标准模型下格上基于身份的前向安全签名方案

标准模型下基于身份的环签名方案赵艳琦;来齐齐;禹勇;杨波;赵一【期刊名称】《电子学报》【年(卷),期】2018(046)004【摘要】In this paper,we propose an identity-based ring signature scheme based on Waters dual system encryption technology and the orthogonality property of composite order bilinear group operation.The scheme,relying on two simple static assumptions,is fully secure in the standard model.Due to the merit of Hierarchical identity-based encryption (HIBE),the proposed ring signature scheme achieves unconditional anonymity and has much higher computational efficiency.%本文利用Waters提出的对偶系统加密技术,结合合数阶群上双线性运算的正交性,提出了一个基于身份的环签名方案.该方案在标准模型下是完全安全的,其安全性依赖于两个简单的静态假设.该方案借助分级身份加密(Hierarchical Identity-Based Encryption,HIBE)的思想,使得环签名满足无条件匿名性且具有较高的计算效率.【总页数】6页(P1019-1024)【作者】赵艳琦;来齐齐;禹勇;杨波;赵一【作者单位】陕西师范大学计算机科学学院,陕西西安710062;中国科学院信息工程研究所信息安全国家重点实验室,北京100093;陕西师范大学计算机科学学院,陕西西安710062;陕西师范大学计算机科学学院,陕西西安710062;陕西师范大学计算机科学学院,陕西西安710062;中国科学院信息工程研究所信息安全国家重点实验室,北京100093;陕西师范大学计算机科学学院,陕西西安710062【正文语种】中文【中图分类】TP309【相关文献】1.新的标准模型下基于身份的环签名方案 [J], 刘振华;胡予濮;牟宁波;马华2.标准模型下基于身份的环签名方案 [J], 张跃宇;李晖;王育民3.标准模型下固定长度的基于身份环签名方案 [J], 葛爱军;马传贵;张振峰;陈少真4.一种标准模型下基于身份的有效门限环签名方案 [J], 孙华;郭磊;郑雪峰;王爱民5.改进的标准模型下的基于身份的环签名方案 [J], 程文华;王彩芬;韩亚宁;张玉磊因版权原因，仅展示原文概要，查看原文内容请购买。

标准模型下基于身份的签名方案夏飞;朱艳琴;罗喜召【期刊名称】《计算机应用与软件》【年(卷),期】2012(29)3【摘要】在标准模型下构建安全高效基于身份的签名方案是目前密码学领域的热点研究问题之一.提出并实现一个标准模型下基于身份的签名方案,其安全性依赖于截断的确定性q-ABDHE假设,并被证明是选择ID-CMA安全的,且具有紧规约,同时该方案的公共参数及签名长度皆为常数级.通过与典型方案对比可知,该方案在参数及签名长度、签名用时以及模型复杂度和易实现性等方面具有一定的优势.而实验结果则表明,该方案在对不同类型文件进行签名操作时有着良好的性能表现,签名所用时间与签名文件大小呈线性变化关系.%It is one of the hottest topics in today' s cryptography to construct a secure and efficient identity-based signature (IBS) scheme in standard model. In this paper, we present and implement a new IBS scheme in standard model, which security property depends on the truncated decisional q-ABDHE assumption and is proved to be choosing ID-CMA secured with tight reduction. Furthermore, the lengths of public parameters and signature of the scheme are all in constant size. Comparing other classic IBS schemes with ours in terms of performance and secure model, the scheme presented in the paper has certain predominance in those areas including the lengths of public parameters and signature, the time of signing, the complexity of model and the easiness in realisation. And the experimental results indicate thatthis scheme performs well in operation of signature on files of different types, and its time cost in signature is in linear relationship to the size of the file.【总页数】4页(P55-57,127)【作者】夏飞;朱艳琴;罗喜召【作者单位】苏州大学计算机科学与技术学院,江苏苏州215006;江苏省计算机信息处理技术重点实验室,江苏苏州215006【正文语种】中文【中图分类】TP309【相关文献】1.标准模型下抗持续泄漏的基于身份加密方案 [J], 谢鸣2.标准模型下可公开验证的匿名IBE方案的安全性分析 [J], 杨启良;周彦伟;杨坤伟;王涛3.标准模型下基于格的身份代理部分盲签名方案 [J], 周艺华;董松寿;杨宇光4.标准模型下的灵活细粒度授权密文一致性检测方案 [J], 邓翔天;钱海峰5.标准模型下证明安全的可追踪属性基净化签名方案 [J], 李继国;朱留富;刘成东;陆阳;韩金广;王化群;张亦辰因版权原因，仅展示原文概要，查看原文内容请购买。

doi：10.3969/j.issn.1671-1122.2021.03.005标准模型下基于格的身份代理部分盲签名方案周艺华，董松寿，杨宇光（北京工业大学信息学部，北京 100124）摘 要：基于格的身份代理盲签名被广泛用于电子商务、电子政务以及软件安全等领域。

针对基于格的代理盲签名中存在的主密钥泄露、恶意用户攻击、签名伪造等问题，文章提出一种标准模型下基于格的身份代理部分盲签名方案。

该方案采用矩阵级联技术构造签名公钥，解决了已有方案中的主密钥泄露问题；采用部分盲签名技术解决了全盲签名方案中恶意用户攻击问题。

安全性分析表明，该方案不仅可以实现代理签名和盲签名的功能，还具有抵抗主密钥泄露攻击、抵抗恶意用户攻击以及自适应选择消息攻击条件下存在不可伪造性（EUF-CMA）等安全特性。

关键词：盲签名；代理签名；格；漏洞；抗量子中图分类号：TP309 文献标志码： A 文章编号：1671-1122（2021）03-0037-07中文引用格式：周艺华，董松寿，杨宇光.标准模型下基于格的身份代理部分盲签名方案[J].信息网络安全，2021，21（3）：37-43.英文引用格式：ZHOU Yihua, DONG Songshou, YANG Yuguang. A Lattice-based Identity-based Proxy Partially Blind Signature Scheme in the Standard Model[J]. Netinfo Security, 2021, 21(3): 37-43.A Lattice-based Identity-based Proxy Partially Blind SignatureScheme in the Standard ModelZHOU Yihua, DONG Songshou, YANG Yuguang(Faculty of Information Technology, Beijing University of Technology, Beijing 100124, China)Abstract: A lattice-based identity-based proxy partially blind signature scheme is widely used in E-business, E-government, software security, and many applications. Considering theproblems of master key leakage, malicious user attack and signature forgery in lattice-basedproxy blind signature, a lattice-based identity-based proxy partially blind signature schemeunder the standard model is proposed, which constructs the public key of signature by usingmatrix cascade technology rather than matrix multiplication technology. It solves the problemof master key leakage in the existing schemes, and uses partial blind signature technology tosolve the problem of malicious user attack in the fully-blind signature scheme. The analysisof security shows that the scheme not only realizes the functions of proxy signature and blindsignature, but also contains some security features such as preventing the disclosure of themaster private key, resisting the attacks from malicious user and existential unforgeabilityunder adaptive chosen message attacks(EUF-CMA).Key words: blind signature; proxy signature; lattice; vulnerability; anti-quantum基金项目：国家自然科学基金[62071015]作者简介：周艺华（1969—），男，北京，副教授，博士，主要研究方向为网络与信息安全、多媒体信息检索与内容安全、密码学；董松寿（1996—），男，河南，硕士研究生，主要研究方向为抗量子密码；杨宇光（1976—），女，北京，教授，博士，主要研究方向为信息安全。

格上基于身份的前向安全环签名方案目前前向安全环签名方案都是基于大整数分解和离散对数问题，在量子环境下都不安全，为减少环签名体制中私钥泄漏带来的危害和应对量子计算的威胁，构造了一个格上基于身份的前向安全环签名方案。

标签：前向安全；环签名；格引言Rivest等[1]人在2001年提出了环签名的概念，在环签名方案中，用户的密钥泄露是基于身份的签名体制所面临的最致命的威胁，如何遏制基于身份签名方案密钥泄露的危害，对构建实用的公钥密码系统十分重要。

针对此问题，文献[2]将前向安全概念引入到公钥密码系统中。

Bellare等[3]人给出了前向安全签名安全模型的形式化定义，后来，王庆滨等[4]人提出了格上前向安全环签名方案。

以上研究是基于传统数论困难问题，在量子环境下不再安全，因此，文章提出了格上基于身份的前向安全环签名方案。

参考文献[1]Rive R L，Shamir A. Tauman Y. How to leak a secret [C] //Asicrypt 2002，2001：552-565.[2]Anderson R. Tow remark on public key cryptology [C] //CCS 1997，1997：462-487.[3]Bellare M，Miner S. A forward-secure digital signature scheme [C] //Crypto，1999：431-448.[4]Wangle qing-bin，Chen Shao-zhen，Ren Jiong-jiong.Forward-Secure ring signature scheme from lattices[J] //Journal of Information Engineering University，2016，17（1）：93-96.[5]李明祥，劉阳，赵秀明.高效格上的基于身份的签名方案[J].2014，3（3）：825-828.[6]王小云，刘明洁.格密码学研究[J].密码学报，2014，1（1）：13-27.[7]Gentry C，Peikert C，Vaikuntanathan V.Trapdoors for hard lattices and new cryptographic consteuctions. In：STOC，2008：197-206.傅泽源（1992-），男，山东科技大学数学与系统科学学院，硕士研究生，主要研究领域为信息安全理论与应用。

密码学报 ISSN 2095-7025 C N 10-1195/TNJournal of Cryptologic Research , 2021, 8(1): 132-141©《密码学报》编辑部版权所有.h t t p ://w w w .j c r .c a c r n e t .o r g .c n T e l /Fax : +86-10-82789618E -m a i l : j c r @c a c r n e t .o r g .c n 紧致安全的基于身份的签名方案1.上海交通大学计算机科学与工程系，上海2002402.密码科学技术国家重点实验室，北京1008783. 成都卫士通信息产业股份有限公司摩石实验室，北京100070通信作者：刘胜利，E -m a i l : sl l i u @s j t u .e d u .c n 摘要：本文提出了第一个紧致安全的基于身份的签名（IBS )方案.我们的构造基于B e l l a r e 等人提出 的基于证书思想的通用转化方法，包括两个组件，即选择消息攻击下不可伪造安全（EUF -C M A 安全）的 签名方案S .和多用户场景中选择消息攻击&动态密钥窃取攻击下不可伪造安全（M U -EUF -C M A e °"安 全）的签名方案§.组件S 的公私钥用作IBS 的主公钥和主私钥，用户id 的签名私钥包含了组件§所产 生的一对公私钥，以及主私钥对id 和§的公钥的签名证书.用户对消息的签名包含了组件§的公钥和证 书，以及$的私钥对此消息的签名.IBS 的安全性可以紧致归约到组件S 的EUF -C M A 安全性和组件§ 的M U -EUF -C M A e Q n ■安全性.最后，我们给出了组件S 和§的实例化，并分别在随机预言机糢型和标准 糢型下得到了紧致（与几乎紧致）EUF -C M A &C I A 安全的IBS 方案.关键词：基于身份的签名方案；紧致安全；通用构造中图分类号：TP 309.7 文献标识码：A DOI : 10.13868/j .c n k i .j c r .000426中文引用格式：刘翔宇，刘胜利，谷大武.紧致安全的基于身份的签名方案I J j .密码学报，2021, 8(1): 132-141.[DO 1: 10.13868/j .c n k i .j c r .000426]英文引用格式：LIU X Y , LIU S L，GU D W . T i g h t l y s e c u r e i d e n t i t y -b a s e d s i g n a t u r e s c h e m e [J ]. J o u r n a l o f C r y p t o l o g i c R e s e a r c h , 2021, 8(1): 132 141. [DOI : 10.13868/j .c n k i .j c r .000426]T ig h tly S e c u re Id e n tity -B a s e d S ig n a tu re S ch em eLIU Xian g -Yu 12, LIU Sheng -L i 12,3, GU Da -W u 11. Department of Compu t e r Science and Engineering, Shanghai Jiao To n g University, Shanghai 200240, China2. State K e y Laboratory of Cryptology, Beijing 100878, China3. Westone Cryptologic Research Center, Beijing 100070, ChinaCorresponding author: L I U Sheng-Li,E-mail:**************.cnA b s t r a c t : T h i s p a p e r p r o p o s e s a t i g h t l y s e c u r e i d e n t i t y -b a s e d s i g n a t u r e (IBS ) scheme . The c o n ­s t r u c t i o n f o l l o w s t h e c e r t i f i c a t i o n paradigm , d u e t oB e l l a r e et al .^ w h i c h c o n s i s t s o f t w o b u i l d i n g b l o c k s , i .e ., an u n f o r g e a b l e s i g n a t u r e sc he me S s e c u r e a g a i n s t c h o s e n m e s s a g e a t t a c k s (EUF-CMA s e c u r i t y ), and an u n f o r g e a b l e s i g n a t u r e scheme S s e c u r e a g a i n s t c h o s e n m e s s a g e Sz a d a p t i v e c o r r u p t i o n a t t a c k s i n t h e m u l t i -u s e r s e t t i n g (M U -EUF -C M A c o r r s e c u r i t y ). The p u b l i c /p r i v a t e k e y s o f s i g n a t u r e s c he me ** 基金项目：国家自然科学基金（61925207, U1636217);广东省基础与应用基础研究重大项目（2019B030302008)Foundation: National Natural Science Foundation of China (61925207, U1636217); Guangdong Major Project of Basic and Applied Basic Research (2019B030302008)收稿日期：2020-03-31 定稿日期：2020~11-27刘翔宇等：紧致安全的基于身份的签名方案133S s e r v e a s t h e main p u b l i c/p r i v a t e k e y s o f t h€'IBS.F o r e a c h u s e r id,i t s s i g n i n g s e c r e t k e y c o n s i s t s o f a k e y p a i r o f s i g n a t u r e sc heme S,and a s i g n a t u r e o f id and t h e p u b l i c k e y o f S,w h i c h i s s e r v e d a s t h e c e r t i f i c a t e.The f i n a l s i g n a t u r e c o n t a i n s t h e p u b l i c k e y o f S,t h e c e r t i f i c a t e,and a s i g n a t u r e o f t h e m e s s a g e u n d e r S.S e c u r i t y o f I B S c a n b e t i g h t l y r e d u c e d t o t h e EUF-CMA s e c u r i t y o f S and t h e M U-EUF-C M A c o r r s e c u r i t y o f S.At l a s t,we p r e s e n t i n s t a n t i a t i o n s o f S and S,and o b t a i n t i g h t l y(a n d a l m o s t t i g h t l y)EUF-C MA&C IA s e c u r e IBS s c h e m e s i n t h e random o r a c l e and t h e s t a n d a r d models, r e s p e c t i v e l y.Key words:i d e n t i t y-b a s e d s i g n a t u r e;t i g h t s e c u r i t y;g e n e r i c c o n s t r u c t i o ni引言在可证明安全中，密码学方案总是基于某些困难问题，且其安全性是通过安全归约证明来实现的.安 全归约的思路如下：如果存在某个运行时间为t的敌手^能以优势e攻击某个密码方案S，我们通过 调用算法构造出另一个运行时间f的算法使得算法S以e'的优势解决某个困难问题参数L := 定义为安全归约中的损失因子.在安全归约中，一般要求L是一个关于安全参数A的多项式.因为问题P的困难性假设认为不存在算法可以在多项式时间内解决问题P，所以密码方案S不存 在多项式时间的敌手_4,故而证明了 S的安全性.当f = 0(f)时，归约损失因子可等价定义为L := e/e'.如果L是一个常数，那么此安全归约是紧致的.如果L=O(A) (A为安全参数)，归约是几乎紧致的.在很 多签名方案（S i g n a t u r e，简称SIG)中，松散安全归约的损失因子L与敌手得到的签名数Q及其涉及的 用户数p紧密相关.假设L»24Q，这就造成了一个很大的安全损失.为了弥补这个损失，在密码方案的实 施过程中，我们需要选择更大的安全参数，导致元素尺寸的增大和计算次数的增加，从而降低算法的效率. 因此，近些年来的许多密码方案都在追求紧致安全性基于身份的签名（i d e n t i t y-b a s e d s i g n a t u r e,IBS).方案最早由Shamir11£)】提出•I BS的实施通常建 立在一个群组中，群组管理员产生主公钥m v k和主私钥msk，并借助m s k为每个用户产生一个与其身 份id关联的私钥s k i d.用户可以用s k i d产生对消息m的签名（T，任何验证者可以结合主公钥m v k和相 应的i d,对（m，a)进行验证.通常一个签名方案的基本安全要求是“选择消息攻击下的不可伪造性”（简称EUF-C M A安全).该安全性是指，即使某一敌手得到了多个消息签名对，他也很难伪造出一个新消息 的合法签名.在基于身份的签名方案中，敌手还可能冒充某个身份，从群组管理员中获得其身份私钥.因 此，IBS安全性要求是：对于用户i d%只要敌手不知道其私钥s k i d*，那么即使敌手得到多个由s k i d*产生 的消息签名对，他也很难伪造一个针对i d*的新消息的签名，这就是EUF-C M A&C I A安全（正式定义见 第2节).紧致安全的签名方案分为单用户和多用户场景（基于身份的签名方案默认为多用户场景).单用户场 景下的紧致安全要求其安全损失因子与敌手得到的签名数Q无关（紧致EUF-C M A安全)；多用户场景下 的紧致安全不仅要求损失因子与Q无关，还要求与用户数无关（紧致M U-EUF-C M A安全).目前己有许 多紧致安全的签名方案的研宄.在单用户场景的紧致安全方面，Cramer和Damg&d W基于R S A假设 给出了第一个紧致EUF-C M A安全的签名方案.随后出现了许多基于树结构的紧致安全的签名方案，如 文献[2-7j，另外，紧致安全的签名方案可由紧致安全的基于身份的加密方案导出，如文献[11,12].近年来,还出现了利用非交互零知识证明构造的紧致安全签名方案，如文献丨13,14].在多用户场景的紧致安全方 面，Hofheinz和J a g e r w基于D L I N假设构造了第一个紧致M U-EUF-C M A安全的签名方案.随后，张 等将其扩展为一个通用构造，并在M D D H假设和D C R假设下给出了具体实例.在基于身份的签名 方面，目前鲜有紧致安全的研宂.Ki l t z和Neven在文献丨15]中总结了 IBS的三种通用构造方法，分别基 于证书思想I1'身份认证协议和分层的基于身份的加密方案，但其构造都没有考虑紧致安全性.己有的一 些IBS的具体构造如文献丨17 19]等，其安全归约都是松散的.张等在文献丨7丨中给出了第一个紧致（弱) 安全的IBS,他们在IBS的安全性定义中要求，若敌手得到了某个id下的消息签名对后，不能再获取此 id对应的私钥s k i d，因此方案实际上只达到了弱EUF-CN1A&C I A安全性.目前，还没有真正意义上紧致 EUF-C M A&C I A安全的基于身份的签名方案.134JoumaZ 〇/C V ypfoZ o夕zc/Research 密码学报 Vol.8,No.1，Feb.2021本文主要研宄如何实现紧致安全的IBS.我们进一步研宂了文献115]的第一种通用构造方法，即Be l l a r e等人[161所提出的基于证书思想的通用转化方法，结合一个紧致EUF-C M A安全的签名方案S 和一个安全性更高（紧致M U-EUF-C M A M"安全，见第2节）的签名方案孓构造了第一个紧致EUF-C M A&C I A安全的基于身份的签名方案.与文献[15,16]的通用构造相比，我们的目标是追求紧致安全特 性，因此对子组件的安全要求不同，安全归约证明过程也有所差异.我们分别在随机预言机模型（random o r a c l e model)和标准模型（s t a n d a r d model)下给出相应的具体实例，主要工作如图1所示.R O模型，基于D D H的S I G【2Q I标准模型，基于M D D H的SIG I7】_______紧致E U F-C M A安全签名方案S1用构%紧致E U F-C M A&C I A安全R O模型，基于D D H的SIG [9丨--------标准模型，基于M D D H的SIG [81-------紧致M U-E U F-C M A C Qn■安全 |>签名方案§1IBS 图1构造与实例化F i g u r e 1C o n s t r u c t i o n a n d i n s t a n t i a t i o n s2预备知识本节给出（常规）签名方案与基于身份的签名方案的定义及安全性要求.首先对符号做说明如下.用 A表示安全参数；对于自然数/a用M表示集合{1，2,…，"丨；用a： 4A表示从集合A1中均匀随机地 选取巧用y卜乂(c c)表示输入r r运行算法并将结果赋值给用0表示空字符；用丨|表示串联符 号；P P T是概率多项式时间的缩写；p o l y(_)为多项式函数；可忽略函数n e g l(.)定义为当A足够大时，都 有 n e g l(A) <l/p o l y(A).2.1签名方案及其安全性定义1 (签名方案）一个签名方案S==(Se t u p,KGen，S i g n，V e r)由如下四个算法组成：•S e t u p(l A):预备算法输入安全参数1A,输出公开参数pp.假定pp为Sign和Ver的一个隐式输入.•KGen(pp):密钥生成算法输入pp,输出…对验证公钥/签名私钥（vk，s k).•S i g n(s k，m):签名算法输入私钥sk和消息m,输出一个签名（7.•V e r(vk，m，c T):验证算法输入公钥v k，消息m和签名〇■,输出一个比特，1代表是消息m的一个 合法签名，0代表不合法.正确性：对任意 p p S e t u p(l A), (v k,s k) ■(-KGen(pp)，任意消息 m，都有 V e r(vk.m，S i g n(s k，m))=1成立.针对一个签名方案，敌手可能会自主选择一些消息，并获得这些消息的相应签名.不可伪造性要求即 使敌手看到了这些消息签名对，他也不能对一个新的消息伪造出合法签名.安全定义具体如下.定义2 (EUF-C M A安全）对签名方案S = (S e t Up，KGen，S i g n,V er),定义敌手在选择消息攻击下的攻击优势A ,c m a/>N D P P^S e t u p(l A);(v k,s k)KGen(pp),.,»*、，Advs,^(A) := P r,,、：m^ A V e r(v k，m，c r ) = 1(m,a ))(ppj V k)这里〇s,™(.)是个签名预言机，集合Q m用于存储己问询签名的消息.〇s,C N(m)调用<r e S i g n(s k,m)，将m存入Q m并返回〇•.如果对于任意P P T敌手有Adv|"^A) =n e g l⑶成立，那么我们称S具有 选择消息攻击下的不可伪造性，即EUF-C M A安全.一般签名方案都部署于多用户场景.即敌手会看到多对（用户）公钥，他可以选择某一用户进行攻击. 在某些多用户应用场景如认证密钥交换中，敌手还可以动态地窃取部分用户的私钥s k,方案安全性在这 时要求没有被窃取密钥的那些用户（以及对应公私钥）下的签名的不可伪造性，即M U-EUF-C M A1^安 全|8).安全定义具体如下.刘翔宇等：紧致安全的基于身份的签名方案135定义3 (M U-EUF-C M A11。