CN105187208A - 非授权的基于无证书的强指定验证者签名体制 - Google Patents

Abstract

本发明公开了一种满足非授权性质的基于无证书的强指定验证者签名体制。其特征在于在构造中利用了无证书密码体制和零知识的用户身份认证技术，使其在效率和安全性方面分别优于现有的基于公钥证书的方案和基于身份的方案，同时使得发明具备良好的非授权性。本发明共有以下八个步骤：初始化、部分私钥生成、秘密值设置、私钥设置、公钥设置、签名生成、签名验证、签名副本生成。

Description

非授权的基于无证书的强指定验证者签名体制

技术领域

本发明涉及密码学领域，具体讲是涉及一种非授权的基于无证书的强指定验证者签名体制的构造方法。

背景技术

在1996年，Jakobsson等人首次提出指定验证者签名的概念。指定验证者签名和传统的数字签名的最大区别就是不能进行公开验证，而是只有签名者指定的某个验证者能够对签名进行验证操作，其他第三方都没有能力去验证签名的正确性，其原因就是指定的验证者可以生成对第三方来说和签名者生成的签名不可区分的模拟签名副本。指定验证者签名可以在一定程度上保护签名者的隐私，正因如此，指定验证者签名经常被用于电子投票、电子投标以及软件销售许可等实际场景中。最初标准的指定验证者签名所必需的安全属性有不可伪造性、非传递性和签名者身份隐私性。但在2005年，Limppa等人提出了授权攻击这一新的攻击方法，使得很多签名方案都因为不能抵抗该攻击模型而变得不安全。直到2012年和2013年，Tian等人分别提出一个基于椭圆曲线的强指定验证者签名方案和一个基于身份的强指定验证者签名方案，这两个方案都结合了Schnorr数字签名技术和零知识的用户身份认证技术，被证明是目前为止唯二的可以抵抗授权攻击的签名方案。

另外，现有的指定验证者签名方案大多是基于公钥证书和基于身份的。基于公钥证书的方案由于需要证书管理使得方案并不高效，而基于身份的方案由于密钥托管问题则不够安全。在2003年，Al-Riyami等人提出无证书密码学，在该体制中不涉及公钥证书，且用户的完整私钥的生成被分为两部分，一部分是由密钥生成中心为用户生成并托管，另一部分由用户自己生成并保存。这样，既减少了证书管理工作提高了效率，又提高了方案的安全性。在2006年，Huang等人首次提出无证书的指定验证者签名方案，但之后被证明不能抵抗恶意密钥生成中心攻击和授权攻击。随后又出现了几个无证书的指定验证者签名方案，也都没有很好地解决方案易遭受授权攻击的问题。

发明内容

为了克服上述现有技术的不足，本发明提供了一种满足非授权性质的基于无证书的强指定验证者签名方案。

本发明所采用的技术方案是：在对用户进行密钥分配的方式上，本发明采用无证书密码学的方法。无证书密码学没有公钥证书的参与，从而大大减少了证书管理上的资源消耗。同时，在无证书密码学中，用户的完整密钥生成被分成两部分，一部分由用户自身生成，另一部分则由密钥生成中心帮用户生成，这样也解决了基于身份密码学的密钥托管问题。为使得指定验证者签名能够抵抗授权攻击，本发明在构造中结合了标准DSA签名和零知识的用户身份认证方法，避免了过去方案中因使用的公共参数值泄露而引起的授权攻击。

与现有技术相比，本发明的有益效果是采用无证书密码体制来生成用户公私钥对，避免了基于证书密码学和基于身份密码学的先天不足带来的低效性和不安全性，同时构造本发明时利用零知识的用户身份认证技术，避免了出现导致方案授权性的公共参数值，从而使发明具备了非授权性。

具体实施方式

本发明实施方式包含以下八个算法。

(1)初始化：假设p是一个大素数，F_p是一个有限域，在域中随机选择a，b∈_RF_p两个元素来定义一个抽象的椭圆曲线E。选取椭圆曲线上的一个点P∈_RE来作为以q为阶的群G的生成元。另外，定义三个安全的抗碰撞哈希函数：和得到的***参数sp即为(F_p，a，b，P，q，H₁，H₂，H₃)，密钥生成中心随机选择作为***主密钥并保持它的机密性。

(2)部分私钥生成：这个算法接受一个用户身份ID_i∈{0，1}^*，i∈A，B的输入，首先计算Q_i＝H₃(ID_i)，然后计算并输出用户的部分私钥S_i＝sQ_i。

(3)秘密值设置：用户随机选取并输出x_i，i∈A，B来作为秘密值。也就是说，发送者Alice和指定验证者Bob的秘密值分别为和

(4)私钥设置：输入Alice和Bob的部分私钥和秘密值，输出他们的完整私钥为sk_A＝(x_A，S_A)和sk_B＝(x_B，S_B）。

(5)公钥设置：本算法首先计算y_A＝x_AP和y_B＝x_BP，然后输出Alice和Bob对应的公钥pk_A＝(y_A，Q_A)和pk_B＝(y_B，Q_B)。

(6)签名生成：假定将待签名的消息表示为m，签名者Alice选择两个值然后计算A＝lP，C₀＝rP，C₁＝H₂(m，A)，C＝C₀+C₁＝(c_x，c_y)，V＝(H₁(m)+x_Ac_x)/l，R＝ry_B，t＝H₁(R)，σ＝H₃(t，S_AQ_B)，最终得到签名δ是三元组(C，V，σ)。

(7)签名验证：验证者Bob一旦接收到签名δ，计算A′＝(H₁(m)P+c_xy_A)/V，C₁′＝H₂(m，A)，C₀′＝C-C₁′，R′＝x_BC₀′，t′＝H₁(R′)，σ′＝H₃(t′，Q_AS_B)，最后验证是否相等。

(8)签名副本生成：验证者Bob选取C∈_RG和计算A＝(H₁(m)P+c_xy_A)/V，C₁′＝H₂(m，A)，C₀′＝C-C₁′，R′＝x_BC₀′，t′＝H₁(R′)，σ′＝H₃(t′，Q_AS_B)，最终得到签名副本的δ′为三元组(C，V，σ)。

本发明安全性分析如下文。

1、正确性：验证算法的正确性可由下面等式验证：

A′＝(H₁(m)P+c_xy_A)/s＝(H₁(m)P+c_xx_AP)/s＝P(H₁(m)+c_xx_A)/s＝Pl＝A，

R′＝x_BC₀′＝x_BrP＝ry_B＝R。

2、抗第一类敌手(公钥替换攻击)：由于在无证书密码学中不存在公钥证书，因此敌手A₁可以使用任意值来替换签名者公钥。假定敌手A₁使用(y_A′，x_A′)来替换签名者公私钥对(y_A，x_A)，也就是说敌手A₁得到了签名者的秘密值。这样，敌手A₁可以在签名生成阶段计算V＝(H₁(m)+x_A′c_x)/l从而得到V。然而，由于A₁无法拿到***的主密钥s的值，它将无法知道密钥生成中心为用户生成的部分私钥S_A的值，也无法计算σ＝H₃(t，S_AQ_B)。因此，本发明是可以抵抗公钥替换攻击的。

3、抗第二类敌手(恶意密钥生成中心攻击)：敌手A₂可以得到***的主密钥s，也就可以通过计算S_A＝sQ_A来得到签名者的部分私钥，但却没有权利用任意值替换签名者公私钥对(y_A，x_A)。正因为A₂无法得到签名者秘密值x_A，也就无法通过计算V＝(H₁(m)+x_Ac_x)/l得到V的值。由于椭圆曲线离散对数困难问题难以解决，对于等式y_A＝x_AP，给出y_A和P的值，敌手A₂要想计算出x_A是不可行的。基于本方案在签名阶段必须用到签名者的秘密值x_A这一特点，可以证明本发明可以抵抗恶意密钥生成中心攻击。

4、非授权性：在本发明中，运用零知识的用户身份认证技术，签名者和验证者的秘密值在签名和验证签名阶段是分别被单独使用的，这就使得本发明不存在公共值(x_Ax_BP)被泄露而导致的授权性所带来的危害。虽然另一个公共值(Q_AQ_Bs)可能被泄露给第三方，但由于攻击者不能计算V＝(H₁(m)+x_Ac_x)/l，这仍然限制了攻击者伪造一个合法的签名。换句话说，本发明的非授权性依赖于用户秘密值的机密性，授权攻击只有在秘密值和公共值(Q_AQ_Bs)同时被泄露的情况下才可以发生，但这个概率是微乎其微的。因此，本发明是满足非授权性的。

5、身份隐私性：本发明在随机预言模型下具备签名者身份隐私性，即第三方在得到消息签名对(m，δ)，签名者完整私钥(x_A，S_A)，验证者完整私钥(x_B，S_B)后，仍然不能区分该消息签名对是由签名者生成的还是验证者生成的。其原因就是以下两个等式是恒等的：R＝ry_B＝x_BC₀，σ＝H₃(t，S_AQ_B)＝H₃((t，sQ_AQ_B)＝H₃(t，Q_AS_B)。

Claims (2)

1.一种满足非授权性的基于无证书的强指定验证者签名体制，其特征是在构造中利用了无证书密码体制和零知识的用户身份认证技术，使其在效率和安全性方面分别优于现有的基于公钥证书的签名方案和基于身份的签名方案，同时使得发明具备良好的非授权性，本方案共有以下八个步骤：

(1)初始化：为***生成公共参数和主密钥；

(2)部分私钥生成：密钥生成中心利用主密钥为用户生成部分私钥；

(3)秘密值设置：用户为自身设置秘密值；

(4)私钥设置：用户利用部分私钥和自身秘密值设置完整私钥；

(5)公钥设置：用户利用完整私钥为自身设置公钥；

(6)签名生成：签名者为指定验证者生成指定验证者签名；

(7)签名验证：指定验证者收到签名后对签名进行验证；

(8)签名副本生成：指定验证者生成同签名者生成的签名不可区分的签名副本。

2.根据权利要求1所述的满足非授权性的无证书强指定验证者签名体制，其特征在于：所述体制具体包含以下步骤：

(1)初始化：假设p是一个大素数，F_p是一个有限域，在域中随机选择a，b∈_RF_p两个元素来定义一个抽象的椭圆曲线E；选取椭圆曲线上的一个点P∈_RE来作为以q为阶的群G的生成元；另外，定义三个安全的抗碰撞哈希函数：H₂{0，1}^*→G和得到的***参数sp即为(F_p，a，b，P，q，H₁，H₂，H₃)，密钥生成中心随机选择作为***主密钥并保持它的机密性；

(2)部分私钥生成：这个算法接受一个用户身份ID_i∈{0，1}^*，i∈A，B的输入，

首先计算Q_i＝H₃(ID_i)，然后计算并输出用户的部分私钥S_i＝sQ_i；

(3)秘密值设置：用户随机选取并输出x_i，i∈A，Ｂ来作为秘密值，也就是说，发送者Alice和指定验证者Bob的秘密值分别为和

(4)私钥设置：输入Alice和Bob的部分私钥和秘密值，输出他们的完整私钥为sk_A＝(x_A，S_A)和sk_B＝(x_B，S_B)；

(5)公钥设置：本算法首先计算y_A＝x_AP和y_B＝x_BP，然后输出Alice和Bob对应的公钥pk_A＝(y_A，Q_A)和pk_B＝(y_B，Q_B)；

(6)签名生成：假定将待签名的消息表示为m，签名者Alice选择两个值r，然后计算A＝lP，C₀＝rP，C₁＝H₂(m，A)，C＝C₀+C₁＝(c_x，c_y)，V＝(H₁(m)+x_Ac_x)/l，R＝ry_B，t＝H₁(R)，σ＝H₃(t，S_AQ_B)，最终得到签名δ是三元组(C，V，σ)；

(7)签名验证：验证者Bob一旦接收到签名δ，计算A′＝(H₁(m)P+c_xy_A)/V，C₁′＝H₂(m，A)，C₀′＝C-C₁′，R′＝x_BC₀′，t′＝H₁(R′)，σ′＝H₃(t′，Q_AS_B)，

最后验证是否相等；

(8)签名副本生成：验证者Bob选取C∈_RG和计算A＝(H₁(m)P+c_xy_A)/V，C₁′＝H₂(m，A)，C₀′＝C-C₁′，R′＝x_BC₀′，t′＝H₁(R′)，σ′＝H₃(t′，Q_AS_B)，最终得到签名副本的δ′为三元组(C，V，σ)。