CN103929305A - Sm2签名算法的实现方法 - Google Patents

Abstract

本发明公开了一种SM2签名算法的实现方法，包括如下步骤：步骤一，将基点G从维尔斯特拉斯形式映射到蒙哥马利形式；步骤二，置步骤三,计算步骤四，选取随机数k∈[1，n-1];步骤五，在蒙哥马利形式下作kG，令其为(x₁，y₁），并将x₁转化为整数；步骤六，计算r←(e+x₁)modn，如果r＝m或r+k＝n则返回步骤四；步骤七，计算s←((1+d_A)^-1*(k-r*d_A))modn，如果s＝0则返回步骤四；步骤八，返回数字签名(r，s)。本发明能使SM2签名算法方案在计算过程中节省存储空间。

Description

SM2签名算法的实现方法

技术领域

本发明涉及密码学领域，特别是涉及一种SM2签名算法的实现方法。

背景技术

国家密码管理局在2010年12月份公布了《SM2椭圆曲线公钥密码算法》，SM2算法本质上是一种椭圆曲线算法(ECC)，在细节上，SM2算法规定了签名、验证、密钥交换等具体细节。

SM2签名算法是一种椭圆曲线数字认证方法，可以对数据来源的确认，保证签名者不可抵赖。

椭圆曲线蒙哥马利(Montgomery)形式为E_M：By²＝x³+Ax+x，在这种形式下，点加运算与倍点运算是不需要y坐标的；而在椭圆曲线维尔斯特拉斯(Weierstrass)形式E：y²＝x³+ax+b，点加运算与倍点运算是需要加入y坐标的；其缺点是运算时会占用大量存储空间。

发明内容

本发明要解决的技术问题是提供一种SM2签名算法的实现方法，可以减少运算的存储空间。

为解决上述技术问题，本发明的SM2签名算法的实现方法，包括如下步骤：

步骤一，将基点G从维尔斯特拉斯形式映射到蒙哥马利形式；

步骤二，置其中，Z_A是用户杂凑值，M是信息，←是赋值符号；

步骤三，计算其中H(x)为杂凑函数；

步骤四，选取随机数k∈[1，n-1]；

步骤五，在蒙哥马利形式下作kG，令其为(x₁，y₁)，并将x₁转化为整数；

步骤六，计算r←(e+x₁)mod n，如果r＝0或r+k＝n，则返回步骤四；

步骤七，计算s←((1+d_A)^-1*(k-r*d_A))mod n，如果s＝0，则返回步骤四，其中d_A是用户私钥；

步骤八，返回数字签名(r，s)。

本发明将SM2签名算法从维尔斯特拉斯形式映射到蒙哥马利形式再生成生成签名对(r，s)，因为蒙哥马利形式下，椭圆曲线的点加运算与倍点运算都不需要y坐标，可以极大减少运算时的存储空间。

附图说明

下面结合附图与具体实施方式对本发明作进一步详细的说明：

图1是所述SM2签名算法的实现方法的流程图；

图2是计算kG＝(x₁，y₁)的流程图。

具体实施方式

本发明从传统的椭圆曲线维尔斯特拉斯形式出发，转化为蒙哥马利形式，再进行签名。结合图1所示，所述SM2签名算法的实现方法，输入参数为椭圆曲线参数，Z_A，M，P_A，d_A，其中Z_A是用户杂凑值，M是信息，P_A是用户公钥，d_A是用户私钥，包括如下步骤：

步骤一，将基点G从维尔斯特拉斯形式映射到蒙哥马利形式；

步骤二，置 $\stackrel{\‾}{M}\←Z_A\left|\right|M;$

步骤三，计算其中，H(x)为杂凑函数；

步骤四，选取随机数k∈[1，n-1]；

步骤五，在蒙哥马利形式下作kG＝(x₁，y₁)，并将x₁转化为整数；

步骤六，计算r←(e+x₁)mod n，如果r＝0或r+k＝n则返回步骤四；

步骤七，计算s←((1+d_A)^-1*(k-r*d_A))mod n，如果s＝0则返回步骤四；

步骤八，返回数字签名(r，s)。

上述各步骤中的运算都是在蒙哥马利(Montgomery)形式下进行的。

在步骤一中，将基点G从维尔斯特拉斯形式映射到蒙哥马利形式还需要满足特定条件：

椭圆曲线维尔斯特拉斯形式E：y²＝x³+ax+b，在有限域F_P中x³+ax+b＝0有根，设为α，同时3α²+a是p的二次剩余。

则令 $s=\frac{1}{\sqrt{{3\mathrm{\α}}^2+a}},$ 再进行坐标变换 $(x,y)\→(\frac{x}{s}+a,\frac{y}{s}),$ 维尔斯特拉斯形式E：y²＝x³+ax+b就可映射到蒙哥马利形式E_M：By²＝x³+Ax+x上，其中B＝s，A＝3αs。

所述步骤五中，通过调用以下步骤的算法来计算kG＝(x₁，y₁)：

步骤(1)，输入整数k以及G＝(x∶y∶1)；

步骤(2)，计算2G＝(x′∶y′∶z′)；

步骤(3)，G′←2G；

步骤(4)，把整数k展开成二进制形式其中k_s-1＝1；

步骤(5)，从i＝s-2到i＝0循环：

步骤(6)，若k_i＝0，Q′←G′+G，Q←2G，若k_i＝1，Q←G′+G，Q′←2G′；

步骤(7)，G′←Q′，G←Q；

步骤(8)，i←i-1；

步骤(9)，循环结束后，输出点G；

最后，点G的值就等于所求的kG。

而其余步骤即是生成签名对(r，s)了。

所述步骤(6)点加运算与倍点运算是在蒙哥马利形式下完成，即曲线形式为E_M：By²＝x³+Ax+x。所用具体运算公式如下：

点加运算：

X_2m+1＝Z₁((X_m+1-Z_m+1)(X_m+Z_m)+(X_m+1+Z_m+1)(X_m-Z_m))²

Z_2m+1＝X₁((X_m+1-Z_m+1)(X_m+Z_m)-(X_m+1+Z_m+1)(X_m-Z_m))²

2倍点运算：

X_2m＝(X_m+Z_m)²(X_m-Z_m)²

$Z_{2m}={4X}_m{Z}_m({(X_m-Z_m)}^2+\left(\frac{A+2}{4}\right)\left({4X}_m{Z}_m\right)).$

其中，X₁代表基点的X坐标，Z₁代表基点的Z坐标，X_m代表第m点的X坐标，Z_m代表第m点的Z坐标。

下面是一实施例：

选取取素数p＝2¹⁹²-2⁶⁴-1，建立有限域F_p，对于维尔斯特拉斯形式椭圆曲线E(F_p)：y²＝x³+ax+b，其中：

a＝0x6A57BA7CC7CA8D851ACBB58340EB80F0E8372EF409A67DDA

b＝0x6C681624BCF461FAB96DE16AA545D775E66382F2CEC977CA

α＝0xA4413AD3EF0CF90F91DF3FDBB089DC51876087BA609E7664

满足α³+aα+b＝0，且3α²+a是p的二次剩余。选取

G＝(3723481753107750329954291279722628310934794503609274117335，3421269078914524233454629061344498304474827601428643254921，1)，令就转化成了蒙哥马利曲线形式，其X坐标

X＝3860313548999787338078427342307244695792884328213221870944，

和Z坐标Z＝1，

设k＝179＝1*2⁰+1*2¹+0*2²+0*2³+1*2⁴+1*2⁵+0*2⁶+1*2⁷则kG计算如下：

ki	k7	k6	k5	k4	k3	k2	k1	k0
									179	1	0	1	1	0	0	1	1

Q

G

2G

5G

11G

22G

44G

89G

1 79G

Q′

2G

3G

6G

12G

23G

45G

90G

1 80G

可见179P即为所求。其X坐标，Z坐标的值如下：

X＝620772673523943864697586076752183162272170717129942472090

Z＝154061983259894946655828807576947185385080422622278501903。

于是x₁＝X/Z。之后生成签名对的(r，s)的步骤也就是在蒙哥马利形式下进行的，也是可行的。同时验签过程也一样，这样就可不计算y坐标，从而节省了存储空间。

以上通过具体实施方式和实施例，对本发明进行了详细的说明，但本发明的保护范围不限于所述的实施方式和实施例。在不脱离本发明原理的情况下，本领域技术人员还可做出许多变形和改进，这些也应视为本发明的保护范围。

Claims (4)

1.一种SM2签名算法的实现方法，其特征在于，包括如下步骤：

步骤一，将基点G从维尔斯特拉斯形式映射到蒙哥马利形式；

步骤二，置其中，Z_A是用户杂凑值，M是信息，←是赋值符号；

步骤三，计算其中H（x)为杂凑函数；

步骤四，选取随机数k∈[1，n-1]，其中n为点G的阶；

步骤五，在蒙哥马利形式下作kG，令其为(x₁，y₁)，并将x₁转化为整数；

步骤六，计算r←(e+x₁)modn，如果r＝0或r+k＝n，则返回步骤四；”

步骤七，计算s←((1+d_A)^-1*(k-r*d_A))modn，如果s＝0，则返回步骤四，其中d_A是用户私钥，*表示乘号；

步骤八，返回数字签名(r，s)。

2.如权利要求1所述的方法，其特征在于：各步骤中的运算都是在蒙哥马利形式下进行的。

3.如权利要求1所述的方法，其特征在于：实施步骤五时，通过以下方法计算kG＝（x₁，y₁)；

步骤（1），输入整数k以及G＝（x∶y∶1)；

步骤（2），计算2G＝（x′∶y′∶z′）;

步骤（3），G′←2G；

步骤（4），把整数k展开成二进制形式其中k_s-1＝1；

步骤（5），从i=s-2到i=0循环：

步骤（6），若k_i＝W，Q′←G′+G，Q←2G，若k_i＝1，Q←G′+G，Q′←2G′;

步骤（7），G′←Q′，G←Q；

步骤（8），i←i-1；

步骤（9），循环结束后，输出点G；

最后，点G的值就等于所求的kG。

4.如权利要求3所述的方法，其特征在于：所述步骤（6）中的点加运算与倍点运算是在蒙哥马利形式下完成的，即曲线形式为E_M∶Ey²＝X³+Ax+x；B，A为椭圆曲线参数，其中：

点加运算按如下公式计算：

X_2m+1＝Z₁((X_m+1-Z_m+1)(X_m+Z_m)+(X_m+1+Z_m+1)(X_m-Z_m))²，

Z_2m+1＝X₁((X_m+1-Z_m+1)(X_m+Z_m)-(X_m+1+Z_m+1)(X_m-Z_m))²

2倍点运算按如下公式计算：

X_2m＝(X_m十Z_m)·²(X_m-Z_m)²

$Z_{2m}={4X}_m{Z}_m({(X_m-Z_m)}^2+\left(\frac{A+2}{4}\right)\left({4X}_m{Z}_m\right));$

其中，X₁代表基点G的X坐标，Z₁代表基点G的Z坐标，X_m代表第m点的X坐标，Z_m代表第m点的Z坐标。