1、盲签名(1)签名者不知道所签署的数据内容；(2)在签名被签名申请者泄露后，签名者不能追踪签名。Signature申申请请者者签签名者名者Signature1)Send an carbon-enveloped message 2)Sign on the envelop3)Take off the envelop and get the signed message2E-CashBankCustomerShopWithdrawal RequestE-cash IssuingPaymentDepositPublic Key数字现金的隐私问题？银行可以轻松地跟踪到特定的现金用户数字现金的隐私问题？银行
2、可以轻松地跟踪到特定的现金用户David Chaum的盲签名的盲签名v David Chaum 提出了这个问题的解决方法，就是众所提出了这个问题的解决方法，就是众所周知的盲签名周知的盲签名“电子现金之父电子现金之父”4盲签名所谓盲签名是指签名人只是完成对文件的签名工作，并不了解所签文件的内容。盲签名在数字现金，电子投票等领域都有较大的应用价值，特别是目前的数字现金，大部分都是采用盲签名的原理实现。RSA数字签名 n签名者取两个随机大素数p和q（保密），计算公开的模数n=pq(公开)，计算秘密的欧拉函数(n)=（p-1）(q-1)（保密）。n随机选取整数e，满足gcd(e,(n)=1(公开e，验
3、证密钥)n计算d，满足de1(mod(n)(签名密钥)n签名:y=H(x)d(mod n),把x|y发送给验证者n验证:检查下式是否成立yd=H(x)(mod n).6RSA盲签名申申请请者者签签名者名者希望得到消息希望得到消息m的的签签名名 r ZN*m=H(m)re mod N=md mod N=r-1 mod N=(H(m)re)d r-1 mod N=H(m)d mod N(1)盲化盲化m(2)签签名名=r-1 mod N(3)解盲解盲 是是签签名者的有效名者的有效签签名名 签签名者不知道名者不知道 m 和和.Schnorr签名 n令待签消息为M，对给定的M做下述运算：n任选一秘密随机
4、数kZqn计算签名S=(e,s)nr gk mod pns k-xe mod pn式中e=H(r|M)。n验证签名S=(e,s)nr gsye mod p而后计算H(r|M)。n验证H(r|M)=e 8Schnorr盲签名申申请请者者签签名者名者(r,s)is an unknown signature for the unknown message m(2)盲化盲化e(3)签签名名(4)解盲解盲mod public:,private:xygpp q g yx*modRqkkZrgpr*,mod(,)modRqaba bZrrg ypeH m reebqmodskexqs?modmodsegry
5、pssaq(,)(,)ss akebakabH m reH m rggg ygg g y yr yr y(1)挑挑战战申请者申请者签名者签名者m Signature on(The signers signature on(m#c)#c)Message=(m#c)对签名者来说，对对签名者来说，对所有具有相同所有具有相同C的签名是无法区分的。的签名是无法区分的。部分盲签名申请者申请者签名者签名者True/FalseSignature on(m#c)盲化盲化解盲解盲部分盲签名部分盲签名m,cm#c签名签名Key签名签名验证验证(m,c)部分盲签名生成与验证n 用户随机选择一个盲人因子r Zn*，用=
6、re(c)m(mod n)盲化消息 m，并把发给签名者。n 签名者使得 t 满足 te(c)=(mod n)并把 t 发给用户。n 用户计算 s=r-1t(mod n)。(s,c)是签名者对明文 m的签名。n 要验证签名(s,c),可以检查 if se(c)m(mod n)。Abe-Fujisaki部分盲签名公平盲签名n公平盲签名比盲签名增加了一个特性，即建立一个可信中心，通过可信中心的授权，签名者可追踪签名。它可以在需要的时候让一个可信任第三方发布信息，允许签名人把消息-签名对和他签名时的具体内容联系起来，揭开签名，实现对签名申请者的追踪。公平盲签名模型公平盲签名模型 申请者申请者验证验证签
7、名者签名者消息签名对消息签名对 签署记录签署记录不可关联性不可关联性关联性关联性签名协议签名协议属主追踪属主追踪(由出示的签名追踪由出示的签名追踪ID)现金追踪现金追踪(由盲化信息追踪由盲化信息追踪m)定义p,q:两个大素数n:p*qe,d:e*d=1(mod(p-1)(q-1)(e,n):签名者的公钥 d:签名者的私钥 k:安全参数 ID:会话标识H():一个单向散列函数 EJ():公钥密码体制，使用仲裁的公钥J加密签名者签名者randomly choose a subsetW 1,2,2k of size k for every i W check mi?=rie H(ui|EJ(ID|i
8、)(mod n)申请者申请者for i=1,2k randomly choose ri and strings i,i ui=EJ(m|i)vi=EJ(ID|i)mi=rie H(ui|vi)(mod n)for all i W流程)(mod)(nmbdWiimi|i=1,2,2kWri,ui,i|i Wb)(mod)(nrbsWiinZ验证阶段n请求者得到消息签名对:n(m,s,i,vi|i W)n任何人都可以验证签名的有效性:)(mod)|)|(nvmEHsWiiiJe现金追踪现金追踪Coin tracing：如果一个可疑者支取现金，该现：如果一个可疑者支取现金，该现金可被撤销匿名并在存款时识别出。金可被撤销匿名并在存款时识别出。(ri,ui,i)追踪出m,对ui解密属主追踪属主追踪Owner tracing：如果一个可疑者存款，该现金：如果一个可疑者存款，该现金可被撤销匿名并揭示出属主。可被撤销匿名并揭示出属主。(m,s,i,vi)追踪出ID,对Vi解密
