CN107566128A

CN107566128A - 一种两方分布式sm9数字签名生成方法与***

Info

Publication number: CN107566128A
Application number: CN201710937138.8A
Authority: CN
Inventors: 何德彪; 张语荻
Original assignee: Wuhan University WHU
Current assignee: Wuhan University WHU
Priority date: 2017-10-10
Filing date: 2017-10-10
Publication date: 2018-01-09

Abstract

本发明一种两方分布式SM9数字签名生成方法与***，本发明中KGC为参与SM9数字签名的通信双方A，B生成对应的私钥，收到签名密钥后，A向B发送签名请求。B选择随机数k₁,k₂∈[1,q‑1]，计算并返回给A。此时，A随机选择k₃,k₄，计算签名的第一个部分h，并返回h′＝k₄‑h(modq)给B。B利用自己的私钥计算s₁,s₂并发送给A。A收到s₁,s₂后，利用自己的私钥计算签名的第二个部分S，在签名验证通过后，A发布完整的SM9数字签名(h,S)。本发明具有安全性高、执行效率快、易验证等优点，产生数字签名的过程必须有在通信双方共同参与的情况下才能分布式生成SM9数字签名，能够有效阻止外部攻击者对签名子密钥的窃取和内部参与者的伪造，提高了两方参与SM9数字签名生成的安全性和公平性。

Description

一种两方分布式SM9数字签名生成方法与***

技术领域

本发明属于信息安全技术领域，特别是基于两方共同产生SM9数字签名的一种两方分布式SM9数字签名生成方法与***。

背景技术

数字签名是一种重要的密码方案，它通过某种密码运算生成消息数字签名，来代替书写签名或***。数字签名是实现认证的重要工具，主要用于防止攻击者对***的主动攻击，例如伪装、窜扰等。数字签名可以验证消息发送方的身份防止发送方抵赖和防止消息接收方伪造，还可以验证消息的完整性，抵抗第三方的伪造攻击。数字签名主要用于鉴别签名人的身份以及信息的合法性，是目前网络通信、电子商务、电子政务中使用最普遍、技术最成熟、可操作性最强的一种密码技术。

在数字签名过程中，签名密钥的泄漏意味着签名方案安全性的丧失。秘密共享是一种将秘密分割存储的密码技术，是信息安全和数据保密中的重要手段，能够防止秘密过于集中，从而达到分散风险和容忍入侵的目的。在(t,n)门限签名方案中，数字签名是由一组用户产生，而不是由一个人产生，将签名密钥分割为n份，并分发给不同的成员保管。为了给消息m产生一个有效的签名，至少需要t个成员合作。门限签名方案的作用主要是防止来自内部或外部敌手对签名密钥的攻击。在这种方法中，一旦签名密钥被恢复，则攻击者可以在其他成员不参与的情况下独自完成对消息进行签名。

SM9标识密码算法是一种基于双线性对的标识密码算法，它可以把用户的身份标识用以生成用户的公、私密钥对。SM9的应用与管理不需要数字证书、证书库或密钥库，主要用于数字签名、数据加密、密钥交换以及身份认证等。该算法于2015年发布为国家密码行业标准(GM/T 0044-2016)。

本发明设计了一种分布式SM9数字签名生成的方案，此方案生成签名的过程中，两方必须同时参与才能生成消息的签名，同时保证签名密钥的私密性。

发明内容

本发明的目的是提出两个通信方各自拥有一个部分签名密钥，通信双方在***漏自己的签名密钥又无法获得完整的签名密钥的情况下完成对消息的签名。

针对本发明的目的，本发明提出了一个两方共同生成SM9数字签名的方案，下面给出具体描述。在本方案中，密钥生成中心(KGC)是一个可信第三方，它主要负责生成***参数、主私钥以及签名密钥。

一种两方分布式SM9数字签名生成方法，其特征在于，包括：

步骤1，进行秘钥初始化的生成，密钥生成中心随机选择ks∈[1,q-1]作为主私钥，计算P_pub-s＝[ks]P₂作为签名主公钥；密钥生成中心秘密保存ks，公开P_pub-s；密钥生成中心选择并公开用一个字节表示的签名密钥生成函数识别符hid；

步骤2，定义用户的身份ID为用户的签名密钥，密钥生成中心生成通信双方A和B签名所需密钥，具体是：

步骤2.1、密钥生成中心计算一个临时变量t₁＝H₁(IDPhid,q)+ks和

第二个临时变量其中表示t₁模q的逆元，即

步骤2.2、密钥生成中心选择一个随机数d₁∈[1,q-1]并计算其中表示d₁模q的逆元，即

步骤2.3、密钥生成中心计算第一部分签名密钥作为，部分公钥并设置第二部分签名密钥为

步骤2.4、用户把和分别存储到设备A和B中；

步骤3，定义待签名的消息为比特串m，为了得到消息m的数字签名(h,S)，通信双方A和B基于生成的数字签名进行如下交互步骤：

步骤3.1、B在集合[1,q-1]选择第一个随机数k₁和第二个随机数k₂，并计算第一个临时部分公钥和第二个临时部分公钥B将μ₁和μ₂发送给A；

步骤3.2、A收到μ₁和μ₂后，在集合[1,q-1]选择第三个随机数k₃和第四个随机数k₄，计算目标临时公钥并通过μ计算签名的第一个部分h＝H₂(μPm,q)；A计算第一个临时变量h′＝k₄-h(modq)；若h′＝0则重新选择k₃,k₄，否则A将h′发送给B；

步骤3.3、B收到h′后，计算第二个临时变量s₁＝k₁·d₂(modq)和第三个临时变量s₂＝(h′+k₂)·d₂(modq)，并将s₁和s₂发送给A；

步骤3.4、A收到s₁和s₂后，计算签名的第二个部分A验证签名的正确性，若验证通过，则输出SM9签名(h,S)。

在本发明中，KGC为参与SM9数字签名的通信双方A，B生成对应

的私钥，收到签名密钥后，A向B发送签名请求。B选择随机数k₁,k₂∈[1,q-1]，计算并返回给A。此时，A随机选择k₃,k₄，计算签名的第一个部分h，并返回h′＝k₄-h(modq)给B。B利用自己的私钥计算s₁,s₂并发送给A。A收到s₁,s₂后，利用自己的私钥计算签名的第二个部分S，在签名验证通过后，A发布完整的SM9数字签名(h,S)

一种两方分布式SM9数字签名生成***，其特征在于，包括：

密钥生成中心：用于生成主私钥、签名主公钥、通信双方A和B签名所需签名密钥以及通信双方A和B交互时所需的数字签名；所述密钥生成中心具体包括：

秘钥初始化的生成单元：用于随机选择ks∈[1,q-1]作为主私钥，计算P_pub-s＝[ks]P₂作为签名主公钥；密钥生成中心秘密保存ks，公开P_pub-s；密钥生成中心选择并公开用一个字节表示的签名密钥生成函数识别符hid；

签名密钥生成单元：定义用户的身份ID为用户的签名密钥，密钥生成中心生成通信双方A和B签名所需密钥；

数字签名生成单元：定义待签名的消息为比特串m，生成通信双方A和B进行交互时所需的数字签名。

在上述的一种两方分布式SM9数字签名生成***，所述秘钥初始化的生成单元执行时具体包括以下步骤：

步骤3.1、密钥生成中心计算一个临时变量t₁＝H₁(IDPhid,q)+ks和第二个临时变量其中表示t₁模q的逆元，即

步骤3.2、密钥生成中心选择一个随机数d₁∈[1,q-1]，并计算其中表示d₁模q的逆元，即

步骤3.3、密钥生成中心计算第一部分签名密钥作为，部分公钥并设置第二部分签名密钥为

步骤3.4、用户把和分别存储到设备A和B中。

在上述的一种两方分布式SM9数字签名生成***，所述签名密钥生成单元执行时具体包括以下步骤：

步骤4.1、B在集合[1,q-1]选择第一个随机数k₁和第二个随机数k₂，并计算第一个临时部分公钥和第二个临时部分公钥B将μ₁和μ₂发送给A；

步骤4.2、A收到μ₁和μ₂后，在集合[1,q-1]选择第三个随机数k₃和第四个随机数k₄，计算目标临时公钥并通过μ计算签名的第一个部分h＝H₂(μPm,q)；A计算第一个临时变量h′＝k₄-h(modq)；若h′＝0则重新选择k₃,k₄，否则A将h′发送给B；

步骤4.3、B收到h′后，计算第二个临时变量s₁＝k₁·d₂(modq)和第三个临时变量s₂＝(h′+k₂)·d₂(modq)，并将s₁和s₂发送给A；

步骤4.4、A收到s₁和s₂后，计算签名的第二个部分A验证签名的正确性，若验证通过，则输出SM9签名(h,S)。

本发明与现有技术相比具有如下优点和有益效果：1、已有的密钥分割或门限秘密共享方案大多数都存在安全隐患。例如，在方案签名阶段，秘密值可能被一个或者几个攻击者恢复，从而在不需要其他成员参与的情况下完成消息签名。2、现有签名方案需要有一个可信中心来生成和分配共享秘密，要求签名者交换信息时需秘密通信。3、具有安全性高、执行效率快、易验证等优点，每个参与方在***漏子密钥的前提下，可以对自己的子密钥和其他参与方的子密钥进行验证。产生数字签名的过程必须有在通信双方共同参与的情况下才能分布式生成SM9数字签名，能够有效阻止外部攻击者对签名子密钥的窃取和内部参与者的伪造，提高了两方参与SM9数字签名生成的安全性和公平性。

附图说明

图1是本发明中数字签名生成的方法流程示意图。

具体实施方式

下面结合附图，对本发明进行具体阐述。

一、符号及定义

A,B：通信双方。

G₁,G₂：阶为素数q的加法循环群。

G_T：阶为素数q的乘法循环群。

e：从G₁×G₂到G_T的双线性对。

g^u：乘法群G_T中g的u次幂，即其中u是正整数。

H₁(·),H₂(·)：由{0,1}^*到的密码杂凑函数。

ID_A：通信方A的标识，可以唯一确定通信方A的公钥。

通信方A的签名密钥。

modq：模q运算。例如，27(mod5)≡2。

q：循环群G₁,G₂和G_T的阶，且q＞2¹⁹¹为素数。

P₁，P₂：分别是群G₁和G₂的生成元。

[u]P：加法群G₁,G₂中元素P的u倍。

xPy：x与y的拼接，其中x和y是比特串或字节串。

[x,y]：不小于x且不大于y的整数的集合。

在***初始化阶段，KGC随机选择ks∈[1,q-1]作为主私钥，计算P_pub-s＝[ks]P₂作为签名主公钥。KGC秘密保存ks，公开P_pub-s。KGC选择并公开用一个字节表示的签名密钥生成函数识别符hid。

二、通信双方签名密钥的产生

给定用户的身份ID，为用户的签名密钥，KGC执行下列运算：

1)KGC计算一个临时变量t₁＝H₁(IDPhid,q)+ks和第二个临时变量其中表示t₁模q的逆元，即

2)KGC选择一个随机数d₁∈[1,q-1]，并计算其中表示d₁模q的逆元，即

3)KGC计算第一部分签名密钥作为，部分公钥并设置第二部分签名密钥为

4)用户把和分别存储到设备A和B中。

三、数字签名生成算法

设待签名的消息为比特串m，为了得到消息m的数字签名(h,S)，通信双方A和B进行如下交互：

1)B在集合[1,q-1]选择第一个随机数k₁和第二个随机数k₂，并计算第一个临时部分公钥和第二个临时部分公钥B将μ₁和μ₂发送给A。

2)A收到μ₁和μ₂后，在集合[1,q-1]选择第三个随机数k₃和第四个随机数k₄，计算目标临时公钥并通过μ计算签名的第一个部分h＝H₂(μPm,q)。A计算第一个临时变量h′＝k₄-h(modq)。若h′＝0则重新选择k₃,k₄，否则A将h′发送给B。

3)B收到h′后，计算第二个临时变量s₁＝k₁·d₂(modq)和第三个临时变量s₂＝(h′+k₂)·d₂(modq)，并将s₁和s₂发送给A。

4)A收到s₁和s₂后，计算签名的第二个部分A验证签名的正确性，若验证通过，则输出SM9签名(h,S)。

本文中所描述的具体实施例仅仅是对本发明精神作举例说明。本发明所属技术领域的技术人员可以对所描述的具体实施例做各种各样的修改或补充或采用类似的方式替代，但并不会偏离本发明的精神或者超越所附权利要求书所定义的范围。

Claims

1.一种两方分布式SM9数字签名生成方法，其特征在于，包括：

·步骤2，定义用户的身份ID为用户的签名密钥，密钥生成中心生成通信双方A和B签名所需密钥，具体是：

步骤2.1、密钥生成中心计算一个临时变量t₁＝H₁(ID||hid,q)+ks和第二个临时变量其中表示t₁模q的逆元，即

步骤2.2、密钥生成中心选择一个随机数d₁∈[1,q-1]，并计算其中表示d₁模q的逆元，即

步骤2.4、用户把和分别存储到设备A和B中；

·步骤3，定义待签名的消息为比特串m，为了得到消息m的数字签名(h,S)，通信双方A和B基于生成的数字签名进行如下交互步骤：

步骤3.2、A收到μ₁和μ₂后，在集合[1,q-1]选择第三个随机数k₃和第四个随机数k₄，计算目标临时公钥并通过μ计算签名的第一个部分h＝H₂(μ||m,q)；A计算第一个临时变量h′＝k₄-h(modq)；若h′＝0则重新选择k₃,k₄，否则A将h′发送给B；

2.一种两方分布式SM9数字签名生成***，其特征在于，包括：

3.根据权利要求2所述的一种两方分布式SM9数字签名生成***，其特征在于，所述秘钥初始化的生成单元执行时具体包括以下步骤：

步骤3.1、密钥生成中心计算一个临时变量t₁＝H₁(ID||hid,q)+ks和第二个临时变量其中表示t₁模q的逆元，即

步骤3.4、用户把和分别存储到设备A和B中。

4.根据权利要求3所述的一种两方分布式SM9数字签名生成***，其特征在于，所述签名密钥生成单元执行时具体包括以下步骤：

步骤4.2、A收到μ₁和μ₂后，在集合[1,q-1]选择第三个随机数k₃和第四个随机数k₄，计算目标临时公钥并通过μ计算签名的第一个部分h＝H₂(μ||m,q)；A计算第一个临时变量h′＝k₄-h(modq)；若h′＝0则重新选择k₃,k₄，否则A将h′发送给B；

步骤4.4、A收到s₁和s₂后，计算签名的第二个部分A利用SM9签名算法的验证算法来验证签名的正确性，若验证通过，则输出SM9签名(h,S)。