CN109194478B - 一种非对称环境下多方联合生成sm9数字签名的方法 - Google Patents

Abstract

本发明公开了一种非对称环境下多方联合生成SM9数字签名的方法，该方法包括以下步骤：KGC在初始化后为参与SM9数字签名的各参与方

分发对应的私钥，其中

为签名的主导方。在生成数字签名过程中，各参与方分别选取部分随机数，计算并广播中间变量

随后各参与方都可以生成联合中间变量

对于消息M，各参与方计算签名的第一部分h＝H₂(M||w，q)，并通过乘法协议π_mul使得

可以计算得第三个中间变量

最后，

利用自己的私钥

可以计算出签名的第二部分

签名验证通过后，

公布关于消息M的完整数字签名Sig＝(h，S)。本发明方法签名过程中保证各参与方都不会暴露部分私钥，同时数字签名必须由所有参与方同时参与，实现了非对称环境下，多方签名的安全性和公平性。

Description

一种非对称环境下多方联合生成SM9数字签名的方法

技术领域

本发明涉及信息安全技术，尤其涉及一种非对称环境下多方联合生成SM9数字签名的方法。

背景技术

数字签名是信息安全技术的重要组成部分。与物理签名或***的功能类似，数字签名实际上就是一组只有发送者才能产生的电子数据，在身份认证、数据完整性、不可否认性以及匿名性等方面有重要应用。利用数字签名一方面可以验证信息的发送者是合法的且不可抵赖的，即实体认证；另一方面还可以验证发送消息内容的完整性和实效性，即通信数据安全。在数字签名***中，实现身份认证的基础是公/私钥与用户物理身份的绑定。当前数字签名的部署主要依托于公钥密码基础设施，但是随着网络规模和应用范围的扩大，公钥密码基础设施必须花费大量的时间和成本发放和管理证书。为了简化公钥证书的传输和验证，科研人员提出了基于身份的密码体制，公钥直接从用户的身份信息里获取，自然绑定公钥与实体，可以解决证书管理的难题。

基于身份的数字签名中，公钥来自于用户公开的信息，因此签名的安全性完全依赖于签名密钥的安全性，签名密钥的保管至关重要。一种方式是使用秘密共享方案分散管理签名密钥，例如(k,n)门限签名方案。此方案中签名密钥被映射为n个子密钥，分别交由n位参与者保管。由k个或多于k个参与者所持有的部分信息可重构签名密钥，而少于k个参与者所持有的部分信息得不到关于签名密钥的任何信息。因此，利用秘密共享方案很容易在数据安全、银行网络管理或导弹控制与发射等方面实现权限分配。但是秘密共享方案都是一次性的，在每次签名密钥的恢复过程中，k个或k个以上的参与者都要初始各自的子密钥，从而暴露了所有秘密信息，特别是在只有两个参与方的情况下，某一方恢复并持有完整签名密钥，就可以在另一方不知情的情况下，独立地进行数字签名。由此可见，基于秘密共享的实现方法对签名密钥的保护较弱，存在密钥泄露的隐患。

针对这种情况，本专利设计了一种多方联合生成SM9数字签名的方案，此方案在非对称环境中实现多方联合生成签名的情况下，既能保证签名的正确性，又能保证签名的私钥不被泄露，且生成签名的过程中必须由所有参与方同时执行操作。

SM9是由国家密码管理局颁布的一种基于标识的公钥密码算法(参见《SM9标识密码算法》规范，国家密码管理局，2016年3月)，基于此算法能实现基于身份的数字签名、密钥交换及数据加密。在这里，不同于各种普通的密钥分割或门限秘密分割。本专利提出的多方联合产生SM9数字签名的方法与***，即便在非对称环境下，也只有所有参与者共同参与运算的情况下，才能产生合法签名，同时任何一方都无法得到原始的私钥。

发明内容

本发明要解决的技术问题在于针对现有技术中的缺陷，提供一种非对称环境下多方联合生成SM9数字签名的方法。

本发明解决其技术问题所采用的技术方案是：一种非对称环境下多方联合生成SM9数字签名的方法，

所述多方有τ(τ≥2)个参与方，表示为

其中

为非对称环境下签名的主导者，

为签名的参与者；

该方法包括以下步骤：

1)初始化步骤：

密钥生成中心KGC产生随机数ks∈{1,...,q-1}作为主私钥，计算

中的元素P_pub-s＝[ks]P₂作为主公钥；KGC秘密保存ks，公开P_pub-s；然后，KGC选择并公开用一个字节表示的签名私钥生成函数识别符hid；

其中，q为素数，

均是阶为q的加法循环群，

是阶为q的乘法循环群，P₁是

的生成元，P₂是

的生成元；

2)密钥分发步骤：由KGC为所有参与方分发部分私钥，具体如下：

2.1)首先KGC计算临时变量t₁＝H₁(ID_A||hid，q)+ks，若t₁＝0，则返回步骤1)重新产生签名主私钥，计算和公开签名主公钥，并更新已有用户的签名私钥；否则，转入步骤2.2)；

其中，ID_A为参与数字签名的

拥有共同的身份标识符；

2.2)KGC计算临时变量

2.3)KGC产生τ+1个随机数s₀，s₁，...，s_τ∈{1，...，q-1}，并使其满足

2.4)KGC设置第一个参与方

的私钥为

其他参与方

的私钥为

2.5)KGC将生成的部分私钥分别安全地发送给对应的参与方；即向各参与方

分发对应的私钥

3)联合签名步骤

3.1)每个签名参与方

首先计算

中的元素g＝e(P₁，P_pub-s)；再产生部分随机数r_i∈{1，...，q-1}并计算第一临时变量

广播w_i；

其中，e代表从

到

的双线性对映射；

3.2)当收到所有参与方发来的w_l(l＝1，...，τ)后，每个参与方均计算第二临时变量

并使用w计算签名的第一部分h＝H₂(M||w，q)，其中，M是待签名的消息；

其中，H₂是由密码杂凑函数派生的密码函数；

3.3)每个签名参与方

计算第三临时变量δ_i＝(r_i-h/τ)mod q，与所有除

以外的参与方

分别执行乘法协议π_mul，输入

得到第四组临时变量α_ij，j∈{1，...，τ}\{i}；

3.4)

计算第五个临时变量α_ii＝s_i·δ_i mod q，以及部分加法碎片

最后，

将α_i发送给第一个参与方

3.5)当收到所有参与方发来的a_l(l＝1，...，τ)后，

计算第二部分签名的乘法分量

随后，

计算第二部分签名

3.6)

利用SM9的数字签名验证算法验证产生的签名，若通过，则公布关于消息M的SM9签名Sig＝(h，S)，否则终止协议。

按上述方案，所述步骤3)中，各参与方之间的通信使用零知识证明来证明发送的数据是来自发送方。

本发明产生的有益效果是：

1.提高私钥的安全性。目前现有的门限秘密共享方案，虽然可以将私钥进行分割，但在签名阶段，私钥会被恢复并被某一方掌握，造成了私钥的泄露，这样降低了多方签名的安全性。

2.提高签名的公平性。目前现有的门限秘密共享方案，最终持有完整私钥的一方可以独立进行签名，不需要全部参与方共同参加，这样降低了多方签名的公平性。

3.本发明实现了多方联合生成SM9数字签名，签名过程中保证各参与方都不会暴露部分私钥，同时数字签名必须由所有参与方同时参与，这样实现了非对称环境下，多方签名的安全性和公平性。

4.本发明基于数学难题，保证即使有一方的私钥丢失，也不会泄露关于完整私钥或其他参与方持有的部分私钥的任何信息。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明实施例的方法示意图；

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

如图1所示，一种非对称环境下多方联合生成SM9数字签名的方法，具体如下：

在以下对本方案的描述中，

均是阶为素数q(q>2¹⁹¹)的加法循环群，

是阶为q的乘法循环群，e代表从

到

的双线性对映射。P₁是

的生成元，P₂是

的生成元。<P>表示由元素P生成的循环群，[u]P表示加法群

或

中元素P的u倍。g^u代表

群中元素g的u次幂，即g^u＝g·g·g·...·g，(共有u个)，u是正整数。H₁，H₂均是由密码杂凑函数派生的密码函数，分别对应于《SM9标识密码算法》规范(国家密码管理局，2016年3月)中的密码杂凑函数。hid：在本部分中，用一个字节表示的签名私钥生成函数识别符，由KGC选择并公开。ID_A是用户A的标识ID，可以唯一确定用户A的公钥。在不产生二义性的情况下，省略掉乘号"·"，如a·b简化为ab，3·c，简化为3c。mod q表示模q运算(modulooperation)，并且，模n运算的算子mod q的优先级是最低的，如a+b mod q等同于(a+b)modq，a-b mod q等同于(a-b)mod q，ab mod q等同于(ab)mod q。x||y表示x与y的拼接，x和y是比特串或字节串。其他规范均对应于《SM9标识密码算法》文档。

在以下对本发明签名阶段的描述中，将使用乘法协议π_mul实现基本的交叉相乘操作，即对于双方输入的(a₁，b₁)和(a₂，b₂)，分别给两方输出c₁和c₂使之满足c₁+c₂＝a₁b₂+a₂b₁mod q。

对于本方案，生成SM9数字签名时，有τ(τ≥2)个参与方，表示为

其中

为非对称环境下签名的主导者，

为签名的参与者。为了使方案的安全性更高，在

之间的通信过程中，使用零知识证明，例如交互式的Sigma协议来证明发送的数据是来自发送方，降低数据被伪造的风险，同时也可以防止有恶意参与方干扰联合签名过程。

具体步骤如下：

首先由KGC做如下初始化操作：在集合{1，...，q-1}中KGC随机选择一个整数ks作为主私钥，计算

中的元素P_pub-s＝[ks]P₂作为主公钥。KGC秘密保存ks，公开P_pub-s。最后，KGC选择并公开用一个字节表示的签名私钥生成函数识别符hid。

多方联合SM9数字签名生成算法分为以下主要两步，首先要密钥分发，然后多方联合生成SM9数字签名。

密钥分发由KGC执行。在此过程中，KGC根据参与方的身份标识符ID_A分别为每个参与方分发密钥，具体操作如下：

1、首先KGC计算一个临时变量t₁＝H₁(ID_A||hid，q)+ks，若t₁＝0则需要重新产生签名主私钥，计算和公开签名主公钥，并更新已有用户的签名私钥；否则进行第2步。

2、KGC计算第二个临时变量

并产生τ+1个随机数s₀，s₁，...，s_τ∈{1,...,q-1}，使其满足

3、KGC设置第一个参与方

的私钥为

其他参与方

的私钥为

最后KGC安全地将部分私钥发送给对应的参与方。

在联合SM9数字签名生成的阶段，各参与方的操作如下：

1、每个参与方

计算

中的元素g＝e(P₁,P_pub-s)，产生部分随机数r_i∈{1,...,q-1}，计算第一个临时变量

同时生成关于(r_i,w_i)离散对数关系的零知识

最后

广播

2、当收到所有参与方发来的

后，每个参与方

验证这些零知识证明的正确性。若有一个验证不通过，则中止协议。否则，计算第二个临时变量

并计算签名的第一部分h＝H₂(M||w,q)，其中M是待签名的消息。

3、每个参与方

计算第三个临时变量δ_i＝(r_i-h/τ)mod q，使用

作为输入，与所有

分别执行乘法协议π_mul，得到一组临时变量α_ij,j∈{1,...,τ}\{i}，由此计算出第四个临时变量α_ii＝s_i·δ_i mod q，和部分加法碎片

最后，所有

都将α_i发送给第一个参与方

4、当收到所有参与方发来的a_l(l＝1,...,τ)后，

计算第二部分签名的乘法分量

此时，

可以计算签名的第二部分

最后

利用SM9的数字签名验证算法验证产生的签名，若通过，则公布关于消息M的SM9签名Sig＝(h，S)，否则终止协议。

应当理解的是，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，而所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (2)

1.一种非对称环境下多方联合生成SM9数字签名的方法，所述多方有τ个参与方，τ≥2，表示为

其中

为非对称环境下签名的主导者，

为签名的参与者；

其特征在于，该方法包括以下步骤：

1)初始化步骤：

密钥生成中心KGC产生随机数ks∈{1,…,q-1}作为主私钥，计算

中的元素P_pub-s＝[ks]P₂作为主公钥；KGC秘密保存ks，公开P_pub-s；然后，KGC选择并公开用一个字节表示的签名私钥生成函数识别符hid；

其中，q为素数，

均是阶为q的加法循环群，

是阶为q的乘法循环群，P₁是

的生成元，P₂是

的生成元；

2)密钥分发步骤：由KGC为所有参与方分发部分私钥，具体如下：

2.1)首先KGC计算临时变量t₁＝H₁(ID_A||hid,q)+ks，若t₁＝0，则返回步骤1)重新产生签名主私钥，计算和公开签名主公钥，并更新已有用户的签名私钥；否则，转入步骤2.2)；

其中，ID_A为参与数字签名的

拥有共同的身份标识符；H₁是由密码杂凑函数派生的密码函数；

2.2)KGC计算临时变量

2.3)KGC产生τ+1个随机数s₀,s₁,…,s_τ∈{1,…,q-1}，并使其满足

2.4)KGC设置第一个参与方

的私钥为

其他参与方

的私钥为

2.5)KGC将生成的部分私钥分别安全地发送给对应的参与方；即向各参与方

分发对应的私钥

3)联合签名步骤

3.1)每个签名参与方

首先计算

中的元素g＝e(P₁,P_pub-s)；再产生部分随机数r_i∈{1,…,q-1}并计算第一临时变量

广播w_i；

其中，e代表从

到

的双线性对映射；

3.2)当收到所有参与方发来的

后，

每个参与方均计算第二临时变量

并使用w计算签名的第一部分h＝H₂(M||w,q)，其中，M是待签名的消息；

其中，H₂是由密码杂凑函数派生的密码函数；

3.3)每个签名参与方

计算第三临时变量δ_i＝(r_i-h/τ)mod q，然后与所有除

以外的参与方

分别执行乘法协议π_mul，输入

得到第四组临时变量α_ij,j∈{1,…,τ}\{i}；

3.4)

计算第五个临时变量α_ii＝s_i·δ_imod q，以及部分加法碎片

最后，

将α_i发送给第一个参与方

其中，

于是，

包括第四组临时变量α_ij,j∈{1,…,τ}\{i}以及第五个临时变量α_ii；

3.5)当第一个参与方

收到所有参与方

发来的部分加法碎片α_i后,i∈{1,…,τ}；

计算第二部分签名的乘法分量

随后，

计算第二部分签名

3.6)

利用SM9的数字签名验证算法验证产生的签名，若通过，则公布关于消息M的SM9签名Sig＝(h,S)，否则终止协议。

2.根据权利要求1所述的非对称环境下多方联合生成SM9数字签名的方法，其特征在于，所述步骤3)中，各参与方之间的通信使用零知识证明来证明发送的数据是来自发送方。

Images