵌入式的软硬件协同实现的数字签名系统。程序整体运行在FPGA开发板上，软件部分存储在FPGA开发板的板上内存中，硬件部分由FPGA开发板中逻辑单元构建，利用JTAG接口与主机相连，主机将需要签名或者认证信息通过接口传送给FPGA，FPGA进行运算并将结果返回给PC。用硬件模块能显著提高计算效率，降低功耗，增加密码模块的抗攻击性能。软件部分完成对硬件模块的调用，并对算法其他部分进行实现。两者结合，为高效快速地执行SM9数字签名算法提供了一种有效的解决方案。

本发明设计了一种基于软硬件协同设计实现的SM9数字签名方案。方案遵循国密SM9数字签名算法的标准，使用了Barreto–Naehrig(BN)曲线作为参数曲线，数据位宽采用256比特，双线性对采用R-ate pairing加密算法。在该装置中，1)提出了一种基于软硬件协同实现SM9数字签名方案的运算系统，按协议要求完成签名的生成和验证过程2)设计了一种双线性对的并行实现装置，完成数字签名协议中的双线性对运算。3)设计一种基于蒙哥马利阶梯算法的一阶标量乘并行实现装置，完成数字签名协议中的双线性对运算。所述实现装置的软件部分，完成对硬件部分的调度并完成其余运算，针对其中部分算法进行相关优化。所述实现装置的硬件部分设计了双线性对运算和标量乘运算设计了高效的专用硬件加速器。

下面结合附图及实例，对本发明进行进一步详细说明。应该指出，此处所描述的具体实施实例仅仅用以解释本发明，并不用于限定本发明。为了使本发明的目的、技术方案和优点更加清晰，本实例在以本发明技术方案为前提下进行实施，给出了详细的实施方式和具体的操作过程。

(1)参数选择

本发明是基于256位BN曲线上的运算完成完整的数字签名方案，保证签名过程中所有的运算都在有限域下进行。参数的选择对整个SM9数字签名算法的计算效率和安全性具有十分重要的影响。本发明选择的BN曲线为以下方程所示的一组椭圆曲线：

E:y²＝x³+b(b≠0)；

构造BN曲线的主要参数包括有限域的特征p(t),r次扰点群的阶r(t)以及frobenius映射的迹(trace)tr(t),这些都可以表示为参数t的函数：

q(t)＝36t⁴+36t³+24t²+6t+1

N(t)＝36t⁴+36t³+18t²+6t+1

t_r(t)＝6t²+1

该族椭圆曲线的嵌入次数k＝12，因此在数字签名中使用的R-ate pairing算法需要在十二阶扩域中运算。本发明所选算法通过三次有限域的扩展完成从素域到十二阶扩域的塔式扩张,其有限域的扩展方式为：

(a)将素域扩展为二次扩域，约化多项式为：x²-α,α＝-2；

(b)将二次扩域扩展为四次扩域，约化多项式为：x²-u,u²＝α；

(c)将四次扩域扩展为十二次扩域，约化多项式为：x³-v,v²＝u；

通过上述扩域方式，可以得到不同域下的值的表示方式，而不同域下的值又可以形成坐落于不同坐标系下的点。本发明主体部分通过仿射坐标系实现椭圆曲线上点的表示，在双线性对运算模块使用雅各比坐标系表示，并通过转换函数进行数值的换算。所有在SM9数字签名算法运算中的点必须坐落于已经构造出的BN曲线上。

此外，还运算时需要给定方程参数b，群

的生成元

群

的生成元

等初始参数来进行运算。

(2)密码生成中心生成公钥、私钥

密码生成中心(KGC)通过随机数生成器产生随机数ks∈[1,N-1]作为签名主私钥，计算

中的元素P_pub-s作为签名主公钥，则签名主密钥对为(ks,P_pub-s)。密码生成中心保存ks，公开P_pub-s。

密码生成中心选择并公开用一个字节表示的签名私钥并生成函数识别符hid。

用户A的标识为ID_A，为产生用户A的签名私钥ds_A，密码生成中心首先在有限域F_N上通过计算t₁＝H₁(ID_A||hid,N)+ks，若t₁＝0则需重新产生签名主私钥，计算和公开签名主公钥，并更新已有用户的签名私钥；否则计算t₂＝ks·t₁ ^-1,然后通过软件实现一阶标量乘算法计算ds_A＝[t₂]P₁作为私钥保存。

其中，密码函数H1的运算过程均按照SM9密码行业标准中定义进行运算。密码函数H1中需要使用密码杂凑函数选用由国家密码管理局批准的密码杂凑函数：SM3密码杂凑函数。该函数将输入的长度小于2⁶⁴的消息比特串进行运算输出一个长度为256比特的杂凑值。密码函数H1调用SM3密码杂凑函数实现将输入的比特串Z和整数n进行运算输出一个整数h参与后续的运算。

一阶标量乘算法一级标量乘模块的运算过程在映射坐标系中由点加和点倍运算实现。

点倍的计算公式为：设

且y₁≠0，P₃＝(x₃,y₃)＝P₁+P₁，则

其中，λ＝(3x₁ ²+a)/(2y₁)；

点加的计算公式为：设

且x₁≠x₂，设P₃＝(x₃,y₃)＝P₁+P₂，则

其中，λ＝(y₂-y₁)/(x₂-x₁)；

通过SM9密码行业标准中定义多倍点公式实现一级标量乘运算。

由此，密码生成中心生成签名主公钥P_pub-s并将其公开，生成签名主私钥ds_A将其保存以便进行验证。

(3)数字签名生成过程

SM9数字签名生成(图1)运算过程如下：

待签名的消息为比特串M，为了得到消息M的数字签名(h,S)，作为签名者的用户A要实现的计算步骤如下：

步骤1)：双线性对运算采用硬件加速器计算群

中的元素g＝e(P₁,P_pub-s)；

步骤2)：产生随机数r∈[1,N-1]；

步骤3)：十二阶域模幂运算计算群

中的元素w＝g^r，将w转换为比特串；

步骤4)：计算整数h＝H₂(M||w,N)，H₂()为定义好的辅助密码函数；

步骤5)：计算整数l＝(r-h)mod N，若l＝0则返回第二步；

步骤6)：一阶标量乘运算采用硬件加速器计算群

中的元素S＝[l]ds_A；

步骤7)：将h和S转换为字节串，得到消息M的签名(h,S)；

其中，步骤中1)的双线性对为设计的专用硬件加速模块，双线性对的计算时选用R-ate对完成相应的计算。使用R-ate对进行双线性对计算的完整算法参照SM9密码行业标准中的定义，其加密公钥P为BN曲线上素域有理点群G1中的点，私钥Q属于BN曲线上二阶有限域有理点群G2中的点。

整个pairing运算过程在雅各比坐标系中由以下运算构成：点倍与直线函数、点加与直线函数、Frobenius映射到p次幂、Frobenius映射到p²次幂、Frobenius映射到p³次幂。其中，点倍与直线函数计算公式为

点倍与直线函数计算公式为

Frobenius映射到p次幂计算公式为

Frobenius映射到p²次幂计算公式为

Frobenius映射到p³次幂计算公式为

以上公式是基于二阶有限域

下的运算进行，因此我们按照以下方式设计

的运算来实现双线性对的运算过程：

模加减模块：设

模加(减)即计算C＝(A±B)mod P的值，共有四种情况：如果是模加，则C＝A+B或C＝A+B-P；如果是模减，则C＝A-B或C＝A-B+P。加了一个3-2压缩器，将三个操作数压缩为两个操作数输入加法器。

上的模加(减)计算单元的硬件架构如图2所示。

模乘模块：为了避免除法，

上的模乘运算采用蒙哥马利(Montgomery)模乘来代替。Montgomery模乘即：Mont(X,Y)＝X*Y*R^-1mod P，其中R＝2^k，k为P的位数，其核心思想是将对P的取模运算转化为对R的取模和除法运算，这样在执行的过程中就只需要简单的截取和移位操作，非常适合硬件实现。使用两个计算单元计算通用表达式(c,z)＝z+xy+c，取m＝4，n＝64，则将操作数分成4段，计算单元完成64位乘加运算，总共需要29个时钟周期。

上的模乘计算单元的硬件架构如图3所示。

运算模块由模加(减)计算单元和模乘计算单元组成。由上述两个模块组成素域运算单元，有了底层

计算单元之后，就可以以此为基础设计

计算单元。

上的基本运算同样包括模加(减)，模乘和模逆，与

上不同的是，这些运算都是基于多项式规则来定义的。

上的模加(减)运算由两个独立的

上的模加(减)运算组成，即

A±B＝(a₁±b₁)u+(a₀±b₀)

可以很容易地由两个

单元并行完成。

上的模乘运算公式为

A*B＝(a₁u+a₀)(b₁u+b₀)

＝(a₁b₀+a₀b₁)u+(αa₁b₁+a₀b₀)

这里的a₀、b₀、a₁、b₁均为一阶素域

上的值。根据SM9中的塔式扩张机制，这里的α＝-2，可以将αa₁b₁替换成-(a₁b₁+a₁b₁)，于是模乘运算包含4个独立的

乘法和3个

加减法，也可由两个独立的

单元并行完成。因此其底层封装了两个

模块，硬件架构如图4所示。

双线性对的硬件模块采用并行化设计，因此下含两个相同的

计算单元。模逆运算可以使用扩展欧几里得算法转换成一系列模加(减)和模乘运算。以上计算公式均设计为专用硬件模块进行实现，双线性对的硬件模块架构如图5所示。

步骤2)中的随机数r由专门的随机数生成器产生。

步骤3)中十二阶域模幂运算由软件按照塔式扩域方式实现，按照上文提到的

运算公式继续进行拓展，

上的模加(减)运算公式为

A±B＝(a₁±b₁)v+(a₀±b₀)

上的模乘运算公式为

A*B＝(a₁v+a₀)(b₁v+b₀)

＝(a₁b₀+a₀b₁)v+(βa₁b₁+a₀b₀)

这里的a₀、b₀、a₁、b₁均为二阶有限域

上的值。根据SM9中的塔式扩张机制，这里的

然后

运算公式继续进行拓展，

上的模加(减)运算公式为

A±B＝(a₂±b₂)w²+(a₁±b₁)w+(a₀±b₀)

上的模乘运算公式为

A*B＝(a₀+a₁w+a₂w²)(b₀+b₁w+b₂w²)

＝[(a₁+a₂)*(b₁+b₂)-a₁*b₁-a₂*b₂]*γ+a₀*b₀

+[(a₀+a₁)(b₀+b₁)-a₀*b₀-a₁*b₁+γ*a₂*b₂]w

+[(a₀+a₂)(b₀+b₂)-a₀*b₀-a₂*b₂+a₁*b₁]w²

这里的a₀、b₀、a₁、b₁、a₂、b₂均为二阶有限域

上的值。根据SM9中的塔式扩张机制，这里的

由

上的模加(减)、模乘运算公式按照SM9密码行业标准中的定义通过软件实现十二阶有限域

下的模幂运算过程。将w转换为比特串按照SM9密码行业标准中定义进行运算。

步骤4)密码函数H2的运算过程均按照SM9密码行业标准定义进行运算。密码函数H2中需要使用密码杂凑函数选用由国家密码管理局批准的密码杂凑函数：SM3密码杂凑函数。该函数将输入的长度小于2⁶⁴的消息比特串进行运算输出一个长度为256比特的杂凑值。密码函数H2调用SM3密码杂凑函数实现将输入的比特串Z和整数n进行运算输出一个整数h参与后续的运算。

步骤5)通过一阶素域

模加(减)计算方式实现模减操作，并利用软件判断l是否为0；

步骤6)实现的一阶标量乘运算通过专门设计的硬件加速模块实现，该一级标量乘模块采用了蒙哥马利阶梯算法来进行防御侧信道攻击。本设计利用标量位在二级制下0、1的不同但采取相同的赋值操作的行为，防止标量位被能耗检测等手段分析出密钥位的方案。

一级标量乘模块的硬件模块同样采用并行化设计，因此下含两个相同的

计算单元。模逆运算可以使用扩展欧几里得算法转换成一系列模加(减)和模乘运算，由于在一级标量乘模块计算过程中只使用一次，所以没有将其单独做成一个硬件计算单元。一级标量乘模块的运算过程在映射坐标系中由点加和点倍运算实现。

点倍的计算公式为：设

且y₁≠0，P₃＝(x₃,y₃)＝P₁+P₁，则

其中，λ＝(3x₁ ²+a)/(2y₁)；

点加的计算公式为：设

且x₁≠x₂，设P₃＝(x₃,y₃)＝P₁+P₂，则

其中，λ＝(y₂-y₁)/(x₂-x₁)；

以上计算公式均设计为专用硬件模块进行实现，采用并行化设计，底层使用两个上文提到的一阶素域

下的运算模块，一阶标量乘的硬件模块架构如图6所示。

步骤7)中转换为字节串的方式按照SM9密码行业标准中的定义进行。

(4)数字签名验证过程

SM9数字签名验证(图2)运算过程如下：

为了检验收到的消息M′及其数字签名(h′,S′)，作为验证者的用户B应实现以下的运算步骤：

步骤1)：按一定规则将h′的数据类型转换为整数，检验h′∈[1,N-1]是否成立，若不成立则验证不通过；

步骤2)：将S′的数据类型转换为椭圆曲线上的点，按照规则检验

是否成立，若不成立则验证不通过；

步骤3)：双线性对运算采用硬件加速器计算群

中的元素g＝e(P₁,P_pub-s)

步骤4)：十二阶有限域模幂运算计算群

中的元素t＝g^h′

步骤5)：计算整数h₁＝H₁(ID_A||hid,N)

步骤6)：计算群

中的元素P＝[h₁]P₂+P_pub-s

步骤7)：双线性对运算计算群

中的元素u＝e(S′,P)

步骤8)：计算群

中的元素w′＝u·t,按照一定的规则将w′的数据类型转换为比特串

步骤9)：计算整数h₂＝H₂(M′||w′,N),检验h₂＝h′是否成立，若成立则验证通过；否则验证不通过；

其中，步骤1)中将h′的数据类型转换为整数的方式按照SM9密码行业标准中的定义进行。

使用函数方式判断h′是否位于规定的区间内，若条件符合则继续下面步骤；若不符合则验证不通过，验证过程结束。

步骤2)中S′的数据类型转换为椭圆曲线上的点的方式按照SM9密码行业标准中的定义进行。椭圆曲线为我们定义的BN曲线，若经判断

成立则继续下面步骤，若不符合则验证不通过，验证过程结束。

步骤3)中使用的双线性对硬件加速器与数字签名生成算法中所使用的完全相同，该硬件加速器完成该部分的运算。

步骤4)中十二阶有限域模幂运算同样与数字签名生成算法中所使用的完全相同，也在软件部分实现。

步骤5)中的密码函数H1与密码生成中心中使用的算法完全相同，也在软件部分实现。

步骤6)中涉及为二阶有限域下的标量乘运算和点加运算，而标量乘运算也是由点加点倍运算组成。一级标量乘模块的运算过程在映射坐标系中由点加和点倍运算实现。

点倍的计算公式为：设

且y₁≠0，P₃＝(x₃,y₃)＝P₁+P₁，则

其中，λ＝(3x₁ ²+a)/(2y₁)；

点加的计算公式为：设

且x₁≠x₂，设P₃＝(x₃,y₃)＝P₁+P₂，则

其中，λ＝(y₂-y₁)/(x₂-x₁)；

二阶有限域下的标量乘运算按照SM9密码行业标准中的定义进行。该部分不涉及敏感数据的运算，因此不需要采取相应保护措施防止侧信道攻击，使用软件实现。

步骤7)中的双线性对运算与步骤3)，重复调用相应的硬件加速模块即可。

步骤8)十二阶有限域下的模乘运算方式参照数字签名生成算法中的定义，将w′的数据类型转换为比特串照照SM9密码行业标准中的定义进行。

步骤9)中的密码函数H2与数字签名生成过程中使用的算法完全相同，也在软件部分实现。对产生的结果进行比对，若相同则通过验证，否则验证失败。

(5)实现方式

本发明硬件部分使用Verilog HDL实现，软件部分使用C语言实现。根据SM9标准中的第五部分中提供测试用例的参数进行计算，并将输出的结果与测试用例进行对比。测试结果表明，FPGA加密系统的运行结果和SM9标准中的第五部分中提供测试用例一致，验证本发明的功能正确性。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种软硬件协同设计SM9数字签名通信方法，其特征是，步骤如下：

(1)密码生成中心产生公钥、私钥

密码生成中心产生随机数ks∈[1,N-1]作为签名主私钥，计算

中的元素P_pub-s作为签名主公钥，则签名主密钥对为(ks,P_pub-s)，密码生成中心保存ks，公开P_pub-s；

密码生成中心选择并公开用一个字节表示的签名私钥并生成函数识别符hid；

用户A的标识为ID_A，为产生用户A的签名私钥ds_A，密码生成中心首先在有限域F_N上计算t₁＝H₁(ID_A||hid,N)+ks，若t₁＝0则需重新产生签名主私钥，计算和公开签名主公钥，并更新已有用户的签名私钥；否则计算t₂＝ks·t₁ ^-1,然后计算ds_A＝[t₂]P₁；签名主私钥对为(ks,ds_A)；

(2)数字签名生成算法

待签名的消息为比特串M，为了得到消息M的数字签名(h,S)，作为签名者的用户A要实现的计算步骤如下：

步骤1)：通过双线性对运算计算群

中的元素g＝e(P₁,P_pub-s)；

步骤2)：产生随机数r∈[1,N-1]；

步骤3)：十二阶域模幂运算计算群

中的元素w＝g^r，将w转换为比特串；

步骤4)：计算整数h＝H₂(M||w,N)，H₂()为定义好的辅助密码函数；

步骤5)：计算整数l＝(r-h)mod N，若l＝0则返回第二步；

步骤6)：一阶标量乘运算调用设计的专用硬件加速器计算群

中的元素S＝[l]ds_A；

步骤7)：将h和S转换为字节串，得到消息M的签名(h,S)；

(3)数字签名验证算法

为了检验收到的消息M′及其数字签名(h′,S′)，作为验证者的用户B应实现以下的运算步骤：

步骤1)：按一定规则将h′的数据类型转换为整数，检验h′∈[1,N-1]是否成立，若不成立则验证不通过；

步骤2)：将S′的数据类型转换为椭圆曲线上的点，按照规则检验

是否成立，若不成立则验证不通过；

步骤3)：双线性对运算调用设计的专用硬件加速器计算群

中的元素g＝e(P₁,P_pub-s)

步骤4)：十二阶域模幂运算计算群

中的元素t＝g^h′

步骤5)：计算整数h₁＝H₁(ID_A||hid,N)

步骤6)：计算群

中的元素P＝[h₁]P₂+P_pub-s

步骤7)：双线性对运算调用设计的专用硬件加速器计算群

中的元素u＝e(S′,P)

步骤8)：计算群

中的元素w′＝u·t,按照一定的规则将w′的数据类型转换为比特串

步骤9)：计算整数h₂＝H₂(M′||w′,N),检验h₂＝h′是否成立，若成立则验证通过；否则验证不通过。

2.如权利要求1所述的软硬件协同设计SM9数字签名通信方法，其特征是，参数选择如下：

SM9数字签名是基于256位BN曲线上的运算完成完整的数字签名方案，保证签名过程中所有的运算都在有限域下进行，选择的BN曲线为以下方程所示的一组椭圆曲线：

E:y²＝x³+b(b≠0)；

其中，x,y分别代表椭圆曲线的横纵坐标，b为自定义的参数。构造BN曲线的主要参数包括有限域的特征p(t),r次扰点群的阶r(t)以及frobenius映射的迹(trace)tr(t),这些都可以表示为参数t的函数：

q(t)＝36t⁴+36t³+24t²+6t+1

N(t)＝36t⁴+36t³+18t²+6t+1

t_r(t)＝6t²+1

该族椭圆曲线的嵌入次数k＝12，因此在数字签名中使用的R-ate pairing算法需要在十二阶扩域中运算，通过三次有限域的扩展完成从素域到十二阶扩域的塔式扩张,α、ξ、v为对应的扩张系数，其有限域的扩展方式为：

(a)

(b)

(c)

(a)将素域扩展为二次扩域，约化多项式为：x²-α,α＝-2；

(b)将二次扩域扩展为四次扩域，约化多项式为：x²-u,u²＝α；

(c)将四次扩域扩展为十二次扩域，约化多项式为：x³-v,v²＝u；

通过上述扩域方式，得到不同域下的值的表示方式，而不同域下的值又形成坐落于不同坐标系下的点，主体部分通过仿射坐标系实现椭圆曲线上点的表示，在双线性对运算模块使用雅各比坐标系表示，并通过转换函数进行数值的换算，所有在SM9数字签名算法运算中的点必须坐落于已经构造出的BN曲线上。

3.如权利要求1所述的软硬件协同设计SM9数字签名通信方法，其特征是，其中，密码函数H1的运算过程均按照SM9密码行业标准中定义进行运算，密码函数H1中需要使用密码杂凑函数选用由国家密码管理局批准的密码杂凑函数：SM3密码杂凑函数，该函数将输入的长度小于2⁶⁴的消息比特串进行运算输出一个长度为256比特的杂凑值，密码函数H1调用SM3密码杂凑函数实现将输入的比特串Z和整数n进行运算输出一个整数h参与后续的运算；

一阶标量乘算法一级标量乘模块的运算过程在映射坐标系中由点加和点倍运算实现：

点倍的计算公式为：设

且y₁≠0，P₃＝(x₃,y₃)＝P₁+P₁，则

其中，λ＝(3x₁ ²+a)/(2y₁)；

点加的计算公式为：设

且x₁≠x₂，设P₃＝(x₃,y₃)＝P₁+P₂，则

其中，λ＝(y₂-y₁)/(x₂-x₁)；

通过SM9密码行业标准中定义多倍点公式实现一级标量乘运算；

由此，密码生成中心生成签名主公钥P_pub-s并将其公开，生成签名主私钥ds_A将其保存以便进行验证。

4.如权利要求3所述的软硬件协同设计SM9数字签名通信方法，其特征是，数字签名生成过程中，步骤中1)的双线性对为设计的专用硬件加速模块，双线性对的计算时选用R-ate对完成相应的计算，使用R-ate对进行双线性对计算的完整算法参照SM9密码行业标准中的定义，其加密公钥P＝(P_x,P_y)为BN曲线上素域有理点群G1中的点，私钥Q＝(X₁,Y₁,Z₁)属于BN曲线上二阶有限域有理点群G2中的点；

整个pairing运算过程在雅各比坐标系中由以下运算构成：点倍与直线函数、点加与直线函数、Frobenius映射到p次幂、Frobenius映射到p²次幂、Frobenius映射到p³次幂，其中，点倍与直线函数计算公式为

L_T,T(P)坐标用(X₂,Y₂,Z₂)。

点倍与直线函数计算公式为

L_T,T(P)坐标用(X₃,Y₃,Z₃)。

Frobenius映射到p次幂计算公式为

Frobenius映射到p²次幂计算公式为

Frobenius映射到p³次幂计算公式为

为对应扩域下素数的共轭值，δ_1,5、δ_1,2、δ_1,4、δ_1,1、δ_1,3等为提前定义好的参数。

5.一种软硬件协同设计SM9数字签名通信系统，其特征是，包括软件实现模块和硬件实现模块，用以实现基于椭圆曲线建立的SM9数字签名协议，进行双线性对运算、

次扩域下幂运算、一阶以及二阶扩域下的标量乘运算、密码函数运算；其中，硬件实现模块中，设置一个双线性对运算硬件加速模块实现双线性对的运算，设置一阶标量乘硬件加速模块实现签名过程中的标量乘运算；软件实现模块中，设置密码函数H₁()H₂()用于实现签名算法中的密码函数部分，设置十二阶扩域下幂运算实现幂的运算。

6.如权利要求5所述的软硬件协同设计SM9数字签名通信系统，其特征是，包模加减模块：设

模加/减即计算C＝(A±B)mod P的值，共有四种情况：如果是模加，则C＝A+B或C＝A+B-P；如果是模减，则C＝A-B或C＝A-B+P，利用一个3-2压缩器，将三个操作数压缩为两个操作数输入加法器；

模乘模块：为了避免除法，

上的模乘运算采用蒙哥马利模乘来代替，Montgomery模乘即：Mont(X,Y)＝X*Y*R^-1mod P，其中R＝2^k，k为P的位数，其核心思想是将对P的取模运算转化为对R的取模和除法运算，这样在执行的过程中就只需要简单的截取和移位操作，具体使用两个计算单元计算通用表达式(c,z)＝z+xy+c，取m＝4，n＝64，则将操作数分成4段，计算单元完成64位乘加运算，总共需要29个时钟周期；

运算模块由模加/减计算单元和模乘计算单元组成,由上述两个模块组成素域运算单元，有了底层

计算单元之后，以之为基础设计

计算单元，

上的基本运算同样包括模加/减，模乘和模逆，与

上不同的是，这些运算都是基于多项式规则来定义的，

上的模加/减运算由两个独立的

上的模加/减运算组成，即

A±B＝(a₁±b₁)u+(a₀±b₀)

是由两个

单元并行完成；

上的模乘运算公式为

A*B＝(a₁u+a₀)(b₁u+b₀)

＝(a₁b₀+a₀b₁)u+(αa₁b₁+a₀b₀)

这里的a₀、b₀、a₁、b₁均为一阶素域

上的值，根据SM9中的塔式扩张机制，这里的α＝-2，将αa₁b₁替换成-(a₁b₁+a₁b₁)，于是模乘运算包含4个独立的

乘法和3个

加减法，也可由两个独立的

单元并行完成，因此其底层封装了两个

模块；

双线性对的硬件模块采用并行化设计，因此下含两个相同的

计算单元。模逆运算使用扩展欧几里得算法转换成一系列模加/减和模乘运算。

7.如权利要求5所述的软硬件协同设计SM9数字签名通信系统，其特征是，包括密码生成中心、FPGA及其内存，密码生成中心产生公钥、私钥；所述内存中存储并在FPGA中运行数字签名生成算法程序、数字签名验证算法，程序步骤如下：

(1)数字签名生成算法

待签名的消息为比特串M，为了得到消息M的数字签名(h,S)，作为签名者的用户A要实现的计算步骤如下：

步骤1)：通过双线性对运算计算群

中的元素g＝e(P₁,P_pub-s)；

步骤2)：产生随机数r∈[1,N-1]；

步骤3)：十二阶域模幂运算计算群

中的元素w＝g^r，将w转换为比特串；

步骤4)：计算整数h＝H₂(M||w,N)，H₂()为定义好的辅助密码函数；

步骤5)：计算整数l＝(r-h)mod N，若l＝0则返回第二步；

步骤6)：一阶标量乘运算调用设计的专用硬件加速器计算群

中的元素S＝[l]ds_A；

步骤7)：将h和S转换为字节串，得到消息M的签名(h,S)；

(2)数字签名验证算法

为了检验收到的消息M′及其数字签名(h′,S′)，作为验证者的用户B应实现以下的运算步骤：

步骤1)：按一定规则将h′的数据类型转换为整数，检验h′∈[1,N-1]是否成立，若不成立则验证不通过；

步骤2)：将S′的数据类型转换为椭圆曲线上的点，按照规则检验

是否成立，若不成立则验证不通过；

步骤3)：双线性对运算调用设计的专用硬件加速器计算群

中的元素g＝e(P₁,P_pub-s)

步骤4)：十二阶域模幂运算计算群

中的元素t＝g^h′

步骤5)：计算整数h₁＝H₁(ID_A||hid,N)

步骤6)：计算群

中的元素P＝[h₁]P₂+P_pub-s

步骤7)：双线性对运算调用设计的专用硬件加速器计算群

中的元素u＝e(S′,P)

步骤8)：计算群

中的元素w′＝u·t,按照一定的规则将w′的数据类型转换为比特串

步骤9)：计算整数h₂＝H₂(M′||w′,N),检验h₂＝h′是否成立，若成立则验证通过；否则验证不通过。

Images