CN113297633A - 一种量子数字签名方法 - Google Patents

Abstract

本发明公开了一种量子数字签名方法，属于量子安全技术领域。针对现有技术中存在的数字签名协议的安全性和对消息进行签名的效率普遍不高的问题，本发明提供了一种量子数字签名方法，包括以下3个步骤：准备密钥，生成签名，验证签名。本发明的技术方案是真正的无条件安全方案，解决了现有无条件安全数字签名协议效率过低的问题，本方案还具有很强的兼容性，能够使用多种系统来实现，不仅能够在当前的系统中实现，还能够在未来量子互联网体系中融洽自如，在现阶段以及未来都有极强的应用范围和前景。

Description

一种量子数字签名方法

技术领域

本发明涉及量子安全技术领域，更具体地说，涉及基于一次一全域哈希（Universal Hash），一次一密以及秘密共享技术实现的一种量子数字签名方法。

背景技术

数字签名是伴随着社会数字化信息化的快速发展而出现的一种对消息真实性的一种认证方法，它能够验证消息在传递过程中是否被篡改，保障数据传输的完整性、真实性和不可抵赖性。例如PayPal、Venmo、Amazon、支付宝等电子商务以及电子政务的流行是基于用户数据的安全性。具体来说，这些提供移动支付、电子商务以及电子政务解决方案的应用旨在保证数据的保密性、完整性、不可否认性和真实性，而密码学在其中扮演着不可或缺的角色。而数字签名就是密码学的一大支柱，用来保证数据及消息的完整性、不可抵赖性和真实性。

目前通用的数字签名方案的安全性基于未证明的数学计算难题。比如说基于单向哈希函数和大数分解难题的RSA算法以及利用椭圆曲线密码来实现的ECDSA算法等。随着经典计算力的提升以及量子算法的快速发展，现阶段的数字签名已经不再安全。比如，王小云院士团队找到了针对哈希函数SHA-0、SHA-1、MD-5的有效碰撞攻击；随着经典计算力的发展，暴力破解各种算法也成为可能。1994年提出来的量子Shor算法，能够快速破解基于质因数分解和离散对数问题的公钥算法等，未来量子计算机的出现将对目前的数字签名算法构成致命威胁。现有的数字签名方案的安全性不能够满足当前快速发展的数字化社会的要求。此外，对长消息进行签名时，现有的方案会存在着密钥长度过长、资源利用率低的缺点。

为了应对上述威胁，安全的量子数字签名应运而生，作为一种解决安全问题的方法备受关注，但其各种方案都存在着签名效率低、系统兼容性不好等问题。中国专利文献，公开号CN105007158B，公开了一种量子数字签名方法及系统，但是其系统操作复杂度以及签名效率依旧不尽如人意，签名一个比特的信息就需要大量的密钥，实用性不佳。此外如何实现无条件安全地签名任意长比特的消息是一个开放性问题。

因此，现有的经典数字签名方案的安全性不能够满足当前快速发展的数字化社会的要求，此外，无条件的量子数字签名对长消息进行签名时，现有的方案会存在着密钥长度过长、资源利用率过低、系统兼容性差、安全性有待澄清等缺点。综合以上几点，发明一种高效的并且无条件安全的量子数字签名方案显得尤为重要和急迫。

发明内容

1. 要解决的技术问题

现阶段的经典数字签名协议的安全性受到极大的挑战，诸多早期的哈希函数和公钥算法已经被攻破，以及当前的量子数字签名方案仅能实现一比特消息的无条件安全性证明，其针对长比特消息时消耗密钥资源巨大且安全性有待解决，并不实用。为了解决上述问题，我们提出了一种高效的适应性强的无条件安全的量子数字签名方案。

2. 技术方案

本发明的目的通过以下技术方案实现。

本发明的数字签名方法有如下三个步骤：准备密钥，生成签名以及验证签名。具体过程如下。

步骤1，准备密钥：签名方、第一验证方和第二验证方分别持有各自的两串随机密钥，所述六串密钥被分为两组，所述签名方、第一验证方和第二验证方之间进行秘密共享；

步骤2，生成签名：签名方使用第一组中自己的密钥产生无条件安全的哈希函数，将所述哈希函数作用在待签名消息上生成摘要；签名方使用第二组中自己的密钥对所述摘要进行无条件安全加密，生成签名；

步骤3，验证签名：签名方将消息和签名作为一个整体发送给第一验证方，第一验证方接收后将自己持有的两组密钥和所述消息-签名整体发送给第二验证方，第二验证方接收后通知第一验证方将自己持有的两组密钥发送给第一验证方，所述第一验证方和第二验证方根据各自持有的密钥分别推算出签名方的两组密钥，分别用所述推算出的第一组密钥对消息作用哈希函数，得到第一正向摘要和第二正向摘要，分别用所述推算出的第二组密钥对签名进行解密操作，得到第一反向摘要和第二反向摘要；如果第一正向摘要等于第一反向摘要，则第一验证方接受签名，否则不接受；如果第二正向摘要等于第二反向摘要，则第二验证方接受签名，否则不接受；如果第一验证方和第二验证方同时接受则完成数字签名。

优选地，所述步骤1中秘密共享参与方之间的密钥满足条件：X ₁=X ₂⊕X ₃，Y ₁=Y ₂⊕Y ₃。式中，X ₁是签名方持有的用于一次一全域哈希的密钥，X ₂是第一验证方用于一次一全域哈希的密钥，X ₃是第二验证方用于一次一全域哈希的密钥，Y ₁是签名方持有的用于无条件安全加密的密钥，Y ₂是第一验证方用于无条件安全加密（解密）的密钥，Y ₃是第一验证方用于无条件安全加密（解密）的密钥。本方案中签名方知道或不知道两个验证方的密钥都不影响签名成功与否，但任何一个验证方都不能事先知道另外两方的密钥，这样才能保证签名的安全性。

优选地，所述步骤1中采用秘密共享技术，实现所述技术的方法包括直接使用量子秘密共享协议、间接利用两对共享密钥，即签名方与第一验证方共享一对密钥和签名方与第二验证方共享另一对密钥，由签名方将其共享的密钥异或操作产生新的密钥。

优选地，所述的共享密钥可以由量子密钥分发技术或量子随机数发生器结合安全配送方式来实现。

优选地，所述步骤2中，固定签名方密钥所需的长度，用于对任意长度的消息进行数字签名。

优选地，所述步骤2中哈希函数可以采用任何高效无条件安全的哈希函数，包括采用基于线性移位寄存器的托普利兹哈希函数，将任意长度的信息转化为固定长度的摘要。

优选地，所述步骤2中在每次签名完成后采用无条件安全的一次一全域哈希技术，根据更新的密钥重新更新哈希函数。

优选地，所述步骤2中无条件安全加密包括采用一次一密的异或操作。

优选地，所述步骤3中，第一验证方与第二验证方之间通过认证的经典信道交换信息，保证交换信息的完整性和真实性。

3. 有益效果

相比于现有技术，本发明的优点在于：

（1）本发明提出的数字签名方案，是真正的无条件安全方案，无论在经典计算攻击还是量子计算攻击面前都是安全的。现阶段的数字签名方案，它的安全性基于未证明的数学难题，容易被增长的经典算力以及量子算力攻破。而本发明只需要三方各自持有满足秘密共享条件的随机密钥，它的安全性是由经过数学证明的无条件安全的一次一密技术以及一次一全域哈希技术保证，是真正的无条件安全也叫信息论安全；

（2）本发明提出的数字签名方案，使用的每次更新的无条件安全的哈希函数，即一次一全域哈希技术，以及一次一密的无条件安全加密技术只需要消耗固定的随机数，对消息的长度没有限制。本发明通过消耗一定的共享随机数生成非对称密钥，也就是固定非对称密钥的长度，就能保证任意长消息的签名的无条件安全性。现有技术方案下，签名一个比特的信息就需要大量的密钥。而本发明无条件安全地签名10²⁰比特的消息只需要128比特（可以根据需求扩充到更长比特，如扩充到256比特）的随机数，签名效率有非常显著的提升。因此，在对长消息进行签名的时候，依然有较高的效率，甚至将该方案推广到对任意长度的消息都具有较高的效率和安全性。

（3）本发明提出的数字签名方案，只需要三方拥用满足条件的安全密钥串即可，无论何种方式产生这些密钥，均能够直接应用到本发明中，从而使得具有很强的兼容性，能够使用多种系统来实现；不仅能够在当前的系统中实现，还能够在未来量子互联网体系中融洽自如，在现阶段以及未来都有极强的应用范围和前景。

附图说明

图1为本发明数字签名协议的签名方流程示意图；

图2为本发明数字签名协议的验证方流程示意图；

图3为本发明数字签名协议的整体流程图；

图4为本发明实施例1的量子秘密共享的示意图；

图5为本发明实施例1的分发密钥的示意图。

具体实施方式

下面结合说明书附图和具体的实施例，对本发明作详细描述。

本发明的量子数字签名方法有如下三个步骤：密钥准备阶段，签名生成阶段以及签名验证阶段。本实施方式以Alice，Bob和Charlie三方为例。

密钥准备阶段：Alice，Bob和Charlie三方分别持有两串密钥串。Alice，Bob和Charlie三人手中分别有各自的两串随机密钥，这6串密钥分为两组，记为X组和Y组。Alice持有的两串n比特的随机数密钥串记为X _A ，Y _A 。同理，Bob持有X _B ，Y _B ，Charlie持有X _C ，Y _C 。这些密钥之间满足秘密共享的关系：只有同时持有X _B 和X _C 才能推断出X _A ，同时持有Y _B 和Y _C 才能推断出Y _A 。优选地，我们在这里选择秘密共享条件：X _A ⊕X _B ⊕X _C =0，Y _A ⊕Y _B ⊕Y _C =0，即X _A =X _B ⊕X _C 以及Y _A =Y _B ⊕Y _C 。

签名生成阶段：生成过程如例图1所示，对于一个m位比特的消息（message），记为mes，优选地，消息中可以包含时间戳、流水号等信息。Alice使用密钥串X _A 来生成哈希函数，消息经过无条件安全的哈希函数生成了摘要（digest），记为D，摘要通过基于密钥串Y _A 的无条件安全的加密方式生成了签名（signature），记为Sig。作为示例，这里我们优选无条件安全的哈希函数为基于线性移位寄存器的Toeplitz哈希函数（简称为LFSR-Toeplitz Hash），将其作用在需要签名的消息上生成摘要，每次生产摘要需要更新哈希函数，即一次一全域哈希。接着Alice使用Y组中自己的随机密钥，对摘要使用无条件安全的加密技术（这里我们优选异或操作）来生成签名。

签名验证阶段：验证过程如例图2所示，Alice将消息以及签名作为一个整体{mes， Sig}发送给Bob。当Bob收到{mes，Sig}后，Bob将他自己的密钥串X _B 和Y _B 以及{mes，Sig}转发给Charlie，Charlie收到之后将通知Bob并将Charlie自己的密钥串X _C 和Y _C 发送给Bob。需要说明的是，Bob和Charlie之间交换信息是需要认证的经典信道，防止被篡改；作为示例，认证方法可以选用LFSR-Toeplitz哈希函数的无条件安全的认证方法。本发明中Bob和Charlie的地位是等价的，因此并不需要假设一直可信的Charlie。当Bob和Charlie完成了密钥交换之后，他们能通过自己的密钥串和对方的密钥串推断出Alice的两个密钥串，将Bob推断出来的Alice的密钥串记为X _A ^B 和Y _A ^B ，Charlie推断出来的Alice的密钥串记为X _A ^C 和Y _A ^C 。Bob或Charlie分别使用基于X _A ^B 或X _A ^C 的哈希函数作用在收到的消息mes上，得到各自的正向摘要D ^B 或正向摘要D ^C 。同时，Bob或Charlie分别使用密钥串Y _A ^B 或Y _A ^C 对收到的签名Sig进行解密，得到反向摘要D ^B’ 或反向摘要D ^C’ 。若通过两个途径得到的摘要满足D ^B =D ^B’ 或D ^C =D ^C’ ，那么Bob或Charlie接受签名，否则，Bob或Charlie不接受。本发明的技术方案要求双方同时接受才能是一次成功的签名过程。本发明的整体流程示意图如附图3所示。

需要着重说明的是，本发明的数字签名方案消耗的密钥长度是固定的，也就是Bob的两串密钥以及Charlie的两串密钥的长度是可以固定下来的。因此，对于长消息进行签名时，消耗的随机数资源个数是可以提前固定的，不会随着消息长度而变化。一般来说，当我们选择n=128时，对现实生活中存在的传统长度的消息进行签名都是无条件安全的。

实施例1

本实施例优选的技术有：量子秘密共享，每次签名更新的LFSR-Toeplitz 哈希函数以及一次一密的无条件安全异或加密。

本实施例采用基于128比特LFSR-Toeplitz矩阵的数字签名方法，所述方法包括以下步骤：

步骤1，准备密钥。Alice、Bob和Charlie三方分别持有两串128比特的密钥串。这6串密钥分为两组，记为X组和Y组。Alice持有的两串密钥记为X _A ，Y _A 。同理，Bob持有X _B 和Y _B ，Charlie持有X _C 和Y _C 。这些密钥之间满足的关系为：只有同时持有X _B 和X _C 才能推断出X _A ，同时持有Y _B 和Y _C 才能推断出Y _A 。优选地，密钥准备阶段选择量子秘密共享技术，秘密共享的示意图见附图4；实现量子秘密共享的方法很多，例如三方共享Greenberger-Horne-Zeilinger（GHZ）纠缠态资源，选择秘密共享条件：X _A ⊕X _B ⊕X _C =0，Y _A ⊕Y _B ⊕Y _C =0，即X _A =X _B ⊕X _C 以及Y _A =Y _B ⊕Y _C 。另一种优选的方式如图5所示，通过两组共享密钥产生三方秘密共享： Alice-Bob之间有共享的密钥串X _B 和Y _B ，Alice-Charlie之间有共享的密钥串X _C 和Y _C ，Alice利用异或操作产生自己的新密钥X _A =X _B ⊕X _C 以及Y _A =Y _B ⊕Y _C ；优选由量子密钥分发技术或量子随机数发生器结合安全配送方式来实现。这样也成功完成了三方秘密共享。需要说明的是，签名方知道或不知道两个验证方的密钥都不影响签名成功与否，但任何一个验证方都不能事先知道另外两方的密钥，这样才能保证签名的安全性。

步骤2，生成签名。对于一个m位比特的消息（message），记为mes，Alice使用n比特的随机数组成的密钥串X _A 来生成LFSR-Toeplitz哈希函数，需要交代的是这里的运算皆为模2的运算。

本实施例中随机密钥串

，T表示转置。对于LFSR-Toeplitz矩阵的生成有如下规定：向量

是根据我们选择的n阶的不可约多项式：

的各项系数来确定的。那么有如下递推规则：

……，在该实施例中取

，不可约多项式取为

。

因此，基于LFSR的Toeplitz哈希函数生成的形式如下：

对于一个m比特的消息

，作用如上的哈希函数，过程如下：

由上式可以得出，消息经过该哈希函数会将m比特的长消息生成

位的摘要（digest），记为D，摘要进一步与

位的随机密钥串

中元素一一对应进行异或操作，则生成了

位的签名（signature），记为Sig，

，具体形式表示如下：

步骤3，验证签名。Alice将消息以及签名作为一个整体{mes，Sig} 发送给Bob。当Bob收到{mes，Sig}后，Bob将他的密钥串X _B 和Y _B 以及{mes，Sig}转发给Charlie，Charlie将他自己密钥串X _C 和Y _C 发送给Bob。当Bob和Charlie完成了密钥交换之后，他们能通过自己的密钥串和对方的密钥串推出Alice的两个密钥串。将Bob推断出来的Alice的密钥串记为X _A ^B 和Y _A ^B ，Charlie推断出来的Alice的密钥串记为X _A ^C 和Y _A ^C 。Bob或Charlie分别使用基于X _A ^B 或X _A ^C 的哈希函数作用在收到的消息上，分别得到正向摘要D ^B 或D ^C 。同时，Bob或Charlie分别使用密钥串Y _A ^B 或Y _A ^C 对收到的签名进行解密，分别得到反向摘要D ^B’ 或D ^C’ 。若通过两个途径得到的摘要满足D ^B =D ^B’ 或D ^C =D ^C’ ，那么Bob或Charlie接受签名，否则，Bob或Charlie不接受。方案要求双方同时接受才能是一次成功的签名过程。

本实施例预先固定了适合的密钥长度即可进行无条件安全的数字签名，在这种情况下，无论需要现实中加密的消息的长度为多少，都能进行有效且无条件安全的签名。

综上所述，本发明结合一次一密和一次一全域哈希函数的技术，成功实现了无条件安全的数字签名。由于本发明能够固定非对称密钥所需要的随机数的个数，选定合适的个数，能够对任意长度的消息进行成功的签名，因此本发明消耗了固定的较少的随机数资源，提供了极高的签名效率。进一步地，本发明开始以及过程均很简洁，仅仅需要准备安全的初始四串密钥，而不需要限定具体的产生方法，因此无论使用何种方式产生这些密钥，均能够直接应用到本发明中，从而使得本发明具有很强的兼容性，能够使用多种系统来实现；不仅能够在当前系统中实现，还能够应用在未来量子互联网体系中，有极强的应用范围和前景。

以上示意性地对本发明创造及其实施方式进行了描述，该描述没有限制性，在不背离本发明的精神或者基本特征的情况下，能够以其他的具体形式实现本发明。附图中所示的也只是本发明创造的实施方式之一，实际的结构并不局限于此，权利要求中的任何附图标记不应限制所涉及的权利要求。所以，如果本领域的普通技术人员受其启示，在不脱离本创造宗旨的情况下，不经创造性地设计出与该技术方案相似的结构方式及实施例，均应属于本专利的保护范围。此外，“包括”一词不排除其他元件或步骤，在元件前的“一个”一词不排除包括“多个”该元件。产品权利要求中陈述的多个元件也可以由一个元件通过软件或者硬件来实现。第一，第二等词语用来表示名称，而并不表示任何特定的顺序。

Claims (9)

1.一种量子数字签名方法，其特征在于，所述方法包括以下步骤：

步骤1，准备密钥：签名方、第一验证方和第二验证方分别持有各自的两串随机密钥，所述六串密钥被分为两组，所述签名方、第一验证方和第二验证方之间都形成秘密共享；

步骤2，生成签名：签名方使用第一组中自己的密钥产生无条件安全的哈希函数，将所述哈希函数作用在待签名消息上生成摘要；签名方使用第二组中自己的密钥对所述摘要进行无条件安全加密，生成签名；

步骤3，验证签名：签名方将消息和签名作为一个整体发送给第一验证方，第一验证方接收后将自己持有的两组密钥和所述消息-签名整体发送给第二验证方，第二验证方接收后通知第一验证方并将自己持有的两组密钥发送给第一验证方，所述第一验证方和第二验证方根据各自持有的密钥分别推算出签名方的两组密钥，并分别用所述推算出的第一组密钥对消息作用哈希函数，得到第一正向摘要和第二正向摘要，分别用所述推算出的第二组密钥对签名进行解密操作，得到第一反向摘要和第二反向摘要；如果第一正向摘要等于第一反向摘要，则第一验证方接受签名，否则不接受；如果第二正向摘要等于第二反向摘要，则第二验证方接受签名，否则不接受；如果第一验证方和第二验证方同时接受则完成数字签名。

2.根据权利要求1所述的一种量子数字签名方法，其特征在于，所述步骤1中秘密共享参与方之间的密钥满足条件：

X ₁=X ₂⊕X ₃，Y ₁=Y ₂⊕Y ₃，

式中，X ₁和Y ₁分别是签名方持有的第一组和第二组密钥，X ₂和Y ₂分别是第一验证方持有的第一组和第二组密钥，X ₃和Y ₃分别是第二验证方持有的第一组和第二组密钥。

3.根据权利要求2所述的一种量子数字签名方法，其特征在于，所述步骤1中采用秘密共享技术，实现所述技术的方法包括直接使用量子秘密共享协议、间接利用两对共享密钥，即签名方与第一验证方共享一对密钥、签名方与第二验证方共享另一对密钥，由签名方将其共享的密钥异或操作产生新的密钥。

4.根据权利要求3所述的一种量子数字签名方法，其特征在于，所述的共享密钥可以由量子密钥分发技术或量子随机数发生器结合安全配送方式来实现。

5.根据权利要求1所述的一种量子数字签名方法，其特征在于，所述步骤2中，固定签名方和验证方密钥的长度，用于对任意长度的消息进行数字签名。

6.根据权利要求5所述的一种量子数字签名方法，其特征在于，所述步骤2中哈希函数可以采用任何高效无条件安全的哈希函数，包括基于线性移位寄存器的托普利兹哈希函数。

7.根据权利要求6所述的一种量子数字签名方法，其特征在于，所述步骤2中在每次签名完成后采用一次一全域哈希技术，需要根据更新的密钥重新更新哈希函数。

8.根据权利要求7所述的一种量子数字签名方法，其特征在于，所述步骤2中无条件安全加密，包括采用一次一密的异或操作。

9.根据权利要求1所述的一种量子数字签名方法，其特征在于，所述步骤3中，第一验证方与第二验证方之间通过认证的经典信道交换信息。

Images