CN113079003A - 一种分布式sm9密钥生成方法及系统 - Google Patents

Abstract

本发明公开了一种分布式SM9密钥生成方法及系统。本方法为：1)通过n个设定的密钥生成中心生成系统公共参数；2)n个所述密钥生成中心共同运行，每一所述密钥生成中心获得一个重复秘密分享分片和主私钥s的一个分片；其中第i个所述密钥生成中心KGC_i获得一个重复秘密分享分片σ_i和主私钥s的分片s_i；3)每个所述密钥生成中心根据重复秘密分享分片和主私钥s的一个分片，为目标设备生成一个私钥分片并发送给密钥合成中心；其中密钥生成中心KGC_i生成私钥分片

4)密钥合成中心收到大于或等于t+1个所述私钥分片后进行密钥合成，得到该目标设备的私钥。

Description

一种分布式SM9密钥生成方法及系统

技术领域

本发明属于信息安全技术领域，涉及一种基于多个密钥中心生成SM9用户密钥的方法及系统。

背景技术

在基于身份的密码学系统中不需要管理证书，与传统的基于证书颁发机构(CA)的公钥基础设施(PKI)相比，基于身份的密码系统(IBC)在传输效率和系统设计方面更占优势。例如，可使用密码算法对物联网设备私密数据进行加密。目前，国密SM9算法是我国唯一的基于身份的密码标准。实际中，物联网设备出厂前，由厂商为设备生成设备私钥。另一方面，一旦(厂商)主私钥泄露，所有由该厂商制造的设备将受到影响。因此如何保护主私钥对于SM9算法的安全具有重要意义。

本发明提出一种分布式(t,n)-门限SM9用户密钥生成方法，解决SM9主私钥泄漏造成的用户密钥安全问题。

目前已知一篇期刊论文(许盛伟,任雄鹏,袁峰等.一种关于SM9的安全密钥分发方案.计算机应用与软件,2020,37(01):314-319.)采用让密钥生成中心分享主私钥倒数的方式来分布式生成用户密钥。但他们的方案存在以下三个不足：(1)方案正确性存在问题：虽然该方案能正确提取出用户密钥，但很难从主私钥倒数的分片中提取出主公钥从而提取出用户公钥。而本发明在多个密钥生成中心间分享的是主私钥，可以高效地从主私钥分片中提取出用户的私钥和公钥；(2)方案不完整：该方案并未描述在系统建立阶段，主私钥的倒数是如何在多个密钥生成中心进行分享的。而本发明提出了一个密钥协商协议，主私钥由多个密钥生成中心协商得出无须可信第三方预先分配；(3)方案不高效：该方案的分布式用户密钥提取阶段需要密钥生成中心进行三轮交互，而本发明只需要一轮。

目前已知一项中国专利CN108418686A(一种多分布式的SM9解密方法与介质及密钥生成方法)采用了“分布式门限解密”的方式来保护加密密钥。该发明保护的密钥属于用户层次。而本发明则采用分布式多密钥生成中心形式，保护的是主私钥的安全。一旦主私钥泄露，用户的密钥也会随之泄露。

发明内容

本发明致力于解决中心化密钥生成导致的系统单点失败问题。对于SM9算法而言，单点失败问题的危害性体现在两个方面：(1)主密钥泄露的风险高：一旦唯一的密钥生成中心被攻破，主私钥也会随之泄露；(2)系统鲁棒性差：一旦唯一的密钥生成中心崩溃，整个系统的密钥生成服务也将被迫停止。

本发明采用以下的技术方案：(1)针对潜在的主私钥泄露风险，本发明提出的分布式密钥生成方案将主私钥分成了n个分片，分别由n个子密钥生成中心独立管理。主私钥的泄露需要攻破至少t+1个子密钥生成中心，而在中心化密钥生成的场景下，只需要攻破1个密钥生成中心。相较而言，在分布式密钥生成的场景下，主私钥泄露所需的攻击成本大，泄露风险小；(2)针对单点失败导致的服务不可用问题，本发明提出的分布式密钥生成方案采用(t,n)-门限密钥生成的方式，当宕机的密钥生成中心的个数小于n-2t个时，系统仍能正常提供密钥生成服务。并且系统管理员可以在保证n>2t的前提下自由设置t,n的取值。本发明不但适用于SM9的加密也适用于SM9签名、或密钥协商，能够较好地兼容现有系统。

下面以物联网设备制造为应用场景，结合该场景中涉及的角色及功能，简要介绍本发明提出的SM9分布式密钥生成方案。如图1所示，本发明主要涉及3个实体：密钥生成中心(KGC)，密钥合成中心(CC)，物联网设备。

1、密钥生成中心(KGC)：持有主私钥的分片s_i。与其它密钥生成中心交互，为物联网设备生成私钥分片

密钥生成中心的个数由系统参数n确定，且只有在获得了大于等于t+1个主私钥分片s_i的情况下，才能重构恢复出主私钥s。

2、密钥合成中心(CC)：是一个无状态的实体。与密钥生成中心交互，获取物联网设备私钥的分片

并将分片

合成完整的设备私钥S_ID，然后将S_ID安装到物联网设备上。合成完整的设备私钥S_ID需要至少t+1个设备私钥分片

且密钥合成中心不存储设备私钥S_ID，安装完成后立即销毁S_ID。

3、物联网设备：是一个存储计算能力都较弱的实体，在出厂之前需要将设备私钥安装好。

本发明提出的分布式SM9密钥生成方法，实现步骤如下：

1、系统初始化：由n个密钥生成中心共同运行，确定系统公共参数。如公开的SM9算法所使用的双线性对参数组

，密钥生成中心的个数n(n>0)，以及系统门限值t(t≥0)。如果n个密钥生成中心使用的系统参数不一致或条件n>2t不满足，则n个密钥生成中心立刻停止运行。

2、系统建立：由n个密钥生成中心共同运行，确定系统主私钥s。每个密钥生成中心KGC_i在运行完此步后将会获得一个私密的重复秘密分享分片σ_i和一个沙米尔(Shamir)秘密分享分片s_i，s_i即主私钥s的分片。KGC_i获得σ_i和s_i的主要步骤如下：

(1)每个密钥生成中心KGC_i先各自在本地选取一个随机值μ_i，然后以重复秘密分享的形式分享给其它n-1个密钥生成中心。

(2)每个密钥生成中心KGC_i分享完自己选的随机值给其它n-1个密钥生成中心后，加上自己选的随机值μ_i的重复秘密分享分片，每个密钥中心将会获得n个重复秘密分享的分片。然后密钥生成中心KGC_i在本地将这n个分片相加，相加的结果就是其获得的全局重复秘密分享的分片σ_i，该分片分享的秘密是σ＝μ₁+μ₂+…+μ_n，由n个密钥生成中心共同决定。

(3)每个密钥生成中心KGC_i再将σ_i作为输入，在本地运行秘密分享分片转换算法，该算法的输出即是该密钥生成中心KGC_i私下持有的主私钥分片s_i。

3、生成设备私钥分片：由n个密钥生成中心共同运行，每个密钥生成中心KGC_i将在此步为物联网设备生成一个私钥分片

由于SM9算法的用户密钥形式不具有任何同态性质，在为物联网设备生成私钥分片的时候，密钥生成中心之间需要交互需要运行安全多方计算协议，以保证在交互过程中密钥生成中心KGC_i的主私钥分片s_i不会泄露给其它密钥生成中心。涉及的主要步骤如下：

(1)每个密钥生成中心KGC_i收到物联网设备的ID后，将自己持有的主私钥分片s_i与F(ID)相加得到一个Shamir share分片x_i＝s_i+F(ID)，此x_i是秘密s+F(ID)的一个分片，其中F(ID)是一个由SM9算法指定的密码杂凑函数，作用是将物联网设备的ID(一个字符串)映射成一个域元素。

(2)每个密钥生成中心KGC_i在本地运行一次秘密分享分片转换算法，输入是重复秘密分享的分片σ_i，输出是一个伪随机的Shamir share分片r_i，此r_i是秘密r的一个分片(r是一个伪随机数，由秘密分享分片转换算法和σ生成)。

(3)n个密钥生成中心共同运行一次半诚实的分布式多方乘法协议并在协议中分享Shamir share分片x_i和r_i的乘积x_i·r_i，运行完该乘法协议后，每个密钥生成中心KGC_i根据自己持有的x_i·r_i分片和收到的分片进行拉格朗日插值计算得到秘密x和秘密r的乘积z＝x·r。

(4)每个密钥生成中心KGC_i计算ω_i＝1-F(ID)·r_i/z，该Shamir share分片分享的秘密是s/(s+F(ID))。

(5)每个密钥生成中心KGC_i将ω_i与SM9算法指定的椭圆曲线的生成点进行一次数乘，得到一个新的椭圆曲线上的点

然后再将

发送给密钥合成中心进行设备私钥合成。将设备私钥分片以椭圆曲线上的点

的形式发送给密钥合成中心，而不直接发送ω_i，是为了防止密钥合成中心从设备私钥分片中计算出密钥生成中心的主私钥分片s_i。

4、合成完整的设备密钥：由密钥合成中心运行。当密钥合成中心从密钥生成中心处收到了大于等于t+1个设备私钥分片后，才能开始进行密钥合成。因设备私钥分片的形式是椭圆曲线上的点，密钥合成中心需对t+1个私钥分片进行椭圆曲线上的拉格朗日插值。

5、安装设备密钥：由密钥合成中心运行。合成完整设备私钥后，密钥合成中心直接将该私钥安装到物联网设备上。然后重置跟计算该设备私钥相关的内存。

本发明与现有技术相比的优点在于：

1、本发明提出了第一个完整的分布式SM9用户密钥生成方案。该方案中的主私钥由多个密钥中心共同协商生成，不需要可信第三方预先分配。与传统的单密钥生成中心生成SM9密钥的方式相比，本发明可避免中心化密钥生成带来的单点失败问题。分布式SM9密钥生成的优势体现在两方面：(1)可以有效减小SM9算法中主私钥泄露的风险；(2)系统鲁棒性更强：系统可以容忍一定数目的密钥生成中心宕机，而不影响密钥生成服务的正常运行。

2、本发明提出的分布式SM9密钥生成方案，采用分布式多密钥生成中心的形式，在加强主私钥保护的同时，保证了良好的系统兼容性：分布式生成的用户公钥和私钥保持着和原SM9算法一样的形式，因此本发明的技术方案不会影响原SM9算法继用户密钥生成之后的步骤，如SM9的签名与验签算法、加密解密算法、密钥交换协议。

3、与现有的专利相比，本发明提出的技术方案属于主私钥层次的私钥保护。相比于用户层次的私钥保护，本发明解决的主私钥泄露问题更根源，在实际应用中影响更为广泛。因所有的用户私钥都可以通过主私钥计算出来，如果主私钥保护不当造成泄露，所有的用户私钥也将随之受到影响。而如果只是用户私钥保护不当造成泄露，只有私钥被泄露的用户才会受到影响。

附图说明

图1为本发明的系统组成框图；

图2为(1,3)门限-分布式SM9密钥生成示意图。

具体实施方式

下面结合附图及实施例对本发明进行详细说明。

如图1所示，本系统将所有参与实体根据功能进行划分如下：

1、密钥生成中心(KGC)，持有主私钥分片，为物联网设备生成私钥分片。

2、密钥合成中心(CC)，从密钥生成中心处收集设备私钥分片，合成完整的设备私钥，并安装到物联网设备上。

在开始描述本发明的实施例的技术方案之前，先将本发明用到的符号及其定义描述如下：

G₁,G₂:阶为素数p的加法循环群；

P₁,P₂:分别是群G₁,G₂的生成元；

G_T:阶为素数p的乘法循环群；

e:G₁×G₂→G_T：一个双线性映射对；

F(ID):密码杂凑函数，将物联网设备的ID映射成

上的一个元素；

SM9算法所需的参数组；

n：密钥生成中心的个数；

t：秘密分享的门限；

(t,n)-Replicated share方案，分享的秘密μ_i由第i个密钥生成中心选取，发送给第j个密钥生成中心；

σ_i：第i个密钥生成中心KGC_i所持有的秘密σ的Replicated share分片；

s_i：第i个密钥生成中心KGC_i持有的主私钥s的Shamir share分片；

mpk_i：第i个密钥生成中心KGC_i生成的主公钥mpk的Shamir share分片；

ID：物联网设备的ID，如设备序列号等；

st_i：i时刻系统的状态；

秘密分享分片转换算法。输入是t门限的Replicated share分片，输出是伪随机的t门限的Shamir share分片；

秘密分享分片转换算法。输入是t门限的Replicated share分片，输出是伪随机的2t门限的Shamir share分片，且分享的Shamir秘密为0；

r_i：第i个密钥生成中心KGC_i运行

秘密分片转换算法后获得的一个伪随机t门限的Shamir share分片；

y_i：第i个密钥生成中心KGC_i运行

秘密分片转换算法后获得的一个伪随机2t门限的Shamir share分片，分享的秘密是0；

z_i：是一个2t门限的Shamir share分片；

第i个密钥生成中心为物联网设备生成的私钥分片。

图2是当n＝3,t＝1时分布式SM9密钥生成的示意图。下面结合图2，叙述本发明具体实施的步骤。

1、系统初始化

步骤1-1：n个密钥生成中心读取配置文件，开放监听端口1，监听来自于其它密钥生成中心的连接；

步骤1-2：开放监听端口2，监听来自于密钥合成中心的连接；

步骤1-3：获取其它密钥生成中心的IP地址和监听端口信息，尝试与其它密钥生成中心建立网络连接；

步骤1-4：密钥生成中心查看监听端口1上接收的连接数是否达到n-1个，如果达到，进入下一步；如果没达到，继续等待；

步骤1-5：当n个密钥生成中心两两之间建立好了网络连接后，每个密钥生成中心从配置文件中提取系统参数

并检查是否满足n>2t，如果满足，进行下一步；如果不满足，停止运行，关闭和其它n-1个密钥生成中心的网络连接；

步骤1-6：向其它n-1个密钥生成中心发送配置文件里的系统参数

步骤1-7：每个密钥生成中心检查自己配置文件里的参数

是否与其它n-1个密钥生成中心发送来的参数相同。如果相同，继续进行下一步；如果不同，停止运行。

2、系统建立

步骤2-1：每个密钥生成中心KGC_i随机从

上选取一个元素μ_i作为重复秘密分享的秘密，并向KGC_j发送

Replicated share分片，自己保留

步骤2-2：每个密钥生成中心KGC_i从配置文件里读取系统初始状态st₀(一个字符串)，同

一起发送给KGC_j；

步骤2-3：每个密钥生成中心KGC_i检查从其它n-1个密钥生成中心发来的系统初始状态st₀是否与自己配置文件里的初始状态相同。如果相同，进入下一步。如果不同，停止运行；

步骤2-4：每个密钥生成中心KGC_i从其它n-1个密钥生成中心处获得了n-1个Replicated share分片，加上自己保留的分片一共n个，然后将这n个分片相加，即

得到一个新的Replicated share分片σ_i，该分片分享的秘密是

步骤2-5：每个密钥生成中心KGC_i将σ_i和st₀作为输入，运行秘密分享分片转换算法

得到一个伪随机t门限的Shamir share分片s_i，分享的秘密是s。将s作为主私钥，则s_i就是密钥生成中心KGC_i私密持有的主私钥分片；

步骤2-6：每个密钥生成中心KGC_i计算mpk_i＝[s_i]P₁，并将mpk_i发送给密钥合成中心；

步骤2-7：密钥合成中心接收从密钥生成中心传来的主公钥mpk分片，检查分片个数是否大于t。如果大于，对其中t+1个分片进行拉格朗日插值：

其中

如果不大于，继续等待；

步骤2-8：为后续计算方便，每个密钥生成中心KGC_i可将Replicated share分片σ_i和主私钥分片s_i写入文件，保存起来。此步骤可选。

3、生成设备私钥分片

步骤3-1：密钥合成中心与n个密钥生成中心建立连接后，将物联网设备的ID发送给n个密钥生成中心；

步骤3-2：密钥生成中心KGC_i收到密钥合成中心发送来的设备ID后，计算F(ID)；

步骤3-3：每个密钥生成中心KGC_i在本地计算x_i＝s_i+F(ID)mod p；

步骤3-4：每个密钥生成中心KGC_i将系统状态st₀新增1更新为st₁；

步骤3-5：每个密钥生成中心KGC_i将σ_i和st₁作为输入，运行秘密分享分片转换算法

得到一个伪随机t门限的Shamir share分片r_i，分享的秘密是r；

步骤3-6：每个密钥生成中心KGC_i将σ_i和st₁作为输入，运行秘密分享分片转换算法

得到一个伪随机2t门限的Shamir share分片y_i，分享的秘密是0；

步骤3-7：每个密钥生成中心KGC_i计算z_i＝x_i·r_i+y_i，z_i是一个伪随机的2t门限的Shamir share分片，分享的秘密是x·r；

步骤3-8：每个密钥生成中心KGC_i向其它n-1个密钥生成中心广播z_i；

步骤3-9：每个密钥生成中心KGC_i将st₁一同向其它n-1个密钥生成中心广播；

步骤3-10：每个密钥生成中心KGC_i检查自己本地的系统状态是否和其它n-1个密钥生成中心发来的系统状态st₁相同，如果不相同，更新自己的系统状态为收到的最新st，然后回退到步骤3-4；

步骤3-11：每个密钥生成中心KGC_i接收从其它密钥生成中心发来的秘密z＝x·r的Shamir share分片z_i，并且检查分片个数是否大于2t。如果不大于，继续等待；

步骤3-12：每个密钥生成中心KGC_i对收到的2t+1个分享秘密z＝x·r的Shamirshare分片进行拉格朗日插值

其中

步骤3-13：每个密钥生成中心KGC_i计算

该Shamirshare分片分享的秘密是s/(s+F(ID))；

步骤3-14：每个密钥生成中心KGC_i计算物联网设备私钥的第i个分片

步骤3-15：每个密钥生成中心KGC_i向密钥合成中心发送私钥分片

4、合成设备私钥分片并安装

步骤4-1：密钥合成中心等待从密钥生成中心发来的物联网设备私钥的分片。当分片个数大于t时，进入下一步。如果不大于，则继续等待；

步骤4-2：密钥合成中心从收到的私钥分片中选取t+1个出来进行拉格朗日插值，合成完整的设备私钥。即

其中

步骤4-3：密钥合成中心将主公钥mpk和完整的私钥S_ID安装到物联网设备上；

步骤4-4：密钥合成中心重置跟计算设备私钥S_ID相关的内存；

步骤4-5：密钥合成中心为下一个物联网设备安装私钥，跳回步骤3-1。

提供以上实施例仅仅是为了描述本发明的目的，而并非要限制本发明的范围。本发明的范围由所附权利要求限定。不脱离本发明的精神和原理而做出的各种等同替换和修改，均应涵盖在本发明的范围之内。

Claims (9)

1.一种分布式SM9密钥生成方法，其步骤包括：

1)通过n个设定的密钥生成中心生成系统公共参数

且满足n＞2t；t为系统门限值，

为SM9算法所需的双线性对参数组；

2)n个所述密钥生成中心共同运行，每一所述密钥生成中心获得一个重复秘密分享分片和主私钥s的一个分片；其中第i个所述密钥生成中心KGC_i获得一个重复秘密分享分片σ_i和主私钥s的分片s_i；

3)每个所述密钥生成中心根据重复秘密分享分片和主私钥s的一个分片，为目标设备生成一个私钥分片并发送给密钥合成中心；其中密钥生成中心KGC_i生成私钥分片

4)密钥合成中心收到大于或等于t+1个所述私钥分片后进行密钥合成，得到该目标设备的私钥。

2.如权利要求1所述的方法，其特征在于，所述密钥生成中心KGC_i获得重复秘密分享分片σ_i和分片s_i的方法为：

2-1)密钥生成中心KGC_i先选取或生成一个随机值μ_i，然后以重复秘密分享的形式分享给其它n-1个密钥生成中心；

2-2)密钥生成中心KGC_i根据收到的其它n-1个密钥生成中心的随机值与随机值μ_i，得到重复秘密分享分片σ_i；

2-3)密钥生成中心KGC_i将σ_i作为秘密分享分片转换算法的输入，计算得到主私钥分片s_i。

3.如权利要求2所述的方法，其特征在于，所述密钥生成中心KGC_i生成私钥分片

的方法为：

3-1)密钥生成中心KGC_i收到一目标设备的ID后，将自己持有的主私钥分片s_i与F(ID)相加得到一个Shamir share分片x_i，其中F(ID)是一个由SM9算法指定的密码杂凑函数，用于将ID信息映射成一个域元素；

3-2)密钥生成中心KGC_i将σ_i作为秘密分享分片转换算法的输入，输出是一个伪随机的Shamir share分片r_i；

3-3)n个密钥生成中心共同运行一次半诚实的分布式多方乘法协议并在协议中分享Shamir share分片x_i和r_i的乘积x_i·r_i，运行完该乘法协议后，每个密钥生成中心KGC_i根据自己持有的x_i·r_i分片和收到的分片进行拉格朗日插值计算得到秘密x和秘密r的乘积z＝x·r；

3-4)密钥生成中心KGC_i计算ω_i＝1-F(ID)·r_i/z；

3-5)密钥生成中心KGC_i将ω_i与SM9算法指定的椭圆曲线的生成点进行一次数乘，得到一个新的椭圆曲线上的点

即私钥分片

4.如权利要求1所述的方法，其特征在于，所述私钥分片是椭圆曲线上的点，所述密钥合成中心对t+1个所述私钥分片进行椭圆曲线上的拉格朗日插值，得到该目标设备的私钥。

5.如权利要求1所述的方法，其特征在于，生成系统公共参数

的方法为：

1-1)每一所述密钥生成中心读取配置文件，并通过端口1监听来自于其它密钥生成中心的连接；

1-2)每一所述密钥生成中心通过端口2监听来自于密钥合成中心的连接；

1-3)每一所述密钥生成中心获取其它密钥生成中心的IP地址和监听端口信息，尝试与其它所述密钥生成中心建立网络连接；

1-4)每一所述密钥生成中心查看监听端口1上接收的连接数是否达到n-1个，如果达到，则进入步骤1-5)；如果没达到，继续等待；

1-5)当n个所述密钥生成中心两两之间建立好了网络连接后，每个密钥生成中心从配置文件中提取系统参数

并检查是否满足n＞2t，如果满足，则进行1-6)；如果不满足，停止运行，关闭和其它n-1个密钥生成中心的网络连接；

1-6)每一所述密钥生成中心向其它n-1个密钥生成中心发送配置文件里的系统参数

1-7)每一所述密钥生成中心检查自己配置文件里的参数

是否与其它n-1个密钥生成中心发送来的参数相同；如果相同，则进行步骤2)；否则停止运行。

6.如权利要求1所述的方法，其特征在于，所述密钥合成中心合成得到该目标设备的私钥后，将该私钥安装到该目标设备上；然后删除本地的该私钥。

7.一种分布式SM9密钥生成系统，其特征在于，包括n个密钥生成中心和一密钥合成中心；其中，n个所述密钥生成中心生成系统公共参数

且满足n＞2t，则n个所述密钥生成中心共同运行，每一所述密钥生成中心获得一个重复秘密分享分片和主私钥s的一个分片；t为系统门限值，

为SM9算法所需的参数组；

所述密钥生成中心持有主私钥的分片，并与其它密钥生成中心交互，为目标设备生成私钥分片并发送给所述密钥合成中心；

密钥合成中心，用于当收到大于或等于t+1个所述私钥分片后进行密钥合成，得到该目标设备的私钥。

8.如权利要求7所述的系统，其特征在于，第i个密钥生成中心KGC_i获得重复秘密分享分片σ_i和分片s_i的方法为：2-1)密钥生成中心KGC_i先选取或生成一个随机值μ_i，然后以重复秘密分享的形式分享给其它n-1个密钥生成中心；2-2)密钥生成中心KGC_i根据收到的其它n-1个密钥生成中心的随机值与随机值μ_i，得到重复秘密分享分片σ_i；2-3)密钥生成中心KGC_i将σ_i作为秘密分享分片转换算法的输入，计算得到主私钥分片s_i。

9.如权利要求8所述的系统，其特征在于，密钥生成中心KGC_i生成私钥分片

的方法为：3-1)密钥生成中心KGC_i收到一目标设备的ID后，将自己持有的主私钥分片s_i与F(ID)相加得到一个Shamir share分片x_i，其中F(ID)是一个由SM9算法指定的密码杂凑函数，用于将ID信息映射成一个域元素；3-2)密钥生成中心KGC_i将σ_i作为秘密分享分片转换算法的输入，输出是一个伪随机的Shamir share分片r_i；3-3)n个密钥生成中心共同运行一次半诚实的分布式多方乘法协议并在协议中分享Shamir share分片x_i和r_i的乘积x_i·r_i，运行完该乘法协议后，每个密钥生成中心KGC_i根据自己持有的x_i·r_i分片和收到的分片进行拉格朗日插值计算得到秘密x和秘密r的乘积z＝x·r；3-4)密钥生成中心KGC_i计算ω_i＝1-F(ID)·r_i/z；3-5)密钥生成中心KGC_i将ω_i与SM9算法指定的椭圆曲线的生成点进行一次数乘，得到一个新的椭圆曲线上的点

即私钥分片

Images