1. 引言
前序博客有:
- Coconut:可selective disclosure credentials的门限发行签名机制
- ECDSA VS Schnorr signature VS BLS signature
- 密码学算法——RSA
盲签名(blind signature)为:
一种数字签名的方式,在消息内容被签名之前,对于签名者来说消息内容是不可见的。
类比例子:对文件签名就是通过在信封里放一张复写纸,签名者在信封上签名时,他的签名便透过复写纸签到文件上。
盲签名除具有普通数字签名特征之外,还额外具有如下特征:
- 1)签名者对其所签署的消息是不可见的,即签名者不知道其所签署消息的具体内容。
- 2)签名消息不可追踪,即当签名消息被公开时,签名者无法知道其哪次签署了该消息。
盲签名的基本流程为:
实现盲签名的方案主要有:
- 基于RSA的盲签名
- 基于BLS-signature的盲签名
2. 基于RSA的盲签名
基本背景参看:
(
e
,
n
)
(e,n)
(e,n)为公钥,
d
d
d为私钥,其中
e
d
≡
(
p
−
1
)
(
q
−
1
)
m
o
d
n
ed\equiv (p-1)(q-1)\mod n
ed≡(p−1)(q−1)modn。
m
∈
[
0
,
n
−
1
]
m\in[0,n-1]
m∈[0,n−1]为待签名消息。
为让签名者不知道所签名的消息
m
m
m,需引入一个参数
r
r
r(仅用户可知),使得
g
c
d
(
r
,
n
)
=
1
gcd(r,n)=1
gcd(r,n)=1。
基于RSA的盲签名流程为:
- 1)用户blinding消息: m ′ ≡ m r e ( m o d n ) m'\equiv mr^e(\mod n) m′≡mre(modn)
- 2)签名者对已盲化的消息进行签名: s ′ ≡ ( m ′ ) d ( m o d n ) s'\equiv(m')^d(\mod n) s′≡(m′)d(modn)
- 3)用户收到签名后进行unblinding操作: s ≡ s ′ ⋅ r − 1 ( m o d n ) s\equiv s'\cdot r^{-1}(\mod n) s≡s′⋅r−1(modn)
- 4)任何人,采用公钥 ( e , n ) (e,n) (e,n),可对 m m m和 s s s验签: s e ≡ m e d ( m o d n ) = m ( m o d n ) s^e\equiv m^{ed}(\mod n)=m(\mod n) se≡med(modn)=m(modn)。
基于RSA的盲签名方案有效的原因是:
r
e
d
≡
r
(
m
o
d
n
)
r^{ed}\equiv r(\mod n)
red≡r(modn)
s
≡
s
′
⋅
r
−
1
≡
(
m
′
)
d
r
−
1
≡
m
d
r
e
d
r
−
1
≡
m
d
r
r
−
1
≡
m
d
(
m
o
d
n
)
s\equiv s'\cdot r^{-1}\equiv (m')^dr^{-1}\equiv m^dr^{ed}r^{-1}\equiv m^drr^{-1}\equiv m^d(\mod n)
s≡s′⋅r−1≡(m′)dr−1≡mdredr−1≡mdrr−1≡md(modn)
基于RSA的盲签名存在的一个问题是:
通过RSA blinding attack,可能可利用盲签名将一个消息解密为另一消息。
因为盲签的过程等价为使用签名者使用私钥
d
d
d解密的过程,攻击者可提供已 经签名者公钥加密的消息
m
′
=
m
e
m'=m^e
m′=me,具体流程为:
- 1)攻击者blinding消息: m ′ ′ ≡ m ′ r e ( m o d n ) ≡ ( m e ( m o d n ) ⋅ r e ) ( m o d n ) = ( m r ) e ( m o d n ) m''\equiv m'r^e(\mod n)\equiv (m^e(\mod n)\cdot r^e)(\mod n)=(mr)^e(\mod n) m′′≡m′re(modn)≡(me(modn)⋅re)(modn)=(mr)e(modn)
- 2)签名者签名: s ′ ≡ ( m ′ ′ ) d ( m o d n ) ≡ ( ( m r ) e ( m o d n ) ) d ( m o d n ) ≡ ( m r ) e d ( m o d n ) ≡ m ⋅ r ( m o d n ) s'\equiv (m'')^d(\mod n)\equiv ((mr)^e(\mod n))^d(\mod n)\equiv (mr)^{ed}(\mod n)\equiv m\cdot r (\mod n) s′≡(m′′)d(modn)≡((mr)e(modn))d(modn)≡(mr)ed(modn)≡m⋅r(modn)
- 3)攻击者unblinding: s ≡ s ′ ⋅ r − 1 ( m o d n ) ≡ m ( m o d n ) ≠ m ′ s\equiv s'\cdot r^{-1}(\mod n)\equiv m(\mod n)\neq m' s≡s′⋅r−1(modn)≡m(modn)=m′。本来发送给签名者的加密消息 m m m应只有签名者通过私钥获知,而此时攻击者借助盲签名,获知了相应的加密消息 m m m。
3. 基于BLS-signature的盲签名
基本背景参看:
参考资料
[1] Which blind signature schemes exist, and how do they compare?
[2] 维基百科 Blind signature
[3] 盲签名 blind signature 简介