48、P-签名与非交互式匿名凭证

P-签名与非交互式匿名凭证

1. 引言

在现代密码学研究中，隐私保护认证机制是一个重要的主题。匿名凭证就是这类机制的一个典型例子，它允许Alice向Bob证明Carol给了她一个证书，同时保证Bob和Carol无法将Alice的证书请求与她拥有证书的证明关联起来，并且多次证明之间也无法相互关联。除了匿名凭证，电子现金和群签名也是隐私保护认证机制的例子。

Camenisch和Lysyanskaya提出的CL签名是这些构造中常用的关键组件。CL签名是一种带有两个有用协议的签名方案：
- Issue协议 ：用户可以在不泄露消息的情况下，获得对已承诺消息的签名。用户希望从拥有公钥pk的签名者那里获得值x的签名，用户先对值x进行承诺得到comm，然后将comm发送给签名者。协议运行后，用户获得x的签名，而签名者除了知道他对用户承诺的值进行了签名外，不会了解到关于x的其他信息。
- Prove协议 ：这是一个零知识证明协议，用于证明对已承诺值的签名知识。证明者拥有消息 - 签名对(x, σpk(x))，可以通过运行Issue协议或直接向签名者查询得到。证明者还有对x的承诺comm，验证者只知道comm。证明者以零知识的方式证明他知道一对(x, σ)和一个值open，使得VerifySig(pk, x, σ) = accept且comm = Commit(x, open)。

然而，CL签名方案存在一个缺点，即Prove协议是交互式的。在某些场景下，如离线电子现金中，商家接受买家的电子硬币后，银行需要在没有交互的情况下验证电子硬币的有效性。目前有两种已知的方法可以使CL Prove协议变为非交互式：一