一种基于同源的可追溯环签名方法及系统技术方案

本发明专利技术公开了一种基于同源的可追溯环签名方法及系统，其中的方法包括密钥生成步骤、签名生成步骤、签名验证步骤以及签名追溯步骤，引入OR协议和FS转换构造签名算法，在保证可追溯环签名的正确性和可链接性的同时，满足可追随性这一功能特性，可以利用CSIDH不同安全级别参数有效实例化该系统。本发明专利技术具有安全性高、签名尺寸小等优点，在可链接环签名的基础上，提供了追溯功能，可以广泛应用于区块链匿名投票、电子现金系统等多个应用领域，并且可以抗量子攻击。可以抗量子攻击。可以抗量子攻击。

【技术实现步骤摘要】
一种基于同源的可追溯环签名方法及系统


[0001]本专利技术涉及信息安全
，尤其涉及一种基于同源的可追溯环签名方法及系统。

技术介绍

[0002]数字签名技术作为保证信息完整性和进行身份认证的重要工具，已成为信息安全领域的一项关键技术。根据应用场景和需求不同，衍生出了多种形式的数字签名：环签名、盲签名、代理签名和聚合签名等等。其中环签名(Ring Signature)可以被视为一种特殊的群签名，它没有可信中心，没有群的建立过程，对于验证者来说签名者是完全匿名的。可链接环签名(Linkbale Ring Signature)引入标签这一概念来刻画当前使用环签名的具体事项，同一个私钥产生的两个同一标签下的环签名可以被公开链接。
[0003]量子计算机的出现对经典密码体系造成了体系冲击，与数字签名和公钥加密等基础原语不同，后量子安全的环签名研究起步较晚，仍处在快速发展的阶段。基于同源的密码体系是后量子密码学的一个重要组成部分，该体系下考虑的主要数学问题包括：同源计算问题，自同态环的计算问题和同源图的结构问题，这些问题保证了SIDH
‑
密钥交换(Supersingular isogeny Diffie Hellman)和CSIDH
‑
密钥交换(Commutative Supersingular isogeny Diffie Hellman)的安全性。
[0004]目前后量子环签名方案处于发展阶段，大都是基于格的后量子密码原语，签名尺寸较大，现有的环签名方法无法满足追溯功能。

技术实现思路

[0005]本专利技术提供一种基于同源的可追溯环签名生成方法及系统，引入OR协议和FS转换构造签名算法，在保证可追溯环签名的正确性和可链接性的同时，满足可追溯性这一功能特性，可以利用CSIDH不同安全级别参数有效实例化该系统。
[0006]本专利技术第一方面提供了一种基于同源的可追溯环签名方法，包括：
[0007]密钥生成步骤：根据输入的系统参数pp，输出每个用户的公私钥对；
[0008]签名生成步骤：对于用户π，根据用户π的私钥、系统用户公钥集合R、待签名的消息M和标签L，生成用户π的签名值σ；
[0009]签名验证步骤：签名者根据系统用户公钥集合R、待验证的消息M
′
、标签L和待验证的签名值σ
′
，验证σ
′
的正确性；
[0010]签名追溯步骤：根据标签L以及标签L下的两个消息签名对(M1,σ1),(M2,σ2)，判断两个签名对的关联性。
[0011]在一种实施方式中，系统参数包括S1、X0，密钥生成步骤具体包括：
[0012]a)根据S1为每个用户i生成私钥：sk
i
←
S1；
[0013]b)生成每个用户i的公钥：pk
i
＝X
i
←
sk
i
＊X0；
[0014]其中，S1为加法群G的对称子群，X0、X
i
为有限集合χ中的元素，
←
表示赋值操作，sk
i
为用户i的私钥，pk
i
为用户i的公钥。
[0015]在一种实施方式中，签名生成步骤具体包括：
[0016]a)解析N个用户的公钥；
[0017]b)对标签L进行哈希，映射到集合中的元素T0←
H(L)，对(L,M)对进行哈希：H
′
(L,M)，映射到S1集合中的元素a，计算b
←
sk
π
‑
H
′
(,π)，计算T
π
←
sk
π
·
T0；
[0018]c)对于所有i∈N,i≠π，计算T
i
←
[b+H
′
(a,i)]·
T0；
[0019]d)令R＝{X1,
…
X
N
},T＝{T1,
…
T
N
}运行OR协议的证明子流程：P1((R,T),(sk
π
,π))，生成承诺值序列com＝(salt,(com
i
)
i∈[Z])；
[0020]e)生成挑战值序列chall＝H
FS
(M,(R,T),com)，挑战值符合分布C
Z,K
，即chall序列满足：0的个数为K，1的个数为Z
‑
K；
[0021]f)运行OR协议的证明子流程：P2((sk
π
,π),chall)，生成响应值rsp；
[0022]g)输出签名值σ＝(salt,b,chall,rsp)；
[0023]其中，T
i
,T0为有限集合中的元素，b为对称子群S1中的元素，sk
π
为用户π的私钥，T
π
为用户π在有限集合中对应的元素，H为哈希到有限集合函数，H
′
为哈希到对称子群S1函数，N为环成员数量，salt为随机生成的盐值，chall为挑战值序列，rsp为响应值，com为生成的承诺值序列，P＝(P1,P2)为签名者的运算流程，P1,P2为P的子流程。
[0024]在一种实施方式中，签名验证步骤具体包括：
[0025]a)解析N个用户公钥，解析签名(salt
′
,b,chall
′
,rsp
′
)
←
σ
′
；
[0026]b)计算a
′←
H
′
(L,M
′
)；
[0027]c)对于所有i∈N，计算T
i
＝[b+H
′
(a
′
,i)]·
T0；
[0028]d)由签名值σ
′
，系统用户公钥R＝{X1,
…
X
N
}和计算得到T＝{T1,
…
T
N
}，恢复承诺序列com
′←
RecoverCom((R,T),salt
′
,chall
′
,rsp
′
)；
[0029]e)运行OR协议的验证子流程：V2(com
′
,chall
′
,rsp
′
)，当V2输出接受并且计算H
FS
(M,(R,T),com
′
)，结果与签名σ
′
中的挑战序列chall
′
一致，则接受签名；否则拒绝签名；
[0030]其中，T
i
,T0为有限集合中的元素，b为对称子群S1中的元素，H<本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于同源的可追溯环签名方法，其特征在于，包括：密钥生成步骤：根据输入的系统参数pp，输出每个用户的公私钥对；签名生成步骤：对于用户π，根据用户π的私钥、系统用户公钥集合R、待签名的消息M和标签L，生成用户π的签名值σ；签名验证步骤：签名者根据系统用户公钥集合R、待验证的消息M
′
、标签L和待验证的签名值σ
′
，验证σ
′
的正确性；签名追溯步骤：根据标签L以及标签L下的两个消息签名对(M1，σ1)，(M2，σ2)，判断两个签名对的关联性。2.如权利要求1所述的基于同源的可追溯环签名方法，其特征在于，系统参数包括S1、X0，密钥生成步骤具体包括：a)根据S1为每个用户i生成私钥：sk
i
←
S1；b)生成每个用户i的公钥：pk
i
＝X
i
←
sk
i
★
X0；其中，S1为加法群G的对称子群，X0、X
i
为有限集合中的元素，
←
表示赋值操作，sk
i
为用户i的私钥，pk
i
为用户i的公钥。3.如权利要求1所述的基于同源的可追溯环签名方法，其特征在于，签名生成步骤具体包括：a)解析N个用户的公钥；b)对标签L进行哈希，映射到集合中的元素T0←
H(L)，对(L，M)对进行哈希：H
′
(L，M)，映射到S1集合中的元素a，计算b
←
sk
π
‑
H
′
(a，π)，计算T
π
←
sk
π
·
T0；c)对于所有i∈N，i≠π，计算T
i
←
[b+H
′
(a，i)]
·
T0；d)令R＝{X1，...X
N
}，T＝{T1，...T
N
}运行OR协议的证明子流程：P1((R，T)，(sk
π
，π))，生成承诺值序列com＝(salt，(com
i
)
i∈[z]
)；e)生成挑战值序列chall＝H
FS
(M，(R，T)，com)，挑战值符合分布C
Z，K
，即chall序列满足：0的个数为K，1的个数为Z
‑
K；f)运行OR协议的证明子流程：P2((sk
π
，π)，chall)，生成响应值rsp；g)输出签名值σ＝(salt，b，chall，rsp)；其中，T
i
，T0为有限集合中的元素，b为对称子群S1中的元素，sk
π
为用户π的私钥，T
π
为用户π在有限集合中对应的元素，H为哈希到有限集合函数，H
′
为哈希到对称子群S1函数，N为环成员数量，salt为随机生成的盐值，chall为挑战值序列，rsp为响应值，com为生成的承诺值序列，P＝(P1，P2)为签名者的运算流程，P1，P2为P的子流程。4.如权利要求1所述的基于同源的可追溯环签名方法，其特征在于，签名验证步骤具体包括：a)解析N个用户公钥，解析签名(salt
′
，b，chall
′
，rsp
′
)
←
σ
′
；b)计算a
′←
H
′
(L，M
′
)；c)对于所有i∈N，计算T
i
＝[b+H
′
(a
′
，i)]
·
T0；d)由签名值σ
′
，系统用户公钥R＝{X1，...X
N
}和计算得到T＝{T1，...T
N
...

【专利技术属性】
技术研发人员：韦薇，罗敏，包子健，彭聪，冯琦，何德彪，
申请(专利权)人：武汉大学，
类型：发明
国别省市：