密码学——可链接环签名

二、算法细节

2.1 公私钥产生算法（$KeyGen$）：

• 每个用户都有自己的Schnorr签名方案的公私钥对$(y_i,x_i)$，系统中有两个哈希函数$H_1:(0,1{)}^{\ast }\to Z_q$，$H_2:(0,1{)}^{\ast }\to G$
• Schnorr签名算法介绍

2.2 签名生成算法（$Sign$）

• 不失一般性，我们将要被代表的群体的公钥集合设为$L=(y_1,\cdot \cdot \cdot ,y_l)$，并且签名者公钥为$y_j$，$j\in [1,l]$；待签名消息为$m$，签名者进行如下操作：

1. 在$Z_q^{\ast }$中选择一个随机数${\sigma }_j$
2. 计算$I=H_2(y_j{)}^{x_j}$
3. 计算${\alpha }_j=H_1(m||I||L||g^{{\sigma }_j}||H_2(y_j{)}^{{\sigma }_j})$
4. 令$i=j+1,j+2,\cdot \cdot \cdot ,j-1$，依次在$Z_q^{\ast }$中随机选择一个数$r_j$，并计算${\alpha }_i=H_1(m||I||L||g^{r_i}{y}_i^{{\alpha }_{i-1}}||H_2(y_i{)}^{r_i}{I}^{{\alpha }_{i-1}})$，这里当$i=1,l-1=l$
5. 计算$r_j={\sigma }_j-{\alpha }_{j-1}\cdot x_{j}modq$
6. 生成最后签名$\sigma =(I,{\alpha }_1,r_1,\cdot \cdot \cdot ,r_l,L)$

2.3 签名验证算法（Verify）：

• 收到签名$\sigma =(I,{\alpha }_1,r_1,\cdot \cdot \cdot ,r_l,L)$，验证者做如下操作：

1. 令$i=2,3,\cdot \cdot \cdot ,l$，依次计算${\alpha }_i=H_1(m||I||L||g^{r_i}{y}_i^{{\alpha }_{i-1}}||H_2(y_i{)}^{r_i}{I}^{{\alpha }_{i-1}})$
2. 验证等式：${\alpha }_1\equiv H_1(m||I||L||g^{r_1}{y}_1^{{\alpha }_l}||H_2(y_1{)}^{r_1}{I}^{{\alpha }_l})$；
3. 如果等式成立输出1，否则输出0。