基于分解困难性的潜信道构造

基于分解困难性及离散对数问题, 给出一个在Schnorr 签名中构造潜信道的方案. 方
案中, 被Schnorr 签名所掩盖的潜信息的安全性依赖于分解困难性, 签名的不可伪造性依赖
于Schnorr 签名的安全性. 同时, 潜信息的接收者伪造一个签名者有效的签名是困难的.
关键词. 密码学, 数字签名, 潜信道, 安全
潜信道的概念首先由 Simmons 提出[1]. 潜信息被隐藏在一个看视正常的数字签名中. 并
且, 潜信息只能由得到签名者所赋予秘密信息的接收者恢复. 在不知道这些秘密信息的情况下, 没有人能够由签名得到潜信息. 而且, 没有人能够察觉是否正在使用潜信道. 在文[2, 3]中, Simmons 给出两种潜信道:宽带潜信道和窄带潜信道的定义. 在文[2]中, Simmons 指出在任何签名方案中, 若利用α 比特传输一个签名, 其中β(α>β)比特用于抗伪造攻击的安全性,则潜在地存在α-β 比特可用于潜信息通信. Simmons[2]的定义指出若潜信道使用了全部或几乎全部的α-β 的比特, 则称该潜信道是宽带, 若潜信道只使用了α-β 比特的一部分, 则称潜信道是窄带的. 文[4]给出了数字签名中潜信道的几种应用.
显然, 宽带潜信道的效率高于窄带潜信道. 然而, 宽带潜信道没有窄带宽信道安全, 这是
因为前者必须使得潜信息的接收者与签名者共享全部或部分签名密钥, 这限制了宽带潜信道的实际应用. 例如, 文[2, 5]中签名中的宽带潜信道需要潜信息的接收者共享签名密钥, 这在实践中是不可能的. 文[6, 7]中的签名方案中使用了两个独立的潜信道, 而其不能抵抗合谋攻击.
本文首先给出模数n 下的Schnorr 签名[8], 其中n 为两个大素数的乘积. 然后, 基于模数n 下的Schnorr 签名和分解困难性, 给出了Schnorr 签名的潜信道的构造. 我们的方案具有以
下特点: (1) 可验证性: 任何人都可利用签名者的公钥验证签名(r, s)的有效性.(2) 强不可伪
造性: 敌手伪造签名者的签名是困难的. 即使敌手知道模数n 的分解, 他伪造一个有效的签
名仍然是困难的. (3) 不可否认性: 任何人都可根据签名确认出签名者的身份. 一旦在一个
签名中隐藏一个潜信息并将签名发送给潜信息的接收者, 则签名者不能否认自己产生潜信息的事实. (4) 潜信息安全性: 只有签名者能够在一个正常的签名中嵌入潜信息ms. 只有签名者和潜信息的接收者能够判断出是否在一个“正常”的签名中是否存在潜信息, 即只有签名者和潜信息的接收者能够判断出潜信道是否正在使用. 并且, 只有签名者和潜信息的接收者能够从“正常”的签名中恢复潜信息.
本文安排如下: 在第2 节, 我们简要回顾Schnorr 签名方案[8]; 第3 节给出模数n 下的
Schnorr 签名方案; 第 4 节给出了潜信道的构造; 第5 节给出了第4 节方案的安全性分析.