不可否认签名.PPT

* * 5.8 不可否认签名 任何人都可以验证普通签名。有时候需要在签名者参加的情 况下才能进行签名验证。满足这个要求的签名叫“不可否认签 名”(Undeniable Signature Scheme)。例如： 1）实体A希望访问实体B控制的“安全区域”。实体B在授予 实体A访问权之前，要求A对“访问时间、日期”进行签名。实 体A不希望别人了解这个事实，即实体B没有A的参与不能通 过出示A的签名及验证证明“实体A访问该区域”这一事实。 2）某公司A开发的一个软件包。A将软件包和他对软件 包的签名卖给用户B，B当场验证其签名，以便确认软件 包的真实性。用户B决定把该软件包的拷贝卖给第三者。 由于没有公司A参与，第三者不能验证软件包的真实性。 下面我们介绍1989年Chaum-van Antwerpen提出的不 可否认签名方案: 密钥生成 选择随机素数 ，q 也是素数。在 中 找 q 阶元 ，显然 是模 p的二次剩余。 由α生成的群G是 的子群，它由 中全体模p 二次剩 余组成。选择秘密指数 ，计算 公 布 ，秘密保存私钥 。 签名算法 是对消息 m 的签名. 验证协议 验证者 签名者 随机选取 计算 验证 成立接受，否则拒绝。 签名者A想否认一个“由签名算法构造出来的”合法签名， 其方式有1）拒绝参与验证协议；2）错误地执行验证协 议；3）即使验证协议成功，也断言签名是伪造的。对 于前者很明显，而后两种情况难以防范，需要否认协议。 通过否认协议确定是否签名者A试图否认一个由签名算 法得出的签名，还是签名是伪造的。否认协议由两遍验 证协议组成。 否认协议（Disavowal Protocol） 验证者 签名者 任取 计算 计算 若 则接受是对的签名。停止协议 否则，取 计算 计算 若 则接受s是对m的签名 。停止协议 否则计算 进行一致性检验 ，若 ，则s是对m的伪造 签名，若 ，则s是对m合法签名，签名者试 图否认。 ?? 在上述协议中，? (1)如果验证者和签名者都遵守协议（正确执行协议）必 有 说明s是m的伪造签名，即 。 (2)如果 ，则“验证者把 看作对m的合法签名” 的概率 (3)如果s是对m的合法签名，由于签名者采取不合作的态 度，致使 且 不成立， 否认协议中最后 的概率为 。 5.9盲签方案 发送者A送消息M给签名者B，B签名之后再还给A。 A可以从B对M的签名计算出B对m的签名。在签名完成 时B既不知道m也不知道自己对m的签名是什么。由此 看出盲签的目的是防止签名者B看到签名的内容m及B 自己对m的签名。正因为如此，其后签名者B无法把被 签名的信息m与发送者A联系在一起。