15、短可链接环签名再探

短可链接环签名再探

1. 引言

环签名由 Rivest、Shamir 和 Tauman 引入，具有匿名性、自发性和不可链接性三个主要特性。
- 匿名性 ：意味着 1 - out - of - n 签名者可验证性，使签名者在一组掩护签名者中保持匿名。
- 自发性 ：这是环签名与群签名的区别所在。群签名方案中有一个可信第三方（TTP），即群管理员，负责处理群成员的加入；而环签名方案中不存在这样的可信方，环中的其他 n - 1 个成员可能完全不知道自己被纳入了环中。
- 不可链接性 ：与隐私相关，同一个签名者发出的两个环签名除了该签名者同时出现在两个环中这一事实外，在任何方面都是不可链接的。

这些特性使环签名广泛应用于各种密码学方案。例如，并发签名是一种在没有 TTP 的情况下实现签名公平交换的部分解决方案，匿名性提供了签名者的模糊性（在交换之前），自发性则实现了无 TTP 的解决方案。

可链接环签名是环签名的一种变体，它可以识别两个环签名是否由同一签名者发出，但仍然无法确定签名者是谁，这种降低程度的匿名性被称为可链接匿名性或假名性。可链接环签名在电子现金、电子投票和认证等具有隐私需求的密码学应用中是有用的构建块。以电子现金为例，电子现金系统的两个明显安全要求是用户匿名性和检测双重花费的能力。环签名的匿名集是银行迄今发行的电子硬币集合，用户消费时使用其中一个签名密钥对交易记录进行环签名。环签名保证了一次诚实交易中的电子硬币在计算上不可区分，从而保护了用户的匿名性；可链接性则用于检测双重花费，因为可以判断两个签名是否使用同一密钥签署，意味着同一电