发明内容

本发明的实施例的一个目的是提供一种用于提供基于多方DSA或ECDSA的数字签名的方法，其中在不损害机密性的情况下，减少了生成数字签名所需的交互轮次的数量。

本发明的实施例的再一个目的是提供一种用于提供基于多方DSA或ECDSA的数字签名的方法，其中在不损害机密性的情况下，降低了对处理能力的要求。

本发明的实施例的又一个目的是提供一种用于提供基于多方DSA或ECDSA的数字签名的方法，其中在不损害机密性的情况下，降低了对通信带宽的要求。

本发明的实施例的另一个目的是提供一种用于提供基于多方DSA或ECDSA的数字签名的方法，所述方法能够容许多达t个参与方被恶意破坏，其中t>n/3。

本发明提供一种用于按照数字签名算法DSA或椭圆曲线数字签名算法ECDSA向消息M提供数字签名的方法，所述方法包括以下步骤：

-提供q阶的循环群G的生成元g、函数F和函数H，其中g∈G，g、G、F和H由DSA或ECDSA指定，

-生成秘密密钥x作为至少两个参与方之间的随机秘密共享[x]，

-在所述至少两个参与方之间生成随机秘密共享[a]和[k]，并计算[w]＝[a][k]，

-在不透露k的情况下，计算值R为R＝g^k，

-通过验证R＝g^k是根据源自诚实参与方的[k]的至少t+1个份额计算的，确保R是正确的，

-在不透露a或k的情况下，通过计算R^a，计算认证元W为W＝g^ak，

-通过验证W＝R^a是根据源自诚实参与方的[a]的至少t+1个份额计算的，确保W是正确的，

-通过检查是否g^w＝W，验证[w]，以及

-通过计算[k^-1]＝[a]·w^-1，计算[x·k^-1]＝[x]·[k^-1]，并且作为M、R、[k^-1]和[x·k^-1]的函数，生成所述至少两个参与方之间的共享[s]，对消息M签名。

从而，本发明的方法是用于向消息M提供基于DSA或基于ECDSA的数字签名的方法。按照本发明的方法应用的数字签名例如可以用于确保发送方的真实性，用于确保发送的数据的完整性，例如在在线金融交易期间等。

按照本发明的方法，首先提供q阶的循环群G的生成元g、函数F和函数H。生成元g是循环群G的元素，即，g∈G。循环群G、生成元g以及函数F和H都由DSA或ECDSA指定，从而一旦确定了要使用哪种特定的DSA或ECDSA，这些就被定义了。

接下来，生成秘密密钥[x]，作为至少两个参与方之间，比如至少三个参与方之间的随机秘密共享。在本上下文中，术语“秘密共享”应当被解释为意味着秘密密钥以如下方式分布在至少两个参与方之间，即每一方持有一定份额的秘密密钥，并且没有任何一方拥有整个秘密密钥。因而，本发明的方法适用于多方系统。因此，没有一方构成单一信任点，并且几个参与方，即至少t+1个参与方，需要恶意串通才能获得对整个秘密密钥的访问。这提高了系统的安全性，特别是在机密性方面。

秘密共享方案的例子是加法共享。当每一方P_i持有随机份额x_i，使得x＝x₁+x₂+...+x_n时，秘密x被认为是在N个参与方P₁、P₂、...、P_n之间加法共享的。加法共享具有阈值t＝n-1，因为重构秘密需要所有n个份额，即重构x需要所有n个参与方的协作，尽管拥有多达除一份之外的所有份额也不允许x的重构。另一个例子是Shamir共享方案。这里，当每一方P_i持有受f(0)＝x约束的随机多项式f的值f(i)作为其份额时，秘密x被共享。Shamir共享的程度被定义为多项式f的次数(degree)。如果这个次数是t，那么任何t+1方都可以通过使用多项式插值，将他们的份额重新组合成秘密，而t个或更少的参与方的任何子集所持有的份额都不透露关于x的任何信息。

在本上下文中，术语‘随机秘密共享’应当被解释为其中份额是随机选择的，使得共享的秘密也是随机值的秘密共享。对于加法共享，这意味着份额是完全随机的。对于具有阈值t的Shamir共享，意味着份额是随机的t次多项式上的点。

在整个本公开中，置于方括号‘[]’中的字母表示元素在多个参与方之间的共享。不带方括号的相同字母代表整个元素。从而，例如‘x’表示整个秘密密钥，而[x]表示秘密密钥x的秘密共享。

可以在不透露秘密的情况下对秘密共享进行计算。这是研究领域‘安全多方计算’的主题。对于大多数类型的秘密共享，各个参与方可以容易地计算两个秘密共享的总和，即，已知[x]和[y]，他们可以在不透露x或y的情况下计算共享[x+y]。类似地，如果所有参与方同意公共常数c，则他们可以容易地从c和[x]计算共享[c·x]而不透露x。我们将对这些运算使用表示法[x]+[y]和c·[x]。

还可以从[x]和[y]计算乘积[xy]。当多达给定安全阈值(t)的参与方可能恶意串通时，在不透露x和y的情况下这样做是可能的，但是通常困难并且低效。因此，对于两个随机共享[x]和[y]，有时使用‘弱’乘法表示法。在只要至多t个参与方是恶意的，关于x和y的信息就不会泄露的意义上，弱乘法保证了机密性。但是弱乘法不保证结果的正确性。相反，只在当所有参与方都行为正确时，它才只计算正确的结果[xy]。单个恶意方就可以例如破坏结果，使得作为结果的共享[z]不是xy的共享。在下文中，为了简化起见，除非另有说明，我们使用表示法[z]＝[x][y]来表示弱乘法。

例如，只要安全阈值t满足t<n/2，就可以为Shamir共享构建弱乘法。对于较大的阈值，即，直到最大阈值t＝n-1，例如，通过将诸如Paillier加密方案之类的加法同态加密方案与所谓的零知识证明相结合，对于加法共享可以获得弱乘法。弱乘法的这种构建的例子可以在安全多方计算研究文献中找到。

参与方例如可以采取物理上彼此分离的独立服务器的形式。在一方可用的信息对其它参与方来说不可用的意义上，参与方优选是分开的或独立的。不过，只要t+1个或更多参与方的子集不拥有所有信息，就不排除某些参与方共享某些信息。

接下来，在至少两个参与方之间生成随机秘密共享[a]和[k]。因而，所述至少两个参与方中的每一方持有份额a和份额k。此外，计算[w]＝[a][k]，也作为所述至少两个参与方之间的秘密共享。这可以通过所述至少两个参与方中的每一方从其份额a和k计算份额w来进行。此外，[w]可以是“开放的”，即秘密w被透露给所述至少两个参与方中的每一方。例如，这可以通过所述至少两个参与方中的每一方向其它参与方中的每一方透露其份额w来获得。应注意的是，可以在不开放[a]和/或[k]的情况下开放[w]，即，同时使a及k的值保密。

接下来，在不透露k的情况下，计算值R为R＝g^k。例如，这可以包括所述至少两个参与方中的每一方基于他们的份额k计算份额R。这将在下面进一步详细描述。作为备选方案，可以以另外的方式计算R，只要确保k不被透露即可。然而，R可以被透露给所述至少两个参与方中的每一方。注意，由于通常接受的称为‘离散日志’假设的加密假设(标准DSA/ECDSA也基于该假设)，因此不可能通过看到值R＝g^k来推断关于k的任何信息。

进一步确保R是正确的。在本上下文中，这应当被解释为意味着R等于g^k，其中k是由秘密共享[k]定义的唯一值k。通过验证R＝g^k是根据源自诚实参与方的[k]的至少t+1个份额计算的，进行确保R是正确的步骤，其中t表示签名方案的阈值，即，可以容许多达t个恶意的、破坏的、不诚实的或不可用的参与方。从而，当确保R的正确性时，调查参与方的诚实性，并且只有在能够证明至少t+1个参与方是诚实的情况下，才能推断R是正确的。这将在下面进一步详细描述。

如果结果是R不正确，则可以中止签名过程。例如，可以保证每个诚实参与方或者(1)获得值R＝g^k，或者(2)在此时输出中止。即，即使多达t个参与方被破坏，剩余的n-t个参与方也将或者获得R＝g^k或者中止。这将在下面进一步详细描述。

接下来，计算认证元W为W＝g^ak。这是在不透露a或k的情况下，通过计算R^a而不是通过直接计算g^ak来进行的。这可以以与计算R的方式相同的方式进行，除了代替g，使用R作为底数之外。另外，在这种情况下，通过验证W＝R^a是根据源自诚实参与方的[a]的至少t+1个份额计算的，确保W是正确的，如果情况不是这样，则可以中止签名过程。

从而，在该过程的这个阶段，计算了正确的R＝g^k和正确的W＝g^ak，而值k和a仍然是秘密的。

接下来，通过检查是否g^w＝W，验证[w]。这可以包括向每一方开放[w]。注意，使用共享的弱乘法来计算[w]，因此只有当所有参与方都是诚实的，并且遵守协议直到现在，w才等于乘积ak。由于已知W＝g^ak是正确的，因此验证g^w＝W确保w＝ak。此时，W、g和w为所有参与方已知，从而任何参与方都可以以这种方式验证其值w的正确性。此外，这可以在不透露a的情况下，以及在不透露k的情况下进行。

从而，在该过程的这个阶段，已经确保由所述至少两个参与方中的每个诚实参与方计算出了w的正确值。

上述所有步骤可以在不知道要签名的消息M的情况下进行。因而，可以在预处理过程中，例如，在非峰值时段期间进行这些步骤。这可以均衡处理设备上的负荷，并且增加在峰值时段期间可以进行的事务的数量，并且可以减少从呈现消息M到计算出消息M上的签名为止的响应时间。

最后，通过计算[k^-1]＝[a]·w^-1，计算[x·k^-1]＝[x]·[k^-1]，并且作为M、R、[k^-1]和[x·k^-1]的函数，生成至少两个参与方之间的共享[s]，对消息M签名。

M的DSA或ECDSA数字签名通常由一对(r,s)组成，其中r＝F(g^k)和S＝k^-1(H(M)+rx)。该对(r,s)可以被透露并使用公共密钥y来验证。生成的共享[s]是签名对的后一部分s的共享。该对的第一部分r可以被生成为r＝F(R)，其中F是最初由ECDSA提供和指定的函数之一。如下生成共享[s]：首先计算k的倒数的共享为[k^-1]＝w^-1[a]。由于w已经被验证为等于ak，因此这产生k^-1的正确共享，因为w^-1[a]＝[aw^-1]＝[a(ak)^-1]＝[(aa^-1)k^-1]＝[k^-1]。此外，共享[x·k^-1]被计算为[x]·[k^-1]。随后例如通过首先计算[A]＝H(M)[k^-1],[B]＝[k^-1][x]，最后计算[s]＝[A]+r[B]，可以计算共享[s]。

此外，在按照本发明的方法中，在对过程的正确性有任何疑问的情况下允许中止，即，不提供终止保证，即使这是许多现有技术方法中的要求。这样的疑问可能例如归因于参与方中的一方或多方受到损害或者是恶意的，或者可能仅仅归因于在参与方之间的通信期间的分组丢失。中止该过程将会简单地导致该过程被重新启动，以尝试提供正确的签名。

提供终止保证的签名方法通常通过假设同步网络，即保证分组延迟的上限的网络来实现终止保证。使用固有地是异步的开放通信网络(比如因特网)应用这样的方法要求每个参与方都必须具备本地时钟，并且如果参与方按照本地时钟，在某一固定超时内没有接收到预期的消息，则它将简单地将发送方视为被破坏。

这导致两难的局面。如果超时较小，那么存在在因特网上经常出现的分组延迟将很快导致比协议所能容许的更多的参与方(例如，超过n个参与方中的n/2或n/3)被视为被破坏，从而秘密签名密钥可能泄露的高风险。为了避免这一点，超时必须被设定得很高。但是这具有这样的缺点，即它允许单个恶意参与方通过有意地延迟它发送给其它参与方的每个消息(即，它可以将消息保留到直到超时发生时才结束)在系统中引入非常高的时延。按照本发明的方法通过允许协议中止，避免了这种两难的局面。这允许使用相当小的超时，在系统中只产生较小的总体时延。这是可能的，因为该方法被设计成确保即使当所有消息都被延迟时，可能发生的最坏情况也只是协议中止，而不是像在以先前公开的一些方法中那样秘密签名密钥泄漏。

计算值R的步骤可以包括以下步骤：

-所述至少两个参与方中的每一方计算值R的份额R_j为R_j＝g^k_j，并将该份额分发给每一个其它参与方，和

-根据份额R_j计算值R，并且

确保R是正确的步骤可以包括以下步骤：

-每个参与方基于从其它参与方接收的份额R_j，检查R是正确的。

回顾一下，每个参与方P_j持有秘密k的份额k_j。按照本实施例，所述至少两个参与方按照以下方式计算值R。所述至少两个参与方中的每一方计算R的份额R_j，其中R_j表示由参与方j计算的R的份额。R_j被计算为R_j＝g^k_j，其中k_j表示由参与方j持有的[k]的份额。从而，每个参与方基于自身的[k]的份额，计算份额R_j。

所述至少两个参与方中的每一方随后将自身的R的份额R_j分发给每一个其它参与方，即，透露份额R_j。然而，归因于离散日志假设，份额k_j仍然是秘密的，从而秘密的随机数k仍然是秘密的。

随后从透露的份额R_j计算值R。例如，这可以包括“在指数中”插值份额R_j。例如，值R可以由所述至少两个参与方计算和/或它可以被集中计算。在本上下文中，术语“在指数中插值”应被解释为意味着其中重构“指数中的”秘密(例如从g^k_1、g^k_2等计算g^k)的多项式插值。

最后，所述至少两个参与方中的每一方基于从其它参与方接收的份额R_j，检查R是否正确。

按照该方法的一个实施例，份额可以是Shamir份额，并且存在至少三个参与方(即n≥3)，且安全阈值t满足t<n/2。在该实施例中，所述至少三个参与方中的每一方可以通过检查从其它参与方接收的每个份额R_j是否与由前t+1个份额唯一地限定的t次多项式f一致，来验证R是否正确。例如，这可以通过比较每个份额R_t+2、R_t+3、...、R_n和预期份额来进行，所述预期份额可以使用例如指数中的拉格朗日插值，从前t+1个份额R₁、R₂、...、R_t+1来计算。如果在所有情况下，接收的份额都等于预期份额，则可以推断所有接收的份额R_j都正确。因为已知至少t+1个份额R_j接收自诚实参与方，从而是正确的，因此可以推断这一点。如果任何一方发现一些份额R_j缺失或者与由前t+1个接收的份额确定的多项式不一致，则该参与方可以中止协议。

按照该方法的备选实施例，份额可以是加法份额，安全阈值可以多达t＝n-1。在该实施例中，每个参与方P_i的份额g^k_i可以包括零知识证明，例如，非交互式零知识证明，从而P_i向其它参与方证明份额R_i是正确计算的，而不透露关于k_i的任何信息。在该备选实施例中，验证R的正确性可以包括从另一参与方接收份额R_j的参与方验证零知识证明，并且如果该证明无效则中止。

按照一个实施例，可以通过以下方式确保R的正确性。假设存在三个参与方，n＝3，并且可以容许一个受到损害或者不可用的参与方，即，t＝1。这种情况下，可以根据源自两个或更多个诚实参与方的份额R_j，计算R的正确值。所述三个参与方中的每一方随后可以基于他们各自的k的份额，计算其R的份额，并将计算的R的份额分发给其它两个参与方中的每一方，如上所述。每个参与方随后将拥有R的三个份额，即，自己计算的份额和从其它两个参与方接收的两个份额。如果所有三个参与方都是诚实的，则根据这些份额中的任意两个的组合，可以正确地计算R。因而，参与方基于可用份额中的可能的任意两个的组合(在本例中，共计三种组合，即，(R₁,R₂),(R₁,R₃)和(R₂,R₃))来计算R。如果所有三种组合都产生R的相同值，则可以推断所有三个参与方都是诚实的，并且R是正确的。如果基于所述组合中的至少一个组合计算的R的值不同于基于任意其它组合计算的R的值，则可以推断至少一个参与方不诚实。然而，无法判定哪个参与方不诚实，于是，不可能确定R的哪个计算值是正确的。这种情况下，仅仅判定R是不正确的，并且可以中止签名过程。这可能延迟签名过程，但是不会透露秘密。

计算值R的步骤和检查R是否正确的步骤可以以相反的顺序进行，即，参与方可以在计算值R之前，检查接收的份额R_j是否正确。这种情况下，只有当发现接收的份额R_j正确时，才可以计算值R。

计算值R的步骤和计算认证元W的步骤可以使用相同的协议来进行。例如，计算认证元W的步骤可以基本上以上面关于值R所述的方式来进行，不过使用R作为底数而不是g。从而，在这种情况下，至少两个参与方中的每一方计算认证元W的份额W_j为W_j＝R^a_j，并将该份额分发给每个其它参与方，从份额W_j计算认证元W，并且每个参与方例如以上述方式，基于从其它参与方接收的份额W_j，检查W是否正确。

该方法还可以包括在揭示R或W不正确的情况下，中止签名过程的步骤。从而确保秘密密钥不被透露给恶意参与方。然而，在签名过程被中止的情况下，可以证明重新启动该过程以便再次尝试获得有效签名是安全的。

所述方法还可以包括在验证w的步骤揭示g^w≠W的情况下中止签名过程的步骤。如果结果是g^w≠W，则可以推断w≠ak，从而不能基于[w]获得有效签名。在这种情况下，试图计算和透露签名值s可能会通过向恶意参与方透露关于秘密密钥x的信息，从而潜在地损害机密性。于是，如果情况是这样，则类似于上述情况中止签名过程，并且签名过程可以被重新启动。

对消息M签名的步骤可以通过开放[w]和计算[s]＝mw^-1[a]+rw^-1[a][x]+[d]+m[e]来进行，其中r＝F(R)，m＝H(M)，并且[d]和[e]是零的随机共享(所谓的“掩蔽(blinder)共享”)。

对于某些类型的秘密共享方案，一旦计算了乘积[ax]＝[a][x]，开放共享[ax]是不安全的，因为[ax]的份额可能透露过多关于秘密a和x的信息。

例如在我们的方法的第一实施例中情况就是这样，其中份额是Shamir份额，并且其中参与方的[ax]的份额是通过每个参与方将其[a]和[x]的份额相乘而获得的。这种情况下，[ax]的份额不再是随机的，并且在开放[ax]时可能泄漏关于a或x的信息。为了避免这一点，参与方首先计算已知具有随机份额的零的共享[0]，并且作为替代开放[ax]+[0]。增加[0]不改变结果，但确保值ax是在开放[ax]时透露的唯一信息。

从而，[s]首先被计算为mw^-1[a]+rw^-1[a][x]。注意，由于此时已知w是正确的，并且假设[a][x]是正确的，这意味着[s]＝[k^-1(m+rx)]，即，[s]是由DSA或ECDSA定义的正确签名值s的共享。但是在开放[s]之前，增加零共享[d]，即，开放[s]+[d]。将d加到s上不会改变s的值，因为d＝0。

假定w的正确性是强制规定的，如上所述，在一些实施例中，可以从数学上证明，即使在乘法[a][x]是可能不正确的弱乘法的情况下，透露如上计算的签名(r,s)也不会泄漏比正确计算的签名更多的关于秘密密钥x的任何信息。如果[a][x]不正确，唯一会发生的事情是结果值(r,s)将不是有效签名。这可以由每个参与方通过使用消息M和公共验证密钥y，简单地验证签名(r,s)来确定。如果无效，则参与方可以重新启动签名过程。

在一些实施例中，开放[s]+[d]可以被证明是安全的，但是证据假设诚实参与方最初同意要签名的消息M。如果他们不同意M，则关于秘密密钥x的非预期信息可能泄漏。因此，在一些实施例中，例如本文中所述的第一实施例中，参与方可以改为计算并开放[s]+[d]+m·[e]，其中[d]和[e]都是零的随机共享，并且其中m＝H(M)。在这些实施例中，开放该共享可以被证明是安全的，即使不是所有诚实参与方都使用相同的值M。如果它们同意M，则[d]+m·[e]将变成确保结果[s]可以被开放而不透露关于x的信息的零共享。相反，如果一些参与方持有不同的M值，则将[d]+m·[e]加到[s]上，将[s]变成完全随机的共享，这使得协议中止，但是不泄露任何关于x的信息。从而，我们实现了参与方不必在他们开放[s]之前首先确保他们使用相同的M值的性质。这在实践中可能是重要的，因为这意味着参与方不必在他们开放[s]之前花费额外的一轮交互来确保他们同意M的值。

在该方法的备选实施例中，份额可以是加法份额，可以使用诸如Paillier加密方案之类的加法同态加密方案来实现乘法[ax]＝[a][x]。这里，为了能够安全地透露乘积[ax]＝[a][x]的份额而不泄露关于a或x的信息，可能需要在计算[ax]的过程中包括零知识证明，例如非交互式零知识证明。例如，在使用Paillier加密时，在过程中包括这样的零知识证明是可由本领域技术人员应用的公知技术。

至少生成密钥x，生成随机秘密共享[a]和[k]，计算值R和计算认证元W的步骤可以在消息M的生成之前通过预处理来进行。按照该实施例，一些步骤，例如包括生成密钥对([x]，y)，计算R和W，确保R或W的正确性，生成零共享[d]和[e]，计算共享[w]，开放[w]，验证g^w＝W和/或计算[ax]＝[a][x]可以在要签名的消息M为参与方所知之前进行。如上所述，这减少了在提供数字签名时要进行的步骤的数量，从而降低了处理需求和响应时间。

许多类型的秘密共享，比如例如Shamir秘密共享，具有以下性质：已知两个共享，例如[a]和[x]，可以在不需要参与方之间的任何交互的情况下计算这两个秘密之和的共享[a+x]。此外，如果所有参与方都知道给定的公共值c，则参与方可以不需要交互地计算乘积[c·x]的共享。这样的秘密共享方案被称作‘线性’秘密共享方案。

按照本发明的其中使用这种线性秘密共享的一些实施例，通过在知道要签名的消息M之前，在预处理阶段中生成[x]、[a]、y、R、W、[ax]和w，并且验证R和w的正确性，则一旦M为参与方所知，参与方就可以生成r和[s]，而不需要任何彼此的交互。这是因为通过使用在预处理中已经生成和验证的共享和值，r可以由每个参与方本地计算为r＝F(R)，此外仅仅通过共享的相加和共享与公共常数的相乘，即可以计算[s]。

此外，按照一些实施例，通过利用预处理来进行一些步骤，一旦M为参与方所知，则最终签名(r,s)就可以在单轮交互中被透露给接收方，其中每一方将R以及其[s]的份额发送给接收方。

此外，按照一些实施例，通过利用预处理来进行一些步骤，一旦M为各个参与方所知，则最终签名(r,s)就可以在单轮交互中被透露给接收方，其中只有一些参与方将他们的[s]的份额发送给接收方。例如，在第一实施例中，[s]是2t次Shamir共享，从而2t+1个参与方在单轮交互中将他们的份额发送给接收方就足够了。

按照其中使用线性秘密共享的一些实施例，通过进行附加的预处理步骤，在给定M的情况下，最终签名(r，s)可以在单轮交互中被透露给接收方，其中只有t+1个参与方将R及他们的[s]的份额发送给接收方。例如，在其中[ax]是2t次Shamir共享的一些实施例中，通过使用从安全多方计算领域已知的标准技术，可以在预处理步骤中将[ax]的次数降低到t。这样，[s]的次数也变成t，从而接收方仅仅基于[s]的t+1个份额即可重构s。

此外，按照本发明的实施例，可以进行附加的预处理步骤来确保共享[ax]是值ax的正确共享。这可以利用来自安全多方计算领域的标准技术来进行。这样，实现了以下性质：如果在预处理步骤期间过程没有中止，则即使多达t个恶意参与方试图阻止有效签名的开放，也能够保证一定数量的诚实参与方，例如2t+1或t+1个诚实参与方，能够开放有效签名(r,s)。

像这样简化通信，例如，通过使一旦要签名的消息M为参与方所知就需要的交互轮数以及重构s所需的份额数降至最小，可以在多方签名方案的实际应用中带来好处。

该方法还可以包括计算公共密钥y为y＝g^x，并向至少两个参与方中的每一方透露y的步骤。按照该实施例，生成采取秘密密钥[x]和公共密钥y＝g^x形式的密钥对。该密钥对用于生成数字签名。

该方法还可以包括使用公共密钥y来验证签名的步骤。例如，这可以包括检查是否r＝F(g^m/s·y^r/s)。可替选地或另外地，该步骤可包括检查是否R^s＝g^m·y^r。

例如，这可以包括至少两个参与方中的每一方使用公共验证密钥y来验证签名的正确性。例如，这可以包括检查是否R^s＝g^m·y^r。如果某一参与方发现情况是这样，则该参与方接受签名(r,s)，并将其作为结果输出。如果否，则它可以中止签名过程。

在该方法的另一个实施例中，应该接收作为结果的签名(r,s)的不是参与方本身，而是外部方。这种情况下，每个参与方P_j如上所述计算R及其秘密共享[s]的份额s_j。然后，每个参与方将R和s_j发送给外部方。外部方比较所有的接收值R，并且如果它们不相等则中止。然后它计算r＝F(R)，并通过多项式插值根据份额s_j计算s，并且使用公共密钥y验证是否R^s＝g^m·y^r。如果是，则他接受(r,s)作为最终签名。

该方法还可以包括检查y的正确性的步骤。按照本发明的实施例，该步骤可包括以与生成随机共享[k]并开放和验证R＝g^k的正确性相同的方式，首先生成随机共享[x]，然后开放y＝g^x，并检查y的正确性的步骤。