（计算机应用技术专业论文）基于ecc盲签名的安全数字时间戳的研究与实现.pdf

摘要 时间戳为用户数据提供一个不可更改、不可伪造，且具有可鉴别性的时间标记，防 止用户事后抵赖行为，尤其是为电子文件或电子交易提供准确的时间证明，在电子商务 和知识产权保护中有着重要的作用。 目前提出的时间戳机制有绝对认证和相对认证两种，相对认证机制主要有简单的时 间戳机制、线性链接机制、树型机制、二进制机制、十进制机制等，这些机制不能解决 前向时间伪造的问题，即将现在时间点上的时间戳加盖到过去的文档上，或者未来的某 一个时间戳加盖到现在的文档上；时间戳绝对认证机制反映的是真实的日期和时间的信 息，绝对认证机制能够有效解决前向时间伪造的问题，但并不能够防止签名者与时间戳 服务机构合谋作假的情况，他们可以用一个过去不正确的时间来伪造该签名者的时间 戳，而这正是属于后向时间伪造的范畴。 。一 本文在时间戳绝对认证和相对认证两种机制的基础上，提出了基于e c c 盲签名的安 全数字时间戳方案，并对该方案的性能进行了安全性及复杂性分析，主要的研究工作如 下： 分析目前时间戳机制的功能、研究现状，并指出了目前时间戳机制存在的不足 之处； 提出了e c c 盲签名算法，并应用到安全数字时间戳服务中，从而解决了安全数 字时间戳服务中时间戳的伪造问题。给出了基于e c c 盲签名的安全数字时间戳 方案的结构模型，并对提出的方案进行了安全性及复杂性分析； 使用v c 6 0 开发平台中的t c p 流式套接字( s o c k e t ) 技术，实现了基于e c c 盲 签名的安全数字时间戳系统关键功能。 关键词：数字时间戳；数字签名；e c c 盲签名；时间戳权威 a bs t r a c t t i m e - s t a m p i n gc a np r o v i d ean o n - c h a n g e , n o n - f o r g e r y , i d e n t i f i e ro ft i m em a r k e rf o r u s e rd a t a , a n dp r e v e n tf r o mu s e rs u b s e q u e n t l yd e n y i n ga c t s ，e s p e c i a l l yc a np r o v i d ea c c u r a t e t i m ef o re l e c t r o n i cd o c u m e n to re l e c t r o n i ct r a n s a c t i o n s t h e r ei sa ni m p o r t a n tr o l ei nt h e e - c o m m e r c ea n di n t e l l e c t u a lp r o p e r t yr i g h t sp r o t e c t i o n a tp r e s e n t ，t h e r ea r ea b s o l u t ea u t h e n t i c a t i o n sa n dr e l a t i v ea u t h e n t i c a t i o n s r e l a t i v e a u t h e n t i c a t i o n si n c l u d e s i m p l et i m e - s t a m p i n gm e c h a n i s m , o n l i n e l i n k m e c h a n i s m ，a n d t r e e ，b i n a r y , d e c i m a lm e c h a n i s m s ，a n ds oo n b u tt h e s es c h e m e sc a nn o ts o l v et h ep r o b l e mo f f o r g e r yo ft h ef o r w a r dt i m e , t h a ti s ，t h e n o wt i m e s t a m p i n gs t a m p so nt h eb a c k w a r d d o c u m e n t ，o rt h ef u t u r et i m e s t a m p i n gs t a m p so nt h en o wd o c u m e n t a b s o l u t et i m e - s t a m p i n g m e c h a n i s mr e f l e c tt h ea c t u a ld a t ea n dt i m ei n f o r m a t i o n , a b s o l u t ea u t h e n t i c a t i o n ss c h e mc a n e f f e c t i v e l ys o l v ef o r g e r yo f f o r w a r dt i m e ，b u tc a nn o tp r e v e n tt h es i g n a t u r e r sa n dt s a c o l l u s i v ef r o mf r a u d i n g n e ym a yu s e ap a s tt i m et of o r g et h et i m e - s t a m p i n go fs i g n a t u r e ，t h i s i sf o r g e r yo ft h eb a c k w a r dt i m e - s t a m p i n g ? b a s e do na b s o l u t ea n dr e l a t i v e t i m e s t a m pm e c h a n i s m ，d i g i t a lt i m e - s t a m p i n g m e c h a n i s mi sp r o p o s e d , u s i n gt h ee c cb l i n ds i g n a t u r e i t sp e r f o r m a n c ei s a n a l y z e do n s e c u r i t ya n dc o m p l e x i t y m a i nr e s e a r c hi ss h o w na sf o l l o w s ： t h ef u n c t i o na n dc u r r e n tr e s e a r c ho ft h et i m e s t a m p i n gm e c h a n i s mi sa n a l y z e d 1 1 1 e s h o r t a g eo f c u r r e n tt i m e - s t a m p i n gm e c h a n i s mi sp o i n t e do u t ； a na l g o r i t h mo ne c cb l i n ds i g n a t u r et i m e - s t a m p i n gi sp r o p o s e d t h ea l g o r i t h m , w h i c hi sa p p l i e di n t h ef i e l do fs e c u r e d i g i t a lt i m e - s t a m p i n gs e r v i c e ，s o l v e s t i m e s t a m p i n gf o r g ep r o b l e m s t r u c t u r e m o d e lo ft h e d i g i t a lt i m e - s t a m p i n g m e c h a n i s mi sg i v e no nt h eb a s i so fe c cb l i n ds i g n a t u r e i t sp e r f o r m a n c ei sa n a l y z e d o ns e c u r i t ya n dc o m p l e x i t y ； u s i n gt c ps t r e a ms o c k e tt e c h n i q u ei nt h ed e v e l o p i n gp l a t f o r mo fv c 6 0 ，k e y f u n c t i o n si nt h ed i g i t a lt i m e s t a m p i n gm o d e lo nt h eb a s i so fe c cb l i n ds i g n a t u r ea r e i m p l e m e n t e d k e yw o r d s ：d i g i t a lt i m e - s t a m p i n g ；d i g i t a ls i g n a t u r e ；e c c b l i n d s i g n a t u r e ； t i m e - s t a m p i n ga u t h o r i t y n 长沙理工大学 学位论文原创性声明 本人郑重声明：所呈交的论文是本人在导师的指导下独立进行研究所取得的 研究成果。除了文中特别加以标注引用的内容外，本论文不包含任何其他个人或 集体已经发表或撰写的成果作品。对本文的研究做出重要贡献的个人和集体，均 已在文中以明确方式标明。本人完全意识到本声明的法律后果由本人承担。 作者签名：刘志鼠反 学位论文版权使用授权书 本学位论文作者完全了解学校有关保留、使用学位论文的规定，同意学校保 留并向国家有关部门或机构送交论文的复印件和电子版，允许论文被查阅和借 阅。本人授权长沙理工大学可以将本学位论文的全部或部分内容编入有关数据库 进行检索，可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。 本学位论文属于 一 l 、保密口，在年解密后适用本授权书。 2 、不保密团。 ( 请在以上相应方框内打“ ) 作者签名：剀去积 各撕 日期e ；椿、【。月；匆e l 眺潞年歹叫日 1 1 研究的背景和意义 第一章绪论 1 研究的背景 随着社会信息化步伐的加快，信息的安全性显的尤为突出。一般来讲，信息的安全 性包括：信息的保密性、信息的完整性、信息的可认证性和信息的抗抵赖性。信息的 保密性是指数据被加密，有效挫败敌方窃听式攻击；信息的完整性是指能有效地发现数 据是被入侵者篡改；信息的可认证性是指通过一些附加的关联数字标识能判断数据产生 者身份；信息的抗抵赖性是指数据的产生者在数据产生后不能再抵赖产生这一数据的事 实。信息的保密可以通过加密算法来完成，信息的完整性和信息的可认证性可以通过数 签名来实现。但是，数字签名只能在一定的时间和空间范围内，有效地使数据具备完整 性和可认证性，并不能防范用户的抵赖行为( 比喻用户假冒密钥被盗) ，这是数字签名 的一个严重缺陷，这一缺陷须通过时间戳来解决。 电子交易已逐渐进入人们的生活，其安全性也逐渐成为人们关注的主题。目前普 遍采用的是公钥基础设施p k i ( p u b l i ck e yi n f r a s t r u c t u r e ) 确保电子交易的安全。p k i 可以在电子化社会中建立人们之间的信任关系，但是要保证交易的防抵赖，依靠单纯的 数字签名技术是无法实现的。因为要防止抵赖，不仅需要对交易数据进行数字签名，还 必须保证此交易数据在某一时间之前的存在性，这通常要借助于时间戳来解决。时间戳 所扮演的角色即为数字化的邮戳，是信息时代不可缺的安全机制，时间戳可以为任何电 子文件或电子交易提供准确的时间证明，它将一份信息或文件与某特定时间关联起来， 以证明该文件在某一时间点就已存在，即使凭证已过期或取消，但仍具备不可否认性的 功能，且能验证文件或交易的内容自盖上时间戳后是否曾被人修改过。 2 研究的意义。 带有时间戳的签名方案将不可篡改的时间信息纳入数字签名方案，利用时间戳服务 开展成功的电子商务应用，要求交易结果对于参与双方应该是有约束力的，参与方不能 否认其行为，从而解决一系列的实际和法律问题。在很多情况下，人们需要证明某个文 件在某个时期存在，如版权或专利争端，谁拥有产生争议的最早副本，谁就会赢得官司。 对于纸上的文件，公证人可以对文件签名，律师可以保存副本，如果产生了争端，公证 人或律师可以证明某封信、某个文件产生的时间。而数字世界中，事情就变得复杂得多 了，因为数字文件可以随时产生，甚至是无止境地被复制和修改而无法被发现。现在， 在计算机上重建文件、改变文件的时间是件轻而易举的事情，没有人看到数字文件后能 确定其产生的确切时间。由于用户桌面时间很容易改变，由该时间产生的时间戳便不可 信赖，因此需要一个第三方来提供可信赖的且不可抵赖的时间戳服务，打上时间戳的过 程就是将一个可信赖的日期和时间与数据绑定在一起的过程。数字时间戳技术是数字签 名技术的一种变种的应用。 。 数字时间戳可以为任何电子文件或网上交易提供准确的时间证明，并且可以检验出 文件或交易的内容自加上时间戳后是否曾被人修改过，电子时间戳就如一个值得信赖的 第三者或公证人，为用户提供可靠的时间确认服务。在电子商务交易文件中，时间是十 分重要的信息，在书面合同中，文件签署的日期和签名一样均是十分重要的防止文件被 伪造和篡改的关键性内容，数字时间戳服务是网上电子商务安全服务项目之一，能提供 电子文件的日期和时间信息的安全保护。 数字时间戳的应用领域主要有：金融服务、个人或者公司银行服务、股票交易、 零售业、直销、政府、在线拍卖、制造、供应链管理系统、医疗网络、投标、数 字产品专利和版权保护，其实数字时间戳的应用远不止这些，应用范围将随着计算机信 息技术的发展而延伸。数字时间戳服务有很多的应用场合，最常见的是数字公证，签署 的合同( 或文件) 被提交给时间戳服务，以便证明合同( 或文件) 是在一个特定的时 间里签署的。在知识产权方面，可以将知识产权的有关文件提交给t s a ，以便证明它在 一个特定的时刻确实存在，如果发生与产权有关的法律纠纷，时间戳可以证明谁拥有最 早的文件副本。其研究的必要性主要体现在以下几个方面： ( 1 ) 电子商务交易的需要 在一个典型的i n t e r n e t 交易中，交易双方是通过s s l ( s e c u r es o c k e tl a y e r ) 建 立端到端的安全链接，双方在这条安全的通道上进行交易，通过使用s s l ，交易数据的 私密性、完整性以及发方鉴别都可得到解决，但是如何保证交易的不可否认性，单纯通 过s s l 是无法实现的。 ( 2 ) 知识产权的需要 互联网不但让人分享资源，而且还促进知识的交流，但部分人缺乏保护知识产权的 意识，也不尊重别人的创作成果，肆意抄袭别人的作品，甚至据为己有。 ( 3 ) 增强p k i 服务的需要 p k i 数字签名口1 的安全性直接依赖于用户私钥的保密，假如用户私钥意外失密，由 该私钥产生的所有数字签名必须作废，可见，数字签名不具备永久验证性。 ( 4 ) 能提供电子文件的日期和时间信息的安全保护的需要 所有电子数据或资料，不论是什么样的格式或内容，都可以加上数字时间戳口3 ，这 个可靠的时间核证服务可应用于网上商务交易、电子邮件、加密信息、保障知识产权和 其他需要准确时间的的场合，d t s ( 数字时间戳服务) 是用一种强大的加密方式，在一 份数字文档中标注日期和时间戳。d t s 可在以后的时间中证明在该时间戳表明的时间内 曾有过一份电子文档“】【5 】。 2 1 2 数字时间戳研究现状 1 国外研究现状 时间戳协议最早是2 0 世纪9 0 年代初开始研究，近几年才引起人们的广泛关注。b e l l 公司的h a b e r 和s t o r n e t t a 最早对如何确定数字文档产生和修改日期这一问题进行了 研究，他们提出了使用h a s h 函数和数字签名手段来加盖数字时戳的思想，并给出了两 种数字时戳的实现方案：分布式信任时间认证协议和链接信任时间认证协议，并已申请 了美国专利。 1 9 9 4 年b e n a l o h 和d em a r e 提出了一种包括请求者和时间戳服务器的链接时间戳 方案，它采用了被称为“单向累积器 的技术砸1 。单向累积器简单的定为一个单向哈希 函数f ：x y x ，对于所有的x x ，y 。，y 2 y ，有f ( f ( x ，y ) ，y ) = f ( f ( x ， y ) ，y ) 。在该方案中，r s a 被用作单向累积器。 1 9 9 5 年t a k u r a 提出了分布式时间签名系统明，它包括了两种类型的服器：接听服 务器和多个签名服务器。时间戳请求者把它的请求发送到接听服器，接听服务器给该请 求加上时间信息，然后把该请求发送给多个签名服器，每个签名服务器都生成一个部分 签名发送回给接听服务器，如果部分签的个数大于预设的个数，接听服务器就生成一个 数字签名连同时间戳发回给间戳请求者嘲。 p k i t s ( p u b li ck e yi n f r a s t r u c t u r ew i t h t i m es t a m p i n ga u t h o r i t y ) 是e t s ( e u r o p e a nt r u s t e ds e r v i c e s ) 的工程之一，它是由e u r o p e a nc o m m i s s i o n 在1 9 9 8 年 启动资助的研究项目嘲。在p k i t s 里，对于数字时间戳涉及到了理论和实际应用中的研 究，并提出了一些建议性的时间戳方案n 阳。在这些建议性的数字时间戳方案中，被称为 “同步处理 新机制的链接时间戳方案吸引了相关人士更多的注意，它假设存在多个时 间戳服务器，为了取得时间戳的链接信息，它们中的每一个定时间的向从其它时间戳服 务器中随机选中的一个发送它的链接信息。 1 9 9 6 年至1 9 9 8 年，比利时的f e d e r a lo f f i c ef o rs c i e n t i f i c 、t e c h n i c a lc u l t u r a l a f f a i r s 为研究时间戳而建立了称为t i m e s e c 的工程项目。比利时安全专家主要的贡献 就是促进了t i m e s e c 项目的发展并提出了一个链接时间戳方案。该方案有两个特征：其 一，类似数字认证，时间戳服务器在每一轮中用简单二进制树结构聚合时间戳请求者发 来的哈希值；其二，它利用了双重哈希函数，更好的保证了方案的安全性。 d i g i t a ln o t a r y 是由s u r e t y c o l l l 提供的时间戳服务，s e r c u r e s e a l 是由在日本的 n t td a t a 作为s u r e t y c o m 的代理提供的与d i g i t a ln o t a r y 相同的服务。d i g n o t a r y 的 实体包括请求者和时间戳服务器。一个时间戳文档由时间戳的标识i d - 、加戳的哈希值 h 。、同一轮中时间戳服务器收到的其它哈希值集合l _ i 和时间信息t - 。它采用了双重哈希 函数：s h a 一1 和m d 5 ，生成的哈希值的长为2 8 8 位n 羽。 b u l d a s 等于2 0 0 0 年提出的链接时间戳方案包含以下四个特征n 羽：第一，它采用了 称为“线索认证树的树结构来生成时间戳；第二，该方案提供了相对时间认证，它是 通过时间证书来包含足够的数据来证明时间戳在哪一轮及轮内生成的顺序；第三，p a ( p u b l i ca u t h o r i t y ) 在每一轮结束时发布一个“累积轮时间戳刀作为相对时间认证的 证据，轮的时间戳由本轮内的累积哈希值和上一轮的时间戳计算而得；第四，查证方不 需要时间戳服务器的参与进行查证计算。 2 国内研究现状 国内有关学者主要就协议的可实现性和安全性进行了研究u 钔，结合实际问题提出了 一些改进的时间戳认证协议和时间认证方案n 射。相对来讲，目前国内讨论数字时间戳系 统工程化实现技术方面的文献较少，这有工程化实现技术保密的因素，也有时间戳认证 服务在实际中未真正广泛应用的原因。 陈开渠提出了一个十进制的时间戳协议n 阳，因为它每轮中有1 0 个时间文档，每1 0 轮又组成一个新的轮。十进制的时间戳协议采用了类似同步树方案的机制，轮内的时间 戳是线性链接的，轮和轮的时间戳也是线性链接的，当轮的序号能整除1 0 1 ( i 为大于o 的正整数) 时，轮的时间戳增加向前第1 0 1 时间戳的链接信息。十进制的时间戳方案提 高了一般的线性链接方案的查证效率。 近年来，我国信息安全标准化工作取得了显著成就，围绕信息安全保障体系建设， 以信息安全技术、机制、服务、管理和评估为重点，共发布信息安全国家标准5 4 项。 特别是2 0 0 2 年4 月全国信息安全标准化技术委员会成立后，先后研究制定信息安全等 级保护、鉴别与授权、信息安全管理、信息安全测评认证等方面的国家标准3 3 项。这 些标准为推进我国信息安全标准化工作奠定了良好基础，在国家信息安全保障体系建设 中发挥了重要作用。现发布的g b t2 0 5 1 8 - 2 0 0 6 信息安全技术公钥基础设施数字证 书格式、g b t2 0 5 1 9 - 2 0 0 6 信息安全技术公钥基础设施特定权限管理中心技术规范 和g b t2 0 5 2 0 2 0 0 6 信息安全技术公钥基础设施时间戳规范三项信息安全国家标 准，作为公钥基础设施的关键基础标准，对中华人民共和国电子签名法的实施和我 国网络信任体系建设将起到重要的规范性作用，对促进民族信息安全技术和产业发展、 提高我国信息安全产业的国际竞争力有着重要意义 目前，结合电子政务( 南海) 示范工程实践讨论了时间戳服务系统设计实现的一般 方法，给出了一种安全时间戳系统s e t s s 的体系结构设计，就其可信时间分配系统的结 构和功能实现进行了深入讨论n 7 1 虽然一些认证机构提供了时间戳服务，但在实践中， 人们尚未意识到时间戳服务的重要性，电子交易过程中时间戳服务很少被采用，而且这 方面的探讨也比较少。目前我国，陕西省电子商务安全证书管理中心、中国协卡认证体 系( s h e c a ) 、广东省电子商务认证中心、中国数字认证网、中国金融认证中心( c f c a ) 等提供时间戳服务。时间戳协议n 町属于一个比较新的领域。在此领域，虽然人们提出了 不少时间戳协议，但并未有一种时间戳协议成为行业标准，仍在探索新的时间戳协议 【憎】【】 4 3 目前时间戳机制存在的不足 综上所述，目前提出的时间戳机制有绝对认证和相对认证两种，相对认证主要有简 单的时间戳机制、线性链接机制，在线性链接机制的基础上加以改进，又提出了树型机 制、二进制机制、十进制机制等，这些机制不能解决前向时间伪造的问题，即将现在时 间点上的时间戳加盖到过去的文档上，或者未来的某一个时间戳加盖到现在的文档上； 时间戳绝对认证机制反映的是真实的日期和时间的信息，但并不能够防止签名者与时间 戳服务机构合谋作假的情况，他们可以用一个过去的不正确的时间来伪造该签名者的时 间戳，而这正是属于后向时间伪造的范畴。所以要解决的关键问题是：在原有时间戳方 案的基础上既要防止前向时间戳伪造，又要防止签名者与时间戳服务机构之间的串通作 假，即后向时间伪造。 1 3 本文的主要工作 时间戳为用户数据提供一个不可更改、不可伪造，且具有可鉴别性的时间标记，防 止用户事后抵赖行为。一个可靠的时间戳应考虑到下面五点要求： 1 私密性：危及文档私密性有两种方式： ( 1 ) 能够侦听t s a 通信通道并能窃取文档； ( 2 ) 在t s a 传送阶段后获得文档。 2 通信通道和存储容量：发送文档所需时间或t s a 存储文档存储容量大小取决文档 自身的大小。对大容量文档加注时间戳所需的传送和处理时间变得非常昂贵。 3 故障：t s a 的文档副本在传送过程中被破坏，被不正确加注时间戳，或存储期间 某时丢失了。任何一种可能的情况都能使用户的时间戳无效。 4 可信度：没有什么能确保t s a 不会用不同的日期和时间标记文档。 5 匿名性：t s a 不能将文档和用户联系起来。 因此一个时间戳应具有以下4 条性质： ( 1 ) 时间戳本身必须具有明确的时间标记。 ( 2 ) 不能产生完全相同的时间戳和具有相同时间标记的时间戳，即具有惟一性。 ( 3 ) 对时间戳数据的任何改动，整个数据没有明显的变化是不可能的。 ( 4 ) 不能用不同于当前日期和时间的日期和时间来标记数据。 目前提出的绝对认证和相对认证两种时间戳方案，都存在不可靠性，相对认证机制 不能解决前向时间伪造的问题；绝对认证机制不能够防止签名者与时间戳服务机构合谋 作假的情况。根据目前存在问题，作者以数字时间戳机制为目标，围绕时间戳的可靠性 展开以下工作： 1 深入分析了时间戳机制的功能、研究现状： 2 结合时间戳应具备的要求以及同行所做的前沿工作，提出了一种基于e c c 盲签 s 名的安全数字时间戳方案，该方案属于时间戳绝对认证的一种，能有效的防止前向时间 伪造，同时，该方案运用了盲数字签名，t s a 与签名者之间无法串通，因此也能有效的 防止后向时间伪造； 3 对提出的方案进行了分析，分析表明该方案很好地保护用户的隐私权，并且有 较高的安全性能，传送的信息长度短，存储空间要求低，具有较高的签名效率，并有效 的解决了时间戳目前存在的问题，是一个实用的方案； 4 给出了e c c 盲签名的数字时间戳方案的结构设计和模型，并完成了该方案的部 分核心代码的编写。 论文后续章节的结构安排如下：第二章介绍了数字时间戳的密码学基础理论知识， 包括h a s h 算法、数字签名、盲签名、椭圆曲线、公钥基础设施p k i 等；第三章对目前 的数字时间戳机制进行了分析、比较，指出了存在的不足；第四章给出了椭圆曲线盲签 名的数字时间戳方案解决的关键问题及实现技术，并对该方案进了安全性分析：第五章 完成了时间戳服务系统的部分核心代码的编写；最后对全文进行总结并提出进一步的工 作。 6 第二章数字时间戳的密码学基础 在保障信息安全的过程中，数字时间戳始终同数字签名紧密地联系在一起，t s a 依 靠数字签名来实现自身的身份论证，数字签名是实现消息论证的一个重要手段，它依靠 的是公钥密码技术。一般来说，一个数字签名方案由安全参数、消息空间、签名、密钥 生成算法、签名算法和验证算法等构成。它和其它相关密码技术构成了数字时间戳的密 码学基础。本章着重对这些技术进行讨论。 2 1h a s h 算法 信息系统由计算机转入互联网时代使得网络安全成为一个重要而基本的研究课题。 在网络通信环境中，攻击者可能对消息内容和顺序进行修改，从而达到攻击的各种目的。 安全的通信环境需要消息认证用来验证所收到的消息确实是来自真正的发送方且未被 修改的消息强。数据完整性和消息认证嘲用到了密码学h a s h ( ) 函数( c r y p t o g r a p h yh a s h f u n c t i o n ) ，其基本思想是把h a s h ( ) 函数值看成是输入的消息摘要( m e s s a g ed i g e s t ) ， 当输入中的任何一个二进制位发生变化时都将引起h a s h ( ) 函数值的变化。密码学h a s h ( ) 函数能够接受任意长的消息为输入，并产生固定长的输出。h a s h ( ) 函数可以用于 消息或文件的完整性检验。h a s h ( ) 函数的另一个常用方面是数字签名：待签名的消息 要先经h a s h ( ) 函数进行摘要，然后对这个固定长的摘要签名。h a s h ( ) 函数的定义 为h ：d r ，令d = l o l 为定义域的大小，n = l p 刘为值域的大小，且d n 即h a s h ( ) 函数 的值域与定义域相比规模要小得多，是“多对一 的映射。为了满足数据完整性和消息 认证的需要，h a s h ( ) 函数必须满足特定的密码学需求。 _ 数字摘要也称为数字指纹( d i g i t a lf i n g e r p r i n t ) 、消息摘要，其基本原理是利用 单向散列函数( h a s h 函数) 对发送信息进行运算，生成一串固定长度的数字摘要。数字 摘要并不是一种加密机制，但可以用来判断数据有没有被窜改，从而保证了信息的完整 性不被破坏。单向散列函数i t ( m ) 作用于任意长度的消息m ，返回一个固定长度的散列 值h ，h 的长度为i l l ：h = h ( m ) 。这个固定长度输出就叫做源输入消息的数字摘要( 或称 哈希值、散列值、消息摘要、数字指纹) 。单向h a s h 函数主要特点如下： 1 它必须是单向的、不可逆的：给定m ，很容易计算h ( m ) ；从h ( m ) 构造m 在计算上是不可行的，即给定输出，很难确定出输入消息。 2 它必须是唯一的，给定m 要找到另一个消息m 来满足h ( m ) = h ( m ) 很 难。几乎不可能找到两个消息会产生相同的数字摘要。 3 它必须是一致的，即相同的输入总是产生相同的输出。 4 它能处理任意长度的信息，并将其按数字摘要运算方法生成固定大小的数据块 7 ( 如1 2 8 b i t s 或1 6 0 b i m ) 。 。 5 它是不可预见的。产生的数据块的大小与原始信息的大小没有任何联系，同时源 数据和产生数据块的数据看起来也没有明显关系，但源信息的一个微小变化都会对生成 的数据块产生很大的影响。 ， h a s h 函数是将任意长的消息映射为定长的h a s h 值的公开函数，以该h a s h 值作为 认证码，它的输入是不定长的消息m ，输出是定长的h a s h 码h ( m ) 。它不是密钥，仅 仅是输入消息的函数。h a s h 码是所有消息位的函数，具有错误检测能力，即改变消息 的任何一位或多位，都会导致h a s h 码的改变。h a s h 码用于数字签名和认证的基本应用 如下： a b ：m ij e k h ( m ) 】 消息发送方a 计算消息m 的h a s h 码h ( m ) 并将其用密钥k 加密( e ) ，然后连 同m 一起发送给接收方b 。b 将接收到的信息分解，根据m 计算其h a s h 码并与经过解 密( d ) 后得到的h ( m ) 进行比较，以验证消息m 是否被篡改过。基本过程如图2 1 。 i 消息mh ( m ) i ”i r 消息m ，r il r ， 比 1r 较 l hc m ，l _ 一加密l 一 e k 【h ( m ) 】 ，i 解密 l 2 2 数字签名 图2 1h a s h 认证的基本过程 对文件进行加密只解决了传送信息的保密问题，而防止他人对传输的文件进行破 坏，以及如何确定发信人的身份还需要采取其它的手段，这一手段就是数字签名。在电 子商务安全保密系统中，数字签名技术有着特别重要的地位，在电子商务安全服务中的 源鉴别、完整性服务、不可否认服务中，都要用到数字签名技术1 。在电子商务中，完 善的数字签名应具备签字方不能抵赖、他人不能伪造、在公证人面前能够验证真伪的能 力。所谓数字签名”就是通过某种密码运算生成一系列符号及代码组成电子密码进行签 名，来代替书写签名或印章，对于这种电子式的签名还可进行技术验证，其验证的准确 度是一般手工签名和图章的验证而无法比拟的。数字签名。是目前电子商务、电子政务 中应用最普遍、技术最成熟的、可操作性最强的一种电子签名方法嗍1 。它采用了规范化 的程序和科学化的方法，用于鉴定签名人的身份以及对一项电子数据内容的认可。它还 能验证出文件的原文在传输过程中有无变动，确保传输电子文件的完整性、真实性和不 可抵赖性。 8 数字签名的目的是：。 1 收方能够确证发方的签名，但不能伪造： 2 发方发出签名的消息给收方后，就不能否认它所签发的消息； 3 一旦收发双方就消息的内容和来源发生争执时，应能给仲裁者提供发方对所发消 息签了名的数据。 在书面文件上签名是确认文件的一种手段，其作用有两点： ( 1 ) 因为自己的签名难以否认，从而确认了文件已签署这一事实； 、 ( 2 ) 因为签名不易仿冒，从而确定了文件是真的这一事实。 只有加入数字签名及验证才能真正实现在公开网络上的安全传输。加入数字签名和 验证的文件传输过程如下： 1 发送方首先用哈希函数从原文得到数字签名，然后采用公开密钥体系用发送方的 私有密钥对数字签名进行加密，并把加密后的数字签名附加在要发送的原文后面； 2 发送方选择一个秘密密钥对文件进行加密，并把加密后的文件通过网络传输到接 收方； 3 发送方用接收方的公开密钥对秘密密钥进行加密，并通过网络把加密后的秘密密 钥传输到接收方； 4 接受方使用自己的私有密钥对密钥信息进行解密，得到秘密密钥的明文： 5 接收方用秘密密钥对文件进行解密，得到经过加密的数字签名； 6 接收方用发送方的公开密钥对数字签名进行解密，得到数字签名的明文 7 接收方用得到的明文和哈希函数重新计算数字签名，并与解密后的数字签名进行 对比。如果两个数字签名是相同的，说明文件在传输过程中没有被破坏。 如果第三方冒充发送方发出了一个文件，因为接收方在对数字签名进行解密时使用 的是发送方的公开密钥，只要第三方不知道发送方的私有密钥，解密出来的数字签名和 经过计算的数字签名必然是不相同的。这就提供了一个安全的确认发送方身份的方法。 安全的数字签名使接收方可以得到保证：文件确实来自声称的发送方。鉴于签名私钥只 有发送方自己保存，他人无法做一样的数字签名，因此他不能否认他参与了交易。 由于数字签名使用了信息发送者的私有密钥变换所需传输的信息。对于不同的文档 信息，发送者的数字签名并不相同。没有私有密钥，任何人都无法完成复制。数字签名 可以解决否认、伪造、篡改及冒充等问题。它可实现：发送者事后不能否认发送的报文 签名、接收者能够核实发送者发送的报文签名、接收者不能伪造发送者的报文签名、接 收者不能对发送者的报文进行部分篡改、网络中的某一用户不能冒充另一用户作为发送 者或接收者。 数字签名的加密解密过程和私有密钥的加密解密过程虽然都使用公开密钥体系，但 实现的过程正好相反，使用的密钥对也不同嘲。数字签名使用的是发送方的密钥对，发 送方用自己的私有密钥进行加密，接收方用发送方的公开密钥进行解密汹】。这是一个一 9 对多的关系：任何拥有发送方公开密钥的人都可以验证数字签名的正确性，而私有密钥 的加密解密则使用的是接收方的密钥对，这是多对一的关系：任何知道接收方公开密钥 的人都可以向接收方发送加密信息，只有唯一拥有接收方私有密钥的人才能对信息解 密。在实用过程中，通常一个用户拥有两个密钥对，一个密钥对用来对数字签名进行加 密解密，一个密钥对用来对私有密钥进行加密解密儿锄。这种方式提供了更高的安全性。 2 3 盲签名 盲签名是数字签名中的一种，由于盲签名是本论文中的一个重点内容，所以单独作 为一节内容来讨论。 一般情况下，人们总是先知道文件的内容，然后再对该文件进行签名。而在某种特 殊的情况下，用户需要让签名者对文件进行数字签名，而又不希望签名者知晓文件的具 体内容，这就是盲数字签名( b l i n dd i g i t a ls i g n a t u r e ) 例，盲数字签名在诸如电子 投票选举、电子拍卖、电子支付等需要保护某些参加者的匿名性的场合中具有广泛而重 要的应用啪瑚1 。它具有两个重要的特征： 特征一：签名者能够在不知晓被签名的文件的内容的情况下对文件进行签名，即文 件的具体内容对于签名者而言是不可见的，或者说是“盲 的。 特征二：事后，即使签名者看到了被签名的文件以及他对该文件的签名，他也不能 判断出这个签名是他在什么时候为什么人签署的，即签名者不能跟踪他所签署的盲签 名。例如：顾客甲向商家乙购买商品，通过中介银行进行电子交易。双方都不希望具体 的交易内容被银行所得知，但又需要银行对交易过程进行担保，以防诈骗。这时，就需 要由银行对交易明细单进行盲数字签名。 在盲数字签名方案中，我们称消息的拥有者，需要盲签名服务的通信主体a 为“用 户 ，而称提供盲签名服务的通信主体b 为“签名者”。当用户a 需要签名者b 对消息m 进行盲签名时，他们按下列步骤操作，完成盲签名： 1 用户a 首先对待签名的消息m 进行盲变换t ，使得消息m 的具体内容对于签名者 b 而言是“盲 的； 2 用户a 将变换后的消息m ( 即盲消息) 发送给签名者b ： 3 签名者b 对所收到盲消息m 进行数字签名，得到签名s ： 4 签名者b 将盲消息m 及其签名s 一起交给用户a ； 5 用户a 对所收到的签名s 做逆盲变换t i ，所得到的就是原消息m 的盲签名s o 图2 2 描述了上述的普通盲数字签名的签名过程。 l o 图2 2 盲数字签名方案的签名过程 显然，在上面的盲数字签名的签名过程中，盲变换t 使得盲数字签名的“盲 特征 得以实现，而逆盲变换t 一，则保证了盲签名与原消息的概率无关，使得签名者事后不能 跟踪该盲签名。 2 4e c c 算法 椭圆曲线密码体系，即基于椭圆曲线离散对数问题的各种公钥密码体制，是利用有 限域上的椭圆曲线有限群代替基于离散对数问题的密码体制中的有限循环群而得到的 一类新型密码体制，是己有的各种密码编码方案在椭圆曲线上的实现嘲自1 9 8 5 年， 数学家n e i lk o b l i t z 和v i c t o rk i l l e r 各自独立地提出以椭圆曲线上的有理点构成的 a b e l 群为背景结构，基于椭圆曲线离散对数问题的公开密钥密码体系以来，椭圆曲线密 码体制逐步成为一个十分令人感兴趣的密码学分支，在椭圆曲线上实现各种已知的密码 体制已是公钥密码学领域的一个重要课题，自1 9 9 7 年以来形成了一个研究热点。椭圆 曲线密码体制的理论基础是椭圆曲线数学理论和基于椭圆曲线离散对数问题。椭圆曲线 理论起源于1 9 世纪，是代数几何、数论等多个数学分支的交叉学科，在费尔马大定理 的证明和因式分解等问题中起到了很重要的作用，多年来一直被认为是纯理论学科嘲。 由代数几何理论可知，在任一椭圆曲线e 的点之间，存在一个可以由该曲线的除子 类群和函数域来构造的自然的群运算法则，这时，由椭圆曲线e 可构造一个椭圆曲线群， 椭圆曲线e 上的点对应于椭圆曲线群中的元素m 1 ，即对椭圆曲线e 上的任意两点p ，q e ，由r i e m a n r o c h 定理，一定存在另外一点r e ，使得( p ) + ( q ) ( r ) + ( 0 ) 。 这里( p ) ，( q ) ，( p ) + ( q ) 等为椭圆曲线e 的除子，而符号“一则表示除子之间的 一种等价关系。这时，称点r 为点p 和q 的和，记为r = p 十q ，椭圆曲线e 构成一个a b e l 加法群，o 为其单位元。简单地说，椭圆曲线群的这一运算法则就是：若椭圆曲线上的 三个点处于一条直线上，那么它们的和为o 。由此，我们可以得出下列有关椭圆曲线群 的具体的群运算规则： 1 对于椭圆曲线上的任何一点p ，有p + o = p ； 2 在仿射坐标系上的一条平行于y 轴的直线与椭圆曲线相交于三个点：两个有相同 x 坐标的点( 设为p ，q ) 和无穷远点o 。因此，p + 甜伊o 。于是，有- p = q 。即作为群元素 p 的逆元q ，其在仿射坐标系中，与群元p 的x 坐标相同。这一关系如图2 3 所示。 l l 7 矗 4 3 r 、i。 j 毒- ：掣i 1 0 l：j j5矗 o k_ 书 h 一一 ， ： j 工 玉 ： ： 。 。 n ，有m p = ( n m ) p ，这反映了椭圆曲线上的数乘运算的一种周期性。 特别的，我们有下面的定义： 定义2 1 对椭圆曲线e 上的任一点p ，若存在最小的正整数m ，使得m p = - o 成立，则 称m 是点p 的阶，同时称点p 为m 挠点。若存在两个整数a 和b ，满足a p = b p ，则a 和b 满足：a - - - - - - - b ( m o dm ) 。和椭圆曲线群的阶# e 一样，它们都是椭圆曲线密码体制中的重要 参数。对于定义在有限域g f ( q ) 上的椭圆曲线有限群e 而言，其上任一点p 的阶总是 存在的，并且能被椭圆曲线有限群e 的阶# e ( g f ( q ) ) 整除( 椭圆曲线有限群e 的阶指 的是有限域g f ( q ) 上椭圆曲线e 中的有理点的总数，包括无穷远点o ) 。 椭圆曲线离散对数问题是椭圆曲线公钥密码学的核心。在密码学中，人们关心的只 是定义在有限域上的离散椭圆曲线，这种椭圆曲线上的所有点的坐标值均为整数，并且 均落在某一个区域内。区域越大，密钥越长，基于这条椭圆曲线的系统就越安全，但系 统的计算性能越低：反之，区域越小，密钥越短，则计算性能越高，但基于这条椭圆曲 1 4 线的系统的安全性越低。具体地说，椭圆曲线密码体制的安全性与椭圆曲线密码体制的 高效性之间是一对矛盾，较高的安全性要求必然导致系统计算性能的降低。为了在这对 矛盾中取得平衡，在不牺牲安全性的前提下，选择合适的区域，保证系统的性能，则首 先需要深入了解有限域上的离散椭圆曲线及其群运算法则。与椭圆曲线公钥密码学有关 的有限域有三类：g f ( p ) ，g f ( 2 1 ) 和g f ( p ) 。下面将分别讨论这三种有限域上的椭圆 曲线。 t 1 素数有限域g f ( p ) ( p 3 ) 。 我们知道素数有限域g f ( p ) 的特征值c h a r ( f ) = p ，其中p 为大于3 的素数。 w e i e r s t r a s ：方程形式如下： 。 y 2 = x 3 + a x + b ，a ，b f ， 对于有限域g f