[发明专利]基于SM2数字签名算法的群签名标识签发方法

权利要求书

1.一种基于SM2数字签名算法的群签名标识签发方法，其特征在于，包括如下：

(1)参数初始化：

设F_q是阶为q的有限域；选取椭圆曲线方程E为y²＝x³+ax+b，其中a、b∈F_q；设有限域F_q上椭圆曲线方程E的所有的有理点组成的集合为E(F_q)；设E上的阶为n的基点G＝(x_G，y_G)，其中x_G，y_G为基点的坐标；选取消息长度为v比特的密码杂凑算法H_v()；选取安全散列函数H：{0，1}→Z_G，其中Z_G为基点G的整数值，选取对称加密算法E()；

(2)密钥生成中心KGC随机选取作为群私钥，其中是阶为q的整数串，并将群私钥SK_GM和基点G的乘积作为群公钥：PK_GM＝SK_GMG；

(3)群成员A加入群：

(3.1)群管理员GM为群成员A生成公私钥对(SK_A，PK_A)，并通过安全信道发送给群成员A，群成员A将身份和公钥信息(ID_A，PK_A)通过安全信道发送给群管理员GM，其中ID_A为群成员A真实身份，PK_A为群成员A的公钥，SK_A为群成员A的私钥；群管理员GM将群成员A的身份信息(ID_A，PK_A)存储到群成员信息列表中，并计算群签名中间量E_A，再通过安全信道将E_A发送给群成员A；群管理员GM计算群签名中间量E_A，是由群管理员GM选取群签名中间量随机数利用如下公式计算群签名中间量E_A：

E_A＝(SK_GM+PK_A)·γ^-1，

其中，SK_GM为群公钥，PK_A为群成员A的公钥；

(3.2)群管理员GM先选择多项式其中，t为群成员的总数，x_i是第i个群成员的假名，θ为群共享对称秘钥，(C₀，C₁，…，C_t-1)为多项式的参数；再计算椭圆曲线上基点G的ω倍点W＝ωG，及群成员A的假名x_A，并将该W点和该多项式参数在群内公开；群管理员GM先选择随机数再利用如下公式计算群成员A的假名x_A：

x_A＝H(ID_A||ωPK_A)

其中，H()为散列函数，ID_A为群成员A的真实身份，PK_A为群成员A的公钥；

(3.3)群成员A根据接收的参数(C₀，C₁，…，C_t-1)，计算出群共享对称秘钥θ；其实现如下：

(3.3a)群成员A先根据群管理员公开的椭圆曲线上基点G的ω倍点W和自己的私钥SK_A，计算自己的假名x_A′＝H(ID_A||WSK_A)；

(3.3b)群成员A通过如下公式计算出群共享对称秘钥θ：

其中，t是群中的成员总数，x_i是第i个群成员的假名，(C₀，…，C₁，C_t-1)为多项式的参数；

(4)群成员A对消息M进行签名：

(4.1)群成员A发送对称密文E_θ(ID_A，PK_A，T，T)给群管理员GM，其中PK_A，T为群成员A的临时公钥，T为当前时间的时间戳，E_θ()为对称加密算法；

(4.2)群管理员GM接收到密文E_θ(ID_A，PK_A，T，T)后使用秘钥θ解密，若解密成功且时间戳T有效，则可得到成员A的身份信息(ID_A，PK_A，T，T)，执行步骤(4.3)，否则，终止本次签名；

(4.3)群成员A产生随机数k∈[1，n-1]，其中n为基点G的阶数，并计算椭圆曲线上的点β＝(x₁，y₁)＝[k]G，其中x₁，y₁为所求点的横纵坐标；

(4.4)群成员A选取三个随机数并利用待签名消息M，群公钥PK_GM以及群成员A的临时私钥SK_A，T，通过概率算法输出群签名标识为(c，s₁，s₂，s₃，T_A，T，PK_A，T，r，s)，其中，c是杂凑函数作用于临时公钥PK_A，T和群公钥PK_GM的杂凑值，s₁是第一随机数r₁的盲化值，s₂是第二随机数r₂的盲化值，s₃是第三随机数r₃和临时私钥SK_A，T的盲化值，T_A，T为成员私钥SK_A，T对签名中间量E_A的加密值，r为由椭圆曲线点的横坐标x₁求出的余数值，s为群公钥PK_GM对随机数r₁，r₂，r₃的盲化值；

利用如下公式，计算杂凑函数作用于临时公钥PK_A，T和群公钥PK_GM的杂凑值c：

c＝H(PK_A，T||PK_GM||E_A)

其中，H()为安全散列函数，PK_A，T为群成员A的临时公钥，PK_GM为群公钥，E_A为签名中间量；

(5)对群签名标识(c，s₁，s₂，s₃，T_A，T，PK_A，T，r，s)进行验证：

(5.1)验证者D先检验r∈[1，n-1]，s∈[1，n-1]是否成立，若成立，则执行(5.2)，否则，群签名非法，执行步骤(6)；

(5.2)验证者D再依次计算待签名消息M的杂凑值e′和验签中间量t′，并计算椭圆曲线点(x′₁，y′₁)＝(s₁+s₃)^-1(s-t′)，和验签值R＝(e′+x′₁)mod n，其中x′₁，y′₁为所求椭圆曲线点的横纵坐标，mod n表示一个整数除以n的求余运算；杂凑值e′和验签中间量t′按如下公式进行：

t′＝c(PK_GM+GPK_A，T)+s₁T_A，T-s₂GPK_GM-s₂G+cPK_A，T，

e′＝H_v(Z_A||M)，

其中，c为杂凑函数作用于临时公钥PK_A，T和群公钥PK_GM的杂凑值，PK_GM为群公钥，G为椭圆曲线的基点，PK_A，T为群成员A的临时私钥，s₁为第一随机数r₁的盲化值，s₂为第二随机数r₂的盲化值，PK_GM为群公钥，H_v()为密码杂凑函数，v是消息摘要长度，Z_A为群成员A的杂凑值；

(5.3)验证者D验证R＝r是否成立，若成立，则群签名合法，结束群签名过程，否则，群签名非法，执行(6)；

(6)群管理员GM从群签名中提取出成员私钥SK_A，T对签名中间量E_A的加密值T_A，T，使用群私钥SK_GM和群成员A的临时公钥PK_A，T计算出签名者的公钥PK_A，再通过存储在成员信息列表中的群成员身份信息(ID_A，PK_A)追踪到签名的群成员真实身份ID_A，执行(7)；

(7)群管理员GM选择一个新的群共享对称秘钥并生成新的多项式f(x)′，计算除追踪到签名的群成员真实身份ID_A以外的其余t-1个群成员的假名x_i，并将新的多项式参数(C₀′，C₁′，…C_t-1′)公开，使得被追踪到身份为ID_A的群成员将无法通过该参数计算出新的群共享对称秘钥，因而无法进行签名，此时该群成员被撤销。