论文阅读---基于属性凭证的保密电子票据方案

Privacy-Preserving Electronic Ticket Scheme with Attribute-Based Credentials

Privacy-Preserving Electronic Ticket Scheme with Attribute-Based Credentials

Boneh-Boyen(BB) Signature

在 2004 年，Boneh-Boyen 提出了一个短签名方案。该方案常用于构造高效的成员证明（setmembership proof）和范围证明（range proof）。本文中，我们使用该签名方案为我们的 ticket policys 生成 tags。

KeyGen. $\mathcal{B}\mathcal{G}(1^l)\to (e,p,\mathbb{G},{\mathbb{G}}_{\tau })$，$g_1,g_2$ 是 $\mathbb{G}$ 的生成元。签名者生成私钥对 $(x,Y)$ 其 $x\leftarrow Z_p$ 和 $Y=g_2^x$。

Signing. 为了生成消息 $m$ 的签名，签名者计算签名 $\sigma =g_1^{\frac{1}{x+m}}$。

Verifying. 为了验证 $\sigma$ 是 $m$ 的有效签名，验证者检查 $e(\sigma ,Y{g}_2^m)=e(g_1,g_2)$

Signature with Efficient Proof Protocol

我们使用 BBS+ 签名方案向用户和 ticket sellers 发放凭证并为用户生成 tickets。BBS+ 签名方案如下：

KeyGen. $\mathcal{B}\mathcal{G}(1^l)\to (e,p,\mathbb{G},\mathbb{G},{\mathbb{G}}_{\tau })$ 和 $(h,g_0,g_1,...,g_{n+1})$ 是 $\mathbb{G}$ 的生成元。签名者生成公私钥对 $(x,Y)$ 其中 $x\leftarrow Z_p$ 和 $Y=h^x$。

Signing. 为了在 $(m_1,m_2,...,m_n)\in Z_p^n$，签名者选择 $w,s\leftarrow Z_p$ 并计算 $\sigma =(g_0{g}_1^s{g}_2^{m_1},...,g_{n+1}^{m_n}{)}^{\frac{1}{x+w}}$。$(m_1,m_2,...,m_n)$ 的签名为 $(w,s,\sigma )$。

Verifying. 为了验证 $(w,s,\sigma )$ 是一个在 $(m_1,m_2,...,m_n)$ 的有效签名，验证者检查 $e(\sigma ,Y{h}^w)\stackrel{?}{=}e(g_0{g}_1^s{g}_2^{m_1},...,g_{n+1}^{m_n},h)$。

Proof of the Signature. 为了证明 $(w,s,\sigma )$ 是在 $(m_1,m_2,...,m_n)$ 上的有效签名，证明者选择 $r_1,r_2\leftarrow Z_p$，并计算 $A_1=\sigma g_2^{r_1}$ 和 $A_2=g_1^{r_1}{g}_2^{r_2}$。令 $t_1=w{r}_1$ 和 $t_2=w{r}_2$。
$$PoK\left\{\begin{array}{c}(r_1,r_2,t_1,t_2,w,s,\sigma ,m_1,...,m_n):A_2=g_1^{r_1}{g}_2^{r_2}\wedge \\ A_2^w=g_1^{t_1}{g}_2^{t_2}\wedge \frac{e(A_1,Y)}{e(g_0,h)}=e(g_1,h{)}^s\cdot e(A_1,Y{)}^{-w}\cdot \\ e(g_2,h{)}^{r_{1}w}\cdot e(g_2,Y{)}^{r_1}\cdot {\prod }_{i=2}^{n+1}e(g_i,h{)}^{m-1}\}\end{array}\right\}$$

Formal Definitions

我们的方案由四种实体组成，认证中心 CA，用户 U，ticket seller S 和 ticket verifier V。

1. CA 认证 U 和 S，并且颁发匿名凭证给 U 和 S。
2. S 向 CA 注册，并从 CA 获取到匿名凭证，并根据 ticket policies 向 U 销售门票。
3. U 向 CA 注册，并从 CA 获取到匿名凭证，之后从 S 那里购买门票，并向 V 证明拥有门票。
4. V 验证门票是由 U 提供，并检测门票是否被双花。

Setup$(1^l)\to (MSK,params,\mathcal{P})$. CA 输入一个安全参数 $1^l$，并输出主私钥 $MSK$，公共参数 $params$ 和一个通用的 ticket polices 集合 $\mathbb{P}$。

Registration. 注册算法由两部分组成：SRegistration 和 URegistration。

1. SRegistration$(S(I{D}_S,S{K}_S,P{K}_S,params))\leftrightarrow CA(MSK,P{K}_s,params))\to ({\sigma }_s,(I{D}_S,P{K}_S))$。S 运行密钥生成算法 $\mathcal{K}\mathcal{G}(1^l)\to (S{K}_S,P{K}_S)$ 生成公私钥对 $(S{K}_S,P{K}_S)$，输入他的身份 $I{D}_S$，他的公私钥对 $(S{K}_S,P{K}_S)$ 和公共参数 $params$，并输出一个凭证 ${\sigma }_s$。CA 输入主私钥 $MSK$，S 的公钥 $P{K}_S$ 和公共参数并输出 $(I{D}_S,P{K}_S)$。
2. URegistration$(U(I{D}_U,A_U,S{K}_U,P{K}_U,params)\leftrightarrow CA(MSK,A_U,P{K}_U,params))\to ({\sigma }_U,(I{D}_U,P{K}_U))$。U 运行密钥生成算法 $\mathcal{K}\mathcal{G}\to (S{K}_U,P{K}_U)$ 生成公私钥对 $(S{K}_U,P{K}_U)$，输入他的身份 $I{D}_U$，他的属性 $A_U$，他的公私钥对 $(S{K}_U,P{K}_U)$ 和公共参数 $params$，输出一个凭证 ${\sigma }_U$。CA 输入主私钥 $MSK$，U 的属性 $A_U$，U 的公钥 $P{K}_U$ 和公共参数 $params$，输出 $(I{D}_U,P{K}_U)$。

Ticket-Issuing$(U(S{K}_U,P{K}_U,A_U,{\sigma }_U,P_{s_U}),\mathbb{P},VP,Serv,params)\leftrightarrow S(S{K}_S,P{K}_S,P_{S_U},\mathbb{P},Price,VP,Serv,params))\to (Ticke{t}_U,(P{s}_U,Service))$ 这是一个在 U 和 S 之间运行的交互式算法。U 输入他的公私钥对 $(S{K}_U,P{K}_U)$，他的属性 $A_U$，他的凭证 ${\sigma }_U$，一个假名 $P_{s_U}$，ticket policies $\mathbb{P}$，一个有效的时期 $VP$，选择的服务 $Serv$ 和公共参数 $params$，输出 $(P_{s_U},Serv)$。

Ticket-Validating $(U(SK,P_{s_U},Ticke{t}_U,VP,Serv,params)\leftrightarrow V(VP,Serv,params))\to (0/1,(Serv,Tran{s}_T))$。这是一个在 U 和 V 之间执行的交互式算法。U 输入他的公私钥对 $(S{K}_U,P{K}_U)$，他的 ticket $Ticke{t}_U$，有效的时期 $VP$，选择的服务 $Serv$ 和公共参数 $params$，如果 $Ticke{t}_U$ 是有效的，输出 $1$。验证失败，输出 $0$。V 输入有效的时期 $VP$，选择的服务 $Serv$ 和公共参数 $params$，输出 $(Serv,Tran{s}_T)$。

Double-Spend-Detecting$(Tran{s}_T,params)\to (P{K}_U,\perp )$。

Construction Of Our Scheme

在我们的 e-ticket 系统中，票据的类型可能受两种策略的影响：范围和集合。范围策略可能包括的属性有：年龄，旅行次数，薪水。集合策略：可能包含多种属性，职业，残疾，位置等。

Setup. 初始的票务价格策略 $\mathbb{P}$ 被设置为 P = { R 1 , . . . , R N 1 , S 1 , . . . , S N 2 } \mathbb{P}=\{\mathbb{R}_1,...,\mathbb{R}_{N_1},\mathbb{S}_1,...,\mathbb{S}_{N_2}\} P={R1​,...,RN1​​,S1​,...,SN2​​} 其中 { R 1 , . . . , R N 1 } \{\mathbb{R}_1,...,\mathbb{R}_{N_1}\} {R1​,...,RN1​​} 是被支持的范围策略和 { S 1 , . . . , S N 2 } \{\mathbb{S}_1,...,\mathbb{S}_{N_2}\} {S1​,...,SN2​​} 是被支持的集合策略。CA 选择私钥 $MSK=(x,y,{\mu }_1,...,{\mu }_{N_2})$ ，其中， $x$ 是为系统用户生成凭证，$y$ 是用来生成标识范围的 tags，${\mu }_i(i=1,...,N_2)$ 是标记集合策略的 tags。CA 发布公共参数 $params$ 包含票据策略 $\mathbb{P}$ 以及范围和集合策略 tags。

CA 公布票据价格策略 P = { R 1 , . . . , R N 1 , S 1 , . . . , S N } \mathbb{P}=\{\mathbb{R}_1,...,\mathbb{R}_{N_1},\mathbb{S}_1,...,\mathbb{S}_N\} P={R1​,...,RN1​​,S1​,...,SN​} 其中 ${\mathbb{R}}_l=[c_l,d_l]$ 是范围策略和 S i = { I i 1 , I i 2 , . . . , I i ς } \mathbb{S}_i=\{I_{i_1},I_{i_2},...,I_{i_\varsigma}\} Si​={Ii1​​,Ii2​​,...,Iiς​​} 是一个集合策略（位置，职业，残疾），$l=1,2,...,N_1$ 和 $i=1,2,...,N_2$。

CA 运行 $\mathcal{B}\mathcal{G}(1^l)\to (e,p,\mathbb{G},{\mathbb{G}}_{\tau })$。假设 { R 1 , . . . , R N 1 } \{\mathbb{R}_1,...,\mathbb{R}_{N_1}\} {R1​,...,RN1​​} 的最大区间长度为 $[0,q^k)$，其中 $q\in Z_p$ 并且 $p>2q^k+1$。 令 $g,g_0,g_1,g_2,g_3,{\hat{g}}_1,{\hat{g}}_2,...,{\hat{g}}_{N_1},h,\mathfrak{g},\eta ,\xi ,\rho ,\vartheta ,{\eta }_1,{\eta }_2,...,{\eta }_{N_2}$ 是 $\mathbb{G}$ 的生成元， H : { 0 , 1 } ∗ → Z p H:\{0,1\}^*\rightarrow Z_p H:{0,1}∗→Zp​ 和 H ′ : { 0 , 1 } ∗ → G H':\{0,1\}^*\rightarrow \mathbb{G} H′:{0,1}∗→G 是两个哈希函数。

CA 选择 $x,y,{\mu }_1,{\mu }_2,...,{\mu }_{N_2}\leftarrow Z_p$ 并计算 $\tilde{g}=g^x,\tilde{h}=h^y,h_0=h^{\frac{1}{y}},h_1=h^{\frac{1}{y+1}},...,h_{q-1}=h^{\frac{1}{y+q-1}},{\tilde{h}}_0=h^{q^0},{\tilde{h}}_1=h^q,...,{\tilde{h}}_{k-1}=h^{q^{k-1}},{\tilde{\eta }}_1={\eta }_1^{{\mu }_1},{\tilde{\eta }}_2={\eta }_2^{{\mu }_2},...,{\tilde{\eta }}_{N_2}={\eta }_{N_2}^{{\mu }_{N_2}}$ 和 $({\eta }_{i_1}={\eta }^{\frac{1}{{\mu }_i+H(I_{i_1})}},{\eta }_{i_2}={\eta }^{\frac{1}{{\mu }_i+H(I_{i_2})}},...,{\eta }_{i_{\varsigma }}={\eta }^{\frac{1}{{\mu }_i+H(I_{i_{\varsigma }})}}{)}_{i=1}^{N_2}$

CA 的私钥是 $MSK=(x,y,{\mu }_1,{\mu }_2,...,{\mu }_{N_2})$ 和公共参数是 $params=(e,p,\mathbb{G},{\mathbb{G}}_{\tau },g,g_0,g_1,g_2,{\hat{g}}_1,{\hat{g}}_2,...,{\hat{g}}_{N_1},h,\mathfrak{g},\eta ,\xi ,\rho ,\tilde{g},\tilde{h},h_0,h_1,...,h_{q-1},{\tilde{h}}_0,{\tilde{h}}_1,...,{\tilde{h}}_{k-1},{\eta }_1,{\eta }_2,...,{\eta }_{N_2},{\tilde{\eta }}_1,{\tilde{\eta }}_2,...,{\tilde{\eta }}_{N_2},({\eta }_{i_1},{\eta }_{i_2},...,{\eta }_{i_{\varsigma }}{)}_{i=1}^{N_2})$

SRegistration.

S 的注册要求其生成一个公私钥对 $(x_S,Y_S)$。S 发送 $Y_S$ 和 ${\prod }_S^1$ 的知识证明（表示知道私钥 $x_s$）给 CA，并向 CA 提供证据他有作为 seller 的资格。如果 ${\prod }_S^1$ 有效且认证通过，CA 生成一个凭证 ${\sigma }_S$，该凭证是一个 BBS+ 签名包含了公钥 $Y_S$ 以及有效时期 $V{P}_S$。然后这些内容也回送给 S，S 通过验证凭证 ${\sigma }_S$ 确认 CA 是否授权他作为 seller。

1. S 选择私钥 $x_s\leftarrow Z_p$ 并计算 $Y_S={\rho }^{x_S}$。计算证明 ∏ S 1 : P o K { x s : Y S = ρ x S } \prod_S^1:PoK\{x_s:Y_S=\rho^{x_S}\} ∏S1​:PoK{xs​:YS​=ρxS​}，发送 { I D S , Y S , ∏ S 1 } \{ID_S,Y_S,\prod_S^1\} {IDS​,YS​,∏S1​} 给 CA
2. CA 选择 $c_s,r_s\leftarrow Z_p$ 并计算 ${\sigma }_S=(g_0{g}_1^{H(V{P}_S)}{Y}_S{\mathfrak{g}}^{r_S}{)}^{\frac{1}{x+c_s}}$，其中 $V{P}_S$ 是一个有效的时期。将 $c_s,r_s,{\sigma }_S,V{P}_S$ 发送给 S
3. S 验证 $e({\sigma }_S,\tilde{g}{g}^{c_s})\stackrel{?}{=}e(g_0,g)\cdot e(g,g_1{)}^{H(V{P}_S)}\cdot e(Y_S,g)\cdot e(g,\mathfrak{g}{)}^{r_s}$，保存凭证 $Cre{d}_S=(c_s,r_s,{\sigma }_S)$

URegistration.

U 生成一个公私钥对 $(x_U,Y_U)$ 并提交他的公钥 $P_U$ 和知识证明 ${\prod }_U^1$ 说明他知道私钥 $x_U$。U 向 CA 发送属性列表 $A_U$（比如，年龄，职业，位置）。CA 认证 ${\prod }_U^1$，并为 U 生成凭证 ${\sigma }_U，{\sigma }_U$ 是一个 BBS+ 签名，包含了公钥 $Y_U$，他的有效时期 $V{P}_U$ 和相应的属性 $A_U$。CA 将这些信息回送给 U，U 验证他现在已经是系统的合法用户，并且其属性已经得到了 CA 的认证。

1. U 选择 $x_u\leftarrow Z_p$ 并计算 $Y_U={\xi }^{x_u}$。选择 $r\leftarrow Z_p$ 并计算 $R={\mathfrak{g}}^r$。计算证明 ${\prod }_U^1：PoK\{(x_u,r):Y_U={\xi }^{x_u}\wedge R={\mathfrak{g}}^r\}$，发送 { I D U , Y U , R , A U , ∏ U 1 } \{ID_U,Y_U,R,A_U,\prod_U^1\} {IDU​,YU​,R,AU​,∏U1​} 给 CA。
2. CA 选择 $c_u,r^{\prime }\leftarrow Z_p$ 并计算 ${\sigma }_U=(g_0{g}_1^{H(V{P}_U)}{Y}_{U}R{\mathfrak{g}}^{r^{\prime }}{\prod }_{l=1}^{N_1}{\hat{g}}_l^{a_l}{\prod }_{i=1}^{N_2}{\eta }_i^{H(I_{i_j})}{)}^{\frac{1}{x+c_u}}$，发送 { c u , r ′ , σ U , V P U } \{c_u,r',\sigma_U,VP_U\} {cu​,r′,σU​,VPU​} 给 U
3. U 计算 $r_u=r+r^{\prime }$ 验证 $e({\sigma }_U,\tilde{g}{g}^{C_u}=e(g_0,g)\cdot e(g,g_1{)}^{H(V{P}_U)}\cdot e(Y_U,g)\cdot e(\mathfrak{g},g{)}^{r_u}\cdot {\prod }_{l=1}^{N_1}e({\hat{g}}_l,g{)}^{a_l}\cdot {\prod }_{i=1}^{N_2}e({\eta }_i,g{)}^{H(I_{i_j})})$，保存凭证 $Cre{d}_U=(c_U,r_U,{\sigma }_U)$。

$r_u=r+r^{\prime }$ 是 U 和 CA 共同产生的

TicketIssuing.

设 $P_U$ 是由 U 满足的范围策略和集合策略组成。为了防止攻击者收集到用户的隐私信息，S 首先需要向 U 证明他的确是受 CA 授权的。这是通过构造 S 的凭证 ${\sigma }_S$ 的知识证明 ${\prod }_S^2$ 来实现。如果证明成立，用户继续生成一个新的假名 $Y$，其中涉及到她的秘钥 $x_u$，并构建一个关于 $Y$ 的零知识证明 ${\prod }_U^2$。该证明向 S 显示 CA 已经认证她是一个合法用户且她拥有她声称的属性可以购买其属性对应的票。当 S 成功验证了 U 的证明后，S 应用 BBS+ 签名构建票据 $T_U$，其中包含用户的假名 $Y$，适用范围，集合策略，一个序列号（用于检测双花攻击）以及票据的价格和有效期 $V{P}_T$。

需要注意的是，虽然票据价格及其有效期包含在 $T_U$ 的构造中，但他们仅是自由文本（free text），仅当应用上下文需要价格和有效期的时候才应使用，例如，当有效期很重要时，S 应检查用户的凭证有效期 $V{P}_U$，并确保凭据的有效期 $V{P}_T$ 不低于 $V{P}_U$。S 将 $T_U$ 以及相关详细信息发送给 U，U 可以使用该信息和 S 的公钥 $Y_S$ 来验证信息的有效性。请注意，由于使用了用户假名，我们的方案提供了票据的不可链接性，这阻止了卖家 S 和任何验证者 V 链接到同一用户请求的任何两张票据，即使他们可以串联。

1. S 选择 $z,v\leftarrow Z_p$ 并计算 $Q={\sigma }_S{\vartheta }^z,Z=g^z{\vartheta }^v,Z^{c_s}=g^{z^{\prime }}{\vartheta }^{v^{\prime }}(z^{\prime }=z{c}_s,v^{\prime }=v{c}_s)$。计算证明 ${\prod }_S^2$
   $$PoK\left\{\begin{array}{c}(c_s,r_s,{\sigma }_S,z,v):Z=g^z{\vartheta }^v\wedge Z^{c_s}=g^{z^{\prime }}{\vartheta }^{v^{\prime }}\wedge \frac{e(Q,\tilde{g})}{e(g_0,g)\cdot e(g_1,g{)}^{H(V{P}_S)}}\\ =e(\rho ,g{)}^{x_s}\cdot e(\mathfrak{g},g{)}^{r_s}\cdot e(Q,g{)}^{-c_s}\cdot e(\vartheta ,g{)}^{c_{s}z}\cdot e(\vartheta ,\tilde{g}{)}^z\}\end{array}\right\}$$
2. U 设 $P_U$ 是由 U 满足的范围策略和集合策略组成。$a_l\in A_U,a_l\in [c_l,d_l],a_l-c_l,a_l-d_l+q^k\in [0,q^k),a_l-c_l={\sum }_{i=1}^{k-1}{w}_{l_i}{q}^i,a_l-d_l+q^k={\sum }_{i=0}^{k-1}{w}_{l_i}^{\prime }{q}^i$，其中 $w_{l_i},w_{l_i}^{\prime }\in [0,1,...,q-1]$。选择 $d,\alpha ,\beta ,{\gamma }_1,{\gamma }_2,...,{\gamma }_{N_1},t_{l_0},t_{l_1},...,t_{l_0},t_{l_1},...,t_{l_{k-1}},t_{l_0}^{\prime },t_{l_1}^{\prime },...,t_{l_{k-1}}^{\prime },e_1,e_2,...,e_{N_2}\leftarrow Z_p$。计算 $C={\sigma }_U{\vartheta }^{\alpha },D=g^{\alpha }{\vartheta }^{\beta },D^{c_u}=g^{{\alpha }^{\prime }}{\vartheta }^{{\beta }^{\prime }},Y={\xi }^{x_u}{g}_1^d,(Z_l=g^{{\gamma }_l}{h}^{a_l},(A_{w_{l_i}}=h_{w_{l_i}}^{t_{l_i}},A_{w_{l_i}}^{\prime }=h_{w_{l_i}}^{t_{l_i}^{\prime }}{)}_{i=0}^{N_1},(B_{i,j}=n_{i_j}^{e_i}{)}_{i=1}^{N_2}$，其中 ${\alpha }^{\prime }=\alpha c_u,{\beta }^{\prime }=\beta c_u$。计算证明 ${\prod }_U^2$，发送 $({\prod }_U^2,Y,V{P}_U,{\mathbb{P}}_U)$ 给 S：
   $$PoK\left\{\begin{array}{c}(x_u,c_u,r_u,d,\alpha ,\beta ,{\alpha }^{\prime },{\beta }^{\prime },(a_l,(t_{l_i}^{\prime },w_{l_i},w_{l_i}^{\prime }{)}_{i=0}^{k-1}{)}_{l=0}^{N_1},(e_i,H(I_{i_j}{)}_{i=1}^{N_2})):\\ Y={\xi }^{x_u}{g}_1^d\wedge Z_l=g^{{\gamma }_l}{h}^{a_l}\wedge D=g^{\alpha }{\vartheta }^{\beta }\wedge D^{c_u}=g^{{\alpha }^{\prime }}{\vartheta }^{{\beta }^{\prime }}\\ \wedge \frac{e(C,\tilde{g})}{e(g_0,g)\cdot e(g_1,g{)}^{H(V{P}_U)}}=e(\xi ,g{)}^{x_u}\cdot e(\mathfrak{g},g{)}^{r_u}\cdot \\ {\prod }_{l=1}^{N_1}e({\hat{g}}_l,g{)}^{a_l}\cdot {\prod }_{i=1}^{N_2}e({\eta }_i,g{)}^{H(I_{i,j})}\cdot \\ e(C,g{)}^{-c_u}\cdot e(\vartheta ,g{)}^{{\alpha }^{\prime }}\cdot e(\vartheta ,\tilde{g}{)}^{\alpha }\\ \wedge (Z_l{h}^{-c_l}=g^{{\gamma }_l}{\prod }_{i=0}^{k-1}{\tilde{h}}_i^{w_{l_i}^{\prime }})\\ \wedge (e(A_{w_i}^{\prime },\tilde{h})=e(h,h{)}^{t_{l_i}^{\prime }}\cdot e(A_{w_{l_i}^{\prime }},h{)}^{-w_{l_i}^{\prime }}{)}_{i=0}^{k-1}{)}_{l=1}^{N_1}\\ \wedge (e(B_{i,j},{\tilde{\eta }}_i)=e(\eta ,{\eta }_i{)}^{e_i}\cdot e(B_{i_j},{\eta }_i{)}^{H(I_{i_j})}{)}_{i=1}^{N_2}\end{array}\right\}$$

$C,D,D^{c_u}$ 为 $cre{d}_U=({\sigma }_U,c_u,r_u)$ 承诺，$Y={\xi }^{x_u}{g}_1^d$ 为 U 的公钥 $Y_u$ 承诺，$Z_l$ 为属性范围值 $a_l$ 承诺，$A_{w_{l_i}}$ 为 $a_l-c_u$ 承诺，$A_{w_{l_i}}^{\prime }$ 为 $a_l-d_l+q^k$ 承诺，$(B_{i,j}=n_{i_j}^{e_i}{)}_{i=1}^{N_2}$ 为系统参数的集合属性承诺，$({\eta }_{i_1}={\eta }^{\frac{1}{{\mu }_i+H(I_{i_1})}},{\eta }_{i_2}={\eta }^{\frac{1}{{\mu }_i+H(I_{i_2})}},...,{\eta }_{i_{\varsigma }}={\eta }^{\frac{1}{{\mu }_i+H(I_{i_{\varsigma }})}}{)}_{i=1}^{N_2}$
$Z_l{h}^{-(d_l-q^k)}=g^{{\gamma }_l}{\prod }_{i=0}^{k-1}{\tilde{h}}_i^{w_{l_i}^{\prime }}\Rightarrow g^{{\gamma }_l}{h}^{a_l}{h}^{-c_l}=g^{{\gamma }_l}(h^q,...,h^{q^{k-1}}{)}^{w_{l_i}}\Rightarrow a_l-c_l=w_{l_0}{q}^0+w_{l_1}{q}^1+...+w_{l_{k-1}}{q}^{k-1}$

3. S 选择 $d^{\prime },s_u,{\omega }_u\leftarrow {\mathbb{Z}}_p$ 并计算 $T_U=(g_{0}Y{g}_1^{d^{\prime }}{g}_2^{s_u}{g}_3^{{\psi }_u}{)}^{\frac{1}{x_S+{\omega }_u}}$，其中 $s_u$ 是一个序列号，${\psi }_u=H({\mathbb{P}}_U||Price||Serv||V{P}_T)$，$Price$ 是票据的价格，$Serv$ 是 U 想要访问的服务，$V{P}_T$ 是有效期。发送 $(T_U,d^{\prime },s_u,{\omega }_u,{\psi }_u,Serv,Price,V{P}_T)$ 给 U。
4. 计算 $d_u=d+d^{\prime }$ 并检查 $e(T_U,Y_s{\rho }^{{\omega }_u})\stackrel{?}{=}e(g_0,\rho )\cdot e(Y_U,\rho )\cdot e(g_1,\rho {)}^{d_u}\cdot e(g_2,\rho {)}^{s_u}\cdot e(g_3,\rho {)}^{{\psi }_u}$。保存假名 $P{s}_U={\xi }^{x_u}{g}_1^{d_u}$ 和票据 $Ticke{t}_U=(d_u,s_u,{\psi }_u,{\omega }_u,T_u,{\mathbb{P}}_U,Price,Serv,V{P}_T)$。

TicketValidation.

U 初始化一个空表用于存储验证者 V 的身份信息，改表的目的是确保一个验证者只能请求一个票据一次，防止诚实的用户被恶意的验证者去匿名化。另一方面，V 初始化一个空表来存储来自 U 的身份认证记录，以确保票据是否被使用过（双重消费检测）。票据验证过程为：V 发送一个随机数 $r$ 和他的身份 $I{D}_V$ 给 U。假设有一些带外通道允许 U 对 V 进行验证，比如是火车的警卫。U 首先检查 V 没有在 $Tabl{e}_U$ 的条目中。否则，他继续向 V 发送他的票据 $Ticke{t}_U$ 的票据记录 $Tran{s}_T$，其中包含零知识证明 ${\prod }_U^3$。票据记录使得 V 相信她是一个合法的用户，她拥有一张有效的票据 $Ticke{t}_U$。由于 $Ticke{t}_U$ 包含了用户的私钥 $x_u$ 作为其假名的一部分，因此需要将其知识作为 ${\prod }_U^3$ 的一部分显示。假设 U 的私钥没有被泄露，我们的方案能够确保票据的不可转让性。此外，$Tran{s}_T$ 包含 V 的随机数 $r$ 来防止简单的重放攻击。U 通过更新 $Tabl{e}_U$ V 的身份和 $r$ 来完成验证过程。如果 V 可以成功验证 U 的票据记录，V 授权她访问服务的权限，并使用 $Tran{s}_T$ 更新 $Tabl{e}_V$。

1. V 初始化一个空表 $Tabl{e}_V$，选择随机数 $r\leftarrow Z_p$，发送 $(I{D}_V,r)$ 给 U。
2. U 初始化一个空表：$Tabl{e}_U$。检查如果 $H(I{D}_V)\in Tabl{e}_U$，终止；反之 $H(I{D}_V)\notin Tabl{e}_U$，进行下一步。选择 $\pi ,\lambda \leftarrow Z_p$ 并计算 $D=g^{s_u},E={\xi }^{x_u}{H}^{\prime }(I{D}_V{)}^{r{s}_u},F=T_U{\vartheta }^{\pi },J=g^{\pi }{\vartheta }^{\lambda }$ 和 $W=J^{{\omega }_u}=g^{{\pi }^{\prime }}{\vartheta }^{{\lambda }^{\prime }}$ 其中 ${\pi }^{\prime }=\pi {\omega }_u$ 和 ${\lambda }^{\prime }=\lambda {\omega }_u$。计算证明 ${\prod }_U^3$：
   $$PoK\left\{\begin{array}{c}(x_u,d_u,s_u,{\omega }_u,\pi ,\lambda ,{\pi }^{\prime },{\lambda }^{\prime }):D=g^{s_u}\wedge P_{s_U}={\xi }^{x_u}{g}_1^{d_u}\wedge E={\xi }^{x_u}{H}^{\prime }(I{D}_V{)}^{r{s}_u}\wedge \\ J=g^{\pi }{\vartheta }^{\lambda }\wedge W=J^{{\omega }_u}=g^{{\pi }^{\prime }}{\vartheta }^{{\lambda }^{\prime }}\wedge \frac{e(F,Y_s)}{e(g_0,\rho )\cdot e(P_{S_U},\rho )\cdot e(g_3,\rho {)}^{{\psi }_u}}=e(g_2,\rho {)}^{s_u}\cdot e(F,\rho {)}^{-{\omega }_u}\cdot e(\vartheta ,rho{)}^{{\pi }^{\prime }}\cdot e(\vartheta ,\rho {)}^{\pi }\end{array}\right\}$$
3. 证明的 transcript 是：$Tran{s}_T=((D,E),F,J,W,{\psi }_u,P_{S_U},{\mathbb{P}}_U,Price,Serv,V{P}_T,{\prod }_U^3)$，更新： T a b l e U = T a b l e U ∪ { H ( I D V ) , r } Table_U=Table_U\cup \{H(ID_V),r\} TableU​=TableU​∪{H(IDV​),r}，发送 $(Tran{s}_T,P_{s_U},V{P}_T)$ 给 S。
4. 检查 ${\psi }_u\stackrel{?}{=}H({\mathbb{P}}_U||Price||Serv||V{P}_T)$ 和证明 ${\prod }_U^3$。更新：$Tabl{e}_V=Tabl{e}_V\cup \{((r,D,E),F,J,{\psi }_u)\}$