基于椭圆曲线盲签名的电子现金系统设计

[摘要] 利用椭圆曲线盲签名算法，可获得比rsa算法更高的的安全性；银行与认证中心ca联合实现电子现金的匿名控制，必要时可对问题现金及非法使用者进行追踪，揭露其身份；方案在设计时同时考虑了set协议的运作模式，更适合人们的消费习惯和电子商务发展的需要。
　　[关键词] 电子现金 椭圆曲线 盲签名 匿名控制 安全性
　　
　　一、引言
　　电子商务的发展离不开先进的支付手段，电子现金作为电子支付的关键技术，自80年代中期以来已取得了很大的研究成果。其安全性和可靠性主要依靠密码技术来实现，如零知识证明、盲数字签名等，早期的电子现金系统主要基于rsa、dlp公钥密码技术，如digicash公司的ecashtm ，nist也于1991年将dsa算法作为数字签名的标准。1985年，n. koblitz和v. miller分别独立提出了椭圆曲线密码体制(ecc)，利用有限域上椭圆曲线的点构成的群实现了离散对数密码算法，由于其具有计算量小，处理速度快、存储空间占用小、带宽要求低等优点，在电子现金应用领域得到广泛关注，set协议的制定者已把它作为下一代set协议中缺省的公钥密码算法。
　　考虑到set协议将成为事实上电子商务支付的标准，我们认为电子现金应符合set模式。由于在set中只涉及四个对象：用户u、银行bank、商家shop和认证中心ca，所以电子现金应该是在线、支持认证中心(ca)并由ca实现匿名性的控制，本文将利用基于椭圆曲线盲签名，设计一安全、实用、匿名可控的电子现金系统。
　　一、椭圆曲线盲签名算法（ecdsa）
　　椭圆曲线数字签名一般是将基于离散对数的签名体制如schnoor、eigamal、dsa以及导出变种形式移植到椭圆曲线上，在文献[4]中也给出了多种签名方案及盲签名方案。
　　设p是一个大素数，a,b∈gf(p), 满足4a3+27b2≠0。椭圆曲线e(a,b)(gf(p))可定义为点集(x,y)∈gf(p)*gf(p),满足y2=x3+ax+b,我们定义一个零元，用o表示，这样，这些点构成了一个阿贝尔群。g是e(a,b)(gf(p))中的一个阶为q的元素。d ∈rzn*，是签名私钥，q=dg是签名验证公钥。rx(a)表示点a的x坐标值，h是一个单向hash函数，h:{0,1}*→{0,1}k，我们用来表示两个串的连接。系统的参数为｛p,a,b,g,q, q,d,h｝。
　　椭圆曲线的schnoor（ecdsa）盲签名体制可描述如下：
　　发送方随机选择一个整数k∈rzn*，计算kg；
　　接收方随机选择γ，δ∈rzn*，计算：a=kg+γg+δq，t= rx(a)modn，c=h(mt)，c’=c-δ,将c’送出。
　　发送方计算：s’=k-c’d。
　　接收方计算：s=s’+γ。
　　由于γ，δ是随机选择的，所以签名者不会知道签名的内容，盲签名的形式为（c,s）。从上过程可看出，kg可预先计算，当c’到来时，仅需一次乘法和一次加法运算就可完成签名，因此计算量小、运算速度快，签名结果也较短，比较适合电子现金系统使用。
　　二、电子现金系统方案设计
　　对于ca认证中心，需要使用系统参数建立ecdsa的数字签名。随机选择xca∈gf(q)*作为自己的私钥，然后计算pca=xcag，将pca作为自己的公开密钥。同样，银行、用户的私钥分别为xb、xu，公钥分别为pb、pu。将pca、pb、pu公开。
　　1.注册（registration）
　　用户提交自己的信息，由ca使用ecdsa进行签名，用于向用户提供包含其身份信息的电子执照。 在取款时必须出示该签名。设id为用户标识信息，包含姓名、身份证号等。注册过程即用户向认证中心提供个人可信信息，存案备查。即i= ecdsa(xcah(id)) ，此时，i 相当于一个简单的数字证书。
　　2.取款协议（withdrawal protocol）
　　电子现金的核心协议，用户从自己的银行账户上提取电子现金。为了保证用户匿名的前提下获得带有银行签名的合法电子现金，用户将与银行交互执行盲签名协议，同时银行必须确信电子现金上包含必要的用户身份。
　　设m为用户的取款信息，是个五元组｛数量，面值，账号，时间，ca的签名i｝。取款信息中的i ，向银行表明自己是一个合法的用户，银行利用ca的公开密钥pca来验证，这就保证了取款时用户必须提供自己的正确信息，从而在构造电子现金时嵌入这些信息，而银行又不知道信息的具体内容，用户的隐私也得到了保护。其后的工作是使用ecdsa盲签名来完成取款过程。描述如下：
　　(1)用户：任选 z∈rzq*，计算t=ecdsa(xu(m))，,c=zg,c= rx(c) ∥ry(c)，将(m，t)送银行。
　　(2)银行:用pb验证签名，verify(pu(t))；任选 k∈rzq*,计算φ=kg, s=ecdsa(xb(φ))
　　(3)用户：收到(φ，s)后，验证，verify(pb(φ))；θ,δ∈rzq*,计算a=φ+θg+δpb，h=rx(a)≠0mod q，e=h(c∥h)，e＇=e-δ；将e＇送出；
　　(4)银行：计算s’=k-e’xb；
　　(5)用户：计算s=s’+θ；验证e=h(c∥(rx(epb+sg) mod q))；验证推导过程略。上式如果成立，(e,s)即为盲签名结果。
　　此时，银行就可以记录下（i，φ,（m，t））存入自己的数据库，同时从用户的账户上减去相应的取款数。
　　由上，得出电子现金的结构：coin={c，e，s，i}
　　3.存款协议
　　存款的过程比较简单，经过一段交易周期后，商家将收到的电子现金到银行处进行存储。商家将在支付中得到的电子现金coin={c，e，s，i}和自己的账号传递给银行,银行首先对电子现金进行有效期检查，确认是否有效，然后使用核验自己和认证中心的签名｛e，s｝，若无误，则开始搜索电子现金数据库，如搜索失败，表明此电子现金是第一次使用，银行将此{c，e，s，i}和交易日期时间存入数据库，并将此现金的数额存入商家的帐户。

　　若搜索成功，则表明在用户和商家中肯定有一个是欺诈者。若新发送来的电子现金的交易日期、时间与搜索到的相同，说明商家在重复存储该电子现金。否则说明用户在重复使用同一电子现金。
　　三、电子现金身份揭露
　　ca的存在，也使得对电子现金及其使用者的追踪变得容易，省去了许多复杂的计算。
　　1.重复使用者的揭露
　　银行知道电子现金的结构{c，e，s，i}，发现重用的现金后，即从中提取出i信息，发送给ca，因i是ca对用户注册信息的签名，故ca有能力解密i，求出id，然后将其发送给银行。银行以c为关键字从自己的数据库中查找，找到（m，t），形成如下结构信息｛id，φ，（m，t）｝，这实际上是用户的身份识别信息。
　　2.问题现金追踪
　　当出现利用电子现金进行洗钱、诈骗等问题时，需要跟踪现金的使用，用户提交他的id给银行，问题现金消费时，一定会出现相同的id，银行计算出φ＝kg，可实现跟踪。
　　四、安全性分析
　　由于ca的引入，强化了安全保证，在电子现金中同时嵌入了ca和银行的签名，增加了伪造的难度，也满足了匿名性的要求。方案安全性建立在椭圆曲线对数（ecdlp）分解之上的，强度高于rsa方法，其分解是非常困难的，目前还没有有效的方法，本方案是安全的。
　　注意到参数域rzq*，单向函数h以及公钥pu、pb、pca、ps均是公开的，攻击者当然可以得到这些信息；同时注册、取款、存款等交易业务过程均在公共网络平台之上，即存在可能的不安全信道，攻击者可能截获（φ,s）、（m,c）；从取款协议中可看出，由于δ、θ是随机选取的，e= h(c∥(rx (φ+θg+δpb)), 因此伪造电子现金的签名相当于分解ecdlp难题。
　　如果攻击者截获了用户发给商家的coin信息，意味着现金的丢失，解决办法是在支付协议中商家对用户进行质询。商家发给用户（m,c），用户响应（ε，m’），由于计算中对于f=fg 、c=zg，f和z是任选的，如前所述，攻击者想得知f、z是困难的，无法计算出ε=f－m’ z mod q，故无法正确回答商家的质询，所以他也无法花费，商家更不会受骗而发货。
　　五、结语
　　本文设计的电子现金系统，结合set协议模式，使用椭圆曲线盲签名（ecdsa），安全实用，符合目前电子现金的支付模式,能实现电子现金的匿名可撤销性；缺点是需要认证中心ca一直在线，与其他方案相比，多了注册环节，且完成一次取款、支付到存款的过程需要５次签名，６次验证，因而效率有待于提高。
　　参考文献:
　　[1]v.s miller:use of elliptic curve in cryptography[a].advances in cryptology－crypto’85[c].springer-verlag,1984,417～426
　　[2]张方国王常杰王育民:基于椭圆曲线的数字签名与盲签名[j].通信学报, 2001,22(8):22～28
　　[3]davida,,s:myung,anonymity control in e-cash systems[a]. in finacial cryptography’97[c],(lncs 1318),1～16,springer-verlag.1997
　　[4]郭涛李之棠彭建芬吴世忠:基于椭圆曲线的盲签名与离线电子现金协议[j].通信学报, 2003, 24(9):142～146
　　[5]蔡满春杨义先胡正名:基于椭圆曲线密码体制的一种电子现金方案[j].北京邮电大学学报, 2004,27(2):44～47