一个新型可验证的门限盲签名方案

２００７，４３（１２）１引言目前的门限盲签名技术大都基于离散对数的困难性［１］或基于改进的体制及其变形［２］。

张方国等人给出了基于椭圆曲线上的盲签名方案［３］（以下简称为ＥＣＣ－ＢＳ），郑卓等人提出了基于双线性对的门限盲签名方案［４］，但是现有的文献却很少有在椭圆曲线上同时讨论门限盲签名的。

针对这一点，本文在方案［３］的基础上提出了一个基于非超奇异椭圆曲线可验证的新型门限盲签名方案。

１．１安全椭圆曲线的选取若Ｅ是定义在有限域Ｆｑ上的椭圆曲线且ｑ＝ｐｍ（ｐ为素数），则ｐ称为有限域Ｆｑ的特征。

椭圆曲线上有理点的个数称为该椭圆曲线的阶，若以＃Ｅ（Ｆｑ）表示椭圆曲线的阶，则有：＃Ｅ（Ｆｑ）＝ｑ＋１－ｔ（其中ｔ≤２ｑ"），如果ｐ｜ｔ，则称Ｅ为超奇异椭圆曲线；否则，称Ｅ为非超奇异椭圆曲线。

对于椭圆曲线离散对数问题（ＥＣＤＬＰ），如果是超奇异椭圆曲线则可以利用ＭＯＶ攻击法［５］将ＥＣＤＬＰ转换至一般已知有限域上的离散对数问题，在指数时间内求解；而对于有限域上的非超奇异椭圆曲线，目前还没有有效求解其上ＥＣＤＬＰ的方法，虽然也可以使用对一般群都有效的Ｂａｂｙ－ｓｔｅｐＧｉａｎｔ－ｓｔｅｐ算法，但是该方法为完全指数时间，仅当椭圆曲线上点加群的阶不含大素因子时才是有效的。

相对来说，目前最好的求解椭圆曲线离散对数问题的算法是Ｐｏｌｌａｒｄρ－方法和Ｐｏｈｌｉｎｇ－Ｈｅｌｌｍａｎ方法，其计算复杂度为Ｏ（ｎｐ"）（ｎｐ为点加群的阶），但是，当ｎｐ含有大素因子（比如，含长度≥１６０ｂｉｔ的素因子）时算法失效［６］。

因此，用来建立密码体制的椭圆曲线最好是非超奇异的。

但是给定有限域上的椭圆曲线后，精确计算它的阶目前还没有通用的有效算法，所以在选择椭圆曲线的时候，一般使用构造法，即选定有限域和椭圆曲线的阶，然后再构造满足要求的椭圆曲线。

本文选择的是Ｆ２ｐ上的非超奇异椭圆曲线ｙ２＋ｘｙ＝ｘ３＋ａｘ２＋ｂ，ａ，ｂ∈Ｆ２ｐ，ｂ≠０。

１．２Ｐｅｄｅｒｓｅｎ可验证秘密分享方案Ｐｅｄｅｒｓｅｎ与１９９１年提出了一个可验证秘密分享方案ＶＳＳ［７］，“可验证”是指每个共享秘密参与者可以验证他所拥有子秘密的正确性。

设ｐ和ｑ是两个大素数，Ｅ是定义在有限域Ｆ２ｐ上的一条椭圆曲线，且Ｆ２ｐ的阶必须有大素因子，Ｐ是Ｅ上ｑ阶基点，ｐ，ｑ，Ｅ，Ｐ是公开的。

假定可信的秘密分发者（ｄｅａｌｅｒ）有一秘密ｄ∈Ｚｑ，并通过公钥Ｑ＝ｄＰ对ｄ进行承诺，其中ｑ是大于ｎ的素数，ｎ个共享秘密的参与者为Ｇ１，Ｇ２，…，Ｇｎ，方案分为两个部分，即可信的ｄｅａｌｅｒ分发协议和共享秘密参与者验证协议。

１．２．１可信分派者分发协议步骤１按Ｓｈａｍｉｒ秘密共享方案［８］在Ｚｑ中选择多项式ｆ（ｘ），并使它满足ｆ（ｘ）＝ｄ＋ａ１ｘ＋…＋ａｔ－１ｘｔ－１且ｆ（０）＝ｄ；然后计算ｄｉ＝ｆ（ｉ），ｉ＝１，２，…，ｎ；一个新型可验证的门限盲签名方案康斌，余昭平ＫＡＮＧＢｉｎ，ＹＵＺｈａｏ－ｐｉｎｇ解放军信息工程大学电子技术学院，郑州４５０００４ＩｎｓｔｉｔｕｔｅｏｆＥｌｅｃｔｒｏｎｉｃＴｅｃｈｎｏｌｏｇｙ，ｔｈｅＰＬＡＩｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇＵｎｉｖｅｒｓｉｔｙ，Ｚｈｅｎｇｚｈｏｕ４５０００４，ＣｈｉｎａＥ－ｍａｉｌ：ｋｂ５７０２＠ｔｏｍ．ｃｏｍＫＡＮＧＢｉｎ，ＹＵＺｈａｏ－ｐｉｎｇ．Ｎｅｗｖｅｒｉｆｉａｂｌｅｔｈｒｅｓｈｏｌｄｂｌｉｎｄｓｉｇｎａｔｕｒｅｓｃｈｅｍｅ．ＣｏｍｐｕｔｅｒＥｎｇｉｎｅｅｒｉｎｇａｎｄＡｐｐｌｉｃａｔｉｏｎｓ，２００７，４３（１２）：１３７－１３９．Ａｂｓｔｒａｃｔ：Ｚｈａｎｇｆａｎｇ－ｇｕｏｐｕｔｓｆｏｒｗａｒｄａｓｉｇｎａｔｕｒｅｓｃｈｅｍｅａｎｄｂｌｉｎｄｓｉｇｎａｔｕｒｅｓｃｈｅｍｅｂａｓｅｄｏｎｔｈｅｅｌｌｉｐｔｉｃｃｕｒｖｅｉｎ２００１．Ｏｎｔｈｉｓｆｏｕｎｄａｔｉｏｎ，ｗｅｐｒｏｐｏｓｅａｎｅｗｖｅｒｉｆｉａｂｌｅｔｈｒｅｓｈｏｌｄｂｌｉｎｄｓｉｇｎａｔｕｒｅｓｃｈｅｍｅｂａｓｅｄｏｎｔｈｅｅｌｌｉｐｔｉｃｃｕｒｖｅ．Ｔｈｉｓｓｃｈｅｍｅｈａｖｅｓｅｖｅｒａｌｓｅｃｕｒｉｔｙｃｈａｒａｃｔｅｒｉｓｔｉｃｓ，ｓｕｃｈａｓｖｅｒｉｆｉａｂｉｌｉｔｙ，ｂｌｉｎｄｎｅｓｓ，ｒｏｂｕｓｔｎｅｓｓａｎｄｎｏｎ－ｆｏｒｇｅｒｙｅｔｃ．Ｉｔｓｓｅｃｕｒｉｔｙｄｅｐｅｎｄｓｎｏｔｏｎｌｙｏｎｔｈｅｅｌｌｉｐｔｉｃｃｕｒｖｅｄｉｓｃｒｅｔｅｌｏｇａｒｉｔｈｍｓｂｕｔａｌｓｏｏｎｔｈｅｃｈｏｉｃｅｏｆｔｈｅｅｌｌｉｐｔｉｃｃｕｒｖｅａｎｄｉｔｓｓｙｓｔｅｍ．Ｂｙａｎａｌｙｚｉｎｇｔｈｅｓｃｈｅｍｅ，ｗｅｃｏｎｃｌｕｄｅｔｈａｔｉｔｓｃｏｍｐｕｔａｔｉｏｎａｌｃｏｍｐｌｅｘｉｔｙａｎｄｃｏｍｍｕｎｉｃａｔｉｏｎｃｏｍｐｌｅｘｉｔｙｉｓｌｏｗｅｒｔｈａｎＺｈｅｎｇｚｈｕｏ’ｓｓｃｈｅｍｅ．Ｋｅｙｗｏｒｄｓ：ｔｈｒｅｓｈｏｌｄｓｉｇｎａｔｕｒｅ；ｂｌｉｎｄｓｉｇｎａｔｕｒｅ；ｄｉｓｃｒｅｔｅｌｏｇａｒｉｔｈｍｓ；ｅｌｌｉｐｔｉｃｃｕｒｖｅ摘要：张方国等人２００１年提出了基于椭圆曲线的数字签名与盲签名方案，在此基础上提出了一种基于椭圆曲线可验证的新型门限盲签名方案。

该方案具有可验证性、盲性、鲁棒性、不可伪造性等安全特征，其安全性不仅依赖于椭圆曲线离散对数的分解难度，而且依赖于椭圆曲线的选取和椭圆曲线密码体制。

比较和分析可知该方案的计算与通信复杂度均略低于郑卓等人的方案。

关键词：门限签名；盲签名；离散对数；椭圆曲线文章编号：１００２－８３３１（２００７）１２－０１３７－０３文献标识码：Ａ中图分类号：ＴＰ３９３基金项目：现代通信国家重点实验室基金（Ｎｏ．５１４３６０２０４０５ＪＢ５２０５）。

作者简介：康斌（１９８３－），男，硕士生，主要研究方向：协议分析、密码理论；余昭平（１９６２－），男，教授，硕士导师，主要研究方向：密码理论、信息安全。

ＣｏｍｐｕｔｅｒＥｎｇｉｎｅｅｒｉｎｇａｎｄＡｐｐｌｉｃａｔｉｏｎｓ计算机工程与应用１３７２００７，４３（１２）ＣｏｍｐｕｔｅｒＥｎｇｉｎｅｅｒｉｎｇａｎｄＡｐｐｌｉｃａｔｉｏｎｓ计算机工程与应用步骤２ｄｅａｌｅｒ把各个ｄｉ秘密分发给对应的秘密共享者Ｇｉ，计算并公布ｄＰ，ａｉＰ（ｉ＝１，２，…，ｔ－１）。

１．２．２共享秘密参与者验证协议对每个参与者Ｇｉ（１≤ｉ≤ｎ）执行以下协议：步骤１验证ｄｉＰ＝ｄＰ＋ｔ－１ｊ＝０"ｉｊ（ａｊＰ）是否是椭圆曲线Ｅ上的点，若不是，拒绝ｄｅａｌｅｒ并将ｄｉ向所有秘密共享参与者公开；步骤２其他秘密共享参与者Ｇｌ（ｌ＝１，２，…，ｎ，ｌ≠ｉ），按步骤１同样方法验证。

若可信分发者ｄｅａｌｅｒ不被所有秘密共享参与者拒绝，则接受ｄｉ。

１．３ＥＣＣ－ＢＳ简介盲签名方案在一般的数字签名方案基础上附加了两个条件：第一，签名者对其签名的消息是不可见的，即签名者不知道他所签消息的内容；第二，签名信息不可追踪，即当签名信息被其所有者公布后，签名者也无法知道这是他哪一次的签名。

下面简要介绍ＥＣＣ－ＢＳ，参数的选取同１．２。

设ｈ是Ｚｑ＊上的一个安全单向Ｈａｓｈ函数，ｄ为签名方Ｓ的密钥，Ｒｘ（Ａ）表示取Ａ点的坐标。

步骤１签名方Ｓ随机选取ｋ∈Ｚｑ＊，计算ｋＰ并发送给Ｕ；发送方Ｕ选取!，δ∈Ｚｑ＊，计算Ａ＝ｋＰ＋!Ｐ＋δＱ＝（ｘ，ｙ）；ｒ＝ｘｍｏｄｑ；ｅ＝ｈ（ｍ｜｜ｒ）；ｅ′＝ｅ－δ，并将ｅ′发送给Ｓ；步骤２签名方Ｓ计算ｓ′＝ｋ－ｅ′ｄ并将其发送给Ｕ；步骤３发送方Ｕ计算ｓ＝ｓ′＋!，并验证ｅ＝？ｈ（ｍ｜｜Ｒｘ（ｅＱ＋ｓＰ）ｍｏｄｑ），如果不成立，发送方Ｕ向签名方Ｓ发出拒绝信息；当验证成立，输出（ｅ，ｓ）即为签名方Ｓ对ｍ的盲签名。

在上面的３步中，步骤１为致盲变换，步骤３为脱盲变换与验证。

２一个新型可验证的门限盲签名方案在上述基础上提出了一个基于非超奇异椭圆曲线的新型可验证（ｔ，ｎ）门限盲签名方案，方案分为两个部分：秘密分享过程和门限盲签名过程。

秘密分享过程中利用密钥管理中心的Ｐｅｄｅｒｓｅｎ可验证秘密分享方案，门限过程以ＥＣＣ－ＢＳ为基础，系统参数的选取同１．２。

２．１密钥分享协议步骤１密钥管理中心随机选择ｔ－１阶多项式ｆ（ｘ）＝ａ０＋ａ１ｘ＋…＋ａｔ－１ｘｔ－１∈Ｚｑ［ｘ］，其中ｆ（０）＝ａ０＝ｄ∈Ｚｑ为中心私钥，Ｑ＝ｄＰ为中心公钥，计算ｄｉ＝ｆ（ｉ）（１≤ｉ≤ｎ）；步骤２把ｄｉ秘密地发送给相应的签名者Ｇｉ，并公开ｄＰ，ａｉＰ（ｉ＝１，２，…，ｔ－１）；步骤３对每个参与者Ｇｉ（１≤ｉ≤ｎ），验证：ｄｉＰ≡ｄＰ＋ｔ－１ｊ＝０&ｉｊ（ａｊＰ）（１）若式（１）成立，则Ｇｉ广播“确认”消息，否则Ｇｉ广播“中止”信息。

２．２门限盲签名生成协议根据门限定义，在ｎ个成员的系统中必须至少有ｔ个成员达成协议，才能行使最终的签名权，不妨设成员Ｇ１，Ｇ２，…，Ｇｔ已经达成协议共同行使签名权。

签名过程如下：步骤１成员Ｇｉ计算ｂｉ＝ｗｉｄｉ，并公开Ｑｉ＝ｂｉＰ，其中ｗｉ＝１≤ｌ≤ｔ，ｌ≠ｉ(ｌｌ－ｉ，再选择随机数ｄｉ∈Ｚｑ＊，计算并公开Ｋｉ＝ｋｉＰ（１≤ｉ≤ｔ）；步骤２待签名者Ｕ计算Ｋ＝ｔｉ＝１&Ｋｉ，选取!，δ∈ＲＺｑ＊，计算δＰ，Ａ＝Ｋ＋!Ｐ＋δＱ＝（ｘ，ｙ），ｒ＝ｘｍｏｄｑ，ｅ＝ｈ（ｍｒ），ｅ′＝ｅ－δ并将δＰ公开，ｅ′向签名各方Ｇ１，Ｇ２，…，Ｇｔ广播；步骤３每个成员Ｇｉ计算ｓｉ′＝ｋｉ－ｂｉｅ′，并将ｓｉ′发送给待签名方Ｕ；步骤４Ｕ收到所有的ｓｉ′后，验证ｓｉ′Ｐ－δＱｉ＝？Ｋｉ－ｅＱｉ，若等式不成立，向Ｇｉ发送拒绝信息，当所有签名方均通过验证后，计算ｓ＝!＋ｔｉ＝１&ｓｉ′，并输出（ｓ，ｅ）为消息ｍ的门限盲数字签名。

２．３签名验证协议（ｓ，ｅ）是消息ｍ的合法签名当且仅当满足ｅ＝ｈ（ｍ｜｜Ｒｘ（ｅＱ＋ｓＰ）ｍｏｄｑ），签名验证过程的正确性可由如下方程给出：ｈ（ｍ｜｜Ｒｘ（ｅＱ＋ｓＰ）ｍｏｄｑ）＝ｈｍ｜｜ＲｘｅＱ＋!Ｐ＋ｔｉ＝１&ｓｉ′)*Ｐｍｏｄ+,ｑ＝ｈｍ｜｜ＲｘｅＱ＋Ｋ＋!Ｐ－ｅ′ｔｉ＝１-ｂｉ),Ｐｍｏｄ),ｑ＝（２）ｈ（ｍ｜｜Ｒｘ（Ｋ＋!Ｐ＋（ｅ－ｅ′）Ｑ）ｍｏｄｑ）＝（３）ｈ（ｍ｜｜Ｒｘ（Ｋ＋!Ｐ＋δＱ）ｍｏｄｑ）＝ｈ（ｍ｜｜ｒ）上述过程中从式（２）到式（３）可由公式推出：ｔｉ＝１&ｂｉ＝ｔｉ＝１&ｗｉｄｉ＝ｆ（０）＝ｄ。

３安全性及效率分析３．１安全性分析该方案具有可验证性、盲性、鲁棒性、不可伪造性等安全特征。

（１）可验证性在密钥分享过程中，密钥管理中心若在步骤１中分发了错误的密钥份额，则可在步骤３中被共享者检验出来。

门限盲签名过程中，若在步骤３中参与签字的分享者有欺骗行为，则其欺骗行为可由待签名方Ｕ在步骤４中检验出来。