学习笔记：Efficient Redactable Signature and Application to Anonymous Credentials

Sanders, O. (2020). Efficient Redactable Signature and Application to Anonymous Credentials. In: Kiayias, A., Kohlweiss, M., Wallden, P., Zikas, V. (eds) Public-Key Cryptography – PKC 2020. PKC 2020. Lecture Notes in Computer Science(), vol 12111. Springer, Cham. https://doi.org/10.1007/978-3-030-45388-6_22

Introduction

Syntax

Short Redactable Signatures

前置文献：Short Randomizable Signatures的PS签名
$pk:=(X,Y_1,...,Y_r)=(g^x,g^{y_1},...,g^{y_r}),sk:=(x,y_1,...,y_r),g\in {\mathbb{G}}_2$
$PS-Sign(sk,m_1,...,m_r)\to \sigma :=({\tilde{\sigma }}_1,{\tilde{\sigma }}_2)=(\tilde{g},{\tilde{g}}^{x+{\sum }_{j=1}^r{y}_j\cdot m_j}),\tilde{g}\in {\mathbb{G}}_1^{\ast }$
$PS-Verify(pk,(m_1,...,m_r),\sigma )\to 0/1$. 验证 ${\tilde{\sigma }}_1\ne 1_{{\mathbb{G}}_1},$ $e(X\cdot {\prod }_{i=1}^n{Y}_i^{m_i},{\tilde{\sigma }}_1)=e(g,{\tilde{\sigma }}_2)$

这个签名验证时必须使用所有的信息整体验证，无法实现部分验证。

修改：${\sigma }_1:={\prod }_{i\in \bar{\mathcal{I}}}{Y}_i^{m_i}$

验证转换为：$e(X\cdot {\sigma }_1{\prod }_{i\in \mathcal{I}}{Y}_i^{m_i},{\tilde{\sigma }}_1)=e(g,{\tilde{\sigma }}_2)$
安全性缺陷
不幸的是，由此产生的方案显然是不安全的。不诚实的用户在可以在${\sigma }_1$中隐藏已披露消息的某些部分来欺骗验证者：
令${\sigma }_1:=Y_1^r{\prod }_{i=2}^n{Y}_i^{m_i}$，并构造一个对$m_1-r$的签名，对于任意$r\in {\mathbb{Z}}_p$，有
$$\begin{array}{rl}e(X\cdot {\sigma }_1\cdot Y_1^{m_1-r},{\tilde{\sigma }}_1)& =e(X\cdot \prod _{i=1}^n{Y}_i^{m_i},{\tilde{\sigma }}_1)\\ & =e(g,{\tilde{\sigma }}_2)\end{array}$$
${\sigma }_1\notin {\mathbb{G}}_1$，为了安全性，需要证明它只包含不在$\mathcal{I}$中的元素的累积。解决这个问题最简单的方法（在大多数匿名凭证构造中使用）是证明未公开信息的知识。正如我们已经解释过的，这导致成本至少与$\bar{\mathcal{I}}$的规模成线性关系。

解决
如果$\sigma$是一个已经诚实地为$\mathcal{I}$派生的签名，则$e({\sigma }_1,{\prod }_{i\in \mathcal{I}}{\tilde{Y}}_i)\to e(g,\tilde{g}{)}^{f(y_1,...,y_n)}$，其中的单项是这种形式：$y_i\cdot y_j,i$