一个基于RSA盲签名的高效公平电子交换协议
几种数字签名方案简介
几种数字签名方案简介1、RSA数字签名方案RSA是最早公钥密码算法之一，由Ron Rivest、Adi Shamir和Leonard Adleman于1978年发明。
RSA数字签名方案基于大数分解难题，其安全性与RSA问题紧密相关。
在RSA数字签名方案中，发送方使用私钥对消息进行签名，接收方使用公钥验证签名。
2、DSA数字签名方案DSA数字签名算法由美国国家标准与技术研究院(NIST)提出，并被采纳为联邦数据处理标准(FIPS)。
DSA数字签名方案基于离散对数难题，其安全性主要依赖于有限域上的离散对数问题。
DSA算法相较于RSA 算法，具有签名长度短、速度快以及抗量子攻击等优点。
3、ECDSA数字签名方案ECDSA是椭圆曲线数字签名算法，其基于椭圆曲线密码学，是在有限域上的椭圆曲线离散对数问题的基础上构建的。
ECDSA数字签名方案相较于RSA和DSA算法，具有更高的安全性和更低的计算开销。
因为椭圆曲线密码学具有较高的安全性和较低的计算复杂性，所以ECDSA 被广泛应用于比特币等加密货币中。
4、EdDSA数字签名方案EdDSA数字签名算法是对标DSA的抗量子攻击算法，由欧洲电信标准化协会(ETSI)提出。
EdDSA使用的是Schnorr签名算法的一种变体，具有较高的安全性和抗量子攻击能力。
此外，EdDSA算法还具有速度快、签名长度短等优点。
以上几种数字签名方案都是目前广泛应用的算法，每种方案都有其特定的应用场景和优缺点。
在实际应用中，我们需要根据具体需求选择合适的数字签名算法以保证信息的安全性和完整性。
随着互联网的快速发展，数字签名方案在信息安全领域变得越来越重要。
数字签名方案用于验证信息的完整性、真实性和不可抵赖性，广泛应用于电子政务、电子商务和网络安全等领域。
无证书数字签名方案作为一种新兴的数字签名技术，因无需证书颁发机构颁发证书，具有降低成本、提高效率等优点，逐渐受到广泛。
本文将对几种无证书数字签名方案进行介绍，并对其安全性进行分析及改进。
隐私集合求交算法的对比分析
第３１卷第２期北京电子科技学院学报２０２３年６月Ｖｏｌ．３１Ｎｏ．２ＪｏｕｒｎａｌｏｆＢｅｉｊｉｎｇＥｌｅｃｔｒｏｎｉｃＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙＩｎｓｔｉｔｕｔｅＪｕｎ．２０２３隐私集合求交算法的对比分析∗田文亮㊀王志强㊀张艳硕北京电子科技学院，北京市㊀１０００７０摘㊀要：隐私集合求交（ＰｒｉｖａｔｅＳｅｔＩｎｔｅｒｓｅｃｔｉｏｎ，ＰＳＩ）属于隐私计算领域的特定应用问题，包括秘密共享㊁同态加密㊁不经意传输㊁混淆电路和Ｈａｓｈ技术等基础知识，其兼具重要的理论意义与极强的现实应用价值㊂随着用户数据的隐私保护需求的日益提升，ＰＳＩ可以在满足依赖个人信息的业务的便利性的同时最大程度保护个人信息私密性需求㊂本文首先介绍了隐私集合求交的研究现状，其次按照底层密码技术对ＰＳＩ进行分类并对比分析了它们的复杂度，对其优缺点进行对比分析，同时对比分析了基于不同密码技术的ＰＳＩ的使用场景，最后指出其发展方向并得出结论㊂关键词：隐私集合求交；秘密共享；同态加密；不经意传输；混淆电路；Ｈａｓｈ技术中图分类号：ＴＰ３１２㊀㊀㊀文献标识码：Ａ文章编号：１６７２－４６４Ｘ（２０２３）２－９８－１１２∗㊀基金项目：２０２２年基本科研业务费优硕培养项目 ＨＴＴＰ协议的流量拟态技术研究 （项目编号：３２８２０２２８０）； 信息安全 国家级一流本科专业建设点和２０２０年教育部新工科项目 新工科背景下数学课程群的教学改革与实践∗∗㊀作者简介：田文亮（１９９６－），男，研究生在读，计算机技术专业㊂Ｅ⁃ｍａｉｌ：１０７０２７４２８７＠ｑｑ．ｃｏｍ王志强（１９８５－），男，副教授，博士，硕导㊂Ｅ⁃ｍａｉｌ：ｗａｎｇｚｑ＠ｂｅｓｔｉ．ｅｄｕ．ｃｎ张艳硕（１９７９－），男，通信作者，副教授，博士，硕导，从事密码理论及其应用研究㊂Ｅ⁃ｍａｉｌ：ｚｈａｎｇ＿ｙａｎｓｈｕｏ＠１６３．ｃｏｍ１㊀引言㊀㊀隐私数据保护最早源于安全多方计算（ｓｅｃｕｒｅｍｕｌｔｉｐａｒｔｙｃｏｍｐｕｔａｔｉｏｎ，ＭＰＣ），由姚期智［１］借百万富翁问题提出，指各计算参与方无法得到除计算结果外的任何其他信息，解决互不信任的数据持有者如何对隐私数据进行计算的问题㊂隐私集合交集是安全多方计算中的热点问题，允许在分布式场景下各自持有隐私集合的参与方联合计算出集合交集而不泄露除交集以外的任何隐私信息㊂在隐私保护的场景中，ＰＳＩ协议具有重要意义，如新冠接触者追踪［２］㊁隐私通讯录查找［３］㊁在线广告实际效果计算［４］㊁基因序列匹配检测［５］等㊂传统的ＰＳＩ协议针对２个参与方设计，Ｍｅａｄｏｗｓ［６］基于公钥加密和利用Ｄｉｆｆｉｅ⁃Ｈｅｌｌｍａｎ密钥交换的乘法同态性质提出了第１个ＰＳＩ协议㊂随后，由Ｈｕｂｅｒｍａｎ等人［７］对Ｍｅａｄｏｗｓ［６］的方案做出了完整描述㊂２００４年由Ｆｒｅｅｄｍａｎ等人［８］借助不经意多项式求值和同态加密构造了第１个安全ＰＳＩ协议㊂２０１７年申立艳等人［９］对安全多方计算框架下的ＰＳＩ协议进行了简要总结㊂之后涌现了大量ＰＳＩ的研究成果，一大批新技术手段和构造框架被提出㊂除了传统的安全多方计算理论中的混淆电路（ｇａｒｂｌｅｄｃｉｒｃｕｉｔ，ＧＣ）㊁不经意传输（ｏｂｌｉｖｉｏｕｓｔｒａｎｓｆｅｒ，ＯＴ）㊁秘密共享（ｓｅｃｒｅｔｓｈａｒｉｎｇ，ＳＳ）㊁同态加密（ｈｏｍｏ⁃第３１卷隐私集合求交算法的对比分析㊀ｍｏｒｐｈｉｃｅｎｃｒｙｐｔｉｏｎ，ＨＥ）等技术外，不经意伪随机函数（ｏｂｌｉｖｉｏｕｓｐｓｅｕｄｏ⁃ｒａｎｄｏｍｆｕｎｃｔｉｏｎ，ＯＰＲＦ）㊁经意多项式求值（ｏｂｌｉｖｉｏｕｓｐｏｌｙｎｏｍｉａｌｅｖａｌｕａｔｉｏｎ，ＯＰＥ）㊁布隆过滤器（Ｂｌｏｏｍｆｉｌｔｅｒ，ＢＦ）等集合元素比较技术的应用，使得ＰＳＩ的效率得到了很大的提高㊂现有ＰＳＩ已经非常高效，但现有很多实际应用中仍然以使用高效但存在安全隐患的解决方案为主，了解现有基于不同密码原语构建的ＰＳＩ及其特定适用场景，对促进实际场景中使用安全的方案替换存在隐患的方案有很大帮助㊂在敌手模型方面，研究人员从诚实且好奇的安全模型出发，开始考虑在恶意模型下安全的ＰＳＩ协议㊂随着研究人员对隐私集合交集协议的深入研究，除了传统两方ＰＳＩ协议之外，已衍生出了云辅助ＰＳＩ㊁阈值ＰＳＩ（ｔｈｒｅｓｈｏｌｄＰＳＩ，ＴＰＳＩ）㊁不平衡ＰＳＩ（ｕｎｂａｌａｎｃｅｄＰＳＩ，ＵＰＳＩ）和多方ＰＳＩ新型应用场景㊂本文全面的介绍了ＰＳＩ研究现状，对基于不同底层密码技术的ＰＳＩ算法进行了较为详尽的描述，对不同的ＰＳＩ协议原理进行对比分析，同时对ＰＳＩ协议的复杂度以及ＰＳＩ协议的优缺点进行了对比分析，得出了基于不经意传输的ＰＳＩ协议目前具有更高效率的结果㊂最后针对当前存在的问题，指出ＰＳＩ协议的发展方向以及结论㊂２㊀隐私集合求交的研究现状㊀㊀隐私集合求交（ＰＳＩ）协议有很多分类方法，按照底层依赖的密码技术分类主要包括：基于公钥密码的ＰＳＩ方案，包括：基于密钥交换（ＤＨ：Ｄｉｆｆｉｅ⁃Ｈｅｌｌｍａｎ）的ＰＳＩ方案和ＲＳＡ盲签名的ＰＳＩ方案；基于不经意传输的ＰＳＩ方案；基于通用ＭＰＣ的ＰＳＩ方案，例如基于混淆电路的ＰＳＩ方案；基于同态加密的ＰＳＩ方案；基于以上密码技术同时对多方ＰＳＩ进行描述㊂２ １㊀基于公钥密码的ＰＳＩ方案１９８６年，Ｍｅａｄｏｗｓ［６］提出了基于Ｄｉｆｆｉｅ⁃Ｈｅｌｌｍａｎ问题的ＰＳＩ协议，该协议类似于Ｄｉｆｆｉｅ⁃Ｈｅｌｌｍａｎ密钥协商协议㊂双方以各自的输入集合中的元素作为Ｄｉｆｆｉｅ⁃Ｈｅｌｌｍａｎ密钥协商中选择出的 随机数 角色，将集合元素映射到随机 会话密钥 空间，接收方在 会话密钥 空间中进行匹配，并获取到最终的交集元素；可以看出，该方案需要双方执行多次的模指数运算（这种代价很高的计算），因此所得的ＰＳＩ方案效率并不高㊂与基于杂凑函数的算法类似，同样可以在签名空间进行比对㊂例如基于盲签名，发起方盲化本方输入的每个元素，向响应方的请求盲签名，获得结果并去盲后得到响应方私钥的签名㊂同时，响应方签名本方的每个元素，并将结果发送给发起方；发起方比对双方的签名结果，获得交集结果㊂ＤｅＣｒｉｓｔｏｆａｒｏ与Ｔｓｕｄｉｋ［１７］在２０１０年提出了基于ＲＳＡ盲签名的ＰＳＩ协议㊂在该协议中，响应方随机产生ＲＳＡ密钥；发起方对本方的每一个输入元素进行随机盲化，将结果发送给响应方；响应方使用ＲＳＡ私钥对盲化结果进行签名并发送给发起方，同时将本方的输入元素用本方私钥进行签名，将结果发送给发起方；发起方对盲化的签名进行去盲，与响应方的签名进行比对，得出交集结果㊂基于公钥体制的方案除了转换匹配空间之外，将参与方输入的集合元素看作是多项式的根，多项式可以与输入集合建立映射关系，对于多项式的某些操作可以转换为集合的某些操作㊂２０２２年ＡｒａｎｈａＤＦ［３５］提出了一种新的两方简洁ＰＳＩ协议，该协议从理论和实践两个方面都以最小化发送方的开销为目标㊂该协议在概念上非常简单，这使得在实践中实现它不易出错：在协议执行期间，只发送两条消息，一条消息从接收方发送到发送方，另一条消息返回㊂接收者的消息的大小是单个组元素（独立于接收者的㊃９９㊃北京电子科技学院学报２０２３年输入集合的大小），而发送者的消息大小与发送者的输入集合大小成线性关系㊂发送方的计算复杂度与接收方输入集的大小无关㊂该协议为了证明新假设的合理性，证明了它在一般群体模型中是成立的㊂还讨论了在主动攻击存在的情况下保证隐私的简单对策，并提出了一个协议，该协议提供了完全基于模拟的安全性来对抗主动攻击㊂２ ２㊀基于不经意多项式计算的ＰＳＩ方案不经意多项式计算的ＰＳＩ协议主要是将参与方集合元素表示为多项式的根，利用多项式的数学性质来计算交集，并采用同态加密算法加密交互过程中的信息来保证协议的隐私㊂最早由Ｆｒｅｅｄｍａｎ等人在２００４年提出的ＰＳＩ协议［８］就是不经意多项式计算的ＰＳＩ协议㊂其协议的主要过程为：客户端生成同态加密密钥对（ｐｋ，ｓｋ）并发送公钥给服务器端，将输入集Ｘ＝｛ｘ１，ｘ２， ，ｘｖ｝表示为多项式Ｐ的根Ｐ（ｚ）＝（ｘ１－ｚ）（ｘ２－ｚ） （ｘｖ－ｚ）＝ðｖｕ＝０ａｕｚｕ，利用插值法求得多项式系数｛ａ１，ａ， ，ａｖ｝，将多项式系数用Ｐａｉｌｌｉｅｒ［１３］或ＥＩＧａｍａｌ［１５］同态加密算法加密发送给服务器端；服务器端输入集合为Ｙ＝｛ｙ１，ｙ２， ，ｙｗ｝对集合中的每一个元素ｙ，利用同态加密性质计算Ｅｎｃ（ｒ．Ｐ（ｙ）＋ｙ），并将计算的密文混淆发送给客户端；客户端解密所有的密文，依次判断解密的结果是否和输入集合Ｘ中的某一元素ｘ相等，相等则说明ｘ属于集合交集㊂该协议中，多项式的次数过高，会导致同态加密运算中指数的计算代价太大㊂因此作者又采用Ｈａｓｈ函数将集合中元素映射到Ｂ个桶中，每个桶最多Ｍ个元素，在客户端生成Ｍ个低次多项式，服务器端采用同样的Ｈａｓｈ函数将元素进行映射，客户端将相对应的桶里的元素和多项式进行集合交集判断；为了减小Ｍ的值，作者采用了负载均衡Ｈａｓｈ［２１］方法㊂２０１４年Ｆｒｅｅｄｍａｎ等人进一步在文献［８］的基础上改进ＰＳＩ协议［３１］，客户端和服务器端分别采用不同的Ｈａｓｈ函数将集合元素进行映射来减少协议的计算复杂度，并将随机Ｈａｓｈ㊁负载均衡Ｈａｓｈ㊁布谷鸟散列［２２］进行实验对比，其中应用负载均衡Ｈａｓｈ㊁布谷鸟散列进行集合元素计算的复杂度较低㊂以上协议被证明在标准模型下对半诚实敌手是安全的㊂２ ３㊀基于不经意传输的ＰＳＩ方案不经意传输是密码协议体系中的一个基础协议，由Ｒａｂｉｎ于１９８１年提出［２３］㊂与最原始的概念相比，在更标准化的定义中，发送方拥有若干个输入，接收方输入一个索引下标，该索引下标表示接收方想要得到的结果，在协议过程中这一指标并不会泄露给发送方㊂最基础的ＯＴ协议是２选１ＯＴ㊂基于ＯＴ的ＰＳＩ协议需要使用的ＯＴ运行实例的数量与ＰＳＩ双方输入的集合大小有关系，因此ＯＴ协议成为大集合ＰＳＩ方案的主要瓶颈㊂ＯＴ扩展协议的出现［１３］，使得大集合ＰＳＩ方案的落地成为现实㊂所谓ＯＴ扩展协议是指，ＯＴ协议在并行数量方面的扩展㊂具体来说，是用少量的ＯＴ协议实例来构造较为大数量的ＯＴ协议实例㊂文献［１４－１６］给出了ＯＴ扩展的相关理论结果与实现改进㊂２０１３年，Ｄｏｎｇ等人在文献［２４］中第一次将布隆过滤器引入到ＰＳＩ中，并与ＯＴ扩展结合，使得ＰＳＩ协议能处理的集合数量首次突破了亿级别㊂此后，对于布隆过滤器的改进也成为优化ＰＳＩ协议的一个重要方向㊂通过改进布隆过滤器，Ｒｉｎｄａｌ和Ｒｏｓｕｌｅｋ给出了第一个恶意模型下的ＰＳＩ协议［２５］，这一方案也在２００ｓ时间内完成了两方百万数据量的安全求交㊂２０１６年，在文献［２６］中，Ｋｏｌｅｓｎｉｋｏｖ等人使用ＯＴ扩展来实现不经意伪随机函数，并且将此概念运用到ＰＳＩ中，这也成为后续基于不经意传输的ＰＳＩ协议的主要方向㊂以上所有ＰＳＩ协议的实现几乎都是在两个参与方的场景㊂对于多个参与方的场景，文献［２７］中Ｋｏｌｅｓｎｉｋｏｖ等人引入㊃００１㊃第３１卷隐私集合求交算法的对比分析㊀了不经意的可编程伪随机函数的概念（Ｐｒｏｇｒａｍ⁃ｍａｂｌｅＯｂｌｉｖｉｏｕｓＰｓｅｕｄｏｒａｎｄｏｍＦｕｎｃｔｉｏｎｓ，ＯＰ⁃ＰＲＦ），并且基于插值多项式㊁布隆过滤器等技术实现ＯＰＰＲＦ㊂ＯＰＰＲＦ要求只对发送者编程进去的集合元素，接收者才可以进行不经意地函数取值，未编程进去的元素，接收者返回随机值㊂各个参与方之间顺次循环扮演发送方和接收方角色，最终完成交集的结果㊂２０２２年，李顺［４８］提出了一种基于并行化ＯＰＰＲＦ的隐私集合交集协议㊂２０２２年，魏立斐等人［４９］提出了基一种于云服务器的公平多方隐私集合交集协议，该协议基于该不经意伪随机函数构建了半可信云服务器辅助的隐私集合交集计算协议，将主要计算量外包给云服务器，允许半可信的云服务器参与相等性测试，又不泄露参与方任何集合信息㊂２ ４㊀基于同态加密的ＰＳＩ方案ＰＳＩ根据参与者的数量可分为两方和多方，下面均以两方为例㊂假设参与ＰＳＩ的两方为发送方Ｓ（Ｓｅｎｄｅｒ）和接受方Ｒ（Ｒｅｃｅｉｖｅｒ），分别持有数据集Ｘ和Ｙ㊂根据两方数据集大小的不同，分为平衡场景和非平衡场景㊂在平衡场景下，双方样本数量相差不大，适用于双方客群有较多重叠的场景，如集团子部门之间的安全求交场景；在非平衡场景下，双方样本数量相差非常大，如营销场景中筛选本机构种子用户与外部数据方海量用户群中的共有用户群，实现目标客群筛选㊂在平衡场景中，ＰＳＩ的实现方式目前较为成熟的有基于ＲＳＡ㊁基于Ｄｉｆｆｉｅ⁃Ｈｅｌｌｍａｎ（ＤＨ）和基于不经意传输等㊂综合安全性㊁效率和通信量考虑，基于ＯＴ以及ＯＴＥｘｔｅｎｓｉｏｎ［４１］系列的对齐方案被广泛使用㊂在非平衡场景中，可在基于ＯＴ的ＰＳＩ方案基础上，将同态加密技术结合特定的优化方法，实现高效的ＰＳＩ㊂下面介绍两种高效的基于同态加密的非平衡ＰＳＩ方案㊂２０１７年，Ｃｈｅｎ等［４６］在ＣＣＳ２０１７中将同态加密应用到非平衡ＰＳＩ中，综合使用了Ｃｕｃｋｏｏｈａｓｈ㊁Ｐａｒｔｉｔｉｏｎ㊁Ｗｉｎｄｏｗ和ＭｏｄｕｌｕｓＳｗｉｔｃｈ技术㊂实验表明，在数据量为ＮＸ＝５０００，ＮＹ＝１６００万时，Ｃｈｅｎ在ＣＣＳ２０１７［２８］中提出的方案的通信量为１２ ５ＭＢ，求交时间为３６ｓ㊂２０１８年，Ｃｈｅｎ等［４６］改进了ＣＣＳ２０１７方案，提出了一个能抵抗恶意攻击的非平衡ＰＳＩ方案（ＣＣＳ２０１８［２９］）㊂与ＣＣＳ２０１７［２８］方案相比，该方案支持更高位（５１２位和１０２４位）的Ｉｔｅｍ（ＣＣＳ２０１７方案支持３２位），改进了ＳＩＭＤ编码，在不增加加密参数的前提下，提升了效率和安全性㊂该方案较ＣＣＳ２０１７方案在性能上做出很大改进，在数据量为ＮＸ＝２２４和ＮＹ＝５５３５时，ＣＣＳ２０１７方案需要２０ＭＢ的通信量和４０ｓ的在线计算时间，ＣＣＳ２０１８通信量为１６ＭＢ，在线计算时间为２２ｓ（单线程），运行时间几乎缩短２倍和通信量节约２７％㊂此外，当接受方Ｒ的数据集更小时，ＣＣＳ２０１８方案的同态加密的参数会更小，能进行更少的密文计算，当接受方Ｒ的数据量为５１２或１０２４时，该方案运行时间分别只需９ １ｓ和１７ ７ｓ，以及８ ２ＭＢ的通信量，较ＣＣＳ２０１７方案快２ ４倍，发送的数据量降低一半，同时支持任意长度的Ｉｔｅｍ㊂２ ５㊀其他根据底层密码学技术对传统多方ＰＳＩ进行梳理，主要分为基于公钥的多方ＰＳＩ和基于ＯＴ的多方ＰＳＩ，由于混淆电路在预计算阶段构造复杂，且内存占用较高，并没有基于混淆电路的传统多方ＰＳＩ协议的研究，但又鉴于混淆电路可以方便地计算任何功能函数的特性，其更适用于构造门限等特殊场景下的多方ＰＳＩ协议㊂基于公钥的多方ＰＳＩ方案主要采用同态加密技术㊂第１个基于同态加密技术的多方ＰＳＩ协议方案由Ｆｒｅｅｄｍａｎ等人［８］提出，首先使用加法同态加密实现的ＯＰＥ技术，将集合元素表示为多项式的根从而代替集合进行运算，实现了在半诚实敌手模型下的两方ＰＳＩ，其次提出了针对恶意的客户端㊁恶意的服务端㊁恶意的两方以及多方的情况下的ＰＳＩ协议的构造思路㊂在半诚㊃１０１㊃北京电子科技学院学报２０２３年实敌手模型中，Ｋｉｓｓｎｅｒ等人［１９］在２００５年对加法同态加密的私钥进行秘密共享，协议的计算复杂度和通信复杂度是集合大小和参与方数目的２次方㊂２０１７年，Ｈａｚａｙ等人［４４］使用星型通信模型将多方ＰＳＩ协议的通信轮数从Ｏ（ｎ）降低为Ｏ（１），且加解密的操作数与参与方集合大小呈线性关系㊂其中，星型通信结构是最直观的多方通信结构，多个参与方与同一个中心参与方进行交互，此结构对中心参与方的带宽和计算能力要求较高㊂基于ＯＴ协议的多方ＰＳＩ协议主要分为两种，一是使用ＯＴ协议构造ＯＰＲＦ㊁ＯＰＰＲＦ㊁多点ＯＰＲＦ等一系列协议，而后基于ＯＰＲＦ系列协议构造多方ＰＳＩ协议；二是多方直接使用ＯＴ协议进行数据传输㊂基于ＯＰＲＦ的多方ＰＳＩ协议中最经典的同时也是首篇将多方ＰＳＩ进行代码实现的协议为Ｋｏｌｅｓｎｉｋｏｖ等人［４２］在２０１７年提出的方案㊂该文献首次提出了使用ＯＰＲＦ构造ＯＰＰＲＦ的概念，旨在使用发送方的输入来对ＯＰＲＦ的密钥进行编程，其与单点ＯＰＲＦ的区别在于ＯＰＰＲＦ中密钥与发送方的私有集合元素相关㊂在直接使用ＯＴ协议作为数据传输协议方面，２０１８年，Ｉｎｂａｒ等人［４５］在半诚实敌手模型和增强的半诚实敌手模型中分别提出了两种多方ＰＳＩ协议，是对Ｄｏｎｇ等人［２４］两方ＰＳＩ协议的扩展㊂Ｉｎｂａｒ等人的协议［４５］与Ｋｏｌｅｓｎｉｋｏｖ等人的协议［４２］相比的优势在于随着参与方数目的增多，协议消耗时间增长缓慢，与参与方数目呈次线性关系；而Ｋｏｌｅｓｎｉｋｏｖ等人的协议［４２］的最后一个步骤中需要多次计算和比较，计算开销较大㊂由于混淆电路具有计算任何功能函数的特性，可以方便地设计多功能的安全计算协议，因此基于混淆电路的门限多方ＰＳＩ也是研究方向之一㊂２０２１年，Ｃｈａｎｄｒａｎ等人［４６］提出了半诚实敌手模型下的多方ＰＳＩ协议，并设计了两种变体协议，门限多方ＰＳＩ便在其研究范围中㊂协议主要分两部分，首先选择一个特定参与方与其他所有参与方两两交互进行元素相等性判断，此后所有参与方交互通过电路计算结果㊂近年来涌现了很多基于云辅助器的ＰＳＩ协议［４９－５２］，由于在日常生活中数据量庞大，因此借助云辅助器的方案可能是我们以后研究的重点㊂本文对以上基于不同密码技术的ＰＳＩ协议现状进行了总结，不仅对每一种ＰＳＩ协议的历史发展进行描述，而且说明其特点及基本使用场景㊂３㊀ＰＳＩ算法原理的对比分析㊀㊀ＰＳＩ算法既可以有两方参与，又可以有多方参与，以下分别对两方㊁多方以及不经意伪随机函数等ＰＳＩ原理进行对比分析㊂３ １㊀两方ＰＳＩ基本原理算法参与方包括Ｓｅｒｖｅｒ和Ｃｌｉｅｎｔ，假设ｓｅｖｅｒ和ｃｌｉｅｎｔ输入元素个数分别为ｋｓ和ｋｃ，ｓｅｒｖｅｒ方输入元素记为ｙｉ，ｉɪ［１，ｋｓ］，ｃｌｉｅｎｔ方输入元素记为ｘｉ，ｉɪ［１，ｋｃ］；２）基于公钥加密技术的加法同态加密算法Ｅｎｃ（ｘ）㊁Ｄｅｃ（ｃ）满足Ｅｎｃ（ｍ１＋ｍ２）＝Ｅｎｃ（ｍ１）＋Ｅｎｃ（ｍ２）（ｋｍ）＝ｋ（ｍ）１）ｃｌｉｅｎｔ方针对全部输入元素利用插值法构造如下多项式Ｐ（ｙ）＝ðｋｃｉ＝１（ｙ－ｘｉ），显然该多项式的最高次数为ｋｃ，用系数表示为Ｐ（ｙ）＝ðｋｃｉ＝０（ａｉｙｉ）㊂然后将全部系数进行加密后发送给ｓｅｒｖｅｒ；２）ｓｅｒｖｅｒ针对每一个ｙｉ进行如下计算：选择随机数ｒｉ计算Ｃｉ＝Ｅｎｃ（ｒｉＰ（ｙｉ）＋ｙｉ，并将Ｃｉ发送给ｃｌｉｅｎｔ；３）ｃｌｉｅｎｔ进行如下验证：对Ｃｉ进行解密得到ｍｉ＝ｒｉＰ（ｙｉ）＋ｙｉ㊂如果ｙｉ和某个ｘｉ相等，则ｒｉＰ（ｙｉ）为０，解密结果ｍｉ必定等于该ｘｉ，即为ＰＳＩ结果之一，如果ｙｉ不等于任一ｘｉ，则解密结果ｍｉ是一个随机数㊂３ ２㊀多方ＰＳＩ基本原理在２方ＰＳＩ算法基础上可以扩展到多方㊃２０１㊃第３１卷隐私集合求交算法的对比分析㊀ＰＳＩ㊂具体原理如下：１）假定ｎ＋１个参与方，记为Ｌｌ，ｌɪ［１，ｎ＋１］，第Ｌｎ＋１为ｌｅａｄｅｒ；２）对前面ｎ个参与方Ｌｌ，ｌɪ［１，ｎ］，生成各自的同态加密算法公私钥公钥ｐｋｌ和私钥ｓｋｌ，公开公钥ｐｋｌ；３）对前面ｎ个参与方Ｌｌ，ｌɪ［１，ｎ］，针对已方全部元素ｘｌｉ生成自己的多项式Ｐｌ（ｙ），并将多项式参数进行加密（使用公钥ｐｋｌ）后发送给ｌｅａｄｅｒ；４）Ｌｅａｄｅｒ针对己方每个元素ｙｉ进行如下操作：生成ｎ个随机数ｓｌｊ，ｌɪ［１，ｎ］，确保 ｎｉ＝１ｓｌｊ＝ｙｊ，然后针对ｎ个参与方Ｌｌ的每一方计算密文Ｃｌｊ＝Ｅｎｃ（ｒｌｊＰ（ｙｊ）＋ｙｊ），然后将全部Ｃｌｊ发送给Ｌｌ；５）对前面ｎ个参与方ＬＬ，ｌɪ［１，ｎ］，解密Ｃｌｊ得到ｍｌｊ，并将已方解密出来的ｍｌｊ全部公开：６）对前面ｎ个参与方Ｌｌ，针对收到的全部ｍｌｊ进行计算ｙｊ＝ ｎｌ＝１ｍｌｊ，如果ｙｊ等于已方的某个元素ｘｌｊ相等则表明该元素是多方交集元素㊂３ ３㊀基于不经意伪随机函数的ＰＳＩＰＳＩ算法参与方包括ｓｅｒｖｅｒ和ｃｌｉｅｎｔ，假设ｓｅｖｅｒ和ｃｌｉｅｎｔ输入元素个数都为ｎ㊂ＯＰＲＦＰＳＩ算法的基本思想是利用ＰＲＧ函数对双方明文元素进行加密，然后ｓｅｒｖｅｒ方和ｃｌｉｅｎｔ方对加密后元素进行逐一比对找出共同交集元素，ＰＲＧ函数设置加密密钥时通过ＯＴ协议交互使得该密钥能够确保相同交集元素的密文相同且不泄露明文元素的信息㊂ＯＰＲＦＰＳＩ算法相对其他ＰＳＩ算法的优势是计算量和通信量都比较小，而且对于ｃｌｉｅｎｔ方来说安全性很高，能够确保ｓｅｒｖｅｒ方无论是半诚实还是恶意模型下的ｃｌｉｅｎｔ方安全性，这样通过ＯＰＲＦＰＳＩ算法构建隐查询ＰＩＲ时能够保证查询方的绝对安全性㊂（１）基本原理１）ＯＰＲＦ函数记为ＯＰＲＦｋ（ｘ）＝Ｈ（ｑ ［Ｆ（ｘ）㊃ｓ］），㊃表示位与操作，⊕表示位异或操作，Ｆ（ｘ）表示ｘ作为种子的随机数生成器，Ｈ表示Ｈａｓｈ摘要函数（具有ｒａｎｄｏｍｏｒａｃｌｅ特性）㊂ｑ，ｓɪ｛０，１｝λ，λ表示安全参数；２）ｃｌｉｅｎｔ对己方输入元素ｘ：先采样随机字符串ｒ０ѳƔ｛０，１｝ｎ，计算ｒ１＝ｒ０ Ｆ（ｘ）；３）ｓｅｒｖｅｒ端先采样随机字符串ｓѳƔ｛０，１｝ｎ；４）ｃｌｉｅｎｔ和ｓｅｒｖｅｒ运行λ次ＯＴ协议：ｃｌｉｅｎｔ发送方输入ｒ０［ｉ］和ｒ１［ｉ］，ｓｅｒｖｅｒ端输入选择比特ｓ［ｉ］㊂ｓｅｒｖｅｒ通过λ次ＯＴ协议获取到的λ比特随机字符串ｑ＝ｒｓ［１］［１］ ｒｓ［２］［２］．．． ｒｓ［λ］［λ］；５）ｓｅｒｖｅｒ端设置ＯＰＲＦｋｅｙｋ＝（ｑ，ｓ），对己方输入元素ｙ计算ＯＰＲＦ值ＯＰＲＦｋ（ｙ）＝Ｈ（ｑ ［Ｆ（ｙ）㊃ｓ］），并将改值发送给ｃｌｉｅｎｔ；６）ｃｌｉｅｎｔ检验：当ＯＰＲＦｋ（ｙ）＝Ｈ（ｒ０）时表明ｙ＝ｘ㊂（２）ＯＰＲＦ算法协议公共函数及参数约定如下：λ表示计算安全参数，统计安全参数σ，协议参数ｍ，ｗ，ｌ１，ｌ２，Ｈａｓｈ函数Ｈ１：｛０，１｝∗ң｛０，１｝ｌ１和Ｈ２：｛０，１｝ｗң｛０，１｝ｌ２，伪随机函数Ｆ：｛０，１｝Ａˑ｛０，１｝ｌң［ｍ］ｗ；具体协议过程如下：１）阶段１：预处理ｓｅｒｖｅｒ端采样随机字符串ｓѳƔ｛０，１｝ｗ；ｃｌｉｅｎｔ端执行：初始化个ｍˑω二进制矩阵Ｄ为全１，Ｄｊ表示Ｄ第ｊ列，Ｄ１＝Ｄ２＝ ＝Ｄｓ＝１ｍ；采样随机字符串ｋѳƔ｛０，１｝λ作为ＰＲＦ函数Ｆ密钥；对于ｃｌｉｅｎｔ端的每个元素ｙ：计算ｖ＝Ｆｋ（Ｈ１（ｙ）），ｖɪ［ｍ］ｗ，对矩阵Ｄ的每一列设置Ｄｉ［ｖ［ｉ］］＝０，ｉɪ［ｗ］㊂２）阶段２ʒ０Ｔ传输㊃３０１㊃北京电子科技学院学报２０２３年ｃｌｉｅｎｔ端随机产生一个ｍˑω二进制矩阵Ａѳ＄｛０，１｝ｍˑｗ，计算Ｂ＝Ａ⊕Ｄ；ｃｌｉｅｎｔ和ｓｅｒｖｅｒ运行ｗ次ＯＴ协议，ｃｌｉｅｎｔ作为发送方，ｓｅｒｖｅｒ作为接收方，每次ＯＴ，ｃｌｉｅｎｔ输入消息｛Ａｉ，Ｂｉ｝，ｉɪ［ｗ］，ｓｅｒｖｅｒ输入ｓｉ进行选择㊂ＯＴ协议结束后ｓｅｒｖｅｒ获得ｗ㊀个ｍ比特字符串，然后作为ω列得到一个ｍˑω二进制矩阵Ｃ㊂３）阶段３：ＯＰＲＦ值验证ｃｌｉｅｎｔ端将ＰＲＦ函数Ｆ密钥发送给ｓｅｒｖｅｒ；ｓｅｒｖｅｒ端针对每个元素ｘｉ：计算ｖｊ＝Ｆｋ（Ｈ１（ｙｊ）），计算ＯＰＲＦ值Ｖｉ＝Ｈ２（Ｃ１［ｖｉ［１］］） Ｃｗ［ｖｉ［ｗ］）；ｓｅｒｖｅｒ将所有：发送给ｃｌｉｅｎｔｃｌｉｅｎｔ端针对己方每个元素ｙｉ：计算ｖｊ＝Ｆｋ（Ｈ１（ｙｊ）），计算ＯＰＦ值中，㊀ϕｊ＝Ｈ２（Ａ１［ｖｊ［１］］ Ａｗ［ｖｉ［ｗ］］），然后逐个比较中ϕｊ和ψｉ，当且仅当ϕｊ＝ψｉ时，㊀ｙｊ＝ｘｉ㊂３ ４㊀不经意的可编程伪随机函数的ＰＳＩＰＲＦ函数Ｆ跟ＯＰＲＦ中的定义一致㊂ＯＰＰＲＦ协议的参与方包括Ｓｅｎｄｅｒ（记为Ｓ）和Ｒｅｃｅｉｖｅｒ（记为Ｒ）两方㊂协议运行过程如下：１）约定安全参数Κ，公开参数ＰＲＦ函数Ｆ：２）Ｓ方输入｛（ｘ１，ｙ１），（ｘ２，ｙ２） （ｘｎ，ｙｎ）｝，ｘｉ不相等，协议生成Ｆ加密密钥ｋ和公共参数ｈｉｎｔ；３）Ｒ方进行公ｑ次查询，每次查询输入ｘ，协议返回ｙ＝Ｆ（ｘ，ｋ，ｈｉｎｔ）㊂Ｓ方的输入可以理解为一些点坐标，协议对Ｓ方输入进行加密计算得到公共参数ｈｉｎｔ，ＰＲＦ函数Ｆ加密密钥ｋ㊂Ｒ方的输入为ｘ，协议返回一个随机值ｙ，当ｘ与Ｓ方某个输入ｘ相等时，Ｒ方获得输出即为ｙ＝ｙｉ㊂协议的安全性要求Ｓ方无法获知Ｒ方输入的查询信息，Ｒ方无法获知查询输出是否匹配到了Ｓ方的某个输入㊂也就是说Ｒ方每次查询中无论输入值是否匹配到Ｓ方的某个输入ｘｉ，输出ｙ相对Ｒ方都是一个随机均匀分布㊂ＯＰＰＲＦ基于多项式的实现：假设Ｓ方输入｛（ｘ１，ｙ１），（ｘ２，ｙ２） （ｘｎ，ｙｎ）｝，令ｙᶄｉ＝ｙｉ Ｆ（ｋ，ｘｉ），Ｓ方通过对｛（ｘ１，ｙᶄ１），（ｘ２，ｙᶄ２） （ｘｎ，ｙᶄｎ）｝进行拉格朗日插值得到多项式如下：Ｐ（ｘ）＝ðｎｉ＝１ｙᶄｉ（ᵑ１ɤｊɤｎｊʂｉｘ－ｘｊｘｉ－ｘｊ）记上述多项式系数为ｈｉｎｔ，记Ｒ方查询输入为ｑ，则查询输出为：Ｆ（ｑ，ｋ，ｈｉｎｔ）＝Ｆ（ｋ，ｑ） Ｐ（ｑ）正确性验证：当Ｒ查询输入ｑ＝ｘ时，查询输出为ｙｉＦ（ｋ，ｘｉ） Ｐ（ｘｉ）＝Ｆ（ｋ，ｘｉ） ｙᶄｉ＝Ｆ（ｋ，ｘｉ） ｙｉ Ｆ（ｋ，ｘｉ）＝ｙｉ当输入ｑ不等于任一ｘｉ时，查询输出是随机均匀分布的㊂因为ｙｉ随机均匀分布，因此Ｐ（ｘ）系数也是随机均匀分布的㊂３ ５㊀ＭｕｌｔｉＰＳＩ算法原理：算法关键是利用秘密分享技术，通过２次ＯＰＰＲＦ找出共同元素㊂１）第一次ＯＰＰＲＦ：ｓｔｅｐ１中各参与方对本方的每个元素和其他各参与方生成多份秘密分享值ｓｉ，ｊｋ，然后ｓｔｅｐ２中各参与方运行ＯＰＰＲＦ，此时如果有相同元素进行查询则会获取到对方相同元素的某一份秘密分享值㊂如果是不相同元素的查询则是获得一个随机值；２）第二次ＯＰＰＲＦ：ｓｔｅｐ３中各参与方通过本方所有秘密分享值计算一个映射Ｓｉ（ｘｉｋ），然后ｓｔｅｐ４中Ｐ１作为协议中ｌｅａｄｅｒ（负责最终交集元素的输出），和各参与方运行第二次ＯＰＰＲＦ．每个参与方的Ｓｉ（ｘｉｋ）值包含了单个元素在各个参与方对应的秘密分享值㊂Ｓｔｅｐ５中Ｐ１对各个参与方Ｓ（ｘ）进行ＸＯＲ计算，此时如果是该元素在㊃４０１㊃第３１卷隐私集合求交算法的对比分析㊀各个参与方都有，则 ｉɪ［ｎ］ｙｉｋ包含了所有参与方关于ｘｉｋ元素的全部秘密分享值，因此 ｉɪ［ｎ］ｙｉｋ＝０意味着元素ｘｉｋ在各个参与方输入中都存在㊂４㊀ＰＳＩ算法复杂度的对比分析㊀㊀不同ＰＳＩ协议的计算复杂度和通信复杂度在表２中有所示㊂表１为符号说明，表２中的计算复杂度是通过非对称或是对称密码原语的使用次数衡量的，通信复杂度是通过在信道上传输的比特数衡量的㊂这里的假设是每完成一次ＯＴ协议花费３次对称密码操作（对于使用布隆过滤器的花费２ ５次对称密码操作）㊂计算姚氏电路中的与门使用４次对称密码操作，计算ＧＭＷ电路中的与门使用６次对称加密操作㊂在同一类别中的ＰＳＩ方案大多数拥有类似的复杂度㊂朴素哈希方法与服务器辅助的方法需要对每一个元素执行一次对称加密操作（哈希），基于公钥的协议需要对每一个元素执行两次公钥操作，并且需要发送两个密文和一个哈希值㊂基于电路的方法的计算复杂度与电路中与门的数量成正比，在基于布隆过滤器的协议中，计算复杂度与布隆过滤器的大小成正比㊂在基于ＯＴ的协议中，基于布隆过滤器的协议［２４］，通信复杂度是与安全参数κ的平方成正比的，但是在［３４］中的协议，通信复杂度是与κ呈线性关系㊂表１㊀符号说明符号说明Ｓ服务端或是发送端Ｒ客户端或是接收端Ｘ，Ｙ发送端和接收端的集合ＮＸ，ＮＹ发送端和接收端集合的大小ｍ哈希表的大小ｖ消息编码的长度σ集合元素的长度κ，λ计算意义的安全参数和统计意义的安全参数ρ，ϕ非对称安全参数与椭圆曲线的规模表２㊀不同ＰＳＩ协议复杂度比较分类协议计算复杂度（对称或非对称密码原语的次数）通信复杂度（比特）基于公钥体系的基于有限域ＤＨ的［６］２ｔｐｋｔρ＋ＮＸｖ基于椭圆曲线上ＤＨ的［６］２ｔｐｋｔϕ＋ＮＸｖ基于ＲＳＡ的［３０］２ｔｐｋｔρ＋ＮＸｖ基于电路的姚氏电路使用ＳＣＳ１２ｍσｌｏｇｍ＋３ｍσｓｙｍ６ｍΚσｌｏｇｍ＋３ｍσＧＭＷ使用ＳＣＳ１８ｍσｌｏｇｍｓｙｍ６ｍ（Κ＋２）σｌｏｇｍ姚氏电路使用ＰＷＣσ（４ ＮＹｍａｘｂ＋４ｓＮＸ＋３ ＮＹ）ｓｙｍ２ ＮＹΚｍａｘｂσ＋３ｓＮＸΚσ＋２ ＮＹσＧＭＷ使用ＰＷＣ６σ（ ＮＹｍａｘｂ＋ｓＮＸ）ｓｙｍ２（Κ＋２）σ（ ＮＹｍａｘｂ＋ｓＮＸ）姚氏电路使用ＯＰＲＦ２１７６０ＮＹ＋３σＮＹｓｙｍ１０８８０ＮＹΚ＋２ＮＹΚσ＋ＮＸｖＧＭＷ使用ＯＰＲＦ３２６４０ＮＹｓｙｍ１０８８０ＮＹ（Κ＋２）＋ＮＸｖＣｉａｍｐｉ等人的方案Ｍ（４σｌｏｇｍ＋３σ）ｓｙｍｍ（２σ＋１）ｍΚ基于ＯＴ协议的使用布隆过滤器［２４］３ ６ｍΚｓｙｍ１ ４４ｍΚ（Κ＋λ）使用哈希表［２０］３ ＮＹ＋（ｋ＋ｓ）ＮＸｓｙｍ５１２ ＮＹ＋（ｋ＋ｓ）ＮＸｖ使用哈希表［２６］（ｓ＋３）ｍ＋（ ｍ＋ｓ）ｓｙｍ４（ ｍ＋ｓ）ｋ＋（ｓ＋３）ｍｖ使用哈希表［３１］∗－６Κｎ＋βｎｌｏｇｍ基于ＦＨＥ的［４６］－－１ ５ＣσＮＹｌｏｇ２Ｎｘ㊀㊀注：其中ｓｙｍ和ｐｋ分别表示对称与非对称操作的统计，ｔ＝ＮＸ＋ＮＹ，ｍ＝ｍａｘ（ＮＸ，ＮＹ），βʈλ＋２ｌｏｇｎ－１， ，ｋ，ｓ，ｍａｘｂ是哈希函数用到的参数，ｖ是在ＯＴ扩展协议中，使用的哈希函数的输出长度，Ｃ是一个常数，表示［２６］的同态操作产生的密文扩展㊂标有∗的是在恶意模型下安全的协议㊂５㊀ＰＳＩ性能的对比分析㊀㊀基于公钥密码的ＰＳＩ方案中，一些协议公钥加解密操作的次数与集合大小成线性关系㊂因此虽然通信复杂度是最小的，但是计算开销远不及后面叙述的基于不经意传输扩展协议的ＰＳＩ㊂使用公钥加密体系的ＰＳＩ有另一个优点，就是在双方集合大小相差很大的情况下，花销很大的公钥加密操作可以集中在一方进行㊂结合这种方案通信复杂度低的优点，Ｃｈｅｎ等人在文献［２８］㊁㊃５０１㊃。
RSA加密算法原理及RES签名算法简介
RSA加密算法原理及RES签名算法简介第⼀部分：RSA原理与加密解密⼀、RSA加密过程简述A和B进⾏加密通信时,B⾸先要⽣成⼀对密钥。
⼀个是公钥，给A，B⾃⼰持有私钥。
A使⽤B的公钥加密要加密发送的内容，然后B在通过⾃⼰的私钥解密内容。
⼆、RSA加密算法基础整个RSA加密算法的安全性基于⼤数不能分解质因数。
三、数学原理(⼀) 互质关系：两个数a和b没有除1外的其他公约数，则a与b互质1. 任意两个质数构成互质关系2. 两个数中，如果⼤数为质数，则两数必定互质3. 1和任意整数互质4. 当p>1时，p与p-1互质(相邻两数互质)5. 当p=2n+1(n>0且n为整数)时，p与p+2互质(相连的两个奇数互质)(⼆) 求欧拉函数：定义：与正整数n互质且⼩于正整数n的正整数的个数。
通常使⽤ψ(n)表⽰。
求取与正整数n互质的正整数的个数ψ(n),且ψ(n)满⾜ψ(n)∈(2,n)1. 如果n=1,则ψ(n)=12. 如果n是质数,则ψ(n)=n-13. 如果n是质数p的次⽅,则：ψ(p^k)=p^k-p^(k-1) = p^k*(1-1/p)4. 若p1和p2互质,n=p1*p2,则ψ(n)= ψ(p1*p2)= ψ(p1) ψ(p2)5. 任意⼀个⼤于1的正整数都可以写成⼀系列质数的积6. 根据定理5，推导欧拉定理：因为n = (p1^k1)* (p2^k2)*……(pr^kr) (p1~pr都是质数)所以ψ(n)= ψ((p1^k1)) ψ(p2^k2) ……ψ(pr^kr) 定理4ψ(n)= (p1^k1)*(1-1/p1) * (p2^k2)(1-1/p2)……(pr^kr)*(1-1/pr) 定理3ψ(n)= (p1^k1)* (p2^k2)*……(pr^kr) * (1-1/p1) (1-1/p2)…… (1-1/pr)ψ(n)=n (1-1/p1) (1-1/p2)…… (1-1/pr)(三) 欧拉定理：正整数a与n互质，则下式恒成⽴a^ψ(n) ≡1(mod n)即：a的ψ(n)次幂除以n,余数恒为1(四) 模反元素如果两个正整数a和n互质,则必定存在整数b使得a*b-1被n除余数为1ab ≡1(mod n)其中b被称为a的模反元素四、RSA算法详解：假设A和B要通信(⼀) ⽣成密钥1. 公钥1) 随机⽣成两个不相等的质数p和q(质数越⼤越安全)2) 计算n,n=p*q 则n的⼆进制位数就是密钥的长度。
rsa 签名和验签的原理
rsa 签名和验签的原理RSA签名和验签的原理基于RSA算法的数学特性。
1. RSA签名原理：（1）假设Alice想要对一条消息进行签名，她首先选择一对RSA公钥和私钥。
公钥包括两个参数：RSA模数n和公钥指数e；私钥包括两个参数：RSA模数n和私钥指数d。
公钥（n,e）会公开给其他人，而私钥（n,d）会保密。
（2）Alice使用私钥（n,d）对消息进行加密，得到签名s。
加密过程为s = m^d mod n，其中m是消息的表示，^表示乘方，mod表示取模运算。
（3）Alice将消息m和签名s一起发送给Bob。
（4）Bob使用Alice的公钥（n,e）对签名s进行解密，得到消息m'。
解密过程为m' = s^e mod n。
（5）Bob计算收到的消息m'的表示，与实际收到的消息m进行比较。
如果相等，则说明签名是有效的，否则签名是无效的。
2. RSA验签原理：（1）Alice生成一对RSA公钥和私钥，公钥（n,e）公开给Bob，私钥（n,d）保密。
（2）Bob收到Alice发送的消息m和签名s。
（3）Bob使用公钥（n,e）对签名s进行解密，得到消息m'。
解密过程为m' = s^e mod n。
（4）Bob计算收到的消息m'的表示，与实际收到的消息m进行比较。
如果相等，则说明签名是有效的，否则签名是无效的。
通过RSA的数学特性，只有私钥的持有者才能对消息进行加密，从而生成唯一有效的签名。
而公钥的持有者只能使用公钥进行验证签名的有效性，无法生成有效的签名。
这样就能确保签名的有效性和身份认证。
密钥交换(密钥协商)算法及其原理
密钥交换（密钥协商）算法及其原理密钥交换（密钥协商）算法是指双方在不安全的通信信道中协商出一个共享密钥的过程。
这个共享密钥被用于加密和解密通信中的数据，以确保通信的机密性和完整性。
在密码学中，有许多经典的密钥交换算法，如Diffie-Hellman密钥交换算法、RSA算法和ECC算法等。
Diffie-Hellman是一种最早的密钥交换算法，它利用了离散对数的难题。
该算法的原理如下：1.首先，双方共享一个公开的素数p和一个基数g。
这些参数可以在双方事先约定好，也可以通过其他安全的通信方式传递。
这些参数可以在不同的会话中重复使用。
2.然后，每个参与者选择一个私密的数值作为私钥。
这个私钥只有自己知道。
3.接下来，参与者通过计算公式计算出一个公钥，并将其发送给对方。
公钥的计算公式为：公钥=g的私钥次方对p取模。
4.接收方也进行相同的操作，计算出自己的公钥。
5.双方互相交换公钥信息。
6.然后，双方使用对方的公钥和自己的私钥进行计算，得到一个相同的共享密钥。
计算公式为：共享密钥=公钥的私钥次方对p取模。
7.最后，双方得到的共享密钥可以用于对后续的通信进行加密和解密。
RSA算法是一种公钥密码体制，也可以用于密钥交换。
其原理如下：1.首先，每个参与者生成一对密钥，即一个公钥和一个私钥。
私钥只有自己知道，公钥可以公开。
2.接着，参与者将自己的公钥发送给对方。
3.对方使用收到的公钥对数据进行加密，并将加密后的数据发送给发送方。
4.发送方使用自己的私钥对收到的数据进行解密。
5.最后，双方可以使用解密后的数据进行通信。
ECC（椭圆曲线密码学）算法是基于椭圆曲线离散对数问题的一种密钥协商算法。
其原理如下：1.首先，双方事先约定一个椭圆曲线和一个基点，这些参数可以公开。
2.每个参与者选择一个私密的数值作为私钥。
这个私钥只有自己知道。
3.接下来，每个参与者使用私钥和基点进行一系列的点乘运算，得到一个公钥。
4.然后，双方互相交换公钥信息。
一个新的基于RSA的广播多重盲签名方案
密信 道发 送给 用户 ， 主要 分为 如下几 个 阶段 ：
收 稿 日期 ：０ ２ ０ — ０ ２ １ － ２ １
基 金 项 目 ： 江 省 教 育 厅 科 研 项 目 （ ０ ０ ６ ９ ） 浙 江 省 自 然 科 学 基 金 项 目 （ １０ ８ ） 浙 Ｙ２ １ １ ４ ７ ； Ｙ６ １７ ２ ；杭 州 市 高 校 重 点 实 验 室 科 技 创 新 项 目
现 实生 活 中 ， 往往 需要参 与 的各方对 某 一重要 的文 件进 行 签 字或 表 决 ， 比如 合 同的签 订 、 司文 件 的 公
发布 等． 申到 数字签 名领 域 ， 就是 要求 多个签 名 者对 同一个 消息 进行签 名认 证 ， 引 也 即多重 数字 签名． ９ ３ １ ８
年 ， ｏ ｄ首 次提 出 了多重数 字签 名 的概 念 ， Ｂｙ 此后 ， 大量 的基 于不 同数学 难题 和密码 体 制 的多 重 数字 签名 方
案口 ］ 运而 生． 应 目前 ， 多重数 字签 名经过 发展 和交 叉 ， 生 了许多分 支 ， 产 比如顺 序 多重数 字签 名 、 播 多重 广
数字 签名 、 理 多重签 名 、 代 多重盲 签名 等等 ． 广播 多重 数字 签 名是 指签 名 发起 人 将 消息 发 送 给每 一个 签 名
者 ， 名者 的签 名不分 先后 顺序 ， 签 但要 求有 一个签 名 收集者 ， 名者签 名后 将签 名发送 到签 名收 集者 ， 签 由收
集者 来进行 整理 ， 产生 对 消息 的签名 ．
２０ ０ ３年 ， 张键 红等 提 出 了一 个基 于 ＲＳ 的多 重数 字 签 名方 案 ， 文 着重 分 析 了这个 方案 ， 出其 Ａ 本 指 中的安全漏 洞 ， 提 出新 的改进 方案 ． 并 新方 案通过 加人 对 消息 签 名 收集 者 和签 名者 的分别 认 证 ， 以抵 御 可 假 冒攻击 ， 并能 有效地 鉴别 出不 诚实 的签 名者 ， 而 提高安 全性 ． 从
现代密码学 学习心得
混合离散对数及安全认证摘要：近二十年来，电子认证成为一个重要的研究领域。
其第一个应用就是对数字文档进行数字签名，其后Chaum希望利用银行认证和用户的匿名性这一性质产生电子货币，于是他提出盲签名的概念。
对于所有的这些问题以及其他的在线认证，零知识证明理论成为一个非常强有力的工具。
虽然其具有很高的安全性，却导致高负荷运算。
最近发现信息不可分辨性是一个可以兼顾安全和效率的性质。
本文研究混合系数的离散对数问题，也即信息不可识别性。
我们提供一种新的认证，这种认证比因式分解有更好的安全性，而且从证明者角度看来有更高的效率。
我们也降低了对Schnorr方案变形的实际安全参数的Girault的证明的花销。
最后，基于信息不可识别性，我们得到一个安全性与因式分解相同的盲签名。
1．概述在密码学中，可证明为安全的方案是一直以来都在追求的一个重要目标。
然而，效率一直就是一个难以实现的属性。
即使在现在对于认证已经进行了广泛的研究，还是很少有方案能兼顾效率和安全性。
其原因就是零知识协议的广泛应用。
身份识别：关于识别方案的第一篇理论性的论文就是关于零知识的，零知识理论使得不用泄漏关于消息的任何信息，就可以证明自己知道这个消息。
然而这样一种能够抵抗主动攻击的属性，通常需要许多次迭代来得到较高的安全性，从而使得协议或者在计算方面，或者在通信量方面或者在两个方面效率都十分低下。
最近，poupard和stern提出了一个比较高效的方案，其安全性等价于离散对数问题。
然而，其约减的代价太高，使得其不适用于现实中的问题。
几年以前，fiege和shamir就定义了比零知识更弱的属性，即“信息隐藏”和“信息不可分辨”属性，它们对于安全的识别协议来说已经够用了。
说它们比零知识更弱是指它们可能会泄漏秘密消息的某些信息，但是还不足以找到消息。
具体一点来说，对于“信息隐藏”属性，如果一个攻击者能够通过一个一次主动攻击发现秘密消息，她不是通过与证明者的交互来发现它的。
rsa密钥交换算法
rsa密钥交换算法RSA密钥交换算法RSA（Rivest-Shamir-Adleman）密钥交换算法是一种非对称加密算法，可用于在不安全的网络环境中进行安全的数据传输。
该算法是由Ron Rivest、Adi Shamir和Leonard Adleman于1977年共同提出的，是目前应用最广泛的公钥加密算法之一。
RSA算法的基本原理是利用大素数的因子分解问题的困难性来保证数据传输的安全性。
在RSA算法中，每个参与者（通常是客户端和服务器）都拥有一对密钥，分别为公钥和私钥。
公钥可以公开给其他参与者，而私钥则必须严格保密。
公钥用于加密数据，私钥用于解密数据。
RSA密钥交换算法的过程如下：1. 生成密钥对：首先，参与者需要生成一对密钥，这对密钥是通过选择两个大素数p和q，并计算出相应的公钥和私钥得到的。
其中，p和q是保密的，而公钥和私钥可以公开和保密。
2. 加密数据：发送方使用接收方的公钥对数据进行加密。
具体而言，发送方将明文数据转换为一个数值，并使用接收方的公钥对该数值进行幂模运算，得到密文数据。
这样，即使敌方截获了密文数据，也无法解密得到原始数据。
3. 解密数据：接收方使用自己的私钥对密文数据进行解密。
具体而言，接收方使用私钥对密文数据进行幂模运算，得到原始数据的数值表示。
然后，接收方将该数值转换为原始数据。
4. 完成数据传输：接收方成功解密密文数据后，即可获得原始数据。
这样，通过RSA密钥交换算法，参与者可以在不安全的网络环境中安全地进行数据传输。
RSA算法的安全性基于两个数的大数分解问题的困难性。
即使在现代计算机中，对于大素数的因子分解问题也是非常耗时的。
因此，通过选择足够大的素数，RSA算法可以提供足够强的安全性。
然而，RSA算法也存在一些安全性问题。
首先，如果生成密钥对的过程中选择的素数不够随机或不够大，可能会导致密钥的安全性降低。
其次，如果私钥泄露，攻击者可以使用私钥对密文数据进行解密，从而获取原始数据。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
摘 要： 由于电子商务的广泛使用和普及， 使得互不信任的两方或多方要依赖 Ｉ ｎ ｔ ｅ ｒ ｎ ｅ ｔ 传递信息． 公平 交换协议作为电子商务的关键密码技术， 至关重要． 通过对现有的公平交换协议进行研究与分类， 发现部 在Ｒ Ｓ Ａ盲签名的基础上， 提出了一种安全、 高效、 可实际操作的 分现有的公平交换协议需要第三方介入． 无可信第三方参与的公平电子交换协议， 为构造公平电子支付协议及公平电子合同签署协议提供了有效 的密码工具． 关键词： 电子商务； 公平交换协议； Ｒ Ｓ Ａ盲签名 中图分类号： Ｔ Ｐ ３ ０ ９ 文献标识码： Ａ 文章编号： １ ０ ０ ８－ ４ ６ ８ １ （ ２ ０ １ ５ ） ０ ５－ ０ ０ ４ ０－ ０ ２ 由于计算机网络的普及使用， 越来越多的电子商务、 电 ｎ ｔ ｅ ｒ ｎ ｅ ｔ 进行． 而参与信息交换的双方或多方未 子政务依赖 Ｉ 曾谋面， 信任度非常低． 仅靠 Ｉ ｎ ｔ ｅ ｒ ｎ ｅ ｔ 网络连接起来， 互换信 息． 设计安全、 高效的电子交换协议也就变得越来越重要． 公平电子交换协议在很多文献中都有记载． 这些协议可 １ ） 使用可信第三方的方案， 此类方案明显存在 划分为两类： （
ｐ ｋ ｄ ｋ ｐ （ ｍｍ ｏ ｄ ｎ ） ｍ ｏ ｄ ｎ＝ｈ ｍ ｏ ｄ ｎ ｐ ｋ ｄ ｐ ｋ ｄ 右边 ＝Ｓ Ｉ Ｇ （ Ｅ （ ｍ ） ） ＝（ ｍ ｍ ｏ ｄ ｎ ） ＝（ ｈ ）ｍ ｏ ｄ ｎ＝ ｐ ｋ ｐ ｋ ｄ ｈ ｍ ｏ ｄ ｎ
以后的协议不断减少第三方的参与使 为计算和执行的瓶颈． （ ２ ） 参与的双方直接进行数 用离线或半可信第三方的协议．
７ － ９ ］ 字签名信息的交换 ［ ． 而用 Ｒ Ｓ Ａ体制设计的方案很少， 且 １ ０ ］ 效率不高 ［ ． 为了保护用户的隐私， 本文采用 Ｒ Ｓ Ａ盲签名体
所以， 上式成立．
２ 协议
协议所用符号： Ａ ， Ｂ分别表示参与交换的发起方和接收 方 ｄ－Ａ ， ｅ －Ａ表示签名私钥和公钥 私钥 ｓ ｋ－Ａ ， ｐ ｋ－Ａ表示 Ａ的加密过程中公钥 ／ 同理 ｄ－Ｂ ， ｅ －Ｂ表示 Ｂ的签名私钥、公钥 私钥 ｓ ｋ－Ｂ ， ｐ ｋ－Ｂ表示 Ａ的加密过程中公钥 ／ ｔ ： 提交信息的最后期限 ： 随机数分别为 Ｂ ｌ ， ｋ ， Ａ随机选取的随机秘密数． 拥有的待签名的消息， ｍ ， ｍ Ａ Ａ 分别参与方 Ａ与 Ｂ 协议设计过程如下：
基金项目： 春晖计划（批准号： 教外司留［ ２ ０ １ ４ ］ １ ３ １ ０号） 资助项目； 青海省科技创新能力促进计划项目（ 批准号： ２ ０ １ ５－ Ｚ Ｊ － ７ ２ ４ ） ． 王云（ １ ９ ６ ７ —） ， 女， 陕西西安人， 青海大学基础部副教授， 硕士． 研究方向： 密码学与信息安全． 作者简介：
总第 １ ２ ７期
王 云， 芦殿军： 一个基于 Ｒ Ｓ Ａ盲签名的高效公平电子交换协议
４ １
计算， ， 同时对 Ｍ Ｓ Ｉ Ｇ （ ｍ ）＝（ Ｓ Ｉ Ｇ （ Ｍ） ／ ｋ ） ｍ ｏ ｄ ｎ Ｂ Ａ Ｂ １签名并加 密， 随后将 Ｅ （ 否则， Ａ什么也不 （ Ｓ Ｉ Ｇ （ Ｍ ） ） ，发送给 Ｂ ｐ ｋ － Ｂ Ａ １ ． Ｂ做相似的验证去消盲因子得 Ｓ 做， 协议结束） Ｉ Ｇ （ ｍ ）＝ Ａ Ｂ ． （ Ｓ Ｉ Ｇ （ Ｍ ） ／ ｌ ） ｍ ｏ ｄ ｎ Ａ １ 结论： 该协议是公平的． 验证不正确则结束该 证明： 若 Ａ收到 Ｅ （ Ｓ Ｉ Ｇ （ Ｍ） ）， ｐ ｋ － Ａ Ｂ 协议的执行， 此时 Ａ 、 Ｂ什么也没有得到， 公平性得以保证． 若 Ａ发送的 Ｅ 则 Ｂ终止协议的执行， （ Ｓ Ｉ Ｇ （ Ｍ ） ）不正确． ｐ ｋ － Ｂ Ａ １ 仍然什么也得不 此时 Ａ有的只是盲化后的消息 Ｍ 的签名， 到． 如果双方都是诚实的， 则 Ａ与 Ｂ分别得到各自所要的签 名， 公平性仍然成立．
ｅ 计算 ｔ＝ｍ ， 然后将 ｔ 发送给 Ｂ ． ｍ ， ｋ ｍ ｏ ｄ ｎ ｄ ｅ ｄ ｄ （ ２ ） Ｂ对 ｔ 签名， Ｓ＝ｔ ｍ ｏ ｄ ｎ＝（ ｍ ｋ ）ｍ ｏ ｄ ｎ＝ｍ ｋ ｍ ｏ ｄ ｎ ， ［ ９ ］
Ｅ Ａ→ Ｂ ， （ Ｓ Ｉ Ｇ （ Ｍ ） ） ， ｔ ｐ ｋ － Ｂ Ａ １ 协议的执行： Ａ首先将待签消息 ｍ Ｂ收到 Ａ 盲化得到 Ｍ ，
然后 Ｂ将 Ｓ 发送给 Ａ ． （ ３ ） Ａ计算 ｓ＝Ｓ ／ ｋ ｍ ｏ ｄ ｎ＝ｍ ｍ ｏ ｄ ｎ ． （ ４ ） Ａ验证 ｓ≡ ｍ 若等式成立， 则记录 ｍ ｏ ｄ ｎ是否成立． （ ｓ ， ｍ ） ． 否则， 数据有假或不正确．
收稿日期： ２ ０ １ ５－ ０ ５－ １ 公钥加密得 Ｅ （ Ｓ Ｉ Ｇ （ Ｍ） ） ， ｐ ｋ － Ａ Ｂ Ａ收到这两个数据后， 先用自己的私钥 并盲化 ｍ Ｂ 得到 Ｍ １， 得到 Ｓ 若正确， 验证 Ｓ ｓ ｋ Ｉ Ｇ （ Ｍ）， Ｉ Ｇ （ Ｍ）是否正确． Ａ 解密， Ｂ Ｂ
第２ ９卷 第 ５期 ２０１５年 ０ ９月
长 沙 大 学 学 报 Ｊ Ｏ Ｕ Ｒ Ｎ Ａ ＬＯ ＦＣ Ｈ Ａ Ｎ Ｇ Ｓ Ｈ ＡＵ Ｎ Ｉ Ｖ Ｅ Ｒ Ｓ Ｉ Ｔ Ｙ
Ｖ ｏ ｌ ． ２ ９ Ｎ ｏ ． ５ Ｓ ｅ ｐ ． ２０１５
一个基于 Ｒ Ｓ Ａ盲签名的高效公平电子交换协议
王 云１， 芦殿军２
ｅ － Ｂ Ｍ ＝ｋ Ａ→ Ｂ ， ｍ ， ｔ Ａ ｅ － Ａ Ｅ Ｂ→ Ａ ， （ Ｓ Ｉ Ｇ （ Ｍ） ） ， Ｍ ｐ ｋ － Ａ Ｂ １ ＝ｌ ｍ Ｂ
取消第三方的参与， 即参与信息交换的双方互相交换签 制． 该方案的提出为构造公平电子支付协议及公平电子 名信息． 合同签署协议提供了有效的密码工具．
１ － ６ ］ 不足 ［ ． 因为第三方的加入使得运行的负担比较重且易成 ｄ
加密 方 案： 加密方案中的公／ 私钥分别为 ｓ ｋ ， ｐ ｋ满 足 对消息 ｍ利用上述签名和加密后， ｓ ｋ ｋ ｍ ｏ ｄ （ （ ｎ ） ）， ｐ ≡１ φ 有定理 Ｅ （ Ｓ Ｉ Ｇ （ ｍ ） ） ＝Ｓ Ｉ Ｇ （ Ｅ （ ｍ ） ） ． ｐ ｋ ｐ ｋ 证 明：设 ｍ ＝ ｌ ，左 边 为 Ｅ ｎ＋ｈ （ Ｓ Ｉ Ｇ （ ｍ ） ） ＝ ｐ ｋ
１ 知识准备
盲签名： 为了使签字者不知道所签消息的内容． 这种方 案由 ｃ ｈ ａ ｕ ｍ 首先提出． 设ｐ 是两个足够大的强素数， ， ｑ ｎ＝ 签名方案如下： 设签名者 Ｂ的公钥为 ｅ ， 密钥为 ｄ 且ｅ ｄ ｐ ｑ ≡ １ ｍ ｏ ｄ （ ｎ ）． φ （ １ ） 若 Ａ要对消息 ｍ进行盲签名， 可随机选取 １ ｋ