BLS签名

转自：http://www.cnblogs.com/qsort/archive/2011/11/19/2255470.html

设e: G*G->G’，为一个非退化的双线性映射，G和G’为素数r阶的乘法群，G的生成元为g，H:{0,1}* ->G。

根据双线性映射的性质，e(g^x, g^y)=e(g,g)^(x*y)。要求在G上，CDH problem是困难的。

BLS签名的三个函数

KeyGen：选取[0, r-1]内的一个随机整数x，作为私钥sk；g^x作为公钥pk。由于CDH问题是困难的，我们相信DL问题也是困难的（虽然这一点还没有证明），从pk无法计算得到x。

Signing：消息m，H(m)->h，签名为sig=h^x

Verification：验证者已知G、g^x（即pk）、h、sig’。为了验证sig’=h^x，即签名是由拥有私钥x的人产生的，验证者计算e(g, h^x)与e(g^x,sig’)，并判断是否相等，相等则签名得到验证。

证明：若e(g^x,h)=e(g,sig’)，由于G是素数阶的，h也是生成元，设sig’=h^y，由于e(g^x,h)=e(g,h)^x，且e(g,sig’)=e(g,h^y)=e(g,h)^y，则有e(g,h)^x=e(g,h)^y。由于G’群也是素数r阶群，故有x=y，即sig’=h^x=sig，签名是由拥有私钥x的人产生的。

 

基本思想：利用双线性映射e的性质，在不泄露x的情况下来验证sig’==h^x