英语原文共 8 页，剩余内容已隐藏，支付完成后下载完整资料

一种短的基于RSA的身份代理环签名方案

1. 介绍

由曼波等人介绍代理签名的概念。[1]在1996年，一个原始签名者代表她在一个代理签名方案上签署代理签名者签名消息。这种签名支持为避免单个服务器的依赖以确保为客户在分布式网络服务的可用性。因为引入了代理签名的概念，出现了几个代理签名的变体例如基于RSA和整数分解问题的代理签名[2-7]，指定验证代理签名[8-10]，短代理签名[11]，代理可验证加密签名[12], 代理签名方案无随机预言[13]并且代理环签名[14-18]已经被提出。

在一个代理环签名方案中，原始签名人代表她的右签署签名邮件到一组不同的公钥代理签名，称为代理程序，这样当他可以匿名的时候，他们可以生成代理环签名代表原始签名者。这种类型的签名不仅支持避免依赖单个服务器以确保为客户在分布式网络服务可用性,还支持代理签名者的保护隐私。像所提到的一样[14-16],这种原始签名可以在要求使用代理签名者的隐私保护是必要的时候使用。例如，假定议会成员想揭示的一个重要新闻代表内阁,然而他会是想匿名的，这个原始签名的另一个实用动机是电子投票协议，仅仅只有匿名合格选民可以在投票后验证自己。投票权力(一种原始签名者)在投票协议为他们验证合格选民和证书(生成有效的代表团)。选民(代理签名者)匿名投票(生成代理环签名)，一方面，采用基于身份的代理签名违反选举的选民的隐私的最重要的财产协议。此外，在投票协议上使用盲签名可以使恶意投票权力的投票而不是选民弃权, 所以违反选举的准确性。代理环签名包含三个需求(隐私的选民,认证和准确性)在同一时间。我们应该强调一些访问控制机制在投票协议上提供的独特属性是必要的。事实上，这种原始的签名是基于盲签名恶意投票权力可以投票,而不是选民投了弃权票的电子投票协议的一个解决问题。

为了方便代理环签名的公钥证书管理,程等人首次提出了一个基于身份的代理环签名使用[19],使用的是签名者的身份而不是他们的公共密钥和证书。随后，有一些基于身份的代理环签名后续工作的[20-26],但是不幸的是没有一个人支持可证明的安全，并且他们都是设计基于双线性减少。在2014年，Asaar等人[27] 提出了第一个正式的基于身份的代理环签名方案的定义和安全模型, 并且提出了第一个可证明地安全的基于身份的没有结合双线性配对的代理环签名方案, 并表明RSA假设在随机预言模型下是安全的，因为打破解决方案的高概率不可伪造性导致的RSA问题概率太小了，安全减少是不精确的。因此，签名方案的保证会很弱。

此外，在2008年由Schuldt等人提出的以往的基于身份的代理环签名方案提出了[20 - 22,19,23]很容易的代理键接触攻击[28]。事实上，在以前的方案中，如果颞代理签名者的密钥泄露，他们的长期密钥会受到影响。

1.1我们的贡献

在这篇文章中，我们提出第一个短的基于RSA的身份代理环签名方案。该方案被证明在RSA假设下是安全的，这是在随机预言模型中一个被广泛接受的假设。该方案的优点有三方面，首先，这是最短的没有双线性对的基于身份的代理环签名方案。第二，因为减少方案独立于成员的数量，所以代理环中有一个适当的安全减少优势。第三，它和现有的基于身份的代理环签名方案一样有效或更有效的。而且，由于用于设计这种原始的范例是连续聚合的基于身份的签名和一个基于身份的环签名方案，所以代理键接触攻击[28]不能用于我们的计划。

有人认为可以构建没有链接斯诺签名[29]的双线性配对的高效的基于身份的代理环签名方案。我们应该强调的是,如果我们在设计这种原始的使用这个想法, 结果计划不再是身份,因为公钥通过这个想法不仅仅只是签名者的身份了。并且在这个原始的签名中，每个代理签名者签名生成之前需要交互实现代理签名者的公钥，并且不能轻易使用其他代理签名者的身份来生成一个基于身份的代理环签名。

1.2论文组织

本文的其余部分组织如下，第二部分介绍了符号和RSA复杂性假设作为签名的基础。基于身份的代理环签名的安全模型,包括基于身份的代理签名方案的轮廓和其安全属性在第二部分给出。该方案及其正式的安全证明在第三部分给出，第部分节比较和讨论，在第部分节给出结论和未来的工作。

1. 背景

在这一部分，首先我们给出文章中使用的符合和审查RSA假设，然后我们提出基于身份的代理环签名方案[27]的轮廓和安全定义。

2.1符号

如果X是一个集合，那么 表示的操作分是从X均匀随机选择的一个元素分配给x。如果是对象，然后表示一个编码的字符串组成的对象实际上是可恢复的。让perp;是空字符串,表示x的长度，并且代表分配算法C在输入到theta;时输出的操作。让A是一个能够访问H,K,密钥提取,代表团创和代理环签名方案的预言迹象的算法, 并能通过A违反安全属性的方案而赢得游戏。如果算法有界, 我们意味着算法A运行时间最多为t, 使得查询随机预言H最多为，为查询随机预言K，为密钥的查询提取，为代表团队的查询提取并且查询代理环签名预言可以赢得比赛的概率至少ϵ。

2.2．RSA假设

一个RSA密钥生成器是一个算法,生成三个数(N,e、d),N是两个大质数的p和q的乘积并且当.算法B在打破RSA依赖于单向突端的优势被定义为：

(1)

如果它运行时间最大为t并且能，我们说B(t ,ϵ)打破RSA关于单向突端，如果没有算法B(t ,ϵ)可以摧毁它，我们说关联于的RSA函数是(t ,ϵ)的一种方法。

2.3基于身份的代理环签名方案的大纲

让每一个原始签名者的身份以呈现，并且身份置为代理代理，而且每个子集分别的被表示为ID和。一个基于身份的代理环签名方案由六个算法：设置，密钥提取，委托Gen，委托版本，代理环签名和代理环版本如下[27]。

--设置：这个算法是系统安全的输入参数l及其输出系统的参数对位和系统的主键(msk,mpk),即(Para(msk,mpk))larr;ParaGen(l)。

--密钥提取：这个算法的输入是Para,mpk msk,身份,及其输出相应的密钥身份,其输出对应的密钥身份诱导器,即larr;密钥提取(Para,mpk、msk、)。

--委派：如果一个拥有身份的原始签名者想委托其代理的权利代理签名与身份组ID，该算法就会被采用。这个算法的输入时Para,mpk,已经原始签名者的密钥ID，和一个消息空间描述符wsube;{ 0,1 }⁎，和它的输出是一个委托,即larr;委派

--委派版本：算法的输入时Para，，ID，w和，如果有效的那么输出1，否则输出0，即{0, 1}larr; 委派版本 。

--代理环签名:算法的输入是Para,mpk, 包括至少两个身份代理签名者的身份设置,一个w的有效委托和像的ID，代理签名者的密钥对应身份和一个信息，它的输出是一个基于身份的代理环签名theta;，即theta;larr;委托版本。

-代理环版本：算法的输入是Para,，ID，，w，m和theta;，并且如果theta;是有效的基于身份的代理环签名则输出1，否则输出0。即{0,1}larr; 代理环版本

2.4基于身份的代理环签名方案的安全模型

一个基于身份的代理环签名必须满足两个独立的安全观念: 不可伪造性和代理签名者的身份隐私，实现存在不可伪造性与适应性选择消息(选择保证:选择消息空间描述符和身份的代理签名者)和选择身份攻击的基于身份的代理环签名方案，三种所提及[14]潜在对手类型被考虑。I型对手，只有具有原始签名者和代理签名者身份。II型对手，有一些秘密密钥（一个/全部）代理签名人的代理组除了的能力，III型对手有原始签名的秘密密钥中除了功能。所有类型的对手的目标是建立一个有效的基于身份的代理环签名w.r.t.原始签名者和代理签名人的身份。

显然，如果基于身份的代理环签名方案是违反II型（或III型）的对手的安全那么它也是对I型对手的安全。对不可伪造I型，III二类和对手（，和）是使用挑战者C与敌手A之间之后的比赛中正式。

1. 设置：挑战者C同时运行的典范算法安全参数L获得系统的参数和段主密钥（mpk，msk），然后将（mpk,para）发送到A。

一个问题的多项式界查询到以下神谕自适应数：

1. 关键提取查询：A可以要求对应于每个标识的密钥，那么C返回私钥许以对手与运行密钥提取算法。
2. 委派查询：敌手可以下原始签名人对消息的空间描述W和其选择的身份集ID身份要求代表团为其原始签名者的身份与代表协议的签署对上W至代理剂身份集ID。作为响应，C运行关键提取算法，以获得原始签名的秘密密钥，并返回larr;委派到A。
3. 代理环登录查询：攻击者A可以请求来自m w.r.t. .的代理环签名。

此外，攻击者A提供了一个原始签名者的身份与的消息空间描述w和代理签名人的身份集ID代表团。这个委托由委托算法获得或者被对手A产生。

这算法C盘是有效的代表团，其中原始签名者的身份与代表的消息空间描述w将代理与代理身份集ID的签约权;即和。如果这些不成立，返回perp;。否则，C运行关键提取算法来获得对应于与身份取得这样取得代理签名的一个密钥。接下来，C运行代理环征算法theta;larr;代理环签名生成代理环签名theta;并将其返回给敌手A。

1. 最后，A输出一个有效的基于身份的代理环签名w.r.t.原始签名人的身份和代理签名者的身份设置和,其中是集损坏代理签名的，如果下列条件满足赢得比赛。

对于A = ：

- E0：和的所有身份没有被要求的关键提取预言这意味着不具有对应于它们的密钥。

- E1：该对没有被要求作为标识下委派查询中的一个。

- E2：还没有被要求作为代理环的标志下设置的身份查询。

针对对手的 [27]存在不可伪造的正式定义是定义1表示。定义1. 如果没有赢得前述比赛的有界对手A，基于身份的代理环签名对适应性选择消息（权证），并选择身份攻击存在不可伪造。

对于A = :

- E0：尚未请求作为密钥提取查询中的一个。

- E1：该对没有被要求作为标识下委派查询中的一个。

针对对手 [27]存在不可伪造的正式定义在定义2中表示。

定义2. 如果没有赢得前述比赛的有界对手A，一个基于身份的代理环签名对适应性选择消息（权证），并选择身份攻击存在不可伪造。

对于A = :

- E0：在的每一个身份尚未请求作为密钥提取查询中的一个。

-E1：在身份设置为时没有被要求作为代理环登录查询之一。

针对对手 [27]存在不可伪造的正式定义在定义3表示。

定义3. 如果没有赢得前述比赛的有界对手A，一个基于身份的代理环签名对适应性选择消息（权证），并选择身份攻击存在不可伪造。

在基于身份的代理环签名代理签名人的身份（PPSI）的保密性意味着它应该是不可行的任何概率多项式时间（PPT）区分器D告诉其代理签名者在代理组对消息m产生theta;。为了有一个正式定义该物业考虑一个挑战者C和一个区分器D之间的下面的游戏。

1. 设置：挑战者C同时运行的典范算法安全参数L获得系统的参数和段主密钥（mpk,msk），然后将其发送（mpk段）到D。

该区分器D主要提取物，委托和代理环征查询自适应作为伪造的游戏说明。

1. 区分器D选择两个诚实身份和（D从不为这两个身份密钥提取查询），并对（w，ID）做一个委派和代理环登录分别查询下一个身份和消息上的标识集合。作为回应，C选择，运行委派，根据所述身份获得，接着，运行代理环注册关于至达到theta;，然后返回theta;至D。
2. 最后，如果,则D区分器输出并赢得比赛。

为代理签名人的身份隐私的正式定义[27]在定义4给出。

定义4.隐私代理签名人的身份

如果没有赢得前述比赛的有界对手的区分器D，基于身份的代理环签名方案PPSI安全。

如果概率等于，该方案满足代理签名人的身份隐私完美。

3.我们的基于身份的代理环签名方案

在本节中，我们提出了一种基于身份的代理环签名使用GQ基于身份的签名的连续聚合方案[30]与基于身份的环签名方案[31]。我们的方案产生的方式基于身份的代理环签名方案的一个代表团对消息的空间描述符和代理签名人的身份与11串联原始签名的基于身份的GQ签名，代理环签名是通过在邮件的代理签名人之一生成的代表团和环签名的连续聚合，属于信息空间的描述与串联11.事实上，连接11可防止由Boldyreva等人提出琐碎的攻击。[32]。

3.1基于身份的代理环签名方案的详细信息

在本节中，我们提出我们的计划的细节。当描述的签名方案，让每一个原始签名人的身份是，而且分别是ID的每个子集和

假定使nge;2和zge;2是标识为数字在委托代理代理签名和身份证的每个子集的大小，分别。我们的方案包括安装程序，主要提取物，委派，如上所述代理版本，代理环标志和代理环版本算法下面。

1. 设置：系统参数如下。让
2. 设置：系统参数如下。让，，，成为随意的，让成为RSA密钥对生成器，它输出三个数像，并且黄金加密指数长度e严格大于和位。密钥分发中心运行产生RSA参数，它产生作为主公钥并且使密钥保密。因此，公共参数是和mpk。
3. 关键提取：在输入主密钥和用户身份时，密钥分发电脑产生并且秘密的发送用户密

   剩余内容已隐藏，支付完成后下载完整资料

   ---

   资料编号：[146336]，资料为PDF文档或Word文档，PDF文档可免费转换为Word