[发明专利]一种基于证据不可区分密钥共识的格基数字签名方法

说明书

本发明提供了一种基于证据不可区分密钥共识的格基数字签名方法。令(t₁，t₀)＝As+e作为一个LWE实例，t₁对应高位信息，作为公钥的一部分；t₀对应低位信息证据，作为私钥的一部分。发明的核心思想是：除了t₀，还使用由t₀变换得到的多个变体来进行纠错。每一个变体相当于一个保密证据，而生成签名实际使用的是多个证据的组合、且对签名验证者而言是不能区分的。这种方法可以有效减少签名循环次数，提升签名效率，并同时增强从公钥恢复私钥的困难度。

技术领域

本发明涉及数字签名技术，具体而言抗量子分析的格基数字签名技术。在保证后量子时代信息传输的完整性、进行信息发送者的身份认证、防止交易中的抵赖发生方面具有重要应用。

背景技术

数字签名技术是用于解决如下问题：发送方Alice利用私钥sk对消息M进行签名，得到签名σ。接收方Bob利用公钥pk对签名σ进行认证，若认证通过，则接收方Bob承认消息M是由Alice发送的。发明方法是解决如何设计数字签名，保证信息传输的完整性、进行信息发送者的身份认证、防止交易中的抵赖发生。

随着量子计算机的快速发展，传统基于大数分解和椭圆曲线离散对数的数字签名方案将不再安全。发展抗量子分析的数字签名具有重要的现实和应用价值。其中，格基密码是后量子密码的主流技术方向。

发明内容

运行发明方法的发送方Alice得到私钥sk和公共参数params，对消息M运行签名算法Sign(params，sk，M)进行签名，得到签名σ＝(z，c，h)，并公开传输签名σ＝(z，c，h)给运行发明方法的接收方Bob。Bob得到公钥pk，消息M和对消息M的签名σ＝(z，c，h)作为输入，运行验证算法Verify(pk，M，(z，c，h))，得到1/0，分别表示验证通过/不通过。若认证通过，则接收方Bob承认消息M是由Alice发送的。发明方法是解决如何设计数字签名，在保证信息传输的完整性、进行信息发送者的身份认证、防止交易中的抵赖发生方面具有重要应用。

一种基于密钥共识的格基数字签名方法；其中，{…}表示一个信息或者数值的集合；R，R_q表示代数环，其中q是整数；该签名算法包括三个具体的算法：Gen，Sign(·)，Verify(·)。

Gen是密钥生成算法，算法输入包含安全参数，输出包含公钥pk和私钥sk。Sign(·)是签名算法，算法输入包含系统参数params，私钥sk和消息M∈{0，1}^*，其中{0，1}^*表示任意长度的0-1串构成的集合，输出包含(z，c，h)，其中z∈Rl_q，c∈R，其中t是正整数，g_h(n，m，h，aux_h)是关于n，m，h，aux_h的函数，aux_h是可为空的h的辅助参数集合。运行发明方法的发送方Alice得到私钥sk和公共参数params，对消息M运行签名算法Sign(params，sk，M)进行签名，得到签名σ＝(z，c，h)，并公开传输签名σ＝(z，c，h)给运行发明方法的接收方Bob。Verify(·)是验证算法，算法输入包含系统参数params，公钥pk，消息M和签名(z，c，h)，输出1或者0，分别表示验证通过或者不通过。Bob得到公钥pk，消息M和对消息M的签名σ＝(z，c，h)作为输入，运行验证算法Verify(pk，M，(z，c，h))，得到1/0，分别表示验证通过/不通过。若认证通过，则接收方Bob承认消息M是由Alice发送的。

一种基于证据不可区分密钥共识的格基数字签名方法；其中，{…}表示一个信息或者数值的集合；R，R_q表示代数环，其中q是正整数；

Gen是密钥生成算法，算法输入包含安全参数，输出包含公钥pk和私钥sk，算法运行如下：