专利名称：基于多变量公钥密码对消息匿名环签名的方法
技术领域：
本发明属于信息安全技术领域，涉及一种基于多变量公钥密码对消息匿名环签名 的方法。
背景技术：
2001年，在如何匿名泄漏秘密的背景下，Rivest等人提出了一种新型签名技术， 称为环签名(ring signature)。环签名可以被视为一种特殊的群签名，它没有可信中心，没 有群的建立过程，这里的群是指由多个可能的签名者组成的集合，也称为环。该环的建立具 有自发性，即环是由一个签名者在不需要和其它人商量的情况下建立的。对电子文档的环 签名是由一个签名者代表环中全体成员签署的，但对于签名验证者来说签名者是完全匿名 的。环签名提供了一种匿名泄露秘密的巧妙方法。环签名的这种无条件匿名性在对信息需 要长期保护的一些特殊环境中非常有用。环签名可以实现无条件匿名，即无法追踪签名人 的身份。环签名的这种无条件匿名性适用于信息需要长期保护的一些特殊环境。环签名引 起了广泛关注，提出了各种环签名方案。2002年，Abe等人提出了第一个基于有限域上离散 对数的环签名方案。最近，双线性对被用来设计环签名方案，然而，双线性对的运算效率很 低。环签名因其特有的性质，如自发性、匿名性等，使得它可以广泛地应用在匿名电子 选举、机密信息的匿名泄漏、电子政务、电子商务、重要新闻的匿名发布及无线传感器网络 中的匿名认证。下面简要介绍几种应用1)用于匿名泄漏信息。例如匿名举报一个官员腐败，为了防止官员的报复行为，保 护举报者的隐私，举报者可以对举报电子文档进行环签名。反贪局在获得举报信息的真实 性的同时还能不暴露举报者的真实身份。这时就可以使用环签名方案。2)用于ad-hoc、无线传感器网络中的匿名认证。ad-hoc和无线传感器网络的无中 心、自组织等特点与环签名的构造有很多相似之处。因此对于ad-hoc网络中的诸多问题， 如成员的匿名认证等，往往要求参与实体的一方在应用过程中能够保持自己身份的隐私 性，都可以应用环签名来解决。随着量子计算机的出现，利用量子计算机可以在多项式时间内解决因子分解和离 散对数问题，进而严重威胁到现有基于传统密码体制的环签名的安全性。构造新的公钥密 码体制，使其能够替代基于数论的密码体制，抵御未来基于量子计算机的攻击已经迫在眉 睫。多变量公钥密码体制可以抵御量子计算机的攻击，而且比基于数论的方案在计算上更 有效，因此，多变量公钥密码学的研究成为密码学发展中很活跃的课题。多变量公钥密码体制至今已经经历了 20年的发展历程，出现了 MIA族、OV族、HFE 族、TTM族、MFE族、JC族等体制。由于多变量公钥密码体制的安全性和效率更高，所以最 近得到了人们的广泛关注。多变量密码体制的发展为环签名的研究提供了新的思路，因为直到目前，还没有 发现量子计算机对二次多变量方程组的求解有任何优势。
到目前为止，已经提出了各种环签名方案，但这些方案都是基于传统密码体制，例 如RSA等。面对量子计算机的出现，传统密码体制受到威胁，因此，现有的环签名体制在量 子计算下将不再安全。
发明内容
本发明的目的是提供一种基于多变量公钥密码对消息匿名环签名的方法，解决现 有的环签名体制在量子计算下不安全的缺陷。本发明所采用的技术方案是，基于多变量公钥密码对消息匿名环签名的方法，该 方法按照以下步骤实施步骤1.生成系统参数1)设置k = GF(q)是特征为ρ的有限域，其中q = ρ1，1是一个正整数；2)令Κ = Α^Ι/〈4χ)〉是有限域k的η次扩张，这里η是一个正整数，g(x)是有限域 k上的一个η次不可约多项式；3)令m为多变量方程组中方程的个数，η为变量的个数；4)选择H {0，1}* — km为密码学安全的抗碰撞单向不可逆哈希函数，系统参数为 (k, q, p, 1, m, η, H)；步骤2.密钥生成1)假设环中有t个用户，设为U= {u, U1,…，ut_J ；2)根据多变量公钥密码体制，每个用户Ui (0彡i彡t-Ι)选择Fi是从kn到km的 可逆映射，Fi满足a) Fi (χι; xn) = (fn,…，fim)，其中 Aj e k[x1; ...，xn]，j = l，...，m;b)任何方程Fi (xi;…，xn) = (y' 1；…，y' J都易于求解；3)每个用户Ui (0彡i彡t-Ι)选择其中Lli是从km到km的随机选择的一个可逆仿 射变换，Lli (X1,…，xm) = Mli · (X1, —, xm)T+an,其中Mli是有限域k上的一个mXm的可逆矩阵，an是有限域k上的一个mX 1的 列向量；4)每个用户Ui (0彡i彡t-Ι)选择L2i是从kn到kn的随机选择的一个可逆仿射变 换L2i (X1,…，xn) = M2i · (X1, ...，xn)T+a2i，其中M2i是有限域k上的一个nXn的可逆矩阵，a2i是有限域k上的一个nX 1的 列向量；5)每个用户Ui (0彡i彡t-Ι)公布其公钥
权利要求
1.基于多变量公钥密码对消息匿名环签名的方法，其特征在于，该方法按照以下步骤 实施步骤1.生成系统参数1)设置k= GF(q)是特征为ρ的有限域，其中Q = P1J是一个正整数；2)令尤2*问/&(々〉是有限域k的η次扩张，这里η是一个正整数，g(x)是有限域k上 的一个η次不可约多项式；3)令m为多变量方程组中方程的个数，η为变量的个数；4)选择H {0，1}* — km为密码学安全的抗碰撞单向不可逆哈希函数，系统参数为(k，q, ρ, 1, m, η, H)；步骤2.密钥生成1)假设环中有t个用户，设为U={U。，Ul，-,Ut^1I ；2)根据多变量公钥密码体制，每个用户Ui(0 < i < t-Ι)选择Fi是从kn到km的可逆 映射，Fi满足a)Fi (X1, ···, xn) = (fn,…，fim)，其中 f。· e k[x” ...，xn]，j = l，…，m;b)任何方程Fi (X1,…，xn) = (y' 1；…，y' J 都易于求解；3)每个用户Ui(0 < i < t-Ι)选择其中Lli是从km到km的随机选择的一个可逆仿射变换，Lli (x1 ...，xm) =Mli. (X1, ···, xm)T+an,其中Mli是有限域k上的一个mXm的可逆矩阵，an是有限域k上的一个mX 1的列向量；4)每个用户Ui(0≤i≤t-Ι)选择L2i是从kn到kn的随机选择的一个可逆仿射变换 L2Jx1,…，xn) = M2i · (X1,…，xn)T+a2i,其中M2i是有限域k上的一个nXn的可逆矩阵，a2i是有限域k上的一个nX 1的列向量；5)每个用户Ui(C)≤i≤t-Ι)公布其公钥=Pi=L^FiOLli FXxl,-, Xn) = {fa,-Jim)其中每一个$都是k[Xl，…，Xn]中的多项式；6)每个用户Ui(0≤i≤t-Ι)保密其私钥SKi = ILli, Fi, L2J ；7)环中的t个用户的公钥集记为i= 步骤3.环签名生成假设成员ιιπ (0≤π≤t-Ι)代表环成员中所有成员U = {u0, U1,…，ut_J对消息 Me {0，1}*进行签名，环中的t个用户的公钥集记为Ζ = (^··,1)，ιιπ的公钥为私 钥为SKn = {Lln，Fn，L2n}，签名者ιιπ计算环签名的步骤如下 1)对于i = 0，1，…，t-Ι且i乒π，随机选取巧e kn，计算Ri=Fiiri)'若氏中有相同的，则重新选择A ；2)计算h = _ L)；3)计算 K=H-YjRi,i右π若Rjl和Ri相同，则重新选择r;4)计算5)输出消息M关于环丄=(&月，…，月的环签名σ= (r0,ri; ."Iv1)； 步骤4.环签名的验证给定环Z =(巧，月，…，I)的关于消息M的签名σ = (r0,ri;…Iv1),任何验证者验证XF1(^) = ZZ(MIIZ)/■=0是否成立，若等式成立，则接受环签名，否则拒绝该环签名。
2.根据权利要求1所述的方法，其特征在于，该方法步骤3中，签名者计算 尺=^g尺、=j^。F;1。A 从而使得消息M关于环的环签名σ =(r0,ri;…Iv1)构成了一个可以验证的封闭环满足 f^ F^ri) = H^M \\ L).
全文摘要
本发明公开了一种基于多变量公钥密码对消息匿名环签名的方法，该方法按照以下步骤实施，生成系统参数，密钥生成，环签名生成，环签名的验证。基于传统密码体制的环签名方法，在量子计算机下其安全性受到威胁，而本发明基于多变量公钥密码体制的环签名方法解决了现有的环签名体制在量子计算下不安全的缺陷。本发明的方法既具有安全性又具有计算效率高的优点。
文档编号H04L9/32GK102006165SQ201010544608
公开日2011年4月6日 申请日期2010年11月11日 优先权日2010年11月11日
发明者张亚玲 申请人:西安理工大学