学习笔记：Efficient Redactable Signature and Application to Anonymous Credentials

Sanders, O. (2020). Efficient Redactable Signature and Application to Anonymous Credentials. In: Kiayias, A., Kohlweiss, M., Wallden, P., Zikas, V. (eds) Public-Key Cryptography – PKC 2020. PKC 2020. Lecture Notes in Computer Science(), vol 12111. Springer, Cham. https://doi.org/10.1007/978-3-030-45388-6_22

Introduction

Syntax

Short Redactable Signatures

前置文献：Short Randomizable Signatures的PS签名
$pk:=(X,Y_1,...,Y_r)=(g^x,g^{y_1},...,g^{y_r}),sk:=(x,y_1,...,y_r),g\in {\mathbb{G}}_2$
$PS-Sign(sk,m_1,...,m_r)\to \sigma :=({\tilde{\sigma }}_1,{\tilde{\sigma }}_2)=(\tilde{g},{\tilde{g}}^{x+{\sum }_{j=1}^r{y}_j\cdot m_j}),\tilde{g}\in {\mathbb{G}}_1^{\ast }$
$PS-Verify(pk,(m_1,...,m_r),\sigma )\to 0/1$. 验证 ${\tilde{\sigma }}_1\ne 1_{{\mathbb{G}}_1},$ $e(X\cdot {\prod }_{i=1}^n{Y}_i^{m_i},{\tilde{\sigma }}_1)=e(g,{\tilde{\sigma }}_2)$

这个签名验证时必须使用所有的信息整体验证，无法实现部分验证。

修改：${\sigma }_1:={\prod }_{i\in \bar{\mathcal{I}}}{Y}_i^{m_i}$

验证转换为：$e(X\cdot {\sigma }_1{\prod }_{i\in \mathcal{I}}{Y}_i^{m_i},{\tilde{\sigma }}_1)=e(g,{\tilde{\sigma }}_2)$
安全性缺陷
不幸的是，由此产生的方案显然是不安全的。不诚实的用户在可以在${\sigma }_1$中隐藏已披露消息的某些部分来欺骗验证者：
令${\sigma }_1:=Y_1^r{\prod }_{i=2}^n{Y}_i^{m_i}$，并构造一个对$m_1-r$的签名，对于任意$r\in {\mathbb{Z}}_p$，有
$$\begin{array}{rl}e(X\cdot {\sigma }_1\cdot Y_1^{m_1-r},{\tilde{\sigma }}_1)& =e(X\cdot \prod _{i=1}^n{Y}_i^{m_i},{\tilde{\sigma }}_1)\\ & =e(g,{\tilde{\sigma }}_2)\end{array}$$
${\sigma }_1\notin {\mathbb{G}}_1$，为了安全性，需要证明它只包含不在$\mathcal{I}$中的元素的累积。解决这个问题最简单的方法（在大多数匿名凭证构造中使用）是证明未公开信息的知识。正如我们已经解释过的，这导致成本至少与$\bar{\mathcal{I}}$的规模成线性关系。

解决
如果$\sigma$是一个已经诚实地为$\mathcal{I}$派生的签名，则$e({\sigma }_1,{\prod }_{i\in \mathcal{I}}{\tilde{Y}}_i)\to e(g,\tilde{g}{)}^{f(y_1,...,y_n)}$，其中的单项是这种形式：$y_i\cdot y_j,i\ne j$。相反，如果有人试图在${\sigma }_1$中隐藏一些已经公开的信息，$f$中就会包含某个形式如$y_i^2$的单项。

这两种形式是很容易被区分开的，通过将元素$Z_{i,j}=g^{y_i\cdot y_j},i\ne j$和公钥相加，合法的形式可很容易地重构$f$，另一种则不能：诚实的用户可计算${\sigma }_2\leftarrow {\prod }_{i\in \mathcal{I},j\in \bar{\mathcal{I}}}{Z}_{i,j}^{m_j}$，并证明${\sigma }_1$满足验证等式2：$e({\sigma }_1,{\prod }_{i\in \mathcal{I}}{\tilde{Y}}_i)=e({\sigma }_2,\tilde{g})$

scheme

Sign生成对$(m_1,...,m_n)$的总体聚合签名
Derive从总体签名中派生出部分元素$\mathcal{I}$的签名

• ${\sigma }_1^{\prime }={\prod }_{j\in \bar{\mathcal{I}}}{Y}_j^{m_j}=g^{{\sum }_{j\in \bar{\mathcal{I}}}{y}_j\cdot m_j}$
• ${\sigma }_2^{\prime }={\prod }_{j\in \bar{\mathcal{I}}}({\prod }_{i\in \mathcal{I}}{g}^{y_i}{)}^{y_j\cdot m_j}=(g^{{\sum }_{i\in \mathcal{I}}{y}_i}{)}^{{\sum }_{j\in \bar{\mathcal{I}}}{y}_j\cdot m_j}=(g^{{\sum }_{j\in \bar{\mathcal{I}}}{y}_j\cdot m_j}{)}^{{\sum }_{i\in \mathcal{I}}{y}_i}=g^f$

验证部分签名时，只需要关于$i\in \mathcal{I}$的信息：

1. 第一个条件是验证部分签名$i\in \mathcal{I}$的
   $e(g^x\cdot g^{{\sum }_{j\in \bar{\mathcal{I}}}{y}_j\cdot m_j}{g}^{{\sum }_{i\in \mathcal{I}}{y}_i\cdot m_i},{\tilde{\sigma }}_1)=e(g^{x+{\sum }_{i=1}^n{y}_i\cdot m_i},{\tilde{\sigma }}_1)=e(g,{\tilde{\sigma }}_2)$

2. 第二个条件针对上文提出的安全性风险，验证当${\sigma }_1$中不包含$\mathcal{I}$中成分时，才能够很容易地恢复出$f$
   $e(g^{{\sum }_{j\in \bar{\mathcal{I}}}{y}_j\cdot m_j},{\tilde{g}}^{{\sum }_{i\in \mathcal{I}}{y}_i})=e((g^{{\sum }_{j\in \bar{\mathcal{I}}}{y}_j\cdot m_j}{)}^{{\sum }_{i\in \mathcal{I}}{y}_i},\tilde{g})=e({\sigma }_2,\tilde{g})$
   注意其中$f(y_1,...,y_n)=({\sum }_{j\in \bar{\mathcal{I}}}{y}_j\cdot m_j)\cdot ({\sum }_{i\in \mathcal{I}}{y}_i)$

注意：验证的计算效率不依赖于$\bar{\mathcal{I}}$的规模（仅与要验证的集合规模$|\mathcal{I}|$有关）

Unlinkability

这个属性表示:将派生的签名${\sigma }_{\mathcal{I}}$链接回原本的签名$\sigma$是困难的。表示即使敌手已经生成了公钥$pk$，派生签名${\sigma }_{\mathcal{I}}$也不会泄露关于 { m i } i ∈ I ˉ \{m_i\}_{i\in\bar{\mathcal{I}}} {mi​}i∈Iˉ​的任何信息。
实现Unlinkability的两个技巧：

1. 在${\sigma }_1$中加入任何非$Y_i^r,i\in \mathcal{I}$形式的元素（因为验证条件2，${\sigma }_1$中不能包含任何$\mathcal{I}$中的元素成分）
2. 利用PS签名的顺序聚合能力

具体地说，我们将随机消息t的签名聚合到原始签名的虚拟公钥下，然后我们将t包含在编校消息的集合中。

• ${\tilde{\sigma }}_1^{\prime }={\tilde{\sigma }}_1^r$
• ${\tilde{\sigma }}_2^{\prime }=({\tilde{\sigma }}_1^{x+{\sum }_{i=1}^n{y}_i\cdot m_i}{)}^r\cdot {\tilde{\sigma }}_1^{r\cdot t}=({\tilde{\sigma }}_1^{x+t+{\sum }_{i=1}^n{y}_i\cdot m_i}{)}^r$
  （分析：这组替换本质上是顺序聚合了一个新的签名，$r$是随机数，$t$相当于使用的dummy secret key）
• ${\sigma }_1^{\prime }=g^{t+{\sum }_{j\in \bar{\mathcal{I}}}{y}_j\cdot m_j}$
  （分析：因为$t$不是这里想要获得的$\mathcal{I}$的一部分，所以对于聚合后的总签名，$i\notin \mathcal{I}$也包括$t$在内）
• ${\sigma }_2^{\prime }={\prod }_{i\in \mathcal{I}}{g}^{y_i\cdot t}{\prod }_{j\in \bar{\mathcal{I}}}({\prod }_{i\in \mathcal{I}}{g}^{y_i}{)}^{y_j\cdot m_j}=(g^{t+{\sum }_{j\in \bar{\mathcal{I}}}{y}_j\cdot m_j}{)}^{{\sum }_{i\in \mathcal{I}}{y}_i}=g^f$
  （分析：同理）
  总之，利用$r,t$给未公开的$i\in \bar{\mathcal{I}}$增加了随机性

原本的验证过程仍然成立：

• $e(g^x\cdot g^{t+{\sum }_{j\in \bar{\mathcal{I}}}{y}_j\cdot m_j}{g}^{{\sum }_{i\in \mathcal{I}}{y}_i\cdot m_i},{\tilde{\sigma }}_1^r)=e(g^{x+t+{\sum }_{i=1}^n{y}_i\cdot m_i},{\tilde{\sigma }}_1^r)=e(g,{\tilde{\sigma }}_2)$
• $e(g^{t+{\sum }_{j\in \bar{\mathcal{I}}}{y}_j\cdot m_j},{\tilde{g}}^{{\sum }_{i\in \mathcal{I}}{y}_i})=e((g^{t+{\sum }_{j\in \bar{\mathcal{I}}}{y}_j\cdot m_j}{)}^{{\sum }_{i\in \mathcal{I}}{y}_i},\tilde{g})=e({\sigma }_2,\tilde{g})$
  注意其中$f(y_1,...,y_n)=(t+{\sum }_{j\in \bar{\mathcal{I}}}{y}_j\cdot m_j)\cdot ({\sum }_{i\in \mathcal{I}}{y}_i)$

效率：具有不可链接性的签名，比原签名多了2次${\mathbb{G}}_1$，3次${\mathbb{G}}_2$的指数计算

Anonymous Credentials

匿名证书(也称为基于属性的证书)通常包含任何允许某些组织对用户属性颁发证书的系统，这样的系统可以:(1)用户随后可以证明其属性是经过认证的，(2)用户在显示其证书时显示的元素不能与特定的签发相链接(除非显示的属性允许这样做)。

注意：用户运行Obtain，组织方运行Issue，二者交互，最终输出凭证$\sigma$

用户运行Show，验证者运行Verify，二者交互。Show允许用户证明他属性的一个子集 { m i } i ∈ I \{m_i\}_{i\in\mathcal{I}} {mi​}i∈I​已通过认证

Construction

1. 用户可以在不透露$usk$的情况下得到$usk$和属性集 { m i } i = 1 n \{m_i\}_{i=1}^n {mi​}i=1n​上的可编校签名$\sigma$。这样的签名$\sigma$就充当该用户的凭证。
2. 为了表示对部分属性 { m i } i ∈ I \{m_i\}_{i\in \mathcal{I}} {mi​}i∈I​的凭证，用户本质上是在$\sigma$和 { u s k } ∪ { m i } i ∈ I \{usk\}\cup\{m_i\}_{i\in \mathcal{I}} {usk}∪{mi​}i∈I​上运行Derive算法并证明$usk$的知识

具体构建如下

• 为了获得一组属性 { m i } i = 1 n \{m_i\}_{i=1}^n {mi​}i=1n​上的匿名凭证，用户首先发送自己的公钥$upk$以及对$usk$的知识证明，例如使用Schnorr协议.
• 如果证明是正确的，组织方随机选择$r\leftarrow {\mathbb{Z}}_p$，并返回$\sigma =({\tilde{\sigma }}_1,{\tilde{\sigma }}_2)=({\tilde{g}}^r,{\mathrm{u}\mathrm{p}\mathrm{k}}^{r\cdot y_0}\cdot {\tilde{g}}^{r(x+{\sum }_{i=1}^n{y}_i\cdot m_i)})$给用户
  （直观地说，用户先向组织方证明自己确实是私钥$usk$的主人但不能泄露$usk$，验证通过后组织方用用户的公钥和自己的私钥生成对所有属性的凭证）
  （注意${\tilde{\sigma }}_2$中第一组分量可整理成与第二组一致的形式${\mathrm{u}\mathrm{p}\mathrm{k}}^{r\cdot y_0}={\tilde{g}}^{r(y_0\cdot \mathrm{u}\mathrm{s}\mathrm{k})}$，可以看出这里其实是用$\mathrm{u}\mathrm{s}\mathrm{k}$作为"$m_0$"，并引入一个随机性$r$。如上所述，这是一个$usk$和属性集 { m i } i = 1 n \{m_i\}_{i=1}^n {mi​}i=1n​上的签名）
  
  
  前面user的操作似曾相识呀！就是基本等同于对不可链接性的操作，用一组随机的$t,r$聚合了一个新的凭证（这个$r$和issue阶段的$r$不是同一个）。唯一不同之处在于，关于$i$的范围加入了$0$，所以在${\sigma }_2^{\prime }$中对应的部分有变化
• $B=e(g^x\cdot g^t\cdot {\prod }_{j\in [1,n]\backslash \mathcal{I}}{Y}_j^{m_j}{\prod }_{i\in \mathcal{I}}{Y}_i^{m_i},({\tilde{\sigma }}_1^{\prime }{)}^{-1})=e(g^{x+t+{\sum }_{j=1}^n{y}_j\cdot m_j},({\tilde{\sigma }}_1^{\prime }{)}^{-1})$
• 验证条件1的作用类似于verify的条件1，即验证$\mathcal{I}$的签名
  $$\begin{array}{rl}RHS& =[B\cdot e(g,{\tilde{\sigma }}_2^r\cdot ({\tilde{\sigma }}_1^{\prime }{)}^t){]}^c\\ & =[e(g,({\tilde{\sigma }}_1^{\prime }{)}^{-(x+t+{\sum }_{j=1}^n{y}_j\cdot m_j)})\cdot e(g,({\tilde{\sigma }}_1^{\prime }{)}^{\mathrm{u}\mathrm{s}\mathrm{k}\cdot y_0}\cdot ({\tilde{\sigma }}_1^{\prime }{)}^{x+{\sum }_{i=1}^n{y}_i\cdot m_i}\cdot ({\tilde{\sigma }}_1^{\prime }{)}^t){]}^c\\ (抵消)& =e(g,{\tilde{\sigma }}_1^{\prime }{)}^{c\cdot \mathrm{u}\mathrm{s}\mathrm{k}\cdot y_0}=e(g^{y_0},{\tilde{\sigma }}_1^{\prime }{)}^{s-k}\\ (去盲)& =e(Y_0^s,{\tilde{\sigma }}_1^{\prime })\cdot C^{-1}=LHS\end{array}$$
  分析：（1）$B$其实是verify中验证条件1的左边部分的-1次幂，而$e(g,{\tilde{\sigma }}_2^{\prime })$是它对应的右边部分的形式，所以二者是可以相互抵消的。而又由于$B$中涉及到的${\tilde{\sigma }}_1^{\prime },{\sigma }_1^{\prime }$所认证的范围仅限于 { m i } i ∈ I \{m_i\}_{i\in\mathcal{I}} {mi​}i∈I​（和外面聚合的随机$r,t$），而右边的${\tilde{\sigma }}_2^{\prime }$中则还包括了对$usk$的认证，所以$B$能抵消部分而剩下$usk$的项。
  到这里其实条件1已经验证了 { m i } i ∈ I \{m_i\}_{i\in\mathcal{I}} {mi​}i∈I​的认证，但还要认证用户的$usk$。
  （2）$c$是组织方的挑战，为了不泄露$usk$，不能直接发送$c\cdot usk$，$k$的作用就是盲化。而验证的时候要去盲，所以用$C$相当于$k$的一个承诺发送给验证方。
• 验证条件2类似于verify的条件2，即为了安全性，确保${\sigma }_1^{\prime }$中不含有$\mathcal{I}$中成分
  $$\begin{array}{rl}RHS& =e((\prod _{i\in {\mathcal{I}}_0}{Y}_i{)}^t\cdot \prod _{i\in {\mathcal{I}}_0,j\in [1,n]\backslash \mathcal{I}}{Z}_{i,j}^{m_j},\tilde{g})\\ & =e((\prod _{i\in {\mathcal{I}}_0}{Y}_i{)}^t\cdot \prod _{j\in [1,n]\backslash \mathcal{I}}(\prod _{i\in {\mathcal{I}}_0}{Y}_i{)}^{y_j\cdot m_j},\tilde{g})\\ & =e((g^{{\sum }_{i\in {\mathcal{I}}_0}{y}_i}{)}^{t+{\sum }_{j\in [1,n]\backslash \mathcal{I}}{y}_j\cdot m_j},\tilde{g})\\ & =e((g{)}^{t+{\sum }_{j\in [1,n]\backslash \mathcal{I}}{y}_j\cdot m_j},{\tilde{g}}^{{\sum }_{i\in {\mathcal{I}}_0}{y}_i})\\ & =e({\sigma }_1^{\prime },\prod _{i\in {\mathcal{I}}_0}{\tilde{Y}}_i)=LHS\end{array}$$
  与verify中唯一不同在于$i\in {\mathcal{I}}_0$，确保${\sigma }_1^{\prime }$中不含有$\mathcal{I}$中成分及与$usk$有关的成分.