12、高效确认者签名：从“承诺签名”范式谈起

高效确认者签名：从“承诺签名”范式谈起

在数字签名的世界里，不同的应用场景对签名的特性有着不同的需求。传统的数字签名具备普遍验证性，但在某些情况下，签名者可能希望限制签名持有者向其他方证明签名有效性的能力。本文将深入探讨指定确认者签名的相关内容，特别是“签名的承诺”范式，并提出改进方案以提高其效率和安全性。

1. 数字签名与指定确认者签名概述

数字签名是纸质签名在数字世界的类比，它具备许多签名所需的特性，如普遍验证性。然而，在一些应用中，签名者可能希望限制签名持有者向其他方证明签名有效性的能力。例如，软件供应商可能希望在其产品中嵌入签名，只有付费客户才能验证产品的真实性。不可否认签名解决了这个问题，它只能在签名者的帮助下进行验证，具有不可转让性，并且签名者不能否认其实际签发的签名。但不可否认签名的缺点是签名者的不可用性会阻碍整个验证过程。为了克服这个问题，指定确认者签名应运而生，它将签名的确认/否认委托给指定的确认者。

2. 相关工作

指定确认者签名的通用构造主要遵循两种策略：
- “签名加密”方法 ：先对要签名的消息生成数字签名，然后使用合适的密码系统对生成的签名进行加密。这种方法最早在[5]中被正式描述，要求组件满足最高安全级别（EUF - CMA签名和IND - CCA加密）。其主要缺点是在确认/否认协议中需要使用并发零知识（ZK）协议来处理一般NP语句。后来的一些构造试图解决这个问题，但往往以牺牲安全性和签名长度为代价。
- “承诺签名”方法 ：先对要签名的消息生成承诺，然后使用数字签名方案对生成的承诺进行签名。确认者签名由承诺和签名组成。最早实现这一原