CN113383512A - 用于生成匿名签名方案的密钥的方法和系统 - Google Patents

用于生成匿名签名方案的密钥的方法和系统 Download PDF

Info

Publication number
CN113383512A
CN113383512A CN201980085929.XA CN201980085929A CN113383512A CN 113383512 A CN113383512 A CN 113383512A CN 201980085929 A CN201980085929 A CN 201980085929A CN 113383512 A CN113383512 A CN 113383512A
Authority
CN
China
Prior art keywords
entity
key
group
signature
anonymous
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201980085929.XA
Other languages
English (en)
Inventor
J.特拉奥雷
N.德斯穆林斯
G.奥德里奥索洛
A.奥罗
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Orange SA
Original Assignee
Orange SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Orange SA filed Critical Orange SA
Publication of CN113383512A publication Critical patent/CN113383512A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3255—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using group based signatures, e.g. ring or threshold signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/42—Anonymization, e.g. involving pseudonyms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/46—Secure multiparty computation, e.g. millionaire problem
    • H04L2209/463—Electronic voting

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)

Abstract

一种由组的成员实体(Vi)实现的匿名地签名消息(msg)的方法，包括：‑向用于管理组的管理实体
Figure DDA0003131000760000011
注册所述成员(Vi)的步骤；‑所述成员实体(Vi)根据由至少一个撤销实体(52；)计算并被包含在所述组的公共密钥(PKG)中的轨迹生成器(Pt)生成轨迹(Ti)的步骤(H8)，所述轨迹(Ti)相对于由所述成员实体根据所述方案生成的匿名签名(σi)是不变的；‑所述成员实体(Vi)盲获得私有组密钥
Figure DDA0003131000760000012
的步骤；‑使用所述私有密钥根据匿名签名方案(SigA2)生成至少一个签名(σi)的步骤(H10)，所述签名包括所述轨迹(Ti)。

Description

用于生成匿名签名方案的密钥的方法和系统
技术领域
本发明适用于密码学的上下文，并且更确切地说，适用于组签名的上下文。
背景技术
需要指出的是，组签名方案允许用户证明其属于组(例如服务的竞价者、订户等)而不暴露其确切身份。组签名具有匿名的特殊特征，因为不可能识别签名人。组签名被称为不可追踪的，因为无法确定两个签名是由同一个人还是由两个不同的人发送的。
由于表征组的称为“公共组密钥”的公共密钥，组签名的有效性可以由任何人来验证。要成为组的一部分，成员必须预先向组的管理实体注册。在这个注册阶段，未来的成员盲获得私有组密钥，该私有组密钥允许其以组的名义签名消息。由于只有其具有的称为“陷阱门”的私有密钥，只有可信的撤销机构或撤销实体有权撤销组签名的匿名性。实际上，该陷阱门事实上可以在几个撤销机构之间共享；他们需要合作来解除(lift)签名的匿名性。因此，组成员受到保护，免受对解除匿名性的滥用。
例如，在Dan Boneh、Xavier Boyen和Hovav Shacham的文章“短组签名(ShortGroup Signatures).CRYPTO 2004:41-55”中描述了组签名的概念。
对于需要保持用户的匿名性的一些应用(诸如电子投票或请愿)，优选实现称为直接匿名证明(DAA，直接匿名证明)的组签名变型。例如，Ernie Brickell、Liqun Chen和Jiangtao Li的文章“根据双线性映射的新的直接匿名证明方案(A New Direct AnonymousAttestation Scheme from Bilinear Maps).TRUST 2008:166-178”中描述了DAA的概念。
尽管其是匿名的，但除了组签名外，直接匿名证明DAA是可追踪的：因此可能确定两个签名DAA已经由同一个人还是由两个不同的人发送的。在电子投票或请愿的上下文中，这种可追踪性将确保投票人仅投票一次，或者电子请愿已由不同的请愿者正确地签名。
不幸的是，没有已知的解决方案来解除签名DAA的匿名性，并从而识别签名人。这给一些应用带来了问题，这些应用诸如电子投票，尤其是在用于识别已投票的投票者的投票列表必须对所有投票者都可访问的国家。
本发明提出了一种用于电子签名的解决方案，该解决方案没有上述解决方案的缺点。
发明内容
因此，根据第一方面，本发明的目的是一种用于消息的匿名签名的方法，该方法由组的成员实体执行，并且包括：
-用于向组的管理实体注册该成员的步骤；
-用于根据由至少一个撤销实体计算并被包括在该组的公共密钥中的轨迹生成器生成轨迹的步骤，该轨迹相对于根据该方案由该成员实体生成的匿名签名是不变的；
-用于盲获得私有组密钥的步骤；
-用于通过使用该私有组密钥根据匿名签名方案生成至少一个签名的步骤，该签名包括该轨迹。
相关地，本发明的目的是由组的成员实体执行的消息的匿名签名设备，并且包括：
-该成员实体向组的管理实体的注册模块；
-用于根据由至少一个撤销实体计算并被包括在该组的公共密钥中的轨迹生成器生成轨迹的模块，该轨迹相对于根据该方案由该成员实体生成的匿名签名是不变的；
-用于盲获得私有组密钥的模块；
-用于通过使用该私有组密钥生成至少一个签名的模块，该签名包括该轨迹。
本发明提出一种匿名签名的加密方法，其中组签名是可追踪的。
有利地，与直接匿名证明相反，由组成员根据该方案生成的匿名签名的匿名性可以由撤销实体解除。
这种加密方法还证明比现有技术的直接匿名证明DAA或组签名的方案更有效，尤其是在计算时间方面。这种匿名签名方案的安全性还基于被加密团体认为比现有技术的最有效的直接匿名证明方案所基于的被称为“交互式”(例如，涉及甲骨文(oracle))的安全性假设更“标准”的被称为“非交互式”的安全性假设。这种类型的匿名签名方案因此提供了更好的安全性。
根据第二方面，本发明涉及一种用于生成匿名签名方案的密钥的方法，该方法包括：
-由至少一个撤销实体对包括公共密钥和私有密钥的撤销密钥对的计算步骤，所述私有密钥可由该撤销实体用来撤销符合所述方案的匿名签名的匿名性；
-由组管理实体对至少一个成员实体向组的注册步骤；
-根据该撤销密钥对的公共密钥对轨迹生成器的计算步骤，所述轨迹生成器旨在由在该组中注册的每个成员实体使用，以生成代表该成员实体、并且相对于由该成员实体根据该方案生成的匿名签名是不变的轨迹；
-每个成员实体被配置为盲获得私有组密钥，该私有密钥被该成员实体用来生成符合该方案的匿名签名，这些匿名签名包括轨迹。“盲获得”是指组的管理实体不知道成员实体用于签名其消息的私有组密钥。
相关地，本发明涉及一种用于生成匿名签名方案的密钥的系统，该系统包括：
-至少一个撤销实体，被配置为计算包括公共密钥和私有密钥的撤销密钥对，所述私有密钥可由撤销实体用来根据所述方案撤销匿名签名的匿名性；
-组管理实体，被配置为向所述组注册至少一个成员实体；
-撤销实体，被配置为根据该撤销密钥对的公共密钥计算轨迹生成器，该轨迹生成器旨在被每个成员实体用来生成代表该成员实体的轨迹，该轨迹相对于该成员实体根据所述方案生成的匿名签名是不变的；
-每个成员实体，被配置为盲获得私有组密钥，该私有密钥被成员实体用来生成符合该方案的匿名签名，这些匿名签名包括轨迹。
在具体实施例中，所提出的用于生成密钥的方法包括：
-用于针对该组的管理实体生成该方案的密钥对的步骤；
-根据该密钥对的公共密钥计算该撤销密钥对的公共密钥。
在具体实施例中，轨迹生成器被周期性地更新。
在具体实施例中，轨迹生成器特定于给定服务。该服务对应于例如特定的选票(ballot)。
事实上，通过这些功能，所提出的用于生成密钥的方法可以适用于电子投票。事实上，其提供了签名方案，该签名方案是：
-匿名的，这确保秘密投票；
-可追踪的，这确保投票人不会投票两次，以及
-其中签名的匿名性是可撤销的，因此允许撤销实体(在例如追索的情况下)编制选票的投票列表。
在具体实施例中，根据本发明的用于生成密钥的方法和投票方法的不同步骤由计算机程序指令确定。
因此，本发明的另一目的是信息介质上的计算机程序，该程序包括适于执行如上文提到的至少一种方法的指令。
该程序可以利用任何编程语言，并且可以是以源代码、目标代码、或者源代码与目标代码之间的中间代码的形式，诸如部分编译的形式，或者任何其他优选的形式。
本发明的另一目的是一种可由计算机读取、并且包括如上文提到的计算机程序的指令的信息介质。
该信息介质可以是能够存储程序的任何实体或设备。例如，该介质可以包括诸如ROM的储存部件，例如CD ROM或微电子电路ROM，或者甚至磁记录部件，例如硬盘驱动器。
另一方面，信息介质可以是可传输介质，诸如可以经由电缆或光缆、通过无线电或通过其他手段传达的电信号或光信号。根据本发明的程序具体可以通过互联网类型的网络下载。
可替代地，信息介质可以是其中合并有程序的集成电路，该电路适于执行或被用于执行所讨论的方法。
附图说明
本发明的其他特性和优点将从下面参照附图的描述中显现出来，附图说明了没有任何限制特性的示例性实施例，其中：
-图1图示了根据本发明的实施例的用于生成密钥的系统和匿名签名设备；
-图2以流程图的形式图示了根据本发明的用于生成密钥的方法的主要步骤；
-图3以流程图的形式图示了根据本发明的签名方法的主要步骤；
-图4以流程图的形式图示了可以在本发明中使用的签名的验证方法的主要步骤；
-图5以流程图的形式图示了可以在本发明中使用的用于解除匿名性的方法的主要步骤；
-图6图示了根据本发明的实施例的电子投票系统；
-图7以流程图的形式图示了用于在图6的投票系统中生成密钥的方法的主要步骤；
-图8以流程图的形式图示了根据本发明的投票方法的主要步骤；
-图9以流程图的形式图示了可以在图6的投票系统中使用的签名的验证方法的主要步骤；
-图10以流程图的形式图示了可以在图6的投票系统中使用的用于解除匿名性的方法的主要步骤；
-图11图示了具体实施例中的在本发明中使用的设备的硬件架构。
具体实施方式
符号和假设：
在整个文件中，符号
Figure BDA0003131000740000051
将用于指定满足关系
Figure BDA0003131000740000052
的元素α1，α2，...，αn的零知识证明。因此，公共模块RSA(来自发明人的名字“Rivest-Shamir-Adleman”)的前两个因子的知识证明将被记为：PoK(α1，α2：N＝α1·α2∧(α1≠1)∧(α2≠1))。
在以下描述中，
-p是素数；
- 组G1、G2和GT是p阶的循环组；
-g、h指定G1的随机选择的两个生成器；
-
Figure BDA0003131000740000055
是G2的随机选择的生成器；
-e是类型2或3的双线性耦合，其被定义在集合G1×G2到集合GT上。
需要指出的是，双线性耦合(记为e)是在集合G1×G2到集合GT上定义的应用，其中G1、G2和GT指定p阶的循环组。该应用e验证以下属性：
-双线性：
Figure BDA0003131000740000053
和
Figure BDA0003131000740000054
Figure BDA0003131000740000061
-非退化：对于
Figure BDA0003131000740000062
和
Figure BDA0003131000740000063
其中
Figure BDA0003131000740000064
和
Figure BDA0003131000740000065
分别表示组G1、G2的中性元素。
-可计算：
Figure BDA0003131000740000066
存在用于计算e(g1，g2)的有效算法。
实际上，组G1、G2和GT将被选择以使得G1和G2之间不存在可有效计算的同构性(isomorphism)。这种耦合在文献中已知为“类型3”的耦合名称。实际上，对于128位的安全性级别，“类型3”的耦合参数的建议大小如下：对素数p以及对G1的元素为256位，对G2的元素为512位，并且对GT的元素为3072位。
该方案的安全性部分地基于以下问题是困难的假设。换句话说，如果攻击者能够危及加密方案的安全性，那么其也能够解决断言为“困难”的这些问题。
问题DDH
设G是一阶p的循环组。给定生成器g∈G，任何两个元素ga、gb∈G和候选X∈G，迪菲-赫尔曼决策问题(DDH)包括确定是否有X＝gab。
在基于双线性耦合的方案的情况下，存在困难的具体问题。对于本发明中使用的耦合，发明人假设问题DDH在组G1和G2中是困难的。这个假设被称为迪菲-赫尔曼外部对称假设(SXDH)。
对于根据本发明的方法，可以论证，如果第三方(不具有撤销机构的密钥)设法识别任何匿名签名的签名者，那么其也能够解决问题SXDH。
问题q-MSDH
设(p，G1，G2，GT，e)是“类型3”的双线性环境，并且g(相应地，
Figure BDA0003131000740000067
)是G1(相应地，G2)的生成器。给定
Figure BDA0003131000740000068
其中a和x是
Figure BDA0003131000740000069
的任何两个元素，问题q-MSDH包括寻找四元组
Figure BDA00031310007400000610
其中
Figure BDA00031310007400000611
P是最大级数(maximum-degree)多项式q，并且ω是
Figure BDA00031310007400000612
的元素，使得多项式P(X)和(X+ω)是第一个。
可以论证，如果第三方成功地“伪造”了根据本发明的匿名签名方案的签名，那么其也能够解决问题q-MSDH。
在这里描述的实施例中，至少在这些方面中的一些方面，本发明实现：
-组的一个或多个管理实体
Figure BDA00031310007400000613
-撤销机构
Figure BDA00031310007400000614
其中(t≥1)；
-组的成员实体Vi。
Figure BDA0003131000740000071
指定n个成员实体的组。
图1图示了根据本发明的用于生成匿名签名方案SigA2的密钥的系统SGC和组
Figure BDA0003131000740000072
的成员实体Vi。还图示了验证设备DV。
根据本发明，成员实体Vi包括通信模块COM和匿名签名设备DSA。
用于生成密钥的系统SGC包括组的管理实体
Figure BDA0003131000740000073
以及撤销机构
Figure BDA0003131000740000074
其中(t≥1)。
组的管理实体
Figure BDA0003131000740000075
包括通信模块COM、加密模块MCR和注册模块ERG，该注册模块ERG被配置为在该组中注册至少一个成员实体Vi。
为此，成员实体Vi的设备DSA包括注册模块ERG，该注册模块ERG被配置为向组的管理实体
Figure BDA0003131000740000076
注册成员实体Vi。
在这里描述的实施例中，每个撤销实体
Figure BDA0003131000740000077
包括被配置为计算撤销密钥对
Figure BDA0003131000740000078
的加密模块MCR，该密钥对包括公共密钥Pj和私有密钥
Figure BDA0003131000740000079
其可由撤销实体用于撤销符合所述方案SigA2的匿名签名的匿名性。
在这里描述的实施例中，撤销实体
Figure BDA00031310007400000710
的加密模块MCR被配置为根据该撤销密钥对的私有密钥
Figure BDA00031310007400000711
计算轨迹生成器
Figure BDA00031310007400000712
其中X1表示由用于生成密钥的系统SGC所产生的公共参数。
在这里描述的实施例中，每个成员实体Vi的设备DSA包括加密模块MCR，该加密模块MCR被配置为通过使用该轨迹生成器根据成员实体Vi的私有密钥来生成表示成员实体Vi的轨迹
Figure BDA00031310007400000713
该轨迹Ti相对于由成员实体根据方案SigA2所生成的匿名签名σi是不变的。
在这里描述的实施例中，每个成员实体Vi的加密模块MCR被配置为盲获得私有组密钥
Figure BDA00031310007400000714
在这里描述的实施例中，每个成员实体Vi的加密模块MCR被配置为通过使用该私有组密钥来生成消息的签名σi，这些签名包括轨迹Ti。
验证设备DV被配置为验证匿名签名σi是否符合匿名签名方案SigA2。其执行验证算法，该验证算法输入消息msg、签名σi和组的公共密钥PKG。其确定签名σi是否有效。
在这里描述的实施例中，验证设备DV包括通信部件COM和加密模块MCR。
验证设备DV的通信模块COM被配置为获得匿名签名σi，使得σi＝(w，w′，c1，T，PH′i)。
验证设备DV的加密模块MCR被配置为在以下情况下确定消息msg的匿名签名σi有效：
-
Figure BDA0003131000740000081
-
Figure BDA0003131000740000082
-PΠ′i有效；以及
-
Figure BDA0003131000740000083
在这里描述的实施例中，撤销实体
Figure BDA0003131000740000084
的加密模块MCR被配置为执行稍后参考图5描述的用于解除签名的匿名性的方法。
图2以流程图的形式图示了根据本发明的用于生成组密钥的方法的主要步骤。
在步骤E2期间，管理实体
Figure BDA0003131000740000085
的加密模块MCR随机地抽取Zp的三个值X0、
Figure BDA0003131000740000086
x1。
在步骤E4期间，管理实体
Figure BDA0003131000740000087
的加密模块MCR计算
Figure BDA0003131000740000088
Figure BDA0003131000740000089
在步骤E6期间，管理实体
Figure BDA00031310007400000810
的加密模块MCR构成密钥对，其中：
-私有密钥
Figure BDA00031310007400000811
由已经随机地抽取的三个值
Figure BDA00031310007400000812
构成；以及
-公共密钥
Figure BDA00031310007400000813
由在步骤E4计算的元素构成：
Figure BDA00031310007400000814
Figure BDA00031310007400000815
在步骤E8期间，管理实体
Figure BDA00031310007400000816
的加密模块MCR生成用于证明其知道与其公共密钥相关联的私有密钥的零知识证明PΠ2。
Figure BDA00031310007400000817
Figure BDA00031310007400000818
在步骤F2期间，每个撤销实体
Figure BDA00031310007400000819
的加密模块MCR随机地抽取Zp的值
Figure BDA00031310007400000820
该随机值
Figure BDA00031310007400000821
构成撤销实体
Figure BDA00031310007400000822
的私有密钥，用于解除签名的匿名性。
在步骤F4期间，撤销实体
Figure BDA00031310007400000823
的加密模块MCR依次计算与该私有密钥
Figure BDA00031310007400000824
相关联的公共密钥Pj。更准确地，在这里描述的实施例中：
-撤销实体
Figure BDA00031310007400000825
计算
Figure BDA00031310007400000826
并证明其知道与其公共密钥相关联的私有密钥，换句话说，知道以X1为基数的P1的离散对数。
-撤销实体
Figure BDA00031310007400000827
计算
Figure BDA00031310007400000828
并证明其知道与其公共密钥相关联的私有密钥，换句话说，知道以P1为基数的P2的离散对数。
-撤销实体
Figure BDA00031310007400000829
(对于t≥j≥2)计算
Figure BDA00031310007400000830
并证明其知道与其公共密钥相关联的私有密钥，换句话说，知道以Pj-1为基数的Pj的离散对数。
在步骤F6期间，当所有的撤销实体已经计算了其公共密钥Pj时，撤销实体
Figure BDA0003131000740000091
的加密模块MCR构成组的公共密钥
Figure BDA0003131000740000092
其包括从每个撤销实体
Figure BDA0003131000740000093
的私有密钥获得的轨迹生成器
Figure BDA0003131000740000094
与公共组密钥相关联的私有密钥是
Figure BDA0003131000740000095
在这里描述的实施例中，每个成员实体Vi具有数字签名算法的独特标识符
Figure BDA00031310007400000923
以及私有、公共密钥对(SKi，PKi)，公共密钥PKi已经由认可的认证实体(例如由管理实体
Figure BDA0003131000740000096
)所认证。可用于此目的的数字签名算法的示例有：RSA、DSA、ECDSA、......。
为了获得其私有组密钥，成员实体Vi与管理实体
Figure BDA0003131000740000097
交互。在步骤G2期间，成员实体Vi的加密模块MCR随机地抽取值xi∈Zp并计算
Figure BDA00031310007400000922
应当注意，私有组密钥
Figure BDA0003131000740000099
是由成员实体根据仅由其知道的其私有密钥xii获得的。
然后其生成零知识证明PΠi，即其知道以X1为基数的Ci的离散对数xi：
Figure BDA00031310007400000910
在文档Claus-Peter Schnorr的“智能卡的有效识别和签名(Efficient Identification and Signature for Smart Cards)”(密码学的理论与应用，斯普林格，1989)中提供了这种证明的示例。
在步骤G4期间，成员实体Vi的加密模块对Ci生成签名
Figure BDA00031310007400000911
Figure BDA00031310007400000912
其中SKi表示Vi的私有密钥。成员实体Vi然后将这三个值Ci、PΠi、
Figure BDA00031310007400000913
传送到管理实体
Figure BDA00031310007400000914
在步骤E10期间，管理实体
Figure BDA00031310007400000915
的加密模块MCR验证Ci≠1并且签名
Figure BDA00031310007400000916
和证明PΠi均是有效的。
如果是这种情况，则在步骤E12期间，管理实体
Figure BDA00031310007400000917
的加密模块MCR生成Zp的两个随机值b和x′，并计算
Figure BDA00031310007400000918
以及(u，u’)对，其中u＝hb并且
Figure BDA00031310007400000919
Figure BDA00031310007400000920
其证明(u，u’)对已被一致地计算，尤其是根据私有密钥x0和x1：
Figure BDA00031310007400000921
在步骤E14期间，管理实体
Figure BDA00031310007400000924
的加密模块MCR向成员实体Vi传送E、u、u’和证明PΠ3。
在步骤G6期间，成员实体Vi的加密模块验证u≠1，并且证明PΠ3是有效的。如果这两个验证是结论性的，则在步骤G7期间，成员实体Vi的加密模块对Ci和E生成签名
Figure BDA0003131000740000101
其中SKi指定成员实体Vi的私有密钥。
在步骤G75期间，成员实体Vi向管理实体
Figure BDA0003131000740000102
传送签名
Figure BDA0003131000740000103
在步骤E13期间，管理实体
Figure BDA0003131000740000104
验证签名
Figure BDA0003131000740000105
是有效的，并且如果是这种情况，则向成员实体Vi传送x’。
管理实体
Figure BDA0003131000740000106
保持寄存器REG包含该组的每个成员实体Vi的以下值：
Figure BDA0003131000740000107
PKi和
Figure BDA0003131000740000108
Figure BDA0003131000740000109
其中n表示正式注册的成员的数目。
在步骤G8期间，成员实体Vi验证
Figure BDA00031310007400001010
并构成其私有组密钥
Figure BDA00031310007400001011
(如果该验证是结论性的)。该私有组密钥
Figure BDA00031310007400001012
由三元组
Figure BDA00031310007400001013
构成，其中si＝xi+x′mod p。
在具体实施例中，轨迹生成器Pt被周期性地(每小时、每天、每月开始等)更新。为此，撤销实体更新其私有密钥
Figure BDA00031310007400001014
并根据先前描述的生成方法重新计算对应的轨迹生成器Pt是足够的。
在具体实施例中，轨迹生成器Pt特定于给定服务。通常，可以针对特定的选举生成轨迹生成器Pt。对于新的选票，撤销实体必须计算新的私有密钥
Figure BDA00031310007400001015
以从中推导新的轨迹生成器P′t。
图3以流程图的形式图示了根据本发明的签名方法的主要步骤。该签名方法利用了匿名签名方案SigA2。该方案利用了根据消息msg、成员实体的公共组密钥PKG和私有组密钥
Figure BDA00031310007400001016
来产生消息msg的签名σi的算法。
根据匿名签名方案SigA2，为了用其私有组密钥
Figure BDA00031310007400001022
时消息msg∈{0，1}*进行匿名签名，成员实体Vi的加密模块MCR在步骤H2期间随机地抽取值l∈Zp。在步骤H4，t计算值w＝ul，并且在步骤H6，计算值w′＝(u′)l。
在步骤H8期间，成员实体Vi的加密模块MCR计算值
Figure BDA00031310007400001018
和轨迹
Figure BDA00031310007400001019
Figure BDA00031310007400001020
从轨迹生成器Pt计算的、成员实体Vi的私有组密钥的元素si的该轨迹Ti不依赖于消息msg。换句话说，轨迹Ti构成成员实体Vi发送的签名的不变量。
成员实体Vi证明以w为基数的c1的离散对数与以Pt为基数的Ti的离散对数相同：
Figure BDA00031310007400001021
在这里描述的本发明的实施例中，证明PП′i是(c，r)对，其中：
-z是由成员实体Vi抽取的Zp的随机值；
-T1＝wz；
-
Figure BDA0003131000740000111
-
Figure BDA0003131000740000112
-r＝z-csi mod p
如果
Figure BDA0003131000740000113
则该证明是有效的。
在步骤H10期间，成员实体Vi的加密模块MCR生成消息msg的匿名签名σi，匿名签名σi由以下五个元素构成：(w，w′，c1，Ti，PΠ′i)。其包括追踪由成员实体Vi发送的所有签名的轨迹Ti。
图4以流程图的形式图示了可用于本发明的匿名签名的验证方法的主要步骤。该方法由图1的验证设备DV执行。其执行输入消息msg、签名σi和组的公共密钥PKG的验证算法。其确定签名σi是否有效。
在步骤K2期间，匿名签名的验证设备获得匿名签名σi＝(w，w′，c1，Ti，PΠ′i)。
在步骤K4期间，验证设备在以下情况下认为消息msg的匿名签名σi是有效的：
-
Figure BDA0003131000740000114
-
Figure BDA0003131000740000115
-PΠ′i有效；以及
-
Figure BDA0003131000740000116
图5以流程图的形式图示了用于解除消息msg的有效签名σi＝(w，w′，c1，Ti，Π′i)的匿名性的方法的主要步骤。此方法只能由撤销实体
Figure BDA00031310007400001122
来执行。其利用了以下算法，该算法输入消息msg、签名σi、组的公共密钥PKGa和撤销机构的私有密钥
Figure BDA0003131000740000118
并返回成员实体Vi的身份
Figure BDA0003131000740000119
以及证明Vi是此签名σi的真实作者。
在步骤Z2期间，每个撤销实体
Figure BDA00031310007400001110
获得消息msg的匿名签名σi。
在步骤Z4期间，撤销机构
Figure BDA00031310007400001111
依次计算
Figure BDA00031310007400001112
其中T0＝Ti。
换句话说：
-
Figure BDA00031310007400001113
计算
Figure BDA00031310007400001114
并证明
Figure BDA00031310007400001115
即以Ti为基数的T1的离散对数等于以P1为基数的X1的离散对数。
-
Figure BDA00031310007400001116
计算
Figure BDA00031310007400001117
并证明
Figure BDA00031310007400001118
即以T1为基数的T2的离散对数等于以P2为基数的P1的离散对数。
-
Figure BDA00031310007400001119
(对于t≥j≥2)计算
Figure BDA00031310007400001120
并证明
Figure BDA00031310007400001121
以Tj-1为基数的Tj的离散对数等于以Pj为基数的Pj-1的离散对数。
这里要指出的是，只能存在一个单一撤销实体。
如果撤销机构产生的所有证明都有效，则：
Figure BDA0003131000740000121
在步骤Z6期间，撤销机构向管理实体
Figure BDA0003131000740000122
传送Tt和所有证明
Figure BDA0003131000740000123
在步骤Z8期间，管理实体
Figure BDA0003131000740000124
在其寄存器REG中检索对应于C′i：
Figure BDA0003131000740000125
的条目。
在步骤Z10期间，管理实体
Figure BDA0003131000740000126
反过来向作为解除匿名性的申请者的撤销实体
Figure BDA0003131000740000127
提供标识符
Figure BDA0003131000740000128
证明
Figure BDA0003131000740000129
以及Ci、C′i、x′、PKi和
Figure BDA00031310007400001210
如果所有证明
Figure BDA00031310007400001211
都是有效的，如果
Figure BDA00031310007400001212
并且如果签名
Figure BDA00031310007400001213
是有效的，则管理实体
Figure BDA00031310007400001214
认为标识符为
Figure BDA00031310007400001215
的成员实体Vi是消息msg的签名σi的真实作者。
当该服务是电子投票时，根据通过执行该方法获得的标识符来编制投票列表是可能的。
本发明的第二实施例的描述
匿名签名方案SigA2可被具体用于实现电子投票解决方案。
图6图示了根据本发明的投票系统电子SVE2。该系统包括用于生成匿名签名方案SigA2的密钥的系统SGC和根据本发明的组
Figure BDA00031310007400001216
的成员实体Vi。其还包括验证设备DV。
在此实施例中，组的成员实体Vi是投票者实体。
在此实施例中，用于生成密钥的系统SGC包括注册实体
Figure BDA00031310007400001217
和组织实体
Figure BDA00031310007400001218
同时，每个实体充当组的管理实体和组的撤销实体。应当理解，这是说明性示例，并且在其他示例中，归因于不同实体的角色分布可以是不同的。注册实体
Figure BDA00031310007400001219
和组织实体
Figure BDA00031310007400001220
中的每一个包括通信模块COM和加密模块MCR。注册实体
Figure BDA00031310007400001221
和组织实体
Figure BDA00031310007400001222
中的每一个还包括注册模块ERG，该注册模块ERG被配置为在该组中注册至少一个投票者实体Vi。
因此，在本发明的此实施例中，投票者实体同时向注册实体
Figure BDA00031310007400001223
和组织实体
Figure BDA00031310007400001224
注册。该实施例将组管理员的角色在两个实体之间反复(reprise)，以防止单一实体能够创建虚假的投票者实体。
根据本发明，投票者实体Vi包括通信模块COM和匿名签名设备DSA。
投票者实体Vi的设备DSA包括注册模块ERG，其被配置为向注册实体
Figure BDA00031310007400001225
注册投票者实体Vi。
在这里描述的实施例中，每个撤销实体
Figure BDA0003131000740000131
的加密模块MCR被配置为计算撤销密钥对，其中私有密钥可用于撤销符合所述方案SigA2的匿名签名的匿名性，并且根据该撤销密钥对的公共密钥计算轨迹生成器。
每个投票者实体Vi的设备DSA包括加密模块MCR，该加密模块MCR被配置为通过使用该轨迹生成器来生成轨迹
Figure BDA0003131000740000132
该轨迹Ti相对于由投票者实体根据方案SigA2生成的匿名签名σi是不变的。
在这里描述的实施例中，每个投票者实体Vi的加密模块MCR被配置为盲获得私有组密钥
Figure BDA0003131000740000133
(在下文中记为si)。
在这里描述的实施例中，每个投票者实体Vi的加密模块MCR被配置为通过使用私有组密钥来生成消息的签名σi，这些签名包括轨迹Ti。
验证设备DV被配置为验证匿名签名σi是否符合匿名签名方案SigA2。其执行输入消息msg、签名σi和组的公共密钥PKG的验证算法。其确定签名σi是否有效。
在这里描述的实施例中，验证设备DV包括通信部件COM和加密模块MCR。
通信模块COM能够获得匿名签名σi，使得σi＝(w，w′，c1，Ti，PΠ′i)。
加密模块MCR被配置为在以下情况下确定消息msg的匿名签名σi有效：
-
Figure BDA0003131000740000134
-
Figure BDA0003131000740000135
-PП′i有效；以及
-
Figure BDA0003131000740000136
在这里描述的实施例中，撤销实体
Figure BDA0003131000740000137
的加密模块MCR被配置为执行稍后参考图10描述的用于解除签名的匿名性的方法。
图7以流程图的形式图示了根据本发明的此实施例的用于生成投票者实体的密钥的方法。
在步骤VE2期间，组织实体
Figure BDA0003131000740000138
的加密模块MCR随机地抽取Zp的四个值
Figure BDA0003131000740000139
在该实施例中，
Figure BDA00031310007400001310
是由组织实体
Figure BDA00031310007400001311
用于解除投票者实体的匿名性的私有密钥。
在步骤VE4期间，组织实体
Figure BDA00031310007400001312
的加密模块MCR计算
Figure BDA00031310007400001313
Figure BDA00031310007400001314
在步骤VE6期间，组织实体
Figure BDA0003131000740000141
的加密模块MCR构成密钥对，其中：
-私有密钥
Figure BDA0003131000740000142
由已经随机地抽取的四个值
Figure BDA0003131000740000143
构成；并且
-公共密钥
Figure BDA0003131000740000144
由在步骤VE4计算的元素构成：
Figure BDA0003131000740000145
Figure BDA0003131000740000146
在步骤VE8期间，组织实体
Figure BDA0003131000740000147
的加密模块MCR通过生成如下定义的零知识证明，来生成其知道与其公共密钥相关联的私有密钥的证明
Figure BDA0003131000740000148
Figure BDA0003131000740000149
Figure BDA00031310007400001410
注册实体
Figure BDA00031310007400001411
以同样的方式进行。
在步骤VE2期间，注册实体
Figure BDA00031310007400001412
的加密模块MCR随机地抽取Zp的四个值
Figure BDA00031310007400001413
在该实施例中，
Figure BDA00031310007400001414
是注册实体
Figure BDA00031310007400001415
用于解除投票者实体的匿名性的私有密钥。
在步骤VE4期间，注册实体
Figure BDA00031310007400001416
的加密模块MCR计算
Figure BDA00031310007400001417
Figure BDA00031310007400001418
在步骤VE6期间，注册实体
Figure BDA00031310007400001419
的加密模块MCR构成密钥对，其中：
-私有密钥
Figure BDA00031310007400001420
由已经随机地抽取的四个值
Figure BDA00031310007400001421
构成；以及
-公共密钥
Figure BDA00031310007400001422
由在步骤VE4计算的元素构成：
Figure BDA00031310007400001423
Figure BDA00031310007400001424
在步骤VE8期间，注册实体
Figure BDA00031310007400001425
的加密模块MCR生成其知道与其公共密钥相关联的私有密钥的证明VAPΠ2。该证明定义如下：
Figure BDA00031310007400001426
在步骤VF4期间，组织实体
Figure BDA00031310007400001427
和注册实体
Figure BDA00031310007400001428
的加密模块MCR在已公开其公共密钥
Figure BDA00031310007400001429
和
Figure BDA00031310007400001430
后，各自针对其部分计算轨迹生成器
Figure BDA00031310007400001431
Figure BDA00031310007400001432
在步骤VF6期间，当所有撤销实体(尤其是本实施例中的注册实体
Figure BDA00031310007400001433
和组织实体
Figure BDA00031310007400001434
)已经计算了其公共密钥时，这些撤销实体计算组的公共密钥PKG。其包括从这些撤销实体
Figure BDA00031310007400001435
和
Figure BDA00031310007400001436
的私有密钥获得的轨迹生成器
Figure BDA00031310007400001437
Figure BDA00031310007400001438
其中
Figure BDA00031310007400001439
Figure BDA00031310007400001440
并且
Figure BDA00031310007400001441
与公共组密钥相关联的私有密钥是：
Figure BDA0003131000740000151
在该实施例中，每个投票者实体Vi具有数字签名算法的独特标识符
Figure BDA0003131000740000152
以及私有、公共密钥对(SKi，PKi)，公共密钥PKi已经由认可的认证实体(例如由注册实体
Figure BDA0003131000740000153
和组织实体
Figure BDA0003131000740000154
)先前认证。
在这里描述的实施例中，为了获得其私有组密钥，投票者实体Vi必须与管理实体
Figure BDA0003131000740000155
和组织实体
Figure BDA0003131000740000156
交互。在步骤VG2期间，成员实体Vi的加密模块MCR随机地抽取值xi∈Zp并计算
Figure BDA0003131000740000157
然后其生成零知识证明VEPΠi，即其知道以X1为基数的Ci的离散对数
Figure BDA0003131000740000158
在步骤VG4期间，投票者实体Vi的加密模块MCR对Ci生成签名
Figure BDA0003131000740000159
Figure BDA00031310007400001510
其中SKi指定Vi的私有密钥。投票者实体Vi然后将这三个值Ci、VEPΠi、
Figure BDA00031310007400001511
传送到管理实体
Figure BDA00031310007400001512
和组织实体
Figure BDA00031310007400001513
在步骤VE10期间，管理实体
Figure BDA00031310007400001514
的加密模块MCR和组织实体
Figure BDA00031310007400001515
的加密模块MCR验证Ci≠1并且签名
Figure BDA00031310007400001516
和证明PHi均是有效的。
如果是这种情况，则在步骤VE12期间，管理实体
Figure BDA00031310007400001517
的加密模块MCR和组织实体
Figure BDA00031310007400001518
的加密模块MCR联合地生成Zp的两个随机值b和x′，并计算
Figure BDA00031310007400001519
Figure BDA00031310007400001520
以及(u，u’)对，其中u＝hb并且
Figure BDA00031310007400001521
其证明了(u，u’)对已被一致地计算，尤其是根据私有密钥x0和x1：
Figure BDA00031310007400001522
需要指出的是，为了联合地生成值(例如值x’)，管理实体
Figure BDA00031310007400001523
和组织实体
Figure BDA00031310007400001524
可以利用已知的分布式加密技术。例如，管理实体
Figure BDA00031310007400001525
(相应地，组织实体
Figure BDA00031310007400001526
)随机生成Zp的值
Figure BDA00031310007400001527
(相应地，Zp的
Figure BDA00031310007400001528
)，并计算
Figure BDA00031310007400001529
(相应地，
Figure BDA00031310007400001530
)。
这给出了
Figure BDA00031310007400001531
其中
Figure BDA00031310007400001532
在该实施例中，在步骤VE14期间，管理实体
Figure BDA00031310007400001533
或组织实体
Figure BDA00031310007400001534
的加密模块MCR向投票者实体Vi传送E、u、u’和证明VEPΠ3。作为变型，这些值由管理实体
Figure BDA00031310007400001535
和组织实体
Figure BDA00031310007400001536
发送，并且投票者实体Vi验证从两个实体
Figure BDA00031310007400001537
知
Figure BDA00031310007400001538
接收的值是相同的。
在步骤VG6期间，投票者实体Vi的加密模块验证u≠1，并且证明VOAPΠ3是有效的。如果这两个验证是结论性的，则在步骤VG7期间，投票者实体Vi的加密模块对Ci和E生成签名
Figure BDA00031310007400001539
其中SKi表示投票者实体Vi的私有密钥。在步骤VG75期间，投票者实体Vi向管理实体
Figure BDA00031310007400001540
和组织实体
Figure BDA0003131000740000161
传送签名
Figure BDA0003131000740000162
在步骤VE13期间，管理实体
Figure BDA0003131000740000163
和组织实体
Figure BDA0003131000740000164
验证签名
Figure BDA0003131000740000165
是有效的，并且如米是这种情况，则管理实体
Figure BDA0003131000740000166
向投票者实体Vi传送x’。
管理实体
Figure BDA0003131000740000167
保持寄存器REG(未示出)包含该组的每个成员实体Vi的以下值：
Figure BDA0003131000740000168
IDi，PKi和
Figure BDA0003131000740000169
Figure BDA00031310007400001610
其中n表示正式注册的投票者实体的数目。
在步骤VG8期间，投票者实体Vi验证
Figure BDA00031310007400001611
并构成其私有组密钥
Figure BDA00031310007400001612
(如果该验证是结论性的)。该私有组密钥
Figure BDA00031310007400001613
由三元组
Figure BDA00031310007400001614
构成，其中si＝xi+x′mod p。应当注意，所述私有组密钥
Figure BDA00031310007400001615
是由成员实体根据其独自知道的私有密钥xii所获得的。
图8以流程图的形式图示了根据本发明的该实施例的投票方法的主要步骤。
根据匿名签名方案SigA2，为了用其私有组密钥
Figure BDA00031310007400001616
对任何消息msg∈{0，1}*进行匿名签名，投票者实体Vi的加密模块MCR在步骤VH2期间随机地抽取值l∈Zp，并计算(步骤VH4)值w＝ul(步骤VH6)以及值w′＝(u′)l。
在一票的非提名多数投票(one-ballotuninominalmajoritypoll)的情况下，消息可以由投票者实体的投票(可选地以加密的形式)构成，对其的加密可以通过使用公共密钥来计算，其私有密钥将在被配置为执行对投票的计数的几个评估者实体之间共享。
在步骤VH8期间，投票者实体Vi的加密模块MCR计算值
Figure BDA00031310007400001617
和轨迹
Figure BDA00031310007400001618
从轨迹生成器Pt计算的、投票者实体Vi的私有组密钥的元素si的该轨迹Ti不依赖于消息msg。换句话说，轨迹Ti构成了投票者实体Vi发送的签名的不变量。
投票者实体Vi证明以w为基数的c1的离散对数与以Pt为基数的Ti的离散对数相同：
Figure BDA00031310007400001619
在这里描述的本发明的实施例中，证明PΠ′i是(c，r)对，其中：
-z是由成员实体Vi抽取的Zp的随机值；
-T1＝wz；
-
Figure BDA00031310007400001620
-
Figure BDA00031310007400001621
-r＝z-csi mod p
如果
Figure BDA0003131000740000171
则该证明是有效的。
在步骤VH10期间，投票者实体Vi的加密模块MCR生成消息msg的匿名签名σi，匿名签名σi由以下五个元素构成：(w，w′，c1，Ti，PП′i)。其包括追踪由投票者实体Vi发送的所有签名的轨迹Ti。
图9以流程图形式图示了根据本发明的匿名签名的验证方法的主要步骤。
在步骤VK2期间，匿名签名的验证设备获得匿名签名σi＝(w，w′，c1，Ti，VEPΠ′i)。
在步骤VK4期间，在以下情况下认为消息msg的匿名签名σi是有效的：
-
Figure BDA0003131000740000172
-
Figure BDA0003131000740000173
-VEPΠ′i有效；以及
-
Figure BDA0003131000740000174
图10以流程图的形式图示了根据本发明的第二实施例的用于解除消息msg的有效签名σi＝(w，w′，c1，Ti，Π′i)的匿名性的方法的主要步骤。该方法由注册实体
Figure BDA0003131000740000175
和组织实体
Figure BDA0003131000740000176
执行。
在步骤VZ2期间，这些实体
Figure BDA0003131000740000177
和
Figure BDA0003131000740000178
中的每一个都获得签名σi。
在步骤VZ4期间，实体
Figure BDA0003131000740000179
和
Figure BDA00031310007400001710
依次计算
Figure BDA00031310007400001711
其中T0＝Ti。
-
Figure BDA00031310007400001712
计算
Figure BDA00031310007400001713
并证明
Figure BDA00031310007400001714
即以Ti为基数的T1的离散对数等于以P1为基数的X1的离散对数。
-
Figure BDA00031310007400001715
计算
Figure BDA00031310007400001716
并证明
Figure BDA00031310007400001717
即以T1为基数的T2的离散对数等于以P2为基数的P1的离散对数。
如果撤销机构产生的所有证明都有效，则：
Figure BDA00031310007400001718
在该实施例中，在步骤VZ6期间，组织实体
Figure BDA00031310007400001719
向注册实体
Figure BDA00031310007400001720
传送证明
Figure BDA00031310007400001721
在步骤VZ8期间，注册实体
Figure BDA00031310007400001722
在其寄存器REG中检索对应于C′i：
Figure BDA00031310007400001723
的条目。
在步骤VZ10期间，注册实体
Figure BDA00031310007400001724
返回标识符
Figure BDA00031310007400001725
证明
Figure BDA00031310007400001726
和
Figure BDA00031310007400001727
以及Ci、C′i、x′、PKi和
Figure BDA00031310007400001728
如果所有证明都是有效的，如果
Figure BDA00031310007400001729
并且如果签名
Figure BDA00031310007400001730
是有效的，则注册实体
Figure BDA00031310007400001731
认为包括标识符为
Figure BDA00031310007400001732
的投票者实体Vi是消息msg的签名σi的真实作者。
在这里描述的实施例中，管理实体
Figure BDA0003131000740000181
撤销实体
Figure BDA0003131000740000182
组织实体
Figure BDA0003131000740000183
注册实体
Figure BDA0003131000740000184
验证设备DV、成员或投票者实体
Figure BDA0003131000740000185
具有诸如图11中示意性所示的计算机ORD的硬件架构。
计算机ORD具体包括处理器7、死存储器8、活存储器9、非易失性存储器10和通信部件COM。这些通信部件COM特别允许不同的实体彼此通信。它们可以包括一个或多个电信网络上的一个或多个通信接口(固定或移动、有线或无线等)。
计算机ORD的死存储器8构成了根据本发明的记录介质，其可由处理器读取，并且在其上登记了根据本发明的计算机程序(这里通常用PROG表示)，该计算机程序包括用于执行形成本发明主题的方法中的一个的指令。因此：
-对于管理实体
Figure BDA0003131000740000186
程序PROG是程序PROG1，其包括用于执行根据本发明的用于生成密钥的方法的步骤E2至E12、以及根据本发明的用于解除匿名性的方法的步骤Z8至Z10的指令，
-对于撤销实体
Figure BDA0003131000740000187
程序PROG是程序PROG1，其包括用于执行根据本发明的用于生成密钥的方法的步骤F2至F6、以及根据本发明的用于解除匿名性的方法的步骤Z2至Z6的指令，
-对于组织实体
Figure BDA0003131000740000188
程序PROG是程序PROG2，其包括用于执行根据本发明的用于生成密钥的方法的步骤VE2至VE12、以及根据本发明的用于解除匿名性的方法的步骤VZ2至VZ6的指令，
-对于注册实体
Figure BDA0003131000740000189
程序PROG是程序PROG3，其包括用于执行根据本发明的用于生成密钥的方法的步骤VE2至VE12、以及根据本发明的用于解除匿名性的方法的步骤VZ2至VZ10的指令，
-对于验证设备DV，程序PROG是程序PROG4，其包括用于执行根据本发明的签名验证方法的步骤K2至K4或VK2至VK4的指令，
-对于成员实体Vi，程序PROG是程序PROG5，其包括用于执行根据本发明的用于生成密钥的方法的步骤G2至G8或VG2至VG8、根据本发明的签名方法的步骤H2至H10或VH2至VH10的指令。
以同样的方式，这些程序中的每一个都定义了设备或者其上安装了该设备的模块的功能模块，其能够执行相关方法的步骤，并且基于计算机ORD的硬件元件7-10。

Claims (10)

1.一种由组的成员实体(Vi)执行的用于对消息(msg)进行匿名签名的方法，并且包括：
-用于向所述组的管理实体
Figure FDA0003131000730000011
注册所述成员(Vi)的步骤；
-用于由所述成员实体(Vi)根据由至少一个撤销实体
Figure FDA0003131000730000012
计算并被包括在所述组的公共密钥(PKG)中的轨迹生成器(Pt)生成轨迹(Ti)的步骤(H8)，所述轨迹(Ti)相对于由所述成员实体根据所述方案生成的匿名签名(σi)是不变的；
-用于由所述成员实体(Vi)盲获得私有组密钥
Figure FDA0003131000730000013
的步骤；
-用于通过使用所述私有密钥根据匿名签名方案(SigA2)生成至少一个签名(σi)的步骤(H10)，所述签名包括所述轨迹(Ti)。
2.一种用于生成匿名签名方案(SigA2)的密钥的方法，所述方法包括：
-由至少一个撤销实体
Figure FDA0003131000730000014
对包括公共密钥和私有密钥
Figure FDA0003131000730000015
的撤销密钥对(
Figure FDA0003131000730000016
Pj)的计算步骤(F2，F4，F6)，所述私有密钥可由所述撤销实体用来撤销符合所述方案(SigA2)的匿名签名的匿名性；
-由组管理实体
Figure FDA0003131000730000017
向所述组注册至少一个成员实体(Vi)的步骤；
-根据所述至少一个撤销密钥对的公共密钥(Pj)对轨迹生成器(Pt)的计算步骤(F2，F4，F6)，所述轨迹生成器(Pt)旨在由每个所述成员实体(Vi)用来生成代表所述成员实体(Vi)的轨迹(Ti)，所述轨迹(Ti)相对于由所述成员实体根据所述方案生成的匿名签名(σi)是不变的；
-所述成员实体(Vi)被配置为盲获得私有组密钥
Figure FDA0003131000730000018
所述私有密钥
Figure FDA0003131000730000019
被所述成员实体(Vi)用来根据所述方案生成匿名签名(σi)，所述匿名签名(σi)包括所述轨迹(Ti)。
3.根据权利要求2所述的用于生成密钥的方法，所述方法包括：
-用于由所述组的至少一个管理实体
Figure FDA00031310007300000110
针对所述组的至少一个管理实体
Figure FDA00031310007300000111
生成所述方案的密钥对
Figure FDA00031310007300000112
的步骤(E2，E4，E6，VE2，VE4)；
-所述至少一个撤销实体
Figure FDA00031310007300000113
的公共密钥(Pt)是根据所述密钥对
Figure FDA00031310007300000114
的公共密钥(X1)来计算(F2，F4，F6)的。
4.根据权利要求2或3所述的用于生成密钥的方法，其中所述轨迹生成器(Pt)被周期性地更新。
5.根据权利要求2至4中任一项所述的方法，其中所述轨迹生成器(Pt)特定于给定服务。
6.一种用于生成匿名签名方案(SigA2)的密钥的系统，该系统包括：
-至少一个撤销实体
Figure FDA0003131000730000021
被配置为计算包括公共密钥和私有密钥
Figure FDA0003131000730000022
的撤销密钥对(
Figure FDA0003131000730000023
Pj)，所述私有密钥
Figure FDA0003131000730000024
可由所述撤销实体用来撤销符合所述方案(SigA2)的匿名签名的匿名性；
-组管理实体
Figure FDA0003131000730000025
被配置为向所述组注册至少一个成员实体(Vi)；
-所述至少一个撤销实体
Figure FDA0003131000730000026
被配置为根据所述至少一个撤销密钥对的公共密钥(Pj)来计算轨迹生成器(Pt)，所述轨迹生成器(Pt)旨在由每个所述成员实体(Vi)用来生成代表所述成员实体(Vi)的轨迹，所述轨迹(Ti)相对于由所述成员实体根据所述方案生成的匿名签名(σi)是不变的；
-所述成员实体(Vi)被配置为盲获得私有组密钥
Figure FDA0003131000730000027
所述私有密钥
Figure FDA0003131000730000028
被所述成员实体(Vi)用来生成符合所述方案的匿名签名(σi)，所述匿名签名(σi)包括所述轨迹(Ti)。
7.一种由组的成员实体(Vi)执行的消息的匿名签名设备(DSA)，并且包括：
-所述成员实体(Vi)向所述组的管理实体
Figure FDA0003131000730000029
的注册模块；
-用于根据由至少一个撤销实体
Figure FDA00031310007300000210
计算并被包括在所述组的公共密钥(PKG)中的轨迹生成器生成轨迹(Ti)的模块，所述轨迹(Ti)相对于由所述成员实体根据所述方案生成的匿名签名(σi)是不变的；
-用于盲获得私有组密钥
Figure FDA00031310007300000211
的模块；
-用于通过使用所述私有组密钥生成至少一个签名(σi)的模块，所述签名包括所述轨迹(Ti)。
8.一种电子投票系统(SVE)，包括根据权利要求6所述的用于生成密钥的系统和根据权利要求7所述的至少一个匿名签名设备。
9.一种计算机程序，包括用于在由计算机执行时、执行根据权利要求2至5中任一项所述的用于生成密钥的方法的指令。
10.一种计算机程序，包括在由计算机执行时、用于执行根据权利要求1所述的用于匿名签名的方法的指令。
CN201980085929.XA 2018-12-24 2019-12-17 用于生成匿名签名方案的密钥的方法和系统 Pending CN113383512A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
FR1874108A FR3091107A1 (fr) 2018-12-24 2018-12-24 Procédé et système de génération de clés pour un schéma de signatures anonymes
FR1874108 2018-12-24
PCT/FR2019/053114 WO2020136320A1 (fr) 2018-12-24 2019-12-17 Procédé et système de génération de clés pour un schéma de signatures anonymes

Publications (1)

Publication Number Publication Date
CN113383512A true CN113383512A (zh) 2021-09-10

Family

ID=67441203

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201980085929.XA Pending CN113383512A (zh) 2018-12-24 2019-12-17 用于生成匿名签名方案的密钥的方法和系统

Country Status (5)

Country Link
US (1) US11936795B2 (zh)
EP (1) EP3903443A1 (zh)
CN (1) CN113383512A (zh)
FR (1) FR3091107A1 (zh)
WO (1) WO2020136320A1 (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP4049406A1 (en) * 2019-10-23 2022-08-31 "Enkri Holding", Limited Liability Company Method and system for anonymous identification of a user

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050268103A1 (en) * 2004-05-28 2005-12-01 International Business Machines Corporation Anonymity revocation
CN101359986A (zh) * 2007-04-30 2009-02-04 英特尔公司 用于根据双线性映射的直接匿名证明的装置和方法
FR2940726A1 (fr) * 2008-12-30 2010-07-02 France Telecom Signature de groupe a verification locale de revocation avec capacite de levee d'anonymat
CN104753683A (zh) * 2015-04-08 2015-07-01 西安电子科技大学 车联网中具有高效撤销的群签名方法

Family Cites Families (41)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO1999026207A1 (en) * 1997-11-19 1999-05-27 Rsa Security Inc. Digital coin tracing using trustee tokens
US7234059B1 (en) * 2001-08-09 2007-06-19 Sandia Corporation Anonymous authenticated communications
AU2002332671A1 (en) * 2001-08-13 2003-03-03 Board Of Trustees Of The Leland Stanford Junior University Systems and methods for identity-based encryption and related cryptographic techniques
FR2834598B1 (fr) * 2002-01-04 2004-02-20 France Telecom Procede et dispositif de signature anonyme au moyen d'une cle privee partagee
FR2834841B1 (fr) * 2002-01-17 2004-05-28 France Telecom Procede cryptographique de revocation a l'aide d'une carte a puce
FR2842680A1 (fr) * 2002-07-19 2004-01-23 France Telecom Procede de signature de liste et application au vote electronique
EP1540875A4 (en) * 2002-08-28 2011-01-26 Ntt Docomo Inc ENCRYPTION ON THE BASIS OF CERTIFICATES AND PUBLIC KEY INFRASTRUCTURE
FR2847401A1 (fr) * 2002-11-14 2004-05-21 France Telecom Procede d'acces a un service avec authentification rapide et anonymat revocable et systeme d'ouverture et de maintien de session
FR2855343B1 (fr) * 2003-05-20 2005-10-07 France Telecom Procede de signature electronique de groupe avec anonymat revocable, equipements et programmes pour la mise en oeuvre du procede
US8689000B2 (en) * 2003-05-21 2014-04-01 Hewlett-Packard Development Company, L.P. Use of certified secrets in communication
WO2005071880A1 (ja) * 2004-01-23 2005-08-04 Nec Corporation グループ署名システム、方法、装置、およびプログラム
ATE362249T1 (de) * 2004-03-02 2007-06-15 France Telecom Verfahren und vorrichtungen zur erstellung fairer blindunterschriften
CN1954546B (zh) * 2004-05-19 2012-08-22 法国电信公司 用于生成名单签名的方法和系统
WO2006027933A1 (ja) * 2004-09-03 2006-03-16 Nec Corporation グループ署名システム、メンバ状態判定装置、グループ署名方法及びメンバ状態判定プログラム
JP4768979B2 (ja) * 2004-10-19 2011-09-07 株式会社東芝 匿名注文システム、装置及びプログラム
JP4218760B2 (ja) * 2005-07-01 2009-02-04 インターナショナル・ビジネス・マシーンズ・コーポレーション トレーサビリティ検証システム、方法、プログラム
FR2892252B1 (fr) * 2005-10-17 2008-01-25 Oberthur Card Syst Sa Procede et dispositif de creation d'une signature de groupe et procede et dispositif de verification d'une signature de groupe associes.
US7958057B2 (en) * 2007-03-28 2011-06-07 King Fahd University Of Petroleum And Minerals Virtual account based new digital cash protocols with combined blind digital signature and pseudonym authentication
US8078876B2 (en) * 2007-04-30 2011-12-13 Intel Corporation Apparatus and method for direct anonymous attestation from bilinear maps
US7844614B2 (en) * 2007-04-30 2010-11-30 Intel Corporation Apparatus and method for enhanced revocation of direct proof and direct anonymous attestation
US20080307223A1 (en) * 2007-06-08 2008-12-11 Brickell Ernest F Apparatus and method for issuer based revocation of direct proof and direct anonymous attestation
WO2009008069A1 (ja) * 2007-07-11 2009-01-15 Kabushiki Kaisha Toshiba グループ署名システム、装置及びプログラム
WO2009012434A1 (en) * 2007-07-19 2009-01-22 Telcordia Technologies, Inc. Method for a public-key infrastructure providing communication integrity and anonymity while detecting malicious communication
US8356181B2 (en) * 2007-11-15 2013-01-15 Intel Corporation Apparatus and method for a direct anonymous attestation scheme from short-group signatures
GB0801662D0 (en) * 2008-01-30 2008-03-05 Hewlett Packard Development Co Direct anonymous attestation using bilinear maps
US8499149B2 (en) * 2008-02-20 2013-07-30 Hewlett-Packard Development Company, L.P. Revocation for direct anonymous attestation
JP4764447B2 (ja) * 2008-03-19 2011-09-07 株式会社東芝 グループ署名システム、装置及びプログラム
US8495362B2 (en) * 2008-07-28 2013-07-23 Nec Corporation Signature systems
US8145897B2 (en) * 2008-09-29 2012-03-27 Intel Corporation Direct anonymous attestation scheme with outsourcing capability
US8583932B2 (en) * 2009-05-29 2013-11-12 Nec Corporation Signature device, signature verification device, anonymous authetication system, signing method, signature authentication method, and programs therefor
EP2441207B8 (fr) * 2009-06-12 2020-08-05 Orange Procédé cryptographique d'authentification anonyme et d'identification séparée d'un utilisateur
FR2970357B1 (fr) * 2011-01-07 2013-01-11 Oridao Dispositif et procede de tracage
US8707046B2 (en) * 2011-05-03 2014-04-22 Intel Corporation Method of anonymous entity authentication using group-based anonymous signatures
WO2014141202A1 (en) * 2013-03-15 2014-09-18 Ologn Technologies Ag Systems, methods and apparatuses for securely storing and providing payment information
FR3003713B1 (fr) * 2013-03-25 2016-10-07 Morpho Signature de groupe utilisant un pseudonyme
EP2846492A1 (en) * 2013-09-05 2015-03-11 Thomson Licensing Cryptographic group signature methods and devices
WO2017049111A1 (en) * 2015-09-18 2017-03-23 Jung-Min Park Group signatures with probabilistic revocation
US10742413B2 (en) * 2017-04-25 2020-08-11 International Business Machines Corporation Flexible verifiable encryption from lattices
GB201800493D0 (en) * 2018-01-11 2018-02-28 Univ Oxford Innovation Ltd Computer-implemented method for managing user-submitted reviews using anonymous reputation system
US10320569B1 (en) * 2018-04-05 2019-06-11 HOTYB, Inc. Systems and methods for authenticating a digitally signed assertion using verified evaluators
WO2020082031A1 (en) * 2018-10-18 2020-04-23 Eian Labs Inc. Confidential transaction auditing using an authenticated data structure

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050268103A1 (en) * 2004-05-28 2005-12-01 International Business Machines Corporation Anonymity revocation
CN101359986A (zh) * 2007-04-30 2009-02-04 英特尔公司 用于根据双线性映射的直接匿名证明的装置和方法
FR2940726A1 (fr) * 2008-12-30 2010-07-02 France Telecom Signature de groupe a verification locale de revocation avec capacite de levee d'anonymat
CN104753683A (zh) * 2015-04-08 2015-07-01 西安电子科技大学 车联网中具有高效撤销的群签名方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
DESMOULINS N.ET: "Direct Anonymous Attestations with Dependent Basename Opening", pages 2 - 3 *

Also Published As

Publication number Publication date
WO2020136320A1 (fr) 2020-07-02
FR3091107A1 (fr) 2020-06-26
US11936795B2 (en) 2024-03-19
US20220103377A1 (en) 2022-03-31
EP3903443A1 (fr) 2021-11-03

Similar Documents

Publication Publication Date Title
US8499149B2 (en) Revocation for direct anonymous attestation
Li et al. Hidden attribute-based signatures without anonymity revocation
US8978118B2 (en) Pseudonymized authentication
US8225098B2 (en) Direct anonymous attestation using bilinear maps
US6202150B1 (en) Auto-escrowable and auto-certifiable cryptosystems
US8762729B2 (en) Group signature system and method providing controllable linkability
US8352380B2 (en) Method and system for generating a list signature
JP4932168B2 (ja) 新しいフェア・ブラインド署名プロセス
Chow et al. Robust Receipt-Free Election System with Ballot Secrecy and Verifiability.
US6473508B1 (en) Auto-recoverable auto-certifiable cryptosystems with unescrowed signature-only keys
Kumar et al. A secure anonymous e-voting system using identity-based blind signature scheme
EP2792098B1 (en) Group encryption methods and devices
US7657738B2 (en) List signature method and application to electronic voting
Chow New privacy-preserving architectures for identity-/attribute-based encryption
Chen et al. Revocation of direct anonymous attestation
Rodríguez-Henríquez et al. Yet another improvement over the Mu–Varadharajan e-voting protocol
Tian et al. A systematic method to design strong designated verifier signature without random oracles
CN113383512A (zh) 用于生成匿名签名方案的密钥的方法和系统
AU8656498A (en) Auto-recoverable auto-certifiable cryptosystems
Cahyadi et al. A lightweight BT-based authentication scheme for illegal signatures identification in VANETs
Shin et al. AAnA: Anonymous authentication and authorization based on short traceable signatures
Fan et al. Date attachable offline electronic cash scheme
Hajny et al. Anonymous credentials with practical revocation
Boshrooyeh et al. Anonyma: anonymous invitation-only registration in malicious adversarial model
Bultel et al. Improving the efficiency of report and trace ring signatures

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination