发明内容

本发明的目的是针对资源受限装置，提出一种改进加法群元数乘运算(标量乘运算、倍加运算)和乘法群元幂运算的计算方法及相应的系统，以克服现有技术的不足。

针对以上发明目的，本专利申请提出的改进的技术方案包括一种加法群元数乘的计算方法、一种乘法群元幂运算的计算方法及相应的系统。

在本发明中，[]表示加法群中的数乘运算(标量乘运算、多倍加运算)，[k]G，若k>0，则表示加法群中k个同一群元G的相加G+…+G，若k<0，则表示加法群中|k|个同一群元G的相加的结果的加法逆元；^表示乘法群中的幂运算，g^k，若k>0，则表示乘法群中k个同一群元g的相乘gg…g，若k<0，则表示乘法群中|k|个同一群元g的相乘的结果的乘法逆元；在本发明描述中，如无特别说明，整数运算都是模n运算(mod n)或模n同余运算((mod n))，其中n是涉及的加法或乘法群的阶，为素数，对于一个整数a，a^-1，表示模n乘法逆(a^-1a mod n＝1)或模n同余乘法逆(a^-1a＝1(mod n))；省略号“...”，表示重复多个同样(类型)的数据项或重复多个同样的运算；若不会造成误解，则两个量a、b相乘a·b直接表示为ab(变量下标除外，变量下标中连续出现的字符没有运算含义，只有标识含义，如G_hi中的hi没有h乘i含义)。

本发明提出的加法群元数乘运算的计算方法具体描述如下。

所述方法涉及第一方和第二方以及阶为素数n的加法群，其中第一方为(相对)资源受限、计算能力弱的装置(如无限传感器、智能穿戴设备、现场仪表等)，第二方为(相对)资源丰富、计算能力强的装置(如计算机、服务器、边缘计算服务器、云计算系统等)；

第一方预先保存有G_h＝[ha^-1]G，G_b＝[(ba)^-1]G，其中h、b、a为[1,n-1]内的第一方的整数秘密，G为阶为素数n的加法群中的(非零)元，[]表示加法群元的数乘运算符([]内为整数乘数，[]后为群元)；

当第一方需要计算G_k＝[k]G时，其中k为[1,n-1]内的第一方的保密整数，第一方计算c＝b(ak-h)，将c、G_b提交给第二方；

第二方计算G_c＝[c]G_b；

第一方或第二方或其他方计算G_k＝G_c+G_h，则G_k即为[k]G；

以上a和b中的一个的取值允许为非保密的常数(如固定取值1)；

以上使用h，b，a，k的整数运算是模运算(mod n)或模n同余((mod n))运算。

(若G_k＝G_c+G_h由第一方之外的其他方计算，则G_h非保密)

对于以上所述加法群元数乘运算的计算方法，(在需要对h、b、G_h、G_b更新时)，第一方更新h、b、G_h、G_b的一种方法如下：

第一方在[1,n-1]内随机选择一个整数r，以ra^-1或(ra)^-1作为k采用所述加法群元数乘运算的计算方法计算得到G_r＝[ra^-1]G或G_r＝[(ra)^-1]G，然后以r作为h或b的新值，相应地以G_r作为G_h或G_b的新值；

在G_r计算过程中采用的h，b，a，G_h，G_b与非更新计算过程中(即普通G_k计算过程中)采用的h，b，a，G_h，G_b是同一组数据或不同一组数据。

h、G_h和b、G_b不必同时更新(可以同时更新，也可以不同时更新)。保密参数a也可以更新，但比较麻烦，需要进行两次更新计算(G_h和G_b)。

对于以上所述加法群元数乘运算的计算方法，(在需要对h、b、G_h、G_b更新时)，第一方更新h、b、G_h、G_b的另一种方法如下：

在完成一个(普通)G_k计算后，第一方用ka替代h，用G_k替代G_h，或者用(ka)^-1替代b，用G_k替代G_b(一个k，只能更新h、b中的一个，可以依据约定的规律用k交替更新h、b，或者仅更新其中一个)。

对于参数h、b的更新，不一定是必须的，是否需要对h、b更新，是否每次计算G_k都要更新，什么时候更新，取决于实际的安全需要，当其他地方出现k的一次式计算结果时(比如，在k用于生成SM2数字签名的(r,s)中的s时)，则可能需要对h、b进行更新。

具体实施时，可以实施以上两个h、b、G_h、G_b更新方法中的一个，或者同时实施、交替使用以上两个h、b、G_h、G_b更新方法。

对于以上所述加法群元数乘运算的计算方法，h、b、a初始值的选择以及对应初始群元G_h、G_b的计算在系统初识化时进行，h、b、a初始值是[1,n-1]内随机选择的整数。

若第一方维护有m组数据h_i，b_i，a_i，G_hi＝[h_i(a_i)^-1]G，G_bi＝[(b_ia_i)^-1]G，其中h_i，b_i，a_i为[1,n-1]内的第一方的整数秘密，i＝1,…,m，m≥2，以及有G_h＝G_h1+…+G_hm，则针对上述加法群元数乘运算的计算方法的一种安全增强方案如下：

当第一方需要计算G_k＝[k]G时，其中k为[1,n-1]内的第一方的保密整数，第一方将k随机分解为[1,n-1]内的m个整数k_i，i＝1,…,m，且k＝k₁+…+k_m(通常在[1,n-1]内随机选择k_i，i＝1,…,m-1，然后计算k_m＝k-(k₁+…+k_m-1))；

第一方计算c_i＝b_i(a_ik_i-h_i)，将c_i、G_bi，i＝1,…,m，提交给第二方；

第二方计算G_ci＝[c_i]G_bi，i＝1,…,m，计算G_c＝G_c1+…+G_cm；

第一方或第二方或其他方计算G_k＝G_c+G_h，则G_k即为[k]G；

以上所述使用h_i，b_i，k_i的整数运算是模运算(mod n)或模n同余((mod n))运算。

(若G_k＝G_c+G_h由第一方之外的其他方计算，则G_h非保密)

(若第一方需要更新h_i、b_i、G_hi、G_bi，i＝1,…,m，则可以采用与更新h、b、G_h、G_b同样的方式进行更新，比如，用k和G_k去更新某一对参数h_i、G_hi或b_i、G_bi中的一个，但通常是不需要的)

本发明的乘法群元幂运算的计算方法具体描述如下。

所述方法涉及第一方和第二方以及阶为素数n的乘法群，其中第一方为(相对)资源受限、计算能力弱的装置(如无限传感器、智能穿戴设备、现场仪表等)，第二方为(相对)资源丰富、计算能力强的装置(如计算机、服务器、边缘计算服务器、云计算系统等)；

第一方预先保存有g_h＝g^(ha^-1)，g_b＝g^((ba)^-1)，其中h、b、a为[1,n-1]内的第一方的整数秘密，g为阶为素数n的乘法群中的(非单位)元，^表示乘法群元的幂运算符(^前为群元，^后为幂运算次数)；

当第一方需要计算g_k＝g^k时，其中k为[1,n-1]内的第一方的保密整数，c＝b(ak-h)，将c、g_b提交给第二方；

第二方计算g_c＝(g_b^c)；

第一方或第二方或其他方计算g_k＝g_cg_h，则g_k即为g^k；

以上a和b中的一个的取值允许为非保密的常数(如固定取值1)；

以上使用h，b，a，k的整数运算是模运算(mod n)或模n同余((mod n))运算。

(若g_k＝g_cg_h由第一方之外的其他方计算，则g_h非保密)

对于以上所述乘法群元幂运算的计算方法，(在需要对h、b、g_h、g_b更新时)，第一方更新h、b、g_h、g_b的一种方法如下：

第一方在[1,n-1]内随机选择一个整数r，以ra^-1或(ra)^-1作为k采用所述乘法群元幂运算的计算方法计算得到g_r＝g^(ra^-1)或g_r＝g^((ra)^-1)，然后以r作为h或b的新值，相应地以g_r作为g_h或g_b的新值；

在g_r计算过程中采用的h，b，a，g_h，g_b与非更新计算过程中(即普通g_k计算过程中)采用的h，b，a，g_h，g_b是同一组数据或不同一组数据。

h、g_h和b、g_b不必同时更新(可以同时更新，也可以不同时更新)。保密参数a也可以更新，但比较麻烦，需要进行两次更新计算(g_h和g_b)。

对于以上所述乘法群元幂运算的计算方法，(在需要对h、b、g_h、g_b更新时)，第一方更新h、b、g_h、g_b的另一种方法如下：

在完成一个(普通)g_k计算后，第一方用ka替代h，用g_k替代g_h，或者用(ka)^-1替代b，用g_k替代g_b(一个k，只能更新h、b中的一个，可以依据约定的规律用k交替更新h、b，或者仅更新其中一个)。

对于参数h、b的更新，不一定是必须的，是否需要对h、b更新，是否每次计算g_k都要更新，什么时候更新，取决于实际的安全需要，比如，在用于SM9数字签名协同计算过程中，出现整数k的一次式模n运算结果时，则可能需要对h、b进行更新。

具体实施时，可以实施以上两个h、b、g_h、g_b更新方法中的一个，或者同时实施、交替使用以上两个h、b、g_h、g_b更新方法。

对于以上所述乘法群元幂运算的计算方法，h、b、a初始值的选择以及对应初始群元的计算在系统初识化时进行，h、b、a初始值是[1,n-1]内随机选择的整数。

若第一方维护有m组数据h_i，b_i，a_i，g_hi＝g^(h_i(a_i)^-1)、g_bi＝g^((b_ia_i)^-1)，其中h_i，b_i，a_i为[1,n-1]内的第一方的整数秘密，i＝1,…,m，m≥2，以及有g_h＝g_h1g_h2…g_hm，则针对上述乘法群元幂运算的计算方法的一种安全增强方案如下：

当第一方需要计算g_k＝g^k时，其中k为[1,n-1]内的第一方的保密整数，第一方将k随机分解为[1,n-1]内的m个整数k_i，i＝1,…,m，且k＝k₁+…+k_m(通常在[1,n-1]内随机选择k_i，i＝1,…,m-1，然后计算k_m＝k-(k₁+…+k_m-1))；

第一方计算c_i＝b_i(a_ik_i-h_i)，将c_i、g_bi，i＝1,…,m，提交给第二方；

第二方计算g_ci＝g_bi^c_i，i＝1,…,m，计算g_c＝g_c1g_c2…g_cm；

第一方或第二方或其他方计算g_k＝g_cg_h，则g_k即为g^k；

以上所述使用h_i，b_i，k_i的整数运算是模运算(mod n)或模n同余((mod n))运算。

(若g_k＝g_cg_h由第一方之外的其他方计算，则g_h非保密)

(若第一方需要更新h_i、b_i、g_hi、g_bi，i＝1,…,m，则可以采用与更新h、b、g_h、g_b同样的方式进行更新，比如，用k和g_k去更新某一对参数h_i、g_hi或b_i、g_bi，但通常是不需要的)

基于本发明的方法可构建相应的针对加法群元数乘或乘法群元幂运算的计算系统，系统包括两个装置，其中一个为称为第一方的资源受限、计算能力弱的装置(如无限传感器、智能穿戴设备、现场仪表等)，另一个为称为第二方的(相对)资源丰富、计算能力强的装置(如计算机、服务器、边缘计算服务器、云计算系统等)；当第一方需要进行加法群元数乘或乘法群元幂运算时，所述第一方和第二方按所述加法群元数乘或乘法群元幂运算的计算方法计算得到群元数乘或群元幂运算的结果。

在以上本发明的针对加法群元数乘或乘法群元幂运算的计算方法及系统中，第一方是一个(相对)资源受限、计算能力弱的装置，而第二方是(相对)资源丰富、计算能力强的装置；基于本发明的方法及系统，作为资源受限、计算能力弱的第一方可以借助资源丰富、计算能力强的第二方完成计算量大的加法群中的群元数乘运算(如椭圆曲线点群中的点的数乘或多倍加运算)或乘法群中的群元幂运算(如双线配对的乘法群中的群元的幂运算)，同时避免了第一方的秘密如保密整数k被泄露，而且，本发明的第一方有三个保密参数、h、b、a，且可以对h、b不断更新，并借助第二方对G_h、G_b或g_h、g_b进行更新，使得本发明的方法即便用于SM2数字签名，或者SM9数字签名协同计算，k也很难被破解，从而使得本发明具有更广泛的适用性，克服了CN201711318078.8的不足，于此同时，本发明第一方无需维护参数池，无需对参数池中的加法群元数乘或乘法群元幂运算数据进行更新，从而使得本发明克服了CN201910907018.2的不足。本发明的方案不但安全性提高，而且简单。作为一种安全增强方案，本发明的第一方也可以维护m组参数，但与CN201910907018.2的差别在于，本发明的第一方维护的参数组数m可以很小，通常m＝2，3就行，而CN201910907018.2中第一方维护的参数组数m要较大才安全，而且本发明的第一方无需对参数组中的群元进行小计算量的群元数乘或群元幂运算更新，而CN201910907018.2需要。