[发明专利]基于属性的可链接网络环签名方法

权利要求书

1.一种基于属性的可链接网络环签名方法，所提方法过程如下：

(1)系统建立阶段

a)系统公开参数生成

首先，属性授权中心AA在有限域中随机选择一个整数α作为系统主密钥MSK，其中q为大于2⁵¹²的安全素数；然后，属性授权中心AA随机选取两个阶为p的循环乘法群G₁、G₂，并定义双线性映射e:G₁×G₁→G₂；最后，属性授权中心AA从群G₁中随机选择两个元素作为公钥一g₁和公钥三g₃，同时将公钥一g₁进行模指数运算得到公钥二g₂：利用公钥二g₂、公钥三g₃进行双线性对运算生成公钥四g₄，g₄＝e(g₂,g₃)；

属性授权中心AA将输出公开参数PK＝{G₁,G₂,e,g₁,g₂,g₃,g₄}，并将系统主密钥MSK＝α秘密保存；

b)散列函数的选取

属性授权中心AA定义三个散列函数，首先是文件散列函数H₁：H₁:m→G，其中m→G为文件m映射为循环乘法群G₁上元素的散列运算；其次是属性散列函数H₂：H₂:w→G，其中w→G为属性w映射为群G₁上元素的散列运算；最后是身份散列函数H₃：其中为将任意长度的{0,1}字符串映射为有限域上元素的散列运算；最后，属性授权中心AA将散列函数H₁、H₂、H₃公布；

(2)属性密钥生成阶段

a)Shamir秘密共享多项式生成

假定用户ID根据其拥有属性集合W_ID＝{w_ID,1,L,w_ID,i,L,w_ID,I}，其中，I为用户ID所拥有的全部属性的个数，w_ID,i为用户属性集合W_ID的第i个属性(1≤i≤I)，向属性授权中心AA进行密钥申请；

属性授权中心AA收到用户ID密钥申请后，随机选取d-1阶多项式f(x)，其中d为AA预定义恢复秘密的门限值，其中f(0)＝α，其余系数为AA在有限域中随机选取的d-1个元素；

b)属性密钥产生

首先，对于用户拥有的属性W_ID＝{w_ID,1,L,w_ID,i,L,w_ID,I}，属性授权中心AA为每一个属性w_ID,i∈W_ID随机选择一个整数t_ID,i，同时利用公钥三g₃、函数散列函数H₂以及身份散列函数H₃生成属性密钥一S_1,i，然后，属性授权中心AA利用身份散列函数H₃与公钥一生成属性密钥二S_2,i，

c)属性密钥传送

首先，属性授权中心AA将属性密钥一属性密钥二秘密发送给用户ID；

(3)签名阶段

网络服务器给定待签名文件m，并随机选取N个属性作为声明签名属性集合W^*:其中为声明签名属性集合W^*第n个声明签名属性子集；

当用户ID访问网络服务时，签名者即用户ID从声明签名属性集合W^*和其用户属性集合W_ID的交集中，随机选出d个属性，构成签名属性集合W′_ID，W′_ID＝{w_ID',1,L,w_ID',i,L,w_ID',d}；其中，w_ID',i为签名属性集合W′_ID的第i个属性；

a)第一签名生成

首先，签名者计算第一部分签名σ₁的第一部分σ_1,1，σ_1,1＝H₁(m)^v，其中为签名者选择的文件随机因子；

然后，签名者选择随机数得到T＝g₁^t，并将T作为链接标签，进而计算出σ₁的第二部分σ_1,2，其中，为签名者随机选取出的签名属性集合中属性w_ID',i的属性随机因子；为多项式f'(x)在x＝0处的拉格朗日系数，其计算方法为其中w_ID',j为W′_ID中的第j个元素，且j≠i；

其次，计算σ₁的第三部分签名σ_1,3，其中是声明属性集合W^*与签名属性集合W′_ID的差集W^*\W′_ID中的第i个属性，是签名者为W^*\W′_ID中的每一个属性选取的相应的属性随机因子；

最后，签名者将签名σ_1,1、σ_1,2、σ_1,3进行乘法运算，得到第一部分签名σ₁：σ₁＝σ_1,1σ_1,2σ_1,3；

b)第二签名生成

签名者利用上述在有限域随机选取文件随机因子v，计算出文件m的签名σ第二部分签名σ₂：σ₂＝g₁^v

c)第三签名生成

签名者利用上述选取的属性随机因子r_i′、r_i^#，进而计算得出文件m的签名σ的第三部分签名σ₃：

d)第四签名生成

签名者通过以下方式计算出文件m的第四部分签名：

当w_ID',i∈W′_ID，计算：

当计算：

e)输出签名

签名者将产生的签名传输给网络服务器；

(4)验证阶段

当网络服务器接收到运用上述签名算法生成的签名后，进行如下验证，验证该签名是否合法：

如果上面等式(1)两端成立，则表明该签名是合法的；否则，则表明该签名是不合法的；

(5)可链接性验证

网络服务器收到两个不同的文件m和m′使用上述签名算法生成的签名，分别为σ(m):和σ(m′)：其中；σ′₁为签名者采用第(3)签名阶段中a步骤为消息m′生成的第一签名，σ′₂为签名者采用第(3)签名阶段中b步骤为消息m′生成的第二签名，σ′₃为签名者采用第(3)签名阶段中c步骤为消息m′生成的第三签名，为签名者采用第(3)签名阶段中d步骤为消息m′生成的第四签名，T′为签名者采用第(3)签名阶段中a步骤为消息m′生成链接标签；

进行如下验证：

若等式T＝T′成立，则判定文件m的签名σ(m)和文件m′的签名σ(m′)签名具有可链接性；否则，判定文件m的签名σ(m)和文件m′的签名σ(m′)签名不具有可链接性。