[发明专利]一种基于SM2算法的拆分密钥签名方法与系统

权利要求书

1.一种基于SM2算法的拆分密钥签名系统，其特征在于，包括第一通信方和第二通信方，所述第一通信方包括第一密码运算模块、第一安全存储模块、第三安全存储模块和第一通信模块，所述第二通信方包括第二密码运算模块、第二安全存储模块和第二通信模块，所述第一通信方和所述第二通信方通过所述第一通信模块和所述第二通信模块通信连接；所述第一通信方和所述第二通信方共享SM2算法椭圆曲线E和E上阶为n的基点G；

所述第一通信方通过所述第一密码运算模块产生随机数d1∈[1,n-1]，作为所述第一通信方的子私钥，存入所述第一安全存储模块；所述第二通信方通过所述第二密码运算模块产生随机数d2∈[1,n-1]，作为所述第二通信方的子私钥，存入所述第二安全存储模块；所述第二通信方通过所述第二密码运算模块根据d2和G计算得到椭圆曲线点P2＝[d2^-1]G，其中d2^-1表示d2的乘法逆元d2^-1mod n；然后通过所述第二通信模块把P2发送给所述第一通信方；所述第一通信方通过所述第一通信模块接收P2，存入所述第三安全存储模块，然后由所述第一密码运算模块根据d1、P2和G计算得到公钥P＝[d1^-1]P2-G，并通过所述第一通信模块公开所述公钥，其中d1^-1表示d1的乘法逆元d1^-1mod n；

当需要签名时，所述第一通信方通过所述第一密码运算模块对待签名消息M进行签名预处理，得到消息摘要e；然后产生随机数k1∈[1,n-1]，从所述第三安全存储模块获取P2，根据k1和P2计算得到第一部分签名W1＝[k1]P2，并通过所述第一通信模块将e和W1发送给所述第二通信方；

所述第二通信方通过所述第二通信模块接收e和W1，由所述第二密码运算模块产生随机数k2∈[1,n-1]，根据k2和G计算得到第二部分签名W2＝[k2]G；然后根据W1和W2计算椭圆曲线点W＝W1+W2，W的坐标为(x1,y1)；再根据x1和e计算得到第三部分签名r＝(x1+e)modn；若r＝0，则由所述第二密码运算模块重新产生随机数以及计算第二部分签名和第三部分签名；

所述第二通信方从所述第二安全存储模块获取d2，通过所述第二密码运算模块，根据k2、d2和r计算得到第四部分签名s1＝(d2*k2+d2*r)mod n，并通过所述第二通信模块将s1和r发送给所述第一通信方；

所述第一通信方通过所述第一通信模块接收s1和r，从所述第一安全存储模块获取d1，再由所述第一密码运算模块根据d1、k1、s1和r计算s＝(d1*(k1+s1)-r)mod n，若s≠0，所述第一通信方输出M及其数字签名(r，s)；若s＝0，则重新开始通信双方协同签名过程。

2.根据权利要求1所述的基于SM2算法的拆分密钥签名系统，其特征在于，所述第一通信方对待签名消息M进行签名预处理，得到消息摘要e，包括：所述第一通信方使用密码杂凑函数计算所述第一通信方的杂凑值Z，再将Z与M拼接为M1，然后对M1使用杂凑函数，得到所述消息摘要e。

3.根据权利要求1或2所述的基于SM2算法的拆分密钥签名系统，其特征在于，所述第一安全存储模块，和/或所述第二安全存储模块，和/或所述第三安全存储模块，通过软件或者硬件存储模块实现安全存储。

4.根据权利要求1或2所述的基于SM2算法的拆分密钥签名系统，其特征在于，所述第一通信方产生的随机数d1、k1分别由一个或多个位于[1,n-1]之间的随机数运算得到，和/或所述第二通信方产生的随机数d2、k2分别由一个或多个位于[1,n-1]之间的随机数运算得到；所述运算包括线性运算、相乘、求逆。