第３７卷
Ｖ＿０ｌ＿３７ 第ｌ８期
ＮＯ．１８ 计算机工程
Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ ２０１１年９月
Ｓｅｐｔｅｍｂｅｒ ２０１ １
・安全技术・ 文章编号：１ｏ０ｏ一＿３４２８（２０１１）１８—０ｌ４５—０３ 文献标识码ｚ Ａ 中圈分类号ｔ ＴＰ３０１．６
一种基于身份的高效短群签名方案
蔡志伟 ，一，王立斌 ，一，马昌社 ，
（１．华南师范大学计算机学院，广州５１０６３ｌ；２．上海市信息安全综合管理技术研究重点实验室，上海２００２４０）
摘要：使用子群判定假设，利用以身份层次化为基础的群签名构造方法，提出一种基于身份的高效短群签名方案。在无需更新群公钥和
其他群成员签名私钥的前提下，允许新成员的动态加入，群签名长度不依赖于群成员的数目，群管理员不能伪造其他成员的签名。实验结
果表明，在遭受选择明文攻击时，该方案能满足匿名性、防伪造性、可追踪性和防陷害性等安全需求，并具有较高的运行效率和较短的签
名长度。 关健词：短群签名；可追踪性；防陷害性；不可伪造性；基于身份
Ｉｄｅｎｔｉｔｙ—ｂａｓｅｄ Ｅｆｆｉｃｉｅｎｔ Ｓｈｏｒｔ Ｇｒｏｕｐ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅ
ＣＡＩ Ｚｈｉ．ｗｅｉ ’。，ＷＡＮＧ Ｌｉ－ｂｉｎ ，。，ＭＡ Ｃｈａｎｇ．ｓｈｅ ，。
（１．ＣｏｍｐｕｔｅｒＳｃｈｏｏｌ，ＳｏｕｔｈＣｈｉｎａＮｏｒｍａｌＵｎｉｖｅｒｓｉｔｙ，Ｇｕａｎｇｚｈｏｕ ５１０６３１，Ｃｈｉｎａ； ２．Ｓｈａｎｇｈａｉ Ｋｅｙ Ｌａｂｏｒａｔｏｒｙ ｏｆ Ｉｎｔｅｇｒａｔｅｄ Ｍａｎａｇｅｍｅｎｔ Ｔｅｃｈｎｏｌｏｇｙ Ｒｅｓｅａｒｃｈ ｏｆ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ，Ｓｈａｎｇｈａｉ ２００２４０，Ｃｈｉｎａ）
［Ａｂｓｔｒａｃｔ］Ｔｈｉｓ ｐａｐｅｒ ｕｓｉｎｇ ｔｈｅ ｓｕｂｇｒｏｕｐ ｄｅｃｉｓｉｏｎ ａｓｓｕｍｐｔｉｏｎ ｐｒｏｐｏｓｅｓ ａｎ ｉｄｅｎｔｉｔｙ—ｂａｓｅｄ ｅｆｆｉｃｉｅｎｔ ｓｈｏｒｔ ｇｒｏｕｐ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ ｂｙ ｕｓｉｎｇ ｔｈｅ ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ—ｂａｓｅｄ ｇｒｏｕｐ ｓｉｇｎａｔｕｒｅ ｃｏｎｓｔｒｕｃｔｉｏｎ ｍｅｔｈｏｄ．Ｉｔ ａｌｌｏｗｓ ｎｅｗ ｍｅｍｂｅｒｓ ｔｏ ｊｏｉｎ ｉｎ ｔｈｅ ｇｒｏｕｐ ｄｙｎａｍｉｃａｌｌｙ ｗｉｔｈｏｕｔ ｕｐｄａｔｉｎｇ ｔｈｅ ｇｒｏｕｐ
ｐｕｂｌｉｃ ｋｅｙ ａｎｄ ｏｔｈｅｒ ｇｒｏｕｐ ｍｅｍｂｅｒｓ’ｐｒｉｖａｔｅ ｓｉｇｎｉｎｇ ｋｅｙｓ．Ｔｈｅ ｌｅｎｇｔｈ ｏｆ ｔｈｅ ｓｉｇｎａｔｕｒｅ ｉｓ ｉｎｄｅｐｅｎｄｅｎｔ ｏｆ ｔｈｅ ａｍｏｕｎｔ ｏｆ ｔｈｅ ｇｒｏｕｐ ｍｅｍｂｅｒｓ，ａｎｄ ｔｈｅ
ｇｒｏｕｐ ｍａｎａｇｅｒ Ｃａｎ ｎｏｔ ｆｏｒｇｅ ａｎｙ ｏｔｈｅｒ ｍｅｍｂｅｒ’Ｓ ｓｉｇｎａｔｕｒｅ．Ｅｘｐｅｒｉｍｅｎｔａｌ ｒｅｓｕｌｔｓ ｓｈｏｗ ｔｈａｔ，ｔｈｉｓ ｓｃｈｅｍｅ ｓａｔｉｓｆｉｅｓ ａｎｏｎｙｍｉｔｙ，ｕｎｆｏｒｇｅａｂｉｌｉｔｙ， ｔｒａｃｅａｂｉｌｉｔｙ ａｎｄ ｎｏｎ—ｆｒａｍｅａｂｉｌｉｔｙ ｏｆ ｔｈｅ ｓｅｃｕｒｉｔｙ ｒｅｑｕｉｒｅｍｅｎｔｓ ｏｆ ｇｒｏｕｐ ｓｉｇｎａｔｕｒｅ ｕｎｄｅｒ Ｃｈｏｓｅｎ Ｐｌａｉｎｔｅｘｔ Ａｔｔａｃｋｓ（ＣＰＡ）．Ｔｈｉｓ ｓｃｈｅｍｅ ｉｓ ｍｏｒｅ ｅｆｆｉｃｉｅｎｔ ａｎｄ ｔｈｅ ｌｅｎｇｔｈ ｏｆ ｔｈｅ ｓｉｇｎａｔｕｒｅ ｉｓ ｓｈｏｒｔｅｒ．
［Ｋｅｙ ｗｏｒｄｓ］ｓｈｏｒｔ ｇｒｏｕｐ ｓｉｇｎａｔｕｒｅ；ｔｒａｃｅａｂｉｌｉｔｙ；ｎｏｎ－－ｆｒａｍｅａｂｉｌｉｔｙ；ｕｎｆｏｒｇｅａｂｉｌｉｔｙ；ｉｄｅｎｔｉｔｙ－－ｂａｓｅｄ
ＤｏＩ：１０．３９６９／ｊ．ｉｓｓｎ．１０００—３４２８．２０１１．１８．０４８
１概述
文献［１—３］提出群签名的概念。允许群体中的任何一个成
员代表整个群体对消息进行匿名签名，且在有争议的时候， 群管理者可以打开群签名，确定签名者的真实身份。群签名
自提出以来，得到国内外广泛的关注。然而，在实际应用中，
群签名的运行效率和签名长度是制约其得到广泛应用的重要
原因。标准模型的群签名方案主要是在合数阶群中实现。
２００６年一２００７年，文献［１—２］提出２个在合数阶群中实现 的群签名方案，这２个方案在弱化ＢＭＷ模型时是安全的，
即方案的匿名性能抵抗选择明文攻击。前一个方案使用的是 零知识证明技术，将签名者的身份逐比特加密后作为签名的
一部分，签名含有Ｏ（１ｇｎ）个群元素，其中， 为群成员数，
方案的群公钥也与成员数成对数关系。后一个方案对前一个
方案做出改进，签名由６个合数阶群内的元素组成，群公钥
与消息空间成线性关系。文献【４］提出基于身份的层次化加密
（Ｈｉｅｒａｒｃｈｉｃａｌ Ｉｄｅｎｔｉｔｙ—ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ，ＨＩＢＥ）方案构造群签 名的方法。然而，目前的方案在实际应用中仍存在运行效率
较低、签名长度过长以及群签名不具备防陷害性的缺点。故
研究高效的具有防陷害性的短群签名方案是当前群签名研究
中亟需解决的问题。本文基于文献［５】提出的ＨＩＢＥ方案，利
用文献【４】的群签名构造方法，提出一种基于身份的高效短群
签名方案。
２预备知识
２．１群签名的定义及安全需求
定义１群签名方案包含：创建，加入，签名，验证和打 开过程的数字签名方案。
群签名的安全性需求包括：匿名性，防伪造性，可跟踪
性和防陷害性。
２．２双线性群与相关困难问息 关于双线性群与相关困难问题的描述如下：
（１）双线性群
设Ｇ和Ｇｒ是阶为ｎ 印的有限循环群，其中，Ｐ和ｑ为 素数；映射ｅ：Ｇ×Ｇ＿÷Ｇｒ称为双线性映射。它们满足双线
性性、非退化性和可计算性。 （２）相关困难问题
计算Ｄｉｆｆｅｒ—Ｈｅｌｌｍａｎ问题：给定群Ｇ，且Ｐ是Ｇ的生成
元，已知（Ｐ，ａＰ，ｂＰ），计算ａｂＰ，其中，ａ，ｂｅｚｑ未知。 ＧＰ的计算Ｄｉｆｉｅ—Ｈｅｌｌｍａｎ假设：对于元素个数为，ｚ的合
数阶群Ｇ，ｎ＝ｐｑ，给定（ｇ，ｇ ，ｇｂ）∈Ｇ，其中，ａ，ｂｅ Ｚｐ，Ｐ为
素数 计算ｇ 。不存在（ｆ，口 ，￡）敌手Ａ在时间ｔ内经ｑ，次提
问，至少以概率￡计算ｇ 。称敌手具有优势ｓ，如果概率
Ｐｒ［Ａ（ｇ，ｇ“，ｇ ）＝ｇ ］≥Ｆ。如果Ｇ 中的ＣＤＨ问题是困难
的，那么Ｇ中的ＣＤＨ问题也是困难的。
子群判定假设：给定群Ｇ和Ｇｒ，群Ｇ的阶数为ｎ＝ｐｑ。
基金项目：国家自然科学基金资助项目“高效可证明紧致安全的数 字签名技术研究”（６０７０３０９４）；上海市信息安全综合管理技术研究重 点实验室开放课题基金资助项目（ＡＧＫ２０１００００６） 作者倚介：蔡志伟（１９８３一），男，硕士研究生，主研方向：信息安全，
密码学；王立斌、马昌社，副教授、博士后 收稿日期：２０１１－０４—０６ Ｅ—ｍａｉｌ：ｌｂｗａｎｇ＠ｓｃｎｕ．ｅｄｕ．ｃ
ａ １４６ 计算机工程 ２０１１年９月２０日
双线性映射定义为：ｅ：ＧｘＧ Ｇｒ，不存在多项式时间算法
Ａ以可忽略ＳＤ—ＡｄｖＡ的优势解子群判定问题，其中，ＳＤ Ａｄｖａ
定义为：
ＳＤ—ＡｄｖＡ＝Ｉ Ｐｒ［ａ（ｎ，Ｇ，Ｇ ，ｅ， ）＝
１：Ｘ Ｇ卜Ｐｒ［Ａ（ｎ，Ｇ，Ｇｒ，ｅ，ｘ ）：１：Ｘ Ｇ】ｌ
定义２若不存在使用概率多项式时间算法解决子群判定
问题的情况，则认为子群判定假设在合数阶群Ｇ中成立 Ｊ。
３高效短群签名
本文使用Ｇ 和Ｇ。分别代表阶为Ｐ和ｑ的Ｇ的子群；使
用Ｇ 和Ｇ 分别代表阶为Ｐ和ｑ的Ｇｒ的子群。即有：
Ｇ＝ＧｐＸＧｑ和Ｇｒ＝Ｇｒ， × ． 。若ｇｌ是群Ｇ的生成元，则ｇ
和ｇ 分别为Ｇ 和 的生成元。由此可知对于所有ｈｐ Ｇ
和 ∈ 都有： （ ，ｈｑ）＝１，这是由于存在整数ａ，ｂ使得有：
ｅ（ｈｐ， ）＝ （ｇ；，ｇ ），同时存在群Ｇ的生成元ｇｌ使得有：
Ｐ（ｇ：，ｇ ）＝Ｐ（ｇ ，ｇ ）＝ｅ（ｇ１，ｇ】） ＝１。
３．１系统刨建
使用Ｓｅｔｕｐ算法输入安全参数 ，生成公开系统参数ＰＫ
和主密钥ＭＫ，追踪密钥ＴＫ。群管理员首先选择ｎ＝ｐｑ，其
中，Ｐ和ｑ为２个随机的素数。令Ｇ是阶为合数 的双线性
群，定义Ｇ 和Ｇｇ为Ｇ的子群，其阶分别为Ｐ和ｑ，ｇ和ｇ 分别为Ｇ 和Ｇ 的生成元，以及一个非退化的双线性映射为
ｅ：ＧｘＧ＇÷ＧＴ。此外，选择一个哈希函数为日：（０，１｝＿÷ 。
选择随机元素：
ｆ，ｖ， ， ，ＷＥ Ｇｐ；Ｒｇ，Ｒｓ，Ｒ，ＲＩ，Ｒ２∈Ｇｑ
计算： Ｇ＝ｇＲ，Ｆ＝ｆＲｊ，Ｖ＝ｖＲｖ，日ｌ＝ ，日２＝ Ｒ２，Ｅ＝ｅ（ｇ，ｗ）
最后，群管理员发布群公钥如下：
ＰＫ＝［ｇ，ｇｑ，Ｇ，Ｆ，Ｖ，Ｈ１，Ｈ２，Ｅ】
群管理员保留以下主密钥和追踪密钥：
ＭＫ＝［ｐ，ｑ，ｇ，ｆ，Ｖ， ， ，ｗ］，ＴＫ＝ｇ
３．２成员加入 令ｕｓｅｒＩＤ∈ｚ 表示用户的身份，当用户申请成为群的成
员时，与群管理员进行交互，并完成以下步骤：
（１）用户随机选择 ， ∈ｚ ，Ｈ对群管理员保密，计算
Ｐ＝ｇｑ“，Ｑ＝ｅ（ｇ，ｇ ） ，并将（Ｐ，Ｑ）发送给群管理员。
（２）ＧＭ随机选择ｃ∈ 回应用户。
（３）用户计算Ｓ：ｋ＋ＣＵ并发送给群管理员。
（４）群管理员验证等式ｅ（ｇ，ｇ。） ＝Ｑｘｅ（ｐ，ｇ） 成立后，群管
理员输入主密钥ＭＫ和用户标识ｕｓｅｒｌＤ并执行Ｊｏｉｎ算法。该
算法执行以下步骤：
１）群管理员选择随机整数１，ｒ２ Ｓ Ｓ ｋ ｋ ∈Ｚ，并计算
Ｈ（ｕｓｅｒｌＤ）＝Ｘ。 ２）生成用户的私钥：用户私钥包括２个子密钥，分别为：
和 。尸ｖ 用于签名，而Ｐｖ 用于对密钥进
行随机化，具体如下式：
Ｐ ＝［Ｘｏ，Ｘｌ，３２２，Ｙ３］：【ｗ（ＶＷ）‘ｆ ，ｇ ，ｇ ， ］
Ｐｖｋ＂￣ ＝［【％， ， ，屈ｌ，【 ， ， ， 】］：
［【（ ） ｆ“，ｇ ，ｇ“， ］，［（ｖ ） ｆｋ２，ｇ ，占“，磅】］
（５）群管理员向用户分配一个秘密的身份标识符ｕｓｅｒｌＤ，
并向用户发布证书，具体表达为：Ｐｖ ＝【芷，：ｗＰ（ｖ ） ， ，
Ｋ２＝ｇ ， ＝ｇ ，Ｋ４＝ ，Ｋ５＝ｇＸ］。 并将用户身份及与之对应的秘密身份标识符存储在用户
列表中。
（６）用户收到证书后判断下式是否成立，具体如下式：
ｅ（ ，ｇ）＝Ｅｘｅ（ｇ，ｇｑ）“ｘｅ（ＶＨ￣，Ｋ２）×Ｐ（Ｋ３，Ｆ）
若成立则确认证书有效，并把（Ｐ ，“）作为签名的
密钥。这个注册过程中签名密钥由群管理员颁发的证书和用
户私钥两部分组成，可以防止群管理员伪造用户的合法签名。
３．３签名阶段 当用户要对消息Ｍ进行签名时，完成以下步骤：
（１）用户选择随机整数Ｏ），ＴＥ Ｚｎ并计算日（Ｍ）＝ｍ。
（２）用户生成签名密钥Ｐｖ ，签名密钥的生成分为２步：
１）指派过程
［ ， ， ］ ［ｗＰ（ ） ｆ ，ｇ ，ｇ ］
［Ｂｏ，ＢＩ， ］ ［（ｖ ） ｆ“，ｇ ，ｇ ］ 【 ， ， ］ 【（ｖ ）‘ｆ“，ｇ ，ｇ 】
２）随机化过程
Ｐｖ Ａｏ醚 ，Ａ、Ｂ Ｂ 醚醚，Ｋ ＝
［ｗＰ（ｖ￣ｈ２） 即ｆ ，ｇ ｒｌ＋￣ｌ ，ｇ￣＋ｓ２ ｋ２ｒ ｇ ］
假设如下：
‘＝ ＋ ｌ 卜 ； ＝ｒ２＋ ２吐 ＋足２
则有：
尸Ｖ ＝［ｗＰ（ｖ￣ｈ２） ｆ ，ｇ ，ｇ ，ｇＸ】：Ｉｓｌ，Ｓ２，Ｓ３，Ｓ４】
（３）用户选取４个随机指数ｔｌ，ｔ ｔ ｔ ∈Ｚ ，并将签名Ｐｖ
进行盲化，具体如下式：
＝Ｓ１×ｇ：， ＝Ｓ２×ｇ ， ： ｘ占 ，（『４＝ ×ｇ
并计算：
＝Ｇ‘ｘＧ“×（ Ｈ ）一 ×ｆ一
（４）用户发送最终的签名，格式如下：
＝（ ， ， ， ，石）
３．４验证阶段 已知群签名Ｏ－＝（ ，ｃ『２， ， ， ），当验证者需要验证所得
签名是否为有效的签名时，需要进行下面的计算，验证过程
用到双线性群的性质，即对于所有ｈｐ∈Ｇｐ和 ∈Ｇｑ符合
ｅ（ 。， ）＝１。并完成如下２步：
（１）验证者计算，具体如下式：
丁： ！ ！ Ｐ（ ，ＶＨ￣ＨＴ）・ （ ，Ｆ）’Ｅ
（２）验证者判断下式是否成立，具体如下式：
Ｔ：ｅ（ｇ ， ）
如果该等式成立，则可认定所得到的群签名是有效的群
签名。
３．５打开阶段 假设签名盯通过验证阶段，是有效的群签名，群签名的
追踪者要确定签名者的身份，则进行以下的计算：
（１）群签名的追踪者首先将 解析为：
盯＝（ ， ， ，ｃｒ４， ） （２）群签名的追踪者使用追踪密钥ＴＫ计算 ，并对用户
列表中存储的每个身份标识符进行以下等式检测，如果存在
某个身份标识符满足下式，则输出所对应的身份，方法如下：
（ ） ＝（ｇ ）