一种改进格基群签名方案.docVIP

一种改进的格基群签名方案 　　摘 要 本文提出了一种新的基于格的群签名方案，在LWE问题困难假设下，该方案是匿名的，并且本文方案的签名效率更高 关键词 群签名 格 匿名性 中图分类号：TP309 文献标识码：A 群签名的概念是由Chaum和Van Heyst在1991年提出的，它是一种既具有匿名性又具有可追踪性的数字签名技术。群成员可代表群体进行匿名的签名，验证者可以用群公钥验证签名的有效性，但无法找到真正的签名者，当发生争议时可由群管理员揭示签名群成员的身份。群签名因自身良好的性质在电子投票、电子现金、电子拍卖等领域得到广泛的应用 1基础知识 格（Lattice）是一类定义在有限域上的、离散的几何结构，是线性空间中n维向量构成的一个子集。其定义如下： 定义1：在n维向量空间中m个线性无关的向量（b1，b2，…，bm）所生成的向量集合： L（b1，b2，…，bn）={tibi|ti∈Z}} 称为格。（b1，b2，…，bn）称为格的一组基。格中向量的长度用欧几里德范||x||数表示，矩阵x的长度定义为||x||=maxi||xi||。向量x到格的距离定义为：dist（（AT），x）=min||（ATsx x）modq|| 定义2（最短向量问题SVP）：在格上寻找一个非零向量v，使得对于格上任意向量u有||v||≤||u||成立 2本文方案 设q=poly（n），m≥8nlogq，s= （）为系统参数，设H（）：{0，1}*→为一抗碰撞的哈希函数 （1）密钥生成（G.KeyGenGen（1n，1N））：计算（Bi，Si）←TrapSamp（1n，1m，q），然后对1≤i≤N，运行SuperSamp（1n，1m，q，Bi）得（Ai，Ti）。随机选取d+1个独立随机矩阵Ci∈（0≤i≤d），一个非零向量y和一个随机矩阵A0=。则系统公钥PK=（（Ai，Bi）），追踪密钥TK=（Si），用户私钥gsk=（Ti） （2）签名（G.Sign（gsk[j]，M））：群成员Uj对消息M进行群签名，过程如下： ①选取向量r ←{0，1}n，并计算u=H（M||r）并根据u计算矩阵C=（-1）u[i]Ci； ②随机选择N+1个向量xi∈（i=0，1，…，s 1，s+1，…，N+1）且||xi|| ； ③令z=y Aixi CxN+1，运行SamplePre（Aj，Tj， ，z）得到短向量xj∈，使得Ajxj=z（modq） ④对于所有的i（0≤i≤N），抽样si←并计算zi=Bisi+xi（modq），令zN+1=xN+1最后根据判定语言Ls， 产生一个NIWI证明 ，并输出签名 =（r，z0，…，zN+1， ） （3）验证（G.Vrfy（PK，M， ））：令u=H（M||r），计算C=（-1）u[i]Ci，当且仅当证明 正确且对于Aixi+CxN+1=y（modq）成立，则签名合法 （4）打开（G.Open（TK，M， ））：群管理员利用{Si}输出使得dist（（BT），zi）≤s成立的最小的，即为签名者 3安全性和效率分析 3.1正确性 对于一个合法的群签名（r，z1，z2，…，zN， ），那么显然 是一个有效的证明。并且对于所有的i（1≤i≤N）有：Aizi=Ai（Bsi+ei）=Aiei=H（M||i）（modq） 3.2 匿名性 方案的匿名性依赖于LWE问题的困难性，由于zi=Bsi+ei（modq），所以xj与其它的xi是统计不可区分的。因为敌手不能通过zi找到签名者，方案具有匿名性 3.3可追踪性 定理1：如果存在概率多项式时间敌手经过询问后，能够以概率 攻破群签名的可追踪性，那么就存在概率多项式时间敌手F以概率 /N攻破GPV签名 3.4不可伪造性 定理2：如果敌手能伪造本方案的一个群签名，则可以以不可忽略的概率攻破GPV签名 3.5效率分析 参考文献 [1] Chaum D and Van Heyst E.Group signatures. In Advances in Cryptology-Eurocrypt91，volune 547 of LNCS，pages 257-265.Springer，1991. [2] 蔡志伟，王立斌，马昌社.一种基于身份的高效短群签名方案[J].计算机工程，2011，37（18）：145-147. [3] Dov Gordon S，Jonathan Katz，Vinod Vaikuntanathan.A group signature scheme from lattice assumptions [A].In：Proceed