16、密钥范围属性基签名（KARIP）方案解析

密钥范围属性基签名（KARIP）方案解析

1. 签名与伪造分析

首先介绍签名过程 Sign(x, L, R, y, M) ：
1. 随机选择 $\tau \overset{U}{\leftarrow} {0, 1}^N$。
2. 计算 $d := \langle x, y \rangle \pmod{p}$。
3. 生成LHS签名 $\sigma’ \leftarrow L.Sig(sk_L, \tau, v’)$，其中 $v’ := (d, y_1, \cdots, y_n, M, 1)$。
4. 生成AOS签名 $\theta’ \leftarrow Sign_A((\tau, d[1], \cdots, d[\lambda]))$。
5. 生成NIWI证明 $\pi \leftarrow N.Pro(crs, x, w)$，其中 $x := (y, M)$，$w := (d, \tau, \sigma’, \theta’)$，最后返回结果。

当敌手 $A$ 输出伪造的KARIP签名 $\pi^ $ 时，我们通过 $w^ \leftarrow Extract(crs, ek, x^ , \pi)$ 提取NIWI证明 $\pi^ $ 的见证，其中 $x^ := (y^ , M^ )$，并解析为 $(d^ , \tau^ , \sigma^ , \theta^ )$。模拟器 $B_6$ 输出伪造的AOS签名 $\theta^ $ 用于 $(\tau^ , d^ [1],