盲签名

概述

1. $Setup$: 签名者生成公私钥对 $(pk,sk)$。
2. $Blind(m)$: 用户选择随机数 $r$，计算盲化消息 $m^{\prime }=Blind(m,r)$ 并发送给签名者。
3. $Sign(sk,m^{\prime })$: 签名者使用私钥 $sk$ 对盲化消息 $m^{\prime }$ 进行签名，生成盲签名 $s^{\prime }=Sign(sk,m^{\prime })$ 并返回给用户。
4. $Unblind(s^{\prime },r)$: 用户使用随机数 $r$ 对盲签名 $s^{\prime }$ 进行去盲化，得到最终签名 $s=Unblind(s^{\prime },r)$。
5. $Verify(pk,m,s)$: 验证者使用公钥 $pk$ 验证消息 $m$ 和签名 $s$ 的有效性。

主要应用于隐私保护，例如我有一个投票消息，需要签名者对其进行签名以证明其有效性，但不希望签名者知道具体内容，也不希望签名者能够将签名与我关联起来，就可以通过盲签名来实现。

RSA盲签名

1. $Setup$: 签名者选择两个大素数 $p$ 和 $q$，计算 $n=p\cdot q$，计算 $ed=1mod\varphi (n)$，其中 $\varphi (n)=(p-1)(q-1)$。公钥为 $(e,n)$，私钥为 $d$。
2. $Blind(m)$: 用户选择随机数 $r$，计算盲化消息 $m^{\prime }=(m\cdot r^e)modn$ 并发送给签名者。
3. $Sign(d,m^{\prime })$: 签名者使用私钥 $d$ 对盲化消息 $m^{\prime }$ 进行签名，生成盲签名 $s^{\prime }=(m^{\prime }{)}^{d}modn$ 并返回给用户。
4. $Unblind(s^{\prime },r)$: 用户使用随机数 $r$ 对盲签名 $s^{\prime }$ 进行去盲化，得到最终签名 $s=(s^{\prime }\cdot r^{-1})=m^{d}modn$, $\because s^{\prime }=m^d\cdot r^{ed}=m^d\cdot rmodn$
5. $Verify(e,n,m,s)$: 验证者计算 $s^{e}modn==m$。

Schnorr盲签名

回顾：Schnorr签名

1. $Setup$: 选择素数 $p,q$ 使得 $q\mid (p-1)$，取阶为 $q$ 的生成元 $g$；设哈希 $H:\{0,1{\}}^{\ast }\to {\mathbb{Z}}_q$。私钥 $x\in {\mathbb{Z}}_q$，公钥 $y=g^{x}modp$。
2. $Sign(x,m)$: 签名者选随机数 $k\leftarrow {\mathbb{Z}}_q$，计算 $r=g^{k}modp$，计算 $c=H(R\Vert m)$，计算 $s=r+cxmodq$，签名为 $\sigma =(c,s)$。
3. $Verify(y,m,\sigma )$: 验证者计算 $R^{\prime }=g^s\cdot y^{-c}modp$，检查 $H(R^{\prime }\Vert m)?=c$。
4. 也可以令 $\sigma =(r,s)$，验证时计算 $c=H(R\Vert m)$，然后计算 $r^{\prime }=g^s\cdot y^{-c}modp$，检查 $R^{\prime }?=R$。

具体步骤

原始版

• 
• 

优化版

1. $Setup$: 选择素数 $p,q$ 使得 $q\mid (p-1)$，取阶为 $q$ 的生成元 $g$；设哈希 $H:\{0,1{\}}^{\ast }\to {\mathbb{Z}}_q$。私钥 $x\in {\mathbb{Z}}_q$，公钥 $y=g^{x}modp$。
2. $Commit$: 签名者选随机数 $r\leftarrow {\mathbb{Z}}_q$，计算 $R=g^{r}modp$，发送 $R$ 给用户。
3. $Blind(m,R)$: 用户选盲化因子 $\alpha ,\beta \leftarrow {\mathbb{Z}}_q$，计算 $R^{\prime }=R\cdot g^{\alpha }\cdot y^{\beta }modp$，令 $c^{\prime }=H(R^{\prime }\Vert m)$，并令 $c=c^{\prime }+\beta modq$，把 $c$ 发给签名者。
4. $Sign(x,c)$: 签名者计算 $s=r+cxmodq$，返回 $s$。
5. $Unblind(s,\alpha )$: 用户计算 $s^{\prime }=s+\alpha modq$，得到最终签名 $\sigma =(c^{\prime },s^{\prime })$。
6. $Verify(y,m,\sigma )$: 验证者计算 $R^{″}=g^{s^{\prime }}\cdot y^{-c^{\prime }}modp$，检查 $H(R^{″}\Vert m)?=c^{\prime }$。

正确性：本质上是确认 $R^{″}=R^{\prime }$：

$$R^{″}=g^{s^{\prime }}\cdot y^{-c^{\prime }}=g^{s+\alpha }\cdot y^{-(c-\beta )}=g^{r+x\cdot c+\alpha }\cdot g^{x(-c+\beta )}$$$$=g^{r+\alpha +x\cdot \beta }=R\cdot g^{\alpha }\cdot y^{\beta }=R^{\prime }$$

BLS 盲签名

KeyGen

1. Sample $sk\leftarrow {\mathbb{Z}}_p^{\ast }$
2. Calc $pk=g\cdot G_2$

Blind

1. $H=HashTo{G}_1(message)\in {\mathbb{G}}_1$
2. Sample $r\leftarrow {\mathbb{Z}}_p^{\ast }$
3. Blind the message: $H^{\prime }=H\cdot r$

Sign

1. Sign the blinded message: ${\sigma }^{\prime }=H^{\prime }\cdot sk$

Unblind

1. Unblind the signature: $\sigma ={\sigma }^{\prime }\cdot r^{-1}$
2. Obvoiusly obtain the signature on the original message: $\sigma =H\cdot sk$

Verify

1. Calc $e(\sigma ,G_2)==e(HashTo{G}_1(message),pk)==e(H,G_2{)}^{sk}$

BBS+

记双线性映射为
$e:{\mathbb{G}}_1\times {\mathbb{G}}_2\to {\mathbb{G}}_T$，阶为素数 $p$。
公开生成元 $G_1\in {\mathbb{G}}_1,G_2\in {\mathbb{G}}_2$。
对消息数量为 $L$，为每个消息准备独立基点 $H_i\in {\mathbb{G}}_1$，并有额外基点 $H_0\in {\mathbb{G}}_1$。

1. 签名者 - KeyGen

1. Setup: ${\mathbb{G}}_1,{\mathbb{G}}_2,{\mathbb{G}}_T,e,p,G_1,G_2,H_0,H_1,\cdots ,H_L$
2. Sample $x\leftarrow {\mathbb{Z}}_p^{\ast }$（签名私钥）
3. Calc and publish $W=x\cdot G_2\in {\mathbb{G}}_2$（签名公钥）

---

2. 用户 - Blind（承诺被盲化消息）

设有消息向量 $(m_1,\cdots ,m_L)$，其中一部分要隐藏（盲签），也可有部分公开给签名者。

1. 用户取随机盲化因子 $r\leftarrow {\mathbb{Z}}_p^{\ast }$
2. 计算承诺（对隐藏消息）：$$C=r\cdot H_0+\sum _{i\in \mathcal{H}}{m}_i\cdot H_i\in {\mathbb{G}}_1$$其中 $\mathcal{H}$ 为隐藏消息下标集合。
3. 用户给签名者发送：
   • 承诺 $C$
   • 公开消息 $\{m_j{\}}_{j\in \mathcal{R}}$（若有），$\mathcal{R}$ 为公开下标集合
   • 对 $C$ 的“消息知晓证明”（PoK，证明其确实知道 $r$ 与隐藏消息，防止恶意构造）

---

3. 签名者 - BlindSign

签名者验证用户 PoK 通过后：

1. 采样随机 $e,s\leftarrow {\mathbb{Z}}_p^{\ast }$
2. 先组合公开消息项：$$B_{\text{pub}}=G_1+\sum _{j\in \mathcal{R}}{m}_j\cdot H_j$$
3. 将用户承诺并入：$$B=B_{\text{pub}}+C$$
4. 计算盲签名核心：$$A=(x+e{)}^{-1}\cdot (B+s\cdot H_0)$$
5. 返回盲签名：$${\sigma }^{\prime }=(A,e,s)$$

---

4. 用户 - Unblind

用户收到 ${\sigma }^{\prime }=(A,e,s)$ 后，用自己在承诺中使用的随机数 $r$ 去盲：

1. 计算$$s^{\prime }=s+r(\mathrm{mod}p)$$
2. 得到最终 BBS+ 签名：$$\sigma =(A,e,s^{\prime })$$

直观上，签名者签的是 $B+s{H}_0$，而 $B$ 里含有用户承诺的 $r{H}_0$。去盲后把这部分并入 $s^{\prime }$。

---

5. 验证者 - Verify

给定消息 $(m_1,\cdots ,m_L)$、公钥 $W$、签名 $\sigma =(A,e,s)$，验证：

1. 计算$$B=G_1+s\cdot H_0+\sum _{i=1}^L{m}_i\cdot H_i$$
2. 检查双线性等式$$e(A,W+e\cdot G_2)\stackrel{?}{=}e(B,G_2)$$
3. 成立则验签通过。

---

正确性说明（简）

由签名构造

$$A=(x+e{)}^{-1}\cdot B$$

可得

$$(x+e)\cdot A=B$$

两边分别与 $G_2$ 做配对：

$$e(A,(x+e)G_2)=e(B,G_2)$$

又因 $W=x{G}_2$，故 $(x+e)G_2=W+e{G}_2$，即

$$e(A,W+e{G}_2)=e(B,G_2)$$

验证式成立。

选择性披露与零知识证明（BBS+ Proof of Knowledge）

设签名为 $\sigma =(A,e,s)$，消息为 $(m_1,\dots ,m_L)$。
证明者想公开一部分消息 $\{m_i{\}}_{i\in \mathcal{D}}$（disclosed），隐藏其余 $\{m_i{\}}_{i\in \mathcal{U}}$（undisclosed），其中 $\mathcal{D}\cup \mathcal{U}=\{1,\dots ,L\}$ 且不交。

目标：向验证者证明“我持有一个有效 BBS+ 签名，且公开消息值正确”，同时不泄露隐藏消息与签名本体可链接信息。

证明者 - ProofGen

1. 随机重随机化签名（unlinkability）
   取随机 $r_1,r_2\leftarrow {\mathbb{Z}}_p^{\ast }$，计算

   $$A^{\prime }=r_1\cdot A,\overline{A}=r_1\cdot B-r_2\cdot A^{\prime },D=r_1\cdot H_0-r_2\cdot A^{\prime }$$

   其中

   $$B=G_1+s{H}_0+\sum _{i=1}^L{m}_i{H}_i.$$

   这一步保证同一原始签名每次出示得到不同证明，防止关联。

2. 把“签名关系”改写为线性知识关系
   可整理为（等价约束）：

   $$\overline{A}=\sum _{i\in \mathcal{U}}{m}_i\cdot (r_1{H}_i)+s\cdot (r_1{H}_0)+1\cdot (r_1{G}_1+\sum _{i\in \mathcal{D}}{m}_i{r}_1{H}_i)-r_2{A}^{\prime }$$

   实际实现时通常将公开项移到常量侧，仅对秘密变量做 Schnorr 型 PoK。

3. 承诺阶段（Sigma 协议第一步）
   对秘密变量（如 $e,s,\{m_i{\}}_{i\in \mathcal{U}}$ 及重随机化辅助量）采样随机掩码，构造承诺点 $T_1,T_2,\dots$。

4. 挑战生成（Fiat-Shamir）

   $$c=H(\text{ctx}\parallel pk\parallel \mathcal{D},\{m_i{\}}_{i\in \mathcal{D}}\parallel A^{\prime },\overline{A},D,\{T_k\})$$

   其中 ctx 建议包含域分离标签、协议版本、会话 nonce（防重放）。

5. 响应计算
   对每个秘密 $w$ 输出响应

   $$z_w=t_w+c\cdot w(\mathrm{mod}p)$$

   得到证明

   $$\pi =(A^{\prime },\overline{A},D,c,\{z_w\},\{m_i{\}}_{i\in \mathcal{D}})$$

验证者 - ProofVerify

1. 检查披露消息编码、下标集合 $\mathcal{D}$ 合法。
2. 用 $\pi$ 中的 $(A^{\prime },\overline{A},D,\{z_w\})$ 重建各承诺 $\{T_k^{\prime }\}$（按验证方程）。
3. 重新计算$$c^{\prime }=H(\text{ctx}\parallel pk\parallel \mathcal{D},\{m_i{\}}_{i\in \mathcal{D}}\parallel A^{\prime },\overline{A},D,\{T_k^{\prime }\})$$
4. 验证 $c^{\prime }\stackrel{?}{=}c$；一致则证明通过。
   这表示：存在隐藏消息与签名见证，使得公开消息与某个有效 BBS+ 签名一致。