Page 352 - 《软件学报》2026年第4期

苏航 等: 高效的区块链中可监管身份隐私保护方案 1793

*
4) O C 查询: A查询预言机O C , 获取用户 A i 私钥. B 查询 A i 是否属于 A , 若是, 则不响应查询; 否则, B 查询 A i
是否在 LIST R 中, 若在, 则在 LIST R 中找到记录中对应的 sk i , 并返回 sk i ; 否则返回 A i 未注册.
( * )
伪造: 敌手 A 以不可忽略的概率输出其所选择 S ,m 的伪造签名 σ = (I,c 1 ,q 1 ,...,q n ).
σ 为有效签名, 根据文献 [39] 定理 2, B 能够以不可忽略的概率得到两个有效环签名:
若敌手 A 伪造的
( ) c j
′
′
′
′
′
q j
σ 0 = (I,c 1 ,q 1 ,...,q n ) 和 σ 1 = I,c ,q ,...,q , 在两个环签名中, 存在 j ∈ {1,2,...,n}, 使得 q j , q , c j , c , L j = g pk =
1 1 n j j j
( )
q j −q ′ j q j −q ′ j
c ′
q ′
sk j
′
L = g j pk j j 成立, 则 log pk j = mod p. 由于 pk j = Q , 则 log Q = x = ( ) mod p, 即算法 B 可攻破离散
g
j
g
′
c −c j sk j c j −c ′
j j
对数问题.
假设敌手 A 可以不可忽略的优势赢得实验, 则存在算法 B 可以不可忽略的概率解决 G 中的离散对数问题, 与
假设矛盾, 定理得证, 即方案满足不可伪造性. 证毕.
(2) 匿名性证明
定理 5. 在随机预言机模型下, 若 DDH 问题是困难的, 则方案满足匿名性.
证明: 假设 A 为可有效伪造环签名概率多项式时间敌手, 则仿真器 S 可利用 A 的能力, 构造解决 DDH 困难问
B S 将
a
b
b
a
a
z
b
题的算法 . DDH 问题的挑战实例 ( g,g ,g ,g z ) 交给算法 B, 其中 g, g , g , g ∈ G, 若 ( g,g ,g ,g z ) 是一个 DDH
z
元组, 则 g = g ab 成立. 敌手 A 与算法 B 定义之间的实验如下.
初始化: B 运行初始化算法, 令 pk a = , 并将公开参数 pp = {G, p,g, pk a } 发送给敌手 A.
a
g
查询: B 控制随机预言机 H 和 O R , A 查询上述预言机, 查询与应答过程如下.
1) H 查询: H 查询过程同定理 4 中的查询过程.
2) O R 查询: B 维护一个初始为空的列表 LIST R . A查询预言机O R , 注册新用户 A i . B 查询 A i 是否被查询过, 若
*
( ) sk i
被查询过, 则在 LIST R 中找到对应的 pk i , 并返回 pk i ; 否则, B 选取 sk i ∈ Z , 计算公钥为 pk i = g b , 在 LIST R 中添
q
加 {A i , sk i , pk i }, 并返回 pk i .
* B B 构造相
挑战: 敌手 A 任意选择消息 M , 将签名公钥集合 S = {pk 1 , pk 2 ,..., pk n }, 签名公钥 pk i 发送给算法 ;
应的环签名, 操作如下.
R
1) B 选择 b←{1,...,n}, 计算 I = (g ) .
z sk b
2) 对于 i ∈ {1,2,...,n−1}, 依次执行下述操作.
* q i c i q i c i
a) 随机选取 q i , c i ∈ Z , 计算 L i = g pk 和 R i = pk a I .
q i
b) 令δ i+1 = (M ∥ pk 1 || pk 2 ||...|| pk n ∥ pk a ∥ I ∥ L i ∥ R i ), 检查 δ i+1 是否在列表 LIST H 中, 若在, 则重新执行 a); 否则,
将 (δ i ,c i ) 记录到 LIST H 中.
* q n c n q n c n δ n+1 = (M ∥ pk 1 ||pk 2 ||...||pk n ∥ pk a ∥ I ∥ L n ∥ R n ), 检查
3) 随机选取 q n , c n ∈ Z , 计算 L n = g pk n 和 R n = pk a I , 令
q
δ n+1 是否在列表 LIST H 中, 若在, 则重新执行 3); 否则, 将 (δ n+1 ,c 1 ) 添加到 LIST H 中.
4) B 返回 σ = (I,c 1 ,q 1 ,...,q n ) 作为应答.
′
z
ab
ab
z
b
′
′
猜测: 敌手 A 输出 b 的猜测值 . 若 b = b, 则 B 输出 g = g , 否则 B 输出 g , g .
假设 A 以不可忽略的概率 ϵ A 赢得实验, 则算法 B 能够根据 A 的能力可以不可忽略的概率解决 DDH 问题, 与
假设矛盾, 故定理得证, 即方案满足匿名性. 证毕.
(3) 可链接性证明
定理 6. 在随机预言机模型下, 若 G 中的离散对数问题是困难的, 则方案满足可链接性.
A 的能力, 构造解决离散对数困难
证明: 假设 A 为可有效伪造环签名概率多项式时间敌手, 则仿真器 S 利用
x
问题的算法 . (g,Q = g ) 交给算法 B. 敌手 A 与算法 B 之间的实验定义如下.
B S 将离散对数问题实例
( )
λ
初始化: B 运行初始化算法 pp ← TRS.SetUp 1 , 并将公开参数 pp = {G,q,g, pk a } 交给敌手 A.
查询: B 控制随机预言机 H, O R , O C 和 O S , A 查询上述预言机, 查询与应答过程同定理 4 中的查询过程. A 至
多且只能对 S * 中一个公钥进行 O C 查询, 即 A 至多只有 S * 中某一个公钥对应的私钥, 假设 A 拥有 S * 中公钥 P π 对