椭圆曲线上代理盲签名方案的改进
Improvement of Proxy Blind Signature Scheme on Elliptic Curve
DOI: 10.12677/CSA.2023.133056, PDF, HTML, XML, 下载: 1,026  浏览: 1,135  科研立项经费支持
作者: 杨倩倩, 范自强：安徽理工大学数学与大数据学院，安徽 淮南
关键词: ECDLP；伪造攻击；委托证书；不可链接性；椭圆曲线模拟；ECDLP； Forgery Attack； Trust Certificate； Unlinkability； Elliptic Eurve Simulation
摘要: 通过对Tan等人提出的基于椭圆曲线上的离散对数问题(ECDLP)的代理盲签名方案分析，指出该方案具有不安全性，不能抵抗四种常见的伪造攻击：原始签名者和签名接收者的伪造、一般性攻击及签名接收者的一般伪造攻击，且不满足不可链接性。为了克服上述不足之处，提出了一种改进的方案，在代理授权阶段引入委托证书改进代理签名私钥，同时去掉签名生成阶段的参数，使得可以抵抗原始签名者和接收者的伪造攻击，其安全性等价于解离散对数难题，同时方案也具有不可链接性。同时在签名阶段引入签名请求者的私钥，代理签名人无法将盲消息的签名和消息签名联系起来，即签名是不可追踪的。
Abstract: Through the analysis of the proxy blind signature scheme based on the discrete logarithm problem on elliptic curve (ECDLP) proposed by Tan et al., it is pointed out that the scheme is insecure and cannot resist four common forgery attacks: forgery of the original signer and signature receiver, general attack and general forgery attack of the signature receiver, and does not meet the requirements of unlinkability. In order to overcome the above shortcomings, an improved scheme is proposed. In the proxy authorization phase, a delegation certificate is introduced to improve the proxy signature private key, and the parameters in the signature generation phase are removed, so that it can resist the forgery attacks of the original signer and receiver. Its security is equivalent to solving the discrete logarithm problem, and the scheme is also non linkable. At the same time, the private key of the signature requester is introduced in the signature phase, so the proxy signer cannot as-sociate the blind message signature with the message signature, that is, the signature is untraceable.
文章引用：杨倩倩, 范自强. 椭圆曲线上代理盲签名方案的改进[J]. 计算机科学与应用, 2023, 13(3): 568-578. https://doi.org/10.12677/CSA.2023.133056

1. 引言

数字签名技术在现代社会中占有非常重要的地位，为了解决用户不想在签名者签名时泄露自己的消息内容的问题，许多隐藏消息的签名方案被提出。为解决此类问题Chaum于1982年首次提出盲签名，Chaum在文献 [1] 中并没有详细介绍具体的算法和步骤来实现盲签名，而是举了一个投票的例子来解释盲签名。盲签名不仅满足一般签名所具有的性质，还具有不可伪造性、不可追踪性、盲性。因为其性质好，盲签名一被公开就有各种类型的盲签名方案被提出，1985年Chaum给出基于RSA的盲签名体制，2007年韩春霞 [2] 等人提出一种ELGamal体制的盲签名方案，基于有限域上离散对数难解的特点设计了一种盲签名方案。为了解决签名者由于某种原因不能及时对用户进行签名的问题，Mambo于1996年首次提出的代理签名方案， Mambo，Usudu和Okamoto在文献 [3] 中提出了完整的代理签名，部分代理签名和带有权利证书的签名。代理签名也像盲签名一样要满足代理签名被广泛用于网络计算、移动代理等诸多领域，同时有许多学者提出各种各样的代理签名方案 [4] [5] [6] 。

代理盲签名是Lin和Jan [7] 于2000年首次提出的，该方案主要是结合代理签名与盲签名的优点。随着代理盲签名被用于不同的情景，不同的方案也被提出 [8] [9] [10] [11] [12] 。Tan等(2002) [13] 提出了两种分别基于DLP和ECDLP的代理盲签名方案。Lal和Awasthi (2003) [14] 指出Tan等人的代理盲签名方案由于签名接收者的不诚实而遭受一种伪造攻击。与Tan等人的方案相比，Lal和Awasthi进一步提出了一种更加有效和安全的代理盲签名方案，以克服Tan等人的方案中指出的缺点。Sun Hung-Min Sun和Bin-Tsan Hsieh [15] 表明Tan等人的方案不满足不可伪造性和不可链接性，也指出Lal和Awasthi的方案也不具有不可链接性。但是他们没有给出克服不安全感的改进方案。针对Tan等人的方案不满足四种伪造攻击和不可链接性，本文结合文献 [16] 提出了一种的代理盲签名方案，以克服其不安全性，且证明了该方案比以前的方案更安全，更有效。

2. 系统参数及相关符号

设E为有限域 F p 上的一组点集 ( x , y ) ，E的整个加法群是由n的，坐标x和y位于有限域 F p 且满足三次方程 y 2 = x 3 + a x + b ( m o d p ) ，且 4 a 3 + 27 b 2 ≠ 0 。

O：原始签名者；

P：代理签名者；

A：签名验证者；

C：签名请求者；

p , q ：两个大素数且 q | p − 1 ；

g： g ∈ Z p ∗ 且g的阶为q；

h (   ) ：一个安全的单向哈希函数；

x u ：用户u的私钥；

y u ：用户u的公钥，且 y u = g x u ；

B： B ∈ E ，B是阶为q的基点；

Y u ：用户u的公钥， Y u = x u B ；

x ( Q ) ：点Q的x坐标；

ω ： O , P 协商生成的代理签名委托证书，其中包含 O , P 的身份标识、代理签名者P的代理期限以及签名消息范围；

A → C ：A发消息给C。

3. 回顾Tan等人提出的代理盲签名方案

Tan等人在Schnorr盲签名的基础上，提出基于DLP和ECDLP的两种数字代理盲签名方案，两种方案都满足代理签名和盲签名的安全性。基于ECDLP的代理盲签名方案是在基于DLP签名方案的基础上提出的椭圆曲线模拟，在这一节我们简单回顾基于ECDLP的代理盲签名方案，同时给出关于该方案的密码分析。

现在我们从代理委托阶段、签名阶段、验证阶段三个方面简单描述Tan等人基于ECDLP的代理盲签名方案。

3.1. 代理委托阶段

步骤1：原始签名者O随机选择 k 0 ∈ Z q * ，计算 R 0 ， r 0 和 s 0

R 0 = k 0 B (1)

r 0 = x ( R 0 ) (2)

s 0 = x 0 r 0 + k 0 (3)

O把 ( R 0 , r 0 , s 0 ) 安全地发给代理签名者P。

步骤2：代理签名者P检查等式 R 0 = s 0 B − r 0 Y 0 ，如果等式成立，P接受 ( R 0 , r 0 , s 0 ) ，承认原始签名者O的委托签名。同时代理签名者P代理私钥 s p r = s 0 + x p ，上述过程可以用图清晰的描述，具体如图1所示。

3.2. 签名阶段

步骤1：代理签名者P随机选择数 k ∈ Z q * ，计算 T = k B ，再把k发给签名验证者A。

步骤2：签名验证者A随机挑选盲因子 a , b ∈ Z q * ，计算：

L = T + b B + ( − a − b ) Y P − a R 0 − ( a r 0 ) Y 0 (4)

r = x ( L ) (5)

e = h ( r ∥ m ) m o d q (6)

U = ( − e + b ) R 0 + ( − e + b ) r 0 Y 0 − e Y 0 (7)

e ′ = ( e − a − b ) m o d q (8)

A把 e ′ 发给P。

步骤3：P计算

s ′ = ( e ′ s p r + k ) m o d q (9)

P把 s ′ 再发给A。

步骤4：A计算

s = ( s ′ + b ) m o d q (10)

从而关于消息m签名是 ( m , U , s , e ) ，具体的过程如图2所示。

Figure 1. Tan et al.’s agent delegation stage in the ECDLP-based scheme

图1. Tan等人基于ECDLP的方案中的代理委托阶段

Figure 2. Tan et al. signature stage in ECDLP-based scheme

图2. Tan等人基于ECDLP的方案中的签名阶段

3.3. 验证阶段

签名验证者A公开代理盲签名 ( m , U , s , e ) ，签名接收者收到签名后，验证下面等式

e = h ( x ( s B − e Y P + e Y 0 + U ) ∥ m ) (11)

若等式成立，则说明此签名是有效的；否则签名接收者拒绝接受签名。

3.4. 分析基于ECDLP的代理盲签名方案

在本节中，我们从常见的四个伪造攻击方面分析代理盲签名方案，同时也指出该方案不满足链接性。

1) 原始签名者的伪造

为了伪造一个有效的代理盲签名，原始签名者随机选择 v ∈ Z q * ，计算点 R ′ 0 = ( − Y P + v B ) m o d q ， r ′ 0 = x ( R ′ 0 ) ，原始签名者利用参数v伪造代理签名者的代理私钥 s ′ p r = ( x 0 r ′ 0 + v ) m o d q ，这是因为由 Y p r = Y 0 r 0 + R 0 + Y P ，从而对应 s ′ p r 的公钥为 Y ′ p r = Y 0 r ′ 0 + R ′ 0 + Y P = ( x 0 r ′ 0 + v ) B ，由 Y 0 r ′ 0 + R ′ 0 + Y P = Y 0 r ′ 0 + v B 知，原始签名者利用伪造的 s ′ p r 可验证：

s B − e Y P + e Y 0 + U m o d p = T + b B + ( − a − b ) Y P − a R 0 − ( a r ′ 0 ) Y 0 (12)

由(12)式左边可知：

s B − e Y P + e Y 0 + U m o d p = [ ( e − a − b ) ( s 0 + x P ) + k + b ] B − e Y P + e Y 0 + U m o d p = ( e − a − b ) s 0 B + ( e − a − b ) x P B + T + B b − e Y P + e Y 0 + U m o d p = T + B b + ( e − b ) ( Y 0 r 0 + R 0 ) − a ( Y 0 r 0 + R 0 ) + Y P ( − a − b ) + e Y 0 + U m o d p = T + B b + ( − a − b ) Y P − a R 0 − ( a r 0 ) Y 0

从而有 s ′ p r B = Y 0 r ′ 0 + R ′ 0 + Y P ，因为原始签名者已构造出合适的 R ′ 0 和 s ′ p r 满足上面的等式，从而 s ′ p r 就是一个有效的代理签名私钥，攻击者可以伪造一个有效的代理签名。

2) 签名接受者的伪造

由原方案知 ( m , U , s , e ) 是接受者A接收到的关于消息m的代理盲签名，假设接受者对消息 m ′ 伪造出一个有效的签名 ( m , U ′ , s , e f ) ，其中 U ′ = ( − e + b ) R 0 + ( − e + b ) r 0 Y 0 − e f Y 0 − Z Y P ， e f = h ( r ∥ m ) m o d q ， Z = e − e f ，并声称此签名为代理签名者P所签名的。若 s B − e Y P + e Y 0 + U ′ m o d p = T + B b + ( − a − b ) Y P − a R 0 − ( a r 0 ) Y 0 成立，则说明该签名有效。

由等式的左边知：

s B − e Y P + e Y 0 + U ′ m o d p = T + B b + ( e − a − b ) ( Y 0 r 0 + R 0 ) + Y P ( e − a − b ) − e f Y P + e f Y 0 + U ′ m o d p = T + B b + ( e − a − b ) ( Y 0 r 0 + R 0 ) + Y P ( e − a − b ) − e f Y P + e f Y 0 + ( − e + b ) ( R 0 + r 0 Y 0 ) − e f Y 0 − Z Y P m o d p = T + B b + ( e − a − b ) ( Y 0 r 0 + R 0 ) + Y P ( e − a − b ) − e f Y P + ( − e + b ) ( R 0 + r 0 Y 0 ) − ( e − e f ) Y P m o d p = T + B b − a ( Y 0 r 0 + R 0 ) + ( − a − b ) Y P m o d p

则说明该方案容易受到接受者的一般攻击。

3) 一般伪造攻击

为了伪造一个有效的代理盲签名，攻击者首先为消息m选择一点R，并计算 e = h ( x ( R ) ∥ m ) ，其次再挑选随机数s，计算 R = s B − e Y P + e Y 0 + U ，从而签名 ( m , U , s , e ) 是该消息m的有效签名，因为 ( m , U , s , e ) 可以通过等式 e = h ( x ( s B − e Y P + e Y 0 + U ) ∥ m ) 。

4) 签名接收者的一般伪造攻击

a) 恶意的接受者A可以证明签名 ( m , U , s , e ) 为代理人F而不是P的签名，A协助没有被授权的F进行代理签名，具体过程如下：在签名阶段时A与P交互信息时，A计算

U ′ = ( − e + b ) R 0 + ( − e + b ) r 0 Y 0 − e Y F m o d q 代替 U = ( − e + b ) R 0 + ( − e + b ) r 0 Y 0 − e Y 0 m o d q ，这样伪造并不会干扰其他方程，且A可以验证等式 e = h ( x ( s B − e Y P + e Y 0 + U ) ∥ m ) ，表明签名 ( m , U , s , e ) 是代理签名者F的有

效代理签名，从而证明了F参与该代理盲签名过程。

b) 若攻击者D想要取代原始签名者O的位置，只需与接受者A联合。因为A可以证明D在验证阶段代替O产生有效的代理盲签名，具体步骤如下：A首先计算

U ″ = ( − e + b ) R 0 + ( − e + b ) r 0 Y 0 − e Y 0 − e Y P + e Y D m o d q ，修改验证方程为 e = h ( x ( s B − e Y D + e Y D + U ) ∥ m ) ，这样就可以保证签名组 ( m , U ″ , s , e ) 为攻击者D代替O进行盲签名，但实际上O从未将自己的私钥 x O 交给

D。

5) 关于不可链接性

代理签名者P为了识别已公开的消息m与盲签名之间的关系，记录每次代理签名的中间量，比如

T ( s ) ， e ′ ( s ) 和 s ′ ( s ) 。当签名 ( m , U , s , e ) 公开时，P计算 b ′ = s − s ′ ， a ′ = e − e ′ − b ′ 和 L ′ = T + b B + ( − a ′ − b ′ ) Y P − a ′ R 0 − ( a ′ r 0 ) Y 0 m o d p ， r ′ = x ( L ′ ) ，其中 s ′ ∈ s ′ ( s ) ， T ∈ T ( s ) ，以及 e ′ ∈ e ′ ( s ) ，最后P检查等式 L ′ = s B − e Y P + e Y 0 + U 。若等式成立，P知道 ( T , e ′ , s ′ ) 是与消息m相关的盲消息，从而该方

案不满足不可链接性。

4. 改进的方案

针对Tan等人提出的代理盲签名方案存在的缺陷，本文基于Lal和Awasthi [14] 的代理盲签名方案和柳菊霞 [16] 的基于离散对数的代理签名方案，通过在代理授权阶段引入委托证书改进代理签名私钥，同时去掉签名生成阶段的参数U，使得新方案可以抵抗恶意的原始签名者和接收者的四个伪造攻击，同时方案也具有不可链接性。

4.1. 代理委托阶段

步骤1：原始签名者O随机选择 k 0 ∈ Z q * ， k 0 ≠ 1 ，计算 R 0 ， r 0 和 s 0 ：

R 0 = k 0 B (12)

r 0 = x ( R 0 ) (13)

s 0 = x 0 + k 0 r 0 ( m o d q ) (14)

O把 ( R 0 , r 0 , s 0 ) 安全地发给代理签名者P。

步骤2：代理签名者P在收到代理信息 ( R 0 , r 0 , s 0 ) 后，验证等式 s 0 B = Y 0 + R 0 r 0 是否成立。若成立P计算 s p r = s 0 + x p h ( ω ) ( m o d p ) 作为代理私钥，从而代理公钥 Y p r = ( x 0 + k 0 r 0 + x p h ( ω ) ) B ( m o d p ) 。上述过程可

以用图清晰的描述，具体如图3所示。

4.2. 签名阶段

步骤1：代理签名者P随机选择 k ∈ Z q * ， k ≠ 1 ，计算 T = k B m o d p ，把T签名请求者C。

步骤2：签名请求者C随机挑选盲因子 a , b ∈ Z q * ，计算：

L = T 2 + a B + b Y p r + Y C (15)

r = x ( L ) (16)

e = h ( r ∥ m ) m o d q (17)

e ′ = ( b − e ) m o d q (18)

C把 e ′ 发给P。

步骤3：P收到 e ′ 后计算

s ′ = e ′ s p r + T k ( m o d q ) (19)

P把 s ′ 再发给C。

步骤4：C收到 s ′ 后计算

s = s ′ + a + x C ( m o d q ) (20)

从而关于消息m的代理盲签名为 ( m , s , e ) ，具体的过程如图4所示。

4.3. 验证阶段

签名接收者收到签名 ( m , s , e ) ，通过验证等式：

e = h ( x ( s B + e Y p r ) ∥ m ) ( m o d q ) (21)

若等式成立，则说明此代理盲签名是有效的；否则签名接收者拒绝接受签名。

Figure 3. The agent delegation stage in the new scheme based on ECDLP

图3. 基于ECDLP的新方案中的代理委托阶段

Figure 4. Signature phase in the new scheme based on ECDLP

图4. 基于ECDLP的新方案中的签名阶段

5. 新方案的分析

5.1. 正确性分析

1) 在代理验证时只有当代理信息 ( R 0 , r 0 , s 0 ) 满足等式 s 0 B = Y 0 + R 0 r 0 ( m o d p ) ，代理签名者P才承认原始签名者O的身份，从而计算代理签名私钥。

证明：等式的左边知：

s 0 B = ( x 0 + k 0 r 0 ) B = x 0 B + k 0 r 0 B = Y 0 + R 0 r 0 ( m o d p )

等于等式的右边，则等式 s 0 B = Y 0 + R 0 r 0 ( m o d p ) 成立，代理签名者P承认原始签名者O的身份，从而计算代理签名私钥 s p r 。

2) 签名接收者收到签名 ( m , s , e ) 后，验证等式(21)，若等式成立，则该代理盲签名是有效的。

证明：要验证 e = h ( x ( s B + e Y p r ) ∥ m ) ( m o d q ) 等价于验证 L = s B + e Y p r ( m o d p ) ，从而有

s B + e Y p r = ( s ′ + a + x C ) B + e Y p r = ( e ′ s p r + T k + a + x C ) B + e Y p r = [ ( b − e ) s p r + T k + a + x C ] B + e Y p r = T k B + a B + ( b − e ) s p r B + x C B + e Y p r = T 2 + a B + b Y p r + Y C = L ( m o d p )

从而有 e = h ( x ( s B + e Y p r ) ∥ m ) ( m o d q ) = h ( x ( L ) ∥ m ) ( m o d q ) 。

5.2. 安全性分析

1) 抵抗原始签名者伪造的攻击

针对Tan等人的原始签名者伪造攻击，新方案的代理私钥加入签名授权证书 h ( ω ) ，即 s p r = s 0 + x P h ( ω ) ( m o d q ) 。当 h ( ω ) 与 Y p r 被公开进行签名时，攻击者无法再次重新计算 Y p r ，因为伪造的签名公钥 Y ′ p r = Y 0 + R 0 r 0 + Y P h ( ω ) ( m o d p ) ，不能用于验证代理签名。同时也有原始签名者O想伪造消息 m ′ 的有效签名 ( m ′ , s ′ , e f ) 就必须有一个代理私钥 s ′ p r 且有 Y ′ p r = s ′ p r B ( m o d p ) ，攻击者O从等式 s B + e Y p r ( m o d p ) = T 2 + a B + b Y p r + Y C 入手，即从下列等式分析：

s B + e Y p r ( m o d p ) = ( e ′ s ′ p r + T k + a + x C ) B + e Y p r = [ ( b − e ) s ′ p r + T k + a + x C ] B + e Y p r = a B + T 2 + ( b − e ) s ′ p r B + Y C + e Y p r ( m o d p )

则上式变为 a B + T 2 + ( b − e ) s ′ p r B + Y C + e Y p r = T 2 + a B + b Y p r + Y C ( m o d p ) 入手，从而可得 ( b − e ) s ′ p r B = ( b − e ) Y p r ( m o d p ) ，因为O不知道随机数b且也不知道 e = h ( r ∥ m ) ，则原始签名者不能伪造

出有效的签名。

2) 抵抗接收者的伪造攻击

由前面分析知接收者想伪造消息 m ′ 签名 ( m ′ , s , e f ) ，其中 e f = h ( r ∥ m ′ ) ( m o d q ) ，想要此攻击成立必须有 s B + e f Y p r ( m o d q ) = T 2 + a B + b Y p r + Y C 。等式左边为：

s B + e f Y p r ( m o d q ) = ( e ′ s ′ p r + T k + a + x C ) B + e f Y p r = T 2 + a B + ( b − e ) s ′ p r B + Y C + e f Y p r ( m o d q )

则可得 T 2 + a B + ( b − e ) s ′ p r B + Y C + e f Y p r ( m o d q ) = T 2 + a B + b Y p r + Y C ，有 ( b − e ) s ′ p r B = ( b − e f ) Y p r ( m o d q ) 。因为 e = h ( r ∥ m ) ≠ e f ，所以上式不成立，该攻击也不成立。

3) 抵抗一般伪造攻击

这里为克服一般伪造攻击，对U进行删除，从而攻击者无法任找一点R就可以计算出 R = s B + e Y P ，因为s中含有代理私钥 s p r ，由于 s p r 中引入授权证书 ω ，从而这种攻击是不成立的。且针对签名接收者的一般攻击伪造也不能成功，因为可以伪造的U被删除了，该方案对这种类型的伪造是安全的。

4) 具有不可链接性

针对Tan等人的方案中不满足不可链接性，我们通过在签名阶段引入签名请求者C的私钥 x C 求代理签名 s = s ′ + a + x C ( m o d q ) ，即使代理签名者P保留每次签名消息也无法从 s = s ′ + a + x C ( m o d q ) 中获取盲因子a，假设P在等式 e ′ = ( b − e ) m o d q 中得到b，但是由于不知道a也无法从 L = T 2 + a B + b Y p r + Y C ( m o d q )

得到L，从而该方案具有不可链接性。

5.3. 效率分析

在本部分中将计算新提出的方案与Tan等人的方案的计算效率，设M，A和S分别表示求模乘，模加和模减的计算量，用下列的表展示我们的方案与Tan等人的比较，如表1所示。

Table 1. Total calculated amount of the newly proposed scheme and the scheme of Tan et al.

表1. 新提出的方案与Tan等人的方案的计算总量

我们的方案中的每个阶段都有比较少的计算量，除了代理委托阶段它比Tan等人的方案多了2个模乘和1个模加，可以在签名阶段把这部分多出的计算量折中减少了，在某些应用中，代理签名者被委托一次但签名和验证却是多次的，在这种情况下，提议的方案的效率会随着签名和验证次数增加而增加。此外，提议方案的总量为 13 M + 10 A + S ，而Tan等人的方案的计算总量为 22 M + 9 A + 11 S ，因此，新的方案的计算效率更高。

6. 结语

在本文中我们回顾了Tan等人的方案的基于ECDLP的代理盲签名方案，指出基于ECDLP的方案容易受到多种攻击，且不满足不可链接性。在基于已有的代理盲签名方案中，通过改进代理私钥，在签名阶段引入签名请求者的私钥，提出一种新的基于ECDLP的代理盲签名方案，通过分析发现新方案是正确的，可以抵抗原始签名者和接收者伪造的攻击及抵抗一般伪造攻击，具有不可链接性。比较新方案与Tan等人的方案的计算总量，发现新方案的计算总量低于Tan等人的方案，进一步说明该方案的计算效率高。

致谢

感谢导师范老师对本文在创作过程中提供的帮助与指导。

基金项目

安徽理工大学2022年研究生创新基金立项建设项目(2022CX2134)。

参考文献

[1] Chaum, D. (1983) Blind Signatures for Untraceable Payments. In: Chaum, D., Rivest, R.L. and Sherman, A.T., Eds., Advances in Cryptology Crypto’82, LNCS, Springer, Berlin, 199-203.
https://doi.org/10.1007/978-1-4757-0602-4_18
[2] 韩春霞, 王琳杰. 一种ELGamal体制的盲签名方案[J]. 网络安全技术与应用, 2007(12): 88-89.
[3] Mambo, M., Usuda, K. and Okamoto, E. (1996) Proxy Signatures: Delega-tion of the Power to Sign Messages. IEICE Transactions on Fundamentals of Electronics, Communications and Com-puter Sciences, E79-A, 1338-1354.
[4] 刘为民. 基于RSA的代理签名方案[J]. 网络与信息, 2007(5): 66.
[5] 张计光, 王静, 尹德玉. 基于ElGamal体制的代理签名[J]. 高等函授学报(自然科学版), 2009(3): 57-58.
[6] 刘翠翠, 辛小龙. 基于RSA和ELGamal的代理签名方案[J]. 西南民族大学学报: 自然科学版, 2011, 37(4): 551-555.
[7] Lin, W.D. and Jan, J.K.A. (2000) Security Personal Learning Tools Using a Proxy Blind Signature Scheme. Proceedings of International Conference on Chinese Language Computing, lllinois, 2000, 273-277.
[8] 伊丽江, 白国强, 肖国镇. 代理多重签名: 一类新的代理签名方案[J]. 电子学报, 2001, 29(4): 569-570.
[9] 贺军, 李丽娟, 李喜梅, 等. 前向安全的代理多重数字签名方案[J]. 计算机工程, 2010, 36(14): 122-123, 126.
[10] 祁传达, 陶建平, 金晨辉. 一个安全的多重代理签名方案[J]. 计算机应用研究, 2006, 23(4): 110-111.
[11] 杨长海. 基于身份的门限多代理多盲签名方案[J]. 计算机工程与应用, 2010, 46(18): 121-124.
[12] 秦艳琳, 吴晓平. 基于ECC的多重代理多重盲签名方案[J]. 计算机工程, 2010, 36(11): 134-136, 139.
[13] Tan, Z., Liu, Z. and Tang, C. (2002) Digital Proxy Blind Signature Schemes Based on DLP and EDDLP. MM Research Preprints, 21, 212-217.
[14] Lal, S. and Awasthi, A.K. (2003) Proxy Blind Signature Scheme. Transaction on Cryptology, 2, 5-11. http://eprint.iacr.org
[15] Sun, H.M., Hsieh, B.T. and Tseng, S.M. (2005) On the Security of Some Proxy Blind Signa-ture Schemes. Journal of Systems and Software, 74, 297-302.
https://doi.org/10.1016/j.jss.2004.02.015
[16] 柳菊霞, 苏靖枫. 基于离散对数的代理盲签名方案[J]. 计算机工程与应用, 2010, 46(25): 94-96.