基于双线性对的无证书签名与群签名方案

定义 ３计算 Ｄｉｆｉｅ—Ｈｅｌｌｍａｎ问题。给定一个阶为 ｑ的循 环 群 Ｇ，它 的一 个 生 成 元 Ｐ 以及 ａＰ，ｂＰ∈Ｇ （其 中 ，“，ｂ∈Ｚ 且
其值未知），计算 ａｂＰ∈Ｇ。 ２．２ 无证书签名 方案
一 个无证书签名方案 由系统参数 生成、部分密钥生成、 设置秘密值、设置私钥 、设置公钥、签名 以及验证 ７个算法 组成。限于篇幅 ，具体 算法参阅文献【２】。
研 究 生 收稿 日期 ：２０１１－０３—１８ Ｅ·ｍａｉｌ：ｌｆｙｉｎ３１８＠１２６·ｃｏｒ ｎ
第 ３７卷 第 ２４期
李凤银 ，刘培玉 ，朱振方 ：基于双线性对 的无证书签名与群签名 方案
１９
２．３ 安全模 型 在无证书系统中有 ２类攻击者 ，即第 １类攻击者 Ａ－与
第 ２类攻 击者 Ａ 。第 １类攻击者不知道系统主密钥 ，但是可 以任 意替换 用户的公钥 。第 ２类攻击者知道系统的主密钥 ， 但是 不能 替换 目标 用户 的公钥 。
基金项 目：国家 自然科 学基金资助项 目（６０８７３２４７）；山东省 自然科学 基金资 助重 点项 目（ＺＲ２００９ＧＺ００７）；山东省高新技术 自主创 新工程
基金资助项 目（２００８ＺＺ２８） 作者简介 ：李风银（１９７４一），女 ，副教授、博士研究生 ，主研方向： 信息安全 ，数字签名 ；刘培玉 ，教授、博 士生导师 ；朱振方 ，博士
第 ３７卷 第 ２４期
Ｖ＿ ０ｌ－３７ ＮＯ．２４
· 博 士论 文 ·
计 算 机 工 程
Ｃｏｍ ｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ
文章编号：１００ｏ－＿３４２８（２０１１）２４＿＿００ｌ８．＿一ｌ４ 文献标识码：Ａ
２０１１年 ｌ２月
Ｄ ｅｃｅｍ ｂｅｒ ２０１ １
中图分类号：ＴＰ３９３
基 于双 线性 对 的无证 书签名 与群 签名 方案
李凤银 ，刘培玉 ，朱振方
（１．山东师范大学信息科学与工程 学院，济南 ２５００１４；２．曲阜师范大学计算机科学学院 ，山东 日照 ２７６８２６）
摘 要 ：传统数字签名方案 的证书存储和管理开销较大 ，基于 身份 的数字签名方案无法解决其固有的密钥托管 问题 ，而无证 书签名方案无 需使 用公钥证 书，且没有密钥托管 问题 。为此 ，提 出一 个基于双线性 映射 的无证书签名方案 ，并在随机预言机模型下证 明其安全性。在此 基础 上设计一 个无证 书群签名 方案 ，其 安全性建立在计算 Ｄｉｆｉｅ—Ｈｅｌｌｍａｎ问题的困难性假设上 。性能分析表明 ，２种签名方案在保证 安全 性 的前提 下 ，具有较 高的执 行效 率。 关健 词 ：无证书密码体制 ；群签名 ；双 线性映射；Ｄｉｆｉｅ—Ｈｅｌｌｍａｎ问题 ；随机预言机
１ 概 述
无证书密码体制的概念 由 Ａ１一Ｒｉｙａｍｉ Ｓ Ｓ和 Ｐａｔｅｒｓｏｎ Ｋ Ｇ 于 ２００３年提 出 ，既能解决基于身份的公钥 系统所 固有 的密 钥托管 问题 ，又能保持其不需使用公钥证书 的优点 。于是 ， 无证书密码体制 以其安全、高效 的特性受到密码学界 的广泛 关注 。一些无证书签 名和群签 名方案 应运而生 。群签名 的 概念 由 Ｃｈａｕｍ Ｄ和 Ｈｅｙｓｔ Ｖ Ｅ于 １９９１年提 出 Ｊ，它以独特 的 性质 引起人们 的关注并被广泛研究 。群 签名 允许群体 中任一 成 员代表整个群体对消息进行匿名签名。群签名可 以公开验 证 ，且在发 生纠纷 时，群管理员可以打开群签名 以揭露签名 者 的真 实身份 。但在具体实现中 ，基于 传统 密码体制 的群签 名方案无法避免对所涉及 的公钥证书的存储、传输及管理等 所带来 的额外开销 。为克服这个不足 ，文 献［４】提出基于 身份 的群签名方案。但基于身份 的公钥系统所固有的密钥 托管 问 题 ，对 该体制 下 的群签名 方案构成 了潜在 的安全 威胁 。文 献［２】给出了无证书群签名方案 ，但 其方案不仅使 用了零知识 证 明协议 ，而且签名和验证的运算代价 都很 高。本文基于双 线性 映射设计 出一个新的无证书签名方案 ，并利 用随机预言 机模型证明了它的安全性 。基于该无证书签名方案 ，本文设
２．Ｃｏｌｌｅｇｅ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｑｕｆｕ Ｎｏｒｍａｌ Ｕｎｉｖｅｒｓｉｔｙ，Ｒｉｚｈａｏ ２７６８２６，Ｃｈｉｎａ） ［Ａｂｓｔｒａｃｔ］Ｔｒａｄｉｔｉｏｎａｌ ｄｉｇｉｔａｌ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅｓ ｎｅｅｄ ｍｅｎｔ ｏｖｅｒｈｅａｄ ｆｏｒ ｔｈｅ ｕｓｅ ｏｆ ｃｅｒｔｉｆｉｃａｔｅｓ，ｗｈｉｌｅ ｔｈｅ
＝（ ， ）。
（７）验 证 验证 者按如下方式验证 身份为 ，公钥为 Ｐ，。的用户对 消息 的签名 是否有效 。计算 Ｒ ｅ（Ｖ，Ｐ）·ｅ（Ｑ ， ）～，然 后检 验等式 ｈ＝Ｈ （Ｍ ｌＩ１ＤｌｌＲ ｌ１ ）是否成立 ，当且仅当等式 成立 ，承认 签名 为合 法签名 ，输 出 １；否则签名非法 ，输出 ０。 ３．２ 安全性证 明 下面 利用文 献【６］方法对本文方案进行安全性证明。 定理 １在随机预言机模 型下，若群 Ｇｌ中的 ＣＤＨ问题是 困难的 ，那么 ３．１节 中所构造 的无证书签名方案对于第 １类 攻 击 者 是 安 全 的 。 证 明 ：假设 Ｃ想解决 Ｇｌ中的 ＣＤＨ问题 ，其输 入为 （ａＰ， ｂＰ），他需要计算出 ａｂＰ。假设 ＡＩ是第 １类攻击者 ，他 能以不 可忽略 的概率攻破本文签名方案 。下面证明 Ｃ 能够利用 Ａ 的能力 解决 ＣＤＨ问题 。
（１）双线性 ：对于任何 Ｕ，Ｖ∈Ｇ ， ，ｂ∈Ｚ：，ｅ（ａＵ，ｂＹ）：
ｅ（Ｕ， ） 。
（２）Ｉ１￣退化性 ：存在 Ｕ，Ｖ∈Ｇｊ，使 ｅ（Ｕ，Ｖ）≠１ 。
（３）可计算性 ：对于任何 的 Ｕ，Ｖ∈Ｇ．，存在一个高效 的算 法计算 ｅ（Ｕ， ）的值 。
定义 ２离散对数问题。给定一个阶为 ｑ的循环群 Ｇ，它 的一个生成元 ｇ以及 ｈ∈Ｇ，找到一个值 ａ∈Ｚ 使得 ｈ＝ｇ“。
Ｃｅｒｔｉｆｉｃａｔｅｌｅｓｓ Ｓｉｇｎａｔｕｒｅ ａｎｄ Ｇ ｒｏｕｐ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍ ｅｓ Ｂａｓｅｄ ０ｎ Ｂｉｌｉｎｅａｒ Ｐａｉｒｉｎｇｓ
ＬＩ Ｆｅｎｇ．ｙｉｎ ，一，ＬＩＵ Ｐｅｉ．ｙｕ ，ＺＨ Ｕ Ｚｈｅｎ．ｆａｎｇ （１．Ｓｃｈｏｏｌ ｏｆ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｃｉｅｎｃｅ ａｎｄ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｓｈａｎｄｏｎｇ Ｎｏｒｍａｌ Ｕｎｉｖｅｒｓｉｔｙ，Ｊｉｎａｎ ２５００１４，Ｃｈｉｎａ；
ｉｄｅｎｔｉｔｙ—ｂａｓｅｄ ｄｉｇｉｔａｌ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅｓ ｆａｉｌ ｔｏ ｓｏｌｖｅ ｔｈｅ ｉｎｈｅｒｅｎｔ ｋｅｙ—ｅｓｃｒｏｗ ｐｒｏｂｌｅｍ．Ｃｅｒｔｉｆｉｃａｔｅｌｅｓｓ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅｓ ｎｅｅｄ ｎｏ ｃｅｒｔｉｆｉｃａｔｅｓ ａｎｄ ｃａｎ ｓｏｌｖｅ ｔｈｅ ｋｅｙ－ｅｓｃｒｏｗ ｐｒｏｂｌｅｍ ．Ｔｈｉｓ ｐａｐｅｒ ｐｒｅｓｅｎｔｓ ａ ｃｅｒｔｉｆｉｃａｔｅｌｅｓｓ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ ｆｒｏｍ ｂｉｌｉｎｅａｒ ｐａｉｒｉｎｇｓ，ａｎｄ ｖｅｒｉｆｉｅｓ ｉｔｓ ｓｅｃｕｒｉｔｙ ｕｎｄｅｒ ｔｈｅ ｒａｎｄｏｍ ｏｒａｃｌｅ ｍａｃｈｉｎｅ．Ｉｔ ｄｅｓｉｇｎｓ ａ ｃｅｒｔｉｆｉｃａｔｅｌｅｓｓ ｇｒｏｕｐ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍ ｅ ｆｒｏｍ ｔｈｅ ｃｅｒｔｉｆｉｃａｔｅｌｅｓｓ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ，ａｎｄ ｉｔｓ ｓｅｃｕｒｉｔｙ ｉｓ ｆｏｕｎｄｅｄ ｕｎｄｅｒ ｔｈｅ ａｓｓｕｍｐｔｉｏｎ ｏｆ ｔｈｅ ｃｏｍｐｕｔａｔｉｏｎａｌ Ｄｉｆｉ ｅ—Ｈｅｌｌｍａｎ ｐｒｏｂｌｅｍ ．Ｐｅｒｆｏｒｍａｎｃｅ ａｎａｌｙｓｉｓ ｓｈｏｗｓ ｔｈａｔ ｂｏｔｈ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅｓ ａｒｅ ｓｅｃｕｒｅ ａｎｄ ｈａｖｅ ｈｉｇｈ ｐｅｒｆｏｒｍｉｎｇ ｅｆ ｉ ｃｉｅｎｃｙ．
（６）签 名 假 设 签 名者 的身份 为 ，公 钥 为 ，私钥 为 Ｓ ＝ Ｘ．ＤＩｏ，当输 入一个消息 Ｍ，该签名者按 以下方式对消息
进 行 签 名 ：１）随机 选 取 ｒ∈Ｚ ，计 算 Ｒ＝ｇ ；２）计 算 ： ｈ＝Ｈ２（Ｍ ｌｌ，ＤｌｌＲＩ１ ）， Ｖ＝ｒ·Ｐ＋ｈ－ＳｆｆＪ∈Ｇｌ；３）输 出签 名
（１）参 数 设 置 参照 ３．１节 ｃ 设置系统参数 ｐａｒａｍｓ＝｛Ｐ，Ｇｊ，Ｇ２，Ｐ， ，ｇ， Ｈ。，日 ｝，其 中 ， Ｐｏ＝ａ·Ｐ，并将 系统参数传给 ＡＩ。这里将 Ｈａｓｈ函数 和 看成 随机预言机 。 Ｃ为响应 ＡＩ的 日ｌ询 问、Ｈ２询 问、部分私钥询问、公钥 询问、公钥 替换 询问、秘密值询 问和签名询问 ，必须 维护 以 下 ３个列表 ：列表 日 ，其每一项的格 式为 （，Ｄ， ，Ｑ ，Ｄ ）； 列表 ，其 格式 为 （Ｍ，ＩＤ，Ｒ，Ｐ， ）；列表 ‘，其格 式为 （ＩＯ，Ｘ， ）。限于 篇幅，此处仅给 出公钥替换 询问和签名询问 ， 其余参 阅文 献［５］。 （２）公钥替换询问
当 Ｃ接收到 ＡＩ的关于 用户 ，Ｄ 的公钥替换询 问 （ ， ）
时，Ｃ检索 “ 找到 （ ， ），设置 ｘｉ＝Ｊ＿、 ＝ 。 （３）签 名 询 问 当 Ａ 请求公钥为 尸ｊ，身份为 ，Ｄ 的用户对消息 的签名
无证书签名 方案 的安全性可 用挑战者 Ｃ 和攻击者 Ａ 或 ＡＩＩ间的 ２个 游戏 定义 。
定义 ４ 一个无证书 签名方案 在适应性选择 消息攻 击下 是存在不可伪造 的，当且仅 当任何计 算能 力多项 式受限的攻 击者赢得 以上 ２个游戏 的概率是可以忽略 的。
在下文 中说一个签名 方案是 安全 的，即指它在适应性选 择消息攻击下是存在不可伪造的 。
３ 基于双线性对 的无证书签名方案
３．１ 签 名方案 签名方案 的具体步骤如下 ： （１）系统参 数生成 输入一个安全参数 ｋ，ＫＧＣ选定满足 ２．１节所述性质 的
Ｇｉ，Ｇ２，选定 Ｐ为 Ｇｌ的一个 生成元 ，计算 ｇ＝ｅ（ｐ，Ｐ），并 随机选取 ∈ 作为系统主密钥 ，记 ＝ｓＰ，选择 Ｈａｓｈ