基于SM2算法的环签名

基于SM2算法的环签名方案

假设Alice希望用环签名为消息M签名，M的长度为$k_{len}$，环中有$n$个成员$A_1,A_2...A_n$，其中签名者Alice 是$A_s$。对于$s$的某个值$1\le s\le n$，其中所有环成员使用SM2作为他们各自的签名方案。基于SM2算法的环签名方案主要由系统建立、密钥生成、签名和验证3个部分组成。

初始化阶段

每个环成员$A_i$选定一条满足安全要求的椭圆曲线（256 bits），包括参数$N$椭圆曲线的阶数，$G$椭圆曲线基点，$a$椭圆曲线一次项系数，$b$椭圆曲线的常数项。
$q$为大素数且$q>2^{256}$；
$modq$是模$q$的运算；
$Z_q^{\ast }$是由参数$1,2,...q-1$组成的整数集合；
$[k]G$是椭圆曲线加法群的倍点运算，即$G$的$k$倍。
$H(\cdot )$为SM3密码杂凑函数的哈希算法，输入为任意长度的比特串$\{0,1{\}}^{\ast }$，输出为固定长度的密码杂凑函数。
通过随机数发生器产生随机数$k\in [1,N-1]$，环成员的公钥集合为$P=\{P_1,P_2,...P_n\}$

签名者$A_s$生成消息 $M$ 的环签名

签名者$A_s$根据自己公私钥对$\{d_s,P_s\}$以及环内成员的公钥集合$P$，对待签名消息$M$进行签名。
Step 1. 随机产生$k_s\in Z_q^{\ast }$ ，计算 $c_{s+1}=H(M,[k_s]G)$ ；
Step 2. 计算$c_i$,具体如下：
对于每个$i=s+1,...,n,1,...,s-1$，
随机产生$r_i\in Z_q^{\ast }$ ，并依次计算
$Z_i=[r_i+c_i]P_i+[r_i]G$,
$c_{i+1}=H(M,Z_i)$。$c_1=c_{n+1}$。
Step 3.根据签名者私钥$d_s$，计算$r_s=(1+d_s{)}^{-1}(k_s-c_s{d}_s)modq$；
Step 4.生成消息$M$的环签名$\sigma =(c_1,r_1,...,r_n)$。

验签者对签名进行合法性验证

验签者$V$收到消息$M^{{}^{\prime }}$及其签名$(c_1^{{}^{\prime }},r_1^{{}^{\prime }},...,r_n^{{}^{\prime }})$后，采用以下步骤进行环签名验证：
Step 1. 检验$c_1^{{}^{\prime }}\in Z_q^{\ast }$是否成立，若不成立则验证不通过；
Step 2. 检验$r_i^{{}^{\prime }}\in Z_q^{\ast }$，$i\in [1,\mathrm{2...},n]$是否成立，若不成立则验证不通过；
Step 3.依次计算
$Z_i^{{}^{\prime }}=[r_i^{{}^{\prime }}+c_i^{{}^{\prime }}]P_i+[r_i^{{}^{\prime }}]G$
$c_{i+1}^{{}^{\prime }}=H(M,Z_i^{{}^{\prime }})$
Step 4. 检验$c_1^{{}^{\prime }}=c_{n+1}^{{}^{\prime }}$是否成立，若成立则验证通过，否则验证不通过。

Python实现

代码参考 python_SM2_Rsign
运行结果

O、O、3109068575