CN104243456A

CN104243456A - 适用于云计算的基于sm2算法的签名及解密方法和***

Info

Publication number: CN104243456A
Application number: CN201410437599.5A
Authority: CN
Inventors: 林璟锵; 马原; 荆继武; 王琼霄; 雷灵光; 蔡权伟; 王雷
Original assignee: Institute of Information Engineering of CAS
Current assignee: Institute of Information Engineering of CAS
Priority date: 2014-08-29
Filing date: 2014-08-29
Publication date: 2014-12-24
Anticipated expiration: 2034-08-29
Also published as: CN104243456B

Abstract

本发明公开了适用于云计算的基于SM2算法的签名及解密方法和***。具体地，可在通信双方分别存储部分私钥，两方联合才能对消息进行签名或解密等操作，通信双方均无法获取到对方私钥的任何信息，因此攻击者在入侵其中任何一方的情况下，都不能伪造签名或解密密文，从而提高了云计算环境中的私钥的安全性；而且，签名过程和解密过程中，通信双方仅需要进行很少的交互，从而能够满足云计算环境中低延迟、少交互的应用需求。

Description

适用于云计算的基于SM2算法的签名及解密方法和***

技术领域

本发明涉及密码领域，特别涉及适用于云计算的基于SM2算法的签名及解密方法和***。

背景技术

目前，基于公钥密码学的数字签名和加解密技术已经广泛应用在电子商务、身份认证等应用中，成为保证信息安全的重要工具，而私钥的安全性及使用是保证这些应用安全的基础。

在云计算环境中，主要的资源向服务器端聚集，客户端通常以弱终端的形式存在，如智能手机等，这类弱终端通常以软件的形式存储和使用私钥，因此安全防护能力较差。比如，如果私钥完整的存储在智能手机的单个文件中，那么攻击者通过权限提升则可获得私钥，另外，如果私钥完整的出现在每次的签名计算过程中，那么攻击者则可以有很多方式将其从智能手机内存中导出。

为了提高私钥的安全性，现有技术中提出了一种称为门限密码学的算法，即将私钥进行拆分并分布在不同的物理设备中，以避免全部私钥信息的直接存储和使用。比如，一个(t，n)的门限签名方案中，私钥可分布在n个成员中，t个或t个以上成员可以合作完全签名，而小于t个成员时则无法完成签名。

但是，上述算法的实现往往交互复杂，通信次数繁多，不能满足云计算环境中低延迟、少交互的应用需求，也就是说，上述方式对云计算环境并不适用。

发明内容

有鉴于此，本发明提供了适用于云计算的基于SM2算法的签名及解密方法和***，能够提高云计算环境中的私钥的安全性。

为了达到上述目的，本发明的技术方案是这样实现的：

一种适用于云计算的基于SM2算法的签名方法，包括：

第一通信方生成自身的子私钥D1，第二通信方生成自身的子私钥D2；

第一通信方生成待签名消息M的消息摘要e和第一部分签名Q1，并将e和Q1发送给第二通信方；

第二通信方根据Q1和e生成第二部分签名r，并根据D2生成第三部分签名s2和第四部分签名s3，将r、s2和s3发送给第一通信方；

第一通信方根据D1、r、s2和s3生成完整签名并输出。

一种适用于云计算的基于SM2算法的解密方法，包括：

第一通信方根据D1对获取到的密文C进行部分解密，得到第一部分明文T1，并发送给第二通信方；

第二通信方根据D2和T1生成第二部分明文T2，并发送给第一通信方；

第一通信方根据T2对密文C进行完整解密，得到完整明文输出。

一种适用于云计算的基于SM2算法的签名***，包括：

第一通信方，用于生成自身的子私钥D1；并生成待签名消息M的消息摘要e和第一部分签名Q1，将e和Q1发送给第二通信方；根据D1、r、s2和s3生成完整签名并输出；

第二通信方，用于生成自身的子私钥D2；并根据Q1和e生成第二部分签名r，并根据D2生成第三部分签名s2和第四部分签名s3，将r、s2和s3发送给第一通信方。

一种适用于云计算的基于SM2算法的解密***，包括：

第一通信方，用于生成自身的子私钥D1；并根据D1对获取到的密文C进行部分解密，得到第一部分明文T1，发送给第二通信方；根据T2对密文C进行完整解密，得到完整明文输出；

第二通信方，用于生成自身的子私钥D2；并根据D2和T1生成第二部分明文T2，并发送给第一通信方。

可见，采用本发明所述方案，可在通信双方分别存储部分私钥，两方联合才能对消息进行签名或解密等操作，通信双方均无法获取到对方私钥的任何信息，因此攻击者在入侵其中任何一方的情况下，都不能伪造签名或解密密文，相应地，当将该方案应用于云计算环境中时，即可提高云计算环境中的私钥的安全性；而且，签名过程和解密过程中，通信双方仅需要进行很少的交互，从而能够满足云计算环境中低延迟、少交互的应用需求。

附图说明

图1为本发明适用于云计算的基于SM2算法的签名方法实施例的流程图。

图2为本发明第一通信方和第二通信方生成各自的子私钥和公钥的过程示意图。

图3为本发明第一通信方和第二通信方生成待签名消息M的完整签名的过程示意图。

图4为本发明适用于云计算的基于SM2算法的解密方法实施例的流程图。

图5为本发明第一通信方和第二通信方解密得到密文C的完整明文的过程示意图。

具体实施方式

针对现有技术中存在的问题，本发明中提出一种适用于云计算环境中的、基于SM2算法的签名方案和解密方案。SM2算法是一种标准的商用密码算法，在密码产品中被广泛的支持和使用。

为了使本发明的技术方案更加清楚、明白，以下参照附图并举实施例，对本发明所述方案作进一步的详细说明。

图1为本发明适用于云计算的基于SM2算法的签名方法实施例的流程图，如图1所示，包括以下步骤11～14。

步骤11：第一通信方生成自身的子私钥D1，第二通信方生成自身的子私钥D2。

为便于表述，分别用第一通信方和第二通信方来表示通信双方，其中，第一通信方可以为客户端或服务器端，相应地，当第一通信方为客户端时，第二通信方则为服务器端，当第一通信方为服务器端时，第二通信方则为客户端。

第一通信方和第二通信方共享SM2算法的椭圆曲线参数E(Fq)、G和n，椭圆曲线E为定义在有限域Fq上的椭圆曲线，G表示椭圆曲线E上n阶的基点，各参数的具体取值等均根据SM2算法预先设定。

第一通信方和第二通信方需要分别生成自身的子私钥D1和D2，另外，还可进一步合作生成公钥P。

相应地，图2为本发明第一通信方和第二通信方生成各自的子私钥和公钥的过程示意图，如图2所示，包括以下步骤21～26。

步骤21：第一通信方产生一个位于[1，n-1]之间的随机数，将产生的随机数作为D1。

即有：D1∈[1，n-1]。

步骤22：第二通信方产生一个位于[1，n-1]之间的随机数，将产生的随机数作为D2。

即有：D2∈[1，n-1]。

步骤23：第一通信方计算D1在Fq上的逆元D1^-1mod n。

mod表示求模运算。

步骤24：第二通信方计算D2在Fq上的逆元D2^-1mod n。

步骤25：第一通信方计算D1^-1[*]G，将计算结果P1发送给第二通信方。

即有：P1＝D1^-1[*]G，其中，[*]表示椭圆曲线点乘运算。

步骤26：第二通信方计算D2^-1[*]P1[-]G，将计算结果P作为公钥进行公开。

即有：P＝D2^-1[*]P1[-]G，其中，[-]表示椭圆曲线点减运算。

需要说明的是，上述步骤21～26的表示方式仅为举例说明，并不用于限制各步骤的执行顺序，在实际应用中，可根据实际需要设定各步骤的执行顺序，只要最终能够得到所需的结果即可，后续涉及到的各示意图中同样如此，不再赘述。

步骤12：第一通信方生成待签名消息M的消息摘要e和第一部分签名Q1，并将e和Q1发送给第二通信方。

步骤13：第二通信方根据Q1和e生成第二部分签名r，并根据D2生成第三部分签名s2和第四部分签名s3，将r、s2和s3发送给第一通信方。

步骤14：第一通信方根据D1、r、s2和s3生成完整签名并输出。

通过步骤12～14所示过程，即可生成待签名消息M的完整签名。

图3为本发明第一通信方和第二通信方生成待签名消息M的完整签名的过程示意图，如图3所示，包括以下步骤31～39。

步骤31：第一通信方将Z和M拼接形成M'，并计算Hash(M')，将计算结果作为e，其中，Z表示第一通信方和第二通信方共同的身份标识，Hash()表示预定的密码杂凑函数。

即有：M'＝Z||M，||表示拼接；

e＝Hash(M')。

步骤32：第一通信方产生一个位于[1，n-1]之间的随机数k1，并计算k1[*]G，将计算结果作为Q1。

即有：k1∈[1，n-1]；

Q1＝k1[*]G。

步骤33：第一通信方将e和Q1发送给第二通信方。

步骤34：第二通信方产生一个位于[1，n-1]之间的随机数k2，并计算k2[*]G，得到计算结果Q2。

即有：k2∈[1，n-1]；

Q2＝k2[*]G。

步骤35：第二通信方产生一个位于[1，n-1]之间的随机数k3，计算k3[*]Q1[+]Q2，得到计算结果(x1，y1)，并计算x1+e mod n，将计算结果作为r，其中，[+]表示椭圆曲线点加运算。

即有：k3∈[1，n-1]；

(x1，y1)＝k3[*]Q1[+]Q2；

r＝x1+e mod n。

其中，若r不等于0，则执行步骤36，若r等于0，则第二通信方可重新产生k3，并重新计算得到(x1，y1)和r，直到r不等于0为止。

步骤36：若r不等于0，则第二通信方计算D2*k3mod n，将计算结果作为s2，并计算D2*(r+k2)mod n，将计算结果作为s3。

即有：s2＝D2*k3mod n；

S3＝D2*(r+k2)mod n。

步骤37：第二通信方将r、s2和s3发送给第一通信方。

步骤38：第一通信方计算(D1*k1)*s2+D1*s3-r mod n，得到计算结果s。

即有：s＝(D1*k1)s2+D1*s3-r mod n。

其中，若s等于0或等于n-r，则可从重新产生k1，并将与此相关的步骤重新执行，若s不等于0且不等于n-r，则执行步骤39。

步骤39：若s不等于0且不等于n-r，则第一通信方将(r，s)作为完整签名输出。

同时，还可输出待签名消息M。

上述各步骤中涉及到的各随机数k1、k2、k3等均为整数。

图4为本发明适用于云计算的基于SM2算法的解密方法实施例的流程图，如图4所示，包括以下步骤41～44。

步骤41：第一通信方生成自身的子私钥D1，第二通信方生成自身的子私钥D2。

本步骤的具体实现可参照步骤11中的相关说明，此处不再赘述。

步骤42：第一通信方根据D1对获取到的密文C进行部分解密，得到第一部分明文T1，并发送给第二通信方。

步骤43：第二通信方根据D2和T1生成第二部分明文T2，并发送给第一通信方。

步骤44：第一通信方根据T2对密文C进行完整解密，得到完整明文输出。

通过步骤42～44所示过程，即可得到密文C的完整明文。

图5为本发明第一通信方和第二通信方解密得到密文C的完整明文的过程示意图，如图5所示，包括以下步骤51～510。

步骤51：第一通信方从密文C中提取出比特串C1，密文C由比特串C1、C2和C3拼接而成，并对C1进行数据类型转换后，验证C1是否为椭圆曲线E上的非无穷远点。

即有：C＝C1||C2||C3。

对C1进行数据类型转换，通常是指将其从比特串转换为整数，如何进行转换为现有技术，如何验证C1是否为椭圆曲线E上的非无穷远点同样为现有技术。

若C1为椭圆曲线E上的非无穷远点，则执行步骤52，否则，可报错退出。

步骤52：第一通信方计算D1^-1[*]C1，将计算结果作为T1，其中，D1^-1为D1在Fq上的逆元。

即有：T1＝D1^-1[*]C1。

步骤53：第一通信方将T1发送给第二通信方。

步骤54：第二通信方计算D2^-1[*]T1，将计算结果作为T2，其中，D2^-1为D2在Fq上的逆元。

即有：T2＝D2^-1[*]T1。

步骤55：第二通信方将T2发送给第一通信方。

步骤56：第一通信方计算T2[-]C1，得到计算结果(x2，y2)。

即有：(x2，y2)＝T2[-]C1。

步骤57：第一通信方计算KDF(x2||y2，klen)，得到计算结果t，其中，||表示拼接，KDF()为预定的密钥派生函数，klen表示输出的比特串长度，取值为预先设定。

即有：t＝KDF(x2||y2，klen)。

若t不等于0，则执行步骤58，否则，可报错退出。

步骤58：若t不等于0，第一通信方从密文C中提取出比特串C2，并计算得到计算结果M″，其中，表示按位异或运算。

即有：

步骤59：第一通信方计算Hash(x2||M″||y2)，得到计算结果u。

即有：u＝Hash(x2||M″||y2)。

步骤510：第一通信方从密文C中提取出比特串C3，若u等于C3，则将M″作为完整明文输出。

若u不等于C3，可报错退出。

基于上述介绍，本发明同时公开了一种适用于云计算的基于SM2算法的签名***以及一种适用于云计算的基于SM2算法的解密***，分别介绍如下。

所述适用于云计算的基于SM2算法的签名***中包括：

其中，

第一通信方和第二通信方共享SM2算法的椭圆曲线参数E(Fq)、G和n，椭圆曲线E为定义在有限域Fq上的椭圆曲线，G为椭圆曲线E上n阶的基点；

D1和D2均为位于[1，n-1]之间的一个随机数。

另外，

第一通信方可进一步用于，计算D1在Fq上的逆元D1^-1mod n，并计算D1^-1[*]G，将计算结果P1发送给第二通信方；

第二通信方可进一步用于，计算D2在Fq上的逆元D2^-1mod n，并计算D2^-1[*]P1[-]G，将计算结果P作为公钥进行公开，其中，mod表示求模运算，[*]表示椭圆曲线点乘运算，[-]表示椭圆曲线点减运算。

具体地，

第一通信方计算e＝Hash(M')，M'＝Z||M，其中，||表示拼接，Z表示第一通信方和第二通信方共同的身份标识，Hash()表示预定的密码杂凑函数；并计算Q1＝k1[*]G，其中，k1为位于[1，n-1]之间的一个随机数，[*]表示椭圆曲线点乘运算。

第二通信方计算r＝x1+e mod n，(x1，y1)＝k3[*]Q1[+]Q2，Q2＝k2[*]G；其中，mod表示求模运算，[*]表示椭圆曲线点乘运算，[+]表示椭圆曲线点加运算；k2和k3均为位于[1，n-1]之间的一个随机数；当r不等于0时，计算s2＝D2*k3mod n，s3＝D2*(r+k2)mod n。

第一通信方计算(D1*k1)*s2+D1*s3-r mod n，得到计算结果s，其中，mod表示求模运算，若s不等于0且不等于n-r，则将(r，s)作为完整签名输出。

所述适用于云计算的基于SM2算法的解密***中包括：

其中，

D1和D2均为位于[1，n-1]之间的一个随机数。

另外，

第一通信方可进一步用于，从密文C中提取出比特串C1，密文C由比特串C1、C2和C3拼接而成，并对C1进行数据类型转换后，验证C1是否为椭圆曲线E上的非无穷远点；若是，则计算D1^-1[*]C1，将计算结果作为T1，其中，D1^-1为D1在Fq上的逆元，[*]表示椭圆曲线点乘运算。

具体地，

第二通信方计算T2＝D2^-1[*]T1，其中，D2^-1为D2在Fq上的逆元，[*]表示椭圆曲线点乘运算。

第一通信方还可进一步用于，计算T2[-]C1，得到计算结果(x2，y2)，其中，[-]表示椭圆曲线点减运算；计算KDF(x2||y2，klen)，得到计算结果t，其中，||表示拼接，KDF()表示预定的密钥派生函数，klen表示预定的输出的比特串长度；若t不等于0，则从密文C中提取出比特串C2，并计算得到计算结果M″，其中，表示按位异或运算；计算Hash(x2||M″||y2)，得到计算结果u，其中，Hash()表示预定的密码杂凑函数；从密文C中提取出比特串C3，若u等于C3，则将M″作为完整明文输出。

上述***实施例的具体工作流程请参照前述方法实施例中的相应说明，此处不再赘述。

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种适用于云计算的基于SM2算法的签名方法，其特征在于，包括：

第一通信方根据D1、r、s2和s3生成完整签名并输出。

2.根据权利要求1所述的方法，其特征在于，

所述第一通信方生成自身的子私钥D1包括：第一通信方产生一个位于[1，n-1]之间的随机数，将产生的随机数作为D1；

所述第二通信方生成自身的子私钥D2包括：第二通信方产生一个位于[1，n-1]之间的随机数，将产生的随机数作为D2。

3.根据权利要求2所述的方法，其特征在于，

该方法进一步包括：

第一通信方计算D1在Fq上的逆元D1^-1mod n，并计算D1^-1[*]G，将计算结果P1发送给第二通信方；

第二通信方计算D2在Fq上的逆元D2^-1mod n，并计算D2^-1[*]P1[-]G，将计算结果P作为公钥进行公开，其中，mod表示求模运算，[*]表示椭圆曲线点乘运算，[-]表示椭圆曲线点减运算。

4.根据权利要求2或3所述的方法，其特征在于，

所述第一通信方生成待签名消息M的消息摘要e和第一部分签名Q1包括：

第一通信方将Z和M拼接形成M'，并计算Hash(M')，将计算结果作为e，其中，Z表示第一通信方和第二通信方共同的身份标识，Hash()表示预定的密码杂凑函数；

第一通信方产生一个位于[1，n-1]之间的随机数k1，并计算k1[*]G，将计算结果作为Q1，其中，[*]表示椭圆曲线点乘运算。

5.根据权利要求2或3所述的方法，其特征在于，

所述第二通信方根据Q1和e生成第二部分签名r，并根据D2生成第三部分签名s2和第四部分签名s3包括：

第二通信方产生一个位于[1，n-1]之间的随机数k2，并计算k2[*]G，得到计算结果Q2，其中，[*]表示椭圆曲线点乘运算；

第二通信方产生一个位于[1，n-1]之间的随机数k3，计算k3[*]Q1[+]Q2，得到计算结果(x1，y1)，并计算x1+e mod n，将计算结果作为r，其中，mod表示求模运算，[*]表示椭圆曲线点乘运算，[+]表示椭圆曲线点加运算；

若r不等于0，则第二通信方计算D2*k3mod n，将计算结果作为s2，并计算D2*(r+k2)mod n，将计算结果作为s3。

6.根据权利要求4所述的方法，其特征在于，

所述第一通信方根据D1、r、s2和s3生成完整签名并输出包括：

第一通信方计算(D1*k1)*s2+D1*s3-r mod n，得到计算结果s，其中，mod表示求模运算；

若s不等于0且不等于n-r，则第一通信方将(r，s)作为完整签名输出。

7.一种适用于云计算的基于SM2算法的解密方法，其特征在于，包括：

8.根据权利要求7所述的方法，其特征在于，

9.根据权利要求8所述的方法，其特征在于，

所述第一通信方根据D1对获取到的密文C进行部分解密，得到第一部分明文T1包括：

第一通信方从密文C中提取出比特串C1，密文C由比特串C1、C2和C3拼接而成，并对C1进行数据类型转换后，验证C1是否为椭圆曲线E上的非无穷远点；

若是，则计算D1^-1[*]C1，将计算结果作为T1，其中，D1^-1为D1在Fq上的逆元，[*]表示椭圆曲线点乘运算。

10.根据权利要求8所述的方法，其特征在于，

所述第二通信方根据D2和T1生成第二部分明文T2包括：

第二通信方计算D2^-1[*]T1，将计算结果作为T2，其中，D2^-1为D2在Fq上的逆元，[*]表示椭圆曲线点乘运算。

11.根据权利要求9所述的方法，其特征在于，

所述第一通信方根据T2对密文C进行完整解密，得到完整明文输出包括：

第一通信方计算T2[-]C1，得到计算结果(x2，y2)，其中，[-]表示椭圆曲线点减运算；

第一通信方计算KDF(x2||y2，klen)，得到计算结果t，其中，||表示拼接，KDF()表示预定的密钥派生函数，klen表示预定的输出的比特串长度；

若t不等于0，则第一通信方从密文C中提取出比特串C2，并计算，得到计算结果M″，其中，表示按位异或运算；

第一通信方计算Hash(x2||M″||y2)，得到计算结果u，其中，Hash()表示预定的密码杂凑函数；

第一通信方从密文C中提取出比特串C3，若u等于C3，则将M″作为完整明文输出。

12.一种适用于云计算的基于SM2算法的签名***，其特征在于，包括：

13.根据权利要求12所述的***，其特征在于，

D1和D2均为位于[1，n-1]之间的一个随机数。

14.根据权利要求13所述的***，其特征在于，

第一通信方进一步用于，计算D1在Fq上的逆元D1^-1mod n，并计算D1^-1[*]G，将计算结果P1发送给第二通信方；

第二通信方进一步用于，计算D2在Fq上的逆元D2^-1mod n，并计算D2^-1[*]P1[-]G，将计算结果P作为公钥进行公开，其中，mod表示求模运算，[*]表示椭圆曲线点乘运算，[-]表示椭圆曲线点减运算。

15.根据权利要求13或14所述的***，其特征在于，

16.根据权利要求13或14所述的***，其特征在于，

17.根据权利要求15所述的***，其特征在于，

18.一种适用于云计算的基于SM2算法的解密***，其特征在于，包括：

19.根据权利要求18所述的***，其特征在于，

D1和D2均为位于[1，n-1]之间的一个随机数。

20.根据权利要求19所述的***，其特征在于，

第一通信方进一步用于，从密文C中提取出比特串C1，密文C由比特串C1、C2和C3拼接而成，并对C1进行数据类型转换后，验证C1是否为椭圆曲线E上的非无穷远点；若是，则计算D1^-1[*]C1，将计算结果作为T1，其中，D1^-1为D1在Fq上的逆元，[*]表示椭圆曲线点乘运算。

21.根据权利要求19所述的***，其特征在于，

22.根据权利要求20所述的***，其特征在于，

第一通信方进一步用于，计算T2[-]C1，得到计算结果(x2，y2)，其中，[-]表示椭圆曲线点减运算；计算KDF(x2||y2，klen)，得到计算结果t，其中，||表示拼接，KDF()表示预定的密钥派生函数，klen表示预定的输出的比特串长度；若t不等于0，则从密文C中提取出比特串C2，并计算得到计算结果M″，其中，表示按位异或运算；计算Hash(x2||M″||y2)，得到计算结果u，其中，Hash()表示预定的密码杂凑函数；从密文C中提取出比特串C3，若u等于C3，则将M″作为完整明文输出。