19、如何泄露秘密：环签名的理论与应用

如何泄露秘密：环签名的理论与应用

1. 引言

1991 年，Chaum 和 van Heyst 引入了群签名方案的概念。在群签名方案中，一个可信的群管理员预先定义某些用户组，并向其成员分发专门设计的密钥。成员可以使用这些密钥代表其所在的组匿名签署消息。不同成员生成的签名对于验证者来说是难以区分的，但群管理员可以撤销违规签名者的匿名性。

而环签名方案是简化的群签名方案，只有用户，没有管理员。群签名适用于成员希望合作的场景，而环签名适用于成员不想合作的情况。两者都具有签名者模糊性，但环签名方案没有预先安排的用户组，没有设置、更改或删除组的程序，无法分发专门的密钥，也无法撤销实际签名者的匿名性（除非签名者自己暴露）。我们仅假设每个成员都已经关联了某个标准签名方案（如 RSA）的公钥。要生成环签名，实际签名者声明一个包含自己的任意可能签名者集合，并仅使用自己的私钥和其他成员的公钥完全独立地计算签名。

环签名的概念并非全新，但以前的参考文献没有清晰地对其进行形式化定义，并且提出的构造效率较低和/或有不同的目标。本文提出的环签名的直接构造基于完全不同的思想，对于大型环非常高效，在生成和验证签名时，每个环成员仅增加一次模乘和一次对称加密操作。所得签名在无条件情况下具有签名者模糊性，并且在随机预言机模型中是安全的。

2. 定义和应用

2.1 环签名

• 术语定义 ：我们将一组可能的签名者称为一个环。产生实际签名的环成员称为签名者，其他环成员称为非签名者。
• 签名方案定义 ：假设每个可能的签名者都通过 PKI 目录或证书关联