第３８卷
Ｖ＿０ｌ－３８ 第１期
ＮＯ．１ 计算机工程
Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ ２０１２年１月
Ｊａｎｕａｒｙ ２０１２
・安全技术・ 文章编号：１００ｏ＿－３４２８（２ｏｌ２）０１—０ｌ２ｏ＿＿０２ 文献标识码：Ａ 中圈分类号：ＴＰ３０９
一种有代理门限签名方案的密码分析与改进
周莹莹，张建中
（陕西师范大学数学与信息科学学院，西安７ １００６２）
摘要：研究一种有代理的门限签名方案，该方案由于群私钥分享阶段设置不当，使其不满足强不可伪造性。为此，提出一种改进方案。
在群私钥分享阶段加入哈希函数运算，并在签名时改变部分签名的形式使其能够抵抗外部攻击和内部攻击。分析结果表明，改进后的方案
是安全的。 关键词：代理签名；有代理的门限签名；强不可伪造性；伪造攻击
Ｃｒｙｏｔａｎａｌｙｓｉｓ ａｎｄ Ｉｍｐｒｏｖｅｍ￣ｒｙ １１ ｌｍＤｒｏｖｅｍｅｎｔ ＯＩ“
Ｔｈｒｅｓｈｏｌｄ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅ ｗｉｔｈ Ｐｒｏｘｙ
ＺＨｏＵ Ｙｉｎｇ－ｙｉｎｇ．ＺＨＡＮＧ Ｊｉａｎ－ｚｈｏｎｇ
（Ｃｏｌｌｅｇｅ ｏｆ Ｍａｔｈｅｍａｔｉｃｓ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｃｉｅｎｃｅ，Ｓｈａａｎｘｉ Ｎｏｒｍａｌ Ｕｎｉｖｅｒｓｉｔｙ，Ｘｉ’ａｎ ７１００６２，Ｃｈｉｎａ）
［Ａｂｓｔｒａｃｔ］Ｔｈｉｓ ｐａｐｅｒ ｐｒｅｓｅｎｔｓ ａ ｓｅｃｕｒｉｔｙ ａｎａｌｙｓｉｓ ｏｆ ａ ｔｈｒｅｓｈｏｌｄ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ ｗｉｔｈ ｐｒｏｘｙ．Ｉｔ ｆｉｎｄｓ ｔｈａｔ ｔｈｅ ｓｃｈｅｍｅ ｃａｎ ｎｏｔ ｍｅｅｔ ｔｈｅ ｓｔｒｏｎｇ ｕｎｆｏｒｇｅａｂｉｌｉｔｙ ｂｅｃａｕｓｅ ｏｆ ｔｈｅ ｇｒｏｕｐ ｐｒｉｖａｔｅ—ｋｅｙ ｓｅｔｔｉｎｇ ｉｎｃｏｒｒｅｃｔｌｙ．Ｔｏ ｏｖｅｒｃｏｍｅ ｔｈｅ ｏｒｉｇｉｎａｌ ｓｃｈｅｍｅ’ｓ ｗｅａｋｎｅｓｓｅｓ，ｔｈｉｓ ｐａｐｅｒ ｐｒｏｐｏｓｅｓ ａｎ ｉｍｐｒｏｖｅｄ
ｓｃｈｅｍｅ．Ｔｈｅ ｎｅｗ ｓｃｈｅｍｅ ｃａｎ ｒｅｓｉｓｔ ｉｎｔｅｒｎａｌ ａｔｔａｃｋ ａｎｄ ｅｘｔｅｒｎａｌ ａｔｔａｃｋ ｂｙ ｉｎｃｒｅａｓｉｎｇ ｔｈｅ ａｐｐｌｉｃａｔｉｏｎ ｏｆ ｔｈｅ ｈａｓｈ ｆｕｎｃｔｉｏｎ ｉｎ ｔｈｅ ｇｒｏｕｐ ｐｒｉｖａｔｅ—ｋｅｙ
ｓｅｔｔｉｎｇ ａｎｄ ｃｈａｎｇｉｎｇ ｔｈｅ ｐａｒｔ ｏｆ ｓｉｇｎａｔｕｒｅ ｆｏｒｍ．Ｔｈｅ ｓｅｃｕｒｉｔｙ ａｎａｌｙｓｉｓ ｐｒｏｖｅｓ ｔｈａｔ ｔｈｅ ｉｍｐｒｏｖｅｍｅｎｔ ｓｃｈｅｍｅ ｉｓ ｓｅｃｕｒｅ． ［Ｋｅｙ ｗｏｒｄｓ］ｐｒｏｘｙ ｓｉｇｎａｔｕｒｅ；ｔｈｒｅｓｈｏｌｄ ｓｉｇｎａｔｕｒｅ ｗｉｔｈ ｐｒｏｘｙ；ｓｔｒｏｎｇ ｕｎｆｏｒｇｅａｂｉｌｉｔｙ；ｆｏｒｇｅｒｙ ａｔｔａｃｋ
Ｄ０Ｉ：１０．３９６９／ｊ．ｉｓｓｎ．１０００—３４２８．２０１２．０１．０３５
ｌ概述
近年来，随着数字签名技术的迅猛发展，针对不同应用
环境的具有特殊性质的数字签名方案受到了人们的广泛关
注。文献［１】首次提出代理签名这一概念，将门限的思想引入 到代理签名方案中 Ｊ，实现了代理签名方案和门限签名方案
的完美结合，既保留了代理签名方案的特性，又具备门限的
良好性质。文献［３】首次提出了门限代理签名这一概念。目前。
已有许多种门限代理签名方案被提出 Ｊ。但是，在日常生活
中还存在一种情况是代理签名和门限代理签名方案所不能解 决的。而有代理的门限签名方案就可以解决这些问题” ｌ。在
实际生活中这种方案有很高的实用性，因此，有代理的门限
签名方案有广阔的应用和研究空间。
文献［８］提出了一种有代理的门限签名方案，但是该方案
不能满足强不可伪造性。原始签名人可以假冒他的代理人生
成合法的代理签名或者外部攻击者还可能伪造出对原始签名 人不利的签名，从而原方案中提到的问题不能被有效地解决。
本文针对原方案的不足之处提出了改进措施，提出一种新的
有代理门限的签名方案。
２原门限签名方案
２．１系统参数 ： Ｐ、ｑ是２个大素数，满足Ｐ：２ｑ＋ｌ，ｇ为ＧＦ（ｐ）的生成
元，公布Ｐ、ｑ、ｇ。群Ｇ的私钥为ＸＧ∈ｚ：，（ ，Ｐ一１）＝１，相
应的公钥为Ｙ。＝ｇ ｍｏｄＰ。Ｈ．、Ｈ 是２个至少为１２８ ｂｉｔ的
单向无碰撞的ｈａｓｈ函数。群Ｇ产生代理授权证书ｗ，其中包
括所有原始签名者和所有代理签名者的身份标识、代理签名
者代签的消息种类和代理期限等。 （ ＝１，２，…， ）代表原始
签名者，Ｑ （ ＝１，２，…， ）是其对应的代理签名人。 ２．２群私钥的分享阶段 可信中心选择ＧＦ（ｑ） 中的一个非零向量口＝（ ，ａ －－，ａ，）
及ＧＦ（ｐ）上的ｔｘｎ阶 一型秘密分享矩阵Ａ＝（Ａ１， ，…， ），
即Ａ的任意ｔ列线性无关，任意ｔ一１列不能线性表示出口。 ｒ Ｉ ， １ 从ｕ（ ）＝｛（ ｌ， ２，…， ｆ）ｌ（ ， ２，…， ）口＝∑Ｓｋ ＝ＸＧ ｍｏｄｑ｝中随 Ｌ ｌ ｋ＝ｌ Ｊ 机选择一个ｔ维向量（ ， ，…， ）∈ＧＦ（ｑ） ，计算（ｖ。，ｖ：，…，
ｖｎ）＝（ｂｊ，ｂ２，…， ）Ａ，发给 的签名秘钥为ｖ ｍｏｄｑ
（ ＝１，２，…，，ｚ）， ，＝ｇ ｍｏｄＰ，公开口、 ，。每一个成员
可以通过 ＝ｇ ｍｏｄＰ是否成立来验证自己收到的签名秘钥
是否有效。 选择“，，ｗｊ∈ Ｚ ，其满足“，ｗｊ＝ｌｍｏｄｑ，计算
ｖ，＿ｔｔｊｖ，ｍｏｄｑ及 ｇ ｍｏｄＰ，把（ｖ：， ）发给他的代理人
Ｑ，，把（ ，ｗ，）发给群签名服务机构ＳＣ。Ｑ，可以通过检验
Ｖ，＿ｇ ｍｏｄＰ是否成立来验证自己收到的代理签名秘钥的有
效性。
２．３签名生成阶段 不妨设 ， ，…， ．，Ｑ，． Ｑ，． …，Ｑ，参与消息ｍ的签名，其
中， （ ＝１，２，…，ｔ ）是所有参加签名过程的原始签名人，
基金项目：国家自然科学基金资助项目（１０５７１１ｌ３）；陕西省自然科学
基金资助项目（２００９ＪＭ８００２）；陕西省教育厅科学研究计划基金资助 项目（２０１０ＪＫ８２９）；中央高校基本科研业务费专项基金资助项目（ＧＫ
２０１００２０４１） 作者筒介：周莹莹（１９８７一），女，硕士研究生，主研方向：密码学；
张建中，教授、博士 收稿日期：２０１１－０７－０７ Ｅ－ｍａｉｌ：ｊｚｚｈａｎｇ＠ｓｎｎｕ．ｅｄｕ．ｃ
ｎ 第３８卷第１期 周莹莹，张建中：一种有代理门限签名方案的密码分析与改进
Ｑｊ（ ＝ｔ。十１，ｔ．＋２，…，ｆ）是所有参加签名过程的代理签名人。
（１） （ ＝１，２，…，ｔ１）选择 ，∈ Ｚ：，计算 ＝ｇ ｒｏｏｄＰ，
将０在公告牌上公布。Ｑ，（ ＝ｔ。＋１，ｔ。十２，…，ｆ）选择ｋ，∈ Ｚ；，
计算 ＝ｇ ｍｏｄ／２，将ｒｊ在公告牌上公布。
（２）群签名服务机构Ｓｃ先求出（ｃ，，ｃ：，…， ）∈ＧＦ（ｑ） ，满
足（ ， ，…，ＡＯ（ｃＩ，Ｃ ，…， ） ＝ａ。当１≤Ｊ≤ ｌ时，把ｄ，：Ｃ，发
给 ；当ｔ。≤ ≤ｔ时，计算ｄ，＝ＣｊＷｊ，把ｄ，发给Ｑ，。
（３）Ｐ，（１≤ ≤ ）计算Ｒ＝ｎ ｒｊ０ ｍｏｄＰ， ，＝（ｖ，ｄ，日ｌ（ｍ）一 ｊ＝ｌ ｋｊｓ）Ｈ：＜ｍｌｌｗｌｌＲ）；然后把 发给群签名服务机构ＳＣ。Ｑｊ
（ｔｌ≤ ≤ｔ）计算Ｒ＝Ｈ０。ｍｏｄＰ，且 ，＝（Ｖ： ｆＨｌ（ ）一 ，ｒ『） ｊ＝ｌ Ｈ，（ｍｌｌｗｌｌＲ）；把 发给群签名服务机构ｓｃ。
（４）群签名服务机构ＳＣ收到ｔ个成员的部分签名 后，
计算Ｒ＝ＩＩ 。ｍｏｄｐ，Ｓ＝∑ ｍｏｄｑ，则群签名服务机构ｓＣ ｊ＝ｌ 』＝ｌ 生成了对消息ｍ的群签名（尺， ）。
２．４签名验证阶段
签名接收者通过检验ｇＳＲ ｍｕｉ ｒ ：）’ 是否成立
来验证群签名的有效性。若等式成立，说明（尺， ）是一个有
效的签名。
３原方案的安全性分析
原方案不满足强不可伪造性，包括两方面的内容：无法
抵抗外部攻击者的伪造攻击；原始签名人可伪造代理签名。
３．１外部攻击者的伪造攻击 因为签名的接收者在签名的验证阶段通过检验式子：
ｇ 尺 州 ＝）， Ⅲ ㈣ 是否成立来验证最终签名的有效
性。因此，若攻击者拥有一个对消息ｍ的有效的群签名（Ｒ， ）
则攻击者可以对任意的消息ｍ 伪造一个合法的签名。执行的 操作步骤如下：对任意的消息ｍ ，将其解析成比特串，再求
出Ｈ （ｍ ），可以找到常数ｚ 满足日 （ ）＝ Ｈ， ），令Ｒ ＝Ｒ ，
再求出和Ｈ （ｍ ＇ｗｌ ［Ｒ ），可以找到常数ｆ１满足和Ｈ （ｍ，ｌｌｗ ）＝
ｌ：Ｈ （ｍｌ［ｗ［ＩＲ）。如果令Ｓ ＝ｆｌｆ１ｌ Ｓ，则（ ，Ｒ ）就是一个对消息
ｍ 的伪造签名。这是因为： ｇ ２‘ ＝ｇ ６６ＳＲ１１１２Ｈｚ（ｍ ｗ］ ｌ ＝（ｇ ＲＨ￣（ｍ…［ＭＩＲ ＝
（ｖ ＨＩ（ ） ｚ（ ’） － ＝ｖ Ｉ（ｍ） ２ ＝
）， －‘椰ｚ‘
从而攻击者便成功地伪造了一个对消息ｍ 的合法签名
（ ，Ｒ ）。
３．２原始签名人的伪造攻击 因为在群私钥的分享阶段，原始签名人Ｊｐ｜选择“ ，
Ｗ，∈ ，满足Ｉ，ｔｊＷ ＝Ｉｒｏｏｄｑ。并计算 ＝ Ｖ ｒｏｏｄｑ，再把
（ｖ ，ｙ ）发给他的代理人Ｑ，。在签名的生成阶段，Ｑ，计算
＝（Ｖ：ｄ，Ｈ，（ｍ）－ｋ，０）Ｈ： ｌｌｗ ），生成部分代理签名，用到
的私钥ｖ：是他的原始签名人所知道的。所以，原始签名人可
以伪造出代理签名。
４改进后的方案
针对上述安全性问题给出具体的改进措施。改进后的方
案中与原方案相同的地方将不做叙述，仅叙述与原方案不同
的地方。 ４．１系统参数 系统参数的设置同原方案。
４．２群私钥的分享阶段 原始签名人将自己和其代理签名人的份信息发送给可信
中心，可信中心选择“，，ｗ，∈ ，满足ＵｊＷｊ：１ｍｏｄｑ，再计
算ｈ，＝Ｗｊｒ ，ＨＪ＝ｇ ｒｏｏｄｐ， ＝ｔｔｉＶ ，Ｈｊ＝ｇ ｍｏｄｐ，然
后可信中心将（＾ ，Ｈ，）发送给每一个成员ＪＤ『，将（＾：， ：）发送
给Ｑ ，将（“ ，Ｗ ）发送给群签名服务机构ｓｃ，Ｐ，选择
∈ ，计算’ ＝ｇ ｍｏｄｐ，叩，：Ｈ２（ｗｌｌ￣Ｉ１日 ），Ａｊ＝（ ＋
，７７，）ｍｏｄ口，然后将（∥，，Ａｊ）发送给他的代理签名人Ｑ，。Ｑ，
收到原始签名人发送给他的数据后，再通过式子ｇ ＝
日， ｍｏｄＰ是否成立来验证代理授权的有效性。
４．３签名的生成阶段 本节中 （ ：ｌ，２，…，ｔ．）代表所有参加签名过程的原始签
名人，Ｑ，（』：ｔ ＋１，ｔ ＋２，…，ｆ）是所有参加签名过程的代理签名
人。具体签名过程如下：
（１）、（２）同２．３节的（１）、（２）。
（３） 计算Ｒ＝Ｆｌ ｒｊ。ｍｏｄＰ，并且ｓ，＝（ ｄ，日 （ｍ）一 ０）
（ｍｌ［ｗ［ＩＲ）＋ｈｊ；这里Ｊ＝１，２，…，ｔ ，再 发送给群签名服务
机构ｓｃ。 计算Ｒ＝兀 。ｍｏｄｐ， ，＝（ ： Ｈ。 ）一ｋ ０）
日２ Ｉ ）＋＾ｊ ；这里 ＝ｆ。＋ｌ，‘十２，…，ｔ，再将 ，发送给群
签名服务机构ＳＣ。 （４）群签名服务机构ｓｃ收到ｔ个成员的部分签名 后，
计算Ｒ＝兀 。ｍｏｄＰ，Ｓ＝ ，ｍｏｄｑ，则群签名服务机构ｓｃ ，＝ｌ Ｊ＝】 生成了对消息ｍ的群签名（Ｒ， ）。
４．４签名的验证阶段 签名的验证者通过检验下述式子是否有效来检验签名的
有效性：
ｇ ｓ 刊 ：ｙ ‘ ‘ ．＾ ． 日，＾， ｊ＝Ｊ ｊ＝ｔｌ＋ｌ 若等式成立，说明（Ｒ， ）是一个对消息ｍ的有效签名。
５安全性分析
改进后的方案是正确的，并且满足强不可伪造性，能够
被证明是安全的签名方案。
５．１正确性 完整有效的群签名是可以通过最终的验证等式的，这是
因为下式成立：
譬 （叫【 Ｒ）： （ｈｊｄｉＨ，（ｍ）－ｋｊｒ￣）＋ ｌ 。 ２‘ ０ ．
＋± ± 。Ｈ （ｍｌｌ￣ｌｍ ｇ ’ “ ・ｇ ’ ：
ｇ 五 删 ．ｆ１Ｈ，． Ｈ ：ｎ爿，‘ｌ１ ，‘ ＝ 』＝１ ｊ＝ｔ ｍ＋ｌ ｙＧＨ Ⅲ２‘ ．ｎ日 ． 日：
＝ｌ ，＝ｒ１＋Ｉ ５．２强不可伪造性 在改进后的方案中，在群私钥的分享阶段由可信中心选
择参数ｔｔｊ、ｗｊ，再计算出原始签名人和对应代理签名人的私
钥和公钥分配给他们。避免了原始签名人选择参数“，、ｗ 。
（下转第１２４页）