CN112003693B - 一种基于sm2的多方参与数字签名方法及系统 - Google Patents

Abstract

本发明提供了一种基于SM2的多方参与数字签名方法，包括：发起方获取参与方密码总量R_m、服务方公钥点P_s及服务方随机变量t_s，参与方密码总量R_m通过发起方生成的随机数R₀以及多个参与方密码分量计算得到；根据生成的发起方随机变量t_c、及参与方密码总量R_m、服务方公钥点P_s、服务方随机变量t_s进行计算，得到用户公钥P；根据用户公钥P将待签名消息msg生成摘要e；根据摘要e生成数字签名(r，s)。还提供一种基于SM2的多方参与数字签名系统。完整的私钥需要多个参与方密码分量及服务方密码分量共同组成，私钥不会完整出现，提高安全性；此外，以服务方为联络点，签名时通过网络拉取参与方密码总量和服务方密码分量，不需要硬件，提高签名灵活性。

Description

一种基于SM2的多方参与数字签名方法及系统

技术领域

本发明涉及数字签名技术领域，尤其涉及一种基于SM2的多方参与数字签名方法及系统。

背景技术

数字签名可实现对数据完整性和行为不可否认性的验证,在业务系统应用中可以解决用户身份验证的问题。为了保证私钥的安全可控,数字签名通常需要USBKey等硬件设备进行支持生成。

但传统中的数字签名方式存在不少缺陷，首先是硬件不方便且成本过高，每次用户需要签名时，必须连接硬件密钥，不仅使用繁琐且成本也高。其次安全性也不足，采用硬件设备时密钥是集中出现的，盗取该密钥后就能够实现加解密。

发明内容

针对现有技术中所存在的不足，本发明了一种基于SM2的多方参与数字签名方法及系统。

第一方面，在一个实施例中，本发明提供一种基于SM2的多方参与数字签名方法，包括：

发起方获取参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s，参与方密码总量R_m通过发起方生成的随机数R₀以及多个参与方各自生成的参与方密码分量计算得到；

发起方根据自身生成的发起方随机变量t_c、以及参与方密码总量R_m、服务方公钥点P_s、服务方随机变量t_s进行计算，得到用户公钥P；

发起方根据用户公钥P将待签名消息msg生成摘要e；

发起方根据摘要e生成用户的数字签名(r，s)。

在一个实施例中，参与方包括m个，m大于1，多个参与方的参与方密码分量分别为S₁，S₂，S₃，…，S_m，S₁，S₂，S₃，…，S_m分别由m个参与方通过派生算法转换得到；在发起方获取参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s的步骤之前，还包括：

第一个参与方接收发起方发送的随机数R₀；

第一个参与方根据随机数R₀和参与方密码分量S₁进行计算并将计算结果发送至第二个参与方，直至第m个参与方完成计算，得到参与方密码总量R_m，第m个参与方将参与方密码总量R_m发送至发起方；第m个参与方的计算公式为：R_m＝R_m-1S_m ^-1(mod n)；其中S_m ^-1为S_m对n的模逆运算，mod为求模运算,G为SM2椭圆曲线的基点，n为G的阶。

在一个实施例中，在发起方获取参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s的步骤之前，还包括：

服务方根据服务方随机变量t_s更新自身生成的服务方密码分量d_s，根据公式d_s’＝d_st_s(mod n)得到更新后服务方密码分量d_s’；

服务方根据公式P_s＝d_s’^-1G得到服务方公钥点P_s。

在一个实施例中，发起方根据自身生成的发起方随机变量t_c、以及参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s进行计算，得到用户公钥P，包括：

发起方根据服务方随机变量t_s更新发起方随机变量t_c，根据公式t_c’＝t_ct_s(mod n)得到更新后的发起方随机变量t_c’；

发起方根据公式P＝R_mR₀ ^-1t_c’(mod n)P_s-G得到用户公钥P。

在一个实施例中，发起方根据摘要e生成用户的数字签名(r，s)，包括：

发起方根据参与方密码总量R_m和更新后的发起方随机变量t_c’生成发起方公钥点P_c，根据公式P_c＝(R_mt_c’R₀ ^-1+R₀)(mod n)G得到发起方公钥点P_c；

发起方将发起方公钥点P_c和摘要e发送至服务方；

发起方接收服务方根据发起方公钥点P_c和摘要e计算得到然后返回的第一部分签名r和第二部分签名参数(s₁，s₂)；

发起方根据所述第一部分签名r和第二部分签名参数(s₁，s₂)计算得到数字签名(r，s)。

在一个实施例中，服务方根据发起方公钥点P_c和摘要e计算得到第一部分签名r和第二部分签名参数(s₁，s₂)，包括：

服务方生成随机数K₁和K₂，根据随机数K₁、K₂以及发起方公钥点P_c生成签名公钥点P_r,根据公式P_r＝K₁P_c+K₂G得到签名公钥点P_r；

服务方获取签名公钥点P_r对应的坐标(P_rx，P_ry)并根据公式r＝e+P_rx得到第一部分签名值r；

服务方根据公式s₁＝K₁d_s’(mod n)得到第二部分签名参数中的第一签名参数s₁，根据公式s₂＝(K₂d_s’+d_s’r)(mod n)得到第二部分签名参数中的第二签名参数s₂。

在一个实施例中，发起方根据第一部分签名r和第二部分签名参数(s₁，s₂)计算得到数字签名(r，s)，包括：

发起方根据公式s＝[(1+R₀ ²R_m ^-1t_c’^-1)s₁+R₀R_m ^-1t_c’^-1s₂-r](mod n)得到第二部分签名s。

在一个实施例中，发起方根据用户公钥P将待签名消息msg生成摘要e，包括：

发起方根据用户公钥P和国密规范GMT 0003.2-2012计算出Z_A值；

发起方令待签名消息msg为M，并根据公式M’＝Z_A||M和e＝SM3(M’)计算得到摘要e。

在一个实施例中，上述基于SM2的多方参与数字签名方法还包括参与方在参与计算后更新自身的参与方密码分量，具体包括如下步骤：

更新参与方将自身的参与方密码分量S_i更新为S_i’并连接服务方，更新参与方为多个参与方中任一个参与方；

服务方根据服务方随机变量t_s更新自身生成的服务方密码分量d_s，根据公式d_s ^”＝d_st_s(mod n)得到更新后的服务方密码分量d_s ^”，并将更新后的服务方密码分量d_s ^”作为签名开始后的服务方密码分量d_s；

更新参与方接收服务方发送的服务方随机变量t_s并根据公式t_i＝S_i ^-1t_sS_i’得到更新变量t_i，将更新变量t_i发送至发起方；

发起方接收更新变量t_i并根据公式t_c ^”＝t_ct_i(mod n)将发起方随机变量t_c更新为发起方随机变量t_c ^”，并将更新后的发起方随机变量t_c ^”作为签名开始后的发起方随机变量t_c，其中S_i ^-1为S_i对n的模逆运算，mod为求模运算,G为SM2椭圆曲线的基点，n为G的阶。

第二方面，在一个实施例中，本发明还提供一种基于SM2的多方参与数字签名系统，包括发起方、多个参与方、服务方；

发起方用于获取参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s；根据自身生成的发起方随机变量t_c、以及参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s进行计算，得到用户公钥P；根据用户公钥P将待签名消息msg生成摘要e；根据摘要e生成用户的数字签名(r，s)；

多个参与方用于根据发起方生成的随机数R₀以及各自生成的参与方密码分量计算得到参与方密码总量R_m并发送至发起方；

服务方用于根据服务方随机变量t_s生成服务方公钥点P_s；将服务方随机变量t_s和服务方公钥点P_s发送至发起方。

通过上述基于SM2的多方参与数字签名方法及系统，采用发起方、参与方、服务方，其中参与方包括多个，完整的私钥需要多个参与方的参与方密码分量以及服务方的服务方密码分量共同组成，保证私钥不会完整的出现在任何时候，提高了安全性；此外，以服务方为联络点，每次签名的时候通过网络拉取多个参与方形成的参与方密码总量和服务方的服务方密码分量，不需要硬件设备，提高了签名的灵活性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

其中：

图1为本发明一个实施例中基于SM2的多方参与数字签名方法的流程；

图2为本发明一个实施例中得到参与方密码总量R_m的流程图；

图3为本发明一个实施例中得到服务方公钥点P_s的流程图；

图4为本发明一个实施例中得到用户公钥P的具体流程图；

图5为本发明一个实施例中生成用户的数字签名(r，s)的具体流程图；

图6为本发明一个实施例中得到第一部分签名r和第二部分签名参数(s₁，s₂)的具体流程图；

图7为本发明一个实施例中参与方更新自身的参与方密码分量的具体流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

如图1所示，在一个实施例中，本发明提供一种基于SM2的多方参与数字签名方法，包括：

步骤102，发起方获取参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s，参与方密码总量R_m通过发起方生成的随机数R₀以及多个参与方各自生成的参与方密码分量计算得到。

其中，参与方的数量需要结合实际情况进行设置，如某个人员需要发送密文并签名时，需要三个领导的权限，因此此时参与方就为三个。服务方可以是计算机、也可以是服务器，服务方处存有密码箱硬件，无论是签名还是解密都需要通过服务方提供的服务方密码分量和服务方随机变量，由于是通过密码箱来生成随机变量，因此服务方随机变量为真随机变量，无法破解。而参与方密码总量R_m则是通过多个参与方依次计算得到的最终密码量。其中，参与方可以是任何终端，比如移动终端、家用计算机、车载计算机等能够进行网络通信的设备。而发起方同样包括移动终端、家用计算机、车载计算机等能够进行网络通信的设备。

在一个实施例中，发起方为移动终端。通过移动终端进行网络通信访问参与方和服务方，从而在不设硬件的情况下实现数字签名。

步骤104，发起方根据自身生成的发起方随机变量t_c、以及参与方密码总量R_m、服务方公钥点P_s、服务方随机变量t_s进行计算，得到用户公钥P。

其中，得到发起方随机变量t_c、以及参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s后，即获得了用户私钥，根据用户私钥即可计算出用户公钥P。此外由于用户私钥与多个变量有关，而多个变量又是实时根据发起方的签名请求而实时给出，因此当被盗取其中一个数据后，也不能实现破解，安全性很高。

其中，发起方随机变量t_c是发起方生成的，具体的，若本次签名为第一次签名，则本次的发起方随机变量t_c是本次签名时发起方生成的；若本次签名为第二次及以后的签名，则本次的发起方随机变量t_c是通过上一次签名后保存的。

步骤106，发起方根据用户公钥P将待签名消息msg生成摘要e。

其中，得到了用户公钥P后，即可根据用户公钥P将待签名消息msg生成摘要e，一般为SM3摘要。

步骤108，发起方根据摘要e生成用户的数字签名(r，s)。

其中，根据摘要e，发起方再次访问服务方，两者交互变量，从而得到数字签名(r，s)。

通过上述基于SM2的多方参与数字签名方法，采用发起方、参与方、服务方，其中参与方包括多个，完整的私钥需要多个参与方的参与方密码分量以及服务方的服务方密码分量共同组成，保证私钥不会完整的出现在任何时候，提高了安全性；此外，以服务方为联络点，每次签名的时候通过网络拉取多个参与方形成的参与方密码总量和服务方的服务方密码分量，不需要硬件设备，提高了签名的灵活性。

如图2所示，在一个实施例中，参与方包括m个，m大于1，多个参与方的参与方密码分量分别为S₁，S₂，S₃，…，S_m，S₁，S₂，S₃，…，S_m分别由m个参与方通过派生算法转换得到；在发起方获取参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s的步骤之前，还包括：

步骤202，第一个参与方接收发起方发送的随机数R₀。

其中，随机数R₀的作用首先是发起方触发签名过程，通过随机数R₀发送给第一个参与方，从而实现签名过程的开始，也是参与方密码总量R_m获取过程的开始。此外，由于多个参与方的参与方密码分量不能直接发给下一个，因此通过随机数R₀作为掩体，使得在整个计算中，任何一个参与方都无法知晓其他参与方的参与方密码分量，也无法回溯。此外，S₁，S₂，S₃，…，S_m统一的格式，多个参与方本身的密码分量格式可能都不相同，因此需要通过派生算法来转换为统一的格式，使得后续能够据此进行计算。

步骤204，第一个参与方根据随机数R₀和参与方密码分量S₁进行计算并将计算结果发送至第二个参与方，直至第m个参与方完成计算，得到参与方密码总量R_m，第m个参与方将参与方密码总量R_m发送至发起方；第m个参与方的计算公式为：R_m＝R_m-1S _m ^-1(mod n)；其中S_m ^-1为S_m对n的模逆运算，mod为求模运算,G为SM2椭圆曲线的基点，n为G的阶。

其中，从随机数R₀的触发开始，依次经历m个参与方的依次计算，最终得到m个带有参与方所有参与方密码分量的合集，即R_m，第m个再将最后得到的参与方密码总量R_m返回给发起方，以便于后续计算。为了使实施例更加清楚，在此举例说明，例如，第一个参与方将收到的发起方随机数R₀结合自身的参与方密码分量进行计算得到计算结果R₁＝R₀S₁ ^-1(modn)；接着第一个参与方将计算结果发送至第二个参与方，第二个参与方将接收到的第一个计算结果结合自身的参与方密码分量进行计算得到计算结果R₂＝R₁S₂ ^-1(mod n),以此类推，计算第i-1个参与方将计算结果发送至第i个参与方，第i个参与方根据接收到的第i-1个计算结果结合自身的密码分量进行计算得到计算结果R_i＝R_i-1S_i ^-1(mod n)，i∈(1,2,3，……，m)；直到第m个参与方完成计算，第m个参与方计算得到的即为参与方密码总量R_m。

其中，S_m ^-1为S_m对n的模逆运算，比如S_m＝2，n＝5，那么S_m ^-1＝3。再次需要说明的是，本说明书所出现的^”-1”均表示对n的模逆运算。

其中，第m分参与方的计算结果展开为R_m＝R₀S₁ ^-1S₂ ^-1S₃ ^-1……S_m-1 ^-1S_m ^-1(mod n)，在此需要特别注意的是，在R_m＝R₀S₁ ^-1S₂ ^-1S₃ ^-1……S_m-1 ^-1S_m ^-1(mod n)中的(mod n)是表示每个乘数都要进行一次求模，例如R₁＝R₀S₁ ^-1(mod n)，然后在R₂＝(R₀S₁ ^-1(mod n))S₂ ^-1(mod n)，以此类推,且其余实施例中的(mod n)同样可以采用该规则；由于第m个参与方的计算结果包含了m个参与方的密码分量，因此将第m个参与方的计算结果认定为参与方密码总量R_m。

如图3所示，在一个实施例中，在发起方获取参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s的步骤之前，还包括：

步骤302，服务方根据服务方随机变量t_s更新自身生成的服务方密码分量d_s，根据公式d_s’＝d_st_s(mod n)得到更新后服务方密码分量d_s’。

其中，上述也提到为了提高安全性，每次签名时的变量都是实时变动，具体的可以是以上一次签名使用时的变量作为这次签名的初始量，再通过一个服务方随机变量t_s来更新当前的初始量，达到每次签名不同变量的目的。此外，为了使发起方知晓该更新情况，因此会将该服务方随机变量t_s返回给发起方。

其中，服务方密码分量d_s是由服务方生成的，但具体成因与上述发起方随机变量t_c相同，若本次签名为第一次签名，则本次的服务方密码分量d_s是本次签名时服务方生成的；若本次签名为第二次及以后的签名，则本次的服务方密码分量d_s是通过上一次签名后保持的。

步骤304，服务方根据公式P_s＝d_s’^-1G得到服务方公钥点P_s。

其中，利用更新后的服务方密码分量d_s’，来生成服务方公钥点P_s提高安全性。此外为了计算更严谨，计算公式也可以为P_s＝d_s’^-1G(mod n)。

其中，更新后的服务方密码分量d_s’不仅要参与本次签名的后续计算，还要作为下一次签名的服务方密码分量d_s。

如图4所示，在一个实施例中，发起方根据自身生成的发起方随机变量t_c、以及参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s进行计算，得到用户公钥P，包括：

步骤402，发起方根据服务方随机变量t_s更新发起方随机变量t_c，根据公式t_c’＝t_ct_s(mod n)得到更新后的发起方随机变量t_c’。

其中，发起方接收到返回的服务方随机变量t_s后，进而更新当前的发起方随机变量t_c，以使得在后续计算中与服务方的变量保持一致。

其中，更新后的发起方随机变量t_c’不仅要参与本次签名的后续计算，还要作为下一次签名的发起方随机变量t_c。

步骤404，发起方根据公式P＝R_mR₀ ^-1t_c’(mod n)P_s-G得到用户公钥P。

其中，在该公式中可以看出，一开始发起方生成的随机数R₀结合R₀ ^-1使其在用户公钥P中R₀不影响运算结果，因此随机数R₀仅仅是用于触发签名以及作为掩体两个作用，不参与实际的用户公钥P的计算。

如图5所示，在一个实施例中，发起方根据摘要e生成用户的数字签名(r，s)，包括：

步骤502，发起方根据参与方密码总量R_m和更新后的发起方随机变量t_c’生成发起方公钥点P_c，根据公式P_c＝(R_mt_c’R₀ ^-1+R₀)(mod n)G得到发起方公钥点P_c。

其中，发起方更新得到发起方随机变量t_c’后，需要生成一个发起方公钥点P_c，也就是在SM2曲线中用于生成签名的公钥点。

步骤504，发起方将发起方公钥点P_c和摘要e发送至服务方。

其中，数字签名(r，s)分为两个部分，第一部分签名r的生成在服务方，因此发起方需要将生成的发起方公钥点P_c和摘要e发送至服务方。

步骤506，发起方接收服务方根据发起方公钥点P_c和摘要e计算得到然后返回的第一部分签名r和第二部分签名参数(s₁，s₂)。

其中，在服务方完成第一部分签名r和第二部分签名参数(s₁，s₂)的计算，计算完成后需要返回到发起方完成剩余部分的计算。

步骤508，发起方根据所述第一部分签名r和第二部分签名参数(s₁，s₂)计算得到数字签名(r，s)。

如图6所示，在一个实施例中，服务方根据发起方公钥点P_c和摘要e计算得到第一部分签名r和第二部分签名参数(s₁，s₂)，包括：

步骤602，服务方生成随机数K₁和K₂，根据随机数K₁、K₂以及发起方公钥点P_c生成签名公钥点P_r,根据公式P_r＝K₁P_c+K₂G得到签名公钥点P_r。

其中，公式也可以为P_r＝K₁P_c+K₂G(mod n)。

步骤604，服务方获取签名公钥点P_r对应的坐标(P_rx，P_ry)并根据公式r＝e+P_rx得到第一部分签名值r。

步骤606，服务方根据公式s₁＝K₁d_s’(mod n)得到第二部分签名参数中的第一签名参数s₁，根据公式s₂＝(K₂d_s’+d_s’r)(mod n)得到第二部分签名参数中的第二签名参数s₂。

在一个实施例中，发起方根据第一部分签名r和第二部分签名参数(s₁，s₂)计算得到数字签名(r，s)，包括：

发起方根据公式s＝[(1+R₀ ²R_m ^-1t_c’^-1)s₁+R₀R_m ^-1t_c’^-1s₂-r](mod n)得到第二部分签名s。

其中，当服务方完成了第一部分签名r以及第二部分签名参数(s₁，s₂)后，发起方根据返回数据完成第二部分签名的计算，最终得到完整的数字签名(r，s)。

在一个实施例中，发起方根据用户公钥P将待签名消息msg生成摘要e，包括：

发起方根据用户公钥P和国密规范GMT 0003.2-2012计算出Z_A值；

发起方令待签名消息msg为M，并根据公式M’＝Z_A||M和e＝SM3(M’)计算得到摘要e。

其中，SM3是SM2国密算法中的计算摘要的算法，通过SM3，以及得到的用户公钥P即可计算出摘要e。

如图7所示，在一个实施例中，上述基于SM2的多方参与数字签名方法还包括参与方在参与计算后更新自身的参与方密码分量，具体包括如下步骤：

步骤702，更新参与方将自身的参与方密码分量S_i更新为S_i’并连接服务方，更新参与方为多个参与方中任一个参与方。

其中，上述有提到，每次签名时使用的变量都是变化的，且都是按统一的基准进行变化，因此当其中有任意一个参与方改变其参与方密码分量时，需要告知服务方。S_i是指其中任意一个参与方的参与方密码分量。

步骤704，服务方根据服务方随机变量t_s更新自身生成的服务方密码分量d_s，根据公式d_s ^”＝d_st_s(mod n)得到更新后的服务方密码分量d_s ^”，并将更新后的服务方密码分量d_s ^”作为签名开始后的服务方密码分量d_s。

其中，当服务方接收到了该更新参与方的请求时，通过服务方随机变量t_s更新一次服务方密码分量d_s，将更新后的服务方密码分量d_s ^”再作为开始签名后的服务方密码分量d_s，并完成后续计算。

步骤706，更新参与方接收服务方发送的服务方随机变量t_s并根据公式t_i＝S_i ^{- 1}t_sS_i’得到更新变量t_i，将更新变量t_i发送至发起方。

其中S_i ^-1为S_i对n的模逆运算，mod为求模运算,G为SM2椭圆曲线的基点，n为G的阶。

步骤708，发起方接收更新变量t_i并根据公式t_c ^”＝t_ct_i(mod n)将发起方随机变量t_c更新为发起方随机变量t_c ^”，并将更新后的发起方随机变量t_c ^”作为签名开始后的发起方随机变量t_c。

其中，通过更新变量t_i来更新发起方随机变量t_c，该t_c ^”也就是上述第一个实施例中的t_c，完成更新后，再进行签名过程。

在一个实施例中，发起方、参与方以及服务方之间的通信采用TSL1.2通信协议。

在一个实施例中，本发明还提供一种基于SM2的多方参与数字签名系统，包括发起方、多个参与方、服务方；

发起方用于获取参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s；根据自身生成的发起方随机变量t_c、以及参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s进行计算，得到用户公钥P；根据用户公钥P将待签名消息msg生成摘要e；根据摘要e生成用户的数字签名(r，s)；

多个参与方用于根据发起方生成的随机数R₀以及各自生成的参与方密码分量计算得到参与方密码总量R_m并发送至发起方；

服务方用于根据服务方随机变量t_s生成服务方公钥点P_s；将服务方随机变量t_s和服务方公钥点P_s发送至发起方。

在一个实施例中，本发明还提供一种数字签名的解密方法，主要包括：

获取解析密文C1||C3||C2，其中C1是生成随机数的计算出的椭圆曲线点，C2是密文数据，C3是SM3的摘要值。

取C1点作为随机数E₀触发解密过程，获取参与方密码总量E_m，该参与方密码总量E_m的获取与签名时相同。

服务方生成服务方密码分量d_s；

服务方生成服务方变量t_s；

更新服务方密码分量d_s’＝d_st_s(mod n)；

计算服务方公钥点E_s＝d_s’^-1E_m；

服务方将服务方公钥点E_s和服务方变量t_s发送给发起方，该发起方为解密发起方；

发起方根据服务方变量t_s更新发起方随机变量t_c得到t_c’；

发起方计算发起方公钥点E_c＝E_St_c’-E₀；

通过E_c生成消息msg(与加密时使用的派生函数相同)；

计算原文Plaintext＝C2^msg；

获取发起方公钥点E_c对应的坐标(E_cx，E_cy)，计算摘要Digest＝SM3(E_cx+plaintext+E_cy)；

比较摘要值digest＝＝C3，若成功，则返回plaintext说明签名为真。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明的保护范围应以所附权利要求为准。

Claims (9)

1.一种基于SM2的多方参与数字签名方法，其特征在于，包括：

发起方获取参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s，所述参与方密码总量R_m通过所述发起方生成的随机数R₀以及多个参与方各自生成的参与方密码分量计算得到；

所述发起方根据所述服务方随机变量t_s更新发起方随机变量t_c，根据公式t_c’＝t_ct_s(mod n)得到更新后的发起方随机变量t_c’；

所述发起方根据公式P＝R_mR₀ ^-1t_c’(mod n)P_s-G得到用户公钥P；其中R₀ ^-1为R₀对n的模逆运算，mod为求模运算，G为SM2椭圆曲线的基点，n为G的阶；

所述发起方根据所述用户公钥P将待签名消息msg生成摘要e；

所述发起方根据所述摘要e生成用户的数字签名(r，s)。

2.根据权利要求1所述的基于SM2的多方参与数字签名方法，其特征在于，所述参与方包括m个，m大于1，所述多个参与方的参与方密码分量分别为S₁，S₂，S₃，…，S_m，所述S₁，S₂，S₃，…，S_m分别由m个参与方通过派生算法转换得到；在所述发起方获取参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s的步骤之前，还包括：

第一个参与方接收所述发起方发送的所述随机数R₀；

所述第一个参与方根据所述随机数R₀和参与方密码分量S₁进行计算，并将计算结果发送至第二个参与方，直至第m个参与方完成计算，得到所述参与方密码总量R_m，所述第m个参与方将所述参与方密码总量R_m发送至所述发起方；所述第m个参与方的计算公式为：R_m＝R_{m- 1}S_m ^-1(mod n)；其中S_m ^-1为S_m对n的模逆运算，mod为求模运算,G为SM2椭圆曲线的基点，n为G的阶。

3.根据权利要求2所述的基于SM2的多方参与数字签名方法，其特征在于，在所述发起方获取参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s的步骤之前，还包括：

所述服务方根据所述服务方随机变量t_s更新自身生成的服务方密码分量d_s，根据公式d_s’＝d_st_s(mod n)得到更新后服务方密码分量d_s’；

所述服务方根据公式P_s＝d_s’^-1G得到服务方公钥点P_s。

4.根据权利要求1所述的基于SM2的多方参与数字签名方法，其特征在于，所述发起方根据所述摘要e生成用户的数字签名(r，s)，包括：

所述发起方根据所述参与方密码总量R_m和更新后的发起方随机变量t_c’生成发起方公钥点P_c，根据公式P_c＝(R_mt_c’R₀ ^-1+R₀)(mod n)G得到发起方公钥点P_c；

所述发起方将所述发起方公钥点P_c和摘要e发送至所述服务方；

所述发起方接收所述服务方根据所述发起方公钥点P_c和摘要e计算得到然后返回的第一部分签名r和第二部分签名参数(s₁，s₂)；

所述发起方根据所述第一部分签名r和第二部分签名参数(s₁，s₂)计算得到所述数字签名(r，s)。

5.根据权利要求4所述的基于SM2的多方参与数字签名方法，其特征在于，所述服务方根据所述发起方公钥点P_c和摘要e计算得到第一部分签名r和第二部分签名参数(s₁，s₂)，包括：

所述服务方生成随机数K₁和K₂，根据所述随机数K₁、K₂以及所述发起方公钥点P_c生成签名公钥点P_r,根据公式P_r＝K₁P_c+K₂G得到签名公钥点P_r；

所述服务方获取所述签名公钥点P_r对应的坐标(P_rx，P_ry)，并根据公式r＝e+P_rx得到第一部分签名值r；

所述服务方根据公式s₁＝K₁d_s’(mod n)得到所述第二部分签名参数中的第一签名参数s₁，根据公式s₂＝(K₂d_s’+d_s’r)(mod n)得到所述第二部分签名参数中的第二签名参数s₂。

6.根据权利要求4所述的基于SM2的多方参与数字签名方法，其特征在于，所述发起方根据所述第一部分签名r和第二部分签名参数(s₁，s₂)计算得到所述数字签名(r，s)，包括：

所述发起方根据公式s＝[(1+R₀ ²R_m ^-1t_c’^-1)s₁+R₀R_m ^-1t_c’^-1s₂-r](mod n)得到第二部分签名s。

7.根据权利要求1所述的基于SM2的多方参与数字签名方法，其特征在于，所述发起方根据所述用户公钥P将待签名消息msg生成摘要e，包括：

所述发起方根据所述用户公钥P和国密规范GMT0003.2-2012计算出Z_A值；

所述发起方令所述待签名消息msg为M，并根据公式M’＝Z_A||M和e＝SM3(M’)计算得到所述摘要e。

8.根据权利要求1所述的基于SM2的多方参与数字签名方法，其特征在于，所述方法还包括参与方在参与计算后更新自身的参与方密码分量，具体包括如下步骤：

更新参与方将自身的参与方密码分量S_i更新为S_i’，并连接所述服务方，所述更新参与方为所述多个参与方中任一个参与方；

所述服务方根据所述服务方随机变量t_s更新自身生成的服务方密码分量d_s，根据公式d_s”＝d_st_s(mod n)得到更新后的服务方密码分量d_s”，并将更新后的服务方密码分量d_s”作为签名开始后的服务方密码分量d_s；

所述更新参与方接收所述服务方发送的所述服务方随机变量t_s，并根据公式t_i＝S_i ^{- 1}t_sS_i’得到更新变量t_i，将所述更新变量t_i发送至所述发起方；

所述发起方接收所述更新变量t_i，并根据公式t_c”＝t_ct_i(mod n)将所述发起方随机变量t_c更新为发起方随机变量t_c”，并将更新后的发起方随机变量t_c”作为签名开始后的发起方随机变量t_c；其中S_i ^-1为S_i对n的模逆运算，mod为求模运算,G为SM2椭圆曲线的基点，n为G的阶。

9.一种基于SM2的多方参与数字签名系统，其特征在于，包括发起方、多个参与方、服务方；

所述发起方用于获取参与方密码总量R_m、服务方公钥点P_s以及服务方随机变量t_s；所述参与方密码总量R_m通过所述发起方生成的随机数R₀以及多个参与方各自生成的参与方密码分量计算得到；根据所述服务方随机变量t_s更新发起方随机变量t_c，根据公式t_c’＝t_ct_s(modn)得到更新后的发起方随机变量t_c’；根据公式P＝R_mR₀ ^-1t_c’(mod n)P_s-G得到用户公钥P；其中R₀ ^-1为R₀对n的模逆运算，mod为求模运算，G为SM2椭圆曲线的基点，n为G的阶；根据所述用户公钥P将待签名消息msg生成摘要e；根据所述摘要e生成用户的数字签名(r，s)；

所述多个参与方用于根据所述发起方生成的所述随机数R₀以及各自生成的所述参与方密码分量计算得到所述参与方密码总量R_m，并发送至所述发起方；

所述服务方用于根据所述服务方随机变量t_s生成所述服务方公钥点P_s；将所述服务方随机变量t_s和所述服务方公钥点P_s发送至所述发起方。

Images