CL-签名

最新推荐文章于 2024-09-13 19:58:37 发布

karry_ming

最新推荐文章于 2024-09-13 19:58:37 发布

阅读量879

点赞数 21

文章标签：密码学

本文链接：https://blog.csdn.net/qq_44722300/article/details/135265840

版权

CL-签名

《Signature Schemes and Anonymous Credentials from Bilinear Maps》
https://link.springer.com/chapter/10.1007/978-3-540-28628-8_4

A Simple Signature Scheme

Key Generation

初始化产生 $(q,G,\mathrm{G},g,\mathrm{g},e)$ 。它后续选择 $\rightarrow Z_q, y \rightarrow Z_q$ ，设置 $pk=(q,G,\mathrm{G},g,\mathrm{g},e,X,Y)$ ，其中 $X=g^x, Y=g^y$ 。

Signature

输入消息 $m$ ，私钥 $(x, y)$ ，公钥 $pk=(q,G,\mathrm{G},g,\mathrm{g},e,X,Y)$ ，选择一个随机数 $a\in G$ ，输出签名 $\sigma$ ：
$\sigma=(a,a^y,a^{x+mxy})$

Verification

输入公钥 $pk=(q,G,\mathrm{G},g,\mathrm{g},e,X,Y)$ ，消息 $m$ ，签名 $\sigma=(a,b,c)$ ，验证：
$e(a,Y)\overset{?}{=}e(g,b); \quad e(X,a)\cdot e(X,b)^m \overset{?}{=}e(g,c)$

Signature on multiple messages

Key Generation

我们首先创建私钥 $s k$ ，公钥 $p k$ ，其中私钥 $sk=(x,y,z_i)$ ， $i$ 表示有多少个消息。公钥 $pk=(G,G_T,X,Y,Z_i,W_i)$ ，其中 $g$ 是 $G_1$ 的一个生成元。
$X=g^x,Y=g^y,Z_i=g^{z_i},W_i=Y^{z_i}$

Signature Generation

选择一个随机数 $\alpha$ ，用于隐藏某些值，后续我们将产生签名值 $(a, b, c, A, B)$ ，其中：
$a=g^\alpha,b=a^y,c=a^xCom^{\alpha xy},A_i=a^{z_i},B_i=A_i^y$
$Com=\prod_{i=1}^{s}Z_i^{m_i}$ ， $s$ 是签名消息 $m_i$ 的总数，为了让签名者能够对一个未知消息产生签名，可以将消息的承诺发送给签名者，签名者可以利用这个承诺生成签名。

Verfication

我们要验证签名 $(a, b, c, A, B)$ ，需要验证：
$e(a,Z_i)\overset{?}{=} e(g,A_i);\quad e(a,Y)\overset{?}{=}e(g,b);\quad e(A_i,Y)\overset{?}{=}e(g,B_i);\quad e(g,c)\overset{?}{=}e(X,a)\prod_{i=1}^{s}e(X,B_i^{m_i})$
其中 $e(g,c)\overset{?}{=}e(X,a)\prod_{i=1}^{s}e(X,B_i^{m_i})$ 的正确性如下：

$e(g,g^{\alpha x}\cdot(\prod_{i=1}^{s}g^{z_im_i})^{\alpha xy})=e(g^x,g^\alpha)\prod_{i=1}^{s}e(g^x,g^{\alpha z_i y m_i})\Rightarrow e(g,g)^{\alpha x+\alpha xy\sum_{i=1}^{s}z_im_i}=e(g,g)^{\alpha x}e(g,g)^{x\alpha y \sum_{i=1}^{s}z_im_i}$

LRSW Assumption

CL 签名的安全性依赖于 LRSW 假设。我们使得 $X,Y\in G, X=g^x, Y=g^y，O_{X,Y}(\cdot)$ 是一个 oracle，输入一个值 $m\in Z_q$ ，输出一个元组 $A=(a,a^y,a^{x+mxy})$ ， $a$ 是一个随机数。然后对于所有多项式时间的敌手 $\mathcal{A}$ ， $v (k)$ 是一个可以忽略的概率函数：
$Pr[(q,G,\mathrm{G},g,\mathrm{g},e)]\leftarrow Setup(1^k);x \leftarrow Z_q;y \leftarrow Z_q;X=g^x;Y=g^y;\\ (m,a,b,c)\leftarrow \mathcal{A}^{O_{X,Y}}(q,G,\mathrm{G},g,\mathrm{g},e,X,Y):m \notin Q \wedge m\in Z_q \\ \wedge m\ne 0 \wedge a\in G \wedge b=a^y \wedge c=a^{x+mxy}]=v(k)$
其中 $Q$ 是敌手 $\mathcal{A}$ 对 oracle $O_{X,Y}(\cdot)$ 所做的查询集合（确保 $\mathcal{A}$ 不能对同一个值 $m$ 重复查询 oracle）。