维普资讯 http://www.cqvip.com 第２２卷第２期 ２ ０ ０ ７年６月 青岛大学学报（工程技术版） ＪＯＵＲＮＡＬ ＯＦ ＱＩＮＧＤＡＯ ＵＮＩＶＥＲＳＩＴＹ（Ｅ＆Ｔ） ＶｏｌＩ ２２ Ｎｏ．２ Ｊｕｎ．２ ０ ０ ７ 文章编号：ｌＯＯ６—９７９８（２００７）０２—００４４—０５ 一种高效的群签名方案 程相国 ，海进科 （青岛大学ａ．信息工程学院；ｂ．数学学院，山东青岛２６６０７１） 摘要：给出一种新的群签名方案的构造方法，把这种方法应用于ＲＳＡ签名方案，得到一 种短的群签名方案。同现有的其它同类签名方案相比较，新方案具有签名长度短、群成员 的撤销和加入方便、群签名的生成和验证快速等特点。安全分析表明，新方案满足一个群 签名方案所应具有的所有安全性要求。 关键词：群签名；ＲＳＡ；短签名；匿名性 中图分类号：ＴＰ３０９ 文献标识码：Ａ 群签名是由Ｃｈａｕｍ和Ｈｅｙｓｔ￣ 在１９９１年首先提出的，它是一种可撤销匿名性的数字签名技术。在群 签名方案中，群体中的每个成员都可以代表群体进行匿名签名，验证者只能验证签名是否来自群体，而不能 确知参与签名的具体成员，群签名的这种性质被称为匿名性；在必要的时候，群主管可以打开签名来确定签 名者的身份，签名人不能否认自己的签名，群签名的这种性质被称为可跟踪性。群签名的匿名性可为合法用 户提供匿名保护，可跟踪性又能使群主管对群成员的行为进行跟踪，对群成员的行为进行合理限制。群签名 的上述性质使它在管理、政治、军事和经济等领域有着广泛的应用，许多安全业务需要群签名，以电子现金为 例，一方面要求它和普通现金一样具有匿名性；另一方面，为防止利用电子现金进行洗钱等不法行为，需要对 它进行跟踪。群签名可分为两类：静态群签名和动态群签名。在静态群签名方案中，群成员的人数是固定 的，无法实现群成员的撤销和再加入；而在动态群签名方案中，能够实现群成员的撤销和再加入。显然后者 更为实用。一个好的动态群签名方案应该满足以下几个要求：群公钥和群签名的长度应该是个常数，不应当 随着群成员的增加而增大；签名的产生和验证应该尽可能的快；群签名的长度应该尽可能的短；应该尽可能 快地实现群成员的撤销和再加入。许多实际应用需要群签名方案满足上述性质，而在带宽受限的环境中，短 的群签名又十分重要。自从Ｃｈａｕｍ和Ｈｅｙｓｔ首次给出群签名以来，许多群签名方案被相继推出。早期的群 签名方案 其群公钥和群签名的长度随着群成员的增加而增大，这些方案虽然可证明安全，但显然是不实 用的。另外还有一些群签名方案 ］，虽然群公钥和群签名的长度不再随着群成员的增加而变化，但因为签 名的生成和验证算法比较繁琐或者群成员的撤销和再加入比较困难，仍然是不实用的。目前两个比较实用 的群签名方案 。’¨］，因为签名长度太大而不能应用于带宽受限的环境中。Ｂｏｎｅｈ等 以双线性对为工具， 首次构造出签名长度为１ ５３３ ｂｉｔｓ（１９２ ｂｙｔｅｓ）的群签名方案，但是因为计算双线性对的复杂性，该方案目前 还谈不上实用。本文以经典ＲＳＡ为基础方案，通过引入两个群主管，推出一种新的群签名方案，该方案具有 签名长度短、签名的生成和验证快速简单、群成员的撤销和再加入方便易行等诸多优点。 １ 群签名的定义和安全性要求 １．１群签名的定义 一个群签名方案由群主管和用户两方参与并包含以下几个算法： 收稿日期：２００７一Ｏ１—１８；修回日期：２００７一Ｏ４—１Ｏ 基金项目：国家自然科学基金资助（１ｏ４７１０８５） 作者简介：程相国（１９６９一）男，讲师，博士，研究方向为信息安全和密码学。 维普资讯 http://www.cqvip.com 第２期 程相国，等：一种高效的群签名方案 ４５ １） 群系统的建立（Ｇ—Ｓｅｔｕｐ） 是由群主管运行的一个概率多项式时间（ＰＰＴ）算法。其输入为安全系 数ｋ，输出为系统参数、群公钥及相对应的群私钥。 ２） 群成员的加入（ＧＪｏｉｎ） 是由群主管和用户之间运行的一个交互性协议。交互协议完成后，该用 户便成为一个合法的群成员并得到其群成员私钥。 ３）群签名的产生（Ｇ—Ｓｉｇｎ）是由签名者运行的一个ＰＰＴ算法。其输入为待签消息、系统参数、群公 钥和签名者的私钥，输出为群签名。 ４）群签名的验证（Ｇ—Ｖｅｒｉｆｙ）是由验证者运行的一个确定性算法。输入为被签名的消息、系统参数、 群公钥和群签名，输出为“Ｔｒｕｅ”或“Ｆａｌｓｅ”。 ５）群签名的打开（Ｇ—Ｏｐｅｎ） 只能由群主管运行的一个确定性算法。输入为被签名的消息、系统参 数、群公钥、群私钥和群签名，输出为参与签名的群成员的身份。 １．２安全性要求 Ａｔｅｎｉｅｓｅ等Ｌ１０］指出一个安全的群签名方案应该满足以下几个要求： １） 正确性３） 匿名性５）无关联性不可行的。 一个合法的群成员按照Ｇ—Ｓｉｇｎ算法产生的群签名一定能够通过Ｇ—Ｖｅｒｉｆｙ算法。 给定一个群签名，除群主管之外，任何人确定签名者的身份在计算上是不可行的。 在不打开群签名的前提下，确定两个不同的签名是否是同一个群成员所签在计算上是 包括群主管在内的任何人都不能以其它群成员的名义产生一个有效的群签名。 ２） 不可伪造性 只有合法的群成员才能代表群体产生有效的群签名。 ４） 可跟踪性 群主管（也只有群主管）在必要的时候可以打开一个群签名，以确定签名人的身份。 ６） 防陷害性７）抗联合攻击 即使一些群成员勾结在一起，也不能产生有效的不能被群主管跟踪的群签名。 ２新的群签名方案及其安全性分析 Ｂｅｌｌａｒｅ等［９］给出了动态群签名的标准安全模型，并给出了第一个在标准安全模型下可证明安全的群签 名方案。在方案的构造过程中，他们首次引入两个群主管，一个主管负责群成员的加入和群成员密钥的分 发，称之为Ｉｓｓｕｅｒ；而另一个主管只是负责群签名的跟踪，称之为Ｏｐｅｎｅｒ。受上述思想的启发，本文给出一 种新的群签名方案的构造方法，并以ＲＳＡ为基础方案构造一种新的群签名方案。 ２．１新的群签名方案 新的群签名方案的构造过程描述如下： ２．１．１ ＧＳｅｔｕｐ ——对给定的安全系数ｋ，Ｉｓｓｕｅｒ选取两个合适的ｋ—ｂｉｔ的素数Ｐ。和ｑ。，令 。一Ｐ。・ｑ。， （ 。）一（ 。一１） （ｑ１—１）。Ｉｓｓｕｅｒ随机选取ｅ１＜ （ １）并计算ｄ１，使ｇｃｄ（ｅ１， （ １））一１，ｄ１・ｅ１三１（ｍｏｄｑ￣（ｎ１））；同理，Ｏｐｅｎｅｒ 选取两个合适的ｋ—ｂｉｔ的素数Ｐ２和ｑ２，使 ２一 ２・ｑ２＜ １，令 （ ２）一（ ２—１）（ｑ２—１），随机选取ｅ２＜ （ ２） 并计算ｄ２，使ｇｅｄ（ｅ２， （ ２））一１，ｄ２・ｅ２三１（ｍｏｄｑ￣（ｎ２））。ｄ１和ｄ２分别是Ｉｓｓｕｅｒ和Ｏｐｅｎｅｒ的私钥，公开参 数为ｅ１，ｅ２， １， ２，Ｈ１，Ｈ２；其中，Ｈ１和Ｈ２：｛０，１｝ 一Ｚ ，是两个密码Ｈａｓｈ函数。 ２．１．２ ＧＪｏｉｎ 要成为群成员，用户Ｌ， 首先必须向Ｉｓｓｕｅｒ提出加入申请。接到ｕ 的申请后，Ｉｓｓｕｅｒ随机选取ｄ Ｅ （当ｉ：ｉ￣ｊ时，ｄ ≠ ）并计算ｄ。 一 。一 （ｍｏｄｑ￣（ｎ。）），通过安全信道分别发送ｄ 和（ 。，Ｕ ）给用户ｕ 和 ，．Ｏｐｅｎｅｒ。Ｕ 成为群成员，ｄ 即为其群成员私钥，（ ２．１．３ ＧＳｉｇｎ —，．Ｕ ）被Ｏｐｅｎｅｒ储存在群成员列表中，以备后用。 对给定的消息ｍＥ｛０，１｝ ，用户Ｕ 必须与Ｏｐｅｎｅｒ按如下方式合作才能产生一个群签名： １） Ｕ 随机选取 ∈ｚｉ，计算Ｍ—Ｈｚ（ ＩＩ ），ｈ：＝Ｍａ 。（ｒｏｏｄ 。）和ｈ 一Ｈ。（ ：ＩＩ ）并发送（Ｍ，ｈ ，ｈ ） 及其身份Ｕ 给０ｐｅｎｅｒ。 维普资讯 http://www.cqvip.com ４６ 青岛大学学报（工程技术版） 第２２卷 ２） 接收到（Ｍ，ｈ：，＾。）后，Ｏｐｅｎｅｒ首先在其储存列表中检查 是否存在，如果不存在，则Ｕ，不是合法 的群成员，拒绝提供帮助；如果存在，Ｏｐｅｎｅｒ计算ｒ ：Ｍ （ｒｏｏｄ雄。）并检查等式（ｒ ・＾ ） （ｍｏｄ ・）一Ｍ是 否成立，如果不成立，则要求ｕ 重签；如果成立，Ｏｐｅｎｅｒ进一步计算ｓ，一（ｈｉ・ｈ＇ｉ） ｚ（ｒｏｏｄ ｚ）和 一ｓ （ｒｏｏｄ １），储存（ｕ ，＾ ）并发送（ ．）给ｕ，。 ３）接收到（ ）后，【， 首先检查等式ｈ ・ｈ ：ｓ （ｍｏｄ ）是否成立，如果不成立，则要求Ｏｐｅｎｅｒ重 签，如果成立，【，，计算 一ｓ “ （ｒｏｏｄ 。）和 一 ．・Ｏ＂ｏ，，（ｒｏｏｄ 。）。（＾ ， ）即为用户 给出的对消息 的群 签名。 ２．１。４ ＧＶｅｒｉｆｙ ．．接收到消息优的签名（ｊｆＬ ， ），验证者计算ｔ，一 ｔ（ｒｏｏｄ ｎ ）和ｈｌ一＾ ・ （ｒｏｏｄ ），如果ｈ 一Ｈ。（ ｌｌ优）， 则接收签名；否则，拒绝签名的接收。 ２．１．５ ＧＯｐｅｎ —要打开对消息ｍ的群签名（＾，， ），Ｏｐｅｎｅｒ只需计算ｔ 一 （ｒｏｏｄ 。）和ｈ：一＾ ・ （ｒｏｏｄ ），然后根 据储存列表中＾ 所对应的群成员的身份即能找到签名人【，，。 ２．２安全性分析 本节讨论上述群签名方案的安全性，讨论结果表明，新方案满足群签名方案的所有安全性要求。 ２．２．１ 正确性 假设（＾ ， ）是群成员ｕ 给出的对消息仇的一个群签名，通过群签名的产生过程可知 ｄ 一Ｏ＂ｕ・ （ｒｏｏｄ １）一ｓ ・ｓ 。 （ｒｏｏｄ １）一ｓ ｌ（ｒｏｏｄ １） 其中，Ｓ 一（＾ ・＾ ） ｚ（ｒｏｏｄ ），ｈ 一Ｈ （ ｌｌ ） （ｏｒｏｄ 。），ｈ —Ｈ。（＾，ｌ】 ）， 是 ，在群签名的产生过程中 所选取的随机数。验证人验证签名时需要计算ｔ 一 ｔ（ｒｏｏｄ 。）和 ｈＯ．ｈ．－ ・￡；ｚ（ｒｏｏｄ ），注意到 ｔ，一 ｌ（ｒｏｏｄ，２１）一（ｓ １） ｌ（ｒｏｏｄ １）一Ｓ｛ ＾ 一＾－ ・￡ ｚ（ｒｏｏｄ ２）：＾ ・ｓｉｚ（ｒｏｏｄ ２）一＾ ・（＾，・＾：） ｚ ｚ（ｍｏｄ ２）一＾ 所以，ｈ，一Ｈ （ｈｌ ｌＩ优）：Ｈ （＾；ｌＩ优）。 ２．２．２不可伪造性 为证明方案的不可伪造性，应当考虑到以下两个情形： 情形１ 没有Ｏｐｅｎｅｒ的合作，即使是合法的群成员也不能产生有效签名。 情形２一个外部攻击者无论如何也不能产生一个有效的签名。 情形１的证明。群成员【， 对消息 的签名（＾ ， ）实质上是两个签名的复合：Ｓ，一（＾ ・ｈ ，） ｚ（ｒｏｏｄ ） 是Ｏｐｅｎｅｒ给出的对“消息”ｈ ・ｈ （ｍｏｄ １）的ＲｓＡ签名，而 一Ｏ＂ｕ．・ ．（ｒｏｏｄ １）是由Ｏｐｅｎｅｒ和【，。合作产 生的对“消息”５ 的（２，２）门限ＲＳＡ签名，其中， —ｓ （ｒｏｏｄ ｎ１）和ｄｒ￣一ｓ （ｒｏｏｄ １）分别是Ｏｐｅｎｅｒ和Ｕｉ给 出的部分签名。既然经典ＲＳＡ签名和门限ＲＳＡ签名都是不可伪造的，我们所给出的群签名也是不可伪造 的。 情形２的证明。下面的讨论表明，如果一个外部攻击者（有时也称之为攻击算法）Ｆ能够攻击群签名，那 么利用Ｆ便能构造出攻击ＲＳＡ的有效算法Ｆ 。 假设外部攻击者Ｆ除了知道系统的公开参数以外，还可以随意向挑战者Ｃ询问以下问题： １）Ｈａｓｈ函数值询问。Ｆ可以适当地选择一些消息并从Ｃ处得到相关的Ｈａｓｈ值。 ２） 群签名询问。Ｆ可以适当地选择一些消息并从Ｃ处得到相应的群签名。假设Ｆ第 次所提供的 消息记为优 ，Ｃ所提供的相应的群签名记为（矗 ，ｄ，）。 ３） 伪造签名的输出。通过上述有限次的询问后，Ｆ得到消息 及其伪造签名（ ， ），其中， 和（万， ）在 前面的询问过程中没有出现过。 如果Ｆ伪造成功，即（ ， ）能够通过Ｇ＿Ｖｅｒｉｆｙ算法的验证，那么必有；一 （ｒｏｏｄ 。）， 一 一 ・ ｚ（ｒｏｏｄ ）， 使得 一Ｈ。（ ，Ｊ ）。注意到ｊ是对“消息” ・Ｊ 的ＲＳＡ签名，这样通过Ｆ便得到对ＲＳＡ的攻击算法Ｆ 。 维普资讯 http://www.cqvip.com 第２期 程相国，等：一种高效的群签名方案 ４７ 既然ＲＳＡ签名是不可伪造的，所以本文给出的群签名方案也具有不可伪造性，这就证明了情形２。 ２．２．３ 匿名性 假设（矗， ）是群成员【，给出的对消息 的签名。下面的讨论表明，除Ｏｐｅｎｅｒ之外的任何人都不能根据 签名（矗， ）确定出签名人ｕ的身份。首先，单独通过ｈ来确定签名人的身份显然是不可能的，而 是两个 ＲＳＡ签名的复合，一个是在Ｏｐｅｎｅｒ的公钥ｅ：下对“消息”ｈ・ｈ 产生的签名 ，而另一个是在Ｉｓｓｕｅｒ的公钥 ｅ 下对“消息”ｓ产生的签名 ，注意到这两个签名都不含有【，的身份的任何信息，当然，只是根据 来确定签 名者的身份在计算上是不可能的。 ２．２．４可跟踪性 注意到在群签名的产生过程中，Ｏｐｅｎｅｒ在为群成员【，提供签名帮助的同时，也储存了【，的身份及相关 信息，当需要打开一个群签名时，Ｏｐｅｎｅｒ只需根据群签名就能和储存列表中的某些信息联系起来，从而进一 步确定签名人的身份，具体过程请参考前面的Ｇ—Ｏｐｅｎ算法。 ２．２．５无关联性 如前面所述，群签名（矗， ）不含有签名人【，的任何信息，所以，在不打开群签名的前提下，确定两个不同 的签名是否是同一个群成员所签在计算上是不可行的。 ２．２．６防陷害性 从群签名的产生过程可知，无论是群成员，还是Ｉｓｓｕｅｒ和Ｏｐｅｎｅｒ，都不能单独产生有效的群签名。首 先，任何群成员都不能冒充其他群成员产生群签名，这是因为群成员【， 只有在Ｏｐｅｎｅｒ的帮助下才能产生 一个有效的群签名，在提供签名帮助的同时，Ｏｐｅｎｅｒ储存了ｕ 的签名信息并产生与ｕ 相对应的部分签名。 ．既然当ｉ＝ｉ￣ｊ时，ｄ ≠ ，Ｕｉ不可能以【， 的身份向Ｏｐｅｎｅｒ请求签名帮助。其次，Ｉｓｓｕｅｒ和Ｏｐｅｎｅｒ也不能分 别冒充群成员产生群签名，这是因为Ｉｓｓｕｅｒ不知道Ｏｐｅｎｅｒ的私钥ｄ。，而Ｏｐｅｎｅｒ不知道群成员的部分私钥， 他们无法单独产生有效的群签名。但是Ｉｓｓｕｅｒ和Ｏｐｅｎｅｒ合作就能够冒充任何群成员产生有效的群签名， 这也是本方案的不足之处。 ２．２．７抗联合攻击 既然群签名具有不可伪造性，所以即使一些群成员勾结在一起，也不能产生有效的群签名，更不能产生 不能被群主管跟踪的群签名。 ３方案的优越性 １） 与其它同类方案相比，本文的群签名方案更为简单和实用，不论是签名算法、验证算法，还是群签名 的打开算法都只是需要几个简单的 中的乘法运算和模运算。 ２）群成员的加入和撤销一直是群签名方案中比较棘手的问题，而本文所给出的群签名方案很好地解 决了这两个问题。Ｏｐｅｎｅｒ只需把合法的群成员的身份和Ｉｓｓｕｅｒ所分配的相对应的部分私钥储存于群成员 列表中，即可以完成群成员的加入；要撤销群成员，Ｏｐｅｎｅｒ只需从群成员列表中把该成员的身份撤销即可。 群成员的加入和撤销可即时完成，而不影响整个系统的运行。 ３） 本文所给出的群签名方案中，签名的长度是目前所有同类方案中最短的。Ｂｏｎｅｈ等口 以双线性对 为工具构造出一个短的群签名方案，其签名长度为１ ５３３ ｂｉｔｓ，但计算双线性对的复杂性限制了该方案的实 用性。在与上述方案同等安全的情形下，本文所给出的方案中签名的长度仅为１ １８４ ｂｉｔｓ，而且因为该方案 以ＲＳＡ为基础方案，其计算速度更快，适用范围更广。 ４ 结论 群签名因为具有匿名性和可跟踪性而被广泛应用于管理、政治、军事和经济等领域，但因为群签名的长 度太大而不能应用于带宽受限的环境中。另外，群成员的撤销和再加入也一直是群签名方案中两个比较棘 手的问题。本文给出一种新的群签名的构造方法，有效地解决了群成员的撤销和再加入问题，同时把这种方 维普资讯 http://www.cqvip.com ４８ 青岛大学学报（工程技术版） 第２２卷 法应用于ＲＳＡ，得到一种短的群签名方案，其签名长度是目前所有同类方案中最短的。安全分析表明，新方 案满足一个群签名方案所应具有的所有安全性要求。 参考文献： Ｅｌｉ Ｃｈａｕｍ Ｄ，Ｈｅｙｓｔ Ｅ．Ｇｒｏｕｐ Ｓｉｇｎａｔｕｒｅｓ Ｅｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＥＵＲＯＣＲＹＰＴ １９９１．Ｂｅｒｌｉｎｉ Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，１９９１：２５７— ２６５． Ｅｚ］Ｃｈｅｎ Ｌ，Ｐｅｄｅｒｓｅｎ Ｔ Ｐ．Ｎｅｗ Ｇｒｏｕｐ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅｓ ＥＣ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＥＵＲＯＣＲＹＰＴ １９９４．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒ— ｌａｇ，１９９４：１７１—１８１． Ｅ３３ ｃａｍｅｎｉｓｃｈ Ｊ，Ｓｔａｄｌｅｒ Ｍ．Ｅｆｆｉｃｉｅｎｔ ａｎｄ Ｇｅｎｅｒａｌｉｚｅｄ Ｇｒｏｕｐ Ｓｉｇｎａｔｕｒｅｓ［ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＥＵＲＯＣＲＹＰＴ．１９９７．Ｂｅｒｌｉｎ： Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，１９９７：４６５—４７９． ［４］Ｃａｍｅｎｉｓｃｈ Ｊ，Ｓｔａｄｌｅｒ Ｍ．Ｅｌｆｌｅｎｔ Ｇｒｏｕｐ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅｓ ｆｏｒ Ｌａｒｇｅ Ｇｒｏｕｐｓ［ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＣＲＹＰＴＯ １９９７．Ｂｅｒ— ｌｉｎ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，１９９７：４１０—４２４． Ｅ５３ Ｃａｍｅｎｉｓｃｈ Ｊ，Ｍｉｃｈｅｌｓ Ｍ．Ａ Ｇｒｏｕｐ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅ ｗｉｔｈ ｌｍｐｒｏｖｅｄ Ｅｆｆｉｃｉｅｎｃｙ［ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＡＳＩＡＣＲＹＰＴ １９９８。ＬＮＣＳ １５１４．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，１９９８：１６０—１７４． ［６］Ｃａｍｅｎｉｓｃｈ Ｊ，Ｍｉｃｈｅｌｓ Ｍ．Ｓｅｐａｒａｂｉｌｉｔｙ ａｎｄ Ｅｆｆｉｃｉｅｎｃｙ ｆｏｒ Ｇｅｎｅｒｉｃ Ｇｒｏｕｐ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅｓ［ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＣＲＹＰ— ＴＯ １９９９．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ—Ｖｅｒｌａｇ，１９９９：４１３—４３０． ［７］Ａｔｅｎｉｅｓｅ Ｇ，Ｍｅｄｅｉｒｏｓ Ｂ．Ｅｆｆｉｃｉｅｎｔ Ｇｒｏｕｐ Ｓｉｇｎａｔｕｒｅｓ ｗｉｔｈｏｕｔ Ｔｒａｐｄｏｏｒｓ［ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＡＳＩＡＣＲＹＰＴ ２００３．Ｂｅｒ— ｌｉｎ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，２００３：２４６—２６８． ［８］Ｂｅｌｌａｒｅ Ｍ，Ｍｉｃｃｉａｎｃｉｏ Ｄ，Ｗａｒｉｎｓｃｈｉ Ｂ．Ｆｏｕｎｄａｔｉｏｎｓ ｏｆ Ｇｒｏｕｐ Ｓｉｇｎａｔｕｒｅｓ：Ｆｏｒｍａｌ Ｄｅｆｉｎｉｔｉｏｎｓ，Ｓｉｍｐｌｉｆｉｅｄ Ｒｅｑｕｉｒｅｍｅｎｔｓ， ａｎｄ Ａ Ｃｏｎｓｔｒｕｃｔｉｏｎ Ｂａｓｅｄ ｏｎ Ｇｅｎｅｒａｌ Ａｓｓｕｍｐｔｉｏｎｓ［ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＥＵＲＯＣＲＹＰＴ ２００３．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ， ２００３：６１４—６２９． Ｅ９３ Ｂｅｌｌａｒｅ Ｍ。Ｓｈｉ Ｈ，Ｚｈａｎｇ Ｃ．Ｆｏｕｎｄａｔｉｏｎｓ ｏｆ Ｇｒｏｕｐ Ｓｉｇｎａｔｕｒｅｓ：Ｔｈｅ Ｃａｓｅ ｏｆ Ｄｙｎａｍｉｃ Ｇｒｏｕｐｓ［ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＣＴ— ＲＳＡ ２００５．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，２００５：１３６—１５３． Ｅ ｌＯ３ Ａｔｅｎｉｅｓｅ Ｇ，Ｃａｍｅｎｉｓｃｈ Ｊ，Ｊｏｙｅ Ｍ，ｅｔ ａ１．Ａ Ｐｒａｃｔｉｃａｌ ａｎｄ Ｐｒｏｖａｂｌｙ Ｓｅｃｕｒｅ Ｃｏａｌｉｔｉｏｎ－Ｒｅｓｉｓｔａｎｔ Ｇｒｏｕｐ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅ ［ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＣＲＹＰＴＯ ２０００．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，２０００：２５５—２７０． Ｅｌ１］Ｃａｍｅｎｉｓｃｈ Ｊ，Ｌｙｓｙａｎｓｋａｙａ Ａ．Ｄｙｎａｍｉｃ Ａｃｃｕｍｕｌａｔｏｒｓ ａｎｄ Ａｐｐｌｉｃａｔｉｏｎ ｔｏ Ｅｆｆｉｃｉｅｎｔ Ｒｅｖｏｃａｔｉｏｎ ｏｆ Ａｎｏｎｙｍｏｕｓ Ｃｒｅｄｅｎｔｉａｌｓ ［ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＣＲＹＰＴＯ ２００２．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，２００２：６１—７６． ＥｌＺ］Ｂｏｎｅｈ Ｄ．Ｂｏｙｅｎ ｘ，Ｓｈａｃｈａｍ Ｈ．Ｓｈｏｒｔ Ｇｒｏｕｐ Ｓｉｇｎａｔｕｒｅｓ［ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＣＲＹＰＴＯ ２００４．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒ— ｌａｇ，２００４：４１—５５． Ａｎ Ｅｆｆｉｃｉｅｎｔ Ｇｒｏｕｐ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅ ＣＨＥＮＧ Ｘｉａｎｇ—ｇｕｏ ，ＨＡｌ Ｊｉｎ—ｋｅ （ａ．Ｃｏｌｌｅｇｅ ｏｆ Ｉｎｆｏｒｍａｔｉｏｎ Ｅｎｇｉｎｅｅｒｉｎｇ；ｂ．Ｃｏｌｌｅｇｅ ｏｆ Ｍａｔｈｅｍａｔｉｃｓ Ｓｃｉｅｎｃｅ，Ｑｉｎｇｄａｏ Ｕｎｉｖｅｒｓｉｔｙ，Ｑｉｎｇｄａｏ ２６６０７１，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ｔｈｉｓ ｐａｐｅｒ ｐｒｅｓｅｎｔｓ ａ ｎｅｗ ｃｏｎｓｔｒｕｃｔｉｖｅ ｍｅｔｈｏｄ ｔｏ ｇｒｏｕｐ ｓｉｇｎａｔｕｒｅｓ．Ｕｓｉｎｇ ｔｈｉｓ ｍｅｔｈｏｄ，ｂａｓｅｄ ｏｎ ｃｌａｓｓｉｃａｌ ＲＳＡ ｓｉｇｎａｔｕｒｅ，ｗｅ ｃｏｍｅ ｕｐ ｗｉｔｈ ａ ｓｈｏｒｔ ｇｒｏｕｐ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ．Ｃｏｍｐａｒｅｄ ｗｉｔｈ ｔｈｅ ｐｒｅｖｉｏｕｓ ｓｃｈｅｍｅｓ ｏｆ ｔｈｉｓ ｋｉｎｄ，ｏｕｒ ｓｃｈｅｍｅ ｈａｓ ｔｈｅ ｆｏｌｌｏｗｉｎｇ ａｄｖａｎｔａｇｅｓ：ｓｈｏｒｔ ｓｉｇｎａｔｕｒｅｓ，ｃｏｎｖｅｎｉｅｎｔ ｊｏｉｎｉｎｇ ａｎｄ ｒｅｖｏｃａｔｉｏｎ，ａｎｄ ｆａｓｔ ｇｅｎｅｒａｔｉｏｎ ａｎｄ ｖｅｒｉｆｉｃａｔｉｏｎ ｏｆ ｇｒｏｕｐ ｓｉｇｎａｔｕｒｅｓ．Ｔｈｅ ｓｅｃｕｒｉｔｙ ａｎａｌｙｓｉｓ ｓｈｏｗｓ ｔｈａｔ ｏｕｒ ｓｃｈｅｍｅ ｓａｔｉｓｆｉｅｓ ａｌｌ ｔｈｅ ｓｅｃｕｒｉｔｙ ｒｅｑｕｉｒｅｍｅｎｔｓ ｏｆ ａ ｇｒｏｕｐ ｓｉｇｎａｔｕｒｅ． Ｋｅｙ ｗｏｒｄｓ：ｇｒｏｕｐ ｓｉｇｎａｔｕｒｅ；ＲＳＡ；ｓｈｏｒｔ ｓｉｇｎａｔｕｒｅ；ａｎｏｎｙｍｉｔｙ