[论文解读] A New Proxy Ring Signature Scheme

Amit K. Awasthi, Sunder Lal|ArXiv.org|Oct 5, 2004

Cryptography and Data Security参考文献 8被引用 9

一句话总结

本文提出了一种基于双线性对的新型身份基代理环签名方案，使代理签名者能够在保持签名者匿名性的前提下，代表原始签名者签署消息。与先前工作相比，该方案在验证过程中的配对运算方面显著提升了计算效率，特别适用于资源受限的验证者。

ABSTRACT

The concept of ring signature was introduced by Rivest, Shamir and Tauman. This signature is considered to be a simplified group signature from which identity of signer is ambiguous although verifier knows the group to which signer belong. In this paper we introduce a new proxy ring signature scheme.

研究动机与目标

• 解决在无法由原始签名者或组管理员识别实际代理签名者的情况下，实现匿名代理签名的需求。
• 提升代理环签名验证过程中的计算效率，尤其针对资源受限的验证者。
• 基于双线性对和计算Diffie-Hellman问题的困难性，提供一种安全的身份基代理环签名方案。
• 通过使环签名组件在所有代理签名者之间均匀分布，确保签名者的模糊性。

提出的方法

• 该方案使用双线性对 $ e: G_1 \times G_1 \to G_2 $，系统参数包括生成元 $ P $、哈希函数 $ H_1 $ 和 $ H_2 $，以及由密钥派生的公钥。
• 代理签名者接收代理密钥 $ S_i = s_o H_2(w) + s_{p_i} H_2(w) $，其中 $ w $ 为委托证明，由原始签名者的私钥 $ s_o $ 派生。
• 在签名过程中，代理签名者选择一个随机 $ A \in G_1 $，计算 $ c_{k+1} = e(A, P) $，并使用 $ c_{i+1} = e(PK_o + PK_{p_i}, c_i H_2(w))^{H_2(m \parallel L)} \cdot e(T_i, P) $ 生成前向环序列。
• 环签名由 $ (c_1, c_2, \dots, c_n, T) $ 构成，其中 $ T = \sum_{i=1}^n T_i $ 且 $ T_i = A - h_2(m \parallel L) c_i S_i $。
• 验证过程检查 $ \prod_{i=1}^n c_i = e(PK_o + PK_{p_i}, \sum_{i=1}^n c_i H_1(w))^{H_2(m \parallel L)} \cdot e(T, P) $ 是否成立。
• 通过使 $ c_i $ 在 $ G_2 $ 上均匀分布，且与实际签名者无关，该方案确保了匿名性。

实验结果

研究问题

• RQ1 能否设计一种代理环签名方案，其匿名性优于组签名，使得连组管理员也无法追踪签名者？
• RQ2 如何提升代理环签名验证的效率，特别是在配对运算方面？
• RQ3 能否基于双线性对构造一种身份基代理环签名方案，同时在标准假设下保持安全性？
• RQ4 是否可能实现签名者模糊性，使得环中任一成员都无法被识别为实际签名者？

主要发现

• 所提出的方案在计算效率上优于 Zhang 等人的代理环签名方案，尤其在验证过程中所需的配对运算方面表现更优。
• 该方案确保了签名者匿名性，因为每个 $ c_i $ 在 $ G_2 $ 上均匀分布，使得无法将任一 $ c_i $ 与特定代理签名者关联。
• 该方案的安全性依赖于 $ G_1 $ 中离散对数问题（DLP）的不可解性，确保无法从公钥推导出私钥。
• 验证方程的设计使得只有具备正确组件的有效代理环签名才能满足基于配对的验证条件。
• 该方案通过委托证明 $ w $ 支持动态代理委托，允许多个代理签名者在共享信任的前提下代表原始签名者签署消息。