一个基于强RSA数字签名方案的改进

合集下载

几种数字签名方案简介

几种数字签名方案简介1、RSA数字签名方案RSA是最早公钥密码算法之一，由Ron Rivest、Adi Shamir和Leonard Adleman于1978年发明。

RSA数字签名方案基于大数分解难题，其安全性与RSA问题紧密相关。

在RSA数字签名方案中，发送方使用私钥对消息进行签名，接收方使用公钥验证签名。

2、DSA数字签名方案DSA数字签名算法由美国国家标准与技术研究院(NIST)提出，并被采纳为联邦数据处理标准(FIPS)。

DSA数字签名方案基于离散对数难题，其安全性主要依赖于有限域上的离散对数问题。

DSA算法相较于RSA 算法，具有签名长度短、速度快以及抗量子攻击等优点。

3、ECDSA数字签名方案ECDSA是椭圆曲线数字签名算法，其基于椭圆曲线密码学，是在有限域上的椭圆曲线离散对数问题的基础上构建的。

ECDSA数字签名方案相较于RSA和DSA算法，具有更高的安全性和更低的计算开销。

因为椭圆曲线密码学具有较高的安全性和较低的计算复杂性，所以ECDSA 被广泛应用于比特币等加密货币中。

4、EdDSA数字签名方案EdDSA数字签名算法是对标DSA的抗量子攻击算法，由欧洲电信标准化协会(ETSI)提出。

EdDSA使用的是Schnorr签名算法的一种变体，具有较高的安全性和抗量子攻击能力。

此外，EdDSA算法还具有速度快、签名长度短等优点。

以上几种数字签名方案都是目前广泛应用的算法，每种方案都有其特定的应用场景和优缺点。

在实际应用中，我们需要根据具体需求选择合适的数字签名算法以保证信息的安全性和完整性。

随着互联网的快速发展，数字签名方案在信息安全领域变得越来越重要。

数字签名方案用于验证信息的完整性、真实性和不可抵赖性，广泛应用于电子政务、电子商务和网络安全等领域。

无证书数字签名方案作为一种新兴的数字签名技术，因无需证书颁发机构颁发证书，具有降低成本、提高效率等优点，逐渐受到广泛。

本文将对几种无证书数字签名方案进行介绍，并对其安全性进行分析及改进。

对一个基于RSA门限代理签名方案的分析与改进

ＡｎｌｓｓａｄＩｐｏｅｎｎａＴｈｅｈｌｏｙＳｇａｕｅａｙｉｎｍｒｖｍｅｔｏｒｓｏｄＰｒｘｉｎｔｒ
ＳｈｍｅＢａｅｎｔｅＲＳｃｅｓｄｏｈＡｙｔｓｓｅＣｒｐｏｙｔｍ
ＱｈａｄｌＬｍｅ０ｉｈｎｕｉＣｕｎａＩｉＹａｉＪｎＣｅｈｉ
（ｉｙｎｏｍｌＵｉｒｉ，ｉｙｎ６００ＸｎａｇＮｒａｎｖｓｙＸｎａｇ４４０）ｅｔ
（ＬｎｏｍｔｎＥｇｎｅｉｇＵｉｒｉ，ｈｎｚｏ５０４ＰＡＩｆｒａｉｎｉｅｒｎｖｓｙＺｅｇｈｕ４００）ｏｎｅｔ
ＡｂｔａｔＴｉａｅＡｎｌｚｓｈｍａｅｖｒｂｌｙｆｓｒｃ：ｈｓｐｐｒａｙｅｔｅｎｕｅａｉｔｏＨＬｓｈｍｅ，ｎｒｖｓｈａＨＬｓｈｍｅｘｓｄｓｇｒｍｅｔｉＬｃｅａｄｐｏｅｔｔＬｃｅｅｉｔｉｆｕｅｎｉｂｄｙｔｅｒｘｓｇｅｓａｎｔｒｎｓｇａｕｅ．ｓｉｒｖｄｉｎｔｒａｇｒｈ，ｅｃｅｉｒｖｄｉｎｔｒ￣ｌ。ｐｏｙｉｎｒｃｎｏｂｇｉｎｒｓｈｉｔＡｌｏｍｐｅｓａｕｅｌｏｔｍｔｓｈｍｅｍｐｅｓａｕｅｏｇｉｈｏｇ
名（群签名）由ｎ个成员的组成的签名组中任何￡１ ≤ｎ或；（ ≤ｔ）个或￡以上成员都可代表签名组进行有效签名称为（。）个ｔ门限ｎ多重签名；名者委托别人代替自己签名称为代理签名；名签签

基于RSA和DLP数字签名方案的分析和改进

在着安全漏洞，于是Ｌ的方案改进了Ｙｎ的ｉａｇ方案，减少了密钥的数量，并降低了计算复杂度，
方案的核心主要是依赖于公认的困难问题的难解性，所以一旦困难问题被解决，则依赖于这个困难问题的密码系统也随之攻破。考虑到以后计算机计算能力的加强和更好的破解方案的提出，所以基于两个或两个以上困难问题的密码系统的提出已成为研究者的重点。基于多个困难问题的的密码系统被
１前言
效率低下的问题，后来ｗｕ的方案中步骤繁多并
随着公钥密码思想的建立和提出，经过长期的研究和发展，人们利用公钥密码思想建立了各种不
同的系统，随之发展的是各类的签名方案，而签名
且存在系统漏洞，攻击者可以伪造签名信息进行攻击，Ｙｎ【的方案中修复了Ｗｕ５中存在的漏洞，ａｇ６］【但是由于通信量太大，没有实际运用的价值并且存
２Ｄａｏｔｇｎ，ＪｊｎｉｐｏｆｈｎｓＡｍｄＰｌｅｏｃ，Ｊｕａｇ３００．ｅｎＣｎｉｅｔｉｉｇＦｒｒｏＣｉｅｅｒｅｏｃｒｎｕａｅｆｏｉＦｅｉｉｎ３０，Ｃｉａｊ４ｈｎ）
ＡｂｔａｔＡｎｌｚｓｔｅｓｃｒｙｏｅｓｇａｕｅｓｈｍｅｐｏｏｅｙＦｇｎＬ，Ｆｎｓｓｃｒｔｏｈｌｓｙａｔｃｓｒｃ：ａｙｅｅｕｉｆｉｎｔｒｃｅｒｐｓｄｂａｅｉｈｔｈｔｉｄｉｅｕｙｌｐｏｅｔ — ｔｉｏｂａｋｎ，Ａｄｆｒｉｅｕｔｏｐｏｅ，ａｎｗｄｇｔｌｓｇａｕｅｓｈｍｅｉｇｖｎＩｅｕｔｓｂｓｄｏｅｄｆｃｌｉｇｎｏｔｓｃｒｙｌｏｈｌｓｅｉｉｉｔｒｃｅｓｉｅ．ｔｓｃｒｉａｅｎｔｉｉｕｔｓｉａｎｓｉｙｈｙｏＳｎＰ，ａｄｔｅｅａｒｄｔｅｌｏｈｌｓｉｈｉａｄｉｒｖｈｅｕｔ．ＡｃｓｏｒｋｎｓｏｔｃｆＲＡａｄＤＬｎｈｎｒｐｉｅｈｏｐｏｅｎｔｅＬｎｍｐｏｅｔｅｓｃｒｉｙｏｒｓｆｕｉｄｆａｔｋａｗａｓｔａｙｉｔｅｓｈｍｅｓｆｔ，ＰｏｅｈｔｔｅｓｔａｉｎＣｏｅｓｌｅｉｌｎｏｓｙｉｅＲＳａｄｙｏａｌｓｃｅａｅｎｓｈｙｒｖｄｔａｈｉｔａｎｔｂｏｖｄｓｍｕｔｅｕｌｎｔＡｎｕｏｎａｈ

5基于RSA算法的数字签名的实现

5 基于RSA算法的数字签名的实现5.1开发环境介绍以其强大的性能，世界级的工具支持，操作简易性，扩展性，安全性等等优点，迅速的风靡全球，随着使用者的越来越多，数字签名的问题就越来越受关注。

C# 是.NET的关键性语言，它整个.NET平台是的基础。

5.1.1 C#语言概述在过去的20年里，C和C++已经成为在商业软件的开发领域中使用最广泛的语言。

他们为程序员提供了十分灵活的操作，不过同时也牺牲了一定的效率。

与诸如Microsoft V isual Basic等语言相比，同等级别的C/C++应用程序往往需要更长时间来开发。

由于C/C++语言的复杂性，许多程序员都试图寻找一种新的语言，希望能在功能与效率之间找到一个更为理想的平衡点。

对于C/C++用户来说，最理想的解决方案无疑是在快速开发的同时又可以调用底层平台的所有功能。

他们想要一种和最新的网络标准保持同步并且能和已有的应用程序良好整合的环境。

另外，一些C/C++开发人员还需要在必要的时候进行一些底层的编程。

C#是微软对这一问题的解决方案。

C#是一种最新的，面向对象的编程语言，他使得程序员可以快速地编写各种基于平台的应用程序。

提供了一系列的工具和服务来最大程度地开发利用计算与通信领域。

正是由于C#面向对象的卓越设计，使他成为构建各类组件的理想之选，无论是高级的商业对象还是系统级的应用程序，使用简单的C#语言结构，这些组件可以方便地转化为XML 网络服务，从而使它们可以由任何语言在任何操作系统上通过Internet进行调用。

最重要的是，C#使得C++程序员可以高效地开发程序，而绝不损失C/C++原有的强大功能。

因为这种继承关系，C#与C/C++具有极大的相似性，熟悉类似语言的开发者可以很快地转向C#。

5.1.2C#语言的特点C#语言自C/C++演变而来，它是给那些愿意牺牲C++一点底层功能，以获得更方便和更产品化的企业开发人员而创造的。

C#主要特点：简洁、与Web紧密结合、完全面向对象、强壮安全、灵活性和兼容性。

一种有效的RSA算法改进方案

ｒｓｌｓｏｈｔｔｅｄｃｙｔｎｓｅｄａｄｓｃｒｔｅｅｆＲＳａｅｂｅｕｓａｔｌｉｒｖｄＴｅｖｒａｔｃｎｂｅｕｔｈｗｔａｈｅｒｐｉｐｅｎｅｕｙｌｖｌｏＡｈｖｅｎｓｂｔｎｉｌｍｐｏｅ．ｈａｎａｅｓｏｉａｙｉｅｃｅｔｍｐｅｎｅｎｐｒｌｌｎｈａａｌｌｍｐｅｎａｉｎｏｅｖｒｎｎｍｕｉｏｅｄｖｃｓｃｎｆｒｅｍｐｏｅｔｅｉｆｉｎｌｉｌｍｅｔｄｉａａｅｄｔｅｐｒｌｌｍｅｔｔｆｔａｉｔｈ — ｒｅｉｅａｕｔｒｉｒｖｙｌａｅｉｏｈａｏｃｈｈ
摘
要：ＳＲＡ算法的解密性能与大数模幂运算的实现效率有着直接的关系。提出一种ＲＡ算法的改进方案，Ｓ通
过将ＲＡ解密时的一些运算量转移到加密方，且运用多素数原理使得解密时大数模幂运算的模位数和指数位数减Ｓ并小。实验结果表明该方案不仅提高了ＲＡ密码系统的安全性，且提升了ＲＡ密码系统解密的性能，该方案易于Ｓ而Ｓ且并行实现，可使得基于多核平台的ＲＡ系统的性能得到进一步提升。Ｓ
第３Ｏ卷第９期
２１００年９月
计算机应用
ＪｕｎｌｏｍｐｔｒＡｐｌａｉｎｏｒａｆＣｏｕｅｐｉｔｓｃｏ

基于RSA的群签名方案的缺陷及改进方案

维普资讯
第２卷第７９期
ＶＯ．９１２
Ｎ பைடு நூலகம்．７
计算机工程与设计
ＣｏｕｅｇｎｅｎｎｓｇｍｐｔｒＥｎｉｅｒｇａｄＤｅｉｎｉ
２０年４０８月
Ａｐ．２０８ｒ０
基于ＲＡ的群签名方案的缺陷及改进方案Ｓ
关键词：签名；前向安全；共模攻击；公钥状态列表；动态群签名群
中图法分类号：Ｐ０Ｔ３９
文献标识码：Ａ
文章编号：００７２（０８０ —６５０１０ —０４２０）７１５ —３
ＦａａｄｉｒｖｄｓｈｍｅｏｒｕｉｎｔｒｃｅａｅｎＲＳｌｗｎｍｐｏｅｃｅｆｇｏｐｓｇａｕｅｓｈｍｅｂｓｄｏＡ
ｆｒａｄｓｃｒｙａｄｄｎｍｃｍｅｅｉｉｇｏｅｅｎｏｃｉｖｄｙｔｅｅｓｈｍｅ．Ａｓｃｒａｆｒｕｉｎｔｒｏｗｕｉｎｙａｉｍｂｒｏｎｒｌｉｇｉｎｔｈｅｅｅｔｓｃｅｓｅｕｉｆｗｏｇｏｐｓａｕｅｒｅｔｊｎｄｔｓａｎｉｈｙｔｌａｇ
ｓｈｍｅａｅｎＲＳｓｇａｕｅｓｈｍｅｉｄｓｒｅ．ＡｎｒｖｄｓｈｍｅｉｒｐｓｄＴｅｉｒｖｄｓｈｅｉｓｃｒ，ｆｒａｄｃｅｓｄｏＡｉｔｒｃｅｅｃｂｄｂｎｓｉｄａｉｎｍｐｏｅｃｅｐｏｏｅ．ｈｓｍｐｏｅｅｅｕｅｏｗｒｃｍｓｎｙｍｉ．ａｄｄａｃｎ

基于RSA算法的数字签名技术在电子商务安全中的应用

络安全模式借鉴。
参考文献
ห้องสมุดไป่ตู้
３２３嵌入式系统本身的安全综合考虑．．
（）１物理层。嵌入式系统物理层的安全问题主要是根据系统的工作环境，在设计目标和设计要求时选择符合相关标准的器件，进行规范化设计和施工，并在现场设备和嵌入式系统间引入安全栅，并将嵌入式系
网的趋势防火墙的１ｏＢ多模光纤接口，通过Ｎｗ２ｏｏＭＯＶ５０防火墙的
ｌ，ｏ，Ｏｏｒ０ｌ０ｌｏＵｒＰ接口连接４０Ｒ交换机，实现与地面环网４０Ｒ交换５７５７
机的网络互连
困扰煤矿工业网络安全生产的难题，为提高煤矿企业稳定高产提供了网
备的１００ＭＢ单模接口，接井下综合自动化控制网的ＭＡＨ０５交０连ＲＣ３０
换机；使用ＶＧＡ３０１Ｐ０Ｂ的１００ＭＢ多模光纤接口，０连接地面信息管理
网与井上光纤环网相连，从而构建了井下井上双环网络，通过对此网络内外两方面的网络安全隐患的分析，用安全栅、采防爆箱、安全网闸、防火墙、入侵检测系统等构建了嵌入式以太网系统网络安全体系，解决了
商务安全解决方案，以实现电子商务系统中信息传递的保密性、可完整性、认证性和不可否认性等要求，有效防止了各种电子商务中的安全隐患。
关键词：电子商务；字签名；Ｓ数ＲＡ中图分类号：７３３Ｉ１．６，＇文献标识码：Ａ

ISRSAC_上基于身份的代理环签名方案设计

第３１卷第３期北京电子科技学院学报２０２３年９月Ｖｏｌ．３１Ｎｏ．３ＪｏｕｒｎａｌｏｆＢｅｉｊｉｎｇＥｌｅｃｔｒｏｎｉｃＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙＩｎｓｔｉｔｕｔｅＳｅｐ．２０２３ＩＳＲＳＡＣ上基于身份的代理环签名方案设计袁煜淇㊀刘㊀宁㊀张艳硕北京电子科技学院，密码科学与技术系，北京市㊀１０００７０摘㊀要：数字签名作为核心密码技术之一，对数据安全保护起着重要作用㊂代理环签名是一种兼具环签名和代理签名两者功能的特殊类型的数字签名，适用于对用户身份信息有较高保护需求的领域㊂ＲＳＡ作为数字签名的基础算法之一，其安全性随着量子计算的快速发展而遭受威胁㊂２０１８年，Ｍ．Ｔｈａｎｇａｖａｌ等人在ＲＳＡ的基础上提出ＩＳＲＳＡＣ算法，该算法通过增加因式分解复杂性并引入随机数实现对传统ＲＳＡ安全性的改进㊂在赵等人基于身份及ＲＳＡ的代理环签名的基础上做出了改进，结合更安全的ＩＳＲＳＡＣ算法设计并提出了一个基于身份的代理环签名方案，并对方案的正确性及安全性展开分析，同时与其他方案进行对比说明，结果表明该方案具有强不可伪造性㊁匿名性等，能够有效保护授权信息，在匿名电子投票等领域具有很好的现实意义和应用价值㊂关键词：ＩＳＲＳＡＣ；身份基签名；代理环签名；安全性中图分类号：ＴＰ３０９㊀㊀㊀文献标识码：㊀㊀Ａ文章编号：１６７２－４６４Ｘ（２０２３）３－６２－７７∗㊀基金项目：中央高校基本科研业务费专项资金资助（３２８２０２２２６）㊁信息安全国家级一流本科专业建设点和国家重点研发计划基金资助项目（项目编号：２０１７ＹＦＢ０８０１８０３）∗∗㊀作者简介：袁煜淇（２０００－），女，研究生在读，网络空间安全专业㊂Ｅ⁃ｍａｉｌ：１２１０３４６８０７＠ｑｑ．ｃｏｍ刘宁（１９９９－），女，研究生在读，网络空间安全专业㊂Ｅ⁃ｍａｉｌ：１７２４９１６９２５＠ｑｑ．ｃｏｍ张艳硕（１９７９－），男，通信作者，副教授，博士，硕士生导师，从事密码数学理论研究㊂Ｅ⁃ｍａｉｌ：ｚｈａｎｇ＿ｙａｎｓｈｕｏ＠１６３．ｃｏｍ１㊀引言１１㊀研究背景及意义数字签名技术在数据安全和隐私保护中发挥着尤为重要的作用，大部分签名算法是基于公钥密码体制的，其中经典算法ＲＳＡ是１９７７年由Ｒｉｖｅｓｔ等［１］提出的，其安全性依赖于大整数分解困难问题㊂但随着量子计算机的出现，其安全性遭受威胁㊂不断有学者提出以ＲＳＡ为基础的变种算法，以改进其安全性㊂２０１５年，Ａｒｏｒａ等［２４］通过添加额外的第三素数到公私钥的构成中以增加参数ｎ因子分解的复杂性，并提出了一种加快整个网络的数据交换过程中ＲＳＡ算法实现的改进形式，但容易受到选择密文攻击㊂２０１６年，Ｍｕｓｔａｆｉ等［２５］提出利用双变量双射函数的优化方案㊂２０１８年，Ｔｈａｎｇａｖｅｌ等［２］提出了用于云数据机密性的改进ＲＳＡ安全密码系统（ＩＳＲ⁃ＳＡＣ），同时证明ＩＳＲＳＡＣ算法的安全性高于ＲＳＡ㊂同时，随着技术发展衍生出大量新型应用场景，传统数字签名技术所实现的功能无法满足实际应用需求，故学者们不断提出特殊类型的数字签名以适应使用场景，代理环签名正是其中之一㊂１９９６年，Ｍａｍｂｏ等［３］提出代理签名的概念第３１卷ＩＳＲＳＡＣ上基于身份的代理环签名方案设计㊀以满足签名权可授权委托的使用需求㊂２００１年，Ｒｉｖｅｓｔ等［４］提出环签名的概念，主要思想是可实现以匿名方式发布可靠信息㊂２００３年，Ｚｈａｎｇ等［５］提出代理环签名的概念，结合代理签名和环签名的功能，满足了原始签名人签名权的委托代理及身份匿名的隐私保护需求，能够有效解决代理签名者的隐私保护问题㊂在上述基于ＲＳＡ的改进算法及具备特殊功能的签名方案的研究背景下，讨论研究基于新型算法构造的具有特殊性质的签名方案，对密码技术应用于诸如电子现金㊁电子投票㊁匿名通信等对用户身份隐私保护具有较高要求的领域有重要的理论意义和实用价值㊂１２㊀国内外研究现状ＩＳＲＳＡＣ算法是在公钥密码体制下以传统ＲＳＡ算法为基础的改进安全性的新型算法，而数字签名的安全性极大程度依赖于其核心算法的安全性，故基于ＩＳＲＳＡＣ构造的数字签名相比于基于传统ＲＳＡ算法的签名方案而言，具有更高的安全性㊂２０１５年，Ｔｈａｎｇａｖｅｌ等［６］提出了ＥＳＲＫＧＳ算法，该算法将ＲＳＡ中的大整数分解由两个素数改进为四个素数，增加了破解难度㊂２０１８年，Ｔｈａｎｇａｖｅｌ等［７］再次提出了ＩＳＲＳＡＣ算法以改进了Ｌｖｙ等人指出的缺陷，进一步增强方案的安全性㊂２０２１年，Ｙａｎｇ等［８］构造了基于ＩＳＲＳＡＣ的数字签名方案，在此基础上分别设计了代理签名方案㊁广播多重签名方案和有序多重签名方案㊂２０２２年，刘等［９］在Ｙａｎｇ等人的基础上，设计了基于ＩＳＲＳＡＣ的按序代理多重签名以及广播代理多重签名方案㊂同年，张等［１０］基于ＩＳＲＳＡＣ算法构造了一个环签名方案，并证明了一系列安全性质㊂目前，不断有学者以ＩＳＲＳＡＣ为基础构造出适用于不同场景的数字签名方案，将该算法的安全性优势与数字签名技术结合，并研究讨论其在各领域上的应用㊂代理环签名的概念是Ｚｈａｎｇ等［５］人在２００３年提出的，将代理签名和环签名两者的功能特性结合，在实现签名权委托代理的同时有效保护了代理签名人的匿名性㊂２００４年，Ｃｈｅｎｇ等［１１］首次提出基于身份的代理环签名，简化了公钥证书管理㊂２００８年，Ｓｃｈｕｌｄｔ等［１２］人提出了一个基于身份的代理环签名方案㊂２００９年，陈等［１３］人提出了基于ＲＳＡ的代理环签名方案㊂２０１４年，Ａｓａａｒ［１４］给出了基于身份的代理环签名定义及其安全模型，证明了基于ＲＳＡ假设的随机预言机模型下身份基代理环签名方案是安全的㊂２０１５年，张等［１５］基于双线性对运算和离散对数的困难性问题，提出了基于身份的代理签名㊂２０１８年，赵等［１６］提出了基于身份及ＲＳＡ的简短代理环签名方法，缩短密钥及签名长度以提高计算效率㊂２０１９年，Ｌｉｕ等［１７］提出了一种高效的车载代理环签名方案㊂２０２２年，袁等［１８］通过对ＳＭ２算法进行改进，提出了一种高效的门限环签名方案㊂１３㊀主要工作及组织结构本文在文献［１６］的基础上做出研究，设计并提出了一个ＩＳＲＳＡＣ上基于身份的代理环签名方案㊂在随机预言模型下，基于ＩＳＲＳＡＣ的方法被证明是安全的㊂对于本文在ＩＳＲＳＡＣ算法基础上提出的基于身份的代理环签名方案设计，首先在方案构造上是基于公钥密码体制，相比于以往基于双线性对来构造身份基代理环签名的方法做出了创新；同时，方案的安全性与构成代理环的成员数量无关，实现了强不可伪造性；此外，引入安全性高于ＲＳＡ的ＩＳＲＳＡＣ算法，比现有的基于身份的代理环签名安全性更高㊂最后，对方案计算代价进行研究分析，并结合其他方案做出对比说明，进一步突出方案的计算实现的效率㊂本文主要内容安排如下：第１节，主要介绍论文研究的背景意义，概述公钥密码体制下的数字签名技术发展现状，并对ＩＳＲＳＡＣ算法和代理环签名国内外研究现状进行阐述㊂第２节，围绕设计ＩＳＲＳＡＣ及基于身份的代理环签名方案过㊃３６㊃北京电子科技学院学报２０２３年程中涉及到的密码学知识进行介绍说明㊂第３节，本节介绍了方案设计的相关知识和方案设计的具体内容㊂第４节，对方案的正确性及安全性进行进一步分析及对比说明㊂第５节，对本文主要工作和成果进行总结概述㊂２㊀基础知识㊀㊀本节将引入相关指标说明ＩＳＲＳＡＣ算法的安全性高于ＲＳＡ㊂再依次介绍基于ＩＳＲＳＡＣ的一般数字签名㊁环签名以及代理环签名方案㊂２１㊀ＩＳＲＳＡＣ算法的安全性ＩＳＲＳＡＣ是以ＲＳＡ为基础的改进算法，通过强化大整数分解的复杂性，并引入随机数，使得时间复杂度这一指标随着算法复杂程度增加而增大㊂具体说明如下：（１）强化大整数分解难题㊂对于大整数Ｎ的生成，由ＲＳＡ中两个大素数ｐ，ｑ相乘，改进为两个大自然数ｐ－１，ｑ－１和两个大素数相乘，增加了因式分解的难度㊂因而现有的攻击方法通过因式分解求得私钥的时间复杂度指标增大㊂（２）引入随机数增大攻破难度㊂ＩＳＲＳＡＣ算法中在私钥生成过程中定义了一个新的安全函数α（ｎ），同时引入了一个随机数ｒ以生成α（ｎ）㊂因此，即使攻击者破解得到ｐ，ｑ，但由于ｒ的随机性，也使攻击者无法破解得到私钥ｄ㊂由上述两方面可以明确，ＩＳＲＳＡＣ在理论上大大提升了算法破解的时间复杂度，使得其安全性远高于传统ＲＳＡ，该结论也在Ｙａｎｇ等［８］人的文章中得到证明㊂２２㊀基于ＩＳＲＳＡＣ的数字签名方案该签名算法中，使用ＩＳＲＳＡＣ生成公私钥对㊂算法流程分为三个阶段：密钥生成算法㊁签名生成算法㊁签名验证算法㊂具体如下：（１）密钥生成算法：随机选取大素数ｐ，ｑ且ｐʂｑ，ｐ，ｑ＞３；计算ｎ＝ｐ㊃ｑ㊃（ｐ－１）㊃（ｑ－１），ｍ＝ｐ㊃ｑ；随机选取整数ｒ，其中ｒ满足条件ｐ＞２ｒ＜ｑ，再计算得到α（ｎ）＝（ｐ－１）（ｑ－１）（ｐ－２ｒ）（ｑ－２ｒ）２ｒ；选取公钥ｅ，其中１＜ｅ＜α（ｎ），ｇｃｄ（ｅ，α（ｎ））＝１；计算私钥ｄ，其中ｄ㊃ｅʉ１（ｂｍｏｄα（ｎ））㊂综上，确定公钥（ｅ，ｍ）和私钥（ｄ，ｎ）㊂（２）签名生成算法：假设明文为Ｍ，哈希函数为Ｈ，哈希值为Ｈ（Ｍ）㊂私钥为（ｄ，ｎ），计算ＳʉＨ（Ｍ）ｄｂｍｏｄｍ作为Ｈ（Ｍ）的签名㊂（３）签名验证算法：验证消息Ｍ上的签名Ｓ，使用同一哈希函数计算Ｈ（Ｍ），用公钥（ｅ，ｍ）验证Ｈ（Ｍ）ʉＳｅｂｍｏｄｍ是否正确㊂如果等式正确，则接受签名㊂２３㊀基于ＩＳＲＳＡＣ的环签名方案２０２２年，张等人提出一个基于ＩＳＲＳＡＣ的环签名方案，这一方案主要包含三个算法：密钥生成算法㊁环签名生成算法㊁环签名验证算法㊂（１）密钥生成算法与基于ＩＳＲＳＡＣ的一般数字签名方案一致，使用ＩＳＲＳＡＣ生成公私钥对㊂（２）环签名生成算法签名者通过随机ｎ－１个用户的公钥，以及自己的公钥形成一个公钥环Ｌ＝｛Ｐ１，Ｐ２，，Ｐｎ｝，其中Ｐｉ＝（ｅｉ，ｍｉ），ｉ＝１，２，，ｎ，签名者为其中第π（１ɤπɤｎ）个用户，再利用自身私钥（ｄπ，ｎπ）和公钥环Ｌ通过下列算法生成对消息Ｍ的环签名：计算Ｓπ＝Ｈ１（Ｍ）ｄπ㊃ᵑｎｉ＝１，ｉʂπＨ１（Ｍ）－ｅｉ２（ｂｍｏｄｍ）；Ｓｉ＝Ｈ１（Ｍ）ｅπｅｉ（ｍｏｄｍ），输出关于Ｍ的环签名（Ｓ１，Ｓ２，，Ｓｎ）㊂（３）环签名验证算法验证者收到消息Ｍᶄ及环签名值（Ｓ１ᶄ，Ｓ２ᶄ，，Ｓｎᶄ）后进行验证：计算Ｈ１（Ｍᶄ），ᵑｎｉ＝１Ｓᶄｉｅｉ；判断ᵑｎｉ＝１ＳᶄｉｅｉʉＨ１（Ｍᶄ）（ｂｍｏｄｍ）是否成立㊂２４㊀基于ＩＳＲＳＡＣ的代理环签名方案基于ＩＳＲＳＡＣ算法的代理环签名方案分为㊃４６㊃第３１卷ＩＳＲＳＡＣ上基于身份的代理环签名方案设计㊀四个阶段：系统建立㊁用户密钥生成阶段㊁签名阶段以及验签阶段㊂（１）系统建立：通过ＩＳＲＳＡＣ算法生成公私钥对分别为（ｅ，ｍ），（ｄ，ｎ）；选择两个Ｈａｓｈ函数：Ｈ１：｛０，１｝∗ңＺｍ∗，Ｈ２：｛０，１｝∗ң｛０，１｝ａ；公开系统参数（ｍ，ｅ，Ｈ１，Ｈ２），ＣＡ将私钥（ｄ，ｎ）作为主密钥㊂随机生成一些素数作为Ｈ１函数，本方案选择ＳＭ３函数作为Ｈ２函数㊂（２）用户密钥生成阶段１）独立用户密钥生成㊂ＣＡ根据每个用户的身份生成唯一编号ＩＤ：ＩＤ＝Ｈ１（身份信息）作为每个用户公钥ｐｋ，Ｓ为用户ＩＤ集合：（ＩＤ１，ＩＤ２，，ＩＤｎ）ɪＳ；ＣＡ计算用户私钥ｓｋ＝（ＩＤ）ｄｂｍｏｄｎ并以安全方式发送给用户㊂用户收到密钥后通过ＩＤʉ（ｓｋ）ｅｂｍｏｄｍ进行验证㊂上述用户密钥生成过程可由一个ＣＡ单独完成，虽然用户信任ＣＡ，但实际应用中由于ＣＡ知道每个用户的密钥，具有过大权限则不能对它进行合理约束㊂２）联合用户密钥生成㊂为此在设计方案时由多个独立的ＣＡ联合生成密钥，通过多个分密钥联合生成用户密钥：Ｄｉｄ＝Ｄｉｄ（１）＋Ｄｉｄ（２）＋Ｄｉｄ（３）＋，＋Ｄｉｄ（ｎ），可有效约束ＣＡ㊂具体方案如下：每个分ＣＡｉ选择整数ｅｉ，满足，ｇｃｄ（ｅｉ，α（ｎ））＝１，计算ｄｉ：ｅｉ㊃ｄｉʉｂｍｏｄα（ｎ），给定初始值：Ｃ０＝ＩＤ，ｅ＝１㊂随机选择一些ＣＡｉ，１ɤｉɤｋ（ｋ为ＣＡ个数），计算：Ｃｉʉ（Ｃｉ－１）ｄｉｂｍｏｄｎ，ｅʉｅｉ㊃ｅｂｍｏｄα（ｎ）㊂得到：ｓｋʉＣｋʉ（ＩＤ）ｄｂｍｏｄｎ，ｄ＝ᵑｉɪＣＡｄｉ（ｂｍｏｄα（ｎ）），ＩＤʉ（ｓｋ）ｅｂｍｏｄｍ，ｅʉᵑｉɪＣＡｅｉ（ｂｍｏｄα（ｎ））㊂（３）签名阶段原始签名者Ａ需要向环内成员签名时，Ａ将消息ｍｓｇＡ（ＲＭＬ）发送给ＣＡ，即包括自己身份㊁期限的授权信息Ｒ，需要签名的消息集Ｍ和代理签名成员集合信息Ｌ＝｛ＩＤ１，ＩＤ２，，ＩＤｎ｝㊂ＣＡ收到消息后，生成含有Ａ信息的密钥，并通过安全的方式发送给Ａ：ＳＡʉ（Ｈ２（ＲＭＬ））ｄｂｍｏｄｎ㊂Ａ在收到来自ＣＡ的密钥后，通过ＳＡｅʉＨ２（ＲＭＬ）ｂｍｏｄｍ验证㊂确认无误后，Ａ随机选择整数ｒɪｕＺ∗ｍ，计算代理信息：ｔʉｒｅｂｍｏｄｍ，ｓʉＳＡ㊃ｒ（Ｈ２（ｔＭ））ｂｍｏｄｍ，并发送给环内授权成员ＩＤɪＬ㊂环内代理成员ＩＤｓɪＬ接收到Ａ发来的代理信息（ｓ，ｔ）后进行验证：ｓｅʉＨ２（ＲＭＬ）㊃ｔＨ２（ｔＭ）ｂｍｏｄｍ㊂确认无误后，代理Ｌ签署信息㊂首先对所有的ｉɪ｛１，２，，ｎ｝ɡｉʂｓ，随机均匀㊁一致的选择ｒｉɪｕＺ∗ｍ，再计算：ｔｉʉｒｉｅｂｍｏｄｍ，ｈｉ＝Ｈ２（ＩＤｉ，ｔｉ，Ｍ，Ｌ）㊂随机选择一个ｒｓɪｕＺ∗ｍ，计算ｔｓʉｒｓｅᵑｉʂｓ（ＩＤｉ）－ｈｉｂｍｏｄｍ，如果有（ｔｓ＝１）ᶱ（ｔｓ＝ｔｉ，ｉʂｓ），则重新计算ｔｉ，ｈｉ，否则计算ｈｓ＝Ｈ２（ＩＤｓ，ｔｓ，Ｍ，Ｌ）㊂ＩＤＳ用Ａ的授权信息ｓ生成自己的代理密钥ｓｋᶄｓʉｓｋｓｈｓ㊃ｓｂｍｏｄｍ㊂计算σʉｓｋᶄｓᵑｎｉ＝１ｒｉｂｍｏｄｎ㊂最后生成代理环签名：Ω＝｛Ｒ，Ｍ，Ｌ，ｔ，ｔ１，，ｔｎ，ｈ１，，ｈｎ，σ｝（４）验签阶段对于签名的每个接收者首先选择ＩＤｉɪＬ验证：ｈｉ＝Ｈ２（ＩＤｉ，ｔｉ，Ｍ，Ｌ），ｉ＝１，２，，ｎ，进而验证：σｅʉᵑ１ɤｉɤｎ（ｔｉＩＤｉｈｉ）㊃ｔＨ２（ｔＭ）Ｈ２（ＲＭＬ）ｂｍｏｄｍ㊂如果两者相等，则说明签名验证结果正确，反之错误，拒绝签名㊂３㊀ＩＳＲＳＡＣ上基于身份的代理环签名方案㊀㊀本节设计并提出了一个ＩＳＲＳＡＣ上基于身份的简短代理环签名方案，该方案包括６个算法：密钥生成（Ｇｅｎｅｒａｔｉｏｎ）㊁提取（Ｅｘｔｒａｃｔ）㊁代理委托（Ｄｅｌｅｇａｔｉｏｎ）㊁验证委托（ＶｅｒｉｆｙＤｅｌｅｇａｔｉｏｎ）㊁签名（Ｓｉｇｎ）和验证（Ｖｅｒｉｆｙ）㊂该方案能够有效缩短密钥和签名长度，提高了计算效率；在实现上不受代理密钥暴露攻击的影响，具有强不可伪㊃５６㊃北京电子科技学院学报２０２３年造性㊂３１㊀符号说明注意：如果算法Ａ是（ｔ，ｑｇ，ｑｐ，ｑｅ，ｑｅ，ｑｐｒｓ，ｅ）有界的，即算法的运行时间最多为ｔ，使得最多在时间ｑｇ查询预言机Ｇ，在时间ｑｐ查询随机预言机Ｐ，在时间ｑｅ查询Ｅｘｔｒａｃｔ，在时间ｑｄ查询ＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ和在时间ｑｓ查询Ｓｉｇｎ预言机，可以至少以ε的概率赢得游戏㊂表１㊀符号说明符号含义说明ｘƔѳＸ表示分配给ｘ的操作Ｘ是一个集合ｘ是从集合Ｘ均匀随机选择的一个元素ｘ１ｘ２ｘｎ表示一个编码为字符串组成的对象的有效回收ｘ１，ｘ２，ｘｎ，是对象＃空字符串｜ｘ｜表示ｘ的比特长度θѳＣ（ｘ１，ｘｎ）表示算法Ｃ输入ｘ１，输出到θ３２㊀相关知识（１）ＩＳＲＳＡＣ假设ＩＳＲＳＡＣ密钥生成器ＫＧｉｓｒｓａｃ是生成四元组（ｎ，ｍ，ｅ，ｄ）的算法，其中ｎ＝ｐ㊃ｑ㊃（ｐ－１）㊃（ｑ－１），ｍ＝ｐ㊃ｑ且ｅ㊃ｄʉｂｍｏｄ（α（ｎ）），其中α（ｎ）＝（ｐ－１）（ｑ－１）（ｐ－２ｒ）（ｑ－２ｒ）２ｒ㊂算法Ｂ打破ＫＧｉｓｒｓａｃ和ＩＳＲＳＡＣ单向性的有利条件定义为：Ａｄｖｏｗ－ｉｓｒｓａｃＫＧｉｓｒｓａｃ（Ｂ）＝ｐｒ（ｎ，ｍ，ｅ，ｄ）ѳＫＧｉｓｒｓａｃ；γѳＺＮｙ＝γｅｂｍｏｄｍγѳＢ（ｎ，ｍ，ｅ，ｙ）éëêêêêùûúúúú即Ｂ打破了ＩＳＲＳＡＣ相对于ＫＧｉｓｒｓａｃ的（ｔᶄ，εᶄ）的单向性，如果Ｂ以ｔᶄ的时间运行，并且有利条件为Ａｄｖｏｗ－ｉｓｒｓａｃＫＧｉｓｒｓａｃ（Ｂ）ȡεᶄ㊂（２）基于身份的签名［１３］在签名认证的过程中，将主体公钥与之身份信息相关联是十分有意义的，基于此，Ｓｈａｍｉｒ［１９］提出了一种基于身份的公钥密码体制㊂密钥生成算法为：公钥＝Ｈ（身份信息）；私钥＝Ｆ（主密钥，公钥）㊂该密钥生成与传统公钥密码体制相反，该计算过程无法公开，只限于特定的主体，以实现对计算出的密钥的保密㊂在该公钥密码体制中，用户可以使用身份信息等作为公钥，再用公钥生成私钥，此即为基于身份的公钥密码体制㊂在Ｓｈａｍｉｒ的基于身份的签名方案中包括４步算法［２０］㊂建立：这个算法由ＴＡ（可信机构）运行来生成系统参数和主密钥；用户密钥的生成：这个算法也由ＴＡ执行，输入主密钥和一条任意的比特串ｉｄɪ｛０，１｝∗，输出与ｉｄ对应的私钥；签名：一个签名算法㊂输入一条消息和签名者的私钥，输出一个签名；验证：一个签名的验证算法㊂输入一个消息㊁签名对和ｉｄ，输出Ｔｒｕｅ或Ｆａｌｓｅ㊂（３）安全模型Ｙｕ［２１］等提出对基于身份的代理环签名方法选择身份攻击，存在Ａ１，Ａ２，Ａ３三种类型的潜在敌手㊂安全模型中需要满足代理签名者身份的不可伪造性并且对抗适应性选择消息可实现存在性不可伪造㊂若方案对２㊁３型敌手安全，则对１型敌手也是安全的㊂在挑战者Ｃ和敌手Ａ之间开始以下游戏，验证方案对Ａ１㊁Ａ２㊁Ａ３敌手的不可伪造性㊂Ｃ运行算法ＰａｒａＧｅｎ，用安全参数ｌ获得系统参数ｐａｒａ和主密钥（ｍｐｋ，ｍｓｋ），然后发送主密钥给Ａ㊂Ａ将密钥与各身份ＩＤｕ对应并运行ＫｅｙＥｘｔｒａｃｔ算法，Ｃ将私钥ｘｕ返回给敌手㊂敌手Ａ可以基于消息空间描述符ω上原始签名者的身份ＩＤ０和身份集ＩＤ请求授权，ＩＤ是ＩＤ０在ω上签名权委托代理的身份集㊂Ｃ运行ＫｅｙＥｘｔｒａｃｔ得到ｘ０并返回σ０：σ０ѳＤｅｌｅｇａｔｉｏｎＧｅｎ（Ｐａｒａ，ｍｐｋ，ＩＤ０，ＩＤ，ω，ｘ０）㊂Ａ可请求ｍｅｓｓａｇｅ有关于ＩＤ到Ｃ的代理环签名㊂此外，敌手Ａ为ω和ＩＤ提供了一个具有㊃６６㊃第３１卷ＩＳＲＳＡＣ上基于身份的代理环签名方案设计㊀身份ＩＤ０的原始签名者的授权σ０，该授权由ＤｅｌｅｇａｔｉｏｎＧｅｎ算法得到或由Ａ产生㊂Ｃ检查σ０是一个有效授权，在授权中具有身份ＩＤ０的原始签名者将ω的签名权授权给具有身份集ＩＤ的委托代理，满足ＩＤ⊆ＩＤ，ｍｅｓｓａｇｅɪω㊂若上述不成立，返回＃；否则，Ｃ运行ＫｅｙＥｘｔｒａｃｔ算法获得对应于身份ＩＤｊ的一个代理签名者密钥ｘｊ，ＩＤｊƔѳＩＤ，再运行ＰｒｏｘｙＲｉｎｇＳｉｇｎ算法生成代理环签名θ并返回给敌手Ａ㊂最后，输出一个关于原始签名者身份ＩＤ０和代理签名者身份集ＩＤ∗的基于身份的有效代理环签名（ｍｅｓｓａｇｅ∗，ω∗，θ∗），其中ＩＤ∗⊆ＩＤ∗，ＩＤ(是损坏的代理签名者的集合，并赢得游戏㊂对于Ａ＝Ａ１，Ｅ０：ＩＤ０∗和ＩＤ∗中所有身份未被请求给Ｅｘｔｒａｃｔ查询机，即Ａ１没有密钥对应于它们；Ｅ１：（ω∗，ＩＤ∗）对没有被要求作为身份ＩＤ０∗下的一个ＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ查询；Ｅ２：ｍ∗没有被要求作为身份集ＩＤ∗下的一个Ｓｉｇｎ查询㊂敌手Ａ１定义为［１４］：如果没有有界的（ｔ，ｑｇ，ｑｅ，ｑｄ，ｑｓ，ε）敌手Ａ赢得游戏，基于身份的代理环签名（ｔ，ｑｇ，ｑｅ，ｑｄ，ｑｓ，ε）存在不可伪造性抵抗自适应性选择消息（权证）和选择身份攻击㊂对于Ａ＝Ａ２，Ｅ０：ＩＤ０∗没有被要求作为一个Ｅｘｔｒａｃｔ查询；Ｅ１：（ω∗，ＩＤ∗）对没有被要求作为身份ＩＤ０∗下的一个ＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ查询㊂敌手Ａ２定义为：如果没有有界的（ｔ，ｑｇ，ｑｅ，ｑｄ，ε）敌手Ａ赢得游戏，基于身份的代理环签名（ｔ，ｑｇ，ｑｅ，ｑｄ，ε）存在不可伪造性抵抗自适应性选择消息（权证）和选择身份攻击㊂对于Ａ＝Ａ３，Ｅ０：ＩＤ∗中每个身份都没有被要求作为一个Ｅｘｔｒａｃｔ查询；Ｅ１：ｍｅｓｓａｇｅ没有被要求作为身份集ＩＤ∗⊆ＩＤ∗下的一个Ｓｉｇｎ查询㊂敌手Ａ３定义为：如果没有有界的（ｔ，ｑｇ，ｑｅ，ｑｓ，ε）敌手Ａ赢得游戏，基于身份的代理环签名（ｔ，ｑｇ，ｑｅ，ｑｓ，ε）存在不可伪造性抵抗自适应性选择消息（权证）和选择身份攻击㊂３３㊀方案设计根据基于ＩＳＲＳＡＣ的代理环签名以及基于身份的签名的构造方法，本节设计并提出了ＩＳＲＳＡＣ上基于身份的代理环签名方案㊂其中，ＩＤ０表示每个原始签名人身份，ＩＤ和ＩＤ表示委托代理的身份集及每个子集㊂假设：委托代理中代理签名者的身份数量为ｎ（ｎȡ２）；ＩＤ的每个子集ＩＤ大小为ｚ（ｚȡ２）㊂ＩＳＲＳＡＣ上基于身份的代理环签名方案由６个算法构成，分别为：密钥生成（Ｇｅｎｅｒａｔｉｏｎ），密钥提取（Ｅｘｔｒａｃｔ），代理委托（ＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ），代理验证（ＶｅｒｉｆｙＤｅｌｅｇａｔｉｏｎ），签名（Ｓｉｇｎ）和验证（Ｖｅｒｉｆｙ），各算法的具体流程如下㊂（１）系统参数及密钥生成（Ｇｅｎｅｒａｔｉｏｎ）：输入系统参数ｌ，输出系统参数Ｐａｒａ和系统主密钥（ｍｓｋ，ｍｐｋ），即：（Ｐａｒａ，（ｍｓｋ，ｍｐｋ））ѳＰａｒａＧｅｎ（ｌ）㊂系统参数如下：假设ｌ０，ｌ１，ｌＮɪＮ，且Ｐ０：｛０，１｝∗ң｛０，１｝ｌ０，Ｐ０：｛０，１｝∗ң｛０，１｝ｌ１，Ｇ：｛０，１｝∗ңＺ∗Ｎ是随机预言机㊂设ＫＧｉｓｒｓａｃ是ＩＳＲ⁃ＳＡＣ密钥对产生器，输出四元组（ｎ，ｍ，ｅ，ｄ），使α（ｎ）＞２ｌｎ，ｅ的长度大于ｌ０和ｌ１位㊂密钥分配中心ＫＧｉｓｒｓａｃ生成ＩＳＲＳＡＣ参数（ｎ，ｍ，ｅ，ｄ）㊂发布ｍｐｋ＝（ｅ，ｍ）作为主密钥，并保持主密钥ｍｓｋ＝（ｄ，ｎ）的秘密㊂因此，公共参数是Ｐａｒａ＝（Ｐ０，Ｐ１，Ｇ）和ｍｐｋ㊂（２）密钥提取（Ｅｘｔｒａｃｔ）：输入Ｐａｒａ，ｍｐｋ主密钥ｍｓｋ＝ｄ和用户身份的ＩＤｕ；输出身份ＩＤｕ相应的密钥（密钥分配中心计算ｘｕ＝Ｇ（ＩＤｕ）ｄｂｍｏｄｍ，并将安全且经过身份验证的通道上的用户密钥ｘｕ发送给身份为ＩＤｕ的用户），即ｘｕѳＥｘｔｒａｃｔ（Ｐａｒａ，ｍｐｋ，ｍｓｋ，ＩＤｕ）㊂㊃７６㊃北京电子科技学院学报２０２３年（３）委托代理（ＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ）：若身份ＩＤ０的原视签名人决定将其签名权委托给具有身份集ＩＤ的委托代理，则采用该算法㊂输入Ｐａｒａ，ｍｐｋ，ＩＤ０，ＩＤ的原始签名者的密钥ｘ０，信息空间描述符ωɪ｛０，１｝；输出一个授权σ０，即σ０ѳＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ（Ｐａｒａ，ｍｐｋ，ＩＤ０，ＩＤ，ｘ０）㊂系统参数如下：设ω是一个信息空间描述符，具有身份ＩＤ０的原始签名者愿意将他的签名权委托给具有身份集ＩＤ的代理签名组，授权σ０＝（Ｒ０，ｓ０）＝（ｒ０ｅｂｍｏｄｍ，ｒ０ｘ０ｃ０ｂｍｏｄｍ），其中ｒ０ѳＺ∗Ｎ且ｃ０＝Ｐ０（Ｒ０ ω ＩＤ）㊂然后，原始签名者发布授权σ０（ω，ＩＤ）㊂（４）代理验证（ＶｅｒｉｆｙＤｅｌｅｇａｔｉｏｎ）：输入Ｐａｒａ，ＩＤ０，ＩＤ，ω，σ０，如果σ０是一个有效的授权，输出为１，否则为０㊂即｛０，１｝ѳＶｅｒｉｆｙＤｅｌｅｇａｔｉｏｎ（Ｐａｒａ，ｍｐｋ，ＩＤ０，ＩＤ，ω，ｘ０）㊂系统参数如下：假设原始签名人的身份ＩＤ０，代理签名人的身份集ＩＤ，信息空间描述符ω和授权σ０，如果关系ｓ０ｅ＝Ｒ０Ｇ（ＩＤ０）ｃ０适用，验证者检查，其中ｃ０＝Ｐ０（Ｒ０ ω ＩＤ）㊂如果结果如上所述，该授权是有效的；否则，该授权无效㊂（５）签名（Ｓｉｇｎ）：输入Ｐａｒａ，ｍｐｋ至少包含两个身份的代理签名者的身份集ＩＤ，ω的一个有效授权σ０和ＩＤ满足ＩＤ⊆ＩＤ，代理签名者的密钥ｘｊ，对应身份ＩＤｊƔѳＩＤ⊆ＩＤ和消息ｍｅｓｓａｇｅɪω㊂输出是基于身份的代理环签名θ㊂即θѳＳｉｇｎ（Ｐａｒａ，ｍｐｋ，ＩＤ０，ＩＤ，ＩＤ，（ｍｅｓｓａｇｅ，ω，σ０），ｘｊ）㊂系统参数如下：具有身份ＩＤｊƔѳＩＤ⊆ＩＤ（ｊɪ｛０，，ｚ－ａ｝）的代理签名者可以匿名签名消息ｍｅｓｓａｇｅɪω，代表具有如下所述的密钥ｘｊ和有效授权σ０的且身份为ＩＤ０的原始签名者㊂１）代理签名者ＩＤｊ选择ｒƔѳＺ∗Ｎ，计算Ｒ＝ｒｅｂｍｏｄｍ，ｃｊ＋１＝Ｐ１（ＲＩＤＩＤＩＤｊ ω ｍｅｓｓａｇｅ）㊂２）对于ｊ－１ɤｕɤｊ＋１代理签名者ＩＤｊ选择ｒƔѳＺ∗Ｎ并且计算Ｒｕ＝ｒｅｂｍｏｄｍ和ｃｕ＋１＝Ｐ１（ＲｕＧ（ＩＤｕ）ｃｕＲ０Ｇ（ＩＤ０）ｃ０ＩＤＩＤＩＤｕ ω ｍｅｓｓａｇｅ）㊂３）代理签名者ＩＤｊ计算ｒｊ＝ｒｓｕｘｊｃｊｂｍｏｄｍ㊂４）在消息ｍｅｓｓａｇｅ和消息空间描述符ω上，基于原始签名者的身份ＩＤ０和代理签名者的身份子集ＩＤ⊆ＩＤ，代理环签名是θ＝（Ｒ０，ｒ０，，ｒｚ－１，Ｃ０）㊂（６）验证（Ｖｅｒｉｆｙ）：输入Ｐａｒａ，ＩＤ０，ＩＤ，ＩＤ，ω，ｍｅｓｓａｇｅ，θ，如果θ是一个基于身份的有效代理环签名，输出是１，否则为０，即｛０，１｝ѳＶｅｒｉｆｙ（Ｐａｒａ，ｍｐｋ，ＩＤ０，ＩＤ，ω，ｍｅｓｓａｇｅ，θ）㊂系统参数如下：鉴于原始签名者的身份ＩＤ０和代理签名者的身份集ＩＤ及ＩＤ，消息空间描述符ω，消息ｍｅｓｓａｇｅ，代理环签名θ，验证过程如下：１）如果ｍｅｓｓａｇｅɪω检查；否则，停止；２）如果ＩＤ⊆ＩＤ，检查；否则，停止；３）对于０ɤｕɤｚ－１，计算Ｒｕ＝ｒｅ和ｃｕ＋１＝Ｐ１（ＲｕＧ（ＩＤｕ）ｃｕＲ０Ｇ（ＩＤ０）ｃ０ＩＤＩＤＩＤｕ ω ｍｅｓｓａｇｅ）接受签名当且仅当ｃｚ＝ｃ０，其中ｃ０＝Ｐ０（Ｒ０ ω ＩＤ）㊂４㊀ＩＳＲＳＡＣ上基于身份的代理环签名方案分析４１㊀正确性分析下面将对上述方案进行正确性分析，方案的正确性可验证如下：㊃８６㊃第３１卷ＩＳＲＳＡＣ上基于身份的代理环签名方案设计㊀由ｒｊ＝ｒｓｕｘｊｃｊｂｍｏｄｍ，Ｒ＝ｒｅｂｍｏｄｍ，ｘｕ＝Ｇ（ＩＤｕ）ｄｂｍｏｄｍ，授权信息σ０＝（Ｒ０，ｓ０）＝（ｒ０ｅｂｍｏｄｍ，ｒ０ｘ０ｃ０ｂｍｏｄｍ），可以得到验证等式ｒｊｅＧ（ＩＤｊ）ｃｊＲ０Ｇ（ＩＤ０）ｃ０（ｂｍｏｄｍ）＝ｒｓ０ｘｊｃｊæèçöø÷ｅＧ（ＩＤｊ）ｃｊＲ０Ｇ（ＩＤ０）ｃ０（ｂｍｏｄｍ）＝ｒｅｓ０ｅｘｊｅｃｊＧ（ＩＤｊ）ｃｊＲ０Ｇ（ＩＤ０）ｃ０（ｂｍｏｄｍ）＝Ｒｓ０ｅｘｊｅｃｊＧ（ＩＤｊ）ｃｊＲ０Ｇ（ＩＤ０）ｃ０（ｂｍｏｄｍ）＝Ｒ（ｒ０ｘ０ｃ０）ｅｘｊｅｃｊＧ（ＩＤｊ）ｃｊＲ０Ｇ（ＩＤ０）ｃ０（ｂｍｏｄｍ）＝Ｒ（ｒ０ｅ）ｘ０ｃ０ｅｘｊｃｊｅＧ（ＩＤｊ）ｃｊＲ０Ｇ（ＩＤ０）ｃ０（ｂｍｏｄｍ）＝ＲＲ０Ｇ（ＩＤ０）ｄｃ０ｅＧ（ＩＤｊ）ｄｃｊｅＧ（ＩＤｊ）ｃｊＲ０Ｇ（ＩＤ０）ｃ０（ｂｍｏｄｍ）＝Ｒ（ｂｍｏｄｍ）由上述等式可验证方案的正确性㊂４２㊀安全性分析下面对方案的安全性进行具体分析，证明该方案中代理签名者身份隐私具有无条件匿名性并在随机预言模型下该方案具有强不可伪造性㊂在证明过程中，若ＩＳＲＳＡＣ上基于身份的代理环签名方案对２㊁３型敌手是安全的，那么它对１型敌手也能确保安全，为了证明所构造的方案具有不可伪造性，需要证明他是不可伪造的敌手Ａ２，Ａ３㊂引理４１［２２］首先介绍安全模型证明过程中运用的分裂引理㊂假设Ａ⊂ＸˑＹ，使得Ｐｒ［（ｘ，ｙ）ɪＡ］ȡδ㊂对任何α＜δ，定义Ｂ＝｛（ｘ，ｙ）⊂ＸˑＹ｜ＰｒｙᶄɪＹ［（ｘ，ｙ）ɪＡ］ȡδ－ａ｝和Ｂ－＝（ＸˑＹ）Ｂ，有如下声明：（１）Ｐｒ［Ｂ］ȡα；（２）∀（ｘ，ｙ）ɪＢ，ＰｒｙᶄɪＹ［（ｘ，ｙ）ɪＡ］ȡδ－α；（３）Ｐｒ［Ｂ｜Ａ］ȡαδ㊂定理４２若ＩＳＲＳＡＣ函数与ＫＧｉｓｒｓａｃ的关联是（ｔᶄ，εᶄ）单向的，并且εᶄȡε２２（１－２－ｌ０）４（ｑＰ０＋ｑｄ），ｔᶄɤ２（ｔ＋（ｑＧ＋ｑＥ＋２ｑｄ）ｔｅ），其中ε２ȡε４ｑＥ－ｑｄ（２ｑｄ＋ｑＰ０）２－ｌＮ－２－ｌ０，在Ｚ∗Ｎ中ｔｅ是一个指数的时间，ｑＧ，ｑＰ０，ｑＥ，ｑｄ分别是查询预言机Ｇ，Ｐ０，Ｅｘｔｒａｃｔ，ＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ的次数，那么该方案对敌手Ａ２是（ｔ，ｑＧ，ｑＰ０，ｑｄ，ε）安全的㊂证明：对敌手Ａ２，构造算法Ｂ，输入（ｎ，ｍ，ｅ，ｙ＝γｅ）运行Ａ２，输出是γ＝ｙ１ｅｂｍｏｄｍ㊂算法Ｂ运行Ａ２，在输入ｍｐｋ＝（ｅ，ｍ）和回答Ａ２的预言机查询时，由于Ａ２拥有所有代理签名人的密钥，可以模拟代理环签名，因此预言机访问Ｓｉｇｎ是没有必要的，消除了方案的不可伪造性㊂假设算法ＣＡ２保持最初的空关联组Ｔ［㊃］和ＴＰ０［㊃］，并回答如下Ａ２的预言机查询㊂（１）Ｐ０（Ｒ０ ω ＩＤ）查询：如果定义ＴＰ０［Ｒ０ ω ＩＤ］，Ｂ返回它的值；否则，Ｂ选择ＴＰ０［Ｒ０ ω ＩＤ］Ɣѳ｛０，１｝ｌ０，并返回ＴＰ０［Ｒ０ ω ＩＤ］给Ａ２㊂（２）Ｇ（ＩＤｕ）查询：如果Ｔ（ＩＤｕ）＝（ｂ，ｘｕ，Ｘｕ），Ｂ返回Ｘｕ㊂如果这项尚未定义，则选择ｘｕƔѳＺ∗Ｎ，并且ｂ＝０的概率是β，ｂ＝１的概念是１－β㊂如果ｂ＝０，则Ｂ设置Ｘｕ＝ｘｅｕ；如果ｂ＝１，设置Ｘｕ＝ｘｅｕｙｂｍｏｄｍ㊂它存储Ｔ［ＩＤｕ］ѳ（ｂ，ｘｕ，Ｘｕ），并返回Ｘｕ给Ａ２㊂（３）基于ＩＤｕ的Ｅｘｔｒａｃｔ查询：算法Ｂ查找Ｔ［ＩＤｕ］＝（ｂ，ｘｕ，Ｘｕ），如果这项尚未定义，它执行查询Ｇ（ＩＤｕ）㊂如果ｂ＝０，则Ｂ返回ｘｕ；否则，设置ｂａｄＰＥѳｔｒｕｅ，中止Ａ２㊃９６㊃北京电子科技学院学报２０２３年执行㊂（４）基于身份ＩＤ０的（ω，ＩＤ）ＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ查询：算法Ｂ执行查询Ｇ（ＩＤ０），查找Ｔ［ＩＤｕ］＝ｂ，ｘｕ，Ｘｕ㊂如果ｂ＝０，则Ｂ执行ＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ算法模拟ＩＤ０的授权，因为Ｂ知道原始签名者的密钥ｘ０㊂如果ｂ＝１，Ｂ首先选择ｃ０Ɣѳ｛０，１｝ｌ０和ｓ０ƔѳＺ∗Ｎ，并计算Ｒ０ѳｓ０ｅＸ０－Ｃ０ｂｍｏｄｍ㊂如果ＴＰ０［Ｒ０ ω ＩＤ］已经被定义，则Ｂ设置ｂａｄＤＧѳｔｒｕｅ并且中止；否则，设置ＴＰ０［Ｒ０ ω ＩＤ］ѳｃ０，返回σ０＝（Ｒ０，ｓ０，ｃ０）给Ａ２㊂最后，假设如果Ｂ不中止签名模拟，在时限ｔ内，至少以概率ε，用原始签名者身份ＩＤ０对消息ｍ和授权ω，Ａ２输出一个有效的伪造（Ｒ０，ｓ０，ｃ０）㊂首先，计算Ｂ不中止回答Ａ２的查询的概率下界，需要计算η＝Ｐｒ［ｂａｄＰＥ］Ｐｒ［ｂａｄＤＧ｜ｂａｄＰＥ］，其中作为Ａ２对Ｅｘｔｒａｃｔ和ＰｒｏｘｙＤｅｌ⁃ｅｇａｔｉｏｎ分别查询的结果，事件ｂａｄＰＥ和ｂａｄＤＧ表明Ｂ中止签名模拟㊂这些概率计算如下：１）要求１：Ｐｒ［ｂａｄＰＥ］ȡβｑＥ㊀㊀证明：Ｂ在Ａ２的Ｅｘｔｒａｃｔ查询中中止的概率为Ｐｒ［ｂａｄＰＥ］㊂对Ｅｘｔｒａｃｔ查询，当ｂ＝１时，Ｂ以概率１－β中止且ｂａｄＰＥѳｔｒｕｅ㊂故在一个Ｅｘｔｒａｃｔ查询中Ｐｒ［ｂａｄＰＥ］为β，且对于大部分ｑＥ的查询，该概率值至少是βｑＥ㊂２）要求２：Ｐｒ［ｂａｄＤＧ｜ｂａｄＰＥ］ȡ１－ｑｄ（（ｑｄ＋ｑＰ０）２－ｌＮ）－ｑ２ｄ２－ｌＮ㊀㊀证明：事件ｂａｄＰＥ和ｂａｄＤＧ是独立的，故Ｐｒ［ｂａｄＤＧ｜ｂａｄＰＥ］＝Ｐｒ［ｂａｄＤＧ］㊂在ＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ查询中，Ｂ中止的概率为Ｐｒ［ｂａｄＤＧ］㊂当查询ｂａｄＤＧѳｔｒｕｅ时，Ｂ中止，该事件的概率包含两部分，一是以前查询Ｐ０发生的ＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ模拟中（Ｒ０ ω ＩＤ）产生的概率，二是Ｂ以前在ＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ模拟中使用相同随机性Ｒ０的概率㊂前者用于ｑｄＰｒｏｘｙＤｅｌ⁃ｅｇａｔｉｏｎ查询的概率至少为ｑｄ（ｑｄ＋ｑＰ０）２－ｌＮ，后者用于ｑｄＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ查询的概率至少为ｑ２ｄ２－ｌＮ㊂因此，Ｂ不中止签名仿真的概率至少是ηȡβｑＥ－ｑｄ（２ｑｄ＋ｑＰ０）２－ｌＮ㊂由于伪造是有效的，因此有ｓ０ｅ＝Ｒ０（Ｇ（ＩＤ０））ｃ０，在原始签名者身份ＩＤ０下，Ａ２没有要求ＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ算法授权（ω ＩＤ），并且ＩＤ０没有要求Ｅｘｔｒａｃｔ查询㊂另外，Ｇ（ＩＤ０）＝ｘｅ０ｙ的概率是１－β㊂然后Ｂ为ＩＤ０查找Ｔ［㊃］以获取值ｘ０，并以概率ε１ȡε（１－β）ηȡε（１－β）βｑＥ－ｑｄ（２ｑｄ＋ｑＰ０）２－ｌＮ返回有用的输出（Ｒ０，ｓ０，ｃ０，ｘ０）㊂因此，Ｂ以概率ε１ȡε４ｑＥ－ｑｄ（２ｑｄ＋ｑＰ０）２－ｌＮ返回可用的输出（Ｒ０，ｓ０，ｃ０，ｘ０）㊂由于Ｐ０是随机预言机，除非在攻击期间被询问，ｃ０＝Ｐ０（Ｒ０ ω ＩＤ）事件发生的概率小于２－ｌ０㊂而很可能在成功攻击期间查询（Ｒ０ ω ＩＤ），对预言机Ｐ０查询后生成有效伪造概率的下界是ε２ȡε１－２－ｌ０㊂之后Ｂ使用预言机重放技术［２３］解决ＩＳＲＳＡＣ问题㊂Ｂ算法采用两份Ａ２，猜测固定参数１ɤｐɤ（ｑＰ０＋ｑｄ），希望ｐ是查询（Ｒ０ ω ＩＤ）到预言机Ｐ０的索引，猜测的概率是１ｑＰ０＋ｑｄ㊂算法Ｂ给出了相同的系统参数，相同的身份和相同的随机比特序列给两份Ａ２，并返回相同的直到查询预言机第ｐ次查询随机应答㊂对第ｐ次查询预言机Ｐ０，Ｂ给Ｈａｓｈ查询Ｐｐ两个随机应答ｃ０和ｃᶄ０，使得ｃ０ʂｃᶄ０㊂因此，在Ａ２从Ｐ０查询相同的（Ｒ０ ω ＩＤ）后，Ｂ获得两个有用的输出（Ｒ０，ｓ０，ｃ０，ｘ０）和（Ｒ０，ｓᶄ０，ｃᶄ０，ｘ０）㊂利用引理１计算Ｂ返回一个有用对的概率㊂假定Γ表示Ａ２成功执行的集合，Ｂ返回有用输出的成功概率是在空间（Ｘ，Ｙ）上，其中Ｘ是随机位和Ｂ占用除了与预言机Ｐ０相关的随机预言机响应的集合；Ｙ是随机预言机响应预言机㊃０７㊃第３１卷ＩＳＲＳＡＣ上基于身份的代理环签名方案设计㊀Ｐ０的集合㊂因此，Ｐｒ［（Ｘ，Ｙ）ɪΓ］＝ε２㊂用引理１，分裂了有关Ｐ０到（Ｙᶄ，ｃ０）的随机性Ｙ，除了结果为ｃ０的第ｋ次查询，Ｙ是所有到Ｐ０不同查询的随机响应的集合㊂引理１保证Ω每个子集的存在，使得Ｐｒ［Ω｜Γ］ȡγδ＝１２，并且对每个（Ｘ，Ｙ）ɪΩ，Ｐｒｃ０ᶄ［（Ｘ，Ｙᶄ，ｃᶄ０）ɪΓ］ȡδ－γ＝ε２２（ｑＰ０＋ｑｄ）㊂如果Ｂ用固定（Ｘ，Ｙᶄ）和随机选择的ｃᶄ０ɪ｛０，１｝ｌ０重放攻击，它得到另一个成功对（（Ｘ，Ｙᶄ），ｃᶄ０），使得ｃ０ʂｃᶄ０以概率ε２（１－２－ｌ０）４（ｑＰ０＋ｑｄ）㊂Ａ２成功执行两次后，Ｂ得到（（Ｘ，Ｙᶄ），ｃ０）和（（Ｘ，Ｙᶄ），ｃᶄ０），ｃ０ʂｃᶄ０，即以概率εᶄȡε２２（１－２－ｌ０）４（ｑＰ０＋ｑｄ）得到有用对（Ｒ０，ｓ０，ｃ０，ｘ０）和（Ｒ０，ｓᶄ０，ｃᶄ０，ｘ０）㊂从有用对（Ｒ０，ｓ０，ｃ０，ｘ０）和（Ｒ０，ｓᶄ０，ｃᶄ０，ｘ０），Ｂ计算ｙ的ＩＳＲＳＡＣ算法反演如下㊂由于输出是基于有效的伪造，因此ｓｅ０＝Ｒ０（ｘｅ０ｙ）ｃ０，ｓｅᶄ０＝Ｒ０（ｘｅ０ｙ）ｃᶄ０㊂此外，还得到ｘ０（ｃᶄ０－ｃ０）ｓ０ｓᶄ０æèçöø÷ｅ＝ｙ（ｃ０－ｃᶄ０）ｂｍｏｄｍ㊂由于ｃ０ʂｃᶄ０ɪ｛０，１｝ｌ０并且ｅ是一个长度严格大于ｌ０的素数，即ｅ＞ｃ０－ｃᶄ０，因此ｇｃｄ（ｅ，（ｃ０－ｃᶄ０））＝１㊂使用扩展Ｅｕｃｌｉｄｅａｎ算法，可以找到ａ，ｂɪＺ，使得ａｅ＋ｂ（ｃ０－ｃᶄ０）＝１㊂得出ｙ＝ｙａｅ＋ｂ（ｃ０－ｃᶄ０）＝ｙａｘ０（ｃᶄ０－ｃ０）ｓｓᶄæèçöø÷ｂæèçöø÷ｅｂｍｏｄｍ㊂算法Ｂ以概率εᶄ输出ｙａｘ０（ｃᶄ０－ｃ０）ｓｓᶄæèçöø÷ｂæèçöø÷作为ｙ的ＩＳＲＳＡＣ反演㊂算法Ｂ的运行时间ｔᶄ是Ａ２的２倍，加上响应Ｈａｓｈ查询所需的时间，ｑＥＥｘｔｒａｃｔ和ｑｄＰｒｏｘｙ⁃Ｄｅｌｅｇａｔｉｏｎ查询的时间㊂假设ＺＮ中ｌ（多）次模指数运算需要ｔｅ时间，当所有其他操作需要时间为零，由于每个随机预言机Ｇ或Ｅｘｔｒａｃｔ查询需要的时间最多为１次指数运算，１个授权模拟需要２次指数运算，Ｂ的运行时间为ｔᶄɤ２（ｔ＋（ｑＧ＋ｑＥ＋２ｑｄ）ｔｅ），证明完成㊂定理４３若与ＫＧｉｓｒｓａｃ相关的ＩＳＲＳＡＣ函数是（ｔᶄ，εᶄ）单向的，并且εᶄȡ（ε１－ｚ２－ｌ０）２（１－２－ｌ０）８（ｑＰ１＋ｑｓ）（ｑＰ１＋ｑｓ＋１），ｔᶄɤ２（ｔ＋（ｑＧ＋ｑＥ＋（２ｚ＋１）ｑｓ）ｔｅ）㊂当ε１ȡε４ｑＥ－（２ｑ２ｓ＋ｑｓｑＰ１）２－ｌＮæèçöø÷，在Ｚ∗Ｎ中ｔｅ是一个指数的时间，ｑＧ，ｑＰ０，ｑＰ１，ｑＥ，ｑ分别是预言机Ｇ，Ｐ０，Ｐ１，Ｅｘｔｒａｃｔ，Ｓｉｇｎ的查询数量，那么该方案对敌手Ａ３是（ｔ，ｑＧ，ｑＰ，ｑＥ，ｑＰｒｓ，ε）安全的㊂证明：证明对于敌手Ａ３，构造算法Ｂ，输入（（ｅ，ｍ），ｙ＝ｙｅｂｍｏｄｍ）运行Ａ３，目标是输出γ＝ｙ１ｅｂｍｏｄｍ㊂算法Ｂ运行Ａ３，在输入ｍｐｋ＝（ｅ，ｍ）和应答Ａ３的预言机查询时，打破该方法的存在不可伪造性㊂Ａ３拥有原始签名者的私钥，故可以模拟授权，预言机访问ＰｒｏｘｙＤｅｌｅｇａｔｉｏｎ是没有必要的㊂假设算法Ｂ保持初始的空关联数组Ｔ［㊃］，ＴＰ０［㊃］，ＴＰ１［㊃］，并且应答Ａ３的预言机查询如下㊂（１）Ｐ０（Ｒ０ ω ＩＤ）查询：如果定义ＴＰ０［Ｒ０ ω ＩＤ］，则Ｂ返回它的值，否则Ｂ选择ＴＰ０［Ｒ０ ω ＩＤ］Ɣѳ｛０，１｝ｌ０，返回ＴＰ０［Ｒ０ ω ＩＤ］给Ａ３㊂（２）Ｐ１（ＲｕＧ（ＩＤｕ）ｃｕＲ０Ｇ（ＩＤ０）ｃ０ＩＤＩＤＩＤｕω ｍｅｓｓａｇｅ）查询：如果定义ＴＰ１［ＲｕＨ（ＩＤｕ）ｃｕＲ０Ｈ（ＩＤ０）ｃ０ＩＤＩＤＩＤｕω ｍｅｓｓａｇｅ］，则Ｂ返回它的值；否则，Ｂ选择ＴＰ１［ＲｕＧ（ＩＤｕ）ｃｕＲ０Ｇ（ＩＤ０）ｃ０ＩＤＩＤＩＤｕ ω ｍｅｓｓａｇｅ］Ɣѳ｛０，１｝ｌ１返回给Ａ３ＴＰ１［ＲｕＧ（ＩＤｕ）ｃｕＲ０Ｇ（ＩＤ０）ｃ０ＩＤＩＤＩＤｕ ω ｍｅｓｓａｇｅ］㊂㊃１７㊃。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

第29卷　第9期2006年9月计算机学报C HIN ESE J OU RNAL OF COM PU TERSVol.29No.9Sept.2006收稿日期:2006203220;修改稿收到日期:2006205230.本课题得到国家自然科学基金(90304012)、国家“九七三”重点基础研究发展规划项目基金(2004CB318000)资助.曹正军,男,1971年生,博士研究生,主要研究方向为信息安全与密码学.E 2mail :zjcao @.刘木兰,女,1941年生,研究员,博士生导师,主要研究领域为信息安全、密码学、计算机代数.一个基于强RSA 数字签名方案的改进曹正军1),2) 刘木兰2)1)(上海大学数学系　上海　200444)2)(中国科学院数学与系统科学研究院数学机械化重点实验室　北京　100080)摘　要　该文改进了Zhu 等人的基于强RSA 的数字签名方案.原方案在系统建立阶段必须选取QR n 中的三个生成元,并且签名人在签名阶段还必须选取一个固定长度的素数.改进方案只需选取两个生成元,而且只需选取一个固定长度的奇数.新方案的计算量约是原方案的1/2.在强RSA 假设下,文中分析了改进方案的安全性.关键词　强RSA 假设;生成元;自适应选择消息攻击;存在型伪造.中图法分类号TP309Improvement of a Signature Scheme B ased on Strong RSACAO Zheng 2J un 1),2)　L IU Mu 2Lan 2)1)(Depart ment of M at hematics ,S hanghai Universit y ,S hanghai 200444)2)(Key L aboratory of M at hematics Mechaniz ation ,A cadem y of M at hematics and S ystems Science ,Chinese A cadem y of Sciences ,B ei j ing 100080)Abstract This paper imp roves t he signat ure scheme based on st rong RSA p roposed by Zhu in 2001.The original scheme should select t hree generators in Q R n in t he set up p hase.In signing p hase ,t he signer has to choo se a prime number wit h p rescribed lengt h.The aut hors remove t hese rest rictions.Only two generators and an odd should be selected in t he improved scheme.The scheme saves about 1/2comp utation co st of t he original scheme.The aut hors also analyze it s security under st rong RSA.K eyw ords st rong RSA ;generator ;adaptive chosen 2message attack ;existential forgery1　引　言在文件上手写签名一直被作为一种证明签名者身份的标识,它表明签名人看过乃至同意文件的内容.签名人作出签名后将无法否认,并要为自己的签名负责.在法律上,签名是一种重要的诉讼证据.生活中需要签名的事例举不胜举.重要的如:给重病患者动手术,必须有亲属在手术协议书上签名;重要的商务合同必须有相关法人代表的签名,还需公证处公证;司法机关审讯犯罪嫌疑人的审讯记录也须有当事人的画押.一般的如:写留言、借条、填登记表.当然,随着高科技的发展,刑侦工作中采用的DNA 检测,即利用个体的生理特征来鉴别有关主体,另当别论.现实生活中,手写签名有很多缺陷.高超的伪造者能够模仿签名人的笔迹伪造签名;采用高明的剥离技术,签名能够从一篇文章盗用移到另一篇文章;文件在签名后能被替换;由于自然力的影响,笔迹会变得模糊,难以辨识.总之,依靠人体感官来辨识的手写签名是相当不安全的.为了克服这些缺陷,一门新技术即在数字世界中实现签名,在20世纪70年代末随着公钥密码学[2]的诞生发展起来了,这便是基于公钥基础设施(P KI)的数字签名(digital signat ure).目前绝大部分数字签名方案都是基于离散对数问题和RSA问题的[3],典型的如El Gamal签名[4]、Schnorr签名[5]以及美国的数字签名标准DSA[6],都是基于离散对数问题.我们知道,利用RSA构造的签名方案模数长度不小于1024bit(离散对数型的模数长度则是512bit),因此效率较低.那么,能否利用RSA构造出效率较高的数字签名方案呢?为此, Cramer和Shoup[7]在2000年最早提出了一个基于强RSA假设的数字签名方案,但该方案不够简练. 2003年,Fischlin[8]在Cramer2Shoup方案的基础上进行了改进.事实上,该方案与国内学者朱华飞[1]在2001年提出的一个数字签名方案很类似.下面我们将对这三个方案加以叙述,然后再设计一个改进方案.新方案的优点在于,系统建立阶段只需选取两个生成元(比原方案少一个),签名人在签名阶段只需选取一个固定长度的奇数(原方案为素数).在同等规格的模数下,新方案的效率要明显优于原方案,计算量约是原方案的1/2.并且在强RSA假设下,我们分析了改进方案的安全性.2　三个基于强RSA假设的签名方案2000年,Cramer和Shoup[7]最早提出了一个基于强RSA假设的数字签名方案,他们证明了该方案在自适应选择消息攻击(adaptive cho sen2message attack)下能够抵抗存在型伪造(existential forgery).为此,我们先介绍强RSA问题与强RSA假设,然后再叙述相关的三个方案.定义1(强RSA问题).　给定一个RSA模N= pq和一个随机数c∈Z3N,计算a,b∈Z3N,bΕ2,使得a b=c mod N.强RSA假设.在不知道N因子分解情况下,计算强RSA问题是困难的.211　CS2数字签名方案建立.选取n=pq,其中p=2p′+1,q=2q′+1,p,p′,q,q′均为素数;记Q R n为Z n中的二次剩余构成的群,随机选取h,x∈Q R n和一个长为(l+1)bit 的素数e′.H(・):{0,1}3→{0,1}l为一安全无碰撞的Hash函数.P K=(n,h,x,e′,H),S K=(p,q).签名.设待签名的消息为m,随机选取一个长为(l+1)bit s的素数e≠e′以及y∈QR n;计算x′使得(y′)e′=x′h H(m)mod n,计算y使得y e=x h H(x′)mod n,签名为(e,y,y′).验证.首先检验e是否是长为(l+1)bit s的奇数且e≠e′,然后计算x′=(y′)e′h-H(m)mod n并验证x=y e h-H(x′)mod n.212　Fischlin2数字签名方案2003年,Fischlin[8]指出CS方案中关于x′的计算过程是多余的.为此,他提出了一个改进方案:建立.选取n=pq,其中p=2p′+1,q=2q′+1, p,p′,q,q′均为素数;记Q R n为Z n中的二次剩余构成的群,随机选取h1,h2,x∈QR n.H(・):{0,1}3→{0,1}l为一安全无碰撞的Hash函数.P K=(n,h1, h2,x,H),S K=(p,q).签名.设待签名的消息为m,随机选取一个长为(l+1)bit的素数e以及长为l bit s的串α;计算y 使得y e=x hα1hα H(m)2mod n,签名为(e,α,y).验证.首先检验e是否是长为(l+1)bits的奇数,α长是否为l bit s,然后验证y e=x hα1hα H(m)2mod n.Fischlin的改进方案为了达到随机化目的,选取了一个长为l bit s的随机串α,这有利于抵抗选择消息攻击.而且改进方案明显地去除了原方案中的冗余成分,提高了系统的效率.213　Zhu2数字签名方案最近,我们从有关文献中发现,早在2001年国内学者朱华飞[1]就曾提出了一个与Fischlin的改进方案极其相似的协议:建立.选取n=pq,其中p=2p′+1,q=2q′+1, p,p′,q,q′均为素数;记Q R n为Z n中的二次剩余构成的群,随机选取三个生成元X,g,h∈QR n, H(・):{0,1}3→{0,1}l为一安全无碰撞的Hash函数.P K=(n,g,h,X,H),S K=(p,q).签名.设待签名的消息为m,随机选取一个长为(l+1)bit s的素数e以及长为l bit s的串t;计算y8161计算机学报2006年使得y e=X g t h H(m)mod n.签名为(e,t,y).验证.首先检验e是否是长为(l+1)bit s的奇数,然后验证y e=X g t h H(m)mod n.3　新改进方案311　新改进方案的描述Fischlin2方案和Zhu2方案都引进了另一个公开参数(前者是h1,后者是g),通过选取随机串α(后者为t),增强了系统抵抗选择消息攻击的能力.事实上我们能够通过更简单的办法来实现这一目的,进一步去除冗余成分,提高系统的效率.下面我们给出一个改进方案:建立.选取n=pq,其中p=2p′+1,q=2q′+1, |p|=|q|=512bit s,p,p′,q,q′均为素数;记Q R n为Z n中的二次剩余构成的群,随机选取Q R n中的两个生成元X,g.H(・):{0,1}3→{0,1}256为一安全无碰撞的Hash函数.P K=(n,g,X,H),S K=(p,q).签名.设待签名的消息为m,随机选取一个长为257bit s的奇数e,且(e,<(n))=1,计算y使得y e=X g H(m‖e‖X)mod n.签名为(e,y).验证.首先检验e是否是长为257bit s的奇数,然后验证y e=X g H(m‖e‖X)mod n.定理1.　上述协议中的每一步都能够实现,最后得到的签名能够通过验证.证明.　由于签名人知道n的因子分解,可以求出<(n),从而计算出d=e-1mod<(n),　y=(X g H(m‖e‖X))d mod n.证毕. 312　效率分析改进方案的效率要明显优于Fischlin2签名方案和Zhu2签名方案,具体情况如表1所示.表1　三种签名方案的比较Fischlin2签名方案Zhu2签名方案新改进方案公钥(n,x,h1,h2)(n,X,g,h)(n,X,g)私钥(p,q)(p,q)(p,q)随机数素数e,随机串α素数e,随机串t奇数e签名(e,α,y)(e,t,y)(e,y)验证等式y e=x hα1hα H(m)2y e=X g t h H(m)y e=X g H(m‖e‖X)从表1中可以看出新改进方案少选了一个生成元,且签名时少选了一个随机串,验证方程中也少了一个幂运算.因此,在同等规格的模数下,原方案与新方案的计算量之比约为3∶2.此外,原方案要求随机选取的e为素数,而新方案只要求e为奇数,无需进行素性检验.故此,总的计算量约为原方案的1/2.注记1.在原方案中,如果e为合数,不妨设e= ab,则(a,t,y b)和(b,t,y a)都是关于同一消息的合法签名.新方案则在验证等式中把H(m)换成了H(m‖e‖X),利用Hash函数构造了一个新挑战,有效地抵制了上述攻击,去掉了素数要求.注记2.在Fischlin2方案和Zhu2方案中分别记X^=x hα1hα2,X—=X g t,则相应的验证方程为y e=X^h H(m)2,　y e=X—h H(m)(mod n).由于X^,X—对攻击者而言都是已知的,所以这两个方案可以看成是改进方案的一种简单变型,但其安全性明显要弱于改进方案.改进方案利用Hash函数的随机性,通过H(m‖e‖X)把消息m,签名数据e 和公开参数X绑定在一起,有利于抵抗自适应选择消息攻击.313　安全性分析命题1.　上述改进方案在自适应选择消息攻击(adaptive chosen2message attack)下能够抵抗存在型伪造(existential forgery).证明.　我们首先解释在自适应选择消息攻击下攻击者A的攻击能力.此时,攻击者A能够多次(在多项式时间内)访问签名预言机SO(Signing Oracle),有一条记录带,把每次提交的询问m i和得到的回答(e i,y i)记录下来.在每次提交新的询问时,A能够根据先前的记录自主选择所提交的询问.为了叙述方便,把A在攻击中的记录记为{(m i,e i,y i):1ΦiΦt},可以假定A每次提交的询问是不相同的(i≠j,则m i≠m j).现在需证:攻击者在经过多次询问后,得不到一合法的消息/签名(m,e,y)(m不能作为A提交的询问),使得y=(X g H(m‖e‖X))d mod n.为此,根据A找到的e,y分两种攻击类型加以讨论.攻击1.根据攻击者得到的e,只需考虑(I)存在某个i(Φt),使得e=e i.此时又可分为两种情况:(I1)如果H(m i‖e i‖X)=H(m‖e i‖X),则91619期曹正军等:一个基于强RSA数字签名方案的改进由于m≠m i,m i‖e i‖X≠m‖e i‖X,从而A找到了H的一对碰撞.由于在ROM模型下总是假设H 是一理想的随机函数,故此,攻击者成功的概率A dv S O(Q,R,t)Φ1/2255,其中Q={m1,m2,…,m t},R={(e1,y1),(e2,y2),…,(e t,y t)}.(I2)如果H(m i‖e i‖X)≠H(m‖e i‖X),则显然有y i≠y mod n.不妨设H(m‖e i‖X)> H(m i‖e i‖X),记H(m‖e i‖X)-H(m i‖e i‖X)=α,由y e i=X g H(m‖e i‖X)mod n,y e ii=X g H(m i‖e i‖X)mod n,可得(y y-1i)e i=g H(m‖e i‖X)-H(m i‖e i‖X)=gαmod n.由于|e i|=257,|α|Φ256,所以e i≠α.在已知n,e i,gα的情形下,攻击者找到合乎要求的y等同于解密利用RSA加密的(y y-1i),加密指数为e i.这与RSA的基本假设相矛盾.(II)对ΠiΦt,都有e≠e i.此时又可分为两种情况:(II1)如果ϖiΦt,使得H(m i‖e i‖X)=H(m ‖e‖X),则同(I1)一样,攻击者A能够找到H的一对碰撞,这与ROM模型下假设H是一理想的随机函数相矛盾.(II2)如果Πi,1ΦiΦt,都有H(m i‖e i‖X)≠H(m‖e‖X),由于{e i}1ΦiΦt是随机选取的,故ϖi, 1ΦiΦt,使得e i>e,从而根据y e=X g H(m‖e‖X)mod n,y e i i=X g H(m i‖e i‖X)mod n,可得(y y-1i)e=g H(m‖e‖X)-H(m i‖e i‖X)y e i-ei mod n.在已知n,e,H(m‖e‖X),H(m i‖e i‖X),y e i-ei的情形下,攻击者A找到合乎要求的y就等同于解密利用RSA加密的(y y-1i),加密指数为e.这与基本假设相矛盾.也就是说,利用攻击者得到的e,可以把攻击算法归约到RSA解密问题,然而在目前分解大数能力的条件下,RSA解密问题是十分困难的.攻击2.根据攻击者得到的y,此时由于X,g 均是QR n中的生成元,且满足y e=X g H(m‖e‖X)mod n,故此存在α使得y=gαmod n,从而在已知X,g的情况下攻击者必能找到X关于g的一种表示,即X=y e g-H(m‖e‖X)=gαe-H(m‖e‖X)mod n,但这与强RSA假设矛盾.事实上,如果攻击者能够从前t次询问与回答中,对某个i(Φt)得到y i关于g的表示,即有αi使得y i=gαi mod n,那么,令αi e i-H(m i‖e i‖X)=αe-H(m‖e‖X)求出一整数α即可.但在已知y i和g 的情况下求αi与强RSA假设矛盾.总之,在给定y的情况下,可以利用攻击者求解e的算法来构造另一算法解决强RSA问题,从而与强RSA假设矛盾.4　结束语本文改进了一个基于强RSA的数字签名方案,新方案的计算量只是原方案的1/2,并且在强RSA 假设下分析了新方案的安全性.改进方案利用Hash 函数的单向性构造了一个复合挑战,因而能够进行灵活的变形.利用这一特点可以设计盲签名、部分盲签名等一些重要的数字签名方案,我们将在今后的工作中进一步介绍这方面的结果.参考文献1Zhu Hua2Fei.New digital signature scheme attaining immunity to adaptive chosen2message attack.Chinese Journal of Electron2 ics,2001,10(4):484～4862Diffie W.,Hellman M.E..New directions in cryptography.IEEE Transactions on Information Theory,1976,IT222(6): 644～6543Rivest R.L.,Shamir A.,Adleman L.M..A met hod for obtai2 ning digital signatures and public2key muni2 cations of t he ACM,1978,21(2):120～1264El Gamal T..A public2key cryptosystem and a signature scheme based on discrete logarit hms.IEEE Transactions on Information Theory,1985,31(4):469～4725Schnorr C.P..Efficient identification and signatures for smart cards.In:Proceedings of Advances in Cryptology2Crypto’89, Berlin:Springer2Verlag,1990,239～2516Schneier B..Applied Cryptography:Protocols,Algorit hms, and Source Code in C.2nd Edition.New Y ork:Wiley,1995, 521～5227Cramer R.,Shoup V..Signature schemes based on t he strong RSA assumption.ACM Transactions on Information and System Security,2000,3(3):161～1858Fischlin M..The Cramer2Shoup Strong2RSA signature scheme revisited.In:Proceedings of t he P KC2003,Lecture Notes in Computer Science2567,Berlin:Springer2Verlag,2003,116～1290261计算机学报2006年CAO Zheng 2Jun ,born in 1971,Ph.D.candidate.His research interests include information security and cryp 2tography.L IU Mu 2Lan ,born in 1941,professor ,Ph.D.supervi 2sor.Her research interests include cryptography ,informa 2tion security and computer algebra.B ackgroundDigital signature is an important component of modern cryptography.It has greatly promoted the development of E 2commerce.Lots of researchers have paid attention the design and analysis of signature schemes.In this paper ,the authors improve the signature scheme based on strong RSA proposed by Zhu.The original scheme should select three generators in QR n in the setup phase.In signing phase ,the signer must choose a prime number with prescribed length.The authors remove these restrictions.Only two generators and an odd should be selected in our scheme.The improve 2ment scheme saves about 1/2computation of the original scheme.The authors also prove its security under strong RSA assumption.The research is supported by the National Natural Science Foundation of China under grant No 190304012and National Basic Research Program (973Program )of China un 2der grant No 12004CB318000.The research group is with In 2stitute of Systems Sciences ,Chinese Academy of Sciences.The group members have published a number of papers in in 2ternational and internal journals and conferences about ap 2plied mathematics ,cryptography and computer sciences ,etc.12619期曹正军等:一个基于强RSA 数字签名方案的改进。