CN112699394B - 一种基于sm9算法的密钥应用方法 - Google Patents

Abstract

本发明公开一种基于SM9算法的密钥应用方法，步骤是：依照SM9算法的密钥生成规则，静态密钥管理中心基于用户标识生成用户的静态密钥，动态密钥管理中心通过对用户标识和给定动态变化量构建用户的动态标识，并基于用户动态标识生成用户的动态密钥；用户基于通信对方的静态标识生成静态公钥，基于通信对方的动态标识生成动态公钥，并基于所述静态公钥和动态公钥实现加密或验签的操作；用户自静态密钥管理中心获取静态私钥，自动态密钥管理中心获取动态私钥，并基于所述静态私钥和动态私钥实现解密或签名的操作。此种密钥应用方法，提供一种基于SKGC和DKGC的SM9密钥安全管理机制，可解决SM9算法的密钥托管、更新、撤销问题。

Description

一种基于SM9算法的密钥应用方法

技术领域

本发明属于密钥应用技术领域，特别涉及一种基于SM9算法生成密钥进行加密、解密、签名、验签等应用方法。

背景技术

SM9作为一种基于标识的密码系统(Identity-Based Cryptograph，IBC)，与PKI密码体系相比在密钥管理上存在一定的不足。一方面，用户私钥由密钥生成中心基于用户标识生成，将导致用户不是其私钥的唯一拥有者；另一方面，由于用户的密钥基于用户标识生成，用户标识一般不可更改，导致SM9算法密钥更新、撤销困难，有待改进。

发明内容

本发明的目的，在于提供一种基于SM9算法的密钥应用方法，提供一种基于SKGC和DKGC的SM9密钥安全管理机制，可解决SM9算法的密钥托管、更新、撤销问题。

为了达成上述目的，本发明的解决方案是：

一种基于SM9算法的密钥应用方法，包括如下步骤：

步骤S1，依照SM9算法的密钥生成规则，静态密钥管理中心SKGC基于用户标识生成用户的静态密钥；

步骤S2，依照SM9算法的密钥生成规则，动态密钥管理中心DKGC通过对用户标识和给定动态变化量构建用户的动态标识，并基于用户动态标识生成用户的动态密钥；

步骤S3，用户基于通信对方的静态标识生成静态公钥，基于通信对方的动态标识生成动态公钥，并基于所述静态公钥和动态公钥实现加密或验签的操作；用户自静态密钥管理中心SKGC获取静态私钥，自动态密钥管理中心DKGC获取动态私钥，并基于所述静态私钥和动态私钥实现解密或签名的操作；其中，相对应的加密和解密过程使用相同的密钥对，相对应的签名和验签使用相同的密钥对，且所述二密钥对不相同。

采用上述方案后，本发明采用基于隐私密钥机构的方案构建SKGC和DKGC，SKGC解决了SM9的密钥托管问题，DKGC解决SM9的密钥更新与撤销问题。

附图说明

图1是本发明的流程图；

图2是本发明中私钥提取的流程图；

图3是本发明中的加密流程图；

图4是本发明中的解密流程图；

图5是本发明中的签名流程图；

图6是本发明中的验签流程图。

具体实施方式

如图1所示，本发明提供一种基于SM9算法的密钥应用方法，包括如下步骤：

步骤S01，依照SM9算法的密钥生成规则，静态密钥生成中心SKGC基于用户标识生成用户的静态密钥，该静态密钥包含加密密钥对和签名密钥对；

步骤S02，依照SM9算法的密钥生成规则，动态密钥管理中心DKGC通过对用户标识和给定动态变化量构建用户的动态标识，并基于用户动态标识生成用户的动态密钥，该动态密钥也包含加密密钥对和签名密钥对；

步骤S03，在静态密钥和动态密钥的共同作用下，完成SM9算法的加密、解密、签名和验签功能。

所述步骤S01中，静态密钥生成中心SKGC采用基于密钥隐私机构的方案，解决了SM9的密钥托管问题，其系统设置和密钥提取的具体实现如下：

1)系统设置：

a、静态密钥生成中心SKGC包含1个KGC和n个KPA，它们使用相同的q阶的群G₁、G₂和G_T，双线性对e:G₁×G₂→G_T，生成元P₁∈G₁和P₂∈G₂，密码杂凑函数H_v，密码函数H₁，用户ID和私钥生成函数标识符hid，其中q为大素数，H_v和H₁为SM9标准中规定的函数；

b、KGC随机选取

计算P_pub＝[s₀]P₁，每个KPA随机选择

计算P_KPA-i＝[s_i]P₂；

c、设置

公开系统参数M_pt＝(G₁,G₂,G_T,e,P₁,P₂,P_pub,P_KPA-i,g,H_v,hid)。

2)私钥提取：

a、KGC分发用户私钥D₀＝s₀(h₀+s₀)^-1P₂，其中h₀＝H₁(H_v,ID||hid,q)；

b、用户生成随机数

并计算X＝[x]P₂和D′₀＝x·D₀；

c、对每个KPA，用户发送X和D′₀，要求KPA计算D_i＝s_i·D′₀，并通过验证

e(h₀P₁+P_pub,D′₀)＝e(P_pub,X)

来检查用户发来的数据的合法性，而用户通过计算

e(h₀P₁+P_pub,D_i)＝e(P_pub,P_KPA-i)^x

来确认计算过程的正确性；

d、A将n个KPA发来的结果相加得到：

e、通过下式去除盲因子，计算出用户的静态私钥D：

D＝x^-1·D′＝(s₁+s₂+…+s_n)s₀(h₀+s₀)^-1P₂

所述步骤S02中的标识为动态标识，基于用户标识ID和动态变量data的动态标识的具体生成方式如下：

ID′＝ID||data

所述步骤S02中，动态密钥生成中心DKGC所采用的系统参数与SKGC相同，具体的密钥生成过程如下：

a、DKGC随机选取

计算T_pub＝[t₀]P₁；

b、设置g_t＝e(T_pub,P₂)；

c、动态私钥为D_T＝t₀·(h_t+t₀)^-1P₂，h_t＝H₁(H_v,ID′||hid,q)；

d、公开T_pub和g_t；

步骤S03中所述的静态加密密钥和动态加密密钥在加密过程中的使用，需要对SM9算法作如下修改：

a、在标准加密流程的第1步增加计算Q_T＝h_tP₁+T_pub；

b、在标准加密流程的第3步增加计算C_t＝[r]Q_T；

c、将标准加密流程第5步的计算改为

d、在密钥派生函数的输入中增加C_t，即K＝KDF(C₁||C_t||w||ID,klen)；

e、在输出的密文中增加C_t，即密文为C＝C₁||C_t||C₃||C₂；

步骤S03中所述的静态密钥和动态密钥在解密过程中的使用，需要对SM9算法作如下修改：

a、在标准解密流程的第1步增加C_t的提取；

b、将标准解密流程的第2步修改为w′＝e(C₁,D)·e(C_t,D_T)；

c、在密钥派生函数的输入中增加C_t，即K′＝KDF(C₁||C_t||w′||ID,klen)；

步骤S03中所述的静态签名密钥和动态签名密钥在签名过程中的使用，需要对SM9算法作如下修改：

a、将标准签名流程的第3步修改为

b、在标准签名流程的第6步增加计算S₂＝[l]D_T-s，其中D_T-s为动态签名私钥；

c、将标准签名流程的第7步的签名信息中增加S₂，将签名改为：(h,S₁||S₂)；

步骤S03中所述的静态验签密钥和动态验签密钥在验签过程中的使用，需要对SM9算法作如下修改：

a、在标准验签流程的第2步增加S₂'的检验，即检验S₂'∈G₁是否成立；

b、将标准验签流程的第4步修改为

c、在标准验签流程的第5步增加计算h_t＝H₁(ID'||hid,q)；

d、在标准验签流程的第6步增加计算P_t＝[h_t]P₂+T_Pub-s，其中T_Pub-s为DKGC公开的签名参数；

e、将标准验签流程的第4步修改为：u＝e(S′₁,P)·e(S′₂,P_t)；

以上所述的标准流程可参考“袁峰,程朝辉.SM9标识密码算法综述[J].信息安全研究,2016,2(11):1008-1027.”。

所述DKGC具备密钥更新的功能，具体实现方式如下：

DKGC管理员可自由设定更新周期，假设预置时间密钥有效期为一周，密钥的更新过程是：DKGC基于用户的标识计算：ID′＝ID||next-week，然后重新计算：Q_T＝h_tP₁+T_pub(动态公钥)，D_T＝t₀·(h_t+t₀)^-1P₂(动态私钥)，即可为用户生成新的一周对应的动态密钥对。

所述DKGC具备密钥撤销的功能，具体实现方式如下：

对系统中已注销的用户或DKGC管理员需要主动撤销的用户，DKGC管理员可以停止向上述类型用户分发新的动态密钥对。由于密文(签名)发送方加密(签名)用到了动态公钥(动态私钥)，密文(签名)接收方由于没有最新的动态私钥(动态公钥)就无法配合解密(验签)接收到的密文(签名消息)，从而实现密钥撤销的功能。

本发明中增加的SKGC与DKGC是两套相互独立的密钥分发系统，SKGC执行类似SM9算法中KGC的功能，DKGC独立运行以配合SKGC完成相应的密码功能。因此，敌手攻破任一方系统都无法获得完整的静态和动态密钥对，而且要同时攻破两个系统的代价比较高昂。因此，本发明通过增加DKGC，可以实现用户私钥的双重保障，且不影响SM9原有的密钥系统架构，具备较好的鲁棒性、可延展性和功能耦合性，易于开展实际应用部署。

以下通过一个具体实施例对本发明的技术方案进行详细说明。

一、初始化

步骤1：1个KGC、n个KPA和1个DKGC使用相同的素数q阶的群G₁、G₂和G_T，双线性对e:G₁×G₂→G_T，生成元P₁∈G₁和P₂∈G₂，用户ID，密码杂凑函数H_v和标识符hid以及密码函数H₁、H₂，其中H_v、H₁和H₂均为SM9标准中规定的函数；

步骤2：KGC主密钥对的生成包括：KGC随机选取

作为主私钥，计算P_pub＝[s₀]P₁作为主公钥，其中

表示素数q阶乘法群中的整数；

步骤3：n个KPA主密钥对的生成包括：每个KPA随机选择

作为主私钥，计算P_KPA-i＝[s_i]P₂作为主公钥；

步骤4：DKGC时间主密钥对的生成包括：DKGC随机选取

作为时间主私钥，计算T_pub＝[t₀]P₁作为时间主公钥；

步骤5：公开系统参数M_pt如下：

M_pt＝(G₁,G₂,G_T,e,P₁,P₂,P_pub,P_KPA-i,T_pub,H_v,hid)

通过执行上述步骤1-5，在SKGC和DKGC中分别为用户生成用于加密、解密和签名、验签的密钥对。

二、私钥提取(参考图2)

步骤1：KGC验证s₀是否满足(H₁(H_v,ID||hid,q)+s₀)modq＝0；若满足，则KGC需重新生成s₀，并计算和公开主公钥P_pub；否则继续往下执行；

步骤2：KGC分发用户私钥D₀＝s₀(h₀+s₀)^-1P₂，其中：

h₀＝H₁(H_v,ID||hid,q)

步骤3：用户生成随机数

计算X＝[x]P₂和D′₀＝x·D₀；

步骤4：对n个KPA，用户发送X和D′₀，要求KPA计算D_i＝s_i·D′₀，计算结果分别返回给用户。其中，KPA通过验证e(h₀P₁+P_pub,D′₀)＝e(P_pub,X)来检查用户数据的合法性；用户通过计算e(h₀P₁+P_pub,D_i)＝e(P_pub,P_KPA-i)^x来确认KPA计算结果的正确性；

步骤5：用户将n个KPA发送来的计算结果相加得到：

步骤6：用户通过计算D＝x^-1·D′去除盲因子，得到自己的私钥：

D＝(s₁+s₂+…+s_n)s₀(h₀+s₀)^-1P₂

步骤7：DKGC验证h_t是否满足(h_t+t₀)modq＝0；若满足，则DKGC需重新产生时间主私钥t₀，否则继续往下执行。其中，h_t＝H₁(H_v,ID′||hid,q)；

步骤8：用户计算D_T＝t₀·(h_t+t₀)^-1P₂得到自己的时间私钥；

三、加密(参考图3)

假设用户Alice使用由用户Bob提供的公钥对消息进行加密，与Bob进行保密通信。

步骤1：用户Alice通过计算Q_B＝h₀P₁+P_pub＝H₁(H_v,ID_B||hid,q)P₁+P_pub得到用户Bob的加密公钥Q_B，DKGC计算Q_BT＝h_tP₁+T_pub＝H₁(H_v,ID′_B||hid,q)P₁+T_pub并发送Q_BT给用户Alice，其中，h_t＝H₁(H_v,ID′_B||hid,q)，密码函数H₁()与SM9中所采用的一致；

步骤2：用户Alice产生随机数：r∈[1,q-1]；

步骤3：用户Alice计算：C₁＝[r]Q_B，C_t＝[r]Q_BT；

步骤4：用户Alice计算：

g_t＝e(T_pub,P₂)；

步骤5：用户Alice计算：

步骤6：根据用户选择的加密方式进行计算；如果是基于密钥派生函数的序列密码算法，则计算整数klen＝mlen+K₂_len，然后计算K＝KDF(C₁||C_t||w||ID_B,klen)，令K₁为K最左边的mlen比特，K₂为剩下的K₂_len比特，若K₁为全0比特串，则返回步骤2，否则计算

如果是结合基于密钥派生函数的分组密码算法，则计算整数klen＝K₁_len+K₂_len，然后计算K＝KDF(C₁||C_t||w||ID_B,klen)，令K₁为K最左边的K₁_len比特，K₂为剩下的K₂_len比特，若K₁为全0比特串，则返回步骤32，否则计算C₂＝Enc(K₁,M)；其中，比特串M是待发送的消息，mlen为M的比特长度，K₁_len为分组密码算法中密钥K₁的比特长度，K₂_len为函数MAC(K₂,Z)中密钥K₂的比特长度；

步骤7：用户Alice计算C₃＝MAC(K₂,C₂)；

步骤8：用户Alice输出密文C＝C₁||C_t||C₃||C₂给用户Bob；

四、解密(参考图4)

假设用户Alice接收到用户Bob发来的经用户Alice的公钥加密后的消息，用户Bob将使用其私钥对接收到的消息进行解密。

步骤1：用户Bob从收到的密文C中取出比特串C₁、C_t，验证C₁∈G₁、C_t∈G₁是否成立，若不成立则报错并退出，否则继续执行以下步骤；

步骤2：用户Bob计算w′＝e(C₁,D_B)·e(C_t,D_BT)；

步骤3：根据用户选择的加密方式进行计算；如果是基于密钥派生函数的序列密码算法，则计算整数klen＝mlen+K₂_len，然后计算K′＝KDF(C₁||C_t||w′||ID_B,klen)，令K′₁为K′最左边的mlen比特，K′₂为剩下的K₂_len比特，若K′₁为全0比特串，则报错并退出，否则计算明文

如果是基于密钥派生函数的分组密码算法，则计算整数klen＝K₁_len+K₂_len，然后计算K′＝KDF(C₁||C_t||w′||ID_B,klen)，令K′₁为K′最左边的K₁_len比特，K′₂为剩下的K₂_len比特，若K′₁为全0比特串，则报错并退出，否则计算明文

其中，mlen为密文C＝C₁||C_t||C₃||C₂中C₂的比特长度，K₁_len为分组密码算法中K₁密钥的比特长度，K₂_len为函数MAC(K₂,Z)中密钥K₂的比特长度；

步骤4：用户Bob计算u＝MAC(K′₂,C₂)，从C中取出比特串C₃，若u≠C₃，则报错并退出，否则继续执行以下步骤；

步骤5：用户Bob输出明文M′；

五、签名(参考图5)

设用户Bob对比特串N进行签名，并且用户Bob已知SM9的系统参数、签名主公钥、签名私钥。

步骤1：用户Bob计算

g_t＝e(P₁,T_pub-s)；

步骤2：用户Bob产生随机数r∈[1,q-1]；

步骤3：用户Bob计算

步骤4：用户Bob计算整数h＝H₂(N||w,q)，其中比特串N是待签名消息；

步骤5：用户Bob计算整数l＝(r-h)modq，若l＝0则返回步骤2；

步骤6：用户Bob计算S₁＝[l]D_B-s、

步骤7：用户Bob输出消息N的签名为(h,S₁||S₂)；

六、验签(参考图6)

设用户Alice对用户Bob的签名进行验证，并且用户Alice已知SM9的系统参数、签名主公钥、用户Bob的标识信息、接收到的消息N及签名信息(h,S₁||S₂)。

步骤1：用户Alice对(h,S₁||S₂)验证h∈[1,q-1]是否成立，若不成立则验证不通过，否则继续执行以下步骤；

步骤2：用户Alice验证S₁∈G₂、S₂∈G₂是否成立，若不成立则验证不通过，否则继续执行以下步骤；

步骤3：用户Alice计算

g_t＝e(P₁,T_pub-s)；

步骤4：用户Alice计算

步骤5：用户Alice计算h₀＝H₁(ID_B||hid,q)、h_t＝H₁(ID′_B||hid,q)；

步骤6：用户Alice计算P＝[h₀]P₂+P_Pub-s、P_t＝[h_t]P₂+T_Pub-s；

步骤7：用户Alice计算u＝e(S₁,P)·e(S₂,P_t)；

步骤8：用户Alice计算w′＝u·t；

步骤9：用户Alice计算整数h₂＝H₂(N||w′,q)，检验h₂＝h是否成立，若成立则验证通过，否则验证不通过。

以上实施例仅为说明本发明的技术思想，不能以此限定本发明的保护范围，凡是按照本发明提出的技术思想，在技术方案基础上所做的任何改动，均落入本发明保护范围之内。

Claims (5)

1.一种基于SM9算法的密钥应用方法，其特征在于包括如下步骤：

步骤S1，依照SM9算法的密钥生成规则，静态密钥管理中心SKGC基于用户标识生成用户的静态密钥，这里静态密钥包含加密密钥对和签名密钥对；

步骤S2，依照SM9算法的密钥生成规则，动态密钥管理中心DKGC通过对用户标识和给定动态变化量构建用户的动态标识，并基于用户动态标识生成用户的动态密钥，动态密钥也包含加密密钥对和签名密钥对；

步骤S3，用户基于通信对方的静态标识生成静态公钥，基于通信对方的动态标识生成动态公钥，并基于所述静态公钥和动态公钥实现加密或验签的操作；用户自静态密钥管理中心SKGC获取静态私钥，自动态密钥管理中心DKGC获取动态私钥，并基于所述静态私钥和动态私钥实现解密或签名的操作；其中，加密、解密使用的密钥对与签名、验签使用的密钥对不相同；

所述步骤S2中，基于用户标识ID和动态变化量data的动态标识的具体生成方式如下：

ID′＝ID||data；

所述步骤S3中，静态私钥的提取过程是：

a、密钥生成中心KGC分发用户私钥D₀＝s₀(h₀+s₀)^-1P₂，其中h₀＝H₁(H_v,ID||hid,q)；

b、用户生成随机数

并计算X＝[x]P₂和D′₀＝x·D₀，其中，

表示素数阶乘法群中的整数；

c、对每个KPA，用户发送X和D′₀，要求KPA计算D_i＝s_i·D′₀，并通过验证

e(h₀P₁+P_pub,D′₀)＝e(P_pub,X)

来检查用户发来的数据的合法性；用户通过计算

e(h₀P₁+P_pub,D_i)＝e(P_pub,P_KPA-i)^x

来确认计算过程的正确性；

d、A将n个KPA发来的结果相加得到：

e、通过下式去除盲因子，计算出用户的静态私钥D：

D＝x^-1·D′＝(s₁+s₂+…+s_n)s₀(h₀+s₀)^-1P₂；

所述步骤S3中，动态私钥的生成方法是：

a、DKGC随机选取

计算T_pub＝[t₀]P₁；

b、设置g_t＝e(T_pub,P₂)；

c、动态私钥为D_T＝t₀·(h_t+t₀)^-1P₂，h_t＝H₁(H_v,ID′||hid,q)；

所述步骤S3中，DKGC对密钥进行更新，更新的过程是：DKGC基于用户的标识计算：ID′＝ID||next-week，然后重新计算动态公钥：Q_T＝h_tP₁+T_pub，重新计算动态私钥：D_T＝t₀·(h_t+t₀)^-1P₂，完成更新。

2.如权利要求1所述的方法，其特征在于：所述步骤S3中，用户A对发往用户B的消息进行加密的具体过程是：

步骤1，用户A通过计算Q_B＝h₀P₁+P_pub＝H₁(H_v,ID_B||hid,q)P₁+P_pub得到用户B的加密公钥Q_B，DKGC计算

并发送

给用户A，其中，h_t＝H₁(H_v,ID′_B||hid,q)，密码函数H₁()为SM9算法中的函数；

步骤2，用户A产生随机数：r∈[1,q-1]；

步骤3，用户A计算：C₁＝[r]Q_B，

步骤4，用户A计算：

g_t＝e(T_pub,P₂)；

步骤5，用户A计算：

步骤6，根据用户选择的加密方式进行计算；如果是基于密钥派生函数的序列密码算法，则计算整数klen＝mlen+K₂_len，然后计算K＝KDF(C₁||C_t||w||ID_B,klen)，令K₁为K最左边的mlen比特，K₂为剩下的K₂_len比特，若K₁为全0比特串，则返回步骤2，否则计算

如果是结合基于密钥派生函数的分组密码算法，则计算整数klen＝K₁_len+K₂_len，然后计算K＝KDF(C₁||C_t||w||ID_B,klen)，令K₁为K最左边的K₁_len比特，K₂为剩下的K₂_len比特，若K₁为全0比特串，则返回步骤2，否则计算C₂＝Enc(K₁,M)；其中，比特串M是待发送的消息，mlen为M的比特长度，K₁_len为分组密码算法中密钥K₁的比特长度，K₂_len为函数MAC(K₂,Z)中密钥K₂的比特长度；

步骤7：用户A计算C₃＝MAC(K₂,C₂)；

步骤8：用户A输出密文C＝C₁||C_t||C₃||C₂给用户B。

3.如权利要求1所述的方法，其特征在于：所述步骤S3中，用户B对来自用户A的消息进行解密的具体过程是：

步骤1，用户B从收到的密文C中取出比特串C₁、C_t，验证C₁∈G₁、C_t∈G₁是否成立，若不成立则报错并退出，否则继续执行以下步骤；

步骤2，用户B计算

步骤3，根据用户选择的加密方式进行计算；如果是基于密钥派生函数的序列密码算法，则计算整数klen＝mlen+K₂_len，然后计算K′＝KDF(C₁||C_t||w′||ID_B,klen)，令K′₁为K′最左边的mlen比特，K′₂为剩下的K₂_len比特，若K′₁为全0比特串，则报错并退出，否则计算明文

如果是基于密钥派生函数的分组密码算法，则计算整数klen＝K₁_len+K₂_len，然后计算K′＝KDF(C₁||C_t||w′||ID_B,klen)，令K′₁为K′最左边的K₁_len比特，K′₂为剩下的K₂_len比特，若K′₁为全0比特串，则报错并退出，否则计算明文

其中，mlen为密文C＝C₁||C_t||C₃||C₂中C₂的比特长度，K₁_len为分组密码算法中K₁密钥的比特长度，K₂_len为函数MAC(K₂,Z)中密钥K₂的比特长度；

步骤4，用户B计算u＝MAC(K′₂,C₂)，从C中取出比特串C₃，若u≠C₃，则报错并退出，否则继续执行以下步骤；

步骤5，用户B输出明文M′。

4.如权利要求1所述的方法，其特征在于：所述步骤S3中，用户B对比特串N进行签名的具体过程是：

步骤1，用户B计算

g_t＝e(P₁,T_pub-s)；

步骤2，用户B产生随机数r∈[1,q-1]；

步骤3，用户B计算

步骤4，用户B计算整数h＝H₂(N||w,q)，其中比特串N是待签名消息；

步骤5，用户B计算整数l＝(r-h)modq，若l＝0则返回步骤2；

步骤6，用户B计算S₁＝[l]D_B-s、

步骤7，用户B输出消息N的签名为(h,S₁||S₂)。

5.如权利要求1所述的方法，其特征在于：所述步骤S3中，用户A对用户B的签名进行验证的具体过程是：

步骤1，用户A对(h,S₁||S₂)验证h∈[1,q-1]是否成立，若不成立则验证不通过，否则继续执行以下步骤；

步骤2，用户A验证S₁∈G₂、S₂∈G₂是否成立，若不成立则验证不通过，否则继续执行以下步骤；

步骤3，用户A计算

g_t＝e(P₁,T_pub-s)；

步骤4，用户A计算

步骤5，用户A计算h₀＝H₁(ID_B||hid,q)、h_t＝H₁(ID′_B||hid,q)；

步骤6，用户A计算P＝[h₀]P₂+P_Pub-s、P_t＝[h_t]P₂+T_Pub-s；

步骤7，用户A计算u＝e(S₁,P)·e(S₂,P_t)；

步骤8，用户A计算w′＝u·t；

步骤9，用户A计算整数h₂＝H₂(N||w′,q)，检验h₂＝h是否成立，若成立则验证通过，否则验证不通过。

Images