CN116415265A - 加密、加密签名处理、解密方法及相关设备 - Google Patents

Abstract

本申请实施例提供一种加密、加密签名处理、解密方法及相关设备，应用于签名领域。加密方法中，加密方利用同态加密公钥对数字签名进行加密得到密文，再根据密文生成零知识证明，零知识证明用于证明密文所加密的明文为数字签名；并将密文和零知识证明提供给验证方，以使验证方可以通过验证零知识证明进而验证密文，实现可验证加密签名；其中，由于对数字签名进行同态加密处理，使得签名加密效率高，而且零知识证明的验证效率高，可以有效提升可验证加密签名的使用体验。

Description

加密、加密签名处理、解密方法及相关设备

技术领域

本发明实施例涉及签名领域，尤其涉及一种加密、加密签名处理、解密方法及相关设备。

背景技术

可验证加密签名(Verifiable Encryption of Signature，VES)是一种公钥加密算法,其工作原理如下:已知一数字签名方案的公钥PK_S，其对应私钥为SK_S。假设一个可信第三方(Trusted Third Party，TTP)持有某公钥加密方案的公私钥对(PK_TTP,SK_TTP)。加密方使用PK_TTP加密由SK_S产生的一数字签名σ而生成密文c；同时产生一个零知识证明(ZeroKnowledge Proof of Knowledge)π证明c所加密的明文的确是一个合法的数字签名，即可以被PK_S验证。具体可以表示如下：

VES(σ):＝(c:＝Enc(PK_TTP，σ),

π:＝PoK[σ|c＝Enc(PK_TTP，σ)∧Verify(PK_S,σ)＝1]。

其中，(c,π)具有公开可证性,每个人都可以验证(c,π)。而只有TTP可以解密c获取σ。

目前的可验证加密签名方案中，例如ElGamal公钥加密方案，在验证零知识证明时需要进行单比特挑战，导致零知识证明的验证效率较低，影响可验证加密签名的使用体验。

如何提高零知识证明的验证效率，是本领域技术人员正在研究的热点。

发明内容

本申请提供一种加密、加密签名处理、解密方法及相关设备，利用同态加密公钥对数字签名进行加密而得到密文，再根据密文生成零知识证明，不仅签名加密效率高，而且可以有效提高零知识证明的验证效率，提升可验证加密签名的使用体验。

第一方面，提供一种加密方法，该方法包括以下步骤：利用可信第三方确定的同态加密公钥对数字签名进行加密处理得到密文；根据密文生成零知识证明，零知识证明用于证明密文所加密的明文为数字签名；提供密文和零知识证明给验证方。

示例性地，本申请实施例的加密方法可以应用于加密方。

可以看出，本实施例中的加密方法，加密方利用同态加密公钥对数字签名进行加密得到密文，再根据密文生成零知识证明，并将密文和零知识证明提供给验证方，以使验证方可以通过验证零知识证明进而验证密文，实现可验证加密签名；其中，由于对数字签名进行同态加密处理，使得签名加密效率高，而且零知识证明的验证效率高，可以有效提升可验证加密签名的使用体验。

在第一方面的一种可能的实施例中，同态加密公钥为Paillier同态加密公钥PK1，PK1为(n，g)，其中，n为第一安全素数p'和第二安全素数q'的乘积，g为n+1。

可以看出，当同态加密公钥为Paillier同态加密公钥PK1时，PK1的具体组成为(n，g)。具体地，第一安全素数和第二安全素数的具体取值可以根据实际情况进行确定，不做特别限定。

在第一方面的一种可能的实施例中，同态加密公钥为Paillier同态加密公钥时，利用可信第三方确定的同态加密公钥对数字签名进行加密处理得到密文，具体包括以下步骤：根据n确定第一随机数u，第一随机数u和n的最大公约数为1；根据第一随机数u和PK1对数字签名中的s值进行Paillier同态加密处理，得到加密参数C；根据加密参数C和数字签名中的R值确定密文，密文为(R，C)。

可以看出，通过仅对数字签名中的s值进行加密，而不处理数字签名中的R值，以便后续验证解密后的密文所组成的数字签名的正确性。其中，由于Pailler是标准化的加密方案，因此，本申请的加密方法可以被信任、以及被推广使用。

在第一方面的一种可能的实施例中，数字签名为曲线数字签名时，零知识证明具体如下式：

其中，m为待签名消息，数字签名是对待签名消息进行签名处理而得到的；h(m)为待签名消息的哈希值，P为G的一个生成元，G为阶为素数q的椭圆曲线群，r_x为R的横坐标，Y为用于生成数字签名的公钥，ε为决定零知识证明的零知识性的参数，k为决定零知识证明的完备性的参数，lq是素数q的比特数。

第二方面，本申请还提供一种加密签名处理方法，该方法包括以下步骤：获取密文和零知识证明，密文为加密方利用可信第三方确定的同态加密公钥对数字签名进行加密处理而得到的，零知识证明为加密方为证明密文所加密的明文为数字签名而根据密文生成的；对零知识证明进行验证，得到零知识证明的验证结果。

示例性地，本申请实施例的加密方法可以应用于验证方。

可以看出，本实施例中的加密签名处理方法，由于密文为加密方利用同态加密公钥对数字签名进行加密处理而得到的，而零知识证明为根据密文生成的，使得零知识证明的验证效率高，可以有效提升可验证加密签名的使用体验。

在第二方面的一种可能的实施例中，同态加密公钥为Paillier同态加密公钥PK1，PK1为(n，g)，其中，n为第一安全素数p'和第二安全素数q'的乘积，g为n+1。

在第二方面的一种可能的实施例中，同态加密公钥为Paillier同态加密公钥时，密文为(R，C)，其中，R为数字签名中的R值，C为根据第一随机数u和PK1对数字签名中的s值进行Paillier同态加密处理而得到的加密参数，第一随机数u和n的最大公约数为1。

在第二方面的一种可能的实施例中，数字签名为曲线数字签名，零知识证明具体如下式：

其中，m为待签名消息，数字签名是对待签名消息进行签名处理而得到的；h(m)为待签名消息的哈希值，P为G的一个生成元，G为阶为素数q的椭圆曲线群，r_x为R的横坐标，Y为用于生成数字签名的公钥，ε为决定零知识证明的零知识性的参数，k为决定零知识证明的完备性的参数，lq是素数q的比特数。

在第二方面的一种可能的实施例中，加密签名处理方法还包括以下步骤：验证结果为通过验证，且未收到加密方发送的数字签名时，向可信第三方发送解密请求，以请求可信第三方利用同态加密私钥对密文进行解密处理以得到数字签名，解密请求包括密文；接收可信第三方发送的数字签名。

可以看出，在零知识证明的验证结果为通过验证，且未收到加密方发送的数字签名时，验证方可以向可信第三方发送解密请求，该解密请求包括密文，以请求可信第三方利用同态加密私钥对密文进行解密处理以得到数字签名，最后可信第三方将解密得到的数字签名发送给验证方，避免加密方无端不提供数字签名而损害验证方的合法权益，有效保障验证方的权益。

在第二方面的一种可能的实施例中，解密请求还包括零知识证明，以使可信第三方在对密文进行解密处理之前，先验证零知识证明，在零知识证明通过验证时，再对密文进行解密处理，以确保利用密文解密得到的是正确的加密方的数字签名，提升加密签名的解密效率。

第三方面，本申请还提供一种解密方法，该解密方法包括以下步骤：接收来自验证方的解密请求，解密请求包括密文，密文为加密方利用同态加密公钥对数字签名进行加密处理而得到的；响应解密请求，利用同态加密私钥对密文进行解密处理，得到数字签名；向验证方发送数字签名。

示例性地，本申请实施例中的解密方法可以应用于可信第三方，可信第三方可以由可信的至少一个解密设备来实现。

可以看出，本申请实施例的解密方法中，接收到验证方的解密请求之后，根据同态加密公钥对解密请求中携带的密文进行解密处理，以得到数字签名，并将数字签名发送给验证方，避免加密方无端不提供数字签名而损害验证方的合法权益，有效保障验证方的权益。

在第三方面的一种可能的实施例中，同态加密公钥为Paillier同态加密公钥PK1，PK1为(n，g)，其中，n为第一安全素数p'和第二安全素数q'的乘积，g为n+1。

在第三方面的一种可能的实施例中，同态加密公钥为Paillier同态加密公钥时，密文为(R，C)，其中，R为数字签名中的R值，C为根据第一随机数u和PK1对数字签名中的s值进行Paillier同态加密处理而得到的加密参数，第一随机数u和n的最大公约数为1。

在第三方面的一种可能的实施例中，解密请求还包括零知识证明，零知识证明为加密方为证明密文所加密的明文为数字签名而根据密文生成的；在利用同态加密私钥对密文进行解密处理之前，方法还包括以下步骤：对零知识证明进行验证，得到零知识证明的验证结果；验证结果为通过验证时，利用同态加密私钥对密文进行解密处理。

可以看出，可信第三方在对密文进行解密处理之前，先验证零知识证明，在零知识证明通过验证时，再对密文进行解密处理，以确保利用密文解密得到的是正确的加密方的数字签名，提升加密签名的解密效率。

在第三方面的一种可能的实施例中，数字签名为曲线数字签名，零知识证明具体如下式：

其中，m为待签名消息，数字签名是对待签名消息进行签名处理而得到的；h(m)为待签名消息的哈希值，P为G的一个生成元，G为阶为素数q的椭圆曲线群，r_x为R的横坐标，Y为用于生成数字签名的公钥，ε为决定零知识证明的零知识性的参数，k为决定零知识证明的完备性的参数，lq是素数q的比特数。

在第三方面的一种可能的实施例中，在向验证方发送数字签名之前，方法还包括以下步骤：对数字签名进行有效性验证处理，得到签名验证结果，签名验证结果用于指示数字签名为有效签名或无效签名；签名验证结果指示数字签名为有效签名时，向验证方发送数字签名。

可以看出，在可信第三方解密密文得到数字签名之后，先对该数字签名进行有效性验证处理，得到签名验证结果，确定签名验证结果只是数字签名为有效签名时，则可信第三方可以将该数字签名发送给验证方，保障解密得到的数字签名是有效签名。

第四方面，本申请还提供一种解密方法，应用于第一解密设备，第一解密设备应用于解密系统，解密系统还包括M个第二解密设备，M为大于零的整数；第一解密设备、每个第二解密设备均持有从同态加密私钥拆分出的一个子私钥，且第一解密设备及每个第二解密设备持有的子私钥各不相同；该解密方法包括以下步骤：接收来自验证方的解密请求，解密请求包括密文，密文为加密方利用同态加密公钥对数字签名进行加密处理而得到的；响应解密请求，利用解密系统中的至少两个解密设备所持有的子私钥对密文进行解密处理，得到数字签名；向验证方发送数字签名。

示例性地，本申请实施例中的解密方法可以应用于可信第三方，可信第三方可以由可信的至少两个解密设备来实现，其中，上述至少两个解密设备为第一解密设备和M个第二解密设备，M为大于零的整数。

可以看出，本申请实施例中的解密方法，在响应验证方的解密请求时，利用解密系统中的至少两个解密设备所持有的子私钥对密文进行解密处理得到数字签名后，将该数字签名发送给验证方；避免加密方无端不提供数字签名而损害验证方的合法权益，有效保障验证方的权益。

在第四方面的一种可能的实施例中，在接收解密请求之前，解密方法还包括以下步骤：根据密钥分割算法对同态加密私钥进行拆分得到M+1个子私钥；将M个子私钥分配给M个第二解密设备，M个子私钥为M+1个子私钥中除了第一解密设备持有的子私钥之外的子私钥。

可以看出，解密系统中的任一解密设备所持有的子私钥，可以是由解密系统中的任一个解密设备，如第一解密设备或第二解密设备，根据密钥分割算法对同态加密私钥进行拆分后得到的。以第一解密设备为例，第一解密设备对同态加密私钥进行拆分后得到M+1个子私钥，将M个子私钥分配给M个第二解密设备，该M个子私钥为M+1个子私钥中除了第一解密设备持有的子私钥之外的子私钥。对于解密系统中除第一解密设备之外的其他解密设备来说，拆分同态加密私钥的方法和第一解密设备一样，不做赘述。

在第四方面的一种可能的实施例中，同态加密私钥为Paillier同态加密私钥，同态加密公钥为Paillier同态加密公钥PK1时；在接收解密请求之前，解密方法还包括以下步骤：确定第一安全素数p'和第二安全素数q'；根据第一安全素数p'和第二安全素数q'确定同态加密私钥和同态加密公钥，同态加密私钥为第一差值和第二差值之间的最小公倍数，第一差值为p'和1之间的差值，第二差值为q'和1之间的差值，同态加密公钥PK1为(n，g)，其中，n为第一安全素数p'和第二安全素数q'的乘积，g为n+1。

可以看出，第一解密设备在响应解密请求之前，需要先确定同态加密私钥和同态加密公钥，当同态加密私钥为Paillier同态加密私钥，同态加密公钥为Paillier同态加密公钥PK1时，具体的确定方法为先确定第一安全素数p'和第二安全素数q'；再根据第一安全素数p'和第二安全素数q'确定同态加密私钥和同态加密公钥。

在第四方面的一种可能的实施例中，M个第二解密设备为两个以上第二解密设备，至少两个子私钥为三个以上子私钥时，根据密钥分割算法对同态加密私钥进行拆分得到至少两个子私钥，包括以下步骤：根据同态加密私钥和同态加密公钥确定衍生密钥d，衍生密钥d满足下式：(d modλ)＝0，且(d mod n)＝1，其中，λ为同态加密私钥，n为同态加密私钥中的n值，mod为求余函数；根据秘密共享算法对衍生密钥d进行拆分得到三个以上子私钥。

可以看出，当解密系统包括3个以上解密设备时，在对同态加密私钥进行拆分时，需要先根据同态加密私钥和同态加密公钥确定衍生密钥d，再根据秘密共享算法对衍生密钥d进行拆分得到3个以上子私钥，其中，秘密共享算法的优点在于每个解密设备都独立持有一部分关于衍生密钥d的子私钥，只有将足够数目的子私钥组合起来，才能够重新恢复出衍生密钥d。当获得的子私钥数量不足时，无论采用何种组合策略，不会泄露关于衍生密钥d的任何信息。

在第四方面的一种可能的实施例中，M个第二解密设备为一个第二解密设备，至少两个子私钥为两个子私钥时，根据密钥分割算法对同态加密私钥进行拆分得到至少两个子私钥，包括以下步骤：根据同态加密私钥和同态加密公钥确定衍生密钥d，衍生密钥d满足下式：(d modλ)＝0，且(d mod n)＝1，其中，λ为同态加密私钥，n为同态加密私钥中的n值，mod为求余函数；确定第二随机数α，α为小于d的整数；将d和α的差值、α确定为两个子私钥。

可以看出，当解密系统包括2个解密设备时，在对同态加密私钥进行拆分时，需要先根据同态加密私钥和同态加密公钥确定衍生密钥d，再确定一个小于衍生密钥d的整数α，接着，可以将d和α的差值、α确定为解密系统的两个子私钥。

在第四方面的一种可能的实施例中，在将至少两个子私钥分配给第一解密设备和至少一个第二解密设备之后，方法还包括：删除第一安全素数p'、第二安全素数q'、同态加密私钥和衍生密钥d。

可以看出，在完成子私钥分配之后，需要将同态加密私钥、第一安全素数p'、第二安全素数q'和衍生密钥d等秘密信息删除，避免因信息泄露对加密方的合法权益造成损害。

在第四方面的一种可能的实施例中，在接收解密请求之前，方法还包括以下步骤：接收第三解密设备发送的子私钥，子私钥是第三解密设备从同态加密私钥拆分出的一个子私钥，第三解密设备为M个第二解密设备中的一个第二解密设备。

可以看出，解密系统中的解密设备所持有的子私钥，也可以是由解密系统中除该解密设备自身之外的任一个解密设备，如第三解密设备，根据密钥分割算法对同态加密私钥进行拆分后得到的。以第三解密设备为例，第三解密设备对同态加密私钥进行拆分后得到M+1个子私钥，将M个子私钥分配给第一解密设备和M-1个第二解密设备，该M个子私钥为M+1个子私钥中除了第三解密设备持有的子私钥之外的子私钥，该M-1个第二解密设备为M个第二解密设备中除第三解密设备之外的第二解密设备。

在第四方面的一种可能的实施例中，解密请求还包括零知识证明，零知识证明为加密方为证明密文所加密的明文为数字签名而根据密文生成的；在对密文进行解密处理之前，解密方法还包括以下步骤：对零知识证明进行验证，得到零知识证明的验证结果；验证结果为通过验证时，利用解密系统中的至少两个解密设备所持有的子私钥对密文进行解密处理。

可以看出，在对密文进行解密处理之前，先验证零知识证明，在零知识证明通过验证时，再对密文进行解密处理，以确保利用密文解密得到的是正确的加密方的数字签名，提升加密签名的解密效率。

在第四方面的一种可能的实施例中，数字签名为曲线数字签名，零知识证明具体如下式：

其中，m为待签名消息，数字签名是对待签名消息进行签名处理而得到的；h(m)为待签名消息的哈希值，P为G的一个生成元，G为阶为素数q的椭圆曲线群，r_x为R的横坐标，Y为用于生成数字签名的公钥，ε为决定零知识证明的零知识性的参数，k为决定零知识证明的完备性的参数，lq是素数q的比特数。

在第四方面的一种可能的实施例中，在向验证方发送数字签名之前，解密方法还包括以下步骤：对数字签名进行有效性验证处理，得到签名验证结果信息，签名验证结果信息用于指示数字签名为有效签名或无效签名；签名验证结果信息指示数字签名为有效签名时，向验证方发送数字签名。

可以看出，在解密密文得到数字签名之后，先对该数字签名进行有效性验证处理，得到签名验证结果，确定签名验证结果只是数字签名为有效签名时，则可以将该数字签名发送给验证方，保障解密得到的数字签名是有效签名。

第五方面，本申请还提供一种加密设备，该加密设备包括：处理模块，用于利用可信第三方确定的同态加密公钥对数字签名进行加密处理得到密文；生成模块，用于根据密文生成零知识证明，零知识证明用于证明密文所加密的明文为数字签名；提供模块，用于提供密文和零知识证明给验证方。

第六方面，本申请还提供一种加密签名处理装置，该装置包括：获取模块，用于获取密文和零知识证明，密文为加密方利用可信第三方确定的同态加密公钥对数字签名进行加密处理而得到的，零知识证明为加密方为证明密文所加密的明文为数字签名而根据密文生成的；验证模块，用于对零知识证明进行验证，得到零知识证明的验证结果。

第七方面，本申请还提供一种解密设备，该解密设备包括：接收模块，用于接收来自验证方的解密请求，解密请求包括密文，密文为加密方利用同态加密公钥对数字签名进行加密处理而得到的；解密模块，用于响应解密请求，利用同态加密私钥对密文进行解密处理，得到数字签名；发送模块，用于向验证方发送数字签名。

第八方面，本申请还提供一种第一解密设备，第一解密设备应用于解密系统，解密系统还包括M个第二解密设备，M为大于零的整数；第一解密设备、每个第二解密设备均持有从同态加密私钥拆分出的一个子私钥，且第一解密设备及每个第二解密设备持有的子私钥各不相同；第一解密设备包括：接收模块，用于接收来自验证方的解密请求，解密请求包括密文，密文为加密方利用同态加密公钥对数字签名进行加密处理而得到的；解密模块，用于响应解密请求，利用解密系统中的至少两个解密设备所持有的子私钥对密文进行解密处理，得到数字签名；发送模块，用于向验证方发送数字签名。

第九方面，本申请还提供一种电子设备，包括处理器和存储器，其中，处理器和存储器相连，其中，存储器用于存储程序代码，处理器用于调用程序代码，以执行如第一方面所述的加密方法，或者，执行如第二方面所述的加密签名处理方法，或者，执行如第三方面所述的解密方法，或者，执行如第四方面所述的解密方法。

第十方面，本申请还提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行以实现如第一方面所述的加密方法，或者，实现如第二方面所述的加密签名处理方法，或者，实现如第三方面所述的解密方法，或者，实现如第四方面所述的解密方法。

第十一方面，本申请还提供一种包含指令的计算机程序产品，当所述计算机程序产品在计算机上运行时，使得计算机执行如第一方面所述的加密方法，或者，执行如第二方面所述的加密签名处理方法，或者，执行如第三方面所述的解密方法，或者，执行如第四方面所述的解密方法。

第十二方面，提供一种芯片，所述芯片包括处理器与数据接口，所述处理器通过所述数据接口读取存储器上存储的指令，执行如第一方面所述的加密方法，或者，执行如第二方面所述的加密签名处理方法，或者，执行如第三方面所述的解密方法，或者，执行如第四方面所述的解密方法。

可选地，作为一种实现方式，所述芯片还可以包括存储器，所述存储器中存储有指令，所述处理器用于执行所述存储器上存储的指令，当所述指令被执行时，所述处理器用于执行如第一方面所述的加密方法，或者，执行如第二方面所述的加密签名处理方法，或者，执行如第三方面所述的解密方法，或者，执行如第四方面所述的解密方法。

附图说明

下面对本申请实施例用到的附图进行介绍。

图1是操作-反馈示意图；

图2是电子旅馆预定系统的工作流程示意图；

图3是图2的事件划分示意图；

图4是对图3改进后的智能合约执行流程示意图；

图5是本申请实施例提供的一种加密方法的流程示意图；

图6是本申请实施例提供的一种加密方、验证方、可信第三方的交互流程图；

图7是本申请实施例提供的一种加密签名处理方法的流程示意图；

图8是本申请实施例提供的一种解密方法的流程示意图；

图9是本申请实施例提供的另一种解密方法的流程示意图；

图10是本发明实施例提供的一种加密设备的结构示意图；

图11是本发明实施例提供的一种加密签名处理装置的结构示意图；

图12是本发明实施例提供的一种解密设备的结构示意图；

图13是本发明实施例提供的一种第一解密设备的结构示意图；

图14是本申请实施例提供的一种电子设备的结构示意图。

具体实施方式

下面将结合附图，对本申请中的技术方案进行描述。

由于本申请实施例涉及签名加解密的应用，为了便于理解，下面先对本申请实施例涉及的相关术语等相关概念进行介绍。

(1)、可信第三方

可信第三方(Trusted Third Party，TTP)是指通信双方都信任的实体，可信第三方具有一定的计算能力和存储能力。

(2)、可验证加密签名

可验证加密签名VES是一种公钥加密算法，其有很多应用，如Certified E-mail,Fair Exchange,Contract Signing等。以利用VES构造一个公平的端对端智能合约系统为应用背景，一个端对端的智能合约由合同双方直接执行一系列操作-反馈，无需可信第三方实时监督合同的执行，见图1，一个操作-反馈可定义为一个事件。

图2是一个具体的例子，一个电子旅馆预定系统的工作流程，抽象为两个合约方，用户和旅馆之间的一系列操作-反馈。其中箭头指向旅馆的代表操作，箭头指向用户的代表相应的反馈。这样的端对端智能合约的最大挑战是合约的公平性(Fairness)，即对于一些关键的操作如付钱，签名等，如果一方执行操作后，而对方不按合约返还响应如终止合约继续执行，则合约的公平性受到破坏。为了解决这个问题，可区分合约的一系列事件为公平敏感事件和非公平敏感事件，公平敏感事件为对合约公平性有重要影响的操作-响应，既所涉及的操作通常为付款，签名等，参考图3，图3是对图2中事件的一个划分。

由于公平敏感事件的操作所涉及的本质上都是数字签名，因此可采用VES技术将每个公平敏感事件“操作-响应”转化为“承诺-响应-兑现”。图4所示的流程是将图3中的公平敏感事件利用VES进行转化从而实现端到端的智能合约执行流程，(假设“用户签名+电子货币内容”构成真正的电子支付)。由于使用VES，需设置一个离线TTP进行纠纷处理，即如果承诺方不提交“兑现”，反馈方可求助TTP解密并获取“兑现”(即数字签名)。

(3)、安全素数

素数，也即质数，是指在大于1的自然数中，除了1和它本身以外不再有其他因数的自然数。如果一个素数p＝2q+1,并且q也为素数，则p为安全素数(Safe Prime)。

(4)、零知识证明

零知识证明(Zero-Knowledge Proof)或零知识协议是一种基于概率的验证方法，包括两部分：宣称某一命题为真的证明者(prover)和确认该命题确实为真的验证者(verifier)。

零知识证明指的是证明者能够在不向验证者提供任何有用的信息的情况下，使验证者相信某个论断是正确的，在密码学中非常有用。顾名思义，零知识证明就是既能充分证明自己是某种权益的合法拥有者，又不把有关的信息泄漏出去，即给外界的“知识”为“零”。

(5)、杂凑函数

杂凑函数又称Hash函数、哈希函数，用于将任意长度的消息x压缩为固定长度的杂凑值(哈希值、指纹值)y。

(6)、椭圆曲线数字签名算法

椭圆曲线数字签名算法(Elliptic Curve Digital Signature Algorithm，ECDSA)是数字签名算法(Digital Signature Algorithm，DSA)的椭圆曲线实现。椭圆曲线密码术能够以较小的密钥提供与RSA相对相同的安全级别。其工作原理如下：

让G是个阶为素数q的椭圆曲线群,而P是G的一个生成元,及h:{0,1}^*→{0,1}^*是一个杂凑函数。一个用户的公私钥对为(PK＝Y＝[x]P,SK＝x∈_RZ_q ^*)，Z_q ^*表示所有与q互素并小于q的整数集合，R表示随机(random)，也即从Z_q ^*集合中随机选择一个数作为私钥SK。

则利用ECDSA算法对消息m的签名的过程为：

选取k∈_RZ_q ^*，计算R＝(r_x,r_y)＝[k]P；

计算s＝k^-1·(h(m)+r_x·x)(mod q)，则签名σ＝(R,s)。

(7)、爱德华曲线数字签名算法

爱德华曲线数字签名算法(EdwardsCurveDigital Signature Algorithm，EdDSA)是一种使用基于扭曲爱德华兹曲线的施诺尔(Schnorr)签名变体的数字签名方案。签名创建在EdDSA中是确定性的，其安全性是基于某些离散对数问题的难处理性，因此它比DSA和ECDSA更安全，后者要求每个签名都具有高质量的随机性。EdDSA与ECDSA的参数和公私钥相同。其工作原理如下：

对消息m的签名的过程为：

选取k∈_RZ_q ^*，计算R＝(r_x,r_y)＝[k]P；

计算s＝r_x+h(R,Y,m)·x(mod q)；则签名σ＝(R,s)。

由于ECDSA签名和EdDSA签名的可验证性，它们在区块链及智能合约中广泛应用。

(8)、同态加密

同态加密(Homomorphic Encryption,HE)是一种特殊的加密方法，它允许直接对加密数据执行计算，如加法和乘法，而计算过程不会泄露原文的任何信息。计算的结果仍然是加密的，拥有密钥的用户对处理过的密文数据进行解密后，得到的正好是处理后原文的结果。

根据支持的计算类型和支持程度，同态加密可以分为以下三种类型：

半同态加密(Partially Homomorphic Encryption,PHE)：只支持加法或乘法中的一种运算。其中，只支持加法运算的又叫加法同态加密(Additive HomomorphicEncryption,AHE)；部分同态加密(Somewhat Homomorphic Encryption,SWHE)：可同时支持加法和乘法运算，但支持的计算次数有限；

全同态加密(Fully Homomorphic Encryption,FHE)：支持任意次的加法和乘法运算。

(9)、派利尔加密(Paillier encryption)

派利尔加密(Paillier encryption)是最著名的半同态加密方案，Paillier是一个支持加法同态的公钥密码系统。其工作原理如下：

让p,q是两个等长的两个安全素数，且n＝p.q。设g＝n+1，λ＝λ(n)＝lcm(p-1,q-1)，lcm表示最小公倍数；用户的公钥PK＝(n,g)，私钥SK＝λ。

加密数据m∈Z_n的过程如下:

选取u∈Z_n,s.t.,gcd(u,n)≠1,并计算密文c＝uⁿ.g^m(mod n²)。

解密密文c的过程如下:

计算t＝c^λ＝(uⁿg^m)^λ＝(n+1)^mλ＝1+n.m.λ(mod n²)；计算明文

(10)、门限加密

门限加密方案是门限密码算法常见应用之一，常常体现为一类分布式加解密协议，可以实现如下功能：任意用户都可以使用公钥对数据进行加密。私钥的所有权由多个指定的秘密持有者联合控制，只有满足数目的秘密持有者合作，将解密分片聚合，才能实现解密。门限加密方案可以有效保护需要多方授权才能使用的隐私数据。换句话说，在(w-out-of-z)门限秘密共享体制中，秘密分发者将一个秘密信息分成z个秘密份额，分发给z个人，当需要恢复秘密信息时，任意少于w个的秘密保存者都得不到该秘密的任何信息。

其中，门限秘密共享体制包括沙米尔(Shamir)秘密分享算法，线性秘密共享方案(Linear Secret Sharing Scheme，LSSS)等，Shamir秘密分享算法是基于插值法来实现秘密分享，而LSSS是基于秘密共享矩阵来实现。

(11)、门限派利尔加密

w-出自-z(w-out-of-z)门限派利尔加密的工作原理如下：

密钥拆分:选取整数d,s.t.,d＝0(modλ)and d＝1(mod n)；使用w-出自-z的Shamir秘密分享机制拆分d，满足d＝f(0)and d_i＝f(i)，并将d_i安全传送给参与方i,i＝[1,z]。

门限解密c＝uⁿg^m(mod n²):第i^th参与方计算c_i＝c^di(mod n²)；设S为一个包含w或多于w个c_i的集合，则由S中的c_i可计算(让Δ＝z！)：

因为d＝0(modλ)，d＝1(mod n),c'＝1+nmΔ(mod n²),所以

目前，可验证加密签名包括可验证加密离散对数(Discrete Logarithm，DL)类数字签名，而DSA是DL类数字签名的代表。DSA的工作原理如下：

公钥：G是阶为素数q的循环群，g为生成元。公私钥对为(Y＝g^x,x∈Z_q ^*)。

签名：σ＝(r＝g^k,s＝k^-1(h(m)+r.x)(mod q))。

验证：r^s＝g^h(m)y^r。

为了便于生成零知识证明，通常TTP的加密方案为ElGamal。假设ElGamal的公私钥为(Ω＝g^ω,ω∈Z_q ^*)。可利用ElGamal直接加密s,得到c₁＝s.g^α,c₂＝Ω^α，α∈Z_q ^*。

那么由于

VES需计算/>

这样，所以，VES(σ):＝(c＝(c₁＝s.g^α,c₂＝Ω^α),π)。

由于零知识需证明双指数，只能采用单比特挑战，验证零知识证明时需要重复多次，因此零知识证明的验证效率低，影响可验证加密签名的使用体验。

针对上述技术问题，本申请实施例提供一种加密方法以及一种加密签名处理方法，利用同态加密公钥对数字签名进行加密而得到密文，再根据密文生成零知识证明，不仅签名加密效率高，而且可以有效提高零知识证明的验证效率，提升可验证加密签名的使用体验。另外，本申请实施例还提供两种解密方法，接收到验证方的解密请求之后，根据同态加密公钥对解密请求中携带的密文进行解密处理，以得到数字签名，并将数字签名发送给验证方，避免加密方无端不提供数字签名而损害验证方的合法权益，有效保障验证方的权益。

下面介绍本申请实施例提供的加密方法、加密签名处理方法以及解密方法。其中，加密方法的执行主体可以是加密设备自身，也可以是加密设备中的芯片。同样地，加密签名处理方法的执行主体可以是加密签名处理装置自身，也可以是加密签名处理装置中的芯片。另外，解密方法的执行主体可以是解密设备自身，也可以是解密设备中的芯片；或者，解密方法的执行主体可以是第一解密设备自身，也可以是第一解密设备中的芯片。

需要说明的是，本申请的VES涉及三个参与方：加密方，验证方和可信第三方。包括四个过程：

系统初始化(Setup)：各方建立自己的系统参数，包括数字签名方案的参数(如具体采用的数字签名算法、签名的长度等参数)及公私钥对的生成(数字签名方案可由加密方拥有，也可不为加密方拥有)，及可信第三方建立公钥加密的参数及公私钥对。可选地，加密方生成并拥有对数据进行签名和验证的公钥(公开)和私钥，其中，加密方对数据进行签名处理得到数字签名σ。

加密(Encryption):加密方利用可信第三方确定的公钥加密其所拥有的数字签名σ而生成可验证的加密数字签名VES(σ)。

验证(Verify):验证方验证VES(σ)的正确性。

解密(Decryption):可信第三方利用自身确定的私钥验证并解密VES(σ)而获取σ。

利用上述过程可以实现对数字签名的加密、验证和解密，实现可验证加密签名。

请参考图5，图5是本申请实施例提供的一种加密方法的流程示意图；加密方法包括以下步骤：

101、加密方利用可信第三方确定的同态加密公钥对数字签名进行加密处理得到密文；

具体地，本申请实施例的加密方法的执行主体以加密设备(即加密方)为例。参考图6，图6是本申请实施例提供的一种加密方、验证方、可信第三方的交互流程图；加密方以自身拥有的私钥对数据进行签名处理得到数字签名之后，利用可信第三方确定的同态加密公钥对上述数字签名进行加密处理，以得到密文。其中，加密方对数据进行签名处理以得到数字签名的方法可以是采用ECDSA或EdDSA等签名算法(具体签名处理过程可以参考前述内容，不做赘述。)，即上述数字签名可以为ECDSA签名或EdDSA等曲线数字签名，数字签名包括但不限于前面列举的签名。另外，利用同态加密公钥对数字签名进行加密处理得到密文，加密处理的效率高，可以节省生成可验证签名的时间。

102、加密方根据密文生成零知识证明，零知识证明用于证明密文所加密的明文为数字签名；

具体地，根据步骤101得到的密文成一个零知识证明，该零知识证明用于证明密文所加密的明文为数字签名。

103、加密方提供密文和零知识证明给验证方。

相应地，加密签名处理方法的执行主体以加密签名处理装置(即验证方)为例，参考图7，图7是本申请实施例提供的一种加密签名处理方法的流程示意图；步骤201中，验证方获取密文和零知识证明。

具体地，将密文和零知识证明提供给验证方，以使验证方可以通过验证零知识证明进而验证密文，实现可验证加密签名。其中，由于对数字签名进行同态加密处理，使得签名加密效率高，而且零知识证明的验证效率高，可以有效提升可验证加密签名的使用体验。

在一些可能的实施例中，在利用同态加密公钥对数字签名进行加密处理之前，需要先确定同态加密私钥和同态加密公钥。其中，同态加密公钥包括半同态加密公钥(包括派利尔同态加密公钥)、部分同态加密公钥或全同态加密公钥。同态加密私钥包括半同态加密私钥(包括派利尔同态加密私钥)、部分同态加密私钥或全同态加密私钥。同态加密私钥和同态加密公钥包括但不受限于上述列举的情况。具体地，本申请实施例中由可信第三方来确定同态加密私钥和同态加密公钥。当可信第三方由一个解密设备组成时，由该解密设备来确定同态加密私钥和同态加密公钥；而当可信第三方包括两个以上解密设备时，由两个以上解密设备中的任一个解密设备来确定同态加密私钥和同态加密公钥。

进一步地，同态加密私钥为Paillier同态加密私钥，同态加密公钥为Paillier同态加密公钥PK1时；可信第三方确定同态加密私钥和同态加密公钥的方法包括：

S1、确定第一安全素数p'和第二安全素数q'；具体地，第一安全素数和第二安全素数的具体取值可以根据实际情况进行确定，不做特别限定。

S2、根据第一安全素数p'和第二安全素数q'确定同态加密私钥和同态加密公钥，其中，同态加密私钥为第一差值和第二差值之间的最小公倍数，第一差值为p'和1之间的差值(p'-1)，第二差值为q'和1之间的差值(q'-1)，而同态加密公钥PK1为(n，g)，其中，n为第一安全素数p'和第二安全素数q'的乘积，g为n+1。

可见，本申请实施例采用Paillier加密方案对数字签名进行加密，由于Paillier加密方案是标准化的公钥加密方案，可信度高且易于推广使用。

在一些可能的实施例中，同态加密公钥为Paillier同态加密公钥时，步骤101具体包括以下步骤：

1011、加密方根据n确定第一随机数u，第一随机数u和n的最大公约数为1；

1012、加密方根据第一随机数u和PK1对数字签名中的s值进行Paillier同态加密处理，得到加密参数C；

1013、加密方根据加密参数C和数字签名中的R值确定密文，密文为(R，C)。

可以看出，当同态加密公钥为Paillier同态加密公钥PK1时，先根据PK1中的n值确定第一随机数u，再根据第一随机数u和PK1对数字签名中的s值进行Paillier同态加密处理得到加密参数C；并将(R，C)确定为密文。通过仅对数字签名中的s值进行加密，不处理数字签名中的R值，以便后续验证解密后的密文所组成的数字签名的正确性。

在一些可能的实施例中，数字签名为曲线数字签名时，零知识证明具体如下式：

其中，m为待签名消息，数字签名是对待签名消息进行签名处理而得到的；h(m)为待签名消息的哈希值，P为G的一个生成元，G为阶为素数q的椭圆曲线群，r_x为R的横坐标，Y为用于生成数字签名的公钥，ε为决定零知识证明的零知识性的参数，k为决定零知识证明的完备性的参数，lq是素数q的比特数。利用本申请的方法，可以得到完整的高效的零知识证明，可实际应用。

进一步地，加密方构建上述零知识证明的过程如下：

选取随机数

并计算Z_s＝[z_s]R。

选取随机数z_u∈_RZ_n并计算

Z_n为小于n的整数的集合。

计算e＝H([s]R,C,Z_s,Z_u,s)。H()为可信第三方确定的用于建立零知识证明的杂凑函数。

计算v_s＝z_s+e.s(in Z),v_u＝z_u.u^e(mod n)。

则零知识证明π＝(Z_s,Z_u,s,v_s,v_u)。

在一些可能的实施例中，参考图6和图7，加密签名处理方法还包括以下步骤：

202、验证方对零知识证明进行验证，得到零知识证明的验证结果。

具体地，验证方收到加密方发送的可验证加密签名(即密文和零知识证明)之后，对零知识证明进行验证，得到零知识证明的验证结果，验证结果包括通过验证或未通过验证。可以看出，本实施例中的加密签名处理方法，由于密文为加密方利用同态加密公钥对数字签名进行加密处理而得到的，而零知识证明为根据密文生成的，使得零知识证明的验证效率高，可以有效提升可验证加密签名的使用体验。示例性地，而当零知识证明的验证结果为通过验证时，验证方可以向加密方提供服务，例如，用户(加密方)预订酒店房间时，向酒店(验证方)提供了可验证加密签名，在酒店验证零知识证明通过时，向用户提供预订房间的电子钥匙。而当零知识证明的验证结果为未通过验证时，验证方不向加密方提供服务，例如，酒店不向用户提供预订房间的电子钥匙。

进一步地，验证方验证零知识证明的过程如下：

验证[v_s]R？＝Z_s+[e.h(m)]P+[e.r_x]R；

验证v_u ⁿg^vs？＝Z_u,s.C^e(mod n²)；

验证0<v_s<2^(ε+1)(lq+k)，验证s的大小是否满足要求；

只有上述验证全部通过，才输出验证结果信息，如1代表验证通过，否则输出验证结果信息，如0代表验证未通过。验证结果信息的具体形式还可以是其他形式，不做特别限定。其中，在验证零知识证明时，由于e是作为一个整体进行运算，不需要逐比特进行验证，因此，零知识证明的验证效率较高。

在一些可能的实施例中，参考图6，加密签名处理方法还包括以下步骤：

203、验证结果为通过验证，且未收到加密方发送的数字签名时，验证方向可信第三方发送解密请求，以请求可信第三方利用同态加密私钥对密文进行解密处理以得到数字签名，解密请求包括密文；

相应地，参考图8，图8是本申请实施例提供的一种解密方法的流程示意图；该解密方法应用于可信第三方，该可信第三方可以由一个以上的解密设备来实现，本实施例中，以可信第三方为一个解密设备为例，此时的解密方法包括以下步骤：

301、可信第三方接收来自验证方的解密请求；

302、可信第三方响应解密请求，利用同态加密私钥对密文进行解密处理，得到数字签名；

303、可信第三方向验证方发送数字签名。

另外，相应地，参考图9，图9是本申请实施例提供的另一种解密方法的流程示意图；该解密方法应用于第一解密设备，第一解密设备应用于解密系统(即可信第三方)，解密系统还包括M个第二解密设备，M为大于零的整数；其中，第一解密设备、每个第二解密设备均持有从同态加密私钥拆分出的一个子私钥，且第一解密设备及每个第二解密设备持有的子私钥各不相同；即此时的可信第三方由两个以上的解密设备来实现，步骤203中，验证方向可信第三方中的第一解密设备发送解密请求；该解密方法包括以下步骤：

401、第一解密设备接收来自验证方的解密请求；

402、第一解密设备响应解密请求，利用解密系统中的至少两个解密设备所持有的子私钥对密文进行解密处理，得到数字签名；

403、第一解密设备向验证方发送数字签名。

其中，实际应用中，解密请求中除了密文之外，还可以包括其他信息，例如证明验证方确实向加密方提供了服务的证明，具体不做特别限定。

204、验证方接收可信第三方发送的数字签名。

可以看出，在零知识证明的验证结果为通过验证，且未收到加密方发送的数字签名时，验证方可以向可信第三方发送解密请求，以请求可信第三方利用同态加密私钥对密文进行解密处理以得到数字签名(即利用图8或图9的方法进行解密处理)，最后可信第三方将解密得到的数字签名发送给验证方，避免加密方无端不提供数字签名而损害验证方的合法权益，有效保障验证方的权益。

在一些可能的实施例中，上述解密请求(适用于图8或图9的解密方法中的解密请求)还可以包括上述零知识证明，以使可信第三方在对密文进行解密处理之前，先验证零知识证明，在零知识证明通过验证时，再利用同态加密私钥对密文进行解密处理(即图8或图9所示的解密处理步骤)，以确保利用密文解密得到的是正确的加密方的数字签名，提升加密签名的解密效率。

在一些可能的实施例中，参考图8和图9，在向验证方发送数字签名之前，解密方法还包括以下步骤：

可信第三方对数字签名进行有效性验证处理，得到签名验证结果，签名验证结果用于指示数字签名为有效签名或无效签名；

签名验证结果指示数字签名为有效签名时，可信第三方向验证方发送数字签名。

可以看出，在可信第三方利用图8或图9的解密方法对密文进行解密处理以得到数字签名之后，先对该数字签名进行有效性验证处理，得到签名验证结果，确定签名验证结果只是数字签名为有效签名时，则可信第三方可以将该数字签名发送给验证方，保障解密得到的数字签名是有效签名。

下面以可信第三方为一个解密设备，数字签名为ECDSA签名为例，对加密方、验证方和可信第三方的交互过程进行具体说明：

基于Paillier加密方案对ECDSA签名进行加密，并有完整的零知识证明。具体地，加密方使用TPP的Paillier公钥加密ECDSA签名σ的s部分生成密文C，然后构建零知识证明π证明密文C中的s与公开的R部分构成一个完整的ECDSA签名，且s满足特定的尺寸要求。验证方根据特定的步骤验证(c＝(R,C),π)的正确性。TTP可使用其Paillier私钥加密解密C以获取s。具体过程如下：

首先，进行系统初始化。其中，可信第三方选取两个安全素数p',q',计算n＝p'q'，g＝n+1；λ＝λ(n)，则((n，g)，λ)分别是Paillier同态加密的公钥和私钥。相关方(加密方、验证方和可信第三方等系统相关方)生成ECDSA公共参数，如G,q,P,h()，G是个阶为素数q的椭圆曲线群,而P是G的一个生成元,及h是一个杂凑函数。加密方生成公私钥对(PK＝Y＝[x]P,SK＝x∈_RZ_q ^*)，PK为公钥，SK为私钥。系统(如TTP)决定一个杂凑函数H:{0,1}*→{0,1}^k,其中k决定零知识证明的完备性(Soundness)，k为整数，而完备性的错误率为

另外，系统决定参数/>

ε是决定零知识证明的零知识性的参数，其中，l_n是TTP同态加密公钥中的n值的比特数，而l_q是ECDSA公共参数q的比特数。而零知识证明的零知识性的统计误差为/>

接着，加密方对数字签名进行加密。其中，利用可信第三方确定的Paillier同态加密公钥加密一个ECDSA签名σ＝(R＝(r_x,r_y)＝[k]P,s＝k^-1.(h(m)+r_x.x)(mod q))的过程如下:

1)选取随机数u∈_RZ_n,s.t.,gcd(u,n)＝1，u和n的最大公约数为1；计算C＝uⁿ.g^s(mod n²),其中g＝n+1。

2)构造零非交互知识证明

其中，s1为中间变量，[h(m)]P+[r_x]Y＝[s₁]R)为曲线数字签名的验证公式，构造零非交互知识证明的过程如下:

选取随机数

并计算Z_s＝[z_s]R；

选取随机数z_u∈_RZ_n，并计算

其中，Z_n为小于n的整数的集合；

计算e＝H([s]R,C,Z_s,Z_u,s)；

计算v_s＝z_s+e.s(in Z),v_u＝z_u.u^e(mod n)；

设π＝(Z_s,Z_u,s,v_s,v_u)。

3)输出(c＝(R,C),π)。加密方将(c＝(R,C),π)发送给验证方。

接着，验证方进行验证。其中验证(c＝(R,C),π＝(Z_s,Z_u,s,v_s,v_u))的过程如下：

1)验证[v_s]R？＝Z_s+[e.h(m)]P+[e.r_x]R；

2)验证v_u ⁿg^vs？＝Z_u,s.C^e(mod n²)；

3)验证

4)只有上述验证全部通过，才输出1(代表验证通过)，否则输出0。

最后，当可信第三方接收到验证方的解密请求时，可信第三方解密(c＝(R,C＝uⁿ.g^s),π)的过程如下:

1)首先验证(c,π)如上，验证失败输出L(表示解密失败)；否则，处理如下：

2)计算t＝C^λ＝(uⁿ.g^s’)^λ＝1+n.s’.λ(mod n²)；

3)计算

4)输出s＝s’(mod q)。其中，步骤1)至步骤4)的处理过程也可以被替代为：先解密得到s，再根据解密得到的s和R组成数字签名，对数字签名的有效性进行验证，验证通过，则执行步骤5)。

5)可信第三方可以只将解密出来的s发送给验证方，也可以将解密出来的s和R组成完整的数字签名(R，s)发送给验证方。

使用标准化的密码机制Pailllier加密，加密效率高，且零知识证明的计算量为常数；而且完整的零知识证明具有落地实用的条件。

在一些可能的实施例中，在接收解密请求之前，解密方法还包括以下步骤：

根据密钥分割算法对同态加密私钥进行拆分得到M+1个子私钥；

将M个子私钥分配给M个第二解密设备，M个子私钥为M+1个子私钥中除了第一解密设备持有的子私钥之外的子私钥。

可以看出，当可信第三方为两个以上的解密设备组成时，图9所示的解密方法在执行之前，每个解密设备需要得到一个子私钥。具体地，解密系统中的任一解密设备所持有的子私钥，可以是由解密系统中的任一个解密设备，如第一解密设备或第二解密设备，根据密钥分割算法对同态加密私钥进行拆分后得到的。以第一解密设备为例，第一解密设备对同态加密私钥进行拆分后得到M+1个子私钥，将M个子私钥分配给M个第二解密设备，该M个子私钥为M+1个子私钥中除了第一解密设备持有的子私钥之外的子私钥。对于解密系统中除第一解密设备之外的其他解密设备来说，拆分同态加密私钥的方法和第一解密设备一样，不做赘述。

在一些可能的实施例中，M个第二解密设备为一个第二解密设备，至少两个子私钥为两个子私钥时，根据密钥分割算法对同态加密私钥进行拆分得到至少两个子私钥，包括以下步骤：

根据同态加密私钥和同态加密公钥确定衍生密钥d，衍生密钥d满足下式：(d modλ)＝0，且(d mod n)＝1，其中，λ为同态加密私钥，n为同态加密私钥中的n值，mod为求余函数；

确定第二随机数α，α为小于d的整数；

将d和α的差值(d–α)、α确定为两个子私钥。

可以看出，当解密系统包括2个解密设备时，在对同态加密私钥进行拆分时，需要先根据同态加密私钥和同态加密公钥确定衍生密钥d，再确定一个小于衍生密钥d的整数α，接着，可以将d和α的差值、α确定为解密系统的两个子私钥。

下面以可信第三方为两个解密设备(TTPA和TTPB)，数字签名为ECDSA签名为例，对加密方、验证方和可信第三方的交互过程进行具体说明：

一个TTP负责建立Paillier加密方案的参数p',q',计算n＝p'q'及d,s.t.,d＝0(modλ(n))及d＝1(mod n),然后拆分私钥d为两个密钥份α和d–α，并将其中一份通过安全通道传递给令一个TTP。解密C时，两个TTP分别计算t₁＝C^α(mod n²)和t₂＝C^d-α(mod n²)，接着由其中一个TTP合并t₁和t₂为t＝t₁.t₂，然后再按照常规Paillier解密方案进行解密，可见，只有两个TTP合作才可以解密，安全性高。具体过程如下：

首先，进行系统初始化。其中，本实施例采取由一个TTP(如TTPA)负责建立Paillier加密方案的参数并负责密钥分配的方案。在两个TTP互不信任的情况下，两者可利用安全多方证明的技术进行分配。

TTPA选取两个安全素数p',q',计算n＝p'q'和λ＝λ(n)，则((n，g),λ)分别是Paillier加密的公私钥。TTPA计算整数d,s.t.,d＝0(modλ)及d＝1(mod n)。TTPA选取随机数α∈_RZ,α<d，并计算d–α。TTPA安全保留α作为自己的密钥，并通过安全通道发送d–α给TTPB作为密钥。其中，安全通道可具有对d–α进行加密、并且在收到d–α后验证其是否被修改等功能，TTPA删除所有其它秘密信息，包括安全素数p,q,λ,d。相关方(加密方、验证方和可信第三方等系统相关方)生成ECDSA公共参数，如G,q,P,h()，G是个阶为素数q的椭圆曲线群,而P是G的一个生成元,及h是一个杂凑函数。加密方生成公私钥对(PK＝Y＝[x]P,SK＝x∈_RZ_q ^*)，PK为公钥，SK为私钥。系统(如TTP)决定一个杂凑函数H:{0,1}*→{0,1}^k,其中k决定零知识证明的完备性。另外，系统决定参数

ε是决定零知识证明的零知识性的参数，其中，l_n是TTP同态加密公钥中的n值的比特数，而l_q是ECDSA公共参数q的比特数。

接着，加密方对数字签名进行加密。其中，加密一个ECDSA签名σ＝(R＝(r_x,r_y)＝[k]P,s＝k^-1.(h(m)+r_x.x)(mod q))的过程如下:

1)选取随机数u∈_RZ_n,s.t.,gcd(u,n)＝1，u和n的最大公约数为1；计算C＝uⁿ.g^s(mod n²),其中g＝n+1。

2)构造零非交互知识证明

其中，s1为中间变量，[h(m)]P+[r_x]Y＝[s₁]R)为曲线数字签名的验证公式，构造零非交互知识证明的过程如下:

选取随机数

并计算Z_s＝[z_s]R；

选取随机数z_u∈_RZ_n，并计算

其中，Z_n为小于n的整数的集合；

计算e＝H([s]R,C,Z_s,Z_u,s)；

计算v_s＝z_s+e.s(in Z),v_u＝z_u.u^e(mod n)；

设π＝(Z_s,Z_u,s,v_s,v_u)。

3)输出(c＝(R,C),π)。加密方将(c＝(R,C),π)发送给验证方。

接着，验证方进行验证，其中验证(c＝(R,C),π＝(Z_s,Z_u,s,v_s,v_u))的过程如下：

1)验证[v_s]R？＝Z_s+[e.h(m)]P+[e.r_x]R；

2)验证v_u ⁿg^vs？＝Z_u,s.C^e(mod n²)；

3)验证

4)只有上述验证全部通过，才输出1(代表验证通过)，否则输出0。

最后，当可信第三方(TTPA或TTPB，以TTPA为例)接收到验证方的解密请求时，两个TTP合作解密(c＝(R,C＝uⁿ.g^s),π)的过程如下:

1)两个TTP分别验证(c,π)如上，验证失败输出L(表示解密失败)，否则，处理如下：

2)TTP A计算并输出t₁＝C^α(mod n²)；

3)TTP B计算并输出t₂＝C^d-α(mod n²)；

4)合并t₁和t₂过程如下：(合并过程可由任一TTP完成，也可由验证者完成)

计算t＝t₁.t₂＝(uⁿg^s’)^d＝1+n.s’(mod n²)；

输出s＝s’(mod q)。

在一些可能的实施例中，M个第二解密设备为两个以上第二解密设备，至少两个子私钥为三个以上子私钥时，上述根据密钥分割算法对同态加密私钥进行拆分得到至少两个子私钥，具体包括以下步骤：

根据同态加密私钥和同态加密公钥确定衍生密钥d，衍生密钥d满足下式：(d modλ)＝0，且(d mod n)＝1，其中，λ为同态加密私钥，n为同态加密私钥中的n值，mod为求余函数；

根据秘密共享算法对衍生密钥d进行拆分得到三个以上子私钥。

具体地，秘密共享算法包括沙米尔秘密分享算法、线性秘密共享算法等。其中，秘密共享算法的优点在于每个解密设备都独立持有一部分关于衍生密钥d的子私钥，只有将足够数目的子私钥组合起来，才能够重新恢复出衍生密钥d。当获得的子私钥数量不足时，无论采用何种组合策略，不会泄露关于衍生密钥d的任何信息。

下面以可信第三方为由3个以上的解密设备组成，数字签名为ECDSA签名为例，对加密方、验证方和可信第三方的交互过程进行具体说明：

部署z个TTP(z≥3)，且至少w(z≥w>1)个TTP合作才可以解密，w为2或3等整数。其中，一个TTP负责按照多TTP门限Paillier方案建立相应的参数并负责密钥分配。解密密文C时，多个TTP按照多TTP门限Paillier方案的解密算法进行解密，获取s。具体过程如下：

首先，进行系统初始化。本实施例采取由一个TTP(假设为TTPA)负责建立Paillier加密方案的参数并负责密钥分配的方案。在TTP间互不信任的情况下，z个TTP可利用安全多方证明的技术进行分配密钥。则TTPA选取两个安全素数p',q',计算n＝p'q'和λ＝λ(n)，则((n，g),λ)分别是Paillier加密的公私钥。TTPA利用前述“(11)、门限派利尔加密”的中“密钥拆分”方法分配密钥给所有的TTP。相关方(加密方、验证方和可信第三方等系统相关方)生成ECDSA公共参数，如G,q,P,h()，G是个阶为素数q的椭圆曲线群,而P是G的一个生成元,及h是一个杂凑函数。加密方生成公私钥对(PK＝Y＝[x]P,SK＝x∈_RZ_q ^*)，PK为公钥，SK为私钥。系统(如TTP)决定一个杂凑函数H:{0,1}*→{0,1}^k,其中k决定零知识证明的完备性。另外，系统决定参数

ε是决定零知识证明的零知识性的参数，其中，l_n是TTP同态加密公钥中的n值的比特数。

接着，加密方对数字签名进行加密，其中，加密一个ECDSA签名σ＝(R＝(r_x,r_y)＝[k]P,s＝k^-1.(h(m)+r_x.x)(mod q))的过程如下:

1)选取随机数u∈_RZ_n,s.t.,gcd(u,n)＝1,计算C＝uⁿ.g^s(mod n²),其中g＝n+1。

2)构造零非交互知识证明

其中，s1为中间变量，[h(m)]P+[r_x]Y＝[s₁]R)为曲线数字签名的验证公式，构造零非交互知识证明的过程如下:

选取随机数

并计算Z_s＝[z_s]R；

选取随机数z_u∈_RZ_n，并计算

其中，Z_n为小于n的整数的集合；

计算e＝H([s]R,C,Z_s,Z_u,s)；

计算v_s＝z_s+e.s(in Z),v_u＝z_u.u^e(mod n)；

设π＝(Z_s,Z_u,s,v_s,v_u)。

3)输出(c＝(R,C),π)。加密方将(c＝(R,C),π)发送给验证方。

接着，验证方进行验证，其中，验证(c＝(R,C),π＝(Z_s,Z_u,s,v_s,v_u))的过程如下：

1)验证[v_s]R？＝Z_s+[e.h(m)]P+[e.r_x]R；

2)验证v_u ⁿg^vs？＝Z_u,s.C^e(mod n²)；

3)验证

4)只有上述验证全部通过，才输出1(代表验证通过)，否则输出0。

最后，当可信第三方(任意一个TTP，以TTPA为例)接收到验证方的解密请求时，至少w个TTP合作解密(c＝(R,C＝uⁿ.g^s),π)的过程如下:

1)每个TTP分别验证(c,π)如上，验证失败输出L(表示解密失败)，否则，处理如下：

2)第i^th参与方计算并输出

给合并过程。合并过程计算如下：

设S为参与解密的TTP输出的c_i的集合，则由S中的c_i可计算(让Δ＝z！)

因为d＝0(modλ)，d＝1(mod n),c’＝1+n.s’.Δ(modn²),所以计算

输出s＝s’(mod q)。

本实施例中，w-out-z门限派利尔加密方案，使用标准化的密码机制，可实际部署性强；使用的零知识证明效率高，因此整体效率高；门限解密使得多个TTP使用户无需信任单一TTP，并增强解密过程的鲁棒性。

在一些可能的实施例中，在将至少两个子私钥分配给第一解密设备和至少一个第二解密设备之后，方法还包括：删除第一安全素数p'、第二安全素数q'、同态加密私钥和衍生密钥d。

可以看出，在完成子私钥分配之后，需要将同态加密私钥、第一安全素数p'、第二安全素数q'和衍生密钥d等秘密信息删除，避免因信息泄露对加密方的合法权益造成损害。

在一些可能的实施例中，在接收解密请求之前，解密方法还包括以下步骤：

接收第三解密设备发送的子私钥，子私钥是第三解密设备从同态加密私钥拆分出的一个子私钥，第三解密设备为M个第二解密设备中的一个第二解密设备。

可以看出，解密系统中的解密设备所持有的子私钥，也可以是由解密系统中除该解密设备自身之外的任一个解密设备，如第三解密设备，根据密钥分割算法对同态加密私钥进行拆分后得到的。以第三解密设备为例，第三解密设备对同态加密私钥进行拆分后得到M+1个子私钥，将M个子私钥分配给第一解密设备和M-1个第二解密设备，该M个子私钥为M+1个子私钥中除了第三解密设备持有的子私钥之外的子私钥，该M-1个第二解密设备为M个第二解密设备中除第三解密设备之外的第二解密设备。

上述详细阐述了本申请实施例的方法，下面提供本申请实施例的装置。

参考图10，图10是本发明实施例提供的一种加密设备的结构示意图；该加密设备包括处理模块1001、生成模块1002和提供模块1003，其中：

处理模块1001，用于利用可信第三方确定的同态加密公钥对数字签名进行加密处理得到密文；

生成模块1002，用于根据密文生成零知识证明，零知识证明用于证明密文所加密的明文为数字签名；

提供模块1003，用于提供密文和零知识证明给验证方。

在一些可能的实施例中，同态加密公钥为Paillier同态加密公钥PK1，PK1为(n，g)，其中，n为第一安全素数p'和第二安全素数q'的乘积，g为n+1。

在一些可能的实施例中，同态加密公钥为Paillier同态加密公钥时，处理模块1001具体用于：

根据n确定第一随机数u，第一随机数u和n的最大公约数为1；

根据第一随机数u和PK1对数字签名中的s值进行Paillier同态加密处理，得到加密参数C；

根据加密参数C和数字签名中的R值确定密文，密文为(R，C)。

在一些可能的实施例中，数字签名为曲线数字签名时，零知识证明具体如下式：

其中，m为待签名消息，数字签名是对待签名消息进行签名处理而得到的；h(m)为待签名消息的哈希值，P为G的一个生成元，G为阶为素数q的椭圆曲线群，r_x为R的横坐标，Y为用于生成数字签名的公钥，ε为决定零知识证明的零知识性的参数，k为决定零知识证明的完备性的参数，lq是素数q的比特数。

利用本申请实施例的加密设备，可以实现可验证加密签名；其中，由于对数字签名进行同态加密处理，使得签名加密效率高，而且零知识证明的验证效率高，可以有效提升可验证加密签名的使用体验。

需要说明的是，加密设备的实施例与前述方法实施例相互对应，具体的描述及有益效果描述可以参照方法实施例，不再赘述。值得注意的是，装置实施例可以与上述方法配合使用，也可以单独使用。

参考图11，图11是本发明实施例提供的一种加密签名处理装置的结构示意图；加密签名处理装置包括获取模块1101和验证模块1102，其中：

获取模块1101，用于获取密文和零知识证明，密文为加密方利用可信第三方确定的同态加密公钥对数字签名进行加密处理而得到的，零知识证明为加密方为证明密文所加密的明文为数字签名而根据密文生成的；

验证模块1102，用于对零知识证明进行验证，得到零知识证明的验证结果。

在一些可能的实施例中，同态加密公钥为Paillier同态加密公钥PK1，PK1为(n，g)，其中，n为第一安全素数p'和第二安全素数q'的乘积，g为n+1。

在一些可能的实施例中，同态加密公钥为Paillier同态加密公钥时，密文为(R，C)，其中，R为数字签名中的R值，C为根据第一随机数u和PK1对数字签名中的s值进行Paillier同态加密处理而得到的加密参数，第一随机数u和n的最大公约数为1。

在一些可能的实施例中，数字签名为曲线数字签名，零知识证明具体如下式：

其中，m为待签名消息，数字签名是对待签名消息进行签名处理而得到的；h(m)为待签名消息的哈希值，P为G的一个生成元，G为阶为素数q的椭圆曲线群，r_x为R的横坐标，Y为用于生成数字签名的公钥，ε为决定零知识证明的零知识性的参数，k为决定零知识证明的完备性的参数，lq是素数q的比特数。

在一些可能的实施例中，加密签名处理装置还包括：

发送模块，用于验证结果为通过验证，且未收到加密方发送的数字签名时，向可信第三方发送解密请求，以请求可信第三方利用同态加密私钥对密文进行解密处理以得到数字签名，解密请求包括密文；

接收模块，用于接收可信第三方发送的数字签名。

在一些可能的实施例中，解密请求还包括零知识证明，以使可信第三方在对密文进行解密处理之前，先验证零知识证明，在零知识证明通过验证时，再对密文进行解密处理，以确保利用密文解密得到的是正确的加密方的数字签名，提升加密签名的解密效率。

利用本申请实施例的加密签名处理装置，由于密文为加密方利用同态加密公钥对数字签名进行加密处理而得到的，而零知识证明为根据密文生成的，使得零知识证明的验证效率高，可以有效提升可验证加密签名的使用体验。

需要说明的是，加密签名处理装置的实施例与前述方法实施例相互对应，具体的描述及有益效果描述可以参照方法实施例，不再赘述。值得注意的是，装置实施例可以与上述方法配合使用，也可以单独使用。

参考图12，图12是本发明实施例提供的一种解密设备的结构示意图；该解密设备包括接收模块1201、解密模块1202和发送模块1203，其中：

接收模块1201，用于接收来自验证方的解密请求，解密请求包括密文，密文为加密方利用同态加密公钥对数字签名进行加密处理而得到的；

解密模块1202，用于响应解密请求，利用同态加密私钥对密文进行解密处理，得到数字签名；

发送模块1203，用于向验证方发送数字签名。

在一些可能的实施例中，同态加密公钥为Paillier同态加密公钥PK1，PK1为(n，g)，其中，n为第一安全素数p'和第二安全素数q'的乘积，g为n+1。

在一些可能的实施例中，同态加密公钥为Paillier同态加密公钥时，密文为(R，C)，其中，R为数字签名中的R值，C为根据第一随机数u和PK1对数字签名中的s值进行Paillier同态加密处理而得到的加密参数，第一随机数u和n的最大公约数为1。

在一些可能的实施例中，解密请求还包括零知识证明，零知识证明为加密方为证明密文所加密的明文为数字签名而根据密文生成的；解密设备还包括：

验证模块，用于在利用同态加密私钥对密文进行解密处理之前，对零知识证明进行验证，得到零知识证明的验证结果；验证结果为通过验证时，解密模块1202利用同态加密私钥对密文进行解密处理。

在一些可能的实施例中，数字签名为曲线数字签名，零知识证明具体如下式：

其中，m为待签名消息，数字签名是对待签名消息进行签名处理而得到的；h(m)为待签名消息的哈希值，P为G的一个生成元，G为阶为素数q的椭圆曲线群，r_x为R的横坐标，Y为用于生成数字签名的公钥，ε为决定零知识证明的零知识性的参数，k为决定零知识证明的完备性的参数，lq是素数q的比特数。

在一些可能的实施例中，验证模块，还用于在向验证方发送数字签名之前，对数字签名进行有效性验证处理，得到签名验证结果，签名验证结果用于指示数字签名为有效签名或无效签名；签名验证结果指示数字签名为有效签名时，发送模块1203向验证方发送数字签名。

利用本申请实施例的解密设备，接收到验证方的解密请求之后，根据同态加密公钥对解密请求中携带的密文进行解密处理，以得到数字签名，并将数字签名发送给验证方，避免加密方无端不提供数字签名而损害验证方的合法权益，有效保障验证方的权益。

需要说明的是，解密设备的实施例与前述方法实施例相互对应，具体的描述及有益效果描述可以参照方法实施例，不再赘述。值得注意的是，装置实施例可以与上述方法配合使用，也可以单独使用。

参考图13，图13是本发明实施例提供的一种第一解密设备的结构示意图，该第一解密设备应用于解密系统，解密系统还包括M个第二解密设备，M为大于零的整数；第一解密设备、每个第二解密设备均持有从同态加密私钥拆分出的一个子私钥，且第一解密设备及每个第二解密设备持有的子私钥各不相同；该第一解密设备包括接收模块1301、解密模块1302和发送模块1303，其中：

接收模块1301，用于接收来自验证方的解密请求，解密请求包括密文，密文为加密方利用同态加密公钥对数字签名进行加密处理而得到的；

解密模块1302，用于响应解密请求，利用解密系统中的至少两个解密设备所持有的子私钥对密文进行解密处理，得到数字签名；

发送模块1303，用于向验证方发送数字签名。

在一些可能的实施例中，第一解密设备还包括：

拆分模块，用于在接收解密请求之前，根据密钥分割算法对同态加密私钥进行拆分得到M+1个子私钥；

分配模块，用于将M个子私钥分配给M个第二解密设备，M个子私钥为M+1个子私钥中除了第一解密设备持有的子私钥之外的子私钥。

在一些可能的实施例中，同态加密私钥为Paillier同态加密私钥，同态加密公钥为Paillier同态加密公钥PK1时；第一解密设备还包括：

确定模块，用于在接收解密请求之前，确定第一安全素数p'和第二安全素数q'；根据第一安全素数p'和第二安全素数q'确定同态加密私钥和同态加密公钥，同态加密私钥为第一差值和第二差值之间的最小公倍数，第一差值为p'和1之间的差值，第二差值为q'和1之间的差值，同态加密公钥PK1为(n，g)，其中，n为第一安全素数p'和第二安全素数q'的乘积，g为n+1。

在一些可能的实施例中，M个第二解密设备为两个以上第二解密设备，至少两个子私钥为三个以上子私钥时，拆分模块具体用于：

根据同态加密私钥和同态加密公钥确定衍生密钥d，衍生密钥d满足下式：(d modλ)＝0，且(d mod n)＝1，其中，λ为同态加密私钥，n为同态加密私钥中的n值，mod为求余函数；

根据秘密共享算法对衍生密钥d进行拆分得到三个以上子私钥。

在一些可能的实施例中，M个第二解密设备为一个第二解密设备，至少两个子私钥为两个子私钥时，拆分模块具体用于：

根据同态加密私钥和同态加密公钥确定衍生密钥d，衍生密钥d满足下式：(d modλ)＝0，且(d mod n)＝1，其中，λ为同态加密私钥，n为同态加密私钥中的n值，mod为求余函数；

确定第二随机数α，α为小于d的整数；

将d和α的差值、α确定为两个子私钥。

在一些可能的实施例中，第一解密设备还包括：

删除模块，用于在将至少两个子私钥分配给第一解密设备和至少一个第二解密设备之后，删除第一安全素数p'、第二安全素数q'、同态加密私钥和衍生密钥d。

在一些可能的实施例中，接收模块1301，还用于在接收解密请求之前，接收第三解密设备发送的子私钥，子私钥是第三解密设备从同态加密私钥拆分出的一个子私钥，第三解密设备为M个第二解密设备中的一个第二解密设备。

在一些可能的实施例中，解密请求还包括零知识证明，零知识证明为加密方为证明密文所加密的明文为数字签名而根据密文生成的；第一解密设备还包括：

验证模块，用于在对密文进行解密处理之前，对零知识证明进行验证，得到零知识证明的验证结果；验证结果为通过验证时，解密模块1302利用解密系统中的至少两个解密设备所持有的子私钥对密文进行解密处理。

在一些可能的实施例中，数字签名为曲线数字签名，零知识证明具体如下式：

其中，m为待签名消息，数字签名是对待签名消息进行签名处理而得到的；h(m)为待签名消息的哈希值，P为G的一个生成元，G为阶为素数q的椭圆曲线群，r_x为R的横坐标，Y为用于生成数字签名的公钥，ε为决定零知识证明的零知识性的参数，k为决定零知识证明的完备性的参数，lq是素数q的比特数。

在一些可能的实施例中，验证模块，还用于在向验证方发送数字签名之前，对数字签名进行有效性验证处理，得到签名验证结果信息，签名验证结果信息用于指示数字签名为有效签名或无效签名；签名验证结果信息指示数字签名为有效签名时，发送模块1303向验证方发送数字签名。

利用本申请实施例的第一解密设备，在响应验证方的解密请求时，利用解密系统中的至少两个解密设备所持有的子私钥对密文进行解密处理得到数字签名后，将该数字签名发送给验证方；避免加密方无端不提供数字签名而损害验证方的合法权益，有效保障验证方的权益。

需要说明的是，第一解密设备的实施例与前述方法实施例相互对应，具体的描述及有益效果描述可以参照方法实施例，不再赘述。值得注意的是，装置实施例可以与上述方法配合使用，也可以单独使用。

另外，本申请还提供一种电子设备，图14是本申请实施例提供的一种电子设备的结构示意图；图14所示的电子设备1400包括存储器1401、处理器1402、通信接口1404以及总线1403。其中，存储器1401、处理器1402、通信接口1404通过总线1403实现彼此之间的通信连接。

存储器1401可以是只读存储器(Read Only Memory，ROM)，静态存储设备，动态存储设备或者随机存取存储器(Random Access Memory，RAM)。存储器1401可以存储程序，当存储器1401中存储的程序被处理器1402执行时，处理器1402和通信接口1404用于执行前述实施例中的加密方法的各个步骤，或者，执行前述实施例中的加密签名处理方法的各个步骤，或者，执行前述实施例中的解密方法的各个步骤。

处理器1402可以采用通用的中央处理器(Central Processing Unit，CPU)，微处理器，应用专用集成电路(Application Specific Integrated Circuit，ASIC)，图形处理器(graphics processing unit，GPU)或者一个或多个集成电路，用于执行相关程序，以实现上述实施例所述的加密设备、加密签名处理装置、解密设备或第一解密设备中的单元所需执行的功能，或者执行前述实施例中的加密方法的各个步骤，或者，执行前述实施例中的加密签名处理方法的各个步骤，或者，执行前述实施例中的解密方法的各个步骤。

处理器1402还可以是一种集成电路芯片，具有信号的处理能力。在实现过程中，本申请前述实施例中的加密方法、加密签名处理方法或解密方法的各个步骤可以通过处理器1402中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器1402还可以是通用处理器、数字信号处理器(Digital Signal Processing，DSP)、专用集成电路(ASIC)、现成可编程门阵列(Field Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请实施例中的加密方法、加密签名处理方法或解密方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器1401，处理器1402读取存储器1401中的信息，结合其硬件完成上述实施例所述的加密设备、加密签名处理装置、解密设备或第一解密设备中包括的单元所需执行的功能，或者执行本申请前述实施例中的加密方法、加密签名处理方法或解密方法。

通信接口1404使用例如但不限于收发器一类的收发装置，来实现电子设备1400与其他设备或通信网络之间的通信。例如，可以通过通信接口1404获取待签名的数据。

总线1403可包括在电子设备1400各个部件(例如，存储器1401、处理器1402、通信接口1404)之间传送信息的通路。

应注意，尽管图14所示的电子设备1400仅仅示出了存储器、处理器、通信接口，但是在具体实现过程中，本领域的技术人员应当理解，电子设备1400还包括实现正常运行所必须的其他器件。同时，根据具体需要，本领域的技术人员应当理解，电子设备1400还可包括实现其他附加功能的硬件器件。此外，本领域的技术人员应当理解，电子设备1400也可仅仅包括实现本申请实施例所必须的器件，而不必包括图14中所示的全部器件。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以计算机程序产品的形式体现出来，该计算机程序产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

本发明实施例还提供一种芯片，所述芯片包括处理器与数据接口，所述处理器通过所述数据接口读取存储器上存储的指令，执行前述实施例中的加密方法、加密签名处理方法或解密方法。

可选地，作为一种实现方式，所述芯片还可以包括存储器，所述存储器中存储有指令，所述处理器用于执行所述存储器上存储的指令，当所述指令被执行时，所述处理器用于执行前述实施例中的加密方法、加密签名处理方法或解密方法。

本申请实施例还提供一种包含指令的计算机程序产品，当所述计算机程序产品在计算机上运行时，使得计算机执行前述实施例中的加密方法、加密签名处理方法或解密方法。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (34)

1.一种加密方法，其特征在于，所述方法包括以下步骤：

利用可信第三方确定的同态加密公钥对数字签名进行加密处理得到密文；

根据所述密文生成零知识证明，所述零知识证明用于证明所述密文所加密的明文为所述数字签名；

提供所述密文和所述零知识证明给验证方。

2.根据权利要求1所述的方法，其特征在于，所述同态加密公钥为Paillier同态加密公钥PK1，PK1为(n，g)，其中，n为第一安全素数p'和第二安全素数q'的乘积，g为n+1。

3.根据权利要求2所述的方法，其特征在于，所述同态加密公钥为Paillier同态加密公钥时，所述利用可信第三方确定的同态加密公钥对数字签名进行加密处理得到密文，具体包括以下步骤：

根据所述n确定第一随机数u，所述第一随机数u和所述n的最大公约数为1；

根据所述第一随机数u和所述PK1对所述数字签名中的s值进行Paillier同态加密处理，得到加密参数C；

根据所述加密参数C和所述数字签名中的R值确定所述密文，所述密文为(R，C)。

4.根据权利要求3所述的方法，其特征在于，所述数字签名为曲线数字签名，所述零知识证明具体如下式：

其中，所述m为待签名消息，所述数字签名是对所述待签名消息进行签名处理而得到的；所述h(m)为所述待签名消息的哈希值，所述P为G的一个生成元，所述G为阶为素数q的椭圆曲线群，所述r_x为R的横坐标，所述Y为用于生成所述数字签名的公钥，所述ε为决定所述零知识证明的零知识性的参数，所述k为决定所述零知识证明的完备性的参数，所述lq是所述素数q的比特数。

5.一种加密签名处理方法，其特征在于，所述方法包括以下步骤：

获取密文和零知识证明，所述密文为加密方利用可信第三方确定的同态加密公钥对数字签名进行加密处理而得到的，所述零知识证明为所述加密方为证明所述密文所加密的明文为所述数字签名而根据所述密文生成的；

对所述零知识证明进行验证，得到所述零知识证明的验证结果。

6.根据权利要求5所述的方法，其特征在于，所述同态加密公钥为Paillier同态加密公钥PK1，PK1为(n，g)，其中，n为第一安全素数p'和第二安全素数q'的乘积，g为n+1。

7.根据权利要求6所述的方法，其特征在于，所述同态加密公钥为Paillier同态加密公钥时，所述密文为(R，C)，其中，所述R为所述数字签名中的R值，所述C为根据第一随机数u和所述PK1对所述数字签名中的s值进行Paillier同态加密处理而得到的加密参数，所述第一随机数u和所述n的最大公约数为1。

8.根据权利要求7所述的方法，其特征在于，所述数字签名为曲线数字签名，所述零知识证明具体如下式：

其中，所述m为待签名消息，所述数字签名是对所述待签名消息进行签名处理而得到的；所述h(m)为所述待签名消息的哈希值，所述P为G的一个生成元，所述G为阶为素数q的椭圆曲线群，所述r_x为R的横坐标，所述Y为用于生成所述数字签名的公钥，所述ε为决定所述零知识证明的零知识性的参数，所述k为决定所述零知识证明的完备性的参数，所述lq是所述素数q的比特数。

9.根据权利要求5至8任一项所述的方法，其特征在于，所述方法还包括以下步骤：

所述验证结果为通过验证，且未收到所述加密方发送的所述数字签名时，向所述可信第三方发送解密请求，以请求所述可信第三方利用同态加密私钥对所述密文进行解密处理以得到所述数字签名，所述解密请求包括所述密文；

接收所述可信第三方发送的所述数字签名。

10.根据权利要求9所述的方法，其特征在于，所述解密请求还包括所述零知识证明。

11.一种解密方法，其特征在于，所述方法包括以下步骤：

接收来自验证方的解密请求，所述解密请求包括密文，所述密文为加密方利用同态加密公钥对数字签名进行加密处理而得到的；

响应所述解密请求，利用同态加密私钥对所述密文进行解密处理，得到所述数字签名；

向所述验证方发送所述数字签名。

12.根据权利要求11所述的方法，其特征在于，所述同态加密公钥为Paillier同态加密公钥PK1，PK1为(n，g)，其中，n为第一安全素数p'和第二安全素数q'的乘积，g为n+1。

13.根据权利要求12所述的方法，其特征在于，所述同态加密公钥为Paillier同态加密公钥时，所述密文为(R，C)，其中，R为所述数字签名中的R值，C为根据第一随机数u和PK1对所述数字签名中的s值进行Paillier同态加密处理而得到的加密参数，所述第一随机数u和n的最大公约数为1。

14.根据权利要求11至13任一项所述的方法，其特征在于，所述解密请求还包括零知识证明，所述零知识证明为所述加密方为证明所述密文所加密的明文为所述数字签名而根据所述密文生成的；

在利用所述同态加密私钥对所述密文进行解密处理之前，所述方法还包括以下步骤：

对所述零知识证明进行验证，得到所述零知识证明的验证结果；

所述验证结果为通过验证时，利用所述同态加密私钥对所述密文进行解密处理。

15.根据权利要求14所述的方法，其特征在于，所述数字签名为曲线数字签名，所述零知识证明具体如下式：

其中，m为待签名消息，所述数字签名是对所述待签名消息进行签名处理而得到的；h(m)为所述待签名消息的哈希值，P为G的一个生成元，G为阶为素数q的椭圆曲线群，r_x为R的横坐标，Y为用于生成所述数字签名的公钥，ε为决定所述零知识证明的零知识性的参数，k为决定所述零知识证明的完备性的参数，lq是所述素数q的比特数。

16.根据权利要求11至13任一项所述的方法，其特征在于，在向所述验证方发送所述数字签名之前，所述方法还包括以下步骤：

对所述数字签名进行有效性验证处理，得到签名验证结果，所述签名验证结果用于指示所述数字签名为有效签名或无效签名；

所述签名验证结果指示所述数字签名为有效签名时，向所述验证方发送所述数字签名。

17.一种解密方法，其特征在于，应用于第一解密设备，所述第一解密设备应用于解密系统，所述解密系统还包括M个第二解密设备，M为大于零的整数；所述第一解密设备、每个所述第二解密设备均持有从同态加密私钥拆分出的一个子私钥，且所述第一解密设备及每个所述第二解密设备持有的子私钥各不相同；所述方法包括以下步骤：

接收来自验证方的解密请求，所述解密请求包括密文，所述密文为加密方利用同态加密公钥对数字签名进行加密处理而得到的；

响应所述解密请求，利用所述解密系统中的至少两个解密设备所持有的子私钥对所述密文进行解密处理，得到所述数字签名；

向所述验证方发送所述数字签名。

18.根据权利要求17所述的方法，其特征在于，在接收所述解密请求之前，所述方法还包括以下步骤：

根据密钥分割算法对所述同态加密私钥进行拆分得到M+1个子私钥；

将M个子私钥分配给所述M个第二解密设备，所述M个子私钥为所述M+1个子私钥中除了所述第一解密设备持有的子私钥之外的子私钥。

19.根据权利要求18所述的方法，其特征在于，所述同态加密私钥为Paillier同态加密私钥，所述同态加密公钥为Paillier同态加密公钥PK1时；在接收所述解密请求之前，所述方法还包括以下步骤：

确定第一安全素数p'和第二安全素数q'；

根据所述第一安全素数p'和所述第二安全素数q'确定所述同态加密私钥和所述同态加密公钥，所述同态加密私钥为第一差值和第二差值之间的最小公倍数，所述第一差值为p'和1之间的差值，所述第二差值为q'和1之间的差值，所述同态加密公钥PK1为(n，g)，其中，n为第一安全素数p'和第二安全素数q'的乘积，g为n+1。

20.根据权利要求19所述的方法，其特征在于，所述M个第二解密设备为两个以上第二解密设备，所述至少两个子私钥为三个以上子私钥时，所述根据密钥分割算法对所述同态加密私钥进行拆分得到至少两个子私钥，包括以下步骤：

根据所述同态加密私钥和所述同态加密公钥确定衍生密钥d，所述衍生密钥d满足下式：(d modλ)＝0，且(d mod n)＝1，其中，λ为所述同态加密私钥，n为所述同态加密私钥中的n值，mod为求余函数；

根据秘密共享算法对所述衍生密钥d进行拆分得到所述三个以上子私钥。

21.根据权利要求19所述的方法，其特征在于，所述M个第二解密设备为一个第二解密设备，所述至少两个子私钥为两个子私钥时，所述根据密钥分割算法对所述同态加密私钥进行拆分得到至少两个子私钥，包括以下步骤：

根据所述同态加密私钥和所述同态加密公钥确定衍生密钥d，所述衍生密钥d满足下式：(d modλ)＝0，且(d mod n)＝1，其中，λ为所述同态加密私钥，n为所述同态加密私钥中的n值，mod为求余函数；

确定第二随机数α，α为小于d的整数；

将d和α的差值、α确定为所述两个子私钥。

22.根据权利要求20或21所述的方法，其特征在于，在将所述至少两个子私钥分配给所述第一解密设备和所述至少一个第二解密设备之后，所述方法还包括：

删除所述第一安全素数p'、所述第二安全素数q'、所述同态加密私钥和所述衍生密钥d。

23.根据权利要求17所述的方法，其特征在于，在接收所述解密请求之前，所述方法还包括以下步骤：

接收第三解密设备发送的子私钥，所述子私钥是所述第三解密设备从所述同态加密私钥拆分出的一个子私钥，所述第三解密设备为所述M个第二解密设备中的一个第二解密设备。

24.根据权利要求23所述的方法，其特征在于，所述第三解密设备从所述同态加密私钥拆分出的一个子私钥，具体为M+1个子私钥中除了所述第三解密设备持有的子私钥之外的任意一个子私钥，所述M+1个子私钥为所述第三解密设备根据密钥分割算法对所述同态加密私钥进行拆分而得到的。

25.根据权利要求17至24任一项所述的方法，其特征在于，所述解密请求还包括零知识证明，所述零知识证明为所述加密方为证明所述密文所加密的明文为所述数字签名而根据所述密文生成的；

在对所述密文进行解密处理之前，所述方法还包括以下步骤：

对所述零知识证明进行验证，得到所述零知识证明的验证结果；

所述验证结果为通过验证时，利用所述解密系统中的至少两个解密设备所持有的子私钥对所述密文进行解密处理。

26.根据权利要求25所述的方法，其特征在于，所述数字签名为曲线数字签名，所述零知识证明具体如下式：

其中，m为待签名消息，所述数字签名是对所述待签名消息进行签名处理而得到的；h(m)为所述待签名消息的哈希值，P为G的一个生成元，G为阶为素数q的椭圆曲线群，r_x为R的横坐标，Y为用于生成所述数字签名的公钥，ε为决定所述零知识证明的零知识性的参数，k为决定所述零知识证明的完备性的参数，lq是所述素数q的比特数。

27.根据权利要求17至24任一项所述的方法，其特征在于，在向所述验证方发送所述数字签名之前，所述方法还包括以下步骤：

对所述数字签名进行有效性验证处理，得到签名验证结果信息，所述签名验证结果信息用于指示所述数字签名为有效签名或无效签名；

所述签名验证结果信息指示所述数字签名为有效签名时，向所述验证方发送所述数字签名。

28.一种加密设备，其特征在于，所述设备包括：

处理模块，用于利用可信第三方确定的同态加密公钥对数字签名进行加密处理得到密文；

生成模块，用于根据所述密文生成零知识证明，所述零知识证明用于证明所述密文所加密的明文为所述数字签名；

提供模块，用于提供所述密文和所述零知识证明给验证方。

29.一种加密签名处理装置，其特征在于，所述装置包括：

获取模块，用于获取密文和零知识证明，所述密文为加密方利用可信第三方确定的同态加密公钥对数字签名进行加密处理而得到的，所述零知识证明为所述加密方为证明所述密文所加密的明文为所述数字签名而根据所述密文生成的；

验证模块，用于对所述零知识证明进行验证，得到所述零知识证明的验证结果。

30.一种解密设备，其特征在于，所述设备包括：

接收模块，用于接收来自验证方的解密请求，所述解密请求包括密文，所述密文为加密方利用同态加密公钥对数字签名进行加密处理而得到的；

解密模块，用于响应所述解密请求，利用同态加密私钥对所述密文进行解密处理，得到所述数字签名；

发送模块，用于向所述验证方发送所述数字签名。

31.一种第一解密设备，其特征在于，所述第一解密设备应用于解密系统，所述解密系统还包括M个第二解密设备，M为大于零的整数；所述第一解密设备、每个所述第二解密设备均持有从同态加密私钥拆分出的一个子私钥，且所述第一解密设备及每个所述第二解密设备持有的子私钥各不相同；所述第一解密设备包括：

接收模块，用于接收来自验证方的解密请求，所述解密请求包括密文，所述密文为加密方利用同态加密公钥对数字签名进行加密处理而得到的；

解密模块，用于响应所述解密请求，利用所述解密系统中的至少两个解密设备所持有的子私钥对所述密文进行解密处理，得到所述数字签名；

发送模块，用于向所述验证方发送所述数字签名。

32.一种电子设备，其特征在于，包括处理器和存储器，其中，处理器和存储器相连，其中，存储器用于存储程序代码，处理器用于调用程序代码，以执行如权利要求1至4任一项所述的加密方法，或者，执行如权利要求5至10任一项所述的加密签名处理方法，或者，执行如权利要求11至16任一项所述的解密方法，或者，执行如权利要求17至27任一项所述的解密方法。

33.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行以实现如权利要求1至4任一项所述的加密方法，或者，实现如权利要求5至10任一项所述的加密签名处理方法，或者，实现如权利要求11至16任一项所述的解密方法，或者，实现如权利要求17至27任一项所述的解密方法。

34.一种包含指令的计算机程序产品，其特征在于，当所述计算机程序产品在计算机上运行时，使得计算机执行如权利要求1至4任一项所述的加密方法，或者，执行如权利要求5至10任一项所述的加密签名处理方法，或者，执行如权利要求11至16任一项所述的解密方法，或者，执行如权利要求17至27任一项所述的解密方法。

Images