19、匿名签名再探

匿名签名再探

1 引言

匿名签名是一种签名方案，消息 $m$ 的签名 $\sigma$ 不会透露签名者的身份。在许多需要匿名性的应用场景中，匿名签名都非常有用，比如密钥交换协议、拍卖系统和匿名论文评审等。

不过，将匿名性引入数字签名存在一个问题：签名是可公开验证的。如果候选签名者数量较少，匿名性的攻击者可以通过使用所有候选公钥对消息 - 签名对进行验证来破坏匿名性。因此，只要攻击者同时获得消息和签名，匿名性似乎就难以保证。

Yang 等人通过以下方式解决了这个悖论：仅当攻击者获得签名但未获得消息，或者消息中存在一些未向攻击者透露的随机性时，保证匿名性。例如：
- 密钥传输场景 ：在 Yang 等人给出的密钥传输示例中，Bob 通过之前的通信已经知道 Alice 的消息内容，所以 Alice 可以只发送匿名签名而不发送消息，这样既能认证 Alice 的身份，又能保护她不被窃听者识别。
- 拍卖场景 ：在拍卖中，投标者可以在消息 $m$（即他的投标内容）后面附加一个随机字符串 $r$ 并进行签名。拍卖结束后，只有获胜者可以透露随机字符串 $r$ 从而暴露自己的身份，其他参与者则保持匿名。

Fischlin 利用消息中隐藏随机性的思想，提出了一种从普通签名生成匿名签名的通用转换方法，通过应用随机性提取器来提取隐藏的随机性，并用于使签名匿名化。Zhang 和 Imai 则提出了“强匿名签名”的概念，考虑了消息中不确定性较少的情况。

1.1 先前形式化方法的局限性

先前的匿名签名形式化方法存在一些不足之处：
1.