86、轮最优盲签名方案：原理与构造

轮最优盲签名方案：原理与构造

1. 引言

盲签名方案如同复写信封，用户将消息放入“信封”交给签名者，签名者签署“信封”后返还，用户借此恢复原始消息及其签名。其安全性包含两个关键特性：签名者对消息不知情（盲性），且接收者无法伪造新消息的签名（不可伪造性）。

盲签名是重要的密码学原语，经典应用包括电子现金、电子投票和匿名凭证等。目前已知的盲签名方案实例基于不同的安全假设，如随机预言机模型或标准模型，也有基于通用假设的构造。

签名协议的轮复杂度是衡量这些方案效率的核心指标。过去至少十年，这一直是个明确的问题。当前标准模型中轮复杂度最优的盲签名方案由Okamoto提出，该方案有四轮。

现有的轮最优解决方案要么依赖随机预言机启发式方法，要么需要公共参考字符串，部分实例甚至在交互式假设下证明其安全性。同时，也有许多关于排除安全盲签名存在性的有趣不可能结果。例如，Fischlin和Schröder排除了一大类少于四轮的盲签名方案，Katz、Schröder和Yerukhimovich排除了基于单向置换的黑盒构造盲签名方案。因此，构造轮最优盲签名需要显著的新思路。

并发安全的盲签名方案也是理想的，但难以实现。之前的一些解决方案存在局限性，如Juels、Luby和Ostrovsky提出的方案仅在顺序设置下安全，因为它似乎需要标准模型中仍未解决的并发安全双方计算协议。通过黑盒证明获得基于模拟定义的并发安全协议是不可能的，之前的协议通过假设公共参考字符串和基于游戏的定义来克服这一问题，唯一的例外是Hazay等人的协议，它不需要公共参考字符串。

2. 贡献

本文提出了标准模型中的第一个轮最优（即两轮）盲签名方案，该方案在