动态门限追踪匿名认证方案

动态门限追踪匿名认证方案 Traceable Anonymous Authentication Scheme with Dynamic Threshold 1 first-author 殷凤梅，女，副教授，主要从事网络与信息内容安全方面的研究. E-mail: yinfm@163.com 殷凤梅，女，副教授，主要从事网络与信息内容安全方面的研究. E-mail: yinfm@163.com yinfm@163.com 2 3 1 合肥师范学院 公共计算机教学部，安徽 合肥 230601 合肥师范学院 公共计算机教学部，安徽 合肥 230601 Department of Public Computer Teaching, Hefei Normal University, Hefei 230601, Anhui, China Department of Public Computer Teaching, Hefei Normal University, Hefei 230601, Anhui, China 合肥工业大学 计算机与信息学院，安徽 合肥 230009 合肥工业大学 计算机与信息学院，安徽 合肥 230009 School of Computer and Information, Hefei University of Technology, Hefei 230009, Anhui, China School of Computer and Information, Hefei University of Technology, Hefei 230009, Anhui, China 安徽财贸职业学院 雪岩贸易学院，安徽 合肥 230601 安徽财贸职业学院 雪岩贸易学院，安徽 合肥 230601 Xueyan Trade Faculty, Anhui Finance and Trade Vocational College, Hefei 230601, Anhui, China Xueyan Trade Faculty, Anhui Finance and Trade Vocational College, Hefei 230601, Anhui, China 现有的门限可追踪匿名认证方案中，追踪的门限值是固定不变的，如果改变门限值，系统需要重新初始化，导致私钥等信息的利用率较低.为解决这个问题，基于离散对数假设和Diffie-Hellman (DDH) 假设，提出了一种动态门限追踪的匿名认证方案.该方案具有两个特点：1) 借助环签名，匿名认证实现简单；2) 引入动态认证加密思想，追踪的门限值允许动态改变.有效性分析表明：与已有方案相比，在允许动态改变匿名追踪的门限值的情况下，计算代价增加不多.因此该方案更能推向实际应用. Among the present threshold traceable anonymous authentication schemes, the value of traceable threshold is fixed. If it has to be changed, the system needs to be initialized, which will lead to low utilization of some information, such as the private key, etc. Therefore, based on the discrete logarithm problem (DLP) assumption and decisional Diffie-Hellman (DDH) assumption, a new traceable anonymous authentication scheme is presented to solve this problem. The scheme has the following characteristics. Firstly, with the aid of the ring signature, the process of anonymous authentication becomes much simpler. Secondly, based on the idea of dynamic authentication encryption, the threshold value can be dynamically changed. The validity analysis shows that compared with existed scheme, the threshold value of anonymous tracking can be changed dynamically though the scheme has a slightly higher computational cost. Therefore, the scheme is more easily extended to practical applications. 匿名认证 追踪性 门限性 动态性 Lagrange插值 anonymous authentication traceability threshold dynamic Lagrange interpolation 引言 1 随着“互联网+”逐渐融入我们的生活，我们在网络上留下的痕迹越来越多，在如今的大数据时代下，这些痕迹可能威胁到我们的隐私安全，匿名认证技术是提高隐私安全的一项重要手段.匿名认证允许对用户进行身份认证，同时还保证用户身份的匿名性.但是，匿名性特征可能会被恶意用户利用，在实施犯罪活动时逃避追踪.于是，很多学者开始研究可追踪的匿名认证方案. 基于环签名 [ 1 1 ] ，田子建等 [ 2 2 ] 实现匿名认证时，在管理员和验证者的合作下，可追踪到示证者的隐私身份.但该方案的匿名追踪不是门限追踪，追踪的门槛较低，隐私身份受到威胁.基于民主签名 [ 3 3 ] ，刘方斌等 [ 4 4 ] 实现的门限可追踪匿名认证方案，可应用到ad hoc网络.基于可追踪签名 [ 5 5 ] ，Shin等 [ 6 6 ] 实现的匿名认证和授权方案，可以支持细粒度的授权服务.基于1/ n 签名 [ 7 7 ] ，殷凤梅等 [ 8 8 ] 实现的门限追踪匿名认证方案，允许成员自主选择子密钥.但以上3个可追踪匿名认证方案，追踪的门限值 t 是固定的，不允许被动态调整.在匿名认证的实际应用中，追踪示证者的难度不同，需要动态调整追踪的门限值. 本文将动态认证加密思想 [ 9 9 ] 引入到匿名认证方案中，实现动态门限追踪的匿名认证方案.其安全性依赖于离散对数假设和Diffie-Hellman (DDH) 假设. 动态门限追踪匿名认证方案 1 系统初始化 2 本方案包含成员集合 U ={ U 1 , U 2 , …, U n }，系统中心SC和公告栏NB.NB主要用来发布公共参数、成员的公开信息等，且只有SC有权发布或修改NB上的数据，各个成员只能查询NB上的数据. 在系统初始化中，各个成员自主选择私钥. 1) SC选取大素数 p 和 q (且 q | p -1), Z q 上的 q 阶元素 g , 单向哈希函数 H :{0, 1} * → Z q ，并将参数{ p , q , g , H }发布到NB上. 2) 成员 U i 选取身份标识ID i ∈ Z q 和私钥 x i ∈ Z q ，按照 (1) 式计算公钥 y i ， http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457841&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457841&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457841&type=middle 并将{ID i , y i }发给SC.若存在某些成员的ID i 和 y i 相同，SC强制要求对应的成员重新选取参数.最后SC将互不相同的{ID i , y i }发布到NB上. 匿名认证 2 示证者 U k 从NB上查询若干成员的公钥信息，并将自己的公钥隐含在公钥集UA={ y 1 ‖ y 2 ‖… y d } (符号“‖”表示串联) 中，借鉴环签名 [ 1 1 ] 思想，生成环签名 σ ，并发送给验证者 U v 验证.如果环签名正确， U k 通过匿名认证.匿名认证过程具体包括签名生成和签名验证两个过程. 1) 签名生成 U k 对消息 M ∈{0, 1} * 产生环签名 σ . ① 选择门限值 t ∈ Z q ( t 为1.3节中的追踪门限). ② 选取随机数 r ∈ Z q ，按照 (2) 式计算 R , http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457845&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457845&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457845&type=middle 从NB上查询各个成员的信息{ID i , y i }，使用 n 个点{(ID 1 , y 1 r mod p ), (ID 2 , y 2 r mod p ), …, (ID n , y n r mod p )}，按照 (3) 式构造 n -1次Lagrange插值多项式 f ( x ), http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457850&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457850&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457850&type=middle 计算 n -t个值{ f (1), f (2), …, f ( n - t )}，然后按照 (4) 式计算 Q k , http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457853&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457853&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457853&type=middle 将匿名追踪信息{ R , f (1), f (2), …, f ( n - t ), Q k }发给SC在NB上公开. ③ 选取随机数 α ∈ Z q ，按照 (5) 式计算 c k +1 , http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457857&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457857&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457857&type=middle 对于 i = k +1, …, d , 1, …, k -1(即 i ≠ k )，选择 w i ∈ Z q ，按照 (6) 式计算 c i +1 , http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457860&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457860&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457860&type=middle 按照 (7) 式计算 w k http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457864&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457864&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457864&type=middle ④ 生成环签名 σ http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457868&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457868&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457868&type=middle 并发送给 U v . 2) 签名验证 U v 收到环签名 σ 后，对于 i = k +1, k +2…, d , 1, …, k -1，按照 (6) 式计算 c i +1 .如果 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457872&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457872&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457872&type=middle 成立，说明环签名正确， U k 属于集合 U .否则， U k 不属于集合 U . 匿名追踪 2 如果示证者 U k 存在不良行为，需要追踪其隐私身份.为了在可追踪的同时，提高 U k 隐私身份的安全性和追踪门限值的灵活性，匿名追踪环节采用动态门限联合追踪.匿名追踪过程如下. 1) t 个成员使用各自的私钥 x i ，计算出 R x i ，产生 t 个点{(ID 1 , R x 1 mod p ), (ID 2 , R x 2 mod p ), …, (ID t , R x t mod p )}，从NB上查询 n - t 个值，产生 n - t 个点{(1, f (1)), (2, f (2)), …, ( n - t , f ( n - t ))}，按照 (10) 式计算 E k , http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457877&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457877&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457877&type=middle 2) 按照 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457881&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457881&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457881&type=middle 输出公钥 y k ，即示证者 U k 的隐私身份. 成员加入 2 新成员 U n +1 申请加入集合U时，选取身份标识ID n +1 ∈ Z q 和私钥 x n +1 ∈ Z q ，按照 (1) 式计算公钥 y n +1 ，并将{ ID n +1 , y n +1 }发给SC.若{ ID n +1 , y n +1 }与 U 中其他成员的信息相同，SC强制要求新成员 U n +1 重新选取参数，直至参数不相同为止.最后SC将{ ID n +1 , y n +1 }发布到NB上. 恶意成员撤销 2 当需要撤销某个恶意成员 U i 时，系统中心SC在NB上发布“撤销成员 U i ”的信息，并将其对应的信息{ ID i , y i }从NB上删除.为了使 U i 不能再参与动态门限追踪，示证者 U k 使用NB上剩余的 n -1个成员的公开信息，产生 n -1个点 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457885&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457885&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457885&type=middle 按照 (3) 式重新构造 n -2次Lagrange插值多项式 f ′( x )，重新计算 n - t 个值{ f ′(1), f ′(2), …, f ′( n - t )}.按照 (4) 式重新计算 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457888&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457888&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457888&type=middle 将新的匿名追踪信息{ R , f ′(1), f ′(2), …, f ′( n - t ), Q ′ k }发给SC，并请求SC替换之前的匿名追踪信息. 方案分析 1 性质分析 2 定理1     匿名认证性：在DDH假设的前提下，可完成对示证者身份的认证，同时还保证示证者身份的匿名性. 当收到环签名 σ 后，对于 i = k +1, …, d , 1, …, k -1( i ≠ k )，验证者 U v 按照 (6) 式计算各个 c i +1 ，得 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457892&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457892&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457892&type=middle 由 (7) 式可知 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457895&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457895&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457895&type=middle 由 (5) 式可得 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457898&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457898&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457898&type=middle 可见， U v 计算得到的 c k +1 与各个 c i +1 形式一致，即求得的 c i ( i =1, 2, …, d ) 序列与签名生成过程中的 c i ( i =1, 2, …, d ) 序列一致.因此， http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457901&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457901&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457901&type=middle (9) 式成立， U k 通过认证. 在整个匿名认证过程中，示证者并不直接使用n个点 (ID i , y i ) 构造 n -1次Lagrange插值多项式 f ( x )，而是引入一个随机数 r ，使用 n 个点 (ID i , y i r mod p ) 构造 f ( x ).因此， f ( x ) 不直接与公钥身份 y i 相关，匿名认证过程可以保证示证者身份的匿名性. 定理2     追踪门限性： t 个以上成员联合，方可追踪到示证者的隐私身份. 根据 (2) 式可知， http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457904&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457904&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457904&type=middle 则 t 个成员提供的 t 个点{(ID 1 , R x 1 mod p ), (ID 2 , R x 2 mod p ), …, (ID t , R x t mod p )}，等价于{(ID 1 , y 1 r mod p ), (ID 2 , y 2 r mod p ), …, (ID t , y t r mod p )}. t 个成员再从NB上查询到 n - t 个值{ f (1), f (2), …, f ( n - t )}，获得 n - t 个点{(1, f (1)), (2, f (2)), …, ( n - t , f ( n - t ))}.因此， t 个成员共计获得 t + n - t = n 个点，可恢复出 n -1次Lagrange插值多项式 f ( x )，进而获得 E k = R f (0) mod p .即 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457907&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457907&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457907&type=middle t 个成员根据 (11) 式可求出 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457911&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457911&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457911&type=middle 即出示证者的隐私身份. 从上述证明过程可知，若参与追踪的成员数量少于 t 个，获得的 R x i 的数量就少于 t 个，即使从NB上查询到 n - t 个值，累计获得的多项式上点的数量也少于 n 个，这将无法恢复出 n -1次Lagrange插值多项式 f ( x )，继而无法求出 E k ，无法追踪到示证者的隐私身份.因此，追踪成员的数量必须超过门限值 t ，方可完成示证者隐私身份的追踪. 定理3     门限动态性：匿名追踪的门限值 t 的大小可由示证者动态调整. 示证者使用 n 个成员的公开信息{ ID i , y i }，构造 n -1次Lagrange插值多项式 f ( x ).当确定匿名追踪的门限值 t 后，示证者计算 n - t 个 f ( i )( i =1, 2, …, n - t ) 并公开.从定理2的证明过程可知，加上公开的 n - t 个 f ( i )， t 个合法成员可门限追踪到示证者的隐私身份.若中途想改变匿名追踪的门限值 t ，示证者只需改变公开的 f ( i ) 数量，其他公开信息无需变动. 安全性分析 2 攻击1     攻击者试图获取某个成员 U i 的私钥. 攻击者试图获取成员 U i 的私钥 x i 有两种可能的方法：一是通过NB上公开的公钥 y i = g x i mod p 获取私钥 x i ，这需要解决离散对数求解难题，而在现阶段这是不可能做到的，因此私钥 x i 是安全的；二是门限追踪联合计算 E k 时，通过参与追踪的成员 U i 提供的 R x i 获取私钥 x i ，根据离散对数求解的困难性，私钥 x i 是安全的.由此可知，参与门限追踪的成员，并不会泄露其隐私信息. 攻击2     攻击者试图获取示证者 U k 的隐私身份. 攻击者试图获取示证者 U k 的隐私身份有两种可能的方法：一是通过NB上公开的匿名追踪信息 Q k = R f (0) y k mod p 获取 y k .由于 Q k = g rf (0) y k mod p ， r 的随机性，可保证 Q k 与公钥身份 y k 不直接关联.因此，攻击者无法通过公开的 Q k 获取示证者的隐私身份.二是通过环签名 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457915&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457915&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457915&type=middle 中 d 个{ w i }( i =1, 2, …, d )，猜测出与 U k 隐私身份相关的 w k ，试图由 w k 获取示证者私钥 x k ，继而获取 U k 的隐私身份. w k =( α - x k c k ) r -1 mod q 中含有随机数 α 和 r ，因此攻击者无法通过 w k 获取示证者的隐私身份. 攻击3     攻击者伪造示证者 U k 生成环签名 σ ，试图通过匿名认证. 从1.2节的匿名认证过程可知，环签名 σ 的生成需要使用示证者 U k 的私钥 x k .攻击者伪造 σ ，必须通过NB上公开的 y k 先获取 x k ，而从公式 y k = g x k mod p 中获取 x k ，面临离散对数求解问题.因此，攻击者无法伪造环签名 σ ，即无法通过匿名认证. 攻击4      t 个以上成员合谋伪造成员身份，试图通过匿名追踪. 由 (11) 式可知， t 个以上的成员合谋伪造成员身份通过匿名追踪，需要同时伪造一组相应的 Q k 和 E k .在匿名认证过程中，示证者 U k 选择随机数 r 且对其他成员保密，构造 n -1次Lagrange插值多项式 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457919&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457919&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457919&type=middle 公开 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457922&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457922&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457922&type=middle 在匿名追踪过程中， t 个以上成员获取 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457924&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457924&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4457924&type=middle 可见，以上数据中都含有保密的随机数 r ，起到间接保护关键数据 f (0) 的作用.因而，增加随机数 r ，可以防止合谋伪造攻击. 有效性分析 2 1) 性质比较 与现有的门限可追踪匿名认证方案相比，本方案具有匿名认证性、追踪门限性、门限动态性等性质，如 表 1 表 1 所示. 门限可追踪方案 匿名认证性 追踪门限性 门限动态性 刘等方案 [ 4 4 ] √ √ × 殷等方案 [ 8 8 ] √ √ × 本文方案 √ √ √ 2) 计算代价比较 为了表示方便，模指数计算代价用 T exp 表示，模乘计算代价用 T mul 表示，模加、异或等其他运算的时间复杂度相当小，这里忽略不计. 本方案在初始化阶段，让各个成员直接选择私钥，计算对应的公钥并发布到公共栏NB上，其代价仅为1次 T exp .匿名认证阶段，示证者构造 n -1次Lagrange插值多项式 f ( x )，公开匿名追踪信息，其计算代价为 (2 n - t + d +1) T mul +(2 n - t + d +1) T exp .匿名追踪阶段， t 个成员产生 t 个点，实现门限追踪，其计算代价为 nT mul + nT exp .与其他方案计算代价的比较详见 表 2 表 2 . 门限可追踪方案 初始化阶段 匿名认证阶段 匿名追踪阶段 刘等方案 [ 4 4 ] n ( t -1) T mul + n ( t -2) T exp (6 n -2) T mul +(14 n -2) T exp T mul + tT exp 殷等方案 [ 8 8 ] ( t -1) T mul + ( t -2) T exp 5 T mul +(2 d +4) T exp 2 T mul +( t + d +1) T exp 本文方案 1 T exp (2 n - t + d +1) T mul +(2 n - t + d +1) T exp n T mul + nT exp 表 2 表 2 中的数据显示，初始化阶段本方案几乎无计算代价.匿名认证阶段，与文献[ 4 4 ]方案相比，模乘和模指数计算相对减少，与文献[ 8 8 ]方案相比，模乘和模指数计算相对增加，但仍然是线性级的.匿名认证阶段增加的计算量，主要是为匿名追踪阶段动态调整门限做准备的，其认证本身的计算代价并没有增加.从三个方案计算代价的比较来看，在计算代价增加不多的前提下，本文方案允许动态改变匿名追踪的门限值，因而更能推向实际应用. 结论 1 本文提出的动态门限追踪匿名认证方案，允许成员自主选择子密钥，借助环签名实现匿名认证，引入动态认证加密思想，允许动态改变匿名追踪的门限值.根据操作权限的级别，可对本方案加以拓展，应用到具有多级操作权限的机构或部门. 参考文献 RIVEST R L, SHAMIR A, TAUMAN Y. How to leak a secret[C] // Proceedings of ASIACRYPT '01. Berlin: Springer-Verlag, 2001: 552-565. 田子建, 王继林, 伍云霞.一个动态的可追踪匿名认证方案[J].电子与信息学报, 2005, 27(11): 1737-1740. TIAN Z J, WANG J L, WU Y X. A dynamic anonymous authentication scheme with identity escrow[J]. Journal of Electronics & Information Technology , 2005, 27(11): 1737 -1740 (Ch). MANULIS M. Democratic group signature: On an example of joint ventures[C] // Proceedings of ACM Symposium on Information, Computer and Communications Security . New York: ACM Press, 2006: 191-196. http://dl.acm.org/citation.cfm?id=1128882 刘方斌, 张琨, 李海, 等.无可信中心的门限追踪ad hoc网络匿名认证[J].通信学报, 2012, 33(8): 208-213. LIU F B, ZHANG K, LI H, et al . Threshold traceability anonymous authentication scheme without trusted center for ad hoc network[J]. Journal of Communications , 2012, 33(8): 208-213 (Ch). CHOI S G, PARK K, YUNG M. Short traceable signatures based on bilinear pairings[C] // Advances in Information and Computer Security, First International Workshop on Security, IWSEC , 2006. Berlin: Springer-Verlag, 2006: 88-103. http://link.springer.com/chapter/10.1007/11908739_7 SHIN S, KWON T. AAnA: Anonymous authentication and authorization based on short traceable signatures[J]. International Journal of Information Security , 2014, 13(5): 477-495. ABE M, OHKUBO M, SUZUKI K. 1-out-of-n signatures from a variety of keys[C]// Proceedings of ASIACRYPT '02. Berlin: Springer-Verlag, 2002: 415-423. http://link.springer.com/chapter/10.1007/3-540-36178-2_26 殷凤梅, 侯整风, 濮光宁.可选子密钥的门限追踪匿名认证方案[J].武汉大学学报 (理学版), 2015, 61(6) :549-553. DOI:10.14188/j.1671-8836.2015.06.008. YIN F M, HOU Z F, PU G N. Self-selecting share threshold traceable anonymous authentication scheme[J]. Journal of Wuhan University (Natural Science Edition ), 2015, 61(6): 549-553.DOI:10.141881J.1671-8836.2015.06.008(Ch). 甘元驹, 彭银桥, 梅其祥.防欺诈的动态 ( t, n ) 认证加密方案[J].电子科技大学学报, 2011, 40(2):201-203. DOI:10.3969/j. issn.1001-0548.2011.02.008. GAN Y J, PENG Y Q, MEI Q X. Dynamic ( t, n ) authenticated encryption scheme for cheat-proof[J]. Journal of University of Electronic Science and Technology of China , 2011, 40(2): 201-203. DOI:10.3969/j.issn.1001-0548.2011.02.008(Ch). 10.14188/j.1671-8836.2017.02.009 TP309.7 whdxxblxb-63-2-158 国家自然科学青年科学基金项目 (61503112)；安徽省高校优秀青年人才支持计划重点项目 (gxyqZD2016231) 2016-05-26 2017-04-24 2020-12-09 版权所有© 2017 《武汉大学学报 (理学版)》编辑部 Copyright © 2017 Journal of Wuhan University (Natural Science Edition). All rights reserved. 2017 武汉大学学报 (理学版) 2 63