[发明专利]一种基于格的数字签名方法

权利要求书

1.一种基于格的数字签名方法，其步骤包括：

1)选择公开参数(n,q,γ,α,β)及环R_q；选择正整数n,q,α,β,γ，其中选择n次整系数多项式F(x)，并令环R_q＝Z_q[x]/(F(x))；Z_q为剩余类环；

2)选取多项式环R_q中两个小系数多项式f和g,且f在R_q中可逆；然后计算h＝(g+α)·f^-1，将h作为签名者的公钥公开，将(f,g)作为签名者的私钥；

3)签名者生成n维向量Z_β为剩余类环；

4)计算w＝h·r；选取作为w的每个分量的代表元，若w中的一分量w_i，使得w_i＝＝q-1-α/2成立，则返回步骤3)；否则进行步骤5)；

5)计算n维向量和a＝v₀-(Q_α(w)mod2)；其中H(·)是一公开函数，n维向量Q_α(w)的定义如下：将w的每个分量w_i对α做带余除法w_i＝Q_α(w_i)·α+R_α(w_i)，其中Q_α(w_i)为商，且余数R_α(w_i)满足则定义Q_α(w)＝(Q_α(w₀)Q_α(w₁),…,Q_α(w_n-1))；

6)计算u＝r+a·f；若||a·f||_∞>γ,或者||a·g||_∞>γ,或者或者则返回步骤3)重新生成签名；否则输出合法签名u。

2.如权利要求1所述的方法，其特征在于，验签者对收到的签名u进行验签的方法为：

21)验签者验证是否成立，若成立，则输出验签失败；否则进行步骤22)；

22)验签者利用签名者的公钥h、签名u，计算w′＝h·u mod q；选取作为w′的每个分量的代表元，若存在w′的某个分量w′_i，使得w′_i＝＝q-1-α/2成立，则输出验签失败；

23)验签者计算n维向量和v′＝Q_α(w′)mod2；其中n维向量Q_α(w′)的每个分量Q_α(w′_i)由w′的分量w′_i对α做带余除法w′_i＝Q_α(w′_i)·α+R_α(w′_I)得到，其中余数满足如果v′＝＝v′₀，则输出验签成功，否则输出验签失败。

3.如权利要求1所述的方法，其特征在于，对于剩余类环Z_β，当正整数β为偶数时，选取作为Z_β的代表元；当正整数β为奇数时，选取作为Z_β的代表元；对于剩余类环Z_q，当正整数q为偶数时，选取作为Z_q的代表元；当正整数q为奇数时，选取作为Z_q的代表元。

4.如权利要求1所述的方法，其特征在于，选取私钥(f,g)的方法：a)从二元多项式集合中选取，其中二元多项式的系数取值为0或1，且有y个系数为1，其中正整数y为预先设定的固定值；或b)从三元多项式集合中选取，其中三元多项式的系数取值为0，1或-1，且有y个系数为1，y′个系数为-1，其中正整数y和y′为预先设定的固定值；或c)从具有f₁f₂+f₃形式的多项式集合中选取，其中f₁，f₂，f₃从B(y)中或者T(y′,y″)中选取，其中正整数y，y′，y″为预先设定的固定值。

5.如权利要求1所述的方法，其特征在于，函数H(·)为哈希函数。