一种基于证书的带消息恢复的代理签名方案

具有消息恢复的指定接收者的盲签名方案褚万霞;张建中【摘要】A new designated verifier blind signature scheme with message recovery based on the discrete logarithm problem is proposed,and its security and efficiency are analyzed and discussed in details.The proposed scheme can satisfy the properties of a blind signature with message recovery,and only designated verifier can verify the validity. It also satisfies the untraceability,that is the signer can't relate the formation process of the blind signature to the unblind signature for the file.The blindness and unlinkability in electronic transactions of business are achieved. At the same time,this scheme has the role of confidentiality of information. The new scheme is more efficient than the existing scheme in terms of computation overhead.%基于离散对数问题,提出了一个具有消息恢复的指定接收者的盲签名方案,并对方案的安全性和效率性进行了详细的分析讨论.方案不仅能满足消息恢复盲签名所要求的性质,而且只有指定的接收者才能验证签名的有效性,具有不可追踪性,即签名者无法将盲签名的行为与去盲后得到的真实文件签名联系起来.新方案实现了电子商务中的盲性和不可链接性且具有增强信息保密性的作用,其效率也优于已有方案.【期刊名称】《计算机工程与应用》【年(卷),期】2011(047)013【总页数】3页(P72-73,153)【关键词】数字签名;强盲签名;消息恢复;不可链接性;指定验证者【作者】褚万霞;张建中【作者单位】陕西师范大学,数学与信息科学学院,西安,710062;西北政法大学,经济与管理学院,西安,710063;陕西师范大学,数学与信息科学学院,西安,710062【正文语种】中文【中图分类】TP3931 引言数字签名又称电子签名，主要用于对数字消息进行签名，以防止消息的冒名伪造或篡改。

新的可恢复消息的指定验证者签名王峰【摘要】In some applications, original signer hopes that the designated verifier can verify the validity of the signature. This paper proposes a novel designated verifier signature. The new scheme not only realizes the property with designated verification, but also the property that only designated verifier can recover the message. The result shows that the new protocol realizes the secure signature with designated verification.%在有些应用中，原始签名者希望只有指定的验证者才可以验证签名的有效性。

基于双线性对密码体制提出了一种新的指定验证者签名方案，新方案不仅实现了签名的指定验证性质，而且限制只有指定验证者才可以恢复消息。

讨论结果表明，新方案在减少计算量的前提下实现了安全的签名的指定验证者恢复消息的功能。

【期刊名称】《计算机工程与应用》【年(卷),期】2013(000)024【总页数】4页(P97-99,143)【关键词】密码学;签名;指定验证者;消息可恢复;双线性对【作者】王峰【作者单位】鲁东大学数学与信息学院，山东烟台 264025【正文语种】中文【中图分类】TP309基于身份密码体制的思想是于1984年由Shamir在基于身份的加密和签名方案[1]中首次提出，其目的是为了简化PKI的密钥管理以及取消公钥证书的使用。

它将用户的个人信息（如姓名、身份证号、E-mail地址等）作为他本人的公钥，也就是说，每个人的公钥可以直接用其身份信息计算出来。

具有消息恢复功能的盲签名方案刘媛;张秉儒【摘要】通过对签名者不可抵赖性缺陷的分析和研究,将公钥密码体制和对称密码体制相结合,提出了一个基于冗余函数、收发双发都不能否认的具有消息恢复功能的盲签名方案,并对该方案的正确性、可靠性和安全性进行了分析.该方案保证了通信的公平公正性,保密性好,特别适合于商业领域的信息交互.【期刊名称】《华北水利水电学院学报》【年(卷),期】2011(032)006【总页数】3页(P125-127)【关键词】消息恢复;冗余函数;盲签名;不可否认性【作者】刘媛;张秉儒【作者单位】青海师范大学,青海西宁810000;青海师范大学,青海西宁810000【正文语种】中文盲签名已经发展成为一类特殊的数字签名，签名者不知道所签消息的具体内容，接收者将盲签名进行脱盲变换转化为普通的签名，签名人即使记录每次签名的记录也不能将盲签名和脱盲后的签名相关联［1］.在那些要求用户匿名性的场所，如匿名证券交易，口令认证，匿名电子现金和匿名电子投票等领域，盲签名技术发挥着重要作用.在保证安全的前提下，密码学家们致力于尽量减少通信量研究，Nyberg-Rueppel提出了消息恢复签名方案［2］，只需传递签名，接收方可以由签名和密钥恢复消息，直接缩短了传递的信息量，节省通信带宽，提高效率.当前的签名方案多数是由一个安全的杂凑函数将消息m对应到h(m)，以此保证消息的完整性、认证性和安全性.且h(m)的长度远小于m的长度.这样一来恢复的是h(m)而不是m;若在签名方案中用m，消息的保密性势必会受到威胁.冗余函数可以兼顾保密性和消息恢复特性，不过冗余函数的运算效率要低于 hash函数，因此其更适用于短消息传递.签名技术发展到现在，对签名者的不可否认性进行了较为深入的研究，提出了各种签名者不可否认的方案.基于当前的网络技术，信息传送过程中的延迟或者丢失是客观存在的，如果接收方恢复了消息却予以否认，这样的纠纷必须通过监管和技术两方双管齐下予以解决.为了满足当今社会的需求，对收发双发不可否认的签名技术的研究至关重要.笔者在已有研究基础上做了进一步尝试，结合公钥/私钥密码体制，提出一个收发双方都不能否认的具有消息恢复特性的盲签名方案，有效地解决了上述问题，具有很好的实用价值和应用前景.1 冗余函数M是消息集，单射R:M→M'，远远小于，M'为M的冗余消息集，R为冗余函数.R－1:R(M)→M是M'到M的映射，即R的逆映射，R和R－1都是公开的［3］.2 具有消息恢复功能的双方不可否认盲签名协议2.1 系统初始化设p，q为2个大素数，其中q(p－1)，g为的q阶元，签名私钥x∈Zn，公钥y=gxmod p，待签消息m∈Zn.2.2 生成可恢复消息的盲签名生成可恢复消息的盲签名步骤:步骤 1 签名人随机选择k∈Zq，计算 r=gkmod p.步骤2 将r发给消息拥有者;消息拥有者将消息进行冗余变换m→R(m)，随机选取l1，l2，l3∈Zn，盲化R(m):步骤3 将r'发送给签名人，签名人不知道R(m)，计算s=r'x+k mod q，然后将s 发给消息拥有者.消息拥有者验证gs=yr'r mod p是否成立.若成立，计算S=sl1+l2mod q，(R，S)为常规的具有消息恢复性能的的盲签名;否则输出“false”.任何人都可以验证签名的正确性:R(m)=g－SyRR mod p.再由公开的冗余函数恢复原消息.通常只希望指定的接收者能够恢复消息，将(R，S)处理得到一个指定接收者的签名［4］.2.3 (R，S)变换为指定接收者的盲签名(R，S)变换为指定接收者的盲签名步骤:步骤1 签名拥有者(以下称为A)随机选取对称密钥k，计算 M=Ek(R，S)，与关键字ξ结合后签名并加密，发送m1给指定的接收人(以下称为B):式中:ξ为关键字，包含报头，消息摘要等;ωn为实时时间戳，n=1，2，3，…，N;D 和 E 为 RSA 的加密/解密算法;PA，SA分别为A的公钥和私钥;PB，SB分别为B的公钥和私钥.步骤2 B收到m1后，计算得到ξ和M，根据ξ中的内容判断是否继续通信过程.若不需要该报文，单方面终止通信，否则计算步骤3 发送m2给A，A保留m2作为B收到m1的证据，将k签名加密得到的－k发送给B:步骤4B解密－k得到T″，判断时间戳ω3是否合理且没有使用过，保存ω3，计算:这样就可以验证签名的正确性，计算得到R(m)，再利用R－1得到m.3 对上述方案的进一步改进上述方案中，B仍然可以通过否认最后一步曾经收到－k，来达到对自己有利但违背公平公正原则的目的.为此引入可信第三方CA来制衡.A选取a∈，传送λ =(，IDB，IDA)给B.B 选择随机数b∈，传送μ =，gb，IDA，IDB)给 A，H 是收到λ的反馈承诺.A收到μ以后，计算选择c∈，计算传送υ给CA，并通知B从CA处获得新数据.B通过与CA的身份认证得到υ，计算B用消息密钥k解密恢复R(m)，检验如果R(m)∈R(M)，则m=R－1(R(m));如果这个消息m有意义，并且和关键字ξ中的信息吻合，就认为这个消息是安全、可靠、有效的［5－6］.4 安全性分析1)收方不能否认其收到签名.B首先收到的是加密后的签名，没有得到 ga之前，既不能对签名进行验证，也不能得到冗余消息R(m)，他必须向A发送已经接收到签名的证据H，A才会将ga传送给B，而有关ga的数据A必须经由CA得到.这样，由于可信第三方的存在，B不能否认他收到－k，若出现了上述问题中的纠纷，只能由他自己承担责任.从而维护了信息交互过程的公平公正性，有利于进一步促进该类协议的发展，增强人们对密码学协议的信心，更好地服务人们的生活.2)原始签名的不可伪造性.任何人要伪造一对有效的盲签名，使得成立，有以下3种途径:①任取R，S，带入上式中，R(m)=g－SyRR mod p，这样得到的 R(m)冗余度非常高，逆函数得到的消息没有错误且有意义的概率小之又小，也就是说冗余函数的引进有效防止了恶意的伪造攻击;②任取消息m和R，从中解出S，等价于求解离散对数问题;③任取消息m和S，从中解出R，比求解离散对数问题还要困难.3)签名者的不可否认性.签名中含有A的私钥，B在验证时用到A的公钥，A不能否认自己的签名.4)CA不能冒充A，也不能验证签名.RSA算法保证了B可以确信消息来源和恢复消息，其他人要想求得A的私钥，面临求解离散对数难题.由于A将gα以加密的形式传送给TTP，在没有B的私钥的情况下，很难获得gα;即便是不幸CA知道了gα，但没有B的私钥，还是不能验证签名并恢复消息.这就有了双重的安全保障。