40、密码学中的签名与代理重加密技术解析

密码学中的签名与代理重加密技术解析

1. 无 ROS 假设的一轮基于身份的盲签名方案

1.1 方案安全性证明

在模拟实验中，攻击者 A 的视图与真实实验中的视图不可区分，且只有当 A 成功时，算法 B 才会成功。因此，B 成功的概率 ϵ2 至少为 A 成功的概率 ϵ1。算法 B 的运行时间是 A 的运行时间加上响应各种查询（qH1 个 H1 - 哈希查询、qH2 个 H2 - 哈希查询、qE 个提取查询和 qS 个签名发行查询）所需的时间。每个查询在 G1 中最多需要四次指数运算，假设每次指数运算耗时 cG1。所以，总运行时间 t2 最多为 t1 + 4cG1(qH1 + qH2 + qS + qE)，这完成了定理 1 的证明。

结合上述引理，得到定理 2：如果在群 G1 中“一次多 BDHI 假设”成立，那么所提出的基于身份的盲签名方案在随机预言模型下，针对并行选择消息和身份攻击的一次多伪造是安全的。

1.2 基于身份的盲签名方案比较

为了展示所提出方案相较于现有方案的优势，对基于身份的盲签名（IDBS）进行了简要比较，如下表所示：
| 方案 | 签名者 | 用户 | 验证者 | 移动次数 | 安全模型 |
| — | — | — | — | — | — |
| 我们的方案 | 3M | 4M + 4e | 4e | 2 | ROM + 1m - BDHI |
| ZK02 | 3M | 3M + 3e | 1E + 2e | 3 | ROM + CDH + ROS(?) |
| ZK03 | 2M | 4M + 2e | 1M + 2e | 3 | ROM + CDH + ROS