学习笔记：Borromean Ring Signatures

Gregory Maxwell, Andrew Poelstra. Borromean Ring Signatures 2015.

一些概念

Borromean环签名可以描述用签名密钥的任意函数签名的签名。
验证公钥： V = { v i } i = 1 n \mathcal{V}=\{v_i\}_{i=1}^n V={vi​}i=1n​
对应的签名密钥集： { s 1 , . . . , s n } \{s_1,...,s_n\} {s1​,...,sn​}
$f:$称为admissibility function，从$\mathcal{V}$的有限子集到 { 0 , 1 } \{0,1\} {0,1}的映射；admissible set V 如果$f(V)=1$

Borromean环签名是消息$m$上的一个签名，具有一组$\mathcal{V}$的验证密钥和$f$，满足以下条件:

1. 签名只能由共同知道一组$V$的所有密钥的各方产生
2. 仅给定$\sigma ,\mathcal{V}$和$m$，统计上无法区分使用的是哪个容许集$V$。

单调函数
如果$V$是容许集，$f(V)=1$，则任何$V^{\prime }\supseteq V,f(V^{\prime })=1$，这样的函数称为单调函数（monotone functions）
And 和 Or
如果说普通的环签名可理解成一组析取语句（已知环中的任意一个公钥对应的私钥），Borromean环签名可看做是一组析取语句的连接语句：
$$\underset{i}{\bigwedge }(\underset{j}{\bigvee }{a}_{i,j})$$

Borromean Ring Signature

$Sign$
签名者收集的公钥集合$P_{i,j},i\in [0,n-1],j\in [0,m-1]$，创建n个密钥的知识的验证 { P i , j i ∗ } i = 1 n \{P_{i,j_i^*}\}_{i=1}^n {Pi,ji∗​​}i=1n​（对应的私钥是$x_i$）

1. $M=H(message)$
2. $for(i=0,...,n-1)$:
   • 随机选择$k_i$
   • 令$e_{i,j_i^{\ast }+1}=H(M||k_{i}G||i||j_i^{\ast })$
   • $for(j_i^{\ast }<j<m_i-1)$
     随机选择$s_{i,j}$，计算$e_{i,j+1}=H(M||s_{i,j}G-e_{i,j}{P}_{i,j}||i||j)$
3. 对每个$i$,随机选择$s_{i,m_i-1}$，令$e_0=H(s_{0,m_0-1}G-e_{0,m_0-1}{P}_{0,m_0-1}||...||s_{n-1,m_{n-1}-1}G-e_{n-1,m_{n-1}-1}{P}_{n-1,j{m}_{n-1}-1})$.也就是说，$e_0$提交几个$s$值，每个环一个
4. $for(0\le i\le n-1)$
   • $for(0\le j\le j_i^{\ast }-1)$
     随机选择$s_{i,j}$，计算$e_{i,j+1}=H(M||s_{i,j}G-e_{i,j}{P}_{i,j}||i||j)$，其中$e_{i,0}=e_0$
   • 令$s_{i,j_i^{\ast }}=k_i+x_i{e}_{i,j_i^{\ast }}$

输出签名 σ = { e 0 , s i , j : 0 ≤ i ≤ n − 1 , 0 ≤ j ≤ m i − 1 } \sigma=\{e_0,s_{i,j}:0\leq i\leq n-1,0\leq j\leq m_i-1\} σ={e0​,si,j​:0≤i≤n−1,0≤j≤mi​−1}
逻辑：(原文的标号真是乱七八糟啊…盘了好久才弄对)
$e_{i,\pi +1},e_{i,\pi +2}\to e_{i,m_i-1},e_0,e_{i,1}\to e_{i,\pi }$
$s_{i,\pi +1}\to s_{i,m_i-2},s_{i,m_i-1},s_{i,0}\to s_{i,\pi -1},s_{i,\pi }$
对所有的$i$来说，$e_0$都是一样的（因为$e_0$汇聚了所有$i$对应的$j=m_i-1$参数）

$Verify$
$for(0\le i\le n-1)$
$for(1\le j\le m_i-1)$
$R_{i,j+1}=s_{i,j}G+e_{i,j}{P}_{i,j}$
$e_{i,j+1}=H(M||R_{i,j+1}||i||j)$
$e_0^{\prime }=H(R_{0,m_0}||...||R_{n-1,m_{n-1}})$
如果$e_0^{\prime }=e_0$，返回1

$Correctness$:

$$\begin{array}{rl}{e}_{i,j_i^{\ast }+1}^{\prime }& =H(M||s_{i,j_i^{\ast }}G-e_{i,j_i^{\ast }}{P}_{i,j_i^{\ast }}||i||j_i^{\ast })\\ & =H(M||(k_i+x_i{e}_{i,j_i^{\ast }})G-e_{i,j_i^{\ast }}{P}_{i,j_i^{\ast }}||i||j_i^{\ast })\\ & =H(M||k_{i}G-e_{i,j_i^{\ast }}{P}_{i,j_i^{\ast }}||i||j_i^{\ast })=e_{i,j_i^{\ast }+1}\end{array}$$