CN113014398B - 基于sm9数字签名算法的聚合签名生成方法 - Google Patents

Abstract

本发明公开基于SM9数字签名算法的聚合签名生成方法，在不改变SM9数字签名算法整体架构的基础上，对消息签名过程中签名生成算法进行优化，使其能实现签名的聚合和签名的批量验证。即，多个签名可聚合成单个签名，通过验证该签名的有效性，就能确保原始多个签名的有效性，实现签名的批量验证。该方法不仅提高了签名的验证效率，而且减少了存储代价，降低了对带宽的要求，进一步拓宽SM9数字签名算法的应用。

Description

基于SM9数字签名算法的聚合签名生成方法

技术领域

本发明涉及信息安全技术领域，尤其涉及基于SM9数字签名算法的聚合签名生成方法。

背景技术

数字签名是保护数据安全的一种有效方法，采用技术手段达到和传统手写签名等同的功能，用于鉴定签名者和签名消息的有效性。数字签名允许验证者验证签名消息在传输过程中是否遭到篡改，确保签名消息的完整性和真实性。此外，它还能保证签名者身份的真实性和不可抵赖性。数字签名是公钥密码体系中非常重要的一部分，在多个领域有着重要作用。

签名有效性的验证通常需要消耗一定的计算资源，当要求验证多个消息签名时，采用逐个验证的方法会消耗较多的计算资源，不适用于计算资源有限的应用场景。在这种亟需提高多个签名验证效率的背景下，聚合签名孕育而生。聚合签名已在电子医疗、云计算、物联网、区块链等领域得到广泛的研究和应用。为实现密码自主可控，保障网络与信息安全，我国自主设计了SM9数字签名算法并成为了我国数字签名标准。然而，由于SM9签名算法结构的特殊性，该签名并不支持签名的聚合，无法实现签名的批量验证，严重阻碍了SM9数字签名算法的部署。

发明内容

本发明的目的在于提供基于SM9数字签名算法的聚合签名生成方法。在不改变SM9数字签名的整体架构上，对签名算法进行优化，使其支持签名的聚合。多个不同的消息签名可聚合成单个签名，验证聚合后签名的有效性等同于分别验证每个签名的有效性，不需要逐个验证，实现批量验证，极大地提高了签名的验证效率。

本发明采用的技术方案是：

基于SM9数字签名算法的聚合签名生成方法，包括步骤：

S1、密钥生成中心生成密钥生成中心的主公私钥对，将密钥生成中心的主公钥发送给系统中的用户(签名者和验证者)，秘密保存主私钥；

S2、密钥生成中心利用主公私钥对生成签名者的签名密钥，将签名密钥通过安全信道发送给签名者；

S3、签名者基于待签名的消息，利用密钥生成中心生成的签名密钥和密钥生成中心的主公钥生成SM9签名；

S4、聚合算法基于多个SM9消息签名和密钥生成中心的主公钥，生成SM9聚合签名；

S5、聚合签名验证算法基于聚合签名和密钥生成中心的主公钥验证SM9聚合签名的有效性。

本发明采用以上技术方案，在不改变SM9数字签名算法整体架构的基础上，对消息签名过程中签名生成算法进行优化，使其能实现签名的聚合和签名的批量验证。即，多个签名可聚合成单个签名，通过验证该签名的有效性，就能确保原始多个签名的有效性，实现签名的批量验证。该方法不仅提高了签名的验证效率，而且减少了存储代价，降低了对带宽的要求，进一步拓宽SM9数字签名算法的应用。

附图说明

以下结合附图和具体实施方式对本发明做进一步详细说明；

图1为本发明基于SM9数字签名算法的聚合签名生成方法的流程图；

图2为数字签名算法流程示意图；

图3为SM9聚合签名流程示意图；

图4为SM9聚合签名验证流程示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图对本申请实施例中的技术方案进行清楚、完整地描述。

现有的国标SM9数字签名算法具有强安全性和高效率性，常用于保护数据的完整性。但是，当需要验证多个消息签名时，只能逐个验证，无法实现批量验证。与国外支持批量验证消息签名的签名方案相比，效率低下，无法满足我国商业需求，限制了SM9数字签名算法的应用范围。通过多个SM9消息签名可聚合成单个签名，验证该签名的有效性等同于验证了多个签名的有效性。

如图1至图4之一所示，本发明公开了一种基于SM9数字签名算法的聚合签名生成方案，其包括步骤：

S1、密钥生成中心生成密钥生成中心的主公私钥对，将密钥生成中心的主公钥发送给系统中的用户(签名者和验证者)，秘密保存主私钥；

S2、密钥生成中心利用主公私钥对生成签名者的签名密钥，将签名密钥通过安全信道发送给签名者；

S3、签名者基于待签名的消息，利用密钥生成中心生成的签名密钥和密钥生成中心的主公钥生成SM9签名；

S4、聚合算法基于多个SM9的消息签名和密钥生成中心的主公钥，生成SM9聚合签名；

S5、聚合签名验证算法基于聚合签名和密钥生成中心的主公钥验证SM9聚合签名的有效性。

进一步的，所述步骤S1具体包括：

首先选取双线性群BP＝(G₁,G₂,G_T,e,N)，群G₁和群G₂的生成元分别为P₁和P₂。产生随机数α∈[1,N-1]作为主私钥，计算G₂中的元素(αP₂,α²P₂,…,α^mP₂)作为主公钥并设P_pub＝αP₂。选择并公开用一个字节表示的签名密钥生成函数识别符hid；

其中，BP：双线性群；N：循环群G₁,G₂,G_T的阶，且N＞2¹⁹¹的素数；G₁：阶为素数N的加法循环群；G₂：阶为素数N的加法循环群；G_T：阶为素数N的乘法循环群；e：从G₁×G₂到G_T的双线性映射；m：正整数，表示一次参与聚合的消息签名的上界；α：主私钥；[1，N-1]，

不小于1且不大于N-1的整数的集合；P₁：群G₁的生成元；P₂：群G₂的生成元；P_pub：群G₂中的元素；hid：用一个字节表示的签名密钥生成函数识别符，由密钥生成中心选择并公开。

所述步骤S2中密钥生成中心为签名者生成签名密钥具体包括：

为产生签名者的签名密钥sk_A，首先在有限域F_N上计算t₁＝H₁(ID_A||hid,N)+α，若t₁＝0，则需重新产生主公私钥对，计算和公开主公钥，并更新已有签名者的签名密钥；否则计算t₂＝α·t₁ ^-1，然后计算签名者的签名密钥sk_A＝t₂·P₁；

其中，ID_A：签名者A的标识，可以唯一确定签名者A的公钥；sk_A：签名者A的签名密钥，属于群G₁中的元素；F_N：有限域；ID_A||hid：ID_A与hid的拼接，其中ID_A和hid是比特串或字节串；t₁：临时变量，属于有限域F_N中的元素；t₂：临时变量，属于有限域F_N中的元素；H₁(ID_A||hid,N)：

到

由密码杂凑函数派生的密码函数。

所述步骤S3中签名者生成SM9数字签名具体包括：

产生随机数r∈[1,N-1]，计算C＝r·P₁，w＝e(C,P_pub)，h＝H₂(M||w,N)，l＝(r-h)mod N，

并输出SM9签名σ＝(C,S)；

其中，r：[1,N-1]中的随机数；M：待签名的消息；C：临时变量，属于群G₁中的元素；w：临时变量，属于群G_T中的元素；h：临时变量，属于有限域F_N中的整数；H₂(M||w,N)：{0,1}^*×G_T到

的由密码杂凑函数派生的密码函数；l：临时变量，属于有限域F_N中的整数；S：临时变量，属于群G₁中的元素；σ：消息M的签名。

所述步骤S4中聚合签名生成具体包括：

假设n(n≤m)个待聚合的消息签名为(σ_i,M_i,ID_i)，其中σ_i＝(C_i,S_i)，i＝1,2,…,n，为描述方便，不妨设

接着，计算

并输出聚合签名

其中，n：正整数，表示参与聚合的签名个数，且n≤m；(σ_i,M_i,ID_i)：待聚合的签名信息；σ_i：签名者ID_i对消息M_i的签名；U：临时变量，属于群G₁中的元素；τ：临时变量，消息和标识对的集合；σ_Agg：聚合后的签名。

所述步骤S5中聚合签名的验证具体包括：

假设待验证的聚合签名为

其中

首先定义多项式

对每一个索引i＝1,2,…,n，定义多项式

则f(a)P₂和

是可以通过主公钥计算得到。

接着，对每一个索引i＝1,2,…,n，计算w_i＝e(C_i,P_pub)，h_i＝H₂(M_i||w_i,N)，并检查等式

是否成立。若成立则验证通过，否则验证不通过是否成立；

其中，f(x)、f_i(x)：多项式；w_i：临时变量，属于群G_T中的元素；h_i：临时变量，属于有限域F_N中的整数；mod N：模数为N的模运算；C_i：临时变量，属于群G₁中的元素。

SM9聚合签名的验证过程具体如下：

此处对公式计算中需要说明的是：

假设G₁，G₂，G_T均是阶为大素数N的循环群，P₁，P₂分别是群G₁，G₂的生成元，Z_N为包含N个元素的整数域，双线性群BP由五元组(G₁,G₂,G_T,e,N)组成。其中映射e:G₁×G₂→G_T为双线性映射，满足以下3个条件：

(1)双线性性：对任意的生成元P₁∈G₁，P₂∈G₂和

都有e(aP₁,bP₂)＝e(P₁,P₂)^ab；

(2)非退化性：至少存在元素P∈G₁，Q∈G₂满足e(P,Q)≠1；

(3)可计算性：对于任意的P∈G₁,Q∈G₂，存在多项式时间算法高效计算e(P,Q)。

本发明采用以上技术方案，在不改变SM9数字签名算法整体架构的基础上，对消息签名过程中签名生成算法进行优化，使其能实现签名的聚合和签名的批量验证。即，多个签名可聚合成单个签名，通过验证该签名的有效性，就能确保原始多个签名的有效性，实现签名的批量验证。该方法不仅提高了签名的验证效率，而且减少了存储代价，降低了对带宽的要求，进一步拓宽SM9数字签名算法的应用。

显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。通常在此处附图中描述和示出的本申请实施例的组件可以以各种不同的配置来布置和设计。因此，本申请的实施例的详细描述并非旨在限制要求保护的本申请的范围，而是仅仅表示本申请的选定实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

Claims (3)

1.基于SM9数字签名算法的聚合签名生成方法，其特征在于：其包括步骤：

S1、密钥生成中心生成密钥生成中心的主公私钥对，将密钥生成中心的主公钥发送给系统中的用户，秘密保存主私钥；所述步骤S1具体包括：

S1-1、选取双线性群BP＝(G₁,G₂,G_T,e,N)，群G₁和群G₂的生成元分别为P₁和P₂；其中，BP表示双线性群；G₁、G₂分别表示阶为素数N的加法循环群；G_T表示阶为素数N的乘法循环群；e表示从G₁×G₂到G_T的双线性映射；N表示循环群G₁,G₂,G_T的阶，且N＞2¹⁹¹的素数；

S1-2、产生随机数α∈[1,N-1]作为主私钥，α表示主私钥；[1，N-1]，即

表示不小于1且不大于N-1的整数的集合；

S1-3、计算G₂中的元素(αP₂,α²P₂,…,α^mP₂)作为主公钥并设P_pub＝αP₂，其中，m表示一次参与聚合的消息签名的上界且正整数；P_pub表示群G₂中的元素；

S1-4、选择并公开用一个字节表示的签名密钥生成函数识别符hid；

S2、密钥生成中心利用主公私钥对生成签名者的签名密钥，将签名密钥通过安全信道发送给签名者；步骤S2中密钥生成中心为签名者生成签名密钥具体包括以下步骤：

S2-1、在有限域F_N上计算t₁＝H₁(ID_A||hid,N)+α，其中，H₁(ID_A||hid,N)表示

到

由密码杂凑函数派生的密码函数；ID_A为签名者A的标识，以唯一确定签名者A的公钥；ID_A||hid表示ID_A与hid的拼接，其中ID_A和hid是比特串或字节串；

S2-2、判定t₁＝0是否成立；是则，重新产生主公私钥对，计算和公开主公钥，并更新已有签名者的签名密钥；否则，计算t₂＝α·t₁ ^-1，并计算签名者的签名密钥sk_A＝t₂·P₁，其中，sk_A为签名者A的签名密钥，属于群G₁中的元素；t₁、t₂为临时变量，属于有限域F_N中的元素；

S3、签名者基于待签名的消息，利用密钥生成中心生成的签名密钥和密钥生成中心的主公钥生成SM9签名；S3中签名者生成SM9数字签名具体方法为：

产生随机数r∈[1,N-1]，计算C＝r·P₁，w＝e(C,P_pub)，h＝H₂(M||w,N)，

并输出SM9签名σ＝(C,S)；

其中，M为待签名的消息；C、S为临时变量，属于群G₁中的元素；w为临时变量，属于群G_T中的元素；h、

均为临时变量，属于有限域F_N中的整数；H₂(M||w,N)表示{0,1}^*×G_T到

的由密码杂凑函数派生的密码函数；

S4、聚合算法基于多个SM9消息签名和密钥生成中心的主公钥生成SM9聚合签名；步骤S4中聚合签名生成具体包括：

S4-1、设n(n≤m)个待聚合的消息签名为(σ_i,M_i,ID_i)，其中σ_i＝(C_i,S_i)，i＝1,2,…,n，其中，n为正整数，表示参与聚合的签名个数，且n≤m；σ_i为签名者ID_i对消息M_i的签名；

S4-3、令

计算

并输出聚合签名

其中，U为临时变量，属于群G₁中的元素；τ为临时变量，消息和标识对的集合；

S5、聚合签名验证算法基于聚合签名和密钥生成中心的主公钥验证SM9聚合签名的有效性。

2.根据权利要求1所述的基于SM9数字签名算法的聚合签名生成方法，其特征在于：步骤S5中聚合签名的验证具体包括：

S5-1、设待验证的聚合签名为

其中

C_i为临时变量，属于群G₁中的元素；

S5-2、定义多项式

对每一个索引i＝1,2,…,n，定义多项式

则f(α)P₂和

通过主公钥计算得到；其中，modN表示模数为N的模运算；

S5-3、对每一个索引i＝1,2,…,n计算w_i＝e(C_i,P_pub)，h_i＝H₂(M_i||w_i,N)，其中，w_i为临时变量，属于群G_T中的元素；h_i为临时变量，属于有限域F_N中的整数；

S5-4、检查等式

是否成立；是则，验证通过；否则，验证不通过。

3.根据权利要求1或2所述的基于SM9数字签名算法的聚合签名生成方法，其特征在于：步骤S5中SM9聚合签名的验证过程具体如下：

其中，映射e:G₁×G₂→G_T为双线性映射，满足以下3个条件：

(1)双线性性：对任意的生成元P₁∈G₁，P₂∈G₂和

都有e(aP₁,bP₂)＝e(P₁,P₂)^ab；

(2)非退化性：至少存在元素P∈G₁,Q∈G₂满足e(P,Q)≠1；

(3)可计算性：对于任意的P∈G₁,Q∈G₂，存在多项式时间算法高效计算e(P,Q)。

Images