抗合谋攻击的门限混合代理多重签名方案

抗合谋攻击的门限混合代理多重签名方案徐太平;陈勇【摘要】针对现有门限签名方案在抵抗合谋攻击方面的弱点，结合离散对数问题，提出一个抗合谋攻击的门限混合代理多重签名方案，通过引入关键参数ki ，实现对实际签名人的私钥的隐藏和对签名成员身份的可追查性，从而有效地抵抗合谋攻击。

理论分析结果表明，该方案满足强不可伪造性和强不可否认性，且能有效地抵抗合谋攻击。

%For the weaknesses of previous threshold signature in against conspiracy attack, combining with the discrete loga-rithm method, this paper proposes a threshold hybrid proxy multi-signature scheme against conspiracy attack. The scheme, through introducing key parameter ki , camouflages actual signer’s private key and traces sign ature memberships, thus effectively against conspiracy attack. Theoretical analysis results show that the scheme not only satisfies strong unforgeability and strong undeniability, but also can effectively against conspiracy attack.【期刊名称】《计算机工程与应用》【年(卷),期】2013(000)014【总页数】5页(P73-76,97)【关键词】离散对数;门限签名;混合代理多重签名;合谋攻击【作者】徐太平;陈勇【作者单位】重庆师范大学计算机与信息科学学院，重庆 401331;重庆师范大学计算机与信息科学学院，重庆 401331【正文语种】中文【中图分类】TP3091 引言1996年，代理签名首先由Mambo，Usuda和Okamoto在文献[1]中提出，即在一个代理签名方案中，代理签名人代表原始签名人生成有效的签名，实现数字签名权利的委托，常用于原始签名人由于某些原因无法亲自签名的场合。

为了满足实际需求，代理多重签名[2]、多重代理签名[3]和多重代理多签名[4]随即被提出。

代理多重签名是指一位代理人同时代表多个原始签名人进行签名[2]。

为了增加代理多重的灵活性，混合代理多重签名[5-7]和门限签名[7-11]应运而生。

混合代理多重签名是指一部分原始签名人将签名权授予指定的代理签名人，而另一部分原始签名人自己行使签名权[6]。

文献[5]提出了一个基于双线性对的混合代理多重签名，但该方案就安全性方面来说不能抵抗参与签名的实际签名人的合谋攻击[6]；就实施方面而言，一旦有不合作的签名人，则签名将无法正常进行，方案的灵活性和实用性受到限制[7]。

门限签名，于1991年首次被提出，其特性是原始签名人的签名私钥被分成n份，且由n个代理签名者分享保存，只有当t个或t个以上的代理签名人运用各自的代理签名私钥才能产生代表原始签名人对消息的签名，少于t个则不可能。

文献[7]在文献[5]中的方案基础上引入门限签名以增强方案的灵活性和实用性。

由于门限签名系统的强壮性差而出现部分成员可以合谋得到系统密钥的情况，即“合谋攻击[10]”，在(t,n)门限签名方案中，系统的秘密被分成n份部分密钥后分发给每一个群体成员，当参与签名的成员达到t个或超过t个就可恢复系统密钥。

文献[8]指出在系统的初始化阶段和秘密分发阶段易受合谋攻击，需要在这两个阶段增加相应的参数使得部分密钥隐藏起来，使得系统具有抵抗合谋攻击的能力；文献[9]增加一个硬性条件：任意t个成员的公钥之积均不相等，使得签名具有可追查性，以此来抵抗合谋攻击。

本文在上述研究成果的基础上，提出一个基于离散对数问题的抗合谋攻击的门限混合代理多重签名方案，其应用场景为：在一所高校有多个院系，每个院系都有一名院长，且校方有负责协调各院系开展工作的副校长一名。

当一部分院长出差时，便可以将签名权委托给副校长，文件由副校长和其他未出差的院长共同签署。

若某些签名人对文件内容不满意而拒绝签名，必将影响高校工作的开展。

此时只需要一定数量的签名人参与签名，文件就可以生效。

与文献[7]的方案相比，该方案是基于有限域上的离散对数问题的，并且当发生签名纠纷时，实际签名人和签名验证者可以根据签名(M,V,K,S,U,Y)中的K的唯一性追查出参与此门限混合代理多重签名的t 个成员的身份。

与文献[9]中的门限代理多重签名方案相比，该方案有两点改进：（1）利用关键参数同时实现对参与门限代理多重签名的成员的私钥进行隐藏和对签名成员身份的追查，从这两方面来抵抗合谋攻击；（2）增加了签名权力的授权阶段，使一部分原始签名人将签名权授予指定的代理签名人，接着使这位代理签名人和另外一部分原始签名人共同进行门限代理多重签名，以使得方案具有更大的灵活性和更强的应用性。

2 预备知识2.1 离散对数问题定义1有限域G F(p)={0,1,…,p-1}，在其上定义模p的代数运算，即加法：若a,b∈G F(p)，则a+b=x mod p；乘法：若a,b∈G F(p)，则ab=y mod p。

在G F(p)中，所有元素对于加法和乘法满足封闭性，并满足分配率、无零因子条件，构成一个有限域。

在G F*(p)={1,2,…,p-1}中至少存在一个元素g，使得G F*(p)中任意元素都可以表示成g的某次幂的形式，这样的元素称为G F*(p)的生成元。

定义2（离散对数问题（DLP））设 p是一个素数，g∈G F*(p)是其生成元，已知x∈G F*(p)，求 y=g x mod p，称为模 p的幂运算；但是若 y=g x mod p成立，已知 y求x的问题称为模 p的离散对数问题。

2.2 门限混合代理多重签名所谓门限混合代理多重签名，是指在一个签名方案中，部分原始签名人将他们的签名授权给指定的代理签名人，然后让代理签名人和其他的部分原始签名人，利用门限代理签名体制生成安全而有效的签名。

门限混合代理多重签名方案由以下五个部分组成：（1）初始化阶段：设置签名体制的参数、产生原始签名人和代理签名人的密钥对等。

（2）签名权力的授权阶段：部分原始签名人将自己的签名权力委托给指定的代理签名人，代理签名人生成代理密钥。

（3）代理签名密钥生成阶段：代理签名人与其他的部分原始人计算门限秘密共享份额。

（4）代理签名生成过程：任意t个实际签名人生成部分签名，签名合成人合成代理签名。

（5）代理签名验证过程：验证人验证代理签名的有效性，确定代理签名。

3 抗合谋攻击的门限混合代理多重签名方案3.1 初始化阶段设 p是一个大素数，q为 p-1或 p-1的大素因子；g∈Z，且 g q=1 mod p；定义一个安全的单向哈希函数h:Z→Z。

原始签名人A i(i=1,2,…,l+m)，选择私钥xAi∈Z，并计算yA i= mod p，其身份信息为ID i；代理签名人B选择私钥xB∈，并计算 yB=g xB mod p，其身份信息为ID B。

3.2 签名权力的授权阶段假设wi(i=1,2,…,l)是原始签名人Ai(i=1,2,…,l)给代理签名人B的授权证书，其中包括A i(i=1,2,…,l)和B的身份信息、代理权限和代理期限等信息。

授权协议如下：（1）原始签名人Ai(i=1,2,…,l)随机选择ri∈Z，计算下列两个等式：公开Ri和wi，将S A i秘密发送给代理签名人B。

（2）代理签名人B收到后验证：是否成立。

若等式成立，则接受原始签名人A i的代理授权；否则要求原始签名人A i重新发送。

（3）代理签名人B通过：计算代理密钥δ，公开代理公钥P B=gδmod p。

3.3 代理签名密钥生成阶段记n=m+1，设m个实际参与签名的原始签名人Ai(i=l+1,l+2,…,l+m)和代理签名人B组成的签名群为D=(D1,D2,…,D n)，并记D i(i=1,2,…,n)的私钥为 d1=x A l+1,d2=xA l+2,…,d n-1=xA l+m,d n=δ,则对应的公钥为 y1=y A l+1,y2=y A l+2,…,yn-1=yA l+m,yn=P B。

签名密钥生成的具体步骤如下：（1）D i随机选择关键参数ki∈Z，计算并广播：其中，签名群D中的任意t个签名人的Ki之积：均不相等。

（2）D i计算ai0=d i+ki，并随机选择互不相同的a ie∈Z(e=1,2,…,t-1)构造t-1次多项式：然后计算并公开 mod p。

（3）D i计算 fi(ID j)并秘密发送给D j(j≠i)。

（4）D j收到 fi(ID j)后，验证等式：是否成立。

若等式成立，则接受此秘密份额；否则要求D i重新发送。

（5）D j计算签名密钥：并计算和公开：3.4 代理签名生成阶段设待签信息为M，签名群D=(D1,D2,…,D n)中任意t个签名人组成集合对消息M 进行签名的过程如下：（1）签名人 E i随机选择vi∈Z，计算并广播：（2）签名人E i为待签信息为M产生部分签名(M,V,K,S i,ID i,T i)，并将之秘密发送给签名合成人（可由E中的任何一人担当）：（3）签名合成人接收到t个部分签名后，通过：验证部分签名(M,V,K,S i,ID i,T i)的有效性。

（4）若所有部分签名有效，签名合成人则计算：将门限混合代理多重签名(M,V,K,S,U,Y)发送给签名验证人。

3.5 代理签名验证阶段签名验证人收到门限混合代理多重签名(M,V,K,S,U,Y)后，验证：是否成立，若等式成立，在门限混合代理签名(M,V,K,S,U,Y)有效，否则签名无效。

4 抗合谋攻击的门限混合代理多重签名方案分析4.1 正确性分析定理1代理签名人B通过验证式（3）成立来确认接受原始签名人A i(i=1,2,…,l)的授权。

证明定理2签名人D j通过验证式（8）成立来确认秘密份额的有效性。

证明定理3签名合成人通过验证式（15）成立确认部分签名(M,V,K,S i,ID i,T i)的有效性。

证明定理4签名验证人通过验证式（16）成立来确定此方案的签名(M,V,K,S,U,Y)的有效性。

证明4.2 安全性分析4.2.1 强不可否认性分析（1）原始签名人的授权和代理签名人是不可否认的。

由式（2）和式（4）可知，包含原始签名人Ai(i=1,2,…,l)和代理签名人B的身份信息、代理权限和代理期限等信息的授权证书wi被包含在有效的验证等式里，并且w i受到单向哈希函数h 的保护，所以Ai(i=1,2,…,l)和B均不能否认此次授权。