WO2020000254A1

WO2020000254A1 - 一种标准模型下的紧凑环签名方法及系统

Info

Publication number: WO2020000254A1
Application number: PCT/CN2018/093102
Authority: WO
Inventors: 张鹏; 任浩
Original assignee: 深圳大学
Priority date: 2018-06-27
Filing date: 2018-06-27
Publication date: 2020-01-02

Abstract

本发明适用于数字加密技术领域，提供了一种标准模型下的紧凑环签名方法，包括：获取安全参数，生成验证签名密钥、第一随机数、可编程哈希函数公钥和验证密钥，获取环、签名密钥、消息和若干第二随机数，根据签名密钥和第二随机数生成再随机化签名密钥和对应的再随机化验证密钥，计算签名中间值并知识论证，得到签名，在进行知识论证时，对生成论证中间值求积，得到乘积值后获取签名；获取环、消息和签名，计算签名中间值并进行知识论证的验证，再判断两个双线性对运算的输出是否相等，若相等，则签名有效。本发明实施例通过对知识论证部分进行优化，从而使签名的长度缩短了将近一半，同时，可以使签名验证过程中的双线性对计算次数减少将近一半。

Description

一种标准模型下的紧凑环签名方法及系统

技术领域

本发明属于数字加密技术领域，尤其涉及一种标准模型下的紧凑环签名方法及系统。

背景技术

环签名是一种数字签名，它可以使一个用户利用自己的私钥代表一个用户群体对某个信息进行签名，从而不会泄露签名者的身份，使数字签名具有匿名性。

在环签名的发展过程中，绝大多数的环签名都是基于随机预言机模型(Random Oracle Model，ROM)和公共参考字符串模型(Common Reference String，CRS)。2017年，为了提高环签名的安全性，Molavolta等人提出一种高效的标准模型(Standard Model)下的环签名方案。

该方案很好的解决了环签名的安全性问题，但是存在环签名的签名过大，环签名的验证时间长的问题。

发明内容

本发明所要解决的技术问题在于提供一种标准模型下的紧凑环签名方法及系统，旨在解决现有技术在进行环签名时，存在环签名的签名过大，环签名的验证时间长的问题。

本发明是这样实现的，一种标准模型下的紧凑环签名方法，包括：

步骤A，获取安全参数，生成验证签名密钥、第一随机数、可编程哈希函数公钥和验证密钥；

步骤B，获取环、签名密钥、消息和若干第二随机数，根据所述签名密钥和所述第二随机数生成再随机化签名密钥和对应的再随机化验证密钥，计算签名中间值，根据所述签名中间值进行第一知识论证和第二知识论证，得到签名，其中，在进行知识论证时，对生成的论证中间值求积，得到乘积值，并根据所述乘积值获取所述签名；

步骤C，获取所述环、所述消息和所述签名，计算签名中间值，根据计算得到的签名中间值进行第一知识论证和第二知识论证的验证，在完成验证后，判断两个双线性对运算的输出是否相等，若相等，则所述签名有效，若不相等，则所述签名无效。

进一步地，在步骤A中，所述安全系数以λ表示，所述验证密钥vk包含z、k、C三个元素，

其中，x表示所述验证签名密钥，β表示所述第一随机数，k表示所述可编程哈希函数公钥，g ₁、g ₂为循环群的生成元。

进一步地，在步骤B中，所述环以R＝{vk _i} _i∈n表示，所述签名密钥以sk _j表示，所述消息以m表示，所述第二随机数以s,ρ,δ表示，所述再随机化签名密钥以sk' _j表示，所述再随机化验证密钥以z' _j表示，所述签名中间值包括c _i、c和y，则：

sk' _j＝sk _j+ρ，

c _i＝φ(Heval(k _i,m||R))，c＝Heval(k _j,m||R)，

其中，Heval表示可编程哈希函数，φ表示双线性配对的同态；

所述乘积值以Q表示，所述根据签名中间值进行第一知识论证和第二知识论证，得到签名包括：

进行第一次知识论证：计算T＝П _i∈nC _i，对于i∈n\j，生成随机数t _i，计算

和

计算T _j＝T·(П _i∈n\jT _i) ^-1，

Q＝∑ _i∈nQ _i，得到π ₁＝(Q,{T _i} _i∈n)；

进行第二次知识论证：计算T＝П _i∈nC _i，对于i∈n\j，生成随机数t _i，计算

和

计算T _j＝T·(П _i∈n\jT _i) ^-1，

Q＝∑ _i∈nQ _i，得到π ₂＝(Q,{T _i} _i∈n)；

最后，得到签名σ＝(π ₁,π ₂,c,y,s,z')。

进一步地，所述步骤C包括：

步骤C1，获取所述环R＝{vk _i} _i∈n，消息m和签名σ，计算c _i＝φ(Heval(k _i,m||R))；

步骤C2，验证第一个知识论证：计算T＝П _i∈nC _i，验证T＝П _i∈nT _i和双线性配对

是否成立，如果成立，通过验证，否则拒绝，其中，e表示双线性对运算；

步骤C3，验证第二个知识论证：计算T＝П _i∈nC _i，验证T＝П _i∈nT _i和e(Q,g ₂)＝П _i∈ne(c _i,T _i)是否成立，如果成立，通过验证，否则拒绝；

步骤C4，验证两个知识论证后，判断两个双线性对运算的输出

是否成立，如果成立，签名有效，否则签名无效。

本发明实施例还提供了一种标准模型下的紧凑环签名系统，包括：

获取单元，用于获取安全参数，生成验证签名密钥、第一随机数、可编程哈希函数公钥和验证密钥；

签名单元，用于获取环、签名密钥、消息和若干第二随机数，根据所述签名密钥和所述第二随机数生成再随机化签名密钥和对应的再随机化验证密钥，计算签名中间值，根据所述签名中间值进行第一知识论证和第二知识论证，得到签名，其中，在进行知识论证时，对生成的论证中间值求积，得到乘积值，并根据所述乘积值获取所述签名；

验证单元，用于获取所述环、所述消息和所述签名，计算签名中间值，根据计算得到的签名中间值进行第一知识论证和第二知识论证的验证，在完成验证后，判断两个双线性对运算的输出是否相等，若相等，则所述签名有效，若不相等，则所述签名无效。

进一步地，所述安全系数以λ表示，所述验证密钥vk包含z、k、C三个元素，

进一步地，所述环以R＝{vk _i} _i∈n表示，所述签名密钥以sk _j表示，所述消息以 m表示，所述第二随机数以s,ρ,δ表示，所述再随机化签名密钥以sk' _j表示，所述再随机化验证密钥以z' _j表示，所述签名中间值包括c _i、c和y，则：

sk' _j＝sk _j+ρ，

c _i＝φ(Heval(k _i,m||R))，c＝Heval(k _j,m||R)，

其中，Heval表示可编程哈希函数，φ表示双线性配对的同态；

所述乘积值以Q表示，所述签名单元具体用于：

和

计算T _j＝T·(П _i∈n\jT _i) ^-1，

Q＝∑ _i∈nQ _i，得到π ₁＝(Q,{T _i} _i∈n)；

和

计算T _j＝T·(П _i∈n\jT _i) ^-1，

Q＝∑ _i∈nQ _i，得到π2＝(Q,{T _i} _i∈n)；

最后，得到签名σ＝(π ₁,π ₂,c,y,s,z')。

进一步地，验证单元具体用于：

首先，获取所述环R＝{vk _i} _i∈n，消息m和签名σ，计算c _i＝φ(Heval(k _i,m||R))；

接着，验证第一个知识论证：计算T＝П _i∈nC _i，验证T＝П _i∈nT _i和双线性配对

其次，验证第二个知识论证：计算T＝П _i∈nC _i，验证T＝П _i∈nT _i和e(Q,g ₂)＝П _i∈ne(c _i,T _i)是否成立，如果成立，通过验证，否则拒绝；

最后，验证两个知识论证后，判断两个双线性对运算的输出

是否成立，如果成立，签名有效，否则签名无效。

本发明与现有技术相比，有益效果在于：本发明实施例通过获取安全参数，生成验证签名密钥、第一随机数、可编程哈希函数公钥和验证密钥，并获取环、签名密钥、消息和若干第二随机数，根据该签名密钥和该第二随机数生成再随机化签名密钥和对应的再随机化验证密钥，计算c _i、c和y，根据c _i进行第一知识论证和第二知识论证，得到签名，其中，在进行知识论证时，对生成的Q _i求积，得到Q，并根据得到的Q获取该签名，最后获取所述环、所述消息和所述签名，计算c _i，根据计算的c _i进行第一知识论证和第二知识论证的验证，在完成验证后，判断

是否成立，若成立，则所述签名有效，若不成立，则所述签名无效。本发明实施例通过对知识论证部分进行优化，将知识论证中生成的Q _i求积，得到Q，从而使签名的长度缩短了将近一半，同时，在验证知识论证时，修改对应的双线性配对公式，可以使签名验证过程中的双线性对计算次数减少将近一半，本发明时实施例大大提高了现有技术进行环签名的效率，并未以降低环签名的安全性为代价。

附图说明

图1是本发明实施例提供的一种标准模型下的紧凑环签名方法的流程图；

图2是本发明实施例提供的一种标准模型下的紧凑环签名系统的结构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

图1示出了本发明实施例提供的一种标准模型下的紧凑环签名方法，包括：

S101，获取安全参数，生成验证签名密钥、第一随机数、可编程哈希函数公钥和验证密钥；

S102，获取环、签名密钥、消息和若干第二随机数，根据所述签名密钥和所述第二随机数生成再随机化签名密钥和对应的再随机化验证密钥，计算签名中间值，根据所述签名中间值进行第一知识论证和第二知识论证，得到签名，其中，在进行知识论证时，对生成的论证中间值求积，得到乘积值，并根据所述乘积值获取所述签名；

S103，获取所述环、所述消息和所述签名，计算签名中间值，根据计算得到的签名中间值进行第一知识论证和第二知识论证的验证，在完成验证后，判断两个双线性对运算的输出是否相等，若相等，则所述签名有效，若不相等，则所述签名无效。

下面对本发明实施例进行进一步地阐述：

Gen：输入安全参数λ，用户生成验证签名密钥x，随机数β，可编程哈希函数公钥k，生成对应的验证密钥vk，它包含三个元素：

k，

其中g ₁、g ₂为循环群的生成元。

Sig：输入环R＝{vk _i} _i∈n，签名密钥sk _j，消息m，生成3个随机数s,ρ,δ，生成再随机化签名密钥sk' _j＝sk _j+ρ和对应的再随机化验证密钥

计算c _i＝φ(Heval(k _i,m||R))，c＝Heval(k _j,m||R)，其中Heval为可编程哈希函数，φ为双线性配对的同态，计算

和

计算T _j＝T·(П _i∈n\jT _i) ^-1，

Q＝∑ _i∈nQ _i，输出π ₁＝(Q,{T _i} _i∈n),C表示验证公钥的一部分，c表示哈希值的输出。

和

计算T _j＝T·(П _i∈n\jT _i) ^-1，

Q＝∑ _i∈nQ _i，得到π ₂＝(Q,{T _i} _i∈n)；

最后，输出签名σ＝(π ₁,π ₂,c,y,s,z')。

Verify：输入R＝{vk _i} _i∈n，消息m和签名σ，验证者计算c _i＝φ(Heval(k _i,m||R))；

验证第一个知识论证：计算T＝П _i∈nC _i，验证T＝П _i∈nT _i和双线性配对

是否成立，如果成立，通过验证，否则拒绝；

验证第二个知识论证：计算T＝П _i∈nC _i，验证T＝П _i∈nT _i和e(Q,g ₂)＝П _i∈ne(c _i,T _i)是否成立，如果成立，通过验证，否则拒绝。

验证两个知识论证后，验证

如果成立，签名有效，否则签名无效。

在上述步骤中，未声明的变量均为中间参数，无实际意义，在本实施例中，以中间值进行阐述。在两次知识论证中都会对Q _i进行求积，Q为知识论证生成的论证的一部分，需要声明的是，在本实施例中，两次知识论证生成的论证中的Q和T _i是不相同的，但是为了表述方便，在本实施例中均使用同一参数进行表示。

本本发明实施例通过对知识论证部分进行优化，将知识论证中生成的Q _i求积，得到Q，从而使签名的长度缩短了将近一半，同时，在验证知识论证时，修改对应的双线性配对公式，可以使签名验证过程中的双线性对计算次数减少将近一半。本发明实施例大大提高了原方案的效率，并未以降低环签名的安全性为代价。

图2示出了本发明实施例提供的一种标准模型下的紧凑环签名系统，包括：

获取单元201，用于获取安全参数，生成验证签名密钥、第一随机数、可编程哈希函数公钥和验证密钥；

签名单元202，用于获取环、签名密钥、消息和若干第二随机数，根据所述签名密钥和所述第二随机数生成再随机化签名密钥和对应的再随机化验证密钥，计算签名中间值，根据所述签名中间值进行第一知识论证和第二知识论证，得到签名，其中，在进行知识论证时，对生成的论证中间值求积，得到乘积值，并根据所述乘积值获取所述签名；

验证单元203，用于获取所述环、所述消息和所述签名，计算签名中间值，根据计算得到的签名中间值进行第一知识论证和第二知识论证的验证，在完成验证后，判断两个双线性对运算的输出是否相等，若相等，则所述签名有效，若不相等，则所述签名无效。

进一步地，所述环以R＝{vk _i} _i∈n表示，所述签名密钥以sk _j表示，所述消息以m表示，所述第二随机数以s,ρ,δ表示，所述再随机化签名密钥以sk' _j表示，所述再随机化验证密钥以z' _j表示，所述签名中间值包括c _i、c和y，则：

sk' _j＝sk _j+ρ，

c _i＝φ(Heval(k _i,m||R))，c＝Heval(k _j,m||R)，

其中，Heval表示可编程哈希函数，φ表示双线性配对的同态；

所述乘积值以Q表示，签名单元202具体用于：

和

计算T _j＝T·(П _i∈n\jT _i) ^-1，

Q＝∑ _i∈nQ _i，得到π ₁＝(Q,{T _i} _i∈n)；

和

计算T _j＝T·(П _i∈n\jT _i) ^-1，

Q＝∑ _i∈nQ _i，得到π ₂＝(Q,{T _i} _i∈n)；

最后，得到签名σ＝(π ₁,π ₂,c,y,s,z')。

进一步地，验证单元203具体用于：

最后，验证两个知识论证后，判断

是否成立，如果成立，签名有效，否则签名无效。

本发明实施例还提供了一种终端，包括存储器、处理器及存储在存储器上且在处理器上运行的计算机程序，其特征在于，处理器执行计算机程序时，实现如图1所示的标准模型下的紧凑环签名方法中的各个步骤。

本发明实施例中还提供一种可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时，实现如图1所示的标准模型下的紧凑环签名方法中的各个步骤。

另外，在本发明各个实施例中的各功能模块可以集成在一个处理模块中，也可以是各个模块单独物理存在，也可以两个或两个以上模块集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。

所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims

一种标准模型下的紧凑环签名方法，其特征在于，包括：

步骤A，获取安全参数，生成验证签名密钥、第一随机数、可编程哈希函数公钥和验证密钥；

步骤B，获取环、签名密钥、消息和若干第二随机数，根据所述签名密钥和所述第二随机数生成再随机化签名密钥和对应的再随机化验证密钥，计算签名中间值，根据所述签名中间值进行第一知识论证和第二知识论证，得到签名，其中，在进行知识论证时，对生成的论证中间值求积，得到乘积值，并根据所述乘积值获取所述签名；

步骤C，获取所述环、所述消息和所述签名，计算签名中间值，根据计算得到的签名中间值进行第一知识论证和第二知识论证的验证，在完成验证后，判断两个双线性对运算的输出是否相等，若相等，则所述签名有效，若不相等，则所述签名无效。
如权利要求1所述的紧凑环签名方法，其特征在于，在步骤A中，所述安全系数以λ表示，所述验证密钥vk包含z、k、C三个元素，
其中，x表示所述验证签名密钥，β表示所述第一随机数，k表示所述可编程哈希函数公钥，g ₁、g ₂为循环群的生成元。
如权利要求2所述的紧凑环签名方法，其特征在于，在步骤B中，所述环以R＝{vk _i} _i∈n表示，所述签名密钥以sk _j表示，所述消息以m表示，所述第二随机数以s，ρ，δ表示，所述再随机化签名密钥以sk′ _j表示，所述再随机化验证密钥以z′ _j表示，所述签名中间值包括c _i、c和y，则：

sk′ _j＝sk _j+ρ，

c _i＝φ(Heval(k _i，m||R))，c＝Heval(k _j，m||R)，
其中，Heval表示可编程哈希函数，φ表示双线性配对的同态；

所述乘积值以Q表示，所述根据签名中间值进行第一知识论证和第二知识论证，得到签名包括：

进行第一次知识论证：计算T＝∏ _i∈nC _i，对于i∈n\j，生成随机数t _i，计算
和
计算T _j＝T·(∏ _i∈n\jT _i) ^-1，Q _j∈φ(T _i ^ρ)，Q＝∑ _i∈nQ _i，得到π ₁＝(Q，{T _i} _i∈n)；

进行第二次知识论证：计算T＝∏ _i∈nC _i，对于i∈n\j，生成随机数t _i，计算
和
计算T _j＝T·(∏ _i∈n\jT _i) ^-1，
Q＝∑ _i∈nQ _i，得到π ₂＝(Q，{T _i} _i∈n)；

最后，得到签名σ＝(π ₁，π ₂，c，y，s，z′)。
如权利要求3所述的紧凑环签名方法，其特征在于，所述步骤C包括：

步骤C1，获取所述环R＝{vk _i} _i∈n，消息m和签名σ，计算c _i＝φ(Heval(k _i，m||R))；

步骤C2，验证第一个知识论证：计算T＝∏ _i∈nC _i，验证T＝∏ _i∈nT _i和双线性配对
是否成立，如果成立，通过验证，否则拒绝，其中，e表示双线性对运算；

步骤C3，验证第二个知识论证：计算T＝∏ _i∈nC _i，验证T＝∏ _i∈nT _i和e(Q，g ₂)＝∏ _i∈ne(c _i，T _i)是否成立，如果成立，通过验证，否则拒绝；

步骤C4，验证两个知识论证后，判断两个双线性对运算的输出
是否成立，如果成立，签名有效，否则签名无效。
一种标准模型下的紧凑环签名系统，其特征在于，包括：

获取单元，用于获取安全参数，生成验证签名密钥、第一随机数、可编程哈希函数公钥和验证密钥；

签名单元，用于获取环、签名密钥、消息和若干第二随机数，根据所述签名密钥和所述第二随机数生成再随机化签名密钥和对应的再随机化验证密钥，计算签名中间值，根据所述签名中间值进行第一知识论证和第二知识论证，得到签名，其中，在进行知识论证时，对生成的论证中间值求积，得到乘积值，并根据所述乘积值获取所述签名；

验证单元，用于获取所述环、所述消息和所述签名，计算签名中间值，根据计算得到的签名中间值进行第一知识论证和第二知识论证的验证，在完成验证后，判断两个双线性对运算的输出是否相等，若相等，则所述签名有效，若不相等，则所述签名无效。
如权利要求5所述的紧凑环签名系统，其特征在于，所述安全系数以λ表示，所述验证密钥vk包含z、k、C三个元素，
其中，x表示所述验证签名密钥，β表示所述第一随机数，k表示所述可编程哈希函数公钥，g ₁、g ₂为循环群的生成元。
如权利要求6所述的紧凑环签名系统，其特征在于，所述环以R＝{vk _i} _i∈n表示，所述签名密钥以sk _j表示，所述消息以m表示，所述第二随机数以s，ρ，δ表示，所述再随机化签名密钥以sk′ _j表示，所述再随机化验证密钥以z′ _j表示，所述签名中间值包括c _i、c和y，则：

sk′ _j＝sk _j+ρ，

c _i＝φ(Heval(k _i，m||R))，c＝Heval(k _j，m||R)，
其中，Heval表示可编程哈希函数，φ表示双线性配对的同态；

所述乘积值以Q表示，所述签名单元具体用于：

进行第一次知识论证：计算T＝∏ _i∈nC _i，对于i∈n\j，生成随机数t _i，计算
和
计算T _j＝T·(∏ _i∈n\jT _i) ^-1，Q _j∈φ(T _i ^ρ)，Q＝∑ _i∈nQ _i，得到π ₁＝(Q，{T _i} _i∈n)；

进行第二次知识论证：计算T＝∏ _i∈nC _i，对于i∈n\j，生成随机数t _i，计算
和
计算T _j＝T·(∏ _i∈n\jT _i) ^-1，
Q＝∑ _i∈nQ _i，得到π ₂＝(Q，{T _i} _i∈n)；

最后，得到签名σ＝(π ₁，π ₂，c，y，s，z′)。
如权利要求7所述的紧凑环签名系统，其特征在于，验证单元具体用于：

首先，获取所述环R＝{vk _i} _i∈n，消息m和签名σ，计算c _i＝φ(Heval(k _i，m||R))；

接着，验证第一个知识论证：计算T＝∏ _i∈nC _i，验证T＝∏ _i∈nT _i和双线性配对
是否成立，如果成立，通过验证，否则拒绝，其中，e表示双线性对运算；

其次，验证第二个知识论证：计算T＝∏ _i∈nC _i，验证T＝∏ _i∈nT _i和e(Q，g ₂)＝∏ _i∈ne(c _i，T _i)是否成立，如果成立，通过验证，否则拒绝；

最后，验证两个知识论证后，判断两个双线性对运算的输出
是否成立，如果成立，签名有效，否则签名无效。