８４ ２０１０，４６（１） Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ ａｎｄ Ａｐｐｌｉｃａｔｉｏｎｓ计算机工程与应用 对一个无可信中心的（ ，ｎ）门限签名方案的改进 高炜１，于晓冬２ ＧＡＯ Ｗｅｉ ，ＹＵ Ｘｉａｏ－ｄｏｎｇ２ １．哈尔滨师范大学恒星学院数学与计算机系，哈尔滨１５００２５ ２．哈尔滨师范大学计算机学院，哈尔滨１５００２５ １．Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｍａｔｈｅｍａｔｉｃｓ ａｎｄ Ｃｏｍｐｕｔｅｒ，Ｈａｒｂｉｎ Ｎｏｒｍａｌ Ｕｎｉｖｅｒｓｉｔｙ Ｓｔａｒ Ｃｏｌｌｅｇｅ，Ｈａｒｂｉｎ １５００２５，Ｃｈｉｎａ ２．Ｃｏｌｌｅｇｅ ｏｆ Ｃｏｍｐｕｔｅｒ，Ｈａｒｂｉｎ Ｎｏｒｍａｌ Ｕｎｉｖｅｒｓｉｔｙ，Ｈａｒｂｉｎ １５００２５，Ｃｈｉｎａ Ｅ—ｍａｉｌ：ｇａｏｗｅｉｓｐｗ＠ｓｉｎａ．ｃｏｍ．ｃｎ ＧＡＯ Ｗｅｉ，ＹＵ Ｘｉａｏ－ｄｏｎｇ．Ｉｍｐｒｏｖｅｍｅｎｔ ｏｆ（ｆ，ｎ）ｔｈｒｅｓｈｏｌｄ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ ｗｉｔｈｏｕｔ ｔｒｕｓｔｅｄ ｐａｒｔｙ．Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ ａｎｄ ＡｐｐＨｃａｔｉｏｎｓ，２０１０。４６（１）：８４－８６． Ａｂｓｔｒａｃｔ：Ｉｎ ａ（ｔ，ｎ）ｔｈｒｅｓｈｏｌｄ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ，ａｎｙ ｓｅｔ ｏｆ ｔ ｐｌａｙｅｒｓ ｃａｎ ｓｉｇｎａｔｕｒｅ ｆｏｒ ａｎ ａｒｂｉｔｒａｒｙ ｍｅｓｓａｇｅ ｗｈｉｌｅ ａｎｙ ｓｅｔ ｏｆ ｌｅｓｓ ｔｈａｎ ｔ ｐｌａｙｅｒｓ ｃａｎ ｎｏｔ ｉｓｓｕｅ ａ ｓｉｇｎａｔｕｒｅ ａｔ ａｌ１．Ｔｈｅ ｓｅｃｒｅｔ ｋｅｙ ｉｓ ｄｉｓｔｒｉｂｕｔｅｄ ａｍｏｎｇ ｎ ｐａｒｔｉｅｓ ｗｉｔｈ ｔｈｅ ｈｅｌｐ ｏｆ ａ ｔｒｕｓｔｅｄ ｐａｒｔｙ ｏｒ ｗｉｔｈｏｕｔ ｉｔ ｂｙ ｒｕｎｎｉｎｇ ａｎ ｉｎｔｅｒａｃｔｉｖｅ ｐｒｏｔｏｃｏｌ ａｍｏｎｇ ａｌｌ ｐａｒｔｉｅｓ．Ｉｎ ２００６，Ｇｕｏ ｅｔ ａ１．ｐｏｉｎｔｅｄ ｏｕｔ ｔｈａｔ ｔｈｅ ｓｃｈｅｍｅ ｉｓ ｉｎｓｅｃｕｒｅ ｂｙ ａｎａｌｙｚｉｎｇ ｔｈｅ ｓｃｈｅｍｅ ｏｆ Ｗａｎｇ ｅｔ ａ１．Ｔｈｅ ｐａｐｅｒ ｉｍｐｒｏｖｅｓ Ｗａｎｇ ｅｔ ａｌ’Ｓ ｓｃｈｅｍｅ ａｎｄ ａｖｏｉｄｓ ｕｎｉｖｅｒｓａｌｌｙ ｆｏｒｇｉｎｇ ｓｉｇｎａｔｕｒｅ ａｎｄ ｉｎｓｉｄｅｒ ａｔｔａｃｋ． Ｋｅｙ ｗｏｒｄｓ：ｄｉｇｉｔａｌ ｓｉｇｎａｔｕｒｅ；ｔｈｒｅｓｈｏｌｄ ｓｉｇｎａｔｕｒｅ；ｓｅｃｒｅｔ ｓｈａｒｉｎｇ；ｉｎｓｉｄｅｒ ａｔｔａｃｋ；ｕｎｉｖｅｒｓａｌｌｙ ｆｏｒｇｉｎｇ ａｔｔａｃｋ 摘要：一个（ｆ，ｎ）门限签名方案中，任何ｔ个成员的集合能够对任意的消息产生签名而任何少于ｔ个成员的集合都不能发行签 名。其中密钥通过可信中心或没有可信中心，通过所有的成员运行交互式协议在ｎ个成员中分配。２００６年，郭丽峰对王斌等的方 案进行了安全性分析，指出王等的方案是不安全的，该文对王的方案进行了改进，使其抗广泛性攻击及内部攻击。 关键词：数字签名；门限签名；秘密共享；内部攻击；广泛性攻击 ＤＯＩ：１０．３７７８￣．ｉｓｓｎ．１００２—８３３１．２０１０．Ｏ１．０２７ 文章编号：１００２—８３３１（２０１０）０１—００８４—０３ 文献标识码：Ａ 中图分类号：ＴＰ３０９．７ １引言 案不能抵抗外部伪造攻击和内部合谋攻击，进而证明了王斌 （ｔ，ｎ）门限签名是门限密码学研究的重要内容。自１９９１年 等 的方案是不安全的。 Ｄｅｓｍｅｄｔ和Ｆｒａｎｋｅｌ０首次提出（ ，ｎ）门限签名方案以来，门限签 在文献［６】方案的基础上，提出了一种基于离散对数的可以 名的研究取得了很大发展 。使用门限代理签名方案，数字签 抵抗文献［７】攻击的无可信中心的（ ，ｎ）门限签名，并对改进的 名能够由一个群体产生而不是由个体产生。在门限签名方案 门限签名方案的安全性进行了证明。 中，私钥由ｎ个用户的群体共享，而不像普通签名中，私钥仅有 单个用户持有。为了对给定的消息产生一个有效的签名，每个 ２改进的ＥＩＧａｍａｌ方案 用户对消息产生部分签名，然后组合产生整体签名。１９９４年 该文和文献［６］都使用了改进的Ｅ１Ｇａｍａｌ签名方案，该方案 Ｈａｍ［５ｊ提出了两个基于离散对数的门限群签名方案，一个是有 主要步骤如下： 可信中心的，—个是无可信中心的。由于在许多特定的应用环 选择一个大素数Ｐ和素域 上的生成元ｇ，用户 从［１， 境下，一个可被所有小组成员信任的可信中心并不存在，所以 ｐ－１］中选一个数托作为私钥，公钥 ＇ｇ ｍｏｄｐ。 不需要可信中心的门限群签名方案就显得很具有吸引力，但在 当用户 对消息ｍ进行签名时， 首先从［１，ｐ－１１中选一 Ｈａｍ的无可信中心方案中，任意的ｔ个人可通过他们掌握的数 据恢复任意成员的私钥，进而得到群私钥。２００３年王斌和李建 个随机数 计算ｒｉ＝ｇ‘ｒｏｏｄｐ。 华 利用联合秘密共享技术对Ｈａｍ的方案进行了改进，该方案 Ｓｉ：ｘｉｍ ｋ ｒｉ ｍｏｄ（ｐ一１） （１） 弥补了Ｈａｍ方案的成员私钥易被恢复的安全漏洞，但２００６年 ｓ ∈［１，ｐ－２】，ｍ ＝ （ｍ），其中ｈ（・）是一个单向函数，用于增 郭丽峰和程相国［７１对文献［６】的安全性进行了分析，指出了该方 加消息的冗余性。（ｒｉ ｓ ）即用户 对ｍ的签名。接收方可按公 作者简介：高炜（１９７６一），女，助教，研究方向：信息安全；于晓冬（１９７８～），男，讲师，研究方向：演化处理。 收稿日期：２００８—０７—２１ 修回１３期：２０３８一１０—２０ 高 炜，于晓冬：对一个无可信中心的（ｔ， ）门限签名方案的改进 ２０１０，４６（１）８５ 式（２）验证 对消息ｍ的签名： ＤＣ，ｉ为序号，用于确定Ｇ。 （，， ） 一格ｍ。ｄｐ ３文献【６】的方案 （２） ３．３群体签名的生成阶段 群签名的生成者Ｄｃ先根据收到的签名验证同余式（５）是 否成立，成立则根据集合Ｓｉ计算 ＝∑ 即 ＵＥ ＝文献［６】所提出的方案分为三个阶段：密钥生成阶段、部分 签名生成阶段和群签名的生成阶段。 ∑（Ａ Ｃｉ）ｈ（ｍ）一ｒ∑（ ∈ “Ｅ ｓ ）ｍｏｄ ｇ （６） ３．１密钥生成阶段 首先，每个成员 对外公开自己的唯一标示号／Ｄｉ，根据 事先确定的门限值ｔ，每个组成员 选定一个ｆ一１次多项式 那么最终的群体签名为ｍ， ，ｒ，Ｒ）。 任何群签名的接收者都可以验证下面的等式是否成立： Ｓ ｒｏｏｄ ｇ， 为其余ｎ一１个成员，计算Ａ （ ）ｏｒｏｄ ｑ，并通过 广播方式将Ａ 发送给其他成员 。 在每个成员都完成上面的步骤后，组成员 可以计算Ａ ： ∑ ．ｆｍ。ｄ ｇ，即ＡＦ∑ （，Ｄ ）ｍｏｄ ｇ。现在定义—个新函数 ）＝ ｊ＝ｌ ｊ＝ｌ ∑ （ ）ｍｏｄ ｇ，虽然 不知道 ），但不难知道ＡＦ ≈）。 在 ｊ＝ｌ ［１，ｐ－１］上选一个随机数 ，把 Ａ五 ｍｏｄ ｇ作为组成员 的密 钥，而 ＝ ‘ｍｏｄｐ作为 的公钥。令ｒｉ＝ｇ 。ｒｏｏｄｐ， 把ｒｉ通过 广播的方式发给其他成员。 每个成员可计算Ｒ＝１７ ｍｏｄ＿ｐ，由于门限值为ｔ， 个成员 ｉ＝１ 利用多项式插值： ｏ）：ｆ∑ ＼ｉ＝ｉ ）・ｎ二 ）ｊ＝ｌ，， ￡一 ／ ｍ。ｄ ９可以恢复 Ｆ（０），然后就把ｙ： ｘＲ ｍ。ｄｐ作为组的公钥，相应的组密钥 为 ０）＋∑ｋ ｍｏｄ ｑ ｏ 仁ｌ ３．２部分签名生成阶段 首先经协商确定哪些组成员将参与群签名，参与群签名的 组成员形成集合５，在集合５中按成员编号的递增顺序来排列 组成员。然后Ｓ中的每个成员 在Ｉ１，ｑ－１】上选一个新随机数 ｔ ，接下来 计算 ‘ｍｏｄｐ和ｚ 。 ｍｏｄｐ，其中ｋ 为组成 员 在密钥生成阶段选择的随机数，（ｋｉ） 为 在素域上的逆 元。 把 和ｚ 通过广播的方式发送给参与签名的其他成员。 在收到其他成员发送的 和ｚ 后， 从ｓ中选最前面的ｔ个成 员，形成集合ｓ ，集合Ｓｌ中也按成员编号的递增顺序来排列组 成员。 计算ｒ＝兀ｍｏｄｐ，然后根据下面的同余式求解ｓ ： ∈Ｓ ｋ：￣（ｋｊｔ Ｃｉ）ｘｈ（ｍ）－ｒｘｔ；ｒｏｏｄ ｇ （３） 式（３）等价于 （Ａ Ｃｉ）￣ｈ（ｍ）一ｒＸｔ ｘ（ｋ ） ｒｏｏｄ ｑ （４） 式（４）的Ｃ ：｝：ｔ，兀＿二｜≠ｉ ｘｉ一 一为插值系数。 ． 根据式（４）可以验证 。（ ） ：（ ）“ ‘ｍ。ｄｐ （５） 把（ｍ，ｒｉ Ｙｉ， ，ｉ）发送给指定群体的签名的生成者 ／＝（ｙｘＲ ）“…ｍｏｄ Ｐ （７） 郭丽峰等在文献［７冲对上述方案进行了分析，指出该方 案不能抵抗外部伪造攻击和内部伪造攻击，因此该方案是不 安全的。 ４该文方案 提出了—个基于离散对数的无可信中心的（ ， ）门限签名 方案，方案主要分为三个阶段：密钥生成阶段、部分签名生成阶 段和群签名生成阶段。 ４．１密钥生成阶段 首先，每个成员 对外公开自己的唯一标示号 ，根 据事先确定的门限值ｔ，每个组成员 选定一个ｔ一１次多项 式 ｒｏｏｄ ｑ，ｕ／为其余 一１个成员，计算Ａ。 （ ）ｍｏｄ ｑ，并通 过广播方式将Ａ 发送给其他成员 。 在每个成员都完成上面的步骤后，组成员 可以计算Ａ ＝ ∑Ａｊ，￣ｍｏｄｇ，即ＡＦ∑ （，Ｄ ）ｏｒｏｄｑ。现在定义—个新函数 ）＝ Ｊ：Ｉ ＝Ｉ （ ）ｒｏｏｄ ｑ，虽然 不知道Ｆ（ｘ），但不难知道Ａ ＝Ｆ（托）。Ｕｉ Ｊ＝１ 在【１，ｐ－１］１－＿选一个随机数 ，把 ；ｒｏｏｄ ｑ作为组成员 的 密钥，而ｙ ‘ｍｏｄｐ作为 的公钥。令 ‘ｍｏｄｐ，Ｎｉ ｍｏｄｐ， 把 通过广播的方式发给其他成员。 每个成￣…ｔ＝ｔ１３￣汁算Ｒ＝兀ｒｉｏｒｏｄｐ，由于门限值为ｃ＇ｆ个成员 ｌ＝ｌ ｆ ｔ ＼ 利用多项式插值：，（０）＝ｌ∑Ｆ（ｘ。）・兀 ｌｏｒｏｄ ｑ。可以恢 ＼Ｉ １ ｊ＝ｌ０≠ ｌ— ／ 复Ｆ（０），然后就把ｙ： × ｍ。ｄｐ作为组的公钥，相应的组密 钥 为 ０）＋ ｋ ｍｏｄ ｑ。 １ ４．２部分签名生成阶段 首先经协商确定哪些组成员将参与群签名，参与群签名的 组成员形成集合ｓ，在集合ｓ中按成员编号的递增顺序来排列 组成员。然后Ｓ中的每个成员 在【１，ｑ－１］上选—个新随机数 ｔｉ接下来 计算 ｍｏｄｐ和ｚ 。 ’ｍｏｄｐ，其中ｋ 为组成 员 在密钥生成阶段选择的随机数，（ｋｉ） 为ｋ 在素域上的逆 元。 把 、Ｚ 和Ｙｉ通过广播的方式发送给参与签名的其他成 员。在收到其他成员发送的 、 和Ｙ 后， 从ｓ中选最前面的 ８６ ２０１０，４６（１） Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ ａｎｄ Ａｐｐｌｉｃａｔｉｏｎｓ计算机工程与应用 或成员私钥％等价于求解离散对数问题，这在计算上是不可 ｔ个成员，形成集合Ｓ，集合ｓ 中也按成员编号的递增顺序来排 列组成员。 计算ｒ＝：兀 ｍ。ｄｐ， ｎ ｍｏｄｐ，且ｒ≠肘，然后 ｕｊ ＥＳ “ＥＳ 行的。假如攻击者得到一个或多个成员签名，通过等式ｓ产 （）ｔｉＣｉ）￣ｈ（ｍ，ｒ）一 ；（ ） ＋ 求解施的概率为ｌ向，当ｑ足够大 时，得到筏的概率几乎为０。 根据下面的同余式求解．ｓ ： ｋ ５ （ Ｃｉ）￣ｈ（ｍ，ｒ）一ｒｘｔ ＋ｒｘｌｋ ｒｏｏｄ ｑ （８） （２）群中任意ｔ个成员合谋无法获取群私钥和成员私钥 根据成员多项式的构造可知，ｔ个成员合谋就可以获取群 式（８）等价于 ５Ｆ（Ａ Ｃｉ）ｘｈ（ｍ，ｒ）一ｒｘｔ ｘ（ｋ ） ＋ ｒｏｏｄ ｑ （９） 中某个成员的多项式，即获取多项式中的常数项 ，。＋ ），但 式（９）的Ｃｉ：ｎ—！Ｌ为插值系数。 ｊ＝１，ｊ＃ｉ ｘｉ 根据式（９）可以验证 ‘（ ） ：（ ）“ ‘．＾（ｍ。ｄｐ （１０） 把（ｍ，ｒｉ，ｓ Ｙ， ，Ｎｉ， ）发送给指定群体的签名的生成者 ＤＣ，ｉ为序号，用于确定Ｇ。 ４．３群体签名的生成阶段 群签名的生成者ＤＣ先根据收到的签名验证同余式（１０） 是否成立，成立则根据集合Ｓｉ计算ｓ＝∑ 即 ＨＥ ５ ｓ：∑（Ａ ） （ｍ，ｒ）一ｒ∑（ｆ ｍ。ｄ ｑ （１１） “Ｅ ５ Ｅ ｓ‘ 那么最终的群体签名为（ｍ，Ｍ，ｓ，ｒ，Ｒ ｏ 任何群签名的接收者都可以验证下面的等式是否成立： ：（ｙｘＲ ）“ ・ ｍｏｄｐ ｒ≠ ） （１２） ５安全性分析 ５．１正确性证明 （１）部分签名的正确性 如果（ｍ，ｒｉ ｙｉ， ， ，ｉ）是 对消息ｍ 的签名，则一定能 满足式（１０）。因为： ‘（ ） ‘ ．（ ‘） ｍ。ｄｐ ‘ｍ ＿ ． ｒｔ，ｍ。ｄｐ： Ｊ‘’ ‘ － ｍｏｏ ｄｐ＝Ｐ（ Ｙ ） ’‘ （２）群签名的正确性 如果（ｍ，Ｍ，ｓ，ｒ，Ｒ）是集合ｓ中ｔ个成员对消息ｍ的合法 签名，则一定满足等式（１２）。因为： ／ ． ．（兀 ，， ～ ＿｜． ，“ ～ｍｏｄｐ： Ｅ ５ ＾ｍ ．， ￣．ｒｘｊｇ ． ｇ ｍｏｄ，Ｐ ｔｙＸＫ ： ｙｘＲ－１＝ ， …，． ．‘Ｌ（１ 丌１Ｙ１），ｍｏｄ ｐ： ｐ＝ （ｙ×Ｒ ） ． ｍ０ｄｐ ５．２私钥的安全性 （１）通过群公钥和签名无法获取群私钥或成员私钥 群公钥ｙ＝ｇＦ ｘＲ ｍｏｄ Ｐ，各成员的公钥Ｙｌ＝ｇ ｍ。ｄ ｐ＝ ｍｏｄｐ，因为ｋｉ是保密的，所以通过Ｙ和ｙｉ来求解群私钥 由于ｄｉ是保密的，所以即使ｔ个成员合谋也无法知道某个成 员的私钥．，＝ 而群私钥等于所有成员私钥的和，所以ｔ个人合 谋也无法获得群私钥，因此在这种情况下，群私钥的私钥都是 安全的。 ５．３签名的不可伪造性 提出的方案是抗内部攻击和外部攻击的 ，因此方案是安 全的。 ５．４签名的匿名性和可追踪性 在方案中，由于Ｄｃ对外公布的是 ＪＥＡ ｌ１ ｍｏＢ ｄｐ，所以， 只有签名合成者ＤＣ才知道参与签名的ｔ个成员的身份，而验 证者只能验证群签名，并不知道是谁参与了签名。如果事后发 生纠纷，可以通过ＤＣ揭示参与签名的ｔ个成员身份。 ６总结 提出了一个新的基于离散对数的无可信中心（ｔ，，Ｏｌ＇ｑ限方 案。该方案弥补了郭丽峰等方案的不足防止内部攻击、外部攻 击和合谋攻击。最后给出了方案的安全性分析，在理论上证明 了方案是安全的。 参考文献： ［１］Ｄｅｓｍｅｄｔ Ｙ，Ｆｒａｎｋｅｌ Ｙ．Ｓｈａｒｅｄ ｇｅｎｅｒａｔｉｏｎ ｏｆ ａｕｔｈｅｎｔｉｃａｔｏｒｓ ａｎｄ ｓｉｇ－ ｎａｔｕｒｅｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇ ｏｆ Ｃｒｙｐｔｏｌｏｇｙ－ＣＲＹＰＴＯ’９１．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ－ Ｖｅｒｌａｇ，１９９１：４５７—４６９． 【２ Ｌｉ２】 Ｃ Ｍ，Ｈｗａｎｇ Ｔ，Ｌｅｅ Ｎ Ｙ．Ｒｅｍａｒｋ ｏｎ ｔｈｅ ｔｈｒｅｓｈｏｌｅ ＲＳＡ ｓｉｇｎａ— ｔｕｒｅ ｓｃｈｅｍｅ［Ｃ］／／Ｓｔｉｎｏｓｎ Ｄ．ＬＮＣＳ ７７３：Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ— ＣＲＹＰＴＯ’９１．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，１９９４：４１３—４２０． ［３］Ｇｅｎｎａｒｏ Ｒ，Ｊａｒｅｅｋｉ Ｓ，Ｋｒａｗｃｚｙｋ Ｈ，ｅｔ ａ１．Ｒｏｂｕｓｔ ｔｈｒｅｓｈｏｌｄ ＤＳＳ［Ｃ］Ｂ Ｍａｕｒｅｒ Ｕ．ＬＮＣＳ １１０９：Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ—ＥＵＲＯＣＲＹＰＴ’９６． Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ，１９９６：１５７—１７２． ［４１ Ｗａｎｇ Ｃ Ｔ．Ｌｉｎ Ｃ Ｈ．Ｔｈｒｅｓｈｏｌｄ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅｓ ｗｉｔｈ ｔｒａｃｅａｂｌｅ ｓｉｇｎｅｒｓ ｉｎ ｇｒｏｕｐ ｃｏｍｍｕｎｉｃａｔｉｏｎｓ［Ｊ］．Ｃｏｍｐｕｔｅｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，１９９８， ２１（８）：７７１—７７６． ［５］Ｈａｍ Ｌ．Ｇｒｏｕｐ—ｏｒｉｅｎｔｅｄ（ｔ，ｎ）ｔｈｒｅｓｈｏｌｄ ｄｉｇｉｔａｌ ｓｉｎｇａｔｕｒｅ ｓｃｈｅｍｅ ａｎｄ ｄｉｇｉｔａｌ ｍｕｌｔｉｓｉｇｎａｔｕｒｅ［Ｊ］．ＩＥＥ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ Ｃｏｍｐｕｔｅｒｓ ａｎｄ Ｄｉｉｇｔａｌ ｎａｄ Ｔｅｃｈｎｉｑｕｅ，１９９４，１４１（５）：３０７—３１３． 【６】王斌，李建华．无可信中心的（ｔ，ｎ）门限签名方案【Ｊ】＿计算机学报， ２００３，２６（１１）：１５８１－１５８４． ［７】郭丽峰，程相国．一个无可信中心的（￡，ｎ）门限签名方案的安全性分 析［Ｊ】．计算机学报，２００６，２９（１１）：２０１３—２０１７．
