[发明专利]一种基于两方协同的ECDSA数字签名方法

摘要

本发明公开了一种基于两方协同的ECDSA数字签名方法，该方法包括：1)参与协同签名的签名方Alice和签名方Bob，各自生成对应的签名公私钥对和其他参数：2)Alice和Bob协同完成ECDSA签名，最终输出签名(r，s)。本发明方法在保证安全性和正确性的前提下，签名过程不引入同态加密、不经意传输等高开销的密码操作，使得签名方案在通信开销和计算开销上取得了良好的平衡，因此性能上显著地优于现有的所有ECDSA两方协同数字签名方法。

主权项

1.一种基于两方协同的ECDSA数字签名方法，其特征在于，包括以下步骤：1)参与协同签名的签名方Alice和签名方Bob，各自生成对应的签名公私钥对和其他参数：1.1)Alice随机选择一个大整数d_A∈Z_n作为私钥，计算对应的公钥D_A＝[d_A]G；Bob随机选择一个大整数d_B∈Z_n作为私钥，计算对应的公钥D_B＝[d_B]G；其中，G是ECDSA椭圆曲线的基点，n是阶，Z_n为模大整数n的剩余类；1.2)Bob生成一个关于(d_B,D_B)离散对数关系的零知识证明π₁，将(π₁,D_B)发送给Alice；1.3)Alice验证(π₁,P_B)的正确性，如果不正确，终止方案执行过程；如果正确，则计算P_AB＝D_A+D_B，并且生成一个关于(d_A,D_A)离散对数关系的零知识证明π₂，将(π₂,D_A)发送给Bob；1.4)Bob验证(π₂,D_A)的正确性，如果不正确，终止方案执行过程；如果正确，则计算P_AB＝D_B+D_A；1.5)Alice随机选择一对大整数a_A,b_A∈Z_n；Bob随机选择一对大整数a_B,b_B∈Z_n；1.6)Alice和Bob通过运算分别获得数据份额z_A，z_B，使得满足(z_A+z_B)mod n＝(a_A+a_B)·(b_A+b_B)mod n；1.7)Alice和Bob协商一对或多对随机密钥，记随机密钥对为(m_A,m_B)，使其满足m_A+m_B＝1mod n；2)Alice和Bob协同完成ECDSA签名，最终输出签名(r,s)，并更新步骤1中的相关参数：a_A，b_A，z_A，a_B，b_B，z_B：2.1)Alice随机选择一对大整数k_A，ρ_A∈Z_n，计算R_A＝[k_A]G；Bob随机选择一对大整数k_B，ρ_B∈Z_n，计算R_B＝[k_B]G；其中，Z_n为模大整数n的剩余类；2.2)Bob生成一个关于(k_B,R_B)离散对数关系的零知识证明π₃，将(π₃,R_B)发送给Alice；2.3)Alice验证(π₃,R_B)的正确性，如果不正确，终止方案执行过程；如果正确，则计算R＝R_A+R_B＝(r_x,r_y)和待签名消息的杂凑值e＝h(M)，r＝r_x mod n；并且生成一个关于(k_A,R_A)离散对数关系的零知识证明π₄，将(π₄,R_A)发送给Bob；2.4)Bob验证(π₄,R_A)的正确性，如果不正确，终止方案执行过程；如果正确，则计算R＝R_B+R_A＝(r_x,r_y)和待签名消息的杂凑值e＝h(M)，r＝r_x mod n；2.5)Alice选择一对密钥对(m_A,m_B)，计算大整数δ_A＝(m_A·e+r·d_A)mod n,u_A＝(k_A‑a_A)mod n，v_A＝(δ_A‑a_A)mod n，w_A＝(ρ_A‑b_A)mod n；Bob计算大整数δ_B＝(m_B·e+r·d_B)mod n,u_B＝(k_B‑a_B)mod n，v_B＝(δ_B‑a_B)mod n，w_B＝(ρ_B‑b_B)mod n；2.6)Alice将计算的数据(u_A,v_A,w_A)发送给Bob；Bob同理将数据(u_B,v_B,w_B)发送给Alice；2.7)Alice计算u＝(u_A+u_B)mod n，v＝(v_A+v_B)mod n，w＝(w_A+w_B)mod n，α_A＝(k_A·w+ρ_A·u+z_A‑u·w)mod n，β_A＝(δ_A·w+ρ_A·v+z_A‑v·w)mod n；Alice将k_A，ρ_A，α_A分别赋值给a_A，b_A，z_A；当实际应用需求为Bob输出签名值时，Alice将数据(α_A,β_A)发送给Bob；若无需求，可选择不发送(α_A,β_A)；2.8)Bob计算u＝(u_A+u_B)mod n，v＝(v_A+v_B)mod n，w＝(w_A+w_B)mod n，α_B＝(k_B·w+ρ_B·u+z_B)mod n，β_B＝(δ_B·w+ρ_B·v+z_B)mod n；Bob将k_B，ρ_B，α_B分别赋值给a_B，b_B，z_B；当实际应用需求为Alice输出签名值时，Bob将数据(α_B,β_B)发送给Alice，否则可选择不发送(α_B,β_B)；2.9)当实际应用需求为Alice输出签名值时，Alice计算s＝(α_A+α_B)^‑1(β_A+β_B)mod n，输出最终的签名值(r,s)；当实际应用需求为Bob输出签名值时，Bob计算s＝(α_A+α_B)^‑1(β_A+β_B)mod n，输出最终的签名值(r,s)。