CN113346992A - 一种保护私钥的基于身份的多重代理签名方法及装置 - Google Patents

Abstract

本发明公开了一种保护私钥的基于身份的多重代理签名方法及装置，所述方法包括以下步骤：(1)构建基于身份的多重代理签名系统并建立系统参数；(2)生成实时用户私钥和协助器密钥；(3)生成n个代理签名者的实时子代理密钥；(4)n个代理签名者联合起来生成实时多重代理签名；(5)消息验证者收到实时多重代理签名后用原始签名者的身份和n个代理签名者的身份对实时多重代理签名进行验证。本发明为每个原始签名者和代理签名者设置一个独立且物理安全的可信协助器，并由这个协助器帮助原始签名者和代理签名者在利用自己选取的秘密值时生成密码系统的初始私钥，避免了撤销身份问题并实现了抗密钥泄露功能。

Description

一种保护私钥的基于身份的多重代理签名方法及装置

技术领域

本发明涉及保护私钥的多重代理签名方法，特别是涉及一种保护原始签名者私钥、代理签名者私钥和子代理私钥的基于身份的多重代理签名方法及装置。

背景技术

随着计算机网络技术的发展，数字签名代替了传统的手工签名，解决了网络中冒充、抵赖和篡改等问题。多重代理签名是一种带有特殊功能的签名，可用在签名人无法完成签名的场合中。多重代理签名方案的使用者包括原始签名者、多个代理签名者和代理签名的验证者。原始签名者将签名权委托给多个代理签名者，多个代理签名者联合生成代理签名，代理签名验证者验证代理签名的有效性。

文献“A secure identity-based multi-proxy signature scheme.Computers&Electrical Engineering,2009,35(1):86-95.”提出了基于身份的多重代理签名方法，该方法在随机预言机模型下是可证明安全的。该方法适合一个原始签名者授权一群代理签名者来代表原始签名者来进行签名的应用场景等。该方法的主要步骤是：第一，生成公共系统参数和系统主密钥；第二，生成原始签名者的公私钥和n个代理签名者的公私钥；第三，生成标准签名；第四，验证标准签名；第五，为每个代理签名人生成部分代理签名私钥；第六，n个代理签名者联合生成代理签名；第七，代理签名的验证者验证代理签名的有效性。在该方法中，n个代理签名者可联合代表原始签名者完成签名工作，从而减轻了原始签名者的工作量。该方法未使用协助器，没有密钥保护功能。

文献“基于身份的密钥泄漏保护机制的研究.博士学位论文，上海交通大学，2008.”提出了基于身份的密钥隔离签名方法，该方法在随机预言机模型下是可证明安全的。该方法适用于签名者的私钥需要保护的应用场景等。该方法的主要步骤是：第一，生成公共系统参数和系统主密钥；第二，生成签名者的初始私钥和协助私钥；第三，生成签名者的实时更新码；第四，生成签名者的实时私钥；第五，签名者生成签名；第六，验证者验证签名的有效性。在该方法中，签名私钥则在每个时间片段都进行更新，从而增强了系统防御密钥泄漏的能力。该方法使用了协助器，可用于普通签名系统的密钥保护场合，但不能用于多重代理签名的密钥保护。

文献“Identity-Based Key-Insulated Proxy Signature.电子科学学刊(英文版)，2009，26(6):853-858.”提出了基于身份的密钥隔离代理签名方法，该方法在随机预言机模型下是可证明安全的。该方法适代理签名者的私钥需要保护的应用场景等。该方法的主要步骤是：第一，生成公共系统参数和系统主密钥；第二，生成原始签名者的私钥、代理签名者的初始私钥和协助私钥；第三，生成代理签名者的更新密钥；第四，生成代理签名者的实时私钥；第五，生成代理授权证书；第六，验证者验证代理授权证书的有效性。第七，生成用于代理签名的实时私钥；第八，生成代理签名；第九，验证者验证代理签名的有效性。在该方法中，代理签名者可代表原始签名者完成签名工作，代理签名者的私钥则在每个时间片段都进行更新，从而减轻了原始签名者的工作量并增强了系统防御代理签名者私钥泄漏的能力。该方法使用了协助器，可用于代理签名系统的密钥保护场合，但不能用于多重代理签名的密钥保护。

以上三个方法不能用于一个原始签名者授权一群代理签名者来代表原始签名者来进行签名的应用场景，从而不能解决该应用场景中的密钥保护问题。

发明内容

发明目的：本发明目的是解决一个原始签名者授权一群代理签名者来代表原始签名者来进行签名的应用场景中的私钥保护问题，从而提出一种保护私钥的基于身份的多重代理签名方法及装置。

技术方案：本发明提出一种保护私钥的基于身份的多重代理签名方法，具体包括以下步骤：

(1)构建基于身份的多重代理签名系统并建立系统参数；所述系统包括用户设备和协助器设备；

(2)生成实时用户私钥和协助器密钥；所述用户包括1个原始签名者和n个代理签名者；

(3)生成n个代理签名者的实时子代理密钥；

(4)n个代理签名者联合起来生成实时多重代理签名；

(5)消息验证者收到实时多重代理签名后用原始签名者的身份和n个代理签名者的身份对实时多重代理签名进行验证。

进一步地，步骤(1)所述的参数建立过程如下：

κ是一个安全参数，G₁是一个阶为素数q的加法循环群，P是G₁的生成元；G₂是一个阶为q的乘法循环群，且e:G₁×G₁→G₂是一个双线性映射；Z_q表示集合{0,1,2,…,q-1},用

表示Z_q\{0}；密钥生成中心选取一个随机的主私钥

计算并公开主公钥P_pub＝sP；选取五个哈希函数H₁:{0,1}^*→G₁，H₂:{0,1}^*→G₁，H₃:{0,1}^*→G₁，H₄:

H₅:{0,1}^*→G₁。

进一步地，所述步骤(2)包括以下步骤：

(21)用户身份信息ID∈{0,1}^*，密钥生成中心随机选取协助器密钥HK_ID∈G₁，计算Q_ID＝H₁(ID),T_ID＝HK_IDP,生成用户ID在第一个时间片的实时私钥d_ID,1＝(D_ID,1,T_ID)＝(sQ_ID+HK_IDH₅(ID||T_ID||1),T_ID)；

(22)生成用户ID在时间片t′到t的实时协助器更新码：

用户ID计算UI_ID,t′,t＝HK_ID(H₅(ID||T_ID||t)-H₅(ID||T_ID||t′))；

(23)生成用户ID在时间片t的实时私钥：

用户ID计算d_ID,t＝(D_ID,t,T_ID)＝(D_ID,t′+UI_ID,t′,t,T_ID)＝(sH₁(ID)+HK_IDH₅(ID||T_ID||t),T_ID)；

(24)生成用户ID在时间片t的对消息m∈{0,1}^*的签名：将实时私钥分解为d_ID,t＝(D_ID,t,T_ID)，随机选取

计算U＝rP，P_m＝H₂(t||ID||m||U)，V＝D_ID,t+rP_m，在时间片t的对消息m的签名为(t,σ)＝(t,(U,V,T_ID))；

(25)验证时间片t的对消息m的签名(t,σ)＝(t,(U,V,T_ID))是否有效，验证者计算：Q_ID,t＝H₁(ID)，P_m＝H₂(t||ID||m||U)，验证等式为：e(P,V)＝e(P_pub,Q_ID)e(T_ID,H₅(ID||T_ID||t))e(U,P_m)。

进一步地，所述步骤(3)包括以下步骤：

(31)代理授权：原始签名人O通过发放代理授权文件w授权给代理签名人群P₁,…,P_n；原始签名人随机选取

计算U_o＝r_oP，P_w＝H₂(t||ID_o||w||U_o)，V_o＝D_o,t+r_oP_w，原始签名人将(t,(w,U_o,T_IDo))发送给代理签名人群P₁,…,P_n；

(32)代理授权验证：对于(i＝1,…,n)，代理签名人P_i计算P_w＝H₂(t||ID_o||w||U_o)，检验等式e(P,V)＝e(P_pub,Q_IDo)e(T_IDo,H₅(ID||T_ID||t))e(U,P_w)；如果等式成立，代理签名人接受授权；否则，代理签名人拒绝授权；

(33)生成实时子代理密钥：如果代理签名人P_i(i＝1,…,n)接受了代理授权(t,(w,U_o,T_IDo))，则计算他在时间片t的实时子代理密钥为：sk_pi,t＝V_o+H₄(t||ID_o||w||U_o)D_i,t；其中D_i,t＝sH₁(ID_i)+HK_IDiH₅(ID_i||T_IDi||t)。

进一步地，所述步骤(4)实现过程如下：

对于消息m，代理签名人P_i按如下方式进行多重代理签名：

对于1≤i≤n，P_i随机选取

然后计算U_i＝r_iP∈G₁，而后将U_i广播给其他n-1个代理签名人；

对于1≤i≤n，P_i计算

H＝H₃(t||w||m||U_o)，V_i,t＝sk_pi,t+r_iH；

对于1≤i≤n，P_i将(U_i,V_i,t)作为消息m的实时部分代理签名发送给代理团主席P_n；所述代理团主席P_n检验为：

e(P,V_i,t)

＝e(P_pub,Q_o)e(T_IDo,H₅(ID_o||T_IDo||t))e(U_o,H₂(t||ID_o||w||U_o))

e(P_pub,H₁(ID_i))^{H4(t||IDo||w||Uo)}e(T_IDi,H₅(ID||T_IDi||t))^{H4(t||IDo||w||Uo)}e(U_i,H₃(t||w||m||U_o))是否成立，若成立，就接受，否则要求P_i重发实时部分代理签名；若所有的实时部分代理签名都正确，代理团主席P_n计算

(HK_IDi H₅(ID_i||T_IDi||t))，则关于消息m的实时多重代理签名为(t,σ)＝(t,(w,U_o,U,V_t,T_t,T_IDo))。

进一步地，所述步骤(5)实现过程如下：

检查消息m是否满足代理授权文件w的要求，如果不满足要求，则算法结束；否则，算法继续；

检查代理签名人P₁,…,P_n是否被原始签名人O在授权文件w中认证，如果没有被认证，则算法结束；否则，算法继续；

检验以下等式来完成上述二项检查是否成立，如果等式成立，则接受实时多重代理签名有效，否则该实时多重代理签名无效：

基于相同的发明构思，本发明还提供一种保护私钥的基于身份的多重代理签名装置，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述计算机程序被加载至处理器时实现上述的保护私钥的基于身份的多重代理签名方法。

有益效果：与现有技术相比，本发明的有益效果：1、为每个代理签名者设置一个独立且物理安全的可信协助器，并由这个协助器帮助代理签名者在利用自己选取的秘密值时生成密码系统的初始私钥，避免了撤销身份问题并实现了抗密钥泄露功能；2、密码系统利用n个协助器在不同时间周期内交替分别对n个代理签名者的实时私钥进行更新，即使代理签名者频繁更新私钥也不会增加协助器密钥泄露的风险；3、n个代理签名者利用他们在时间片t的实时私钥生成实时子代理密钥，再联合起来生成实时多重代理签名；验证者收到实时多重代理签名后，利用原始签名者的身份和n个代理签名者的身份验证该签名。

附图说明

图1为本发明的流程图。

具体实施方式

下面结合附图对本发明作进一步详细说明。

本发明提供一种保护私钥的基于身份的多重代理签名方法，设置一个可信的协助器，由协助器帮助代理签名者生成初始私钥和公钥并在各时间段的起点对代理私钥进行更新，生成n个代理签名者的子代理密钥，n个代理签名者联合起来生成多重代理签名，消息验证者收到多重代理签名后用原始签名者的身份和n个代理签名者的身份对多重代理签名进行验证。如图1所示，具体包括以下步骤：

步骤1：构建基于身份的多重代理签名系统并建立系统参数。

本发明构建的基于身份的多重代理签名系统包括用户设备和协助器设备。假设κ是一个安全参数，G₁是一个阶为素数q的加法循环群，P是G₁的生成元。G₂是一个阶为q的乘法循环群，并且e:G₁×G₁→G₂是一个双线性映射。Z_q表示集合{0,1,2,…,q-1},用

表示Z_q\{0}。密钥生成中心选取一个随机的系统主密钥

计算并公开系统公钥P_pub＝sP。选取五个哈希函数H₁:{0,1}^*→G₁，H₂:{0,1}^*→G₁，H₃:{0,1}^*→G₁，H₄:

H₅:{0,1}^*→G₁。

步骤2：生成实时用户私钥和协助器密钥。

用户包括1个原始签名者和n个代理签名者。用户私钥分成两部分：一部分为实时私钥，存放在用户设备中；另一部分为协助器密钥，存放于协助器设备中。用户设备是一个计算能力很强但安全性较差的设备，而协助器是一个物理安全但计算能力受限的设备。所有签名等密码操作在用户设备中进行，而协助器只在每个时间片段的开始负责与用户设备进行交互，以帮助用户进行实时私钥的更新，并不参与其它任何密码操作。具体包括以下步骤：

(2.1)私钥提取：用户身份信息ID∈{0,1}^*，密钥生成中心随机选取协助器秘钥HK_ID∈G₁，计算Q_ID＝H₁(ID),T_ID＝HK_IDP,生成用户ID在第一个时间片的实时私钥d_ID,1＝(D_ID,1,T_ID)＝(sQ_ID+HK_IDH₅(ID||T_ID||1),T_ID)。

(2.2)生成用户ID在时间片t′到t的实时协助器更新码：

用户ID计算UI_ID,t′,t＝HK_ID(H₅(ID||T_ID||t)-H₅(ID||T_ID||t′))。

(2.3)生成用户ID在时间片t的实时私钥：

用户ID计算d_ID,t＝(D_ID,t,T_ID)＝(D_ID,t′+UI_ID,t′,t,T_ID)＝(sH₁(ID)+HK_IDH₅(ID||T_ID||t),T_ID)。

(2.4)生成用户ID在时间片t的对消息m∈{0,1}^*的签名：将实时私钥分解为d_ID,t＝(D_ID,t,T_ID)，随机选取

计算U＝rP，P_m＝H₂(t||ID||m||U)，V＝D_ID,t+rP_m，在时间片t的对消息m的签名为(t,σ)＝(t,(U,V,T_ID))；

(2.5)验证签名：验证时间片t的对消息m的签名(t,σ)＝(t,(U,V,T_ID))是否有效，验证者计算：Q_ID,t＝H₁(ID)，P_m＝H₂(t||ID||m||U)，验证等式为：e(P,V)＝e(P_pub,Q_ID)e(T_ID,H₅(ID||T_ID||t))e(U,P_m)。

步骤3：生成n个代理签名者的实时子代理密钥。具体步骤如下：

(3.1)代理授权：原始签名人O通过发放代理授权文件w授权给代理签名人群P₁,…,P_n；原始签名人随机选取

计算U_o＝r_oP，P_w＝H₂(t||ID_o||w||U_o)，V_o＝D_o,t+r_oP_w，原始签名人将(t,(w,U_o,T_IDo))发送给代理签名人群P₁,…,P_n。

(3.2)代理授权验证：对于(i＝1,…,n)，代理签名人P_i计算P_w＝H₂(t||ID_o||w||U_o)，检验等式e(P,V)＝e(P_pub,Q_IDo)e(T_IDo,H₅(ID||T_ID||t))e(U,P_w)；如果等式成立，代理签名人接受授权；否则，代理签名人拒绝授权。

(3.3)生成实时子代理密钥：如果代理签名人P_i(i＝1,…,n)接受了代理授权(t,(w,U_o,T_IDo))，则计算他在时间片t的实时子代理密钥为：sk_pi,t＝V_o+H₄(t||ID_o||w||U_o)D_i,t；其中D_i,t＝sH₁(ID_i)+HK_IDiH₅(ID_i||T_IDi||t)。

步骤4：n个代理签名者联合起来生成实时多重代理签名。

对于消息m，代理签名人P_i按如下方式进行多重代理签名：

对于1≤i≤n，P_i随机选取

然后计算U_i＝r_iP∈G₁，而后将U_i广播给其他n-1个代理签名人；

对于1≤i≤n，P_i计算

H＝H₃(t||w||m||U_o)，V_i,t＝sk_pi,t+r_iH；

对于1≤i≤n，P_i将(U_i,V_i,t)作为消息m的实时部分代理签名发送给代理团主席P_n；

代理团主席P_n检验为：

e(P,V_i,t)

＝e(P_pub,Q_o)e(T_IDo,H₅(ID_o||T_IDo||t))e(U_o,H₂(t||ID_o||w||U_o))

e(P_pub,H₁(ID_i))^{H4(t||IDo||w||Uo)}e(T_IDi,H₅(ID||T_IDi||t))^{H4(t||IDo||w||Uo)}e(U_i,H₃(t||w||m||U_o))是否成立，若成立，就接受，否则要求P_i重发实时部分代理签名；若所有的实时部分代理签名都正确，代理团主席P_n计算

(HK_IDi H₅(ID_i||T_IDi||t))，则关于消息m的实时多重代理签名为：(t,σ)＝(t,(w,U_o,U,V_t,T_t,T_IDo))。

步骤5：消息验证者收到实时多重代理签名后用原始签名者的身份和n个代理签名者的身份对实时多重代理签名进行验证。

要验证关于消息m的多重代理签名(t,σ)＝(t,(w,U_o,U,V_t,T_t,T_IDo))的有效性，验证者的验证如下：

1)检查消息m是否满足代理授权文件w的要求。如果不满足要求，则算法结束。否则，算法继续。

2)检查代理签名人P₁,…,P_n是否被原始签名人O在授权文件w中认证。如果没有被认证，则算法结束。否则，算法继续。

检验以下等式来完成以上二项检查。

e(P,H₄(ID_o||w||U_o)T_t)

e(U,H₃(t||w|||m||U_o)

是否成立，如果等式成立，则接受实时多重代理签名有效，否则该实时多重代理签名无效。

基于相同的发明构思，本发明还提供一种保护私钥的基于身份的多重代理签名装置，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述计算机程序被加载至处理器时实现上述的保护私钥的基于身份的多重代理签名方法。

Claims (7)

1.一种保护私钥的基于身份的多重代理签名方法，其特征在于，包括以下步骤：

(1)构建基于身份的多重代理签名系统并建立系统参数；所述系统包括用户设备和协助器设备；

(2)生成实时用户私钥和协助器密钥；所述用户包括1个原始签名者和n个代理签名者；

(3)生成n个代理签名者的实时子代理密钥；

(4)n个代理签名者联合起来生成实时多重代理签名；

(5)消息验证者收到实时多重代理签名后用原始签名者的身份和n个代理签名者的身份对实时多重代理签名进行验证。

2.根据权利要求1所述的保护私钥的基于身份的多重代理签名方法，其特征在于，步骤(1)所述的参数建立过程如下：

κ是一个安全参数，G₁是一个阶为素数q的加法循环群，P是G₁的生成元；G₂是一个阶为q的乘法循环群，且e:G₁×G₁→G₂是一个双线性映射；Z_q表示集合{0,1,2,…,q-1},用

表示Z_q\{0}；密钥生成中心选取一个随机的主私钥

计算并公开主公钥P_pub＝sP；选取五个哈希函数H₁:{0,1}^*→G₁，H₂:{0,1}^*→G₁，H₃:{0,1}^*→G₁，

H₅:{0,1}^*→G₁。

3.根据权利要求1所述的保护私钥的基于身份的多重代理签名方法，其特征在于，所述步骤(2)包括以下步骤：

(21)用户身份信息ID∈{0,1}^*，密钥生成中心随机选取协助器密钥HK_ID∈G₁，计算Q_ID＝H₁(ID),T_ID＝HK_IDP,生成用户ID在第一个时间片的实时私钥d_ID,1＝(D_ID,1,T_ID)＝(sQ_ID+HK_IDH₅(ID||T_ID||1),T_ID)；

(22)生成用户ID在时间片t′到t的实时协助器更新码：

用户ID计算UI_ID,t′,t＝HK_ID(H₅(ID||T_ID||t)-H₅(ID||T_ID||t′))；

(23)生成用户ID在时间片t的实时私钥：

用户ID计算d_ID,t＝(D_ID,t,T_ID)＝(D_ID,t′+UI_ID,t′,t,T_ID)＝(sH₁(ID)+HK_IDH₅(ID||T_ID||t),T_ID)；

(24)生成用户ID在时间片t的对消息m∈{0,1}^*的签名：

将实时私钥分解为d_ID,t＝(D_ID,t,T_ID)，随机选取

计算U＝rP，P_m＝H₂(t||ID||m||U)，V＝D_ID,t+rP_m，在时间片t的对消息m的签名为(t,σ)＝(t,(U,V,T_ID))；

(25)验证时间片t的对消息m的签名(t,σ)＝(t,(U,V,T_ID))是否有效，验证者计算：Q_ID,t＝H₁(ID)，P_m＝H₂(t||ID||m||U)，验证等式为：

e(P,V)＝e(P_pub,Q_ID)e(T_ID,H₅(ID||T_ID||t))e(U,P_m)。

4.根据权利要求1所述的保护私钥的基于身份的多重代理签名方法，其特征在于，所述步骤(3)包括以下步骤：

(31)代理授权：原始签名人O通过发放代理授权文件w授权给代理签名人群P₁,…,P_n；原始签名人随机选取

计算U_o＝r_oP，P_w＝H₂(t||ID_o||w||U_o)，V_o＝D_o,t+r_oP_w，原始签名人将(t,(w,U_o,T_IDo))发送给代理签名人群P₁,…,P_n；

(32)代理授权验证：对于(i＝1,…,n)，代理签名人P_i计算P_w＝H₂(t||ID_o||w||U_o)，检验等式e(P,V)＝e(P_pub,Q_IDo)e(T_IDo,H₅(ID||T_ID||t))e(U,P_w)；如果等式成立，代理签名人接受授权；否则，代理签名人拒绝授权；

(33)生成实时子代理密钥：如果代理签名人P_i(i＝1,…,n)接受了代理授权(t,(w,U_o,T_IDo))，则计算他在时间片t的实时子代理密钥为：

sk_pi,t＝V_o+H₄(t||ID_o||w||U_o)D_i,t；其中D_i,t＝sH₁(ID_i)+HK_IDiH₅(ID_i||T_IDi||t)。

5.根据权利要求1所述的保护私钥的基于身份的多重代理签名方法，其特征在于，所述步骤(4)实现过程如下：

对于消息m，代理签名人P_i按如下方式进行多重代理签名：

对于1≤i≤n，P_i随机选取

然后计算U_i＝r_iP∈G₁，而后将U_i广播给其他n-1个代理签名人；

对于1≤i≤n，P_i计算

H＝H₃(t||w||m||U_o)，V_i,t＝sk_pi,t+r_iH；

对于1≤i≤n，P_i将(U_i,V_i,t)作为消息m的实时部分代理签名发送给代理团主席P_n；所述代理团主席P_n检验为：

e(P,V_i,t)

＝e(P_pub,Q_o)e(T_IDo,H₅(ID_o||T_IDo||t))e(U_o,H₂(t||ID_o||w||U_o))

e(P_pub,H₁(ID_i))^{H4(t||IDo||w||Uo)}e(T_IDi,H₅(ID||T_IDi||t))^{H4(t||IDo||w||Uo)}e(U_i,H₃(t||w||m||U_o))是否成立，若成立，就接受，否则要求P_i重发实时部分代理签名；若所有的实时部分代理签名都正确，代理团主席P_n计算

则关于消息m的实时多重代理签名为(t,σ)＝(t,(w,U_o,U,V_t,T_t,T_IDo))。

6.根据权利要求1所述的保护私钥的基于身份的多重代理签名方法，其特征在于，所述步骤(5)实现过程如下：

检查消息m是否满足代理授权文件w的要求，如果不满足要求，则算法结束；否则，算法继续；

检查代理签名人P₁,…,P_n是否被原始签名人O在授权文件w中认证，如果没有被认证，则算法结束；否则，算法继续；

检验以下等式来完成上述二项检查是否成立，如果等式成立，则接受实时多重代理签名有效，否则该实时多重代理签名无效：

e(P,V_t)

＝e(P_pub,n H₁(ID_o))e(T_IDo,n H₅(ID_o||T_IDo||t))e(U_o,nH₂(ID_o||w||U_o))

e(P,H₄(ID_o||w||U_o)T_t)

e(U,H₃(t||w|||m||U_o)。

7.一种保护私钥的基于身份的多重代理签名装置，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述计算机程序被加载至处理器时实现根据权利要求1-6任一项所述的保护私钥的基于身份的多重代理签名方法。

Images