2024年3月14日发(作者：)

维普资讯

第２７卷　

第２１期　

ＶＯ１．２７　

ＮＯ．２１　

计算机工程与设计　

Ｃｏｍｐｕｔｅｒ　Ｅｎｇｉｎｅｅｒｉｎｇ　ａｎｄ　Ｄｅｓｉｇｎ　

２００６年１１月　

ＮＯＶ．２００６　

改进的基于身份的盲签名　

张小萍　，　于静洋　，　梁斌梅　

（１．广西大学计算机与电子信息学院，广西南宁５３０００４；２．河南大学计算机与信息工程学院，　

河南开封４７５００１；３．广西大学数学与信息学院，广西南宁５３０００４）　

摘　要：盲签名是一种可以确保消息者传送的匿名性的签名。在盲签名中签名者在签名时和签名后都不能将自己在签名协　

议中的签名和签名的消息联系起来，这就是所谓的不可追踪性，但是文献［１】中的基于身份的盲签名方案不具有不可追踪　

性，给出一种得到盲签名和签名的消息联系起来的一种攻击方法　针对以上分析的弱点，提出一种改进的基于身份的盲签　

名方案，并且对它的安全性和不可追踪性进行分析。　

关键词：盲签名；基于身份；不可追踪性；双线性配对；攻击；改进　

中图法分类号：ＴＰ３０９　文献标识码：Ａ　文章编号：１０００．７０２４（２００６）２１．４１２３．０２　

Ｉｍｐｒｏｖｅｍｅｎｔ　ｏｆ　ｉｄｅｎｔｉｔｙ

ｂａｓｅｄ　ｂｌｉｎｄ　ｓｉｇｎａｔｕｒｅ　

＿

ＺＨＡＮＧ　Ｘｉａｏ—ｐｉｎｇ　，ＹＵ　Ｊｉｎｇ—ｙａｎｇ２，ＬＩＡＮＧ　Ｂｉｎ—ｍｅｉ　

（１．Ｃｏｌｌｅｇｅ　ｏｆ　Ｃｏｍｐｕｔｅｒ　ａｎｄ　Ｅｌｅｃｔｒｏｎｉｃ　Ｉｎｆｏｒｍａｔｉｏｎ，Ｇｕａｎｇｘｉ　Ｕｎｉｖｅｒｓｉｔｙ，Ｎａｎｎｉｎｇ　５３０００４，Ｃｈｉｎａ；　

２．Ｃｏｌｌｅｇｅ　ｏｆＣｏｍｐｕｔｅｒ　ａｎｄ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｅｎｇｉｎｅｅｒｉｎｇ，Ｈｅｎａｎ　Ｕｎｉｖｅｒｓｉｙｔ，Ｋａｉｆｅｎｇ　４７５００１，Ｃｈｉｎａ；　

３．Ｃｏｌｌｅｇｅ　ｏｆ　Ｍａｔｈｅｍａｔｉｃｓ　ａｎｄ　Ｉｎｆｏｒｍａｔｉｏｎ，Ｇｕａｎｇｘｉ　Ｕｎｉｖｅｒｓｉｔｙ，Ｎａｎｎｉｎｇ　５３０００４，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ａ　ｂｌｉｎｄ　ｓｉｇｎａｔｕｒｅ　ｓｃｈｅｍｅ　ｃａｌｌ　ｅｎｓｕｒｅ　ａｎｏｎｙｍｉｔｙ　ｏｆ　ｔｈｅ　ｓｅｎｄｅｒ　ｏｆ　ａ　ｍｅｓｓａｇｅ．Ｔｈｅ　ｓｉｇｎａｔｕｒｅ　ｃａｎｎｏｔ　ｌｉｎｋ　ａ　ｓｉｇｎａｔｕｒｅ　ｔｏ　ｔｈｅ　ｃｏｔ—　

ｒｅｓｐｏｎｄｉｎｇ　ｍｅｓｓａｇｅ　ｏｆｓｉｇｎｉｎｇ　ｐｒｏｔｏｃｏｌ　ａｔ　ｔｈｅ　ｓａｍｅ　ｔｉｍｅ　ａｎｄ　ａｆｔｅｒ　ｓｉｎｇｉｎｇ，ｗｈｉｃｈ　ｉｓ　ｃａｌｌｅｄ　ｕｎｌｉｎｋａｂｉｌｉｙｔ，Ｂｕｔ　Ｉｔ　ｉｓ　ｐｏｉｎｔｅｄ　ｏｕｔ　ｔｈｅ　ｉｄｅｎｔｉｙｔ

＿　

ｂａｓｅｄ　ｂｌｉｎｄ　ｓｉｎｇａｔｕｒｅ　ｓｃｈｅｍｅ　ｉｎ　ｄｏｃｕｍｅｎｔ［１］ｃａｎ　ｎｏｔ　ｓａｔｉｓｆｙ　ｕｎｌｉｋｎａｂｉｌｉｙｔ　ｐｒｏｐｅｒｔｙ，ａｎｄ　ｎａ　ａｔｔａｃｋ　ｉｓ　ｐｕｔ　ｆｏｒｗａｒｄ　ｗｈｉｃｈ　ｉｄｅｎｔｉｉｆｅｓ　ｔｈｅ　

ａｓｓｏｃｉａｔｉｏｎ　ｂｅｔｗｅｅｎ　ｔｈｅ　ｍｅｓｓａｇｅ　ｎａｄ　ｔｈｅ　ｂｌｉｎｄ　ｓｉｇｎａｔｕｒｅ　ｓｉｇｎｅｒ　ｇｅｎｅｒａｔｅｄ．Ａｎ　ｉｍｐｒｏｖｅｍｅｎｔ　ｉｓ　ｐｒｏｐｏｓｅｄ　ｔｏ　ｓｏｌｖｅ　ｔｈｅ　ｐｒｏｂｌｅｍ，ａｎｄ　ｉｔｓ　ｓｅ—　

ｃｕｒｉｙｔ　ａｎｄ　ｕｎｌｉｎｋａｂｉｌｉｔｙ　ｒａｅ　ａｌｓｏ　ａｎａｌｙｚｅｄ．　

Ｋｅｙ　ｗｏｒｄｓ：ｂｌｉｎｄ　ｓｉｎｇａｔｕｒｅ；ｉｄｅｎｔｉｙｔｂａｓｅｄ；ｕｎｌｉｎｋａｂｉｌｉｙｔ；ｂｉｌｉｎｅａｒ　ｐａｉｒｉｎｇ；ａｔｔａｃｋ；ｉｍｐｒｏｖｅｍｅｎｔ　

０　引　言　

ｑ的循环乘法群。双线性配对是指满足下列性质的一个映射　

会：Ｇ。ｘＧ。一Ｇ　：①双线性：　（ａＰ，ｂＱ）＝台（Ｐ＇Ｑ）　；②非退化性：存在Ｐ，　

盲签名是Ｃｈａｕｍ在１９８３年首次提出来的　，盲签名在电　

Ｑ∈Ｇ。，使得会（Ｐ，Ｑ）≠ｌ：③可计算性：对所有的Ｐ，Ｑ∈Ｇ。存在有　

子投票和电子现金的应用非常广泛，它对满足电子商务中的　

效的算法计算　（　Ｑ）。　

消费者的隐私权提供了重要保证。一般地，一个盲签名应满　

当群Ｇ上的ＤＤＨＰ（确定Ｄｉｆｆｉｅ．Ｈｅｌｌｍａｎ问题）是容易的，　

足以下两个条件：①不可见性：被签名的消息对签名者是盲　

而ＣＤＨＰ（计算Ｄｉｉｆｅ．Ｈｅｌｌｍａｎ问题）是困难的时，我们称群Ｇ为　

的。②不可追踪性：签名人事后不能追踪签名的消息。　

Ｇａｐ　Ｄｉｉｆｅ．Ｈｅｌｌｍａｎ（ＧＤＨ）群。这样的群能在有限域上的超奇　

当前，基于离散对数和基于椭圆曲线密码体制的盲签名　

异椭圆曲线或超椭圆曲线上找到，而双线性配对可由Ｗｌｅｉｌ对　

已经被广泛提出，而在文献…１中，利用椭圆曲线上的ｗｅｉｌ配　或Ｔａｔｅ对获得。更多细节可参见文献［３】。　

对提出了一个基于身份的盲签名方案。首先我们回顾一些预　

１．２　Ｈｅｓｓ的基于身份签名体制　

备知识：双线性配对和Ｈｅｓｓ基于身份的签名体制，然后分析　

一

个基于身份的签名方案由４个算法组成：系统初始化、　

文献…１中的盲签名方案，指出它不具有不可追踪性，并且给　

密钥提取、签名和验证。系统中包含３方：可信中心、签名者　

出一个改进方案。　和验证者。设Ｇ。，Ｇ　分别是阶为ｑ的加法群和乘法群，其中ｑ　

１基础知识　

是素数，在Ｇ。，Ｇ　中离散对数问题都是难解的。设　是Ｇ－ｘＧ－到　

Ｇ　的一个双线性映射。通常取Ｇ。为有限域Ｆ　上的椭圆曲线　

１．１双线性配对　

有理点群的一个加法子群，Ｇ　取为这个有限域的一个乘法子　

令Ｇ。为由Ｐ生成的循环加法群，阶为ｑ，Ｇ　为具有相同阶　

群，双线性映射　由椭圆曲线上的Ｗｅｉｌ配对派生得到。设ＩＤ　

收稿日期：２００５—０９—２５。　

作者简介：张小萍（１９７８一），女，广西柳州人，硕士，助教，研究方向为网络信息安全、密码学；　于静洋（１９８０一），女，助教，研究方向为网　

络信息安全；　梁斌梅（１９７３一），女，硕士，讲师，研究方向为数据库安全。　

一

４１２３—　

维普资讯

是一个表示用户身份的一个字符串，Ｈ。，Ｈ　是公开的加密用哈　

希函数Ｈ。：｛Ｏ，ｌ｝‘一Ｇ。，Ｈ　：｛Ｏ，ｌ｝’ｘＧ２一　。　

系统初始化：可信中心随机选取一个元素Ｐ∈Ｇ。和一个　

整数ｔＥＦ　。计算Ｑ　－－ｔＰ，公开（Ｐ，Ｑ　），保密ｔ，ｔ称为系统主密　

钥，系统中所有用户的私钥均由它生成。　

密钥提取：当用户需要与他的身份对应的私钥时，向可信　

中心提出申请。可信中心在验证了用户的身份后给出用户身　

份所对应的私钥。设用户的身份由一个字符串ＩＤ给出，则他　

的公钥可以使用Ｑ　＝Ｈ。（ＩＤ）算出，私钥Ｓ￣－－ｔＱ　。然后通过安全　

信道将Ｓ　送给用户。用户的密钥对为（Ｏ。。，Ｓ　。　

签名：为了签名一个消息ｍ，签名者选取Ｐ。∈Ｇ。，ｋ∈Ｆ　，计　

算：ｒ＝＝　（Ｐ。，Ｐ）　；ｖ＝Ｈ　（ｍ，ｒ）；Ｕ＝ｖＳ。。＋ｋＰ。。所得签名是（Ｕ，ｒ）∈（Ｇ－，Ｇ　）。　

验证：计算　（ｕ，Ｐ），　（Ｑｍ，Ｑ　）ｖ，检查验证等式　（Ｕ，Ｐ）＝　（Ｑｍ，　

Ｑ　）　ｒ是否成立。此签名方案由文献［４】构造，可以证明该方案　

在随机提示模型下是安全的。　

２原方案与攻击　

２．１原方案　

系统参数的选取与上面的Ｈｅｓｓ数字签名方案相同。设Ａ　

为待签名者，Ｂ为签名者。Ｂ的身份是ＩＤ，则其公钥为Ｑ　Ｈ。　

（ＩＤ）；私钥为Ｓ￣－－ｔＱ　现有消息ｍ需Ｂ加盲签名，则Ａ与Ｂ执　

行如下交互协议：　

（１）Ａ向Ｂ发一个请求，通知Ｂ他需要Ｂ对某个消息加盲　

签名。为安全起见，Ｂ要检查Ａ的身份和权限等，具体方法这　

里不予考虑，假设检查通过。　

（２）Ｂ随机取Ｐ。∈Ｇ。，计算ｅ＝ｂ（Ｐ。．Ｐ）并将其发送给Ａ。　

（３）Ａ收到ｒ’后随机取Ｐ　∈Ｇ。，ｋ∈Ｆ　，计算ｒ＝ｒ　ｂ（ｐ　，Ｐ）；ｖ＝　

Ｈ２（ｍ，ｒ）；ｖ＇－ｖ／ｋ；然后将ｖ’送给Ｂ。　

（４）Ｂ收到ｖ’后，计算Ｕ’＝ＶｖｓｌＤ＋Ｐ。并将其发给Ａ。　

（５）Ａ收到ｕ’后，计算Ｕ＝ｋ　Ｕ’＋Ｐ　。至此，得到Ｂ对消息ｍ　

的盲签名（Ｕ，ｒ）。　

上述盲签名（Ｕ，ｒ）满足验证等式。事实上，令ｖ＝Ｈ　（ｍ，ｒ），则　

ｂ（ｕ，Ｐ）＝　（ｋ　Ｕ’＋Ｐ　，Ｐ）＝＝　（ｖ　ｓ　ｒＤ＋ｋＰ－＋Ｐ　，Ｐ）＝　（ｔＱｍ，Ｐ）Ｖｂ（ｋＰ－＋Ｐ　，Ｐ）＝　（Ｑｍ，　

Ｑｎ）　（ＰＩ，Ｐ）　ｂ（Ｐ　，Ｐ）＝ｂ（Ｑｍ，ＱＴ，０Ｖｒ，验证等式成立。　

２．２分析和攻击　

在上面的方案中，作者声称由于签名者看到的是（，，ｖ’，ｕ’）　

而最终的签名（Ｌ　ｖ＇Ｕ）是用随机值Ｐ　，ｋ处理后的结果，所以签名　

者保存了每次签名时的交互信息，他也没法将其与某个签名　

联系起来，所以具有不可追踪性。　

但实际上，只要盲签名者Ｂ记录所有他能够收集到的（ｒ’，　

ｖ’

，

ｕ’）信息，当一个签名（ｍ，Ｕ，ｒ）被公开后，Ｂ计算ｖ＝Ｈ２（ｍ，ｒ），ｋ－－ｖ／　

ｖ’

，

然后计算Ｐ　＝ｕ—ｋＵ’，验证ＦｒＩ　（ｐ　，Ｐ）是否成立，若等式成立，　

那么说明签名（ｍ，Ｕ，ｒ）就是Ｂ使用（，，ｖ’，Ｕ’）所做出的盲签名，所　

以上面的方案不具有不可追踪性。　

３改进的基于身份的盲签名方案　

３．１改进的盲签名方案　

（１）Ａ向Ｂ发一个请求，通知Ｂ他需要Ｂ对某个消息加盲　

签名。为安全起见，Ｂ要检查Ａ的身份和权限等，具体方法这　

里不予考虑，假设检查通过。　

－——

４１２４－——　

（２）Ｂ随机取Ｐ。∈Ｇ。，计算ｒ＝＝　（Ｐ。，Ｐ）并将其发送给Ａ。　

（３）Ａ收到ｒ’后随机取Ｐ　∈Ｇ－，ｋ∈Ｆｑ，计算ｒ＝ｒ　（Ｐ　，Ｐ）ｂ（Ｑ　，　

Ｑ　）　；ｖ＝Ｈ２（ｍ，ｒ）：ｖ＇＝ｖ／ｋ＋ｂ；然后将ｖ’送给Ｂ。　

（４）Ｂ收到ｖ’后，计算Ｕ’＝ＶｖＳＤ＋Ｐ。并将其发给Ａ。　

（５）Ａ收到ｕ’后，计算Ｕ＝ｋＵ’＋Ｐ　。至此，得到Ｂ对消息ｍ　

的盲签名（Ｕ，ｒ）。　

上述盲签名（Ｕ，ｒ）满足验证等式。事实上，令ｖ＝Ｈ　（ｍ，ｒ），则　

ｂ（ｕ，Ｐ）＝　（ｋｕ’＋Ｐ　，Ｐ）＝ｂ（（ｖ＋ｂｋ）ＳＤ＋ｋＰ。＋Ｐ　，Ｐ）＝ｂ（ｔＱ　。，Ｐ）　（ｋＰ。＋Ｐ　，Ｐ）　

（Ｑ－ｏ，Ｑｎ）ｖ　（Ｑ－ｏ，Ｑｎ￣ｂｂ（Ｐ－，Ｐ）　（Ｐ　，Ｐ）＝　（Ｑｍ，ＱＴ，０Ｖｒ，验证等式成立。　

３．２安全性和不可追踪性分析　

（１）安全性：其安全性同原方案一样是基于Ｈｅｓｓ基于身份　

认证的安全性　。　

（２）不可追踪性：如果Ｂ想通过自己所掌握的（，，ｖ’，Ｕ’）来确　

定是否就是一个转化后公开的盲签名（ｍ，Ｕ，ｒ），那么他可以计　

算出ｖ＝Ｈ　（ｍ，ｒ），但是由于ｖ＇－ｖ／－ｋ＋ｂ，含有两个随机数ｋ，ｂ，所以Ｂ　

无法由ｖ和Ｖ　ｖ得到ｋ的值，又由于Ｕ＝ｋＵ’＋Ｐ　中也含有两个未知　

数ｋ和Ｐ　，Ｂ通过Ｕ和Ｕ’也无法得知ｋ和Ｐ　的值。因此改进　

方案具有不可追踪性。　

４结束语　

盲签名的不可追踪性在电子商务和电子投票中起着重要　

的作用，比如：在匿名投票中投票人不希望自己选举信息被别　

人知道。文中对文献［１】中的盲签名方案进行了分析和改进，　

改进的盲签名方案具有不可追踪性。　

参考文献：　

［１】　王泽成，斯桃枝，李志斌，等．基于身份的代理签名和盲签名［Ｊ】．　

计算机工程与应用，２００３，２３（８）：１４８—１５０．　

［２】Ｃｈａｕｍ　Ｄ．Ｂｌｉｎｄ　ｓｉｇｎａｔｕｒｅ　ｆｏｒ　ｕｎｔｒａｃｅａｂｌｅ　ｐａｙｍｅｎｔｓ［Ｃ】．Ａｄ－　

ｖａｎｃｅｉｎＣｒｙｐｔｏｌｏｇｙ，ＰｒｏｃＣｒｙｐｔｏ＇８２，ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒ　

Ｓｃｉｅｎｃｅ，Ｓｐｒｉｎｇｅｒ　Ｖｅｒｌａｇ，１９８３．１９９—２０３．　

［３】　Ｂｏｎｅｃｈ　Ｄ，Ｌｙｎｎ　Ｂ，Ｓｈａｃｈａｍ　Ｈ．Ｓｈｏｒｔ　ｓｉｇｎａｔｕｒｅ　ｆｒｏｍ　ｔｈｅ　Ｗｅｉｌ　ｐａｉ—　

ｒｉｎｇ［Ｃ】．Ｂｅｒｌｉｎ：Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆＡｄｖａｎｃｅ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ　ＡＳＩＡ　

Ｃｒｙｐｔ，ＬＮＣＳ２２４８，Ｓｐｒｉｎｇｅｒ　Ｖｅｒｌａｇ，２００１．５１４—５３２．　

［４】Ｈｅｓｓ　Ｆ．Ｅｘｐｏｎｅｎｔ　ｇｒｏｕｐ　ｓｉｎｇａｔｕｒｅ　ｓｃｈｅｍｅｓ　ａｎｄ　ｅｆｉｆｃｉｅｎｔ　ｉｄｅｎｔｉｔｙ　

ｂａｓｅｄ　ｓｉｎｇａｔｕｒｅ　ｓｃｈｅｍｅｓ　ｂａｓｅｄ　ｏｎ　ｐａｉｒｉｎｇ［Ｃ】．Ｐｒｏｃ　９ｔｈ　Ｗｏｒ－　

ｋｓｈｏｐ　ｏｎ　ＳｅｌｅｃｔｅｄＡｒｅａｓ　ｉｎ　Ｃｒｙｐｔｏｇｒａｐｈｙ—ＳＡｅ　ＬＡＮＣＳ　２５９５．　

Ｓｐｒｉｎｇｅｒ　Ｖｅｒｌａｇ，２００２＿３　１０—３２４．　

［５】　Ｃｈｅｎ　Ｊ　Ｊ－Ｒ，Ｃｈｅｎ　Ａ　ＰＡ　ｂｌｉｎｄ　ｓｉｇｎａｔｕｒｅ　ｓｃｈｅｍｅ　ｂａｓｅ　ｏｎ　ｄｕａｌ　

ｃｏｍｐｌｅｘｉｔｉｅｓ［Ｃ］．Ｓｈａｎｇｈａｉ，ＰＲＣ．＂Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　ｌｎｔｅｒｎａ—　

ｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ，２００２．６　１—６５．　

［６】Ｈｕａｎｇ　Ｈ　Ｆ’Ｃｈａｎｇ　Ｃ　Ｃ．Ａ　ｎｅｗ　ｄｅｓｉｎｇ　ｏｆｅｆｉｆｃｉｅｎｔ　ｐａｒｔｉａｌｌｙ　ｂｌｉｎｄ　

ｓｉｇｎａｔｕｒｅ　ｓｃｈｅｍｅ［Ｊ］．Ｔｈｅ　Ｊｏｕｒｎａｌ　ｏｆ　Ｓｙｓｔｅｍｓ　ａｎｄ　Ｓｏｆｔｗａｒｅ，　

２００４，７３（３）：３９７—４０３．　

［７】Ｐａｔｅｒｓｏｎ　Ｋ　Ｇ．ＩＤ—ｂａｓｅｄ　ｓｉｎｇａｔｕｒｅ　ｒｆｏｍ　ｐａｉｒｉｎｇｓ　ｏｎ　ｅｌｌｉｐｔｉｃ　ｃｕｒ－　

ｖｅｓ［Ｊ］．Ｅｌｅｃｔｒｏｎ　Ｌｅｔｔ，２００２，３８（１８）：１０２５—１０２６．　

［８】Ｚｈａｎｇ　Ｆ　Ｇ，Ｓａｆａｖｉ　Ｎａｉｎｉ　Ｒ，Ｓｕｓｉｌｏ　Ｅｆｉｆｃｉｅｎｔ　ｖｅｒｉｉｆａｂｌｙ　ｅｎ—　

ｃｒｙｐｔｅｄ　ｓｉｇｎａｔｕｒｅ　ａｎｄ　ｐａｒｔｉａｌｌｙ　ｂｌｉｎｄ　ｓｉｎｇａｔｕｒｅ　ｆｒｏｍ　ｂｉｌｉｎｅａｒ　ｐａｉ—　

ｒｉｎｇｓ［Ｃ］．Ｎｅｗ　Ｙｏｒｋ．Ｐｒｏｃｅｅｄｉｎｇ　ｏｆｔｈｅ　ｌｎｄｏｃｒｙｐｔ，ＬＮＣＳ　２９０４，　

Ｓｐｉｎｇｅｒ　Ｖｅｒｌａｇ，２００３．１９１—２０４．