基于SM2的代理签名方案及改进方案

基于SM2的代理签名方案

代理签名是指在代理签名方案中，被指定的代理签名者可以代表原始签名者生成有效的签名。包括初始化参数、代理授权、授权验证及代理密钥生成、代理签名的生成和代理签名的验证。

初始化参数

选取SM2公钥密码算法，$G$是椭圆曲线中阶为$n$的基点。假设Alice是原始签名者，私钥为$d_A\in [1,n-1]$，公钥为$P_A=d_{A}G$；假设Bob为代理签名者，代表原始签名者Alice签名；验证者Garol对生成的代理签名进行验证。

代理授权

首先代理签名者Bob进行如下操作：
B 1. 随机产生 $k_b\in [1,n-1]$，计算椭圆曲线上的点$G_b=k_{b}G$；
B 2. 将$G_b$发送给Alice。
Alice收到Bob发送的信息后，进行下面的步骤：
A 1.随机产生 $k_a\in [1,n-1]$，计算椭圆曲线上的点$G_a=k_{a}G$;
A 2.计算椭圆曲线上的点$G_{ab}=k_a{G}_b=(x_1,y_1)$；
A 3.计算$r_{ab}=x_{1}modn$，若$r_{ab}=0$，则返回步骤A 1。
A 4.计算$s_A=k_a^{-1}{r}_{ab}{d}_{A}modn$，若$s_A=0$，则返回步骤A 1。
A 5.Alice 将$(G_a,G_{ab},s_A)$作为授权信息发送给Bob。

授权验证及代理密钥的生成

Bob收到授权信息后，对授权信息进行验证，验证过程如下：
B 3. 计算椭圆曲线上另一点$G_{ab}^{{}^{\prime }}=k_b{G}_a=(x_2,y_2)$；
B 4. 计算$r_{ab}^{{}^{\prime }}=x_{2}modn$，若$s_A{G}_a=r_{ab}^{{}^{\prime }}{P}_A$，接收委托，否则拒绝委托。
B 5. 计算$d_p=s_A{k}_b^{-1}modn$，$d_p$即为代理签名密钥。

代理签名的生成

当Bob代替Alice对消息M进行签名时，Bob使用的签名密钥是$d_p$，签名过程如下：
B 6. 计算 $e=H(M)$
B 7. 随机产生$k\in [1,n-1]$，计算$k{G}_{ab}=(x_3,y_3)$；
B 8. 计算$r=(e+x_3)modn$，若$r=0$或$r+k=n$，则返回步骤B 7；
B 9. 计算代理签名$s=((1+d_p{)}^{-1}(k-r{d}_p))modn$，若$s=0$则返回B 7；
B 10. 代理签名为$(G_a,G_{ab},r,s)$。

代理签名的验证

为了验证收到的消息$M^{{}^{\prime }}$及其代理签名$(G_a,G_{ab},r^{{}^{\prime }},s^{{}^{\prime }})$，验证者Garol进行以下步骤：
G 1. 检验 $r^{{}^{\prime }}\in [1,n-1]$和$s^{{}^{\prime }}\in [1,n-1]$是否成立，若不成立则验证不通过；
G 2. 计算$e^{{}^{\prime }}=H(M^{{}^{\prime }})$；
G 3. 计算$r_{ab}=x_{1}modn$；
G 4. 计算$t=(r^{{}^{\prime }}+s^{{}^{\prime }})modn$；
G 5. 计算椭圆曲线上点$s^{{}^{\prime }}{G}_{ab}+t{r}_{ab}{P}_A=(x_3^{{}^{\prime }},y_3^{{}^{\prime }})$，计算$R=(e^{{}^{\prime }}+x_3^{{}^{\prime }})modn$，当$R=r^{{}^{\prime }}$时，则接收签名，否则拒绝签名。

方案存在的不足

若原始签名者授权了多个代理签名者，则代理签名者可以对自己生成的有效签名进行否认，该方案不满足不可否认性。

改进的方案

将授权信息与代理签名者和原始签名者的身份信息绑定生成证书。恶意代理签名者生成了另外的授权信息$(G_a,G_{ab},s_A)$和代理签名$(G_a,G_{ab},r,s)$。

初始化参数

$m_W$授权证书信息，可以包含原始签名者及代理签名者的身份信息、代理签名者的权限等。

代理授权

此阶段的步骤B 1 ~B 2及A 1~A 3与未改进方案相同，其他步骤为：
A 4. 计算$e_0=H(m_W||r_{ab})$；
A 5. 计算 $s_A=k_a^{-1}(e_0+r_{ab}{d}_A)modn$，若$s_A=0$则返回步骤A 1；
A 6. Alice将$(m_W,G_a,G_{ab},s_A)$作为代理签名的授权信息发送给Bob。

授权验证及代理密钥生成

Bob收到授权信息后进行验证
B 3. 计算椭圆曲线上的另一点$G_{ab}^{{}^{\prime }}=k_b{G}_a=(x_2,y_2)$；
B 4. 计算$r_{ab}^{{}^{\prime }}=x_{2}modn$
B 5. 计算 $e_0=H(m_W||r_{ab}^{{}^{\prime }})$，若$s_A{G}_{ab}=r_{ab}^{{}^{\prime }}{P}_A+e_{0}G$，则接受委托，否则拒绝委托。
B 6. 计算代理签名密钥$d_p=s_A{k}_b^{-1}modn$。

代理签名的生成

同上

代理签名的验证

为了验证签名消息$M^{{}^{\prime }}$及其数字签名$(m_W,G_a,G_{ab},r^{{}^{\prime }},s^{{}^{\prime }})$，验证者Garol执行以下操作：
G 1. 检验 $r^{{}^{\prime }}\in [1,n-1]$和$s^{{}^{\prime }}\in [1,n-1]$是否成立，若不成立则验证不通过；
G 2. 计算$e^{{}^{\prime }}=H(M^{{}^{\prime }})$；
G 3. 计算$r_{ab}=x_{1}modn$；
G 4. 计算$e_0^{{}^{\prime }}=H(m-W||r_{ab})$；
G 5. 计算$t=(r^{{}^{\prime }}+s^{{}^{\prime }})modn$，若$t=0$，则验证不通过；
G 6. 计算椭圆曲线上点$s^{{}^{\prime }}{G}_{ab}+t{r}_{ab}{P}_A+t{e}_0^{{}^{\prime }}G=(x_3^{{}^{\prime }},y_3^{{}^{\prime }})$，计算$R=(e^{{}^{\prime }}+x_3^{{}^{\prime }})modn$，当$R=r^{{}^{\prime }}$时，则接收签名，否则拒绝签名。

Python实现

Python实现参考Python_SM2_Asign_imp
运行结果如下：

O、O、3109068575