Đồ án Tìm hiểu chữ kí nhóm và ứng dụng trong giao dịch điện tử

trên văn bản x=100 với số ngẫu nhiên k =213 là (γ , δ), trong đó γ =2213mod467 = 29 và δ = (100 - 127.29).431mod466 =51. Để kiểm thử ta tính : β γ . γ δ = 13229.2951 ≡ 189 (mod467), α x = 2100 ≡ 189 (mod467), hai giá trị đó đồng dư với nhau theo mod 467, chữ ký (β γ . γ δ) = (29,51) được xác nhận là đúng. 2.1.5. Sơ đồ chữ ký DSS Sơ đồ chữ ký DSS được cho bởi bộ năm S = (P , A , K , S , V) Trong đó P = Z*p , A = Z*q x Z*q p là một số nguyên tố lớn có độ dài biểu diễn 512 ≤ lp ≤ 1024 bit (với l là bội của 64) sao cho bài toán tính logarit rời rạc trong Zp là khó. q là một ước số nguyên tố của p -1 có lq biểu diễn cỡ 160 bit. Gọi α Î Z*p ,α = h(p-1)/q mod p ≠ 1 với 1<h<p-1 a là số ngẫu nhiên (0 < a < q ) β ≡ αa modp. k là số ngẫu nhiên (0 < k < q ) K=(K’,K''), trong đó khoá bí mật K’ = a, và khoá công khai K'' = (p,q, α, β). Hàm ký sigk’ : sigk’ (x,k ) = (γ , δ) Trong đó γ = (αk modp) modq, δ = (x + a. γ).k-1 modq. Hàm kiểm thử verk” : verk” (x,(γ , δ)) = đúng ↔ (modp)modq = γ , Trong đó e1 = x . w và e2 = γ. w với w = δ-1 mod q Chú ý rằng ta phải có δ ≠ 0 mod q để có thể tính được δ-1mod q dùng trong thuật toán kiểm thử, vì vậy nếu chọn k mà được δ ≡ 0 mod q thì phải chọn lại số k khác để có được δ ≠ 0 mod q. Cũng dễ thấy rằng sơ đồ như trên là đúng. Thực vậy nếu x, γ,δ là đúng thì : (modp)modq = (αx.w. β γ.w mod p) mod q = (αx.w. αa. γ.w mod p) mod q = (α(x+a.γ).w mod p) mod q (1) Hơn nữa w = δ-1 mod q = (x + a.γ)-1.k mod q → (x + a. γ).w = k mod q (2) Từ (1) và (″) → (mod p)mod q = (αk mod p) mod q = γ Như vậy verk” (x,(γ ,δ)) = đúng Ví dụ : Giả sử p = 124540019 , q = 17389 Suy ra (p-1)/q = 7162, h = 110217528 Và Tính α = h7162 mod 124540019 = 10083255 ≠ 1, chọn a = 12496 Tính β = α12496 mod 124540019 = 119946256. Vậy khóa công khai là: (p = 124540099, q = 17389, a = 10083255, b = 119946256) khóa bí mật là : (a=12496) Ký: x = 2546, k = 9557 tính k-1 mod q = 7631 γ = 100832559557 mod 124540019) mod 17389 = 27039929 mod 1738 9 = 34 δ = (7631){5246+(12496)(34)} mod 17389 = 13049 Kiểm thử: w = δ-1 mod q = 1799 e1= x.w mod q = 5246.1799 mod 17389 = 12716 e2= γ.w mod q = 34.1799 mod 17389 = 8999 (αe1. βe2 modp)modq = (1008325512716.1199462658999mod124540019)mod 17389 = 27039929 mod 17389 = 34 = γ Như vậy verk” = Đúng 2.2. Chữ ký không thể chối bỏ Trong các sơ đồ chữ ký điện tử ta đã trình bày ở trên, việc kiểm thử tính đúng đắn của chữ ký là do người nhận tiến hành. Như vậy, cả văn bản cùng chữ ký có thể được sao chép và phát tán cho nhiều người mà không được phép của người gửi. Để tránh khả năng đó, người ta đưa ra sơ đồ chữ ký không thể chối bỏ được với một yêu cầu là chữ ký không thể được kiểm thử nếu không có sự hợp tác của người ký. Sự hợp tác đó được thể hiện qua giao thức kiểm thử ( giao thức xác nhận ). Khi chữ ký đòi hỏi được xác nhận bằng một giao thức kiểm thử thì một vấn đề nảy sinh là làm sao có thể ngăn cản người ký chối bỏ một chữ ký mà anh ta đã ký? Để đáp ứng yêu cầu đó, cần có thêm một giao thức chối bỏ, thông qua giao thức này, người ký có thể chứng minh một chữ ký không phải là chữ ký của mình. Nếu anh ta từ chối không tham gia giao thức đó thì có bằng chứng là anh ta không chứng minh được chữ ký đó là giả mạo, tức là anh ta không chối bỏ được chữ ký của mình. Một sơ đồ chữ ký không thể chối bỏ có 3 phần: Một thuật toán ký Một giao thức kiểm thử ( giao thức xác nhận ) Một giao thức chối bỏ 2.3. Chứng minh không tiết lộ thông tin Phép chứng minh không tiết lộ thông tin đã được mô hình hóa bởi Quisquater and Guillou trong ví dụ về “ Hang động của Ali Baba”. Ví dụ này được giải thích như sau Từ bây giờ chúng ta sẽ coi Peggy là Prover (người chứng minh), còn Victor là Verifier (người kiểm thử) như nhiều tài liệu Mật mã. Peggy(P) muốn chứng minh với Victor(V) rằng cô ta biết câu thần chú có thể mở được cánh cửa bí mật tại các điểm R-S, nhưng cô ta không muốn tiết lộ bí mật đó với Victor. Quá trình đến nơi đó diễn ra như sau: Victor đi tới P và đợi đến khi Peggy đi khỏi R hoặc S. Sau đó Victor di chuyển đến Q và gọi Peggy ra ngoài từ bên trái hoặc bên phải của đường hầm( kỹ thuật cut and choose). Nếu Peggy không biết câu thần chú, cô ta chỉ có 50% khả năng ra ngoài từ bên đúng. Giao thức có thể được lặp lại nhiều lần đến khi Victor tin rằng Peggy đã biết câu thần chú. Nếu giao thức được lặp lại k lần, xác suất lừa gạt của Peggy là 2k. Và nó không có nghĩa là giao thức đã được lặp bao nhiêu lần. Victor vẫn không biết được bí mật. Ý nghĩa chính ẩn trong nguyên nhân là: Peggy muốn chứng minh một sự thật hiển nhiên F1 nhưng cô ta không muốn tiết lộ sự chứng minh này. Vì thế cô ta đi tìm những sự thật F2 khác, mà có thể tiết lộ công khai, như là F2 là ĐÚNG NẾU F1 ĐÚNG( điều kiện cần thiết). Vì thế cô ta “ Thay thế ” phép chứng minh của F1 chỉ bằng chứng minh F2. Trong ví dụ, F1 là câu thần chú bí mật,và F2 là khả năng xuất hiện từ mọi phía của đường hầm. Nếu Victor đồng rằng F2 không thể đúng nếu F1 không đúng, sau đó giao thức có thể tiến hành. 2.4. Vấn đề ký số trên đại diện văn bản Khái niệm : Việc sử dụng các hệ mật mã và các sơ đồ chữ ký số thường là mã hóa và ký số trên từng bit của thông tin, thời gian để mã hóa và ký sẽ tỷ lệ thuận với dung lượng của thông tin. Thêm vào đó có thể xảy ra trường hợp với nhiều bức thông điệp đầu vào khác nhau, sử dụng hệ mật mã, sơ đồ ký số giống nhau ( có thể khác nhau ) thì cho ra kết quả bản mã, bản ký số giống nhau. Điều này sẽ dẫn đến một số rắc rối về sau cho việc xác thực thông tin. Với các sơ đồ ký số, chỉ cho phép ký các thông điệp ( thông tin ) có kích thước nhỏ và sau khi ký, bản ký số có kích thước gấp đôi bản thông điệp gốc ( trong trường hợp của sơ đồ ký số DSS ). Trong khi đó, trên thực tế, ta cần phải ký các thông điệp có kích thước lớn hơn nhiều, chẳng hạn vài chục Megebyte, hơn nữa dữ liệu truyền qua mạng không chỉ là bản thông điệp gốc, mà còn bao gồm cả bản ký số (có dung lượng gấp đôi bản thông điệp gốc ), để đáp ứng việc xác thực sau khi thông điệp đến người nhận. Một cách đơn giản để giải bài toán (với thông điệp vài chục Megabyte ) này là chặt thông điệp thành nhiều đoạn 160 bit sau đó ký lên các đoạn đó độc lập nhau. Nhưng biện pháp này có một số vấn đề khi tạo ra chữ ký số : Thứ nhất : Với một thông điệp có kích thước a thì sau khi ký kích thước của chữ ký sẽ là 2a (trong trường hợp chữ ký số DSS) Thứ hai : Với các chữ ký “an toàn ” thì tốc độ chậm vì chúng dùng nhiều phép tính số học phức tạp như số mũ modulo Thứ ba : Vấn đề nghiêm trọng hơn đó là kết quả sau khi ký, nội dung của thông điệp có thể bị xáo trộn các đoạn với nhau, hoặc một số đoạn trong chúng có thể bị mất mát, trong khi người nhận cần xác minh lại thông điệp. Ta cần phải bảo vệ tính toàn vẹn của thông điệp. Giải pháp cho các vấn đề trên là dùng hàm băm để trợ giúp cho việc ký số. Các thuật toán băm với đầu vào là các bức thông điệp có dung lượng tùy ý, các bức thông điệp có thể là dạng văn bản, âm thanh, hình ảnh, và với các giải thuật toán băm : MD2, MD4, MD5, SHA do các bản băm có kích thước cố định: 128 bit với dòng MD, 160 bit với dòng SHA. Như vậy, bức thông điệp kích thước tùy ý sau khi băm sẽ được thu gọn thành các văn bản – được gọi là văn bản đại diện - có kích thước cố định (128 bit hoặc 160 bit) . Với mỗi thông điệp đầu vào chỉ có thể tính ra được một văn bản đại diện duy nhất. Giá trị băm được coi là đặc thù của thông điệp, giống như dấu vân tay của mỗi người. Hai thông điệp khác nhau chắc chắn có hai văn bản đại diện khác nhau. Khi đã có văn bản đại diện duy nhất cho bức thông điệp, áp dụng các sơ đồ chữ ký số ký trên văn bản đại diện đó. 2.4.1. Sơ lược về hàm băm (Hash Function) 2.4.1.1. Giới thiệu Theo các sơ đồ chữ ký ở trên thì chữ ký của thông điệp cũng có độ dài bằng độ dài của thông điệp, đó là một điều bất tiện. Ta mong muốn như trong trường hợp chữ ký viết tay, chữ ký có độ dài ngắn và hạn chế cho dù văn bản có độ dài bằng bao nhiêu. Vì chữ ký số được ký cho từng bit của thông điệp, nếu muốn chữ ký có độ dài hạn chế trên thông điệp có độ dài tuỳ ý thì ta phải tìm cách rút gọn độ dài thông điệp. Nhưng bản thân thông điệp không thể rút ngắn được, nên chỉ còn cách là tìm cho mỗi thông điệp một thông điệp thu gọn có độ dài hạn chế và thay việc ký trên thông điệp, ta ký trên thông điệp thu gọn. Do vậy các hàm băm đóng vai trò cơ bản trong mã khóa công khai. Hàm băm sẽ tạo ra một đầu ra từ bản tin đầu vào. Đầu ra này được định nghĩa là một mã băm. 2.4.1.2. Định nghĩa hàm Hash Hàm Hash là một hàm tính toán có hiệu quả khi ánh xạ các dòng nhị phân có độ dài tuỳ ý thành các dòng nhị phân có độ dài cố định nào đó. Hàm Hash yếu: Hàm Hash được gọi là yếu nếu cho một thông điệp x thì về mặt tính toán không tìm ra được thông điệp x’ khác x sao cho : h(x’) = h(x) Hàm Hash mạnh: Hàm Hash được gọi là mạnh nếu về mặt tính toán không tìm ra được hai thông điệp x và x’ sao cho: x’ ≠ x và h(x’) = h(x) Chọn giá trị x ngẫu nhiên, x Î X Tính z = h(x) Tính x1 = A(z) Nếu x1 ≠ x thì x1 và x va chạm dưới h( thành công) Ngược lại là thất bại Hàm Hash có tính chất một chiều: Hàm Hash có tính chất một chiều nếu cho trước thông điệp rút gọn z thì về mặt tính toán không tìm ra được thông điệp x sao cho : h(x) = z. Hàm Hash yếu làm cho chữ ký số trở nên tin cậy giống như việc ký trên toàn thông điệp. Hàm Hash mạnh có tác dụng chống lại kẻ giả mạo tạo ra hai bản thông điệp có nội dung khác nhau, sau đó thu nhận chữ ký hợp pháp cho một bản thông điệp dễ được xác nhận rồi lấy nó giả mạo làm chữ ký của thông điệp thứ 2. 2.4.1.3. Tính chất của hàm băm Hàm băm h phải thỏa mãn tính chất không va chạm yếu nghĩa là : Khi cho trước một thông điệp x không thể tiến hành về mặt tính toán để tìm ra bức điện x’ ≠ x mà h(x’) = h(x). Hàm băm h không va chạm mạnh nghĩa là không có khả năng tính toán dễ tìm ra hai thông điệp x và x’ mà x’ ≠ x và h(x’) = h(x). Hàm băm h là hàm một chiều nghĩa là khi cho trước một bản tóm lược thông điệp z thì không thể thực hiện về mặt tính toán để tìm ra thông điệp ban đầu x sao cho h(x)= z. Các hàm băm phổ biến là các hàm băm dòng MD : MD2, MD4, MD5 do Rivest đưa ra có kết quả đầu ra là 128 bit. Chuẩn hàm băm an toàn SHA được công bố trong hồ sơ liên bang năm 1992 và được chấp nhận làm tiêu chuẩn vào năm 1993 do viện tiêu chuẩn và công nghệ quốc gia (NIST), kết quả đầu ra có độ dài 160 bit. Dưới đây là thuật toán băm MD5. 2.4.1.4. Thuật toán MD5 Thuật toán MD5 được Ron Rivest đưa ra vào năm 1991. Đầu vào của thuật toán là các khối có độ dài 512 bit và đầu ra là một bản băm đại diện cho văn bản gốc có độ dài 128bit. Các bước tiến hành : Bước 1 : Độn thêm bit Đầu tiên thông điệp được đệm thêm vào để chiều dài của nó là 64 bit. Vi dụ : Nếu thông điệp dài 448 bit thì nó được đệm thêm vào 512 bit để trở thành 960 bit. Số lượng bit được thêm vào nằm trong khoảng từ 1 đến 512 bit. Dãy bit thêm vào bắt đầu bằng số 1 vào theo sau là dãy số 0. Bước 2 : Thêm độ dài Một biểu diễn 64 bit của độ dài của thông điệp (trước khi các bit đệm được thêm vào) được thêm vào để dẫn đến kết quả của bước 1, nếu chiều dài của thông điệp ban đầu lớn hơn 264 thì chỉ có những bit nhỏ hơn 64 mới được sử dụng. Hai bước trên để đáp ứng yêu cầu độ dài của thông điệp là một bội số của 512 bit Bước 3 : Khởi tạo bộ đệm của MD Một bộ đệm 128 bit được khởi tạo để lưu giữ kết quả của hàm băm. Bộ đệm được biểu diễn bởi thanh ghi 32 bit. Các giá trị khởi tạo của 4 thanh ghi là : A = 0x01234567 B = 0x89abcdef C = 0xfedcba98 D = 0x76543210 Bước 4 : Tiến trình thực hiện Thuật toán được thực hiện qua 4 vòng lặp, 4 vòng lặp này có cấu trúc giống nhau nhưng sử dụng các phép toán logic khác nhau. Các phép toán logic được sử dụng bao gồm : AND, XOR, OR và phép modulo 232 Bước 5 : Đầu ra Sau khi tất cả các khối 512 bit được xử lí thì một văn bản đại diện 128 bit được sinh ra. Thông điệp Y0 Y1 Yq YL-1 MD 5 MD 5 MD 5 MD 5 L x 512 bits = N x 32 bits K bits Độn thêm vào Chiều dài thông điệp 512 bit 128 bit digest ABCD Quá trình tạo hàm băm của MD5 2.5. Xác thực Trong phạm vi truyền thông qua internet người ta nhận được các dạng tấn công sau đây. Khám phá : Để lộ các nội dung thông báo do không xử lý khóa mật mã thích hợp Phân tích luồng thông tin : Phát hiện luồng thông tin giữa các thành viên. Trong một ứng dụng hướng kết nối, người ta có thể xác định được tần số và khoảng thời gian kết nối. Trong môi trường hướng kết nối hoặc không. Hướng kết nối người ta có thể xác định được số lượng và độ dài của các thông báo giữa các thành viên. Giả mạo : Đưa thêm các thông báo có nguồn gốc giả mạo trên mạng. Thông thường kẻ giả mạo sẽ tạo ra các thông báo và gửi cùng với các thông báo hợp pháp. Sửa đổi nội dung : Thay đổi nội dung của thông báo như chèn thêm, xóa, sửa đổi. Sửa đổi trình tự : Sửa đổi trình tự thông báo giữa các thành viên chẳng hạn như xóa bỏ hay sắp xếp theo trình tự mới. Sửa đổi thời gian : Làm trễ hoặc chuyển tiếp nhiều lần các thông báo. Chối bỏ : Người nhận chối bỏ những thông báo gửi đến hoặc người gửi chối bỏ thông báo gửi đi. Xác thực : Là một thủ tục nhằm kiểm tra các thông báo nhận được xem chúng có đến từ một người gửi hợp lệ và có bị sửa đổi hay không. Xác thực cũng có thể kiểm tra trình tự và tính đúng lúc. Chữ ký số là một kỹ thuật xác thực. Chương III CHỮ KÝ NHÓM 3.1. Khái niệm về chữ ký nhóm( Groups Signature ) Trong xu hướng phát triển cuả thế giới và Việt Nam hiện nay, việc giao dịch giữa người với người thông qua mạng đã trở thành một việc không thể thiếu. Hai người ở cách xa nhau hàng vạn cây số nhưng vẫn có thể thực hiện việc ký kết các hợp đồng thương mại với nhau thông qua mạng. Để việc ký kết các hợp đồng đó có cơ sở pháp lý, các nhà khoa học đã phát minh ra chữ ký điện tử. Đó là một phát minh vĩ đại của loài người trong kỉ nguyên công nghệ thông tin. Tuy nhiên, việc giao dịch không chỉ dừng lại ở mức độ giữa hai người với nhau, mà đòi hỏi việc giao dịch đó có thể là giao dịch giữa các nhóm người, các tổ chức khác nhau trên thế giới và được thực hiện qua mạng. Việc xác thực thông tin và toàn vẹn thông tin lúc này là xác thực và toàn vẹn thông tin của một nhóm người, một tổ chức. Chữ ký nhóm đã được đề xuất nhằm đáp ứng được yêu cầu này của xã hội. Chữ ký nhóm là chữ ký điện tử đại diện cho một nhóm người, một tổ chức Các thành viên của một nhóm người được phép ký trên thông điệp với tư cách là người đại diện cho nhóm. Chữ ký nhóm được David Chaum và Van Heyst giới thiệu lần đầu tiên vào năm 1991. Kể từ đó đến nay đã có nhiều nhà khoa học nghiên cứu và đưa ra một số sơ đồ chữ ký nhóm khác như sơ đồ chữ ký nhóm của Chen và Pedersen năm 1994, sơ đồ chữ ký nhóm của Camenisch và Stadler năm 1997. 3.2. Những đặc điểm của chữ ký nhóm Chỉ có thành viên trong nhóm mới có thể ký tên vào bản thông báo đó Người nhận thông điệp có thể kiểm tra xem chữ ký đó có đúng là của nhóm đó hay không, nhưng người nhận không thể biết được người nào trong nhóm đã ký vào thông điệp đó. Trong trường hợp cần thiết chữ ký có thể được “mở” (có hoặc là không có sự giúp đỡ của thành viên trong nhóm) để xác định người nào đã ký vào thông điệp đó 3.2.1. Ta có hệ chữ ký nhóm Undeniable Signature Đây là chữ ký mà thuật toán kiểm định đòi hỏi phải có sự tham gia của người ký. Thực chất đây là chữ ký có tính chất không thể chuyển giao được (untransferable): Chỉ có ý nghĩa đối với người nhận là có người trao đổi làm ăn với người ký, khi chuyển nó cho một người khác thì không có tác dụng nữa (không thể kiểm định được chữ ký nữa). Các văn bản có chữ ký này không nhằm mục đích đem đi công bố ở nơi khác mà chỉ có tính chất giấy phép. Vì thế nếu sao chép là mất ý nghĩa. Chữ ký này được dùng trong việc bán các sản phẩm phần mềm: Các hãng phần mềm sẽ bán các sản phẩm của mình có chữ ký chứng tỏ tính bản quyền. Việc kiểm định đòi hỏi phải liên lạc với hãng này. Nếu như có việc một người buôn nào đó bán phần mềm sao chép thì lúc người mua đòi kiểm định sẽ bị lộ ngay vì không thực hiện được. MultiSignature ( Đồng ký ) Ở đây, chữ ký không phải của một người mà của một nhóm người. Muốn tạo được chữ ký, tất cả những người này cùng phải tham gia vào protocol. Tuy nhiên chữ ký có thể được kiểm định bởi bất kỳ ai. Đây là trường hợp dành cho thực tế của việc đưa ra những quyết định do nhiều người. Proxy Signature (chữ ký ủy nhiệm) Hệ chữ ký này dành cho các trường hợp mà người chủ chữ ký vì một lí do nào đó mà không thể ký được. Vì vậy chữ ký ủy nhiệm được tạo ra để người chủ có thể ủy nhiệm cho một người nào đó ký thay. 3.2.2. Một sơ đồ chữ ký nhóm gồm thành phần cơ bản Người quản lý nhóm Các thành viên trong nhóm Người không thuộc nhóm 3.2.3. Một sơ đồ chữ ký nhóm thường bao gồm 5 thủ tục KeyGen: Là thuật toán sinh khóa công khai của nhóm, khóa bí mật của người quản lý nhóm : KeyGen() → (pk,gmsk) trong đó pk là khóa công khai của nhóm (dùng để xác minh chữ ký của nhóm), gmsk là khóa bí mật của nhóm. Nếu số người trong nhóm là cố định thì KeyGen()→ (pk,gmsk,sk) trong đó sk là khóa bí mật của thành viên thứ i trong nhóm Join : Cho phép một người không phải là thành viên nhóm gia nhập nhóm. Khi gia nhập nhóm, thành viên i sẽ nhận được khóa bí mật của mình là sk, người quản lý nhóm sẽ lưu thông tin của thành viên mới này Sig : Khi thành viên i muốn ký thông điệp m đại diện cho nhóm, anh ta sẽ sử dụng thủ tục Sig: Sig(m, sk)→. Chữ ký trên thông điệp m là δ. Verify : Khi muốn kiểm tra chữ ký δ có phải là chữ ký đại diện cho nhóm trên thông điệp m sử dụng thủ tục Verify(m, δ,pk) = Open : Với mỗi chữ ký trên thông điệp m, người quản lý nhóm có thể xác định được thành viên nào đã ký vào thông điệp bằng việc sử dụng thủ tục Open(gmsk,m, δ), đầu ra của thủ tục là thông tin về thành viên đã ký. 3.2.4. Hiệu quả của chữ ký nhóm Khi đánh giá hiệu quả của một sơ đồ chữ ký nhóm ta cần quan tâm đến các thông số sau: Độ lớn của khóa công khai nhóm γ (số bit) Độ lớn của chữ ký trên một thông điệp (số bit) Hiệu quả của các thủ tục Setup, Join, Sign, Verify, Open Tính ưu việt của chữ ký nhóm chính là khả năng cho phép những nhóm người, những tổ chức giao tiếp với nhau, mà trong đó việc xác thực các thông tin gửi cho nhau thông qua các khóa công khai của mỗi nhóm. Nhờ đó những thành viên của nhóm có thể ký nặc danh đại diện cho nhóm của mình mà không thể để lộ thông tin cá nhân của mình, và chỉ có người quản trị mới có thể xác định được người ký. 3.2.5. Việc đảm bảo an ninh đối với chữ ký nhóm. Không thể giả mạo : Chỉ có các thành viên trong nhóm mới có thể đại diện cho nhóm ký trên thông điệp của nhóm. Người ký nặc danh có thể tính toán được : Bất kỳ ai cũng có thể xác thực chữ ký một cách dễ dàng nhưng không thể biết được ai là người ký ( Trừ người quản lí nhóm ). Không thể chối bỏ : Một thành viên ký trên một thông điệp thì không thể chối bỏ chữ ký đó được. Người quản lý nhóm có thể xác định được ai đã ký vào thông điệp đó. Không thể phân tích quan hệ : Việc phân tích xem hai chữ ký của một thành viên trong nhóm khác nhau như thế nào là khó đối với các thành viên của nhóm trừ người quản lí nhóm. Ngăn chặn framing Attacks : Khi một số thành viên liên kết với nhau cũng không thể giả mạo chữ ký của thành viêc khác trong nhóm. Ngăn chặn sự liên minh : Khi một số thành viên liên kết với nhau cũng không thể tạo ra một chữ ký hợp lệ mà không xác định được người ký. 3.3. Các sơ đồ chữ ký nhóm của David Chaum và Van Heyst 3.3.1. Sơ đồ chữ ký nhóm thứ nhất. Z ( là người quản lý nhóm hoặc là người tin cậy được ủy nhiệm ) chọn một hệ thống khóa công khai và đưa cho mỗi thành viên một danh sách các khóa bí mật (các danh sách này là khác nhau) và công bố một danh sách đầy đủ các khóa công khai tương ứng ( theo thứ tự ngẫu nhiên ) trong một Trusted Public Directory – TPD Mỗi thành viên có thể ký một thông điệp bằng một khóa bí mật trong danh sách của anh ta, và người nhận có thể kiểm tra chữ ký bằng một khóa công khai tương ứng từ danh sách khóa công khai. Mỗi khóa chỉ được sử dụng một lần, nói cách khác các chữ ký đã được tạo bằng khóa này được liên kết. Z biết tất cả các danh sách khóa bí mật, vì thế trong trường hợp cần thiết, Z có thể biết được ai đã tạo ra chữ ký đó. Để làm được điều này Z phải “mở” chữ ký. Nếu mỗi người có cùng một số lượng các khóa bí mật, thì chiều dài của khóa công khai của nhóm là tuyến tính với số thành viên, nhưng số thông điệp của mỗi thành viên ký là không đổi. Một vấn đề đối với sơ đồ này là Z biết tất cả các khóa bí mật của các thành viên và có thể giả mạo chữ ký. Điều này có thể được giải quyết bằng việc sử dụng các khóa công khai mù. Lấy g là phần tử sinh của nhóm nhân Z với p là một số nguyên tố. Thành viên thứ I lấy khóa bí mật của mình là si và tính g mod p rồi gửi cho Z, Z có một danh sách các khóa công khai khác nhau này cùng với tên của các thành viên. Mỗi tuần Z đưa cho thành viên I một số ngẫu nhiên ri Î và công bố danh sách tất cả các khóa công khai mù là . Trong suốt tuần này thành viên I sẽ sử dụng siri mod (p-1) làm khóa bí mật. Ưu điểm của việc cải biên này là Z không thể giả mạo chữ ký, và mỗi thành viên sẽ có một “ khóa bí mật thực sự ”. Nếu ri chẳng may bị lộ thì vẫn không có một thông tin nào về khóa bí mật si bị lộ. Trong một cải biên khác, không cần phải có người ủy quyền tin cậy, mỗi người dùng gửi một (hoặc nhiều hơn ) các khóa công khai tới một danh sách công khai sẽ là khóa công khai của nhóm. Nhưng chỉ những thành viên của nhóm mới có thể gửi các khóa công khai vào danh sách này. 3.3.2. Sơ đồ chữ ký nhóm thứ hai Z chọn hai số nguyên tố lớn p, q khác nhau và một hàm một chiều và tính N=p*q. Z đưa cho thành viên thứ I một khóa bí mật si ,là một số nguyên tố lớn ngẫu nhiên thuộc tập hợp , và tính v = , và công bố N, v và f. Nếu thành viên I muốn ký thông điệp m, chữ ký của anh ta sẽ là mod N. Z phải chứng minh cho người nhận rằng si là ước của v, và si Î mà không để lộ bất kì thông tin nào về si. Trong trường hợp có xảy ra tranh cãi sau đó, người nhận có thể sử dụng giao thức xác nhận hoặc giao thức chống chối bỏ yêu cầu bên gửi phải chứng minh rằng chữ ký không phải của bên gửi. 3.3.2.1. Giao thức xác nhận Người ký P sẽ phải chứng minh rằng S là chữ ký của anh ta trên thông điệp m với V mà không để lộ thông tin nào về khóa bí mật s của anh ta, việc này sẽ được giải quyết bởi giao thức 1, chúng ta sẽ phải tính toán các blob an toàn B . Ta coi bản thu gọn của thông điệp là m. Giao thức xác nhận 1 Khóa bí mật của P : s Công khai : N, m, S, Ω; m, s Î Z, Ω = N Chứng minh với V : m º S (mod N) và s Î Ω Nếu giao thức này được lặp lại k lần, V sẽ tin rằng s Î Ω; nhưng V sẽ không nhận được gì hơn ngoài sự thật là s Î Ω; Giao thức 1 P chọn r Î (0, , b). Tính các blob trên z1 º x (mod N) và z2 º x (mod N), và gửi không theo thứ tự cho V . V chọn ngẫu nhiên b Î (0, 1) và gửi cho P P gửi lại cho V trong trường hợp b = 0:r và mở các blob b = 1: là (c + r) hoặc (c + r - b) và tương ứng z1 hoặc z2 (gọi là ) V kiểm tra trong trường hợp : b = 0 : kiểm tra r Î ( 0, , b) và các blob của xr và xr-b theo thứ tự nào đó b = 1 : kiểm tra Î Ω và một trong các blob chứa và thỏa mãn º S (mod N). Nếu P có thể trả lời đúng cả hai yêu cầu khi V gửi b thì chữ ký S trên thông điệp m đúng là của P . Còn nếu một trong hai câu có kết quả sai hoặc cả hai câu đều sai thì chữ ký S trên thông điệp m không phải là chữ ký của P. Blob B có thể được tính bằng cách sau: Z chọn các phần tử sinh gp và hq của và và tính g º và h º sử dụng CRT Để tính B(y) thì P chọn r1, r2 Î (1, , N) và tính B(y) = ymod N Trong giao thức này, chúng ta tạo một giao thức xác nhận, vì P muốn chứng minh cho người nhận V rằng P đưa cho một V chữ ký có giá trị S. Trường hợp này được giải quyết như sau : Giao thức xác nhận 2 Khóa bí mật của P : s Công khai : N, m, S, Ω; m, s Î Z, Ω = N Chứng minh với V : m º S (mod N) và s Î Ω và s|v (s là ước của v) Giao thức 2 Chứng minh tồn tại s sao cho ms º S (mod N) và s Î Ω bằng giao thức 1, thực hiện k lần. Chứng minh rằng s|v như sau: P V a º Sr Chọn r Î (1,, N) b º av/s B(b) Kiểm tra a r Mở blob Kiểm tra blob và b º mvr Giao thức 2 3.3.2.2. Giao thức chối bỏ Nếu P muốn chứng minh cho V rằng S không phải là chứ ký của anh ta trên thông điệp m, trường hợp này sẽ được giải quyết như sau: Giao thức chói bỏ Khóa bí mật của P : s Công khai : N, m, S, Ω; m, s Î Z Chứng minh với V : m º S (mod N) và s Î Ω và s|v (s là ước của v) Z công bố () được sinh trong nhóm Z (cách tính như sau: chọn các số nguyên a1, a2, b1, b2 thỏa mãn gcd(a1, b1, p-1) = gcd (a2, b2, q-1) = 1 và công khai với g, h là các phần tử sinh của Zp* và Z*q), cùng đó là một thư mục công khai tin cậy chứa ( tên thành viên, ). Lấy l là một hằng số rất nhỏ để việc tìm kiếm toàn diện trên (0, , 1) là khả thi. Chú ý rằng nếu S º ms, thì p không thể tính a từ , vì khi đó = 1. Khi đó anh ta sẽ phải đoán a. Giao thức 3 P V º Sr Chọn r1, r2 Î (1,, N) và a Î (0, , 1) Tính a từ B(b) Bằng cách kiểm tra Toàn bộ các số r1, r2 Mở blob Kiểm tra blob