4.3.4 Групповая подпись

Понятие групповой подписи было предложено Шаумом и ван Хейстом в работе [CH]. Схема подписи для группы подписывающих и одного проверяющего называется схемой групповой подписи (group signature scheme), если     1) подписывать сообщения могут только члены группы подписывающих (в отличие от схем мультиподписи (см. подраздел 4.3.1) каждый подписывающий может самостоятельно подписывать сообщения);

    2) проверяющий может проверить, что подпись была сгенерирована некоторым подписывающим, но не может установить, кем именно (анонимность подписывающего);

    3) при необходимости подпись может быть "открыта" (например, центром доверия), т. е. установлен подписывающий, который ее сгенерировал (с помощью или без помощи членов группы подписывающих).

В той же работе [CH] предложено четыре схемы групповой подписи. Приведем для примера краткое описание первой схемы. Центр доверия (trusted authority) выбирает некоторую схему электронной подписи, дает каждому подписывающему список секретных ключей (эти списки для разных подписывающих должны быть непересекающимися), а соответствующие открытые ключи публикует в случайном порядке в некотором общедоступном сертифицированном справочнике. После этого каждый подписывающий использует для подписи сообщений выбранную схему с одним из данных ему секретных ключей. Каждый секретный ключ может быть использован лишь один раз, так как в противном случае проверяющий может установить, что несколько подписей сгенерированы одним и тем же подписывающим. Подпись принимается проверяющим, если и только если она является допустимой подписью по отношению к некоторому открытому ключу из сертифицированного справочника. Так как открытые ключи опубликованы в этом справочнике в случайном порядке, проверяющий не может узнать, кому из подписывающих принадлежит тот или иной открытый ключ. Только , зная соответствие между открытыми ключами и подписывающими, может "открыть" данную подпись.

Одним из недостатков данной схемы является то, что знает секретные ключи подписывающих и, следовательно, может сам подписывать сообщения вместо них. Авторы [CH] предлагают для предотвращения этой угрозы использовать затемненные открытые ключи (blinded public keys), смысл которых заключается в следующем. Пусть в используемой схеме электронной подписи секретные ключи выбираются из , где  -- простое число, и каждому секретному ключу соответствует открытый ключ , где -- некоторый порождающий группы . Каждый подписывающий (скажем, -й) выбирает и посылает в . После этого выбирает , дает его подписывающему и публикует в качестве открытого ключа. Соответствующий секретный ключ может быть вычислен подписывающим в виде . Достоинством этого метода является также и то, что одно и то же значение может быть использовано для выработки нескольких секретных ключей.

В работе Чена и Педерсена [CP3] описана модификация этой схемы, в которой ключи выбирает не , а подписывающие. Каждый подписывающий свои секретные ключи сохраняет в секрете, а открытые -- посылает в . После получения открытых ключей от всех подписывающих публикует эти ключи в случайном порядке в некотором общедоступном сертифицированном справочнике. В остальном схема совпадает с описанной выше. Другие схемы групповой подписи предложены в работах Чена и Педерсена [CP1] и [CP2].