基于椭圆曲线的数字签名和代理数字签名

—147—

基于椭圆曲线的数字签名和代理数字签名

杨 青，辛小龙，戢 伟

(西北大学数学系，西安 710069)

摘 要：提出一种改进的基于椭圆曲线的数字签名方案，对其安全性和复杂度进行了分析。该方案能够有效抵抗生日攻击，提高数字签名的安全性。给出椭圆曲线代理数字签名方案及其安全性分析。数字签名方案和代理签名方案都具有消息自动恢复的特性，且具有运算量低、易于实现的功能。通过实例验证了2种方案。

关键词：数字签名；代理数字签名；椭圆曲线；离散对数问题

Digital Signature and Proxy Digital Signature Based on

Elliptic Curve

YANG Qing, XIN Xiao-long, JI Wei

(Dept. of Mathematics, Northwest University, Xi’an 710069)

【Abstract 】This paper presents an improved digital signature scheme based on elliptic curve. The security and complexity of digital signature is analyzed. This proposed scheme not only can efficiently resist birthday attack, but also can improve the security of digital signature. In addition,proxy digital signature scheme with its security analysis is proposed. The two message recovery schemes may easily realize with low computation.The paper examines the two schemes by means of examples.

【Key words 】digital signature; proxy digital signature; elliptic curve; discrete logarithm problem

计 算 机 工 程Computer Engineering 第34卷 第23期

Vol.34 No.23 2008年12月

December 2008

·安全技术·

文章编号：1000—3428(2008)23—0147—03

文献标识码：A

中图分类号：TP309

1 概述

20世纪80年代中期，Miller [1]和Koblitz [2]将椭圆曲线引进了密码学中，人们对其做了大量的研究之后，建立了椭圆曲线公钥密码体制。它是一种基于椭圆曲线离散对数问题的公钥密码，并且具有很好的安全性。数字签名是认证的主要手段之一，也是现代密码学的主要研究问题之一。数字签名是日常生活中手写签名的电子对应物，它的主要功能是实现用户对电子形式存放消息的认证。数字签名的安全性可依赖于对离散对数的计算难度、素因子分解和二次剩余问题等的难解性[3]。手写签名的这种权力不能转让，而数字签名的权力可以转让，从而产生了代理数字签名。

代理数字签名方案能够使原始数字签名方案中的私钥拥有者(称为原始签名人)，将签名的权力委托给一个被称为代理签名的人，同时又不暴露自己的私钥。代理签名人利用原始签名人给他的委托信息，能够完成对任何消息的签名。一个代理签名方案至少包括4个过程：初始化过程，委托过程，代理签名的生成过程和代理签名的验证过程。文献[1]给出了各种基于离散对数问题和基于素因子分解问题的多种数字签名方案和代理数字签名方案。

数字签名和代理数字签名的内容十分丰富，文献[4]给出了基于椭圆曲线和混沌映射的数字签名算法，它是一种不具有消息自动恢复特性的算法。文献[5]提出了基于椭圆曲线离散对数问题的数字签名和代理数字签名。文献[6-7]提出了认证加密方案的各种数字签名。文献[8]提出了高效的签名加密方案，具有消息可恢复特性。本文提出了一种改进的基于椭圆曲线的数字签名方案和代理数字签名方案，并且具有消息自动恢复特性，无须传送原始消息。

2 椭圆曲线数字签名

椭圆曲线E 是在有限域Fq 上，由方程E : 23y x ax =++

(mod )b q 所定义的，其中，a , b ∈Fq ，且324270(mod )a b q +≠；

用u 表示E 中元素的个数；n 是u 的一个大素因子。从式Q =dG ，已知Q ,G ∈E 求d 的问题是典型的椭圆曲线离散对数问题，目前此问题是一种比较难解的问题。本文中的签名方案就是基于此问题的难解性，在方案的安全性分析中给予详细说明。本文中关于椭圆曲线的基本概念和定义及运算与文献[4, 9]相同。

2.1 椭圆曲线数字签名方案

椭圆曲线参数定义如下：

q ：大素数，1602q >； E ：有限域Fq 上的椭圆曲线：

23(mod )y x ax b q =++；

a ,

b ：a , b 是2个小于q 的整数，且满足

324270(mod )a b q +≠；

G ：椭圆曲线E 上的基点，阶为n ，即nG =O ； O ：椭圆曲线无穷远点； h ：单向散列函数。 (1)初始化过程

用户A 的秘钥和公钥分别为：K A , P A =K A G 。 用户B 的秘钥和公钥分别为：K B , P B =K B G 。

基金项目：陕西省自然科学基金资助项目(2007A19)

作者简介：杨 青(1982－)，女，硕士研究生，主研方向：密码学；辛小龙，教授、博士生导师；戢 伟，硕士研究生

收稿日期：2008-02-20 E-mail ：45347981yq@https://www.360docs.net/doc/118590391.html,

—148

—(2)签名的产生过程

1)A 选择随机整数n

K Z ?∈，其中，K 称为消息秘钥；*n

Z 表示模n 同余类的非零元。

2)A 计算1()()(mod )B R KP x y r h x m n ?===，，，若r =0，则返回1)。

3)计算(mod )A s K rK n =+，若s =0，则返回1)。 4)消息m 的签名是(r , s )。 (3)消息恢复和验证过程

B 接收到签名(r ,s )，首先下载域参数及A 的公钥，然后作如下运算：

1)检验r ,s 是否在区间[1,n -1]上，

若否，则B 拒绝此签名。 2)计算''(,)A X sG rP x y =?=和'()(mod )B m h K x r n =为消息恢复方程。

3)若X =0，则B 拒绝接受签名，否则B 计算原始消息m ，并检验消息末尾能够确认身份的冗余位，若正确，则接受签名，否则拒绝签名。

给消息末尾加冗余位有多种方式。例如将参与者的身份认证或另外一些被通信双方所指定的字符串，由于B 的私钥是秘密的，因此任何人都不能恢复消息并判断发消息之人是谁。只有B 能够计算出原始消息且知道与他通信的人是谁。 2.2 椭圆曲线数字签名方案的改进

在上述方案中，2次选中相同的K 的概率是多少呢？先给出生日问题的计算公式：在m 个人中，至少2个人的生日

是同一天的概率为365

1/365m

m p P =?。由生日问题类似可计算出2次选中同一个消息秘钥K 的概率为

11/(1)t t n p P n ?=??

其中，t 表示签名的次数，要使p 大于0.5，则t

来破解A 的私钥K A ，假设2次签名选相同的K ，

11(mod )A s K r K n =+,22(mod )A s K r K n =+，则112()A K r s s ?=?。

改进的方案使用2个随机数，减少了2次签名选用相同的随

机数，从而增加生日攻击的难度。具体算法如下：

(1)初始化过程

用户A 的私钥：K A 1 , K A 2，其中，*

1212,,A A n A A K K Z K K ∈≠。

用户A 的公钥：11A A P K G =, 22A A P K G =。

用户B 的私钥：*B n K Z ∈，*n Z 表示模n 同余类的非零元。

用户B 的公钥：B B P K G =。 (2)签名的产生过程

1)A 选择随机数12n

K K Z ?

∈，，其中，K 1, K 2称为消息密钥； 2)A 计算12()()B R K K P x y =+=，, 1()(mod )r h x m n ?=，若r =0，则返回1)；

3)A 再计算111(mod ),A s K rK n =+ 222(mod )A s K rK n =+， 若s 1=0，或s 2=0，则返回1)；

4)A 对消息m 的签名是 (r ,s 1,s 2)。 (3)消息恢复和验证过程

B 收到签名(r ,s 1,s 2)，先下载域参数及A 的公钥，作如下运算：

1)检验r ,s 1,s 2是否在区间[1,n -1]上，

若否，则B 拒绝签名； 2)B 计算

''1212(,)A A X s G s G rP rP x y =+??=, '()(mod )B m h K x r n =，

其中，'B K x 表示B K X 的横坐标。

3)若X =0，则B 拒绝接受签名，否则B 计算原始消息m ，

并检验消息末尾能够确认身份的冗余位，若正确，则B 接受签名，否则拒绝签名。

这个签名体制的正确性可以通过以下等式证明： 1212()()B B R K K P K K K G =+=+=

121212()()B B A A K K K G K s G s G rP rP +=+??''(,)B K x y = '()(mod )B m h K x r n =

1212112212()A A A A A A X s G s G rP rP K G rK G K G rK G r K K G =+??=++

+?+=

''1212()(,)K G K G K K G x y +=+=

2.3 改进的数字签名方案的安全性与复杂度分析

(1)对改进的数字签名方案的攻击依赖于在Fq 上求解方程dG =Q (mod q )或log (mod )G d Q q =。ECDLP 比有限域上的DLP 更难求解，在Fq 上选取一条椭圆曲线E ，及一个高阶基点G ∈E (Fq )，计算dG 相对较容易，但已知Q 和dG ，求d 则很困难。基于椭圆曲线密码的安全性最终归结为解ECDLP 问题。对于一般的ECDLP ，目前有2种较好的求解法：Pohlig-Hellman 方法和Pollard-ρ方法。但对2类特殊的椭圆曲线，已经有了其他有效的求解方法。一类特殊的椭圆曲线——超奇异椭圆曲线，采用概率亚指数算法——Mov 算法和FR 算法可以解决ECDLP 。另一类是异常(anomalous)椭圆曲线，SSSA 算法可以解决ECDLP 。

(2)改进的数字签名方案的主要思想是签名人的私钥有

2个整数(即2个私钥)，

并且签名的过程中使用2个随机数(即2个消息秘钥)，这样减少了2次签名选用相同随机数的概率，从而增加了生日攻击的难度。如果签名t 次，则K 1, K 2同时出现的概率为21[1/(1)]t t n p P n ?=??，所以，要使概率p 大于0.5，t 要大约等于n -1，而n 是一个很大的素数，此情况几乎不可能出现。若K 1=K 2，则可得到11212()A A K K r s s ??=?，即

知签名者A 的2个私钥之差，

由于*

12,A A n K K Z ∈，破解K A 1, K A 2的概率为：21/(1)p n =?，n 是一个非常大的素数；p 也会非常小。若攻击者截获一则消息(r , s 1)或(r , s 2)，则他也不能冒

充A 对消息m 进行签名。

(3)若攻击者想冒充A 对消息m 产生签名，攻击者随机选取K 1,K 2，计算12()(,),B R R R K K P x y =+=1()(mod ),R r h x m n ?=

111222,A A s K rK s K rK =+=+，解决s 1, s 2的方法归结为求K A 1,

K A 2，即解决ECDLP 。因此，攻击者不能冒充A 产生签名(r , s 1, s 2)。

(4)改进的数字签名方案的思想是密钥为2个整数，

所以，新方案和原方案在签名产生过程中有关椭圆曲线的计算量是完全相同的，只是在签名过程中比原签名多出一个模运算，和椭圆曲线运算相比，大整数模运算所需计算量可以忽略不计。验证过程中所需要的计算量与原方案所需计算量比较多了一个椭圆曲线倍点运算。

3 改进的椭圆曲线代理数字签名

因篇幅有限，原椭圆曲线代理数字签名方案不再赘述。 3.1 改进的椭圆曲线代理数字签名方案

以下介绍改进后的代理数字签名方案，椭圆曲线参数定义如同2.1节。

(1)初始化过程

综上所述，E 是定义在有限域Fq 上的一条椭圆曲线，G ∈E 是阶为n 的一个基点，有nG =O ，其中，E ,n ,G 是公开参数。假定A 是原始签名人，B 是代理签名人，C 是代理签名的验证人。A 的私钥用K A 1, K A 2表示，公钥用P A 1,P A 2；C 的私钥用K C 表示，公钥用P C 表示。其中，1122;;A A A A P K G P K G ==

—149—

12;,,C C A A C P K G P P P E =∈。

(2)委托过程

原始签名人A 将其签名的权力委托给代理签名人B ，同时又不暴露K A 1, K A 2, A 计算12A A A K K K =+，再选取随机数K 0，并计算K 0G ，记0000(,)Q K G x y ==，其中，x 0, y 0∈Fq ，然后计算：00(mod )r x n =和00()(mod )A K r K n σ=+，A 将σ秘密发送给B ，将Q 0可以公开的发送给B ，则0(,)Q σ为A 将其签名权力委托给B 的信息。

代理签名人B 收到一组委托信息0(,)Q σ后，验证下式：00A G P r Q σ=+，其中，G , Q 0, P A 是公开的，而r 0可由Q 0计

算得到Q 0=(x 0,y 0)，则r 0=x 0 (mod n )。如果此式成立，则B 接受委托信息(σ,Q 0)；若不成立，则B 拒绝接受委托信息(σ,Q 0)。

(3)代理签名的生成过程

1)B 选取随机整数K , K n

Z ?

∈； 2)B 计算(,)C R KP x y ==,1()(mod )r h x m n ?=，若r =0，则返回1)；

3)计算(mod )s K r n σ=+，若s =0，则返回1)；

4)(r , s , Q 0)是B 对消息m 的签名。 (4)代理签名的验证过程

验证人C 收到代理签名(r , s , Q 0)后，首先获取B 的公钥Q 0再进行如下运算：

1)验证r , s 是否在区间[1,n -1]上，若否，则拒绝接受签名；

2)计算''00()(,)A X sG r P Q r x y =?+=和'()(mod )C m h K x r n =，其中，'C K x 是C K X 的横坐标；

3)若X =0则C 拒绝接受签名，否则C 计算原始消息m ，

并检验其冗余位，若正确则接受签名；否则拒绝签名。

验证过程的正确性证明如下： (mod )s K r n σ=+

''00[()](,)C C C A C R KP K KG K sG r P r Q K x y ===?+= '()(mod )C m h K x r n =

3.2 改进的代理数字签名方案的安全性分析

(1)代理签名人B 不能从委托信息(σ,Q 0)中获取原始签名人A 的私钥K A 1, K A 2。由于00Q K G =, 00()A K r K σ=+=

120000()(mod ),(mod )A A K K r K n r x n ++=，计算K 0是一个典型的

椭圆曲线离散对数问题，此问题是很困难的，因此B 不能根据1200()(mod )A A K K r K n σ=++中获得K A 1, K A 2。

(2)消息秘钥K 不能重复使用，

否则B 的私钥σ可能被发现。例如，用同一个K 在不同消息m 1, m 2中对应的2个签名(r 1,s 1,Q 0)和(r 2,s 2,Q 0)。

因为11(mod )s K r n σ=+,22(mod )s K r n σ=+, 12s s ?=

12()(mod )r r n σ?，所以若12,r r σ≠，则可被计算出112()r r σ?=? 12()(mod )s s n ?。

(3)代理签名的伪造者E 不能冒充B 而产生对消息m 的代理签名，从而欺骗验证人C 。

(4)代理签名人B 不能利用原始签名人A 的委托信息产生新的委托信息。

4 Matlab 实例分析

例1 若A 想签署消息m =1234(假定前3位表示消息后一位表示身份字符串即消息冗余位)，A 先选定椭圆曲线方程

23345(mod8831)y x x =++，如图1所示，基点G =(4,11)，其

阶n =4 427。

-10-8-6-4-2

02

4

6

810

-20

-15

-10-505101520X

Y

图1 椭圆曲线

4.1 数字签名方案

根据已知条件进行数字签名如下：

(1)初始化

A 的私钥：12117,223A A K K ==

A 的公钥：1122(1519,6886)(1233,6155)A A A A P K G P K G ====，

B 的私钥：221B K =

B 的公钥：(3829,4859)B B P K G == (2)签名的产生过程

1)A 选择随机数：12115,321K K ==, '12()R K K G =+= 436436(4,11)(459,7517);G ==

2)A 计算：12()436221(4,11)(974,7560),B R K K P =+=×=

11()(mod 4427)(974)12341383;r h x m h ??===

3)A 再计算：111(mod 4427)2554,A s K rK =+=

222(mod 4427)3267;A s K rK =+=

4)A 对消息m 的签名是：(1383,2554,3267)。

(3)消息恢复和验证过程

B 接受到签名(1383, 2554, 3267)，首先下载域参数及A 的公钥，然后作如下运算：

1)检验1383, 2554, 3267 是在区间[1, 4426]上；

2)B 计算''1212(,)(459,7517)A A X s G s G rP rP x y =+??==,

'()(mod 4427)1234B m h K x r ==，其中，'B K x 表示B K X 的横坐标；

3)B 计算原始消息m =1234，检验消息m 的冗余位4，结

果正确，所以，B 接受签名。 4.2 代理数字签名方案

椭圆曲线方程参数及基点均如4.1节 (1)初始化过程

A 的私钥K A 1=117, K A 2=223, A 的公钥：

1122(1519,6886)(1233,6155)A A A A P K G P K G ====，, 12(1519,6886)(1233,6155)(4160,5477)

A A A A P P P K G =+=+== C 的私钥：211C K =，C 的公钥(2208,6020)C C P K G ==。

(2)委托过程

A 选取随机数K 0=119，计算：12340A A A K K K =+=, 0Q =

0(2322,6135)K G =；再计算r 0=2322, 00()(mod4427)A K r K ρ≡+= 3402322119(mod 4427)2184+×=，所以，(2184, (2322, 6135))

为A 将其签名权力委托给B 的信息。

B 收到一组委托信息(2184, (2322, 6135))后，验证下式： 002184(4,11)(3231,2968),(4160,5477)(1131,4245) (3231,2968)

A G P r Q σ==+=

+=

因为00G A P r Q σ=+，所以B 接受委托信息(2184, (2322, 6135))。

(3)代理签名的生成过程

（下转第198页）

—198

—该子集是否在L k -1中，需要进行的计算为111

()j

k N C k j i L ?==∑∑次。

En-Apriori 算法通过事务矩阵D (D 是p ×n 阶矩阵，p 是事务计数，n 是项目数目)，即O (p )的时间复杂度就可以完成候选频繁项集C ’k 的生成和L ’k 的生成。而Apriori 算法还需要扫描数据库，判断候选项集是否是频繁项集，这一操作的复杂度是O (p )，再加上111()j

k N C k j i L ?==∑∑次的计算次数，时间效率将比

En-Apriori 算法低得多。

4 实验比较分析

实验环境：P4 2.93 GMHz ，512 MB 内存，WindowsXP+

VS2003，

实验的数据集采用https://www.360docs.net/doc/118590391.html,/pub/ma~hine- learning-databases/mushroom/和https://www.360docs.net/doc/118590391.html,.hk/- kdd/data/IBM-VC++.zip 提供的蘑菇数据库(mushroom database)。该数据库有8 124条记录，记录了蘑菇的帽子形状、帽子颜色、颈的形状、颈的颜色、气味、生存环境、是否有毒等23种属性，每种属性有2~12个枚举值。而其中的属性stalk-root 有2 480个样本缺省，另外veil-type 属性有2个枚举值partial 和universal 。

实验分别采用采用Apriori 算法和En-Apriori 算法对蘑菇数据库进行试验。实验前首先对原始数据进行预处理，并利用二进制数据(0和1)表示交易中某个项出现与否。(因Apriori 算法和En-Apriori 算法只处理单维、单层、布尔变量)。

实验中两者的运行时间比较如图1所示。由图1可知，在相同数据量和不同支持度下，En-Apriori 算法执行时间上明显少于Apriori 算法，并且支持度越高算法执行效率越高。

200175150125100755025

最小支持度/(%)

运行时间/s

图1 不同支持度下2种算法运行时间的比较

5 结束语

本文对关联规则提取中的Apriori 算法进行了研究。Apriori 的对象常常是大型数据库或数据仓库，所面临的最大挑战是计算效率问题。文章通过对Apriori 算法的分析，提出了一种改进的En-Apriori 算法，该算法只需扫描一遍数据库，并对连接等操作做了优化，提高数据项集频度统计速度，从而提高算法的效率。

参考文献

[1] Tan Pangning, Steinbach M, Kumar V . Introduction to Data

Mining[M]. 北京: 人民邮电出版社, 2006.

[2] Han Jiawei, Kamber M. Data Mining: Concepts and Techniques[M].

北京: 机械工业出版社, 2001.

[3] 区玉明, 张师超, 徐章艳, 等. 一种提高Apriori 算法效率的方

法[J]. 计算机工程与设计, 2004, 25(5): 846-848.

[4] Witten I H, Frank E. Data Mining: Practical Machine Learning Tools

and Techniques[M]. 北京: 机械工业出版社, 2006.

[5] 徐章艳, 张师超. 挖掘关联规则中一种优化的Apriori 算法[J].

计算机工程, 2003, 29(19): 83-84.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

（上接第149页）

1)B 选取随机整数K =123,'(4132,6407)R KG ==； 2)B 计算：

(7819,3611)C R KP ==,1

()1234(mod 4427)264r h x ?==；

3)B 计算：

(mod 4427) 1232642184(mod 4427)1189s K r σ=+=+×=； 4)(264,1189,(2322,6135))是B 对消息m 的签名。 (4)代理签名的验证过程

验证人C 收到代理签名(r , s , Q 0)= (264,1189,(2322,6135))后，首先获取B 的公钥Q 0=(2322,6135)，再进行如下运算：

1)验证r =264, s =1189是否在区间[1, 4426]上； 2)计算：

00()(917,573)(7359,3988)(4132,6407),A X sG r P Q r =?+=+='()mod 7819264mod 44271234C m h K x r n ==×=；

3)C 计算原始消息m =1234，

并检验最后一位为冗余位4，结果正确，C 接受签名。

5 结束语

在改进的数字签名方案中，签名人对消息的2次签名能够有效地抵抗生日攻击。原数字签名方案抗击生日攻击的概率为11/(1)t t n p P n ?=??，改进的数字签名方案抗击生日攻击的概率则为21[1/(1)]t t n p P n ?=??，所以，提高了数字签名的安全性能。通过具体的实例可以看出，改进的数字签名方案和代理数字签名方案，具有运算量小的特征，且易于实现。

参考文献

[1] Koblitz N. Elliptic Curve Cryptosystems[J]. Mathematics of

Computation, 1987, 48(1): 203-209.

[2] Miller V S. Use of Elliptic Curves in Cryptography[C]//Proc. of

Advances in Cryptology-CRYPTo’85. New York, USA: Spring Verlag, 1986: 417-426.

[3] 杨义先, 孙 伟, 钮心忻. 现代密码新理论[M]. 北京: 科学出版

社, 2002: 106-119.

[4] Peng Fei, Qiu Shuisheng, Long Min. A Secure Digital Signature

Algorithm Based on Elliptic Curve and Chaotic Mappings[J]. Circuits Systems Signal Processing, 2005, 24(5): 585-597.

[5] 白国强, 黄 谆, 陈弘毅, 等. 基于椭圆曲线的代理数字签名[J].

电子学报, 2003, 31(11): 1659-1663.

[6] Zhao Zemao, Liu Fengyu. Method of Constructing Elliptic Curve

Authenticated Encryption Scheme[J]. Applied Mathematics and Computation, 2005, 168(1): 146-151.

[7] Arazi B. Communication-computation Trade-off in Executing

ECDSA in a Contactless Smartcard[J]. Designs Codes and Cryptography, 2006, 38(1): 399-415.

[8] Hwang Renjunn, Lai Chih Hua, Su Fengfu. An Efficient

Signcryption Scheme with Forward Secrecy Based on Elliptic Curve[J]. Applied Mathematics and Computation, 2005, 167(1): 870-881.

[9] Trappe W, Washington L G . Introduction to Cryptography with

Coding Theory[M]. New York, USA: Spring Verlag, 2004: 189-205.