2024年4月28日发(作者：)

＜＜　ＦＥＣｔｔＮＯＬＯＧＹ　技术应用　

◆徐玲　

摘要：代理签名是指在代理签名方案中，原始签名人委托代理人施行签名权　

利。代理签名生效后人们可以验证代理签名的真实性。然而在有些情况下，代理签　

名人不希望自己的身份公布于众。指定验证人的代理签名方案可以解决上述问题。　

因此，本文基于ＢＬＳ短签名方案，建立指定验证人的代理签名方案，并利用双线性　

Ｄｊｆｌｉｅ—Ｈｅｌｌｍａｎ假设。按照随机ｏｒａｃｌｅ模型论证此模型的安全性。　

关键词：代理签名；ＢＬＳ，￣签名；双线・Ｉ￣ｋＤｉｆｉｆｅ－Ｈｅｌｌｍａｎ假设；随机ｏｒａｃｌｅ模型　

多项式时间的算法来计算ｅ（Ｐ，Ｑ）。　

一

、

刖吾　

定义２．１　双线性Ｄｉｆｉｆｅ．Ｈｅｌｌｍａｎ（ＢＤＨ）问题：给　

１９９６年Ｍａｍｂｏ等【】　初次提出了代理签名的概念，解　

决了数字签名的权利委托问题。代理数字签名方案中　

定（Ｐ，ｘＰ，ｙＰ，ｚＰ），其中Ｘ，Ｙ，ｚ∈ＲＺ　，来计算ｅ（Ｐ，　

Ｐ）　∈Ｇ２。　

原始签名人将自己的签名权利委托给他人（代理签名　

人）。然后代理签名人根据委托意愿，代表原始签名人　

生成签名，此签名称为代理签名。　

代理签名生效后，人们往往希望验证签名的真实　

性。一方面，在有些情况下代理人不愿意把自己的代理　

身份公布于众，则可以选择指定的签名验证人。另一方　

面，为防止代理人对签名权利的滥川，可以指定一个验　

，

定义２．２　双线性Ｄｉｉｅ．Ｈｅｌｆｌｍａｎ（ＢＤＨ）假设：设　

ｇ２是一个ＢＤＨ参数生成器，如果存在一个足够大的数ｋ　

和算法Ａ，使利用ｇ２攻击签名方案的时间难度函数大于　

等于￡　）：　

削Ｖｇ．￣Ｉ－∽　

ｔ＇，ｙ　ｖ，ｚＶ）　＝　

ｘ

。　

；　ｎ　

则我们说ｇ２满足ＢＤＨ假设。当ｇ２满足ＢＤＨ假设时，　

我们认为ＢＤＨ问题由ｇ产生的参数在Ｇ２中是难解的。　

２．２安全框架概念　

证人，代理人只能对发给该验ｉ　人的信息行使代理签名　

权利｝２】。在既要需要保护代理人信息，又要保证代理数　

字签名的合法性的情况下，可以选择指定验证人的代理　

签名方案。　

指定验证人的代理签名方案（ＤＶＰＳ）包括三类　

人：原始签名人，代理签名人和指定的验证人。根　

据标准的签名方案ＤＳ＝（ＫｅｙＧｅｎ，Ｓｉｇｎ，Ｖｅｒｉｆｙ１，我　

本文提出了一个基于ＢＬＳ签名口】的指定验证人的短代　

理签名方案。并依据双线性Ｄｉｆｉｆｅ．ＨｅｌｌｍａＪ１假设理论［４ｊ，利　

用随机ｏｒａｃｌｅ￣型对提出的方案进行了安全眭证明阁。　

们定义指定验证人的代理签名方案ＤＶＰｓ＝（ＫｅｙＧｅｎ，　

Ｄｅｓｉｇｎ　ＰＫＥｘｔｒａｃｔ，ＤＰＳｉｇｎ，．．ＤＰＶｅｒｉｆｙ，Ｔｒａｎｓｃｒｉｐｔ　

二、预备知识　

２．１相关概念和假设条件　

Ｓｉｍｕｌａｔｉｏｎ，ＩＤＤＶＰＳ），扩展成具有７个多项式算法参　

数，它们的定义如下：　

ＫｅｙＧｅｎ：是一个随机密钥生成算法参数。输入形　

设Ｇ　，Ｇ　是素数阶的加法群和乘法群，且它们均　式为１ｋ，其中ｋ是一个安全系数，ｋ∈ｚ；输出一个公钥　

或私钥密钥对（ＰＫ，ＳＫ１。　

属于大素数群ｑ。假设Ｇ　，Ｇ　中的离散对数问题是难解　

的。设双线性映射ｅ为：Ｇ，×Ｇ　一Ｇ　，ｅ满足如下条件：　

（１）双线性。ｅ（ａＰ，ｂＱ）＝ｅ（Ｐ，Ｑ）”，其中所有Ｐ，　

Ｑ∈Ｇ　，且所有ａ，ｂ∈ｚ；　

（２）非退化性。３Ｐ∈Ｇ１，且ｅ（Ｐ，Ｐ）≠１；　

Ｄｅｓｉｇｎ：是一个对应代理验证的算法参数。它是一　

个交互的验证算法。输入方有两项内容：原始签名人和　

代理签名人公钥参数（ＰＫ　，ＰＫｊ），和委托关系内容（包　

括如委托期限，权限等信息）；输出的是一个授权证书　

参数Ｗ　（表示用ＰＫ　来验ＥＰＫｊ）。如果一条消息内容　

（３）可计算性。对ＹＰ，Ｑ∈Ｇ。，都存在一个有效的　

７８　信息系统工程Ｉ　２０１１．７．２０　

至星　Ｑ　蕉　廛　＞＞　

与授权证书参数不一致，则这条消息与授权证书相违。　需要得到一个被验证了的代理签名密钥ＰＫ，才能得到　

ＰＫＥｘｔｒａｃｔ：是一个代理密钥生成算法参数　算　

法的输入部分包括两项内容：由原始签名人私钥Ｓｋｉ　

ｗｉ。每次试探行为都需要被询问代理签名密钥　在　

授权证书（ｗ　）　中原始签名人最多有ｑＥ个，Ａ需要为　

ＰＫ获取代理签名密钥，则需要通过自适应程序从ｑＥ个　

可能中选出正确的那个原始签名人。　

Ｄ　Ｐ　Ｓ　ｉ　ｇ　ｎ　Ｑ　Ｕ　ｅ　ｒ　Ｙ：每次试探过程需要以　

生成的签名信息　扣Ｓｉｇｎ（ＳＫｉ，　）和代埋签名者　

得私钥ＳＫｉ；算法得到（输出）一个代理签名密钥　

奄ｔ　ＰＫＥｘｔｒａｃｔ（ａｉ　ｓＫ　ｗｉ，ｊ）　

ＤＰＳｉｇｎ：是一个指定验证人代理签名算法。算法　

６ｆ÷－ＤＰＳｉｇｎ（ａ＆，ＳＫ￣；ＰＫ＃　ｍｉ，ｗＯ回复ＤＰＶＳ的询问。而ｍ　

输人部分包括四项内容：代理签名者的代理签名密钥　

（￣ＰＰＫＥｘｔｒａｃｔ的输出项）和私钥Ｓ　，指定验证人的公　

钥ＰＫ。，和一条信息ｍ∈｛０，１｝　；输出一个指定验证人　

的代理签名６　ＤＰＳｉｇｎ（ｃｐ　％　｜Ｐ如，ｍ）。　

ＤＰＶｅｒｉｆｙ：是一个验证算法。输入原始签名人和　

代理签名人的公钥，指定验证人的私钥ｓＫＤ，一条信息　

ｍ∈｛０，１｝　和一个指定签名人的代理签名ｓ和ｗｌ　；输出　

有两种可能：如果签名有效，输出Ｔ，反之输出Ｆ。例　

如，ｆｒ　Ｆ）　ＤＰＶｅｒｉｆｙ（Ｓ￣ｏ　ｐＫｆ　ＰＫｊ　∥ｍ　。　

Ｔｒａｎｓｃｒｉｐｔ　Ｓｉｍｕｌａｔｉｏｎ：通过此算法参数，一个指定　

验证人总是可利用他的私钥ＳＫＤ生成一个相等的分布式　

副本，此副本与原件难于区分。　

ＩＤＤＰＳ：是一个代理身份算法参数。输入授权证书　

参数　√和一个指定签名人的代理签名６，可以输出委托　

协议中一系列的身份参数，如公钥等。　

我们模拟一种受攻击的情况：攻击者欲获取代理签　

名人的公钥ＰＫ和指定验证人的公钥ＰＫ。。攻击者的目标　

是仿造一个ＤＶＰＳ，以期获取原始签名人验证过的公钥　

ＰＫ和相关的指定验证人的公钥ＰＫ。。我们假设攻击者有　

机会索取代理签名人的代理签名密钥，此时有可能这个　

密钥是通过了原始签名人验证的。我们继续假设攻击者　

可以得到一个ＤＰＳｉｇｎ算法参数，利用其试图推测代理签　

名人的所有委托协议和公钥ＰＫＤ的信息。　

下面我们证明ＤＰＶＳ方案对于一个自适应性信　

息筛选攻击的抵御能力。一个攻击者的成功可能性　

ＡｄｖＤＶＰＳ，Ａ取决于下述规则下攻击者Ａ从一次试探行　

为Ｃ成功获得信息的概率：　

ＫｅｙＧｅｎ：一次试探行为可通过ＫｅｙＧｅｎ算法参数生　

成一个公钥对或私钥对（ＰＫ，ＳＫ）。攻击者从中可获取　

ＰＫ和ＰＫＤ。　

ＰＫＥｘｔｒａｃｔ　Ｑｕｅｒｙ：生成ＰＫ需要被询问代理签名密　

钥　‘。一个授权证书ｗｉ是通过运行Ｄｅｓｉｇｎ算法得到的，　

其中ｗｉ描述了委托关系，￣Ｉ］ＰＫ；由ＰＫ来验证。攻击者Ａ　

最多有ｑ　种可能：ｍｌ，…　ｍ　∈｛Ｏ　１）　，因此Ａ需要最多　

ｑ。次才能输入正确的回复以获取代理签名　一　

ＤＰＶｃｒｉｆｙ　Ｑｕｅｒｙ：在ＤＰＶｃｒｉｆｙ中，每次试探需要答对　

签名的真伪性询问，如果签名是真的，则需要回答Ｔ，否　

则回答Ｆ，如：　，Ｆ】÷－ＤＰＶｅｒｉｆｙ（ＳＫ￣　ＰＫｆｊＰ　ｗ￣ｊ，ｍ，６）。这　

样Ａ才能获取一个ＤＰＶＳ的参数６以通过验证。　

定义２－３　一次攻击Ａ（ｔＪ牮　鼋　鼋　￡）如果能　

够攻破一个ＤＶＰＳ方案，需要满足攻击时间在ｔ以内，　

在ｑ　种可能答案中通过ＰＫＥｘｔｒａｃｔ的询问，在ｑ　种可　

能中答案通过ＤＰＳｉｇｎ的询问，在ｑ、，种可能答案中通　

过ＤＰＳｉｇｎ的询问，在ｑ　种可能答案中通过哈希函数　

的询问，并最后使ＡｄｖＤｖ，，ｓ，￣大于等于￡。如果不能　

形成一个攻击　Ａｄｖｏｗ，ｓ

，

４　ｑ　鼋ｓ　铷　鼋嚣　￡）突破　

ＤＶＰＳ方案的防御，则称这个ＤＶＰＳ方案是不能利用　

Ａｄ　蠡（ｔ，鼋露　鼋　鼋矿，鼋嚣　ｓ）１为造的。　

三、一个指定验证人的短代理签名方　

案（ＳＤＶＰＳ）　

３．１　ＳＤＶＰＳ方案详述　

在建立一个ＳＤＶＰＳ之前，我们先介绍一下ＢＬＳ短签　

名方案　Ｊ。　

３．１．１ＢＬＳ短签名方案：　

ＫｅｙＧｅｎ：随机选取一个Ｘ，使ｘ　最ｚ；，计算　。　

生成的公钥对或私钥对为（ＰＫ，ｓＫ）＝（　，Ｘ）。　

ｓ　ｉ　ｇ　１１：给定一条消息ｍ∈｛０，１｝　，计算　

ｏ　Ｈ（瑚　毫Ｇｌ，作为消息ｍ的一个签名。　

Ｖｆｙ：给一条消息ｍ，和一个密钥ＰＫ下对ｍ的签名　

，

验证等式ｅ　：＝：ｅ（Ｈ（ｍ　ＰＫ）是否成立。成　

立，则接收签名，否则拒绝接收。　

本文以ＢＬＳ短签名方案为基础，建立一个指定验证　

人的短代理签名方案（ＳＤＶＰＳ）。　

３．１．２　ＳＤＶＰＳ：　．　

设ｋ为安全系数，且ｋＥＺ。算法如下：　

信息系统工程ｆ　２０１１．７．２０　７９　

ＴＥＣＨＮＯＬＯＧＹ　技术应用　

以ｋ为输入，运行参数生成器ｇ，生成一个素数ｑ，　

Ｇ　和Ｇ：两个属于素数群ｑ的群，一个属于Ｇ　的生成器Ｐ，　

和一个双线性映射ｅ：Ｇ１　Ｘ　Ｇ】一Ｇ２。　

答案中通过ＰＫＥｘｔｒａｃｔ的询问，在ｑ　种可能答案中通过　

ＤＰＳｉｇｎ的询问，在ｑ、，种可能答案中通过ＤＰＳｉｇｎ的询　

问，在ｑｌｌ　、ｑ嚣：和ｑＨ；种可能答案中分别通过哈希函数　

Ｓｅｔｕｐ：选择密码学哈希函数Ｈｌ，Ｈ２，Ｈ３：｛０，　

ｌ｝　一ＧＩ。安全分析会将Ｈｌ，Ｈ２和Ｈ３视为随机ｏｒａｃｌｅ模　

型。系统参数定义为：Ｐａｒａ＝《ｑ　，　ｐ　ｉ　丑２，珂；）。　

Ｈ　，Ｈ　和Ｈ　的询问。假设Ｃ　是在群Ｇ，中计算标量乘法　

的所需的时间，Ｃ：是在Ｇ　中计算配对运算和标量乘法　

所需的时间，则攻击者Ａ成功突破ＳＤＶＰＳ方案防御的　

时间是：Ａ本身反应时间ｔ，加上通过哈希函数询问所　

ＫｅｙＧｅｎ：随机选取一个生成器ｘ｛，使ｘ｛．一ｚ《，计算　

ｘ￣ＰＥＧ。。生成的公钥对或私钥对为Ｏ　，ＳＩ（ｉ　Ｐ，　。　

ＰＫＥｘｔｒａｃｔ：对于指定的原始签名人和代理签名　

人，算法如下：　

ａ）原始签名人拥有公钥ＰＫ；，得到一个授权证　

书，上面清晰记述ＰＫ　的委托关系信息。如：通过运行　

Ｄｅｓｉｇｎ￣法可以验证Ｐ　是由Ｐ　验证的。　

ｂ）拥有Ｗｉ．ｉ的原始签名人计算　＝　ｆＨｔ（　），　

并把（ｗ　）发送给拥有公钥Ｐ　的代理签名人。　

ｃ）拥有公钥Ｐ　Ｋ　的代理签名人验证等式　

ｅ（　，Ｐ）＝ｅ（Ｈｌ（　ｊ上ＰＫｆ）的成立与否。如果成立，代理　

人计算　ｉ　ｉ　＋ｘｊＨ２　），并保留其作为一个代理　

签名密钥。　

ＤＰＳｉｇｎ：输入一个代理签名密钥　一个私钥　

Ｓ　，一个指定验证人的公钥ＰＫ。和一条消息ｍ∈｛Ｏ，　

１｝　，计算Ｈ３（Ｍ）∈Ｇ】和６＝ｅ（ａ　ｌｊ＋　Ｈ；（哟　ＰＫ口）芒Ｇ２．。　

５作为消　ｇｍ的指定验证人的代理签名。　

Ｄ　Ｐ　Ｖ　ｅ　ｒ　ｉ　ｆＹ：输入一个与Ｐ　Ｋ　Ｄ一致的私　

钥ｘ。和一个（ｗｆ　，ｍ）的Ｄ　Ｖ　Ｐ　Ｓ签名６，计算　

ＨＩ　

，

ｊ），Ｈ２（　ｊ）和Ｈ；（　）毫Ｇｌ。验证等式　

６＝ｅ（ｘ￣Ｈｌ　）。ＰＫ０・ｅ（ｘ口【Ｈ２　）＋Ｈ；（ｒｄ）】．ＰＫｊ）。　

如果等式成立，接收签名。　

Ｔ　ｒ　ａ　ｎ　ｓ　ｃ　ｒ　ｉ　Ｐ　ｔ　Ｓ　ｉ　ｍ　１１　ｌ　ａ　ｔ　ｉ　Ｏ　ｎ：通过计算　

６＝ｅ（ｘＤＨ：　），ＰＫｆ）・ｅ（ｘａ［Ｈ２　）＋Ｈ；（　】，ＰＫｊ），　

指定的验证人可以生成一个（ｗｌ　，ｍ）的ＤＶＰＳ签名６。　

注意上面生成的签名与代理签名人生成的ＤＶＰＳ签　

名是难于区分的。　

此方案需要用于签名的一个标量乘法和一个的计算　

配对，和用于验证的两个标量乘法和两个的计算配对。　

３．２安全性论证　

根据２．２的安全框架概念知识，可以推测一个对　

ＳＤＶＰＳ方案攻击的成功的几率。攻击者的多项式时　

间算法输入值为Ｐａｒａ＝《ｑ　６§，６＾，ｅ，Ｐ　ｔｔｖ魄　／－／；），　

其中ｑ　２　。Ａ需要满足攻击时间ｔ以内，在ｑ　种可能　

８Ｏ　信息系统工程ｌ　２０１　１．７．２０　

需时间（ｑａ，＋ｑ拜２＋ｑａ；＋ｑ嚣＋　＋　），分别通过　

ＰＫＥｘｔｒａｃｔ询问，ＤＰＳｉｇｎ询问和ＤＰＶｅｒｉｆｙ询问所需时间　

，　

和　，以及攻击者Ａ伪装成ＢＤＨ方法所需时　

间，即：　

Ａｄｖａ，Ａ（ｔ）＝ｔ＋ｃ：（ｑ韩　＋ｑａ：＋ｑ　＋２ｑ＃＋３ｑ　＋３‘ｂ＋３）＋ｃ２（ｑ　＋ｑ：＋１）　

上式即在随机ｏｒａｃｌｅ模型下基于ＢＤＨ假设所得的本　

ＳＤＶＰＳ方案被仿造的时间难度函数。可根据此ｓＩ）、，Ｐｓ方案　

模型设定三个哈希函数（　Ｉ　，　；）和ＰＫＥｘｌｒａｃｔ、ＤＰＳｉｇｎ　

和ＤＰＳｉｇｎ的询问的复杂度，创建安全的ＳＤＶＰＳ￣型。　

四、总结　

信息时代人们越来越重视对个人信息的保密，而现　

有代理签名方案存在泄漏代理签名人的风险；另外，为防　

止代理签名人对签名权的滥用或原始签名人和代理人相互　

抵赖的现象的发生，本文借鉴ＢＬＳ签名方案的思想，建立　

指定验证人的短代理签名方案（ＳＤＶＰＳ），并基于双线性　

－Ｈｃ】ｌｍ锄假设理论，按照随机ｏｎ　ｅ模型计算此方案的　

仿造时间难度系数　证明此方案是安全可行的。　明　

参考文献　

【１】Ｍａｍｂｏ　Ｍ，Ｕｓｕｄａ　Ｋ，Ｏｋａｍｏｔｏ　Ｅ．Ｐｒｏｘｙ　ｓｉｇｎａｔｕｒｅｓ：　

ｄｅｌｅｇａｔｉｏｎ　ｏｆ　ｔｈｅ　ｐｏｗｅｒ　ｔｏ　ｓｉｇｎ　ｍｅｓｓａｇｅｓ［Ｊ】．ＩＥＩＣＥ　Ｔｒａｎｓ　Ｆｕｎｄ　

１９９６；Ｅ７９一Ａ（９）：１３３８—５４．　

【２】刘云芳，李海芸，左为平．保护代理签名人隐私的指定验证人代　

理签名方案Ⅱ］．吉林师范大学学报（自然科学版），２００８，３（８）：１４７—１４９．　

【３］Ｂｏｎｅｈ　Ｄ，Ｌｙｎｎ　Ｂ，Ｓｈａｅｈａｍ　Ｈ．Ｓｈｏｒｔ，ｓｉｇｎａｔｕｒｅｓ　ｆｒｏｍ　ｔｈｅ　Ｗｅｉｌ　

Ｐａｉｒｉｎｇ［Ｃ】／／Ｂｏｙｄ　Ｃ．ＬＮＣＳ　２２４８：Ａｄｖａｎｃｅｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ—ＡＳＩＡＣＲ．ＹＰＴ　

２００１，７ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　ｔｈｅ　Ｔｈｅｏｒｙ　ａｎｄ　Ａｐｐｌｉｃａｔｉｏｎ　ｏｆ　

Ｃｒｙｐｔｏｌｏｇｙ　ａｎｄ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ，Ｇｏｌｄ　Ｃｏａｓｔ，Ａｕｓｔｒａｌｉａ，Ｄｅｃｅｍｂｅｒ　

９—１３，２００１．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ—Ｖｅｒｌａｇ，２００１，２２４８：５１４—５３２．　

【４】扬浩森．手】’世新。李洪伟．双线性Ｄｉ伍ｅ２ＨｅｌｌＩｎａｎ问题研究Ｕ】＿四川　

大学学报（工程科学Ｊ殴），２００６，３８（２）：１３７—１４０．　

【５】王龙斌，廉玉忠．数字签名的安全性分析Ｕ】．信息工程大学学　

报，２００３，４（１）：９０—９２．　

【作者单位：中山职业技术学院计算机工程系）