CN113343261A - 一种基于门限审计的交易隐私保护协议 - Google Patents

Abstract

本发明是一种基于门限审计的交易隐私保护协议，准备阶段进行参数准备和秘密分发，每次审计由随机指定主审计者和若干协同审计者共同完成，使用主审计者的子密钥对审计密钥加密处理，并将加密后的审计密钥作为秘密分为若干个秘密份额分发给审计团中不同的审计者，证明阶段由交易的发送方对交易金额进行零知识范围证明，验证阶段由交易的接收方对发送方的证明进行验证，解密阶段，审计者提供秘密份额对秘密进行重构，最后主审计者使用自己的子密钥解密出审计密钥。本发明将处理过的审计密钥作为秘密进行拆分，分发给不同的审计者，在解密阶段由审计团共同重构秘密，主审计者利用自己的子密钥解密出真正的审计密钥从而行使审计权。

Description

一种基于门限审计的交易隐私保护协议

技术领域

本发明属于联盟链技术领域，具体的说是涉及一种基于门限审计的交易隐私保护协议。

背景技术

联盟链的概念最早兴起于2015年左右，如今著名的R3联盟与Hyperledger都在那一年诞生。Hyperledger Fabric就是联盟链的代表。相比于公有链，联盟链只针对于特定的群体和有限的第三方，预先在内部指定一些预选的节点作为记账人，块的生成需要由所有预选节点共同决定，其他接入节点可以参与交易，但不能参与记账过程。相比于私有链，私有程度较低，可以很好地与其他利益相关的组织交互。联盟链具有可控性强、半去中心化、高效率(每秒超过1万笔交易)、数据隐私性好等优点。

联盟链隐私保护可分为三个部分：发送方隐私、接收方隐私和交易隐私。发送方隐私是指任何第三方都不能知道发送方的身份，并且不能链接同一个发送方的两个有效交易。接收方隐私是指任何第三方都不能知道接收方的身份，并且不能链接同一个接收方的两个有效交易。交易隐私是指任何第三方都不能知道交易的内容。交易隐私中，一般要保证两个方面：(1)总的承诺输入金额等于总的承诺输出金额；(2)所有提交的金额都在有效范围内。区块链一般是通过零知识证明、加密货币、同态加密等技术来实现数据的隐私保护的。传统的联盟链中审计权限过于集中，审计者可以随时随地单独解密出交易信息，这存在不安全因素。

秘密共享是指将秘密适当拆分，然后将各个秘密份额分配给不同的参与者，单个参与者无法单独重构出秘密。1979年，Shamir和Blakley提出了第一个(t,n)门限秘密共享方案，在该方案中任何大小为t的子集都可以恢复出秘密，但(t-1)或更少的参与者是不能获得关于秘密的任何信息的。但Shamir的方案存在如下问题：(1)共享功率和灵活性较差，一次只能共享一个秘密；(2)参与者的权限都相同，实用性较差；(3)无法抗合谋攻击。

发明内容

针对现有技术的特性以及审计过程中容易出现的问题，本发明提供一种基于门限的交易隐私保护协议，包括准备阶段、证明阶段、验证阶段、解密阶段四个阶段，将将处理过的审计密钥作为秘密进行拆分，分发给不同的审计者，在解密阶段由审计团共同重构秘密，行使审计权。

为了达到上述目的，本发明是通过以下技术方案实现的：

本发明是一种基于门限审计的交易隐私保护协议，该交易隐私保护协议运行在联盟链中，所述保护协议包括：

1、准备阶段：进行参数准备和秘密分发，使用基于门限的安全审计方案，每次审计由随机指定的主审计者和若干协同审计者共同完成，使用主审计者的子密钥对审计密钥作加密处理，并将加密后的审计密钥作为秘密分为若干个秘密份额分发给审计团中不同的审计者。

所述准备阶段具体包括如下步骤：

步骤S1.1、系统参数的准备：输入安全参数和范围参数生成双线性群，联盟链中存在的一个标准化组织S选取一个私钥，并且输出它的公钥；

步骤S1.2、秘密分发参数准备：每一次审计，所述标准化组织S预先在n个受信任的审计者中选取一个主审计者A，s_A作为协同审计者以及主审计者的影子密钥，利用双变量单向函数计算每个参与者的秘密份额；

步骤S1.3、秘密分发：所述标准化组织S使用主审计者的影子密钥s_A对公钥加密生成文件，并将其拆分成多个秘密份额发送给联盟链预先选取的审计者。

标准化组织S执行如下的步骤：

Step1:随机选取一个整数r并且计算f(r,s_i),i＝1,2,...,n-1,A，作为协同审计者和主审计者的秘密份额；

Step2:使用(n+1)对(0,sk_s′)和(u₁,f(r,s₁)),(u₂,f(r,s₂)),...,(u_A,f(r,s_A))，利用拉格朗日插值公式构建一个n次多项式h(x)＝a₀+a₁x+...+a_nxⁿ；

Step3:计算z_i＝h(i)modq，其中i＝1,2，...,n-t+1；

Step4:将r,z₁，z₂，...,z_n-t+1公示于P，P为一个公告牌，用来公示一些可公开的信息。

2、证明阶段：由交易的发送方对其发送的交易金额进行零知识范围证明，证明金额的正确性和合法性，具体包括如下步骤：

步骤S2.1、交易的发送方将K比特输入金额M分解为l段μ₀,...,μ_l-1，即

步骤S2.2、对于每一个μ_k，随机选取r_k∈Z_p，计算Elgamal加密的密文

定义C_enc＝{C_k,B_k}_k∈[0,l-1]，

步骤S2.3、对于每一个μ_k，在零知识的条件下证明了加密过的μ_k对应于某个

零知识证明具体如下：

Step1:发送方随机选取λ_k,s_k,t_k∈Z_p,k∈[0,l-1]；

Step2:计算:

Step3:计算:

Step4:定义

步骤S2.4、输出(C_enc,r_enc,π_enc)；

步骤S2.5、对于联盟链中每一笔有效交易输出M_out，j，可以通过以上步骤获得(C_out，j，r_out，j，π_enc，j)，对于C_out，j＝{C_j，k，B_j，k}_{k∈[0，l-1]}；简单起见，定义

令

这样

步骤S2.6、随机选择r_s∈Z_p，计算

步骤S2.7、定义

输出({C_out,j,r_out,j}_j∈[1,n′]，π_s)。

3、验证阶段：由交易的接收方对发送方的证明进行验证，验证交易是否有效，具体包括如下步骤：

步骤S3.1、对于每一个π_enc，j，接收方计算:

当且仅当

时，输出1，即证明了所有交易金额都在有效范围内，否则，输出0；

步骤S3.2、计算

当且仅当对于所有π_enc，j，步骤S3.1输出1，并且

输出1，即证明了交易的收支平衡，否则，输出0。

4、解密阶段：审计者提供秘密份额对秘密进行重构，最后主审计者使用自己的子密钥解密出审计密钥，完成交易的审计，具体包括如下步骤：

步骤S4.1、解密阶段即为审计阶段，主审计者与其他(t-1)个协同审计者提供一共t个秘密份额，重构出伪秘密sk_s′，利用自己的密钥s_A，恢复出标准化组织选取的私钥sk_s。

在所述步骤S4.1中，主审计者执行如下步骤来重构秘密：

Step1:t个审计者提供他们的秘密份额f(r,s_i),i＝1′，2′，...,t′，一共有了t对(u_i,f(r,s_i))，加上已经公示的(n-t+1)对(i,Z_i)，一共得到了(n+1)对，使用(x_i,y_i),i＝1,2,...,n+1来表示；

Step2:利用公式

计算得到sk_s′＝h(0)，随后主审计者通过

计算得到标准化组织选取的私钥。任意(t-1)个审计者都不能得到关于sk_s′的任何信息，即使协同审计者在主审计者不知情的情况下恢复出sk_s′，他们猜测成功sk_s的概率也趋近于0。

步骤S4.2、主审计者利用该私钥和已知的密文C_enc＝{C_k,B_k}_k∈[0,l-1]，解密的得到

然后通过一张包含gⁱ,i∈[0，u-1]的值的预计算表，可以得到μ_k的值，最终，主审计者恢复出

进而对金额进行审计。

本发明的有益效果是：

(1)本发明所提出的秘密共享方案秘密份额可以重复使用，而无需重新分配，标准化组织只需在每一次审计前，从所有审计者中随机指定一个主审计者，基于单向函数和Shamir秘密共享方案，本发明提出的秘密共享方案能够提高秘密分享的综合性能，减少拉格朗日插值计算的消耗。

(2)本发明所使用的范围证明方案在不提供任何关于交易的有效信息的情况下，证明了金额在有效范围内，同时收支平衡，可以保证联盟链交易的有效性和正确性，防止出现任何负的金额或者溢出金额。

(3)本发明中t个主审计者和协同审计者通过提供各自秘密份额重构出秘密，任意(t-1)个审计者都不能得到关于伪秘密的任何信息，除主审计者外的任何审计者都不能得到关于审计密钥的任何信息，保证了秘密重构过程中的安全性，由于本发明每一次审计的主审计者是从审计团中随机选取的，实现审计过程的权力分散。

附图说明

图1为本发明的交易隐私协议流程图。

图2为本发明的系统模型图。

具体实施方式

以下将以图式揭露本发明的实施方式，为明确说明起见，许多实务上的细节将在以下叙述中一并说明。然而，应了解到，这些实务上的细节不应用以限制本发明。也就是说，在本发明的部分实施方式中，这些实务上的细节是非必要的。

如图1-2所示，本发明所述交易隐私保护协议包括四个主体：标准化组织、交易的发送方、交易的接收方、审计者。

本发明是一种基于门限审计的交易隐私保护协议，该交易隐私保护协议运行在联盟链中，所述保护协议包括准备阶段、证明阶段、验证阶段和解密阶段。

准备阶段包括如下步骤：

步骤S1.1、系统参数准备：输入一个安全参数1^λ和一个范围参数R＝u^l，生成双线性群

随机选取g,g₀∈G₁,

和α∈Z_p，计算

假设H：{0,1}^*→Z_p是一个抗碰撞的哈希函数。另外，假设S随机选取了一个私钥sk_s∈Z_p，并且输出它的公钥

输出

步骤S1.2、秘密分发参数准备：设GF(q)为一个有限域，其中q是一个大素数。假设联盟链中存在一个标准化组织S，每一次审计，S预先在n个受信任的审计者U₁,U₂,...,U_n-1,U_n中选取一个主审计者A。假设U_n为主审计者A，S随机选取n个不同的整数s₁,...,s_n-1,s_A作为协同审计者以及主审计者的影子密钥，每一个审计者都需要一个公共标识，用于代表它们的身份，于是S随机选取n个不同的整数u_i(u₁,u₂,...u_n-1,u_A,u_i∈[n-t+2,q])作为他们的身份标识，其中t为秘密共享方案的门限。f(r,s)为双变量单向函数，用来计算每个参与者的秘密份额。P为一个公告牌，用来公示一些可公开的信息。

步骤S1.3、秘密分发：标准化组织S使用主审计者的影子密钥s_A对sk_s作加密生成密文sk_s′，并将其拆分成多个秘密份额发送给联盟链预先选取的审计者。具体步骤如下：

标准化组织S执行如下的步骤：

Step1:随机选取一个整数r并且计算f(r,s_i),i＝1,2,...,n-1,A，作为协同审计者和主审计者的秘密份额。

Step2:使用(n+1)对(0,sk_s′)和(u₁,f(r,s₁)),(u₂,f(r,s₂)),...,(u_A,f(r,s_A))，利用拉格朗日插值公式构建一个n次多项式h(x)＝a₀+a₁x+...+a_nxⁿ。

Step3:计算z_i＝h(i)modq，其中i＝1,2,...,n-t+1。

Step4:将r,z₁,z₂,...,z_n-t+1公示于P。

证明阶段包括如下步骤：

步骤S2.1、交易的发送方将K比特输入金额M分解为l段μ₀,...,μ_l-1，即

步骤S2.2、对于每一个μ_k，随机选取r_k∈Z_p，计算Elgamal加密的密文

定义C_enc＝{C_k,B_k}_k∈[0,l-1]，

步骤S2.3、对于每一个μ_k，在零知识的条件下证明了加密过的μ_k对应于某个

零知识证明具体如下：

Step1:发送方随机选取λ_k,s_k,t_k∈Z_p,k∈[0,l-1]。

Step2:计算:

Step3:计算:

Step4:定义

步骤S2.4、输出

步骤S2.5、对于联盟链中每一笔有效交易输出M_out，j，可以通过以上步骤获得(C_out，j，r_out，j，π_enc，j)，对于C_out，j＝{C_j，k，B_j，k}_{k∈[0，l-1]}，简单的说，定义

令

这样

步骤S2.6、随机选择r_s∈Z_p，计算

步骤S2.7、定义

输出({C_out,j,r_out,j}_j∈[1,n′]，π_s)。

验证阶段包括如下步骤：

步骤S3.1、对于每一个π_enc,j，接收方计算:

当且仅当

时，输出1，即证明了所有交易金额都在有效范围内。否则，输出0。

步骤S3.2、计算

当且仅当对于所有π_enc,j，步骤S3.1输出1，并且

输出1，即证明了交易的收支平衡。否则，输出0。

解密阶段包括如下步骤：

步骤S4.1、解密阶段即为审计阶段，主审计者与其他(t-1)个协同审计者提供一共t个秘密份额，重构出伪秘密sk_s′，利用自己的密钥s_A，恢复出标准化组织选取的私钥sk_s。

秘密重构具体如下：

主审计者执行如下步骤：

Step1:t个审计者提供他们的秘密份额f(r,s_i),i＝1′，2′，...,t′，一共有了t对(u_i,f(r,s_i))，加上已经公示的(n-t+1)对(i,z_i)，一共得到了(n+1)对，使用(x_i,y_i),i＝1,2,...,n+1来表示。

Step2:利用公式

计算得到sk_s′＝h(0)，随后主审计者通过

计算得到标准化组织选取的私钥。任意(t-1)个审计者都不能得到关于sk_s′的任何信息，即使协同审计者在主审计者不知情的情况下恢复出sk_s′，他们猜测成功sk_s的概率也趋近于0。

步骤S4.2、主审计者利用该私钥和已知的密文C_enc＝{C_k,B_k}_k∈[0,l-1]，解密的得到

然后通过一张包含gⁱ,i∈[0,u-1]的值的预计算表，可以得到μ_k的值，最终，主审计者恢复出

进而对金额进行审计。

本发明公开了一种基于门限审计的交易隐私保护协议，基于Shamir秘密共享的方案，将处理过的审计密钥作为秘密进行拆分，分发给不同的审计者，在解密阶段由审计团共同重构秘密，主审计者利用自己的子密钥解密出真正的审计密钥从而行使审计权。

以上所述仅为本发明的实施方式而已，并不用于限制本发明。对于本领域技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原理的内所作的任何修改、等同替换、改进等，均应包括在本发明的权利要求范围之内。

Claims (8)

1.一种基于门限审计的交易隐私保护协议，该交易隐私保护协议运行在联盟链中，其特征在于：所述保护协议包括

准备阶段：进行参数准备和秘密分发，使用基于门限的安全审计方案，每次审计由随机指定的主审计者和若干协同审计者共同完成，使用主审计者的子密钥对审计密钥作加密处理，并将加密后的审计密钥作为秘密分为若干个秘密份额分发给审计团中不同的审计者；

证明阶段：由交易的发送方对其发送的交易金额进行零知识范围证明，证明金额的正确性和合法性；

验证阶段：由交易的接收方对发送方的证明进行验证，验证交易是否有效；

解密阶段：审计者提供秘密份额对秘密进行重构，最后主审计者使用自己的子密钥解密出审计密钥，完成交易的审计。

2.根据权利要求1所述一种基于门限审计的交易隐私保护协议，其特征在于：所述准备阶段具体包括如下步骤：

步骤S1.1、系统参数的准备：输入安全参数和范围参数生成双线性群，联盟链中存在的一个标准化组织S选取一个私钥，并且输出它的公钥；

步骤S1.2、秘密分发参数准备：每一次审计，所述标准化组织S预先在n个受信任的审计者中选取一个主审计者A，s_A作为协同审计者以及主审计者的影子密钥，利用双变量单向函数计算每个参与者的秘密份额；

步骤S1.3、秘密分发：所述标准化组织S使用主审计者的影子密钥s_A对公钥加密生成文件，并将其拆分成多个秘密份额发送给联盟链预先选取的审计者。

3.根据权利要求2所述一种基于门限审计的交易隐私保护协议，其特征在于：在所述步骤S1.3中，标准化组织S执行如下的步骤：

Step1：随机选取一个整数r并且计算f(r，s_i)，i＝1，2，...，n-1，A，作为协同审计者和主审计者的秘密份额；

Step2：使用(n+1)对(0，sk_s′)和(u₁，f(r，s₁))，(u₂，f(r，s₂))，...，，(u_A，f(r，s_A))，利用拉格朗日插值公式构建一个n次多项式h(x)＝a₀+a₁x+...+a_nxⁿ。

Step3：计算z_i＝h(i)mod q，其中i＝1，2，...，n-t+1；

Step4：将r，z₁，z₂，...，z_n-t+1公示于P，P为一个公告牌。

4.根据权利要求1所述一种基于门限审计的交易隐私保护协议，其特征在于：所述解密阶段包括如下步骤：

步骤S4.1、解密阶段即为审计阶段，主审计者与其他(t-1)个协同审计者提供一共t个秘密份额，重构出伪秘密sk_s′，利用自己的密钥s_A，恢复出标准化组织选取的私钥sk_s；

步骤S4.2、主审计者利用该私钥和已知的密文C_enc＝{C_k，B_k}_{k∈[0，l-1]}，解密的得到

然后通过一张包含gⁱ，i∈[0，u-1]的值的预计算表，得到μ_k的值，最终，主审计者恢复出

进而对金额进行审计。

5.根据权利要求4所述一种基于门限审计的交易隐私保护协议，其特征在于：在所述步骤S4.1中，主审计者执行如下步骤来重构秘密：

Step1：t个审计者提供他们的秘密份额f(r，s_i)，i＝1′，2′，...，t′，一共有了t对(u_i，f(r，s_i))，加上已经公示的(n-t+1)对(i，z_i)，一共得到了(i，z_i)对，使用(x_i，y_i)，i＝1，2，...，n+1来表示；

Step2：利用公式

计算得到sk_s′＝h(0)，随后主审计者通过

计算得到标准化组织选取的私钥。

6.根据权利要求1所述一种基于门限审计的交易隐私保护协议，其特征在于：所述证明阶段包括如下步骤：

步骤S2.1、交易的发送方将K比特输入金额M分解为l段μ₀，...，μ_l-1，即

步骤S2.2、对于每一个μ_k，随机选取r_k∈Z_p，计算Elgamal加密的密文

定义C_enc＝{C_k，B_k}_{k∈[0，l-1]}，

步骤S2.3、对于每一个μ_k，在零知识的条件下证明了加密过的μ_k对应于某个

步骤S2.4、输出(C_enc，r_enc，π_enc)；

步骤S2.5、对于联盟链中每一笔有效交易输出M_out，j，通过以上步骤获得(C_out，j，r_out，j，π_enc，j)，对于C_out，j＝{C_j，k，B_j，k}_{k∈[0，l-1]}；定义

令

这样

步骤S2.6、随机选择r_s∈Z_p，计算

步骤S2.7、定义

输出({C_out，j，r_out，j}_{j∈[1，n′]}，π_s)。

7.根据权利要求6所述一种基于门限审计的交易隐私保护协议，其特征在于：步骤S2.3中零知识证明具体如下：

Step1：发送方随机选取λ_k，s_k，t_k∈Z_p，k∈[0，l-1]；

Step2：计算：

Step3：计算：

Step4：定义

8.根据权利要求1所述一种基于门限审计的交易隐私保护协议，其特征在于：所述验证阶段包括如下步骤：

步骤S3.1、对于每一个π_enc，j，接收方计算：

当且仅当

时，输出1，即证明了所有交易金额都在有效范围内，否则，输出0；

步骤S3.2、计算

当且仅当对于所有π_enc，j，步骤S3.1输出1，并且

输出1，即证明了交易的收支平衡，否则，输出0。

Images