環簽名（RSA Version）

環簽名過程：

簽名者Alice想要對消息m進行環簽名，Alice首先選擇一個包含r個環成員的集合{A₁,A₂,...,A_r}。Alice為其中一員，可以表示為A_s，1≤s≤r，其私鑰為S_s；所有環成員的RSA公鑰為P₁,P₂,...,P_r，其中P_i={n_i,e_i}。

一、生成環簽名

1、簽名者Alice選擇對稱密鑰：k=h(m)；

2、簽名者隨機均勻地從{0,1}^_b中選擇初始值v；

3、簽名者為其他環成員均勻隨機地從{0,1}^b中選擇x_i，並計算y_i=g_i(x_i)；

其中，，函數g_i()為定義在{0,1}^b上的擴展的單向陷門函數，q_i、r_i為非負數，m為b比特的輸入，滿足m=q_i*n_i+r_i；，f_i()為定義在Z_ni上的單向陷門函數。

4、簽名者根據組合函數C_k,v的公式：=z，計算自己的y_s；

其中，E_k()為對稱加密算法，z為b比特的值。組合函數執行如下：

 

 

 令z=v，那么上述公式變為C_k,v(y₁,y₂,...,y_r)=v，組合函數執行過程可變換為環：

 

 

 所有人都可以訪問隨機預言機得到E_k(x)或E_k^-1(y)，因此，簽名者可以根據等式

=v   計算y_s（因為除了y_s，其他均已知）。

 

5、簽名者利用自己的陷門信息求解x_s：x_s=g_s^-1(y_s)；

6、消息m上的簽名為（P₁,P₂,...,P_r;v;x₁,x₂,...,x_r）；

二、驗證過程

1、驗證者根據消息m上的簽名，計算y_i=g_i(x_i)；

 

 

2、驗證者計算對稱密鑰：k=h(m)；

3、驗證者檢查，若等式成立，驗證者接受該簽名是合法的，否則拒絕消息m。