[发明专利]基于去秘密化的分布式SM2数字签名生成方法及系统

摘要

发明涉及SM2数字签名生成方法：在[1,n‑1]中选一整数c；计算G_b＝[c(1+d_A)]G；将G_b、c给m个装置，m≥2；m个装置分别有秘密g₁、g₂、…、g_m且(‑(1+d_A)^‑1d_A)mod n＝(g₁+g₂+…+g_m)mod n；需使用SM2私钥d_A对消息数字签名时，m个装置通过交互计算出r＝(e+x₁)mod n，其中(x₁,y₁)＝[k₁+k₂+…+k_m]G_b，k_i是装置i在[1,n‑1]中任选的整数，e是消息杂凑值；每个装置计算s_i＝(ck_i+g_ir)mod n；由一装置计算s＝(s₁+s₂+…+s_m)mod n；(r,s)为数字签名。

主权项

1.一种基于去秘密化的分布式SM2数字签名生成方法，其特征是：生成SM2数字签名时有m个装置参与，其中m大于或等于2；m个装置分别被称为装置1，装置2，…，装置m；在生成数字签名前，针对参与数字签名生成的m个装置进行如下初始化操作：在区间[1,n‑1]中选取一个整数c，其中n是SM2密码运算所使用的椭圆曲线点群的阶，也即SM2密码运算所使用的椭圆曲线点群的基点G的阶；给m个装置中的每个装置分配1份秘密份额，其中装置i的秘密份额或者从装置i的秘密份额导出的秘密数是g_i，i＝1,2,…,m，g_i是区间[1,n‑1]内的整数；m个装置的秘密份额或者从秘密份额导出的秘密数与d_A满足关系：(1+d_A)^‑1＝(g₁+g₂+…+g_m)mod n，或(‑(1+d_A)^‑1d_A)mod n＝(g₁+g₂+…+g_m)mod n，其中(1+d_A)^‑1是(1+d_A)的模n乘法逆；计算G_b＝[c(1+d_A)]G，其中G是SM2椭圆曲线点群的基点；将c、G_b分发给所有m个装置；当需要使用用户的SM2私钥d_A针对消息M进行数字签名时，m个装置按如下方式进行数字签名的生成：首先，m个装置通过交互，计算得到Q＝[k₁+k₂+…+k_m]G_b，r＝(e+x₁)mod n，且得到的r、Q满足：r≠0且[r]G+Q不是SM2椭圆曲线点群的零元，其中k_i是计算Q的过程中装置i在区间[1,n‑1]中随机选择的一个整数，i＝1,2,…,m，x₁取自(x₁,y₁)＝Q，e是从用户标识和消息M导出的杂凑值；之后，每个装置计算s_i＝(ck_i+g_ir)mod n，其中i＝1,2,…,m，s_i对应装置i所进行的计算；最后，m个装置中的一个装置进行如下计算：若m个装置的秘密份额或者从秘密份额导出的秘密数与d_A满足关系(1+d_A)^‑1＝(g₁+g₂+…+g_m)mod n，则计算s＝((s₁+s₂+…+s_m)‑r)mod n；若m个装置的秘密份额或者从秘密份额导出的秘密数与d_A满足关系(‑(1+d_A)^‑1d_A)mod n＝(g₁+g₂+…+g_m)mod n，则计算s＝(s₁+s₂+…+s_m)mod n；计算得到的(r,s)即为使用用户的SM2私钥d_A对消息M的数字签名。