（计算机应用技术专业论文）代理签名的研究.pdf

山东大学硕士学位论文 摘要 随着网络的发展，人类社会对网络的依赖程度逐渐增高，与此同时，网络安 全也越显得重要。密码技术作为保证网络和信息安全的核心技术之一，其内容日 益丰富。密码学的基本目标是实现消息的完整性、认证性、不可否认性、可用性 等，其中认证与保密是信息安全的两个重要方面。数字签名是认证的主要手段之 一，也是现代密码学的重要研究内容。 随着应用需求的增加，基本的数字签名体制已不能满足某些应用的需要，这 就需要某些具有特性的数字签名体制，代理签名就是其中一种。代理签名解决了 数字签名中签名权利的授权问题，在实际应用中具有重要作用，受到国内外学者 的广泛关注。 本文主要致力于代理签名，特别是门限代理签名和指定验证者代理签名的研 究，给出了代理签名的性质、分类和代理签名的研究情况的详细综述，并通过对 代理签名方案的分析和研究，对有缺陷的方案进行了一些改进，并基于新的需求 提出了新的代理签名体制。 首先，本文对t s a i 等人的已知签名人的门限代理签名方案进行了分析，认 为它在原始群签名者和s a 的联合攻击下是不安全的，对此提出了一个改进，使 其可以抵抗提到的联合攻击。 其次，本文在对代理签名、门限体制和指定验证者代理签名体制深入研究的 基础上，提出了一个安全的、基于证书的、指定单个验证者的门限代理签名方案。 在普通的门限代理签名方案中，任何人都能验证门限代理签名的有效性。然而， 在某些情况下，并不希望任何人都能验证门限代理签名，而是希望只有指定的验 证者才能验证。本文的研究正是基于这种需求。在本文的方案中，原始签名者将 签名权利授权给力个代理签名者，t 个或大于t 个代理签名者代替原始签名者签 名时可以指定一个验证者，只有这个指定的验证者可以验证门限代理签名的有效 性，并且在需要的情况下，真正的代理签名者或指定的验证者可以将指定验证者 代理签名转化为可公共验证的代理签名。另外，本文对方案进行了安全性分析， 证明了方案具有强不可伪造性、可识别性、不可否认性、防止滥用以及可以抵抗 合谋攻击等性质。 山东大学硕士学位论文 最后，在指定验证者代理签名体制的研究中，现有的大部分成果只考虑了指 定一个验证者的情况，而在实际应用中，有些情况需要指定多个验证者。本文在 对基于身份的签名体制和指定验证者代理签名体制深入研究和分析的基础上，提 出一个基于身份的指定多个验证者的代理签名方案。在本文的方案中，代理签名 者代替原始签名者签名时可以指定多个验证者，只有指定的多个验证者协作才能 验证代理签名的有效性。另外，通过使用基于身份的密码，用户可以使用公共信 息( 如名字，地址等) 作为自己的公钥，使方案更加简单有效。本文对方案进行 了分析，证明了方案属于强指定验证者代理签名的范畴，并且满足不可伪造性等 安全性要求。 关键词：密码学；数字签名；代理签名；门限签名；双线性对 i i 山东大学硕士学位论文 a b s t r a c t w i t ht h ed e v e l o p m e n to ft h ei n t e r a c t , t h eh u m a ns o c i e t y sr e l i a n c eo nt h e n e t w o r kg r a d u a l l yi n c r e a s e d a tt h es a m et i m e ，t h en e t w o r ks e c u r i t yb e c o m e dm o r e i m p o r t a n t c r y p t o l o g y ，a so n eo ft h ec o r et e c h n o l o g i e st h a tg u a r a n t e et h en e t w o r ka n d i n f o r m a t i o ns e c u r i t y ，i t sc o n t e n ti sb e c o m i n gr i c h e r t h eb a s i co b j e c t i v eo fc r y p t o l o g y i sa c h i e v i n gi n f o r m a t i o ni n t e g r i t y ，a u t h e n t i c a t i o na n dn o n r e p u d i a t i o n ，u s a b i l i t ya n ds o o n a m o n gt h e m , p r i v a c ya n da u t h e n t i c a t i o na r et w oi m p o r t a n ta s p e c t so ft h e i n f o r m a t i o ns e c u r i t y d i g i t a l s i g n a t u r ei s t h ep r i m a r ym e t h o dt o p r o v i d et h e a u t h e n t i c a t i o n ，i ta l s oi so n eo ft h ei m p o r t a n ta s p e c to fr e s e a r c ho fm o d e mc r y p t o l o g y w i t ht h ed e m a n do fa p p l i c a t i o ni n c r e a s i n g ，t h eb a s i cd i 百t a ls i g n a t u r es c h e m e s c a nn o tm e e tt h en e e d so fs o m ea p p l i c a t i o n s ，a n ds o m ed i 百t a ls i g n a t u r es c h e m e s w h i c h p o s s e s sc e r t a i nc h a r a c t e r i s t i c sa r er e q u i r e d , t h ep r o x ys i g n a ：t u r es c h e m ei so n e o ft h e s es c h e m e s p r o x ys i g n a t u r es o l v e dt h ep r o b l e mo fd e l e g a t i o no fs i g n i n gr i g h t ， a n di np r a c t i c e ，p l a y e da ni m p o r t a n tr o l e ，s og o t 埘d ea t t e n t i o no fs c h o l a r st h a ti sa t h o m ea n da b r o a d i nt h i sp a p e rw em a i n l ys t u d yt h ep r o x ys i g n a t u r e ，e s p e c i a l l yt h et h r e s h o l dp r o x y s i g n a t u r ea n dd e s i g n a t e d - v e r i f i e rp r o x ys i g n a t 呱e ，w es u m m a r i z et h ep r o p e r t i e s ， c l a s s i f i c a t i o na n dd e v e l o p m e n to ft h ep r o x ys i g n a t u r e ，a n db ys t u d y i n ga n da n a l y z i n g v a r i o u sp r o x ys c h e m e s ，i m p r o v es c h e m et h a th a v ew e a k n e s s ，a n dp r o p o s en e w p r o x y s i g n a t u r es c h e m e s f i r s t , t h i sp a p e ra n a l y z e st s a ie ta l st h r e s h o l dp r o x ys i g n a t u r es c h e m ew i t h k n o w ns i g n a t u r e s ，a n ds h o w st h a tt s a ie ta l ss c h e m ei sv u l n e r a b l ea g a i n s tt h e c o n s p i r a c yo ft h eo r i g i n a ls i g n e ra n ds a ，a n dp r o p o s ea ni m p r o v e m e n tt h a tc a n o v e r c o m et h ea b o v ew e a k n e s s s e c o n d l y ，i nt h i sp a p e r , b a s e do nt h es t u d yo fp r o x ys i g n a t u r es c h e m e s ，t h r e s h o l d p r o x ys i g n a t u r es c h e m e sa n dd e s i g n a t e d - v e r i f i e rp r o x ys i g n a _ t u r es c h e m e s ，w ep r o p o s e ac a b a s e da n ds a f et h r e s h o l dp r o x ys i g n a t u r es c h e m ew i t hd e s i g n a t e d - v e r i f i e ri nt h e o r d i n a r yt h r e s h o l dp r o x ys i g n a t u r es c h e m e s ，a n yp e r s o nc a nv e r i f yt h ev a l i d i t yo ft h e 山东大学硕士学位论文 t h r e s h o l dp r o x ys i g n a t u r e h o w e v e r , i nc e r t a i nc i r c u m s t a n c e s ，w ed o e sn o tw a n t a n y o n ec a l lv e r i f yt h ev a l i d i t yo ft h r e s h o l dp r o x ys i g n a t u r e s ，b u tt h a to n l yt h e d e s i g n a t e dp e r s o ng a l lv e r i f yt h et h r e s h o l dp r o x ys i g n a t u r e o u rs t u d yi sb a s e do nt h i s d e m a n d i n0 1 1 s h e m e ，t h eo r i g i n a ls i g n e rd e l e g a t et h es i g n i n gr i g h tt o 力p r o x ys i g n e r s ， w h e nto rm o r ep r o x ys i n g e r sc o o r p e r a t i v e l ys i g nm e s s a g e so nb e h a l fo ft h eo r i g i n a l s i g n e r ，t 1 1 e yc a l ld e s i g n a t eav e r i f i e ra n do n l yt h ed e s i g n a t e dv e r i f i e rc a nc h e c kt h e v a l i d i t yo ft h ep r o x ys i g n a t u r e w h e ni ti sn e e d e 也t h ea c t u a lp r o x ys i g n e r so rt h e d e s i g n a t e dv e r i f i e rc a l lf u r t h e rc o n v e r tt h ep r o x ys i g n a t u r e si n t op u l i cv e r i f i a b l e o n e s i na d d i t i o n ，w ea n a l y z et h es e c u r i t yo ft h en e w s c h e m e ，a n dp r o v et h a ti ts a t i s f i e s s t r o n gu n f o r g e a b i l i t y ，i d e n t i f i a b i l i t y ，u n d e n i a b i l i t y ，p r e v e n t i o no fm i s u s e ，r e s i s t c o n s p i r a c ya t t a c k ，e t c f i n a l l y ，i nt h er e s e a r c ho fd e s i g n a t e d v e r i f i e rp r o x ys i g n a t u r es c h e m e ，m o s t p a p e r so n l yc o n s i d e rd e s i g n a t i n go n ev e r i f i e lb u ti np r a c t i c a la p p l i c a t i o n s ，i ns o m e c a s e s ，i tn e e dt od e s i g n a t es e v e r a lv e r i f i e r s i nt h i sp a p e r ，b a s e do nt h ei n d e p t hs t u d y a n da n a l y z eo fi d e n t i t y b a s e d s i g n a t u r es c h e m e sa n dd e s i g n a t e d - - v e r i f i e rp r o x y s i g n a t u r es c h e m e s ，w ep r o p o s eai d b a s e dd e s i g n a t e d - m u l t i v e r i f i e rp r o x ys i g n a t u r e s c h e m e i no u rs c h e m e ，w h e nt h ep r o x ys i g n e rs i g nm e s s a g e so nb e h a l fo ft h eo r i g i n a l s i g n e r ，h ed e s i g n a t e ss e v e r a lv e r i f i e r s ，a n do n l yw h e nt h ed e s i g n a t e d v e r i f i e r s c o o p e r a t e ，廿1 呵c a nc h e c kt h ev a l i d i t yo ft h ep r o x ys i g n a t u r e i na d d i t i o n ，t h r o u g ht h e u s eo fi d e n t i t y b a s e dc r y p t o g r a p h y , u s e r sc a nu s et h e i rp u b l i ci n f o r m a t i o n ( s u c ha s n a m e ，a d d r e s s ，e t c ) a st h e i rp u b l i ck e y , t h i sm a k et h es c h e m en 1 0 r es i m p l ea n d e f f e c t i v e b ya n a l y z i n gt h ep r o p o s e ds c h e m e ，w ep r o v et h a to u rs c h e m ei sas t r o n g d e s i g n a t e dv e r i f i e rp r o x ys i g n a t u r es c h e m e ，a n dh a sm a n yp r o p e r t i e si e u n f o r e a b i l i t y k e y w o r d s ：c r y p t o l o g y ；d i g i t a ls i g n a t u r e ；p r o x ys i g n a t u r e ；t h r e s h o l ds c h e m e s ； b i l i n e a rp a i r s i v 原创性声明和关于学位论文使用授权的声明 原创性声明 本人郑重声明：所呈交的学位论文，是本人在导师的指导下，独 立进行研究所取得的成果。除文中已经注明引用的内容外，本论文不 包含任何其他个人或集体已经发表或撰写过的科研成果。对本文的研 究做出重要贡献的个人和集体，均已在文中以明确方式标明。本声明 的法律责任由本人承担。 论文作者签名：7 良歪丑镭日期：迦厘：竺。上 关于学位论文使用授权的声明 本人完全了解山东大学有关保留、使用学位论文的规定，同意学 校保留或向国家有关部门或机构送交论文的复印件和电子版，允许论 文被查阅和借阅；本人授权山东大学可以将本学位论文的全部或部分 内容编入有关数据库进行检索，可以采用影印、缩印或其他复制手段 保存论文和汇编本学位论文。 ( 保密论文在解密后应遵守此规定) 论文作者签名：色盈璧导师签名 山东大学硕士学位论文 1 1 研究背景 第1 章绪论 随着网络在世界范围的普及和应用，人类社会对网络的依赖程度逐渐增高， 与此同时，网络安全也越显得重要。密码技术是保证网络和信息安全的核心技术 之一，而数字签名是其核心性内容之一。 随着网络越来越多地应用于商业，需要电子领域的、足够安全的体制来代替 基于纸的环境已成即定的发展趋势，数字签名体制即是这些体制中的一种。在日 常生活中，通常用手写签名来保证文件或资料的真实性和认证性，而在网络环境 中，通常使用数字签名技术来模拟日常生活中的手写签名。数字签名像手写签名 一样，提供了文档内容和文档作者的真实性的证明，它将信息发送人的身份与信 息传送结合起来，可以保证信息在传输过程中的完整性，并提供信息发送者的身 份认证，以防止信息发送者抵赖行为的发生。目前，各国已制定了相应的法律、 法规，把数字签名作为执法的依据。 数字签名具有以下特性： 可信性：签名使文件的接受者相信签名者是慎重地在文件上签名的。 不可伪造性：签名证明了是签字者而不是其他人在文件上签名。 不可重用性；签名是文件的一部分，不法之徒不可能将签名移到其他的 文件上。 夺不可改变性：文件签名后，文件不能改变。 不可抵赖性：签名者事后不能声称他没有签过名。 在实际应用中，尽管基本的数字签名体制能够提供个人手写签名的大多数功 能，但是他们却不能满足某些机构的目的。 在一些机构中，印章经常被用来代表整个机构签名，这种情况下，一个机构 的印章代表了这个机构，而不是具有使用印章的权利的个人。印章和手写签名之 间的一个主要的不同就是印章可以传递。可传递性允许有效的和灵活的签名权力 的授权，因此而减少开销。例如，当一个公司的管理者去度假了，他可以将他的 公司印章授权给他的代理人来代替公司签名。这里要求的是透明授权，这意味着 山东大学硕士学位论文 公司的客户不会受到影响，呈现给客户的签名与以前的签名是一样的，并且它们 可以使用相同的过程验证签名。之所以这样要求是因为，对一个个大公司来说， 每次公司里个人的改变都要通知他所有的客户在经济上是不可行的。 不幸的是，基本的数字签名体制，和手写签名一样，是不可传递的。数字签 名体制依赖只有个人知道的秘密的签名密钥，如果这个密钥被授权给别人，他就 不能再被其他人识别，并且，数字签名底层的假设将被攻破。 为了能使数字签名如印章一样传递，我们所需要的是一个授权签名权力的方 法。这个签名授权应不需要将原始签名者的秘密签名密钥暴露给代理签名者，只 需签名接收者通过对验证过程进行微小的改变就可以使用原始签名者的公钥来 验证代理签名者所作的签名。 19 9 6 年m a m b ou s u d a 和o k a m o t o 1 , 2 1 首先提出了代理签名的概念。所谓代 理签名是指原始签名者可以将签名权利授权给代理签名者，代理签名者可以代替 原始签名者对消息进行签名，当收到某一消息的代理签名时，验证者可以通过给 定的验证过程来验证代理签名的正确性。代理签名的出现解决了数字签名中的签 名权的授权问题。 由于代理签名在实际应用中起着重要作用，所以代理签名一提出便受到广泛 关注，国内外学者对其进行了深入的探讨与研究。随着应用需求的不断改变和对 代理签名安全性要求的不断提高，出现了各种各样的代理签名体制，如门限代理 签名、指定验证者代理签名、强代理签名、代理多签名、多代理签名、多代理多 签名等，并随着椭圆曲线密码算法的出现及发展，在代理签名领域出现了各种基 于身份的代理签名体制。 1 2 本文的工作 本文关注于代理签名的研究，对代理签名的性质、分类和发展情况进行了分 析和总结，给出了代理签名的综述，并在此基础上对代理签名体制，特别是对指 定验证者的代理签名体制、门限代理签名体制、基于身份的代理签名体制进行了 深入的研究，改进了t s a i 等的已知签名人的门限代理签名方案；通过对g u i l i n w a n g 的指定验证者代理签名体制进行扩展，提出了一个基于证书的指定验证者 的门限代理签名方案，并给出了方案的安全性分析；通过对指定验证者代理签名 2 山东大学硕士学位论文 方案和基于身份的密码体制的研究，发现在目前的指定验证者代理签名方案中， 大部分都只考虑指定一个验证者的情况，而在实际应用中，有些情况是需要指定 多个验证者的，因此提出了一个基于身份的指定多个验证者的代理签名方案，并 分析了方案的安全性。 本文的具体工作及创新之处： ( 1 ) 给出了代理签名的综述 介绍了代理签名的定义和一般原理； 分析了代理签名的性质和分类： 总结了代理签名的研究现状； 回顾和分析了几个典型的代理签名方案。 ( 2 ) 分析并改进了t s a i 等人的已知签名人的门限代理签名方案： 给出对t s a i 等人的方案的攻击，指出其在联合攻击下是不安全的： 给出了可以抵抗联合攻击的改进： 证明了改进后的方案可以抵抗联合攻击。 ( 3 ) 对g u i l i nw a n g 的指定验证者代理签名体制进行扩展，提出了一个基于 证书的( c a b a s e d ) 、安全的、指定验证者的门限代理签名方案。新的方 案具有以下特点： 方案是基于证书的( c a b a s e d ) ： 在方案中，原始签名者将签名权力授权给刀个代理签名者，t 个或大 于t 个代理签名者代替原始签名者签名时可以指定一个验证者； 只有指定的验证者可以验证代理签名的有效性； 在需要的情况下，真正的代理签名者或指定的验证者可以将指定验 证者代理签名转化为可公共验证的代理签名； 方案是已知签名人的门限代理签名方案； 方案具有强不可伪造性、可识别性、不可否认性、防止滥用以及可 以抵抗合谋攻击等性质。 ( 4 ) 提出了一个基于身份的指定多个验证者的代理签名方案。新的方案具有 以下特点： 方案是基于身份的( d b a s e d ) ； 山东大学硕士学位论文 代理签名者代替原始签名者签名时可以指定多个验证者； 只有指定的多个验证者协作才能验证代理签名的有效性； 方案属于强指定验证者代理签名： 方案满足不可伪造性等安全性要求。 1 3 本文的组织 本文首先对代理签名的研究情况进行了介绍，本文的重点是对代理签名方案 进行理论研究，从而提出能够适应新需求并且安全的新型代理签名方案。本文第 二章，介绍了研究数字签名所需要的基础知识：第三章，给出了代理签名的定义、 一般原理、性质、分类及研究综述，并回顾和分析了几个典型的代理签名方案： 第四章，改进了t s a i 等人的已知签名人的门限代理签名方案；第五章，提出了 一个指定验证者的门限代理签名方案：第六章，提出了一个基于身份的指定多个 验证者的代理签名方案；最后，对全文进行了总结并对进一步的研究工作进行了 展望。 4 山东大学硕士学位论文 2 1 基本的数字签名体制 2 1 1r s a 签名体制 第2 章预备知识 参数：选取两个大素数p ，q 。计算玎= p q ，痧( 以) = ( p - 1 ) ( q 一1 ) 。随机选 取p ，满足l p 矽( 刀) ，g c d ( e ，矽( 刀) ) = l 。计算d - - e m o d # ( n ) 。公钥为( e ，刀) ， 私钥为( d , n ) 。 签名：对于消息m 乙，计算s = 聊dm o d n 。( m ，s ) 即是对消息聊的签名。 验证：对于接收到的签名( m ，s ) ，检验s 。耋mm o d n 是否成立，若成立，则 ( m ，s ) 是对消息脚的有效签名。 2 1 2e l g 帅a i 签名体制 参数：设p 是一个大素数，a z 是一个本原元，随机选择口rz 川，计算 = 扩m o d p ，公开p ，色，保密口。 签名：对于消息m z p ，随机选择k 吒艺一。，计算y = 0 2m o d p ， 万= ( m - a r ) k m o d p - 1 。( 7 , 6 ，m ) 即是对消息聊的签名。 验证：对于接收到的签名验( 7 ，万，m ) ，检验y 5 7 兰口”m c h d p 是否成立，若成 立，则( 7 ，万，m ) 是对消息朋的有效签名。 2 1 3 数字签名标准 参数：设p 是素数，其中2 卜1 p 2 l ，5 1 2 三1 0 2 4 ，且三是6 4 的倍数。 q 是p - 1 的素因子，其中2 1 5 9 g 2 1 6 0 。g = 办( p 一1 nm o d p ，其中h 是满足 山东大学硕士学位论文 1 j l l 1 的任何数。用户随机选择z 乙作为私钥，公 钥为y = g m o d p 。 签名：对于消思m ，随机选择k ，0 k 5 1 2b i t s ，g z ：是一个生成元。原始签名者i c e 的私钥为s z ，一。 o ) ，相应的公钥是 ，= 9 5 m o d p 。m - u - 0 方案使用如下协议： ( 1 ) 代理密钥的生成：原始签名者舢i c e 随机选择七吒z ，一。 o ) ，并计算 k = 9 2 m o d p ，仃= s + k k m o d p - 1 ( 2 ) 代理密钥的发送：原始签名者通过安全信道将( 仃，k ) 发送给代理签名者。 ( 3 ) 代理密钥的验证：代理签名者b o b 检验等式g 。暑v k 。m o d p 是否成立。 如果该等式成立，则( 仃，k ) 是一个有效的代理密钥。否则，他拒绝接受该密钥， 并要求原始签名者重新给他发送一个新的代理密钥，或者停止协议。 ( 4 ) 代理签名者的签名：当代理签名者b o b 代表原始签名者m i c e 在信。gm 。上 签名时，他使用仃代替s 执行普通的签名运算。于是由代理签名者生成的关于聊， 的代理签名( 肌p ，s 忉。( ) ，足) ，其中s i g n ，( m p ) 表示信息m p 用密钥盯所生成的 山东大学硕士学位论文 普通签名。 ( 5 ) 代理签名的验证：验证者在验证代理签名时首先计，然后用，代替， 使用与验证普通签名相同的验证运算就可以验证代理签名的有效性。 m u - o 代理签名体制1 ，2 1 的提出为签名权利的授权提供了新的思路，但是， 它具有以下弱点： ( 1 ) 无限授权。代理密钥仃未包含任何授权限制信息，这样原始签名者已授 权代理签名者无限的权力，因此代理签名者b o b 可以代替原始签名者a l i c e 对任何 信息签名。 ( 2 ) 代理转移。仃的生成未使用任何与代理签名者b o b 的身份有关的信息， 如果b o b 转移( 仃，k ) 给任何其他第三方c a t h y ，c a t h y 就可以代替原始签名者a l i c e 对任何信息签名，且验证者不能确定c a t h y 是否是合法的代理签名者。 因此，m u - o 体制只能在原始签名者a l i c e 完全信任代理签名者b o b 的前提下 使用。后来的体制，特别是使用授权书的代理签名体制，通过使用授权书m 。( 包 含原始签名者和代理签名者的、代理签名的应用范围、授权生命期等) 来避免上面的问题。另外，在部分代理签名中，可以使用附加的代理撤销协议来 撤销代理签名者的签名能力或已产生的代理签名，这也可以避免无限授权。 3 6 2k i m , p a r ka n dw o n s 门限代理签名体制 设p 是一个大素数，q 是p - 1 的一个素因子，g 乏是一个g 阶生成元。 3 6 2 1 无d e a l e r 的随机数生成协议 一个具有随机秘密r 的d e a l e r 随机选择多项式( z ) = r + 口l x + + 口i 一1 x h ，并 将i = ( f ) 秘密地发送给每个鼻( 待1 ，拧) ，f - 播y = g 只m o d p 和g q ， g 铀m o d p ，这个过程可由下面的无d e a l e r 的协议来模拟。 ( 1 ) 每个代理签名者只随机选择，；乙，并向其他代理签名者广播 咒= g m o d p 。 1 6 山东大学硕士学位论文 ( 2 ) 每个代理签名者只随机选择乙上的f 一1 次多项式 z ( x ) = ，；+ a i 1 z + 口f ，2 2 2 + + a i f 1 x f 1 其中z ( 0 ) = ，；，口i t l 口j f _ l 乙。通过安全的方式将z ( 歹) 啪d g 发送给 ( w i ) ，并且广播g 钆，g q hm o d p 。 ( 3 ) 对每一个歹f ，只检验g 肿) 兰乃g ) 7 ( g 唧，一) 一m o d p 。 ( 4 ) 令日= 弓i e 为在第3 步中未发现存在欺骗行为的代理签名者 ，每仑只 计算自己的秘密份额墨= 乃( f ) ，并计算 j a i l y = 兀巧，g = l - i ，g 铀- - f i g 唧h 3 6 2 2 代理保护门限代理签名方案 1 群密钥生成 尸g 运行随机数生成协议，获得群p g 的公共输出v p g ( = 9 7 m o d p ) q = g 勺m o d p ( j = l ，2 ，t - 1 ) ，每个只获得自己的秘密输出。， ( s p o j = f 。( f ) = s p o + c l f + + q i i f - 1 ) 。 2 代理密钥份额生成 ( 1 ) a l i c e 随机选择七z q o ，并计算k = g 。m o d p ，p = 办( 所。，k ) ，这里 的m 。包含原始签名者的i d ，代理签名者的d 等信息。然后a l i c e 计算 仃= e s d 如t + k m o d q 。 ( 2 ) a l i c e 随机选择勺z q ，j = l ，t - 1 ，公开哆= 矿，j = l ，t - 1 ，计 算q = 7 ( f ) = 仃+ 6 1 l + 6 f 一。i 卜1 ，并通过秘密信道将q 发送给每个( i = l ，丹) ， 广播( 朋。，k ) 。 ( 3 ) 代理签名者只计算- e = h ( m 。，k ) ，并检验g q 三( 嵋。k ) i t - l i 哆 i 7 ) r o o dp j = l 山东大学硕士学位论文 若等式成立，则每个只可以计算自己的代理密钥份额( 听，f 置) ： o p j = q + 昂g ，i h ( m 。，k ) m o d q 3 代理签名的生成 令研，为信息，日p g 为代理签名者，不失一般性，我们假设 日= # ll i t ) ，生成代理签名的过程如下： ( 1 ) 日运行随机数生成协议，得到公共输出y ( = 9 7m o d p ) 和 a j = 9 4 7m o d p ( j = 1 ，2 ，f 一1 ) ，每个只得到自己的秘密输出岛( 这里 墨= y ( i ) = ，+ 口1 f + + q l i 卜1 ) 。 ( 2 ) 每个代理签名者只计算 p = 办( y ，m ，) ， 7 产s t + o r e 。r o o d q l 并在曰中公开乃。 ( 3 ) 对于接收到的乃o = 1 , 2 ，t ，j f ) ，每个p 验证： g - ! ( y 尊 ( ( 嵋胁k ) 尊口( 尊掣) 帆目 如 m o d p 若等式成立，每个只日通过对 乃) 运用l a g r a n g e 插值公式计算得到： f = ( o ) + 7 ( o ) + 。( o ) p pm o d q x c m p 的代理签名为( 朋p ，t ，e ，k ，n 。) 。 4 代理签名的验证 验证者计算j ，= g ( ( v 南心如) 枷k ) m o d p ，验证p 三办( y ，聊p ) 。若成立， 则签名( m p ，t ，p ，k ，聊。) 为关于信息聊p 的有效的代理签名。 在k i m ，p a r k 和w o n 的代理保护门限代理签名体制网中，生成的群公钥 未被认证，因此，验证者不能确定是否是由合法的代理群生成。而且，这里 山东大学硕士学位论文 也不可要求c a 来认证。因为v p g 由代理签名者群在线生成，c a 无法相信v p g 确实由代理群生成，而且代理群是动态变化的，由c a 来认证也是不方便也不实 用的。 3 6 3s u n 等人的已知签名人的门限代理签名方案 1 系统参数 系统公用参数：p 是一个大素数，q 是p 一1 的一个大素因子，g z ：是g 阶 元素，办( ) 是一个单向h a s h 函数。m 。是授权证书，a s i d 记录了真正的代理签名 者的身份。 成员密钥：代理群g = 扫。，p ：，p 。) 中的每个成员p ，的私钥为j r f rz g ，经 c a 认证的公钥为y ，= g 毛m o d p ；原始签名者p 。的私钥为x o z 。，经c a 认证 的公钥为y o = g 粕m o d p 。 2 代理密钥份额生成 ( 1 ) 每个代理签名者p ，g 随机生成t 一1 次多项式 z ( x ) = 而+ 口小z + + 口u 一1 x 卜1m o d q 其中口f 1 ，口f 川rz g 为随机数。然后每个p ，从p ，( o f ，_ 2 的g d h 群。占：g x g 寸矿是 双线性映射。随机选择主密钥s 乏并使得= s p 。选择h a s h 函数 日，马： o ，1 寸g 。只是原始签名人，i s = v i i ，昱， 是力个代理签名人组成 的代理签名群。每个用户只拥有一个私钥以g 。 2 密钥生成 给定用户身份，计算q ! d = h 1 ( i d ) e g 及相应私钥如= s 鳓g 。 3 秘密分享生成 2 l 山东大学硕士学位论文 ( 1 ) 每个只彤随机选择f - 1 次多项式：z ( x ) = 口i i 一+ 口l 。其中，随机系 a i ，石，公开4 j = a a p ，1 = 0 l ，1 一，t 一1 。只通过安全信道把j ( ( j ) 发送给弓， 其中j i 。 ( 2 ) 弓通过验证等式z ( 歹) p = j 七也是否成立来验证j ( ( _ ) 的有效性。 ( 3 ) 每个只计算他的秘密分享值，；= ：一。五( f ) 并公开u = r i p 。 4 代理密钥份额生成 设m 。是授权证书，它包括：原始签名者及代理群中代理签名者的身份，门 限值t ，有效委托时间等等。代理签名者只通过以下各步得到其代理密钥份额： ( 1 ) 原始签名人昂首先随机选取乞乏，并计算= 乞p 。使得 玩= h 2 ( i o o ，m 。，虬) ，然后计算圪= 蟊+ 乞日。x c m 。的签名是国= ( 虬，圪) 。最 后，咒把国和m 。发送给每个只p s 。 ( 2 ) 为了验证身份为蛾的用户对消息朋。的签名国= ( 睨，圪) 的有效性，代理 签名人只首先计算q o = 日，( 蛾) g 和日。= h 2 ( d o ，m 。，睨) g 。如果等式 占俨，圪) = 占( ，q o ) 占( 睨，也) 成立，则接受签名，否则拒绝签名。如果签名国被 接受，只计算i = 4 + 吉圪作为自己的代理密钥。 ( 3 ) 只随机选择一个( f - 1 ) 阶多项式& ( d = 一+ 墨，其中系数g 。公 开e 。= 占妒，6 i ，) ，= 1 ，2 ，t 一1 。每个代理签名人可以通过计算以下等式得到e 。 e ( p ，墨) = 占( ，q ( 以) ) 占( ，去q 0 ) 占( 叱，吉日。) 。只通过安全信道把蜀( 歹) 发送给 0 。 ( 4 ) 接收到旬( f ) 后，霉通过验证等式占( p ，毋o ) ) ：丌t - i 是否成立来判断其正 山东大学硕士学位论文 确性。最后只计算代理签名密钥份额为s 缸= ：。g 。( f ) ，并公开占( p ，s k p , ) 。 5 代理签名生成 设d = 0 ，昱， 是代表原始签名人最为消息朋签名的代理签名者，签名 生成过程如下： ( 1 ) 使用l a g r a n g e 插值算法计算u = ：= 。碾q ，其中仇= n 嚣五一寺，设 日= h 2 ( 聊，u ) 。 ( 2 ) 每个霉d 计算巧= 妇+ ，；日和q = ( 阢，) 作为其代理签名份额。 ( 3 ) 接收到q 之后，指定的管理员通过验证等式占( p ，k ) = j ( p ，电) 占( u ，h ) 是否成立来验i 正o - , 的正确性。如果所有的对消息聊的代理签名份额都有效，管 f 理员就计算y - - z 仇k 。对消息肌的代理签名是：( m ，朋。，( 【厂，y ) ) 。 i = 1 6 代理签名验证 验证者首先计算q = h 1 ( 崛) g ( i = o ，l ，刀) ，瓯- - h 2 ( d o ，m 。，) 和 h = 皿伽，u ) g 。验证等式 吾( p ，矿) = 吾( ，q ) 毒( u ，日) 占( ，吃) 是否成立。若成立，则接受签名，否则拒绝签名。 可以从代理签名人对原始签名人的签名验证阶段以及最后的代理签名验证 阶段看到，上述签名方案1 的计算量过大，不适合实际应用的要求。 3 7 本章小结 本章介绍了代理签名的定义、一般原理、性质要求、分类、并对代理签名的 研究与发展情况进行了综述，使我们更加全面地掌握了代理签名的有关内容。另 外，本章对几个典型的代理签名方案，包括基本的代理签名方案、门限代理签名 方案、指定验证者代理签名方案、以及基于身份的代理签名方案，进行了介绍和 分析，使读者对各种代理签名方案有了一个基本的认识，也为我们后面体制的提 山东大学硕士学位论文 出提供了坚实的理论基础。 山东大学硕士学位论文 第4 章对t s a i 等的已知签名人的门限代理签名方案的改进 所谓门限代理签名是指将代理签名密钥在指定的刀个代理签名者中分布，每 个代理签名者获得一份代理密钥份额，只有刀个代理签名者中的t 个或更多个代 理签名者协作才能代替原始签名者产生一个代理签名，任何少于t 个的不诚实的 代理签名者不能伪造一个代理签名。门限代理签名由于具有很好的性质而备受关 注。 根据代理签名群中的实际的代理签名者是匿名的还是已知的，门限代理签名 体制可以分为两种：匿名签名人的门限代理签名和已知签名人的门限代理签名。 1 9 9 9 年，s u n 首先提出了已知签名人的不可否认门限代理签名方案【1 1 1 ，但是它 不能抵抗合谋攻击，h s u 等人对它进行了改进【1 3 1 。t s a i ，t z e n g 和h w a n g 【1 6 】认为 h s u 等人的体制 1 3 1 不能抵抗公钥替换攻击和内部攻击，一个恶意的原始签名者或 是恶意的代理签名者能模拟某些别的代理签名者生成代理签名，由此提出新的克 服这些弱点的已知签名人的不可否认门限代理体制。 本章分析了t s a i 等人的门限代理签名方案，指出其在原始签名者和s a 的联 合攻击下是不安全的，原始签名者可以对任一消息伪造有效的代理签名，即方案 不具有强不可伪造性。本章对此提出了一个改进，分析了改进后方案的安全性， 证明了改进后的方案可以抵抗所提出的攻击。 4 1t s a i 等人的方案回顾 1 系统参数 p 是一个大素数，q 是p 一1 的一个大素因子，g 是g f 0 ) 中阶为qb 3 q =