环签名（RSA Version）

环签名过程：

签名者Alice想要对消息m进行环签名，Alice首先选择一个包含r个环成员的集合{A₁,A₂,...,A_r}。Alice为其中一员，可以表示为A_s，1≤s≤r，其私钥为S_s；所有环成员的RSA公钥为P₁,P₂,...,P_r，其中P_i={n_i,e_i}。

一、生成环签名

1、签名者Alice选择对称密钥：k=h(m)；

2、签名者随机均匀地从{0,1}^_b中选择初始值v；

3、签名者为其他环成员均匀随机地从{0,1}^b中选择x_i，并计算y_i=g_i(x_i)；

其中，，函数g_i()为定义在{0,1}^b上的扩展的单向陷门函数，q_i、r_i为非负数，m为b比特的输入，满足m=q_i*n_i+r_i；，f_i()为定义在Z_ni上的单向陷门函数。

4、签名者根据组合函数C_k,v的公式：=z，计算自己的y_s；

其中，E_k()为对称加密算法，z为b比特的值。组合函数执行如下：

 

 

 令z=v，那么上述公式变为C_k,v(y₁,y₂,...,y_r)=v，组合函数执行过程可变换为环：

 

 

 所有人都可以访问随机预言机得到E_k(x)或E_k^-1(y)，因此，签名者可以根据等式

=v   计算y_s（因为除了y_s，其他均已知）。

 

5、签名者利用自己的陷门信息求解x_s：x_s=g_s^-1(y_s)；

6、消息m上的签名为（P₁,P₂,...,P_r;v;x₁,x₂,...,x_r）；

二、验证过程

1、验证者根据消息m上的签名，计算y_i=g_i(x_i)；

 

 

2、验证者计算对称密钥：k=h(m)；

3、验证者检查，若等式成立，验证者接受该签名是合法的，否则拒绝消息m。