[發明專利]一種輕量級SM2兩方協同生成數字簽名的方法

有效

• 申請號: 201910147366.4
• 申請日: 2019-02-27
• 公開（公告）號: CN110011803B
• 公開（公告）日: 2020-10-30
• 發明（設計）人: 何德彪;張佳妮;馮琦;王婧;陳泌文
• 申請（專利權）人: 武漢大學
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L9/08
• 代理公司: 湖北武漢永嘉專利代理有限公司 42102
• 代理人: 唐萬榮;李丹

1.一種輕量級SM2兩方協同生成數字簽名的方法，參與兩方為P₁、P₂，其特征在于，包括以下步驟：

步驟1)簽名參數初始化：產生整個簽名過程所需的公開參數；所述參數包括：橢圓曲線相關參數(q，F_q，a，b，n，G)、密碼雜湊函數h(·)；

其中，q為大素數，F_q為包含q個元素的有限域，a，b為F_q中的元素，用于定義F_q上的一條橢圓曲線，n為素數，G為橢圓曲線的一個基點，其階為n；

步驟2)生成分布式密鑰：生成參與方P₁，P₂的簽名私鑰，簽名驗證公鑰；具體如下：

2.1)參與方P₁在Z_n中隨機選取一個整數x₁作為自己的簽名私鑰，并分別通過公式(1)，(2)計算中間變量X₁，零知識證明參與方P₁將發送給參與方P₂；

X₁＝[x₁]G (1)，

其中，G為橢圓曲線的一個基點，用于生成關于x₁是X₁的一個橢圓曲線離散對數這個稱述的零知識證明

2.2)參與方P₂在Z_n中隨機選取一個整數x₂作為自己的簽名私鑰，并分別通過公式(3)，(4)計算中間變量X₂，零知識證明參與方P₂將發送給參與方P₁；

X₂＝[x₂]G (3)，

其中，用于證明x₂是關于X₂的一個橢圓曲線離散對數；

2.3)參與方P₁驗證零知識證明是否合法，驗證通過則通過公式(5)計算簽名驗證公鑰P_pub；參與方P₂驗證零知識證明是否合法，若驗證通過則通過公式(5)計算簽名驗證公鑰P_pub；

2.4)參與方P₁在Z_n中隨機選取兩個整數a₁，b₁；參與方P₂在Z_n中隨機選取兩個整數a₂，b₂；Z_n為整數0,1,...,n-1組成的集合；

2.5)參與方P₁，P₂通過同態操作或不經意傳輸運算分別獲得加法分量z₁，z₂，使其滿足z₁+z₂＝(a₁+a₂)·(b₁+b₂)mod n；

步驟3)生成分布式簽名：該步驟用于參與方P₁，P₂聯合生成消息m的數字簽名(r，s)；具體過程如下：

3.1)參與方P₁在Z_n中隨機選取兩個整數k₁，ρ₁，并分別通過公式(6)，(7)計算中間變量R₁，零知識證明參與方P₁將發送給參與方P₂；

R₁＝[k₁]G (6)，

其中，用于證明k₁是關于R₁的一個橢圓曲線離散對數；

3.2)參與方P₂在Z_n中隨機選取兩個整數k₂，ρ₂，并分別通過公式(8)，(9)計算中間變量R₂，零知識證明參與方P₂將發送給參與方P₁；

R₂＝[k₂]G (8)，

其中，用于證明k₂是關于R₂的一個橢圓曲線離散對數；

3.3)參與方P₁驗證零知識證明是否合法，驗證通過則使用公式(10)～(15)分別計算中間變量R，r，δ₁，u₁，v₁，w₁；參與方P₁將(u₁，v₁，w₁)發送給參與方P₂；

計算公式如下：

r＝e+r_x mod n (11)

u₁＝x₁-a₁ mod n (13)

v₁＝δ₁-a₁ mod n (14)，w₁＝ρ₁-b₁ mod n (15)

其中，e為密碼雜湊函數h(·)作用于消息m的輸出，即e＝h(m)；r_x為R的橫坐標，r為SM2簽名的第一部分；

3.4)參與方P₂驗證零知識證明是否合法，驗證通過則使用公式(10)～(11)，(16)～(19)分別計算中間變量R，r，δ₂，u₂，v₂，w₂；參與方P₂將(u₂，v₂，w₂)發送給參與方P₁；

計算公式如下：

u₂＝x₂-a₂ mod n (17)

v₂＝δ₂-a₂ mod n (18)，w₂＝ρ₂-b₂ mod n (19)

3.5)參與方P₁使用公式(20)～(24)分別計算中間變量u，v，w，α₁，β₁；參與方P₁將(α₁，β₁)發送給參與方P₂；

計算公式如下：

u＝u₁+u₂ mod n (20)，v＝v₁+v₂ mod n (21)

w＝w₁+w₂ mod n (22)，

α₁＝x₁w+ρ₁u+z₁-uw mod n (23)

β₁＝δ₁w+ρ₁v+z₁-vw mod n (24)

3.6)參與方P₂使用公式(20)～(22)，(25)～(26)分別計算中間變量u，v，w，α₂，β₂；參與方P₂將(α₂，β₂)發送給參與方P₁；

計算公式如下：

α₂＝x₂w+ρ₂u+z₂ mod n (25)

β₂＝δ₂w+ρ₂v+z₂ mod n (26)

3.7)參與方P₁通過公式(27)計算s′，為了保證最終結果的一致性，參與方P₁選擇s′和n-s′中的較小值作為SM2簽名的第二部分，即s＝min{s′,n-s′}；

s′＝(α₁+α₂)^-1(β₁+β₂)-r mod n (27)

3.8)參與方P₂通過公式(27)計算s′；為了保證最終結果的一致性，參與方P₂選擇s′和n-s′中的較小值作為SM2簽名的第二部分，即s＝min{s′,n-s′}；

3.9)參與方P₁更新a₁，b₁，z₁，即分別令a₁＝k₁，b₁＝ρ₁，z₁＝α₁，更新后的a₁，b₁，z₁參與下一次的簽名過程；

3.10)參與方P₂更新a₂，b₂，z₂，即分別令a₂＝k₂，b₂＝ρ₂，z₂＝α₂，更新后的a₂，b₂，z₂參與下一次的簽名過程。

2.根據權利要求1所述的輕量級SM2兩方協同生成數字簽名的方法，其特征在于，所述步驟2)和步驟3)中，在參與方P₁，P₂的通信過程中，各參與方使用零知識證明來證明發送的數據是來自發送方。