环签名原理详解

环签名原理详解

预备阶段

​ 假设签名者拥有某私钥 sk 和公钥 pk，其中 pk = sk·g，这里 g 是 椭圆曲线上的 基点(base point)，也被称为生成元(generator)。而 “ · ” 这里是倍乘，sk · g 表示 sk 个 g 点在椭圆曲线上进行加法运算。

​ 首先定义一个 hash 函数，这个 hash 函数的输入是 待签名的消息 m 和 椭圆曲线上的一个点 A，即 Hash(m, A)。该 hash 函数和椭圆曲线一样，是这个签名和验签体系的前提。

第一步：

​ 签名方想对一消息 m 进行签名，但是又不想在公开签名的同时，让别人知道自己的确切身份，因此 签名方 决定用环签名的方式将自己藏到一群人中。于是 签名方 找来 n-1 个其他人的公钥（这些公钥最好之前在系统中已经出现过和使用过，不然 签名方 藏在一堆新人中，还是会很容易的被识别出来），并编好序号，并将自己的公钥随机地插入其中，共同组合了一个包含 n 个公钥的集合。

首先，假设这 n 个公钥为 $p{k}_0$, $p{k}_1$, $p{k}_2$, …, $p{k}_{i-1}$, $p{k}_i$, $p{k}_{i+1}$, …,$p{k}_n$

其中 $p{k}_i$为签名方的公钥。

然后，签名方随机生成 n-1 个随机数 $S_0$, $S_1$, …, $S_{i-1}$, $S_{i+1}$, …, $S_{i+1}$，分别与 n-1 个公钥 一 一 对应，这一步没有生成$S_i$，因为 $S_i$ 会在后面通过计算得到 。

第二步：

签名方随机生成 k , 并计算 k · g ， 这里我们先假设

k · g = $S_i$ · g + $C_i$ · $p{k}_i$（等式①）

这里 等式① 的用途暂时可能不太好理解，但可先不用管。但根据 等式① 我们可以确定的是，如果拥有 $p{k}_i$ 的私钥 $s{k}_i$，且如果已知 $C_i$ 和 k ，那就可以反向求出 $S_i$。

注意：这里的 $C_i$ 是根据上一个公钥 $p{k}_{i-1}$ 和消息 m 计算出的 hash 值

接下来引入第2个式子

$C_i$ = Hash(m, $S_{i-1}$ · g + $C_{i-1}$ · $p{k}_{i-1}$) （等式②）

等式② 是一个递推式，且 Hash 函数的第二个参数形式上跟 等式① 的右侧是一样的。这个递推式的意思是：已知第 $i-1$ 个公钥对应的 $S_{i-1}$ 和 hash 值 $C_{i-1}$，求下一个公钥对应的 hash 值 $C_i$。注意，当 $i$ = 0 时，$i$ 的上一个其实是 n-1，因为下标也要对 n 取模。

由于在 等式① 中我们定义了 k · g = $S_i$ · g + $C_i$ · $p{k}_i$ 所以$C_{i+1}$ 可直接由计算得到

$C_{i+1}$ = Hash(m , $S_i$ · g + $C_i$ · $p{k}_i$) = Hash( m , k · g)

此时求 $C_{i+1}$ 过程中我们暂时并不知道 $S_i$ 和 $C_i$，但后面计算得到 $C_i$ 后，可以由 k, $C_{i+1}$和 $C_i$ 求出 $S_i$。

第三步：

紧接着，依次计算$C_{i+2}$ , …… ,$C_{n-1}$, $C_0$,…,$C_{i-1}$ , $C_i$

$C_{i+2}$ = Hash(m, $S_{i+1}$ · g + $C_{i+1}$ · $p{k}_{i+1}$)

……

$C_{n-1}$ = Hash(m, $S_{n-2}$ · g + $C_{n-2}$ · $p{k}_{n-2}$)

$C_0$ = Hash(m,$S_{n-1}$ · g + $C_{n-1}$ · $p{k}_{n-1}$)

$C_1$ = Hash(m, $S_0$ · g + $C_0$ · $p{k}_0$)

……

$C_i$= Hash(m, $S_{i-1}$ · g + $C_{i-1}$ · $p{k}_{i-1}$)

以上为 计算 $C_{i+2}$, … , $C_{n-1}$, $C_0$, …, $C_{i-1}$, $C_i$ 过程

有了 $C_i$之后，回头观察等式① ，由于 $p{k}_i$ 的私钥是已知的，即

$p{k}_i$ = $s{k}_i$ · g

因此 等式① 可写成

k · g = $S_i$ · g + $C_i$ * $s{k}_i$ · g

两边约去 g，变为

k =$S_i$ + $C_i$ * $s{k}_i$

从而根据 k，$C_i$，$s{k}_i$ 可以求出 $S_i$ ,即

$S_i$= k - $C_i$ * $s{k}_i$

注意：私钥 $s{k}_i$ 在这里发挥了作用，如果没有 $s{k}_i$， $S_i$也无法求出。

第四步：

$S_i$ 一旦求出后，环签名的环就形成了。而且此时 k 值的使命也已完成，可以被抛弃掉了。

换句话说，正因为我们拥有私钥 $s{k}_i$, 所以可以构造出一个 $S_i$，配合随机生成的$S_0$, $S_1$, …, $S_{i-1}$, $S_{i+1}$, …, $S_{i+1}$,使得以下式子都成立：

$C_0$ = Hash(m, $S_{n-1}$ · g + $C_{n-1}$ · $p{k}_{n-1}$)

$C_1$ = Hash(m, $S_0$ · g + $C_0$ · $p{k}_0$)

…

$C_{n-1}$ = Hash(m, $S_{n-2}$ · g + $C_{n-2}$ · $p{k}_{n-2}$)

反之，如果这 n 个公钥中的任何一把私钥，签名者都没有，那么也就无法求出 $S_i$ 使得{$C_0$, $p{k}_0$, …. $p{k}_{n-1}$, $S_0$, …., $S_{n-1}$}形成一个环。

因此，如果上述 n 个等式成立，那么也有意味着，生成这 n 个等式的人至少拥有这 n 个公钥中一把私钥。

最后消息 m 的环签名数据为：

Signature = {$C_0$, $p{k}_0$, …. $p{k}_{n-1}$, $S_0$, …., $S_{n-1}$}

验证阶段

验证者根据 $C_0$, $p{k}_0$, …. $p{k}_{n-1}$, $S_0$, …., $S_{n-1}$，消息 m 和 等式② 依次求出 $C_1$, $C_2$,$C_3$ ，…., $C_{n-1}$最后根据 $C_{n-1}$ 求出 $C_0^{\prime }$，

并判断 $C_0^{\prime }$ 是否等于$C_0$

如果相等则签名有效，如果不等则签名无效。

本文整理来自：环签名原理与隐私保护