椭圆曲线上的盲签名方案.pdfVIP

时刻公证过这个文件． 用户U从签名人S处获得盲签名的过程一般来说有如下几个步骤； 1．用户U取出文件m并将它乘以一个随机数得仇7，这个随机数通常称为盲因 子． 2．用户U将盲消息m’发送给签名人S． 3．签名人s在m’上签名后，将其签名Sig(m7)发送给用户u． 4．用户u从签名人s关于耐的签名Sig(m)中除去盲因子可以得到签名人s 关于原始文件m的签名成g(m)，并且保留签名入s的原始签名9(m，)． 接下来我们给出盲签名的一些基本性质： 1．签名人在文件上的签名是有效的．签名就是签名人签署这份文件的证据．如 果把文件给签名人看，签名人确信他签署过这份文件． 2．盲性；签名人不知道他所签发消息的具体内容． 3．不可追踪性：签名人不髓把签署文件的行为与签署了的文件相关联．即使他 记下了他所做的每一个盲签名，他也不能确定他在什么时候签署了该文件． 4．无关联性：给同一用户的两个签名彼此无关联． §2．2有限域上的椭圆曲线群 假定GF(p)是一包含矿个元的有限域，其中m为整数，p为素数． GF∞“)上的椭圆曲线定义为关于等式 ． Y2+alxy+a3y=X3-I-口2。2+a4x十a6 (1) 的所有解(z，Y)连同一称为无穷远点。的元素组成的点的集合．其中z，Y∈ GF(矿)，al，a2，03，G4，a6∈GF(矿)． 对于GF(2”)，(1)式可化简为t I Y2+cy=一+∞+b其中口，b，c∈GF(2”)，c≠0，且c的j变量为0 l 对于GF∞)(p3)，(1)式可化简为： Y2=z3+oz+b其中a，b∈OF(p)，并且4a3+27b2≠0． ’ GF0)(p3)上的椭圆曲线E满足： 1．o+o=0． 2．P+0=P，对于任意P=(o，Y)∈E，其中。为E的幺元． 3 271≠z2，其和定义为P+Q=(X3，蜘)，满足 z3=A2一。l—z2 驰=A扛1一x3)～Y 其中A=嚣． r=妒一2z Y+=^@一z+)一Y 其中A=警． 若G为E上的任意一点，则G的阶定义为满足qO=o的最小整数q §2。3椭圈曲线上一般的数字签名算法EGDSA 文献[1l】中给出的椭圆曲线上一般的数字签名算法(简称ECDSA)包括下 面的公共参数： E：日上的椭圆曲线，其中q是—个大于2”o的大素数． G： E(日)上的阶为p(大素数)的基点． h：可将任何字符串映射到{1，2，…，P一1}的单向哈希函数． 根据如下步骤，签名人可对消息m签名． 1．签名人随机选取一整数d∈{1，2，…，P—1)作为其私钥，并且计算 P=dG∈E(日) 作为其公钥． 2．签名人随机选取一整数k E{l，2，…，P一1)，并且计算 P r=(ke)。mod 其中(kGk为点kG的茁轴坐标．如果r=o，返回第2步 4 3．签名人计算 P s=k-1∞(m)+dr)mod 如果s=0，返回第2步． 4．(rIs)即为对消息m的签名． 为了验证此签名，验证者可通过检验 P