边缘计算环境下的轻量级聚合无证书签密方案

Lightweight aggregated certificateless signcryption solution for edge computing environments

摘要

边缘计算涉及大量的设备节点，这增加了数据泄露的风险，且边缘设备的计算和存储资源有限，计算效率较低，无法处理复杂的计算任务.针对这些问题，提出了一种轻量级聚合无证书签密方案.利用椭圆曲线上的标量点乘法代替双线性对运算，使用较短的密钥实现更强的安全性，减少了存储和传输的开销，同时利用签密技术和区块链的不可篡改性确保数据的机密性和可认证性，以及交易数据的完整与真实.此外，在椭圆曲线离散对数困难问题（ECDLP）与椭圆曲线Diffie-Hellman困难问题的假设下，证明了该方案满足不可伪造性与不可区分性.理论分析和实验结果表明，该方案在安全性与通信效率上与其他方案相比具有显著优势.

Abstract

Edge computing involves a large number of device nodes， which raises the risk of data leakage， and edge devices have limited computational and storage resources and low computational efficiency to handle complex computational tasks. To address these problems， a lightweight aggregated certificateless signcryption is proposed. Scalar point multiplication on elliptic curves is utilized instead of bilinear pair operation， and a shorter key is used to achieve stronger security and reduce storage and transmission overhead， while the tamper-proof property of the blockchain is utilized to ensure the confidentiality， authenticity of data， as well as the integrity and authenticity of all transaction data. In addition， under the assumption of elliptic curve discrete logarithmic difficulty problem （ECDLP） and elliptic curve Diffie-Hellman difficulty problem， it is proved that the scheme satisfies the unforgeability and indistinguishability. Theoretical analysis and experimental results show that the scheme has obvious advantages over other schemes in terms of security and communication efficiency.

Graphical abstract

关键词

边缘计算 / 聚合无证书签密 / 标量点乘 / 区块链

Key words

edge computing / aggregate certificateless signcryption / scalar point multiplication / blockchain

物联网技术已被应用于智能电网、智能家居、工业、车联网等领域^［1］.传统的云计算模式虽然强大，但处理大量数据时会面临延迟问题，已不能满足物联网环境的需求，尤其是对于需要实时响应的应用，如智能交通系统、工业自动化和医疗社交网络等^［2］.为了解决带宽延迟问题，边缘计算应运而生，在更靠近用户的网络边缘侧就近提供服务，减缓了网络负载，增强了响应能力^［3］.

在边缘计算过程中，用户的私有数据外包给边缘服务器，这就存在外包敏感数据丢失、数据泄漏以及非法篡改数据的问题^［4］.保护数据隐私是首要任务，文献［5］发现与边缘计算应用相关的攻击主要包括中间人攻击、身份验证攻击以及授权攻击，因此，应该加强对上传到边缘计算服务器的数据的机密性以及对上传者身份的管理，防止数据被非法用户篡改.

传统的数据传输采用先数字签名后进行加密的方式，操作顺序更为复杂，成本更高.Zheng^［6］于1997年开创性提出了签密的概念，并在2002年给出了签密的形式化模型^［7］.Shamir^［8］提出了基于身份的密码系统（identity-based cryptograph，IBC），用户的公钥和私钥分别由其身份信息和密钥生成中心（key generation center，KGC）生成，但这种系统存在固有的密钥托管问题.2003年Al-Riyami等^［9］提出了无证书密码（CLC）系统，在CLC系统中，KGC无法获得完整的私钥，有效地解决了密钥托管问题.然而，这种机制仍需要通过中心化节点完成公钥的生成，虽然KGC可以保障初始密钥的安全性，但无法解决后续公钥管理的去中心化需求.首先，KGC作为中心化实体，在存储和分发公钥时可能面临单点故障风险，同时也难以防范公钥被恶意篡改（如中间人攻击）.其次，尽管KGC无法获取用户的完整私钥，但如果公钥管理完全依赖KGC，系统仍然容易遭受公钥替换攻击（如敌手替换用户公钥）.

区块链具有去中心化特性和不可篡性，可有效解决公钥管理的安全风险^［10］.所有公钥变更必须经过共识验证，既确保了公钥的真实性和完整性，又消除了对KGC的完全依赖.这种去中心化机制不仅防止了中间人攻击等安全威胁，还显著提升了系统的安全性和鲁棒性.

在边缘计算场景中，区块链的分布式特性减少了设备与KGC的频繁交互，降低了通信开销.此外，区块链可以在没有第三方参与的情况下提高数据存储和共享的安全性^［11］，通过记录数据来源和签名信息，确保数据真实性和可追溯性，这一功能是KGC无法独立实现的.

聚合减少了传输的数据量，在计算和资源受限的环境中尤其有益^［12］.Boneh等^［13］在2003年提出了聚合签名的概念，任何用户都可以将这些签名进行聚合得到一个短签名^［14］.接收方进行验证时，仅需验证签名一次，从而节省了带宽和减少了计算量.Shao等^［15］提出了一种高效且可证明安全的区块链辅助无证书签名加密算法，但涉及很多复杂的双线性对运算，算法较为复杂.Tomar等^［16］提出了一种区块链辅助的无证书聚合签名加密方案，然而，文中采用的雾服务器的计算能力较低，系统架构更为复杂，管理和维护的难度也随之增加.Srinivasa Rao等^［17］提出了一种工业物联网（IIOT）环境下的无配对无证书聚合签密方案，Wu等^［18］提出了一种车联网环境下安全性增强的无证书聚合签密方案，但两种方案在处理边缘计算环境中设备受限、通信开销等问题时，针对性和优化程度相对较弱.Chen等^［19］提出了一种无证书聚合签密方案，但计算成本仍然较高，尤其在签名验证阶段需要更多的资源，在资源受限的物联网环境中不够高效.Li等^［20］提出了一种基于椭圆曲线的无证书聚合签密方案，该方案虽然减少了计算开销，但未充分利用区块链技术来增强公钥管理的去中心化与抗篡改性，仅依赖传统KGC架构，可能面临单点故障风险.

以上方案取得了很多瞩目的结果，但在计算效率与安全性能方面仍存在一些不足.本文提出了一种轻量级聚合无证书签密方案，将边缘计算和聚合无证书签密技术相结合，进一步提高了数据处理的能力.边缘计算在网络边缘处理大量临时数据，极大地减轻了网络带宽和数据中心功耗的压力，为数据的存储提供了良好的平台.聚合无证书签密能够有效减少在签名加密过程中的计算开销，实现对用户数据的保护，从而实现对用户的隐私保护.本文分别从不可区分性、不可伪造性两方面证明方案的安全性.本文的主要贡献如下：

1）设计了一种聚合无证书签密技术，将签名和加密两个算法过程在同一步骤中实现.利用椭圆曲线上的标量点乘代替双线性对运算，使用轻量级的加密算法来减少计算开销.

2） 在随机预言机模型（random oracle model，ROM）下，基于椭圆曲线离散对数困难问题（ECDLP）和椭圆曲线Diffie-Hellman（ECDH）困难问题，证明了该方案在自适应选择密文攻击条件下满足不可区分性，且在自适应选择消息攻击条件下满足不可伪造性.

3）借助区块链的不可篡改性，用户将生成的公钥与匿名身份上传至区块链，可以确保传输信息的完整性，最后通过实验分析，该方案在性能上更具优势，更适应于边缘计算环境.

1 预备知识

1.1 椭圆曲线密码体系

在椭圆曲线密码体系中，椭圆曲线的变量和系统参数均在有限域上.有限域\mathrm{G}\mathrm{F}(P)上的椭圆曲线定义为：方程y²=（x³+ax+b）mod p上的所有点（x，y），同时包含一个无穷远点O共同构成的集合，其中p为素数， a、b、x和y是有限域\mathrm{G}\mathrm{F}(P)上的元素，将椭圆曲线记为E_p （a，b）.

1.2 困难问题假设

ECDLP：假设G是椭圆曲线上的q阶可加群，P是G的生成元，给定随\left\{P,M=iP\right\}\in G机点，计算未知的随机数i是困难的，其中i\in Z_q^{\mathrm{*}}.

ECDH：假设G是椭圆曲线上的q阶可加群，P是G的生成元，给定\left\{P,\alpha P,\beta P\right\}\in G计算\alpha \beta P是困难的，其中\alpha \in Z_q^{\mathrm{*}}、\beta \in Z_q^{\mathrm{*}}.

2 系统模型与安全模型

2.1 系统模型

本文提出的系统模型如图1所示，系统主要包含4个实体，分别为边缘服务器、区块链、KGC和用户端，各实体的具体功能描述如下.

1）边缘服务器：不同的设备终端将采集到的大量敏感数据上传至边缘服务器.边缘服务器对实时数据进行处理、分析和计算.

2）区块链：区块链作为去中心化的公钥管理，存储用户与边缘设备的身份信息与公钥，并为用户和边缘设备提供公钥查询服务.

3）KGC：密钥生成中心，公开的可信任第三方，负责生成系统参数、用户和边缘服务器的部分私钥，并将其上传至区块链便于用户和边缘服务器的访问.

4）用户端：用户向KGC发送请求，生成自己的部分私钥，并将自己的公钥与身份上传至区块链网络.

2.2 形式化定义

本文提出的边缘计算下轻量级聚合无证书签密方案由以下算法组成.

系统初始化：该算法由KGC执行，接收安全参数k作为输入，运行后输出系统主密钥s及系统参数Params.KGC负责存储系统主密钥s，同时将系统参数Params公开并上传至区块链.

部分私钥提取：将系统主密钥s、系统参数Params以及用户或边缘服务器的身份\mathrm{I}{\mathrm{D}}_U作为输入，KGC执行算法生成部分私钥\mathrm{P}\mathrm{s}{\mathrm{k}}_U，并通过安全信道传输至对应的用户或边缘服务器.

设置秘密值：输入系统参数Params和用户或边缘服务器的身份\mathrm{I}{\mathrm{D}}_U，运行算法生成对应的秘密值x.

设置私钥：输入系统参数Params、用户或边缘服务器的部分私钥\mathrm{P}\mathrm{s}{\mathrm{k}}_U及其对应的秘密值x，执行算法生成用户或边缘服务器的完整私钥\mathrm{s}{\mathrm{k}}_U.

设置公钥：输入系统参数Params、用户或边缘服务器的身份\mathrm{I}{\mathrm{D}}_U和私钥\mathrm{s}{\mathrm{k}}_U，执行算法生成相应的公钥\mathrm{p}{\mathrm{k}}_U.

签密：该算法输入系统参数Params、用户的身份\mathrm{I}{\mathrm{D}}_{\mathrm{s}}、公钥\mathrm{p}{\mathrm{k}}_{\mathrm{s}}和私钥\mathrm{s}{\mathrm{k}}_{\mathrm{s}}，边缘服务器身份\mathrm{I}{\mathrm{D}}_{\mathrm{r}}与公钥\mathrm{p}{\mathrm{k}}_{\mathrm{r}}.对消息m进行签密，输出密文\sigma.

聚合签密：对于给定的签名文本{\left\{V_U\right\}}_{U=\mathrm{1}}^n、接收方身份\mathrm{I}{\mathrm{D}}_{\mathrm{r}}、接收方的公钥和公共参数，聚合器执行聚合签名加密算法生成聚合签名文本V.

解签密：该算法输入系统参数Params、发送方的身份\mathrm{I}{\mathrm{D}}_{\mathrm{s}}与公钥\mathrm{p}{\mathrm{k}}_{\mathrm{s}}、接收方的身份\mathrm{I}{\mathrm{D}}_{\mathrm{r}}与公钥\mathrm{p}{\mathrm{k}}_{\mathrm{r}}、接收方的私钥\mathrm{s}{\mathrm{k}}_{\mathrm{r}}以及聚合签名加密文本\sigma.运行解签密算法获得消息m或错误符号“⊥”（表示密文\sigma对身份\mathrm{I}{\mathrm{D}}_{\mathrm{s}}与\mathrm{I}{\mathrm{D}}_{\mathrm{r}}是不合法的）.并使用发送方的公钥\mathrm{p}{\mathrm{k}}_{\mathrm{s}}对签名的正确性进行验证.

2.3 安全模型

在无证书签密机制的安全模型中，敌手被划分为两类：A_{\mathrm{1}}和A_{\mathrm{2}}.敌手A_{\mathrm{1}}不能够获得主密钥s，但可以任意替换用户的公钥.敌手A_{\mathrm{2}}可获得主密钥s，但不能替换用户的公钥.若无证书签密机制能够在这两种敌手的攻击中满足保密性和不可伪造性，则无证书签密机制是安全的.

敌手可以进行以下6种询问：

1）部分私钥提取询问：敌手A提交身份\mathrm{I}{\mathrm{D}}_U，挑战者C执行部分私钥提取算法生成相应的部分私钥\mathrm{P}\mathrm{s}{\mathrm{k}}_U，并反馈给敌手A.

2）私钥提取询问：敌手A选定身份\mathrm{I}{\mathrm{D}}_U，挑战者C依据私钥提取算法为该身份生成相应的私钥\mathrm{s}{\mathrm{k}}_U，并将生成的私钥\mathrm{s}{\mathrm{k}}_U发送至给敌手A.

3）公钥提取询问：敌手A提交身份\mathrm{I}{\mathrm{D}}_U，挑战者C执行公钥提取算法为该身份生成相应的公钥\mathrm{p}{\mathrm{k}}_U，并将生成的公钥\mathrm{p}{\mathrm{k}}_U发送给敌手A.

4）公钥替换询问：敌手A提交一个带有新公钥\mathrm{p}{\mathrm{k}}_U^{\mathrm{*}}的身份\mathrm{I}{\mathrm{D}}_U，挑战者C用新的公钥\mathrm{p}{\mathrm{k}}_U^{\mathrm{*}}代替原来的公钥\mathrm{p}{\mathrm{k}}_U.

5）签密询问：敌手A选择一个发送者身份\mathrm{I}{\mathrm{D}}_{\mathrm{s}}、一个接收者身份\mathrm{I}{\mathrm{D}}_{\mathrm{r}}和一个明文m.挑战者C使用签名加密算法并将结果发送给敌手A.

6）解签密询问：敌手A选定一个发送者身份\mathrm{I}{\mathrm{D}}_{\mathrm{s}}、一个接收者身份\mathrm{I}{\mathrm{D}}_{\mathrm{r}}及一个密文\sigma，挑战者C执行解签密算法并将所得结果传输给敌手A.

游戏1：类型Ⅰ敌手的适应性选择消息攻击

1）设置阶段：挑战者C实施系统建立算法，生成系统参数Params与主密钥s.并将系统参数Params发送至敌手A_{\mathrm{1}}，同时存储主密钥s.

2）攻击阶段：敌手A_{\mathrm{1}}可以上述6种询问进行自适应询问.

3）伪造阶段：若C伪造出合法密文，则A_{\mathrm{1}}赢得这个游戏.

游戏2 ：类型Ⅱ敌手的适应性选择消息攻击

1）设置阶段：挑战者C执行系统建立算法产生系统参数Params和主密钥s.C将系统参数Params发送至敌手A_{\mathrm{2}}，保存主密钥s.

2）攻击阶段：敌手A_{\mathrm{2}}可以像游戏1一样自适应询问上述6种询问，但不可执行私钥提取询问与解签密询问.

3）伪造阶段：若C伪造出合法密文，则A_{\mathrm{2}}赢得这个游戏.

3 具体方案

本文方案由7个多项式时间算法组成，方案的总流程如图2所示.

具体方案如下：

设置算法：给定安全参数k，在椭圆曲线上生成一个阶数为素数q的循环加法群G，其中P为G的生成元.KGC选取s\in Z_q^{\mathrm{*}}作为系统主密钥，并计算系统主公钥P_{\mathrm{p}\mathrm{u}\mathrm{b}}=sP.H_{\mathrm{1}}:{\left\{\mathrm{0,1}\right\}}^n\to Z_q^{\mathrm{*}}、H_{\mathrm{2}}:Z_q^{\mathrm{*}}\to {\left\{\mathrm{0,1}\right\}}^n、H_{\mathrm{3}}:{\left\{\mathrm{0,1}\right\}}^n\times Z_q^{\mathrm{*}}\times Z_q^{\mathrm{*}}\to Z_q^{\mathrm{*}}为3个预设的安全哈希函数.KGC将系统参数\mathrm{P}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}\mathrm{s}=\left\{G,P,q,P_{\mathrm{p}\mathrm{u}\mathrm{b}},H_{\mathrm{1}},H_{\mathrm{2}},H_{\mathrm{3}}\right\}部署至区块链.

设置匿名身份：用户或边缘服务器将自己的身份\mathrm{I}{\mathrm{D}}_U发送给KGC.KGC计算用户或边缘服务器的匿名身份Q_U=H_{\mathrm{1}}\left(\mathrm{I}{\mathrm{D}}_U\right).

部分私钥提取：用户或边缘服务器将匿名身份通过安全信道发送给KGC.KGC接收到匿名身份后计算部分私钥\mathrm{P}\mathrm{s}{\mathrm{k}}_U=s{Q}_U.KGC将生成的部分私钥发送给相应的用户或边缘服务器.

设置秘密值算法：用户或边缘服务器从区块链中获取相应的系统参数，并选定x\in Z_q^{\mathrm{*}}作为秘密值.

设置私钥算法：用户或边缘服务器设置自己的私钥\mathrm{s}{\mathrm{k}}_U=x\mathrm{P}\mathrm{s}{\mathrm{k}}_U.

设置公钥算法：用户或边缘服务器设置其公钥\mathrm{p}{\mathrm{k}}_U=P\cdot \mathrm{s}{\mathrm{k}}_U，并将生成的公钥上传至区块链中.

签密算法：给定发送方匿名身份Q_{\mathrm{s}}、私钥\mathrm{s}{\mathrm{k}}_{\mathrm{s}}和接收方的公钥\mathrm{p}{\mathrm{k}}_{\mathrm{r}}.发送方从区块链中获得接收方的公钥信息，对消息m进行签密时，发送方进行如下步骤：选取随机数t_i\in Z_q^{\mathrm{*}}.

1）计算Y=t_i\cdot P和F=t_i\cdot \mathrm{p}{\mathrm{k}}_{\mathrm{r}}.

2）计算C_i=m_i\oplus h_{\mathrm{s}}，其中，h_{\mathrm{s}}=H_{\mathrm{2}}(F,Q_{\mathrm{s}}).

3）计算j_i=H_{\mathrm{3}}(m_i,\mathrm{p}{\mathrm{k}}_{\mathrm{s}},Y)和V_i=j_i\mathrm{s}{\mathrm{k}}_{\mathrm{s}}+t_i.

4）\sigma =(Y,C_i,V_i)即为最终签密密文.

聚合签密算法：接收方进行如下计算，V={\displaystyle \sum _{i=\mathrm{1}}^n}{V}_i={\displaystyle \sum _{i=\mathrm{1}}^n}\left\{j_i\mathrm{s}{\mathrm{k}}_{\mathrm{s}}+t_i\right\}.最后输出聚合密文{\sigma }_{\mathrm{\Delta }}=\left(Y_{\mathrm{1}}\cdots Y_n,C_{\mathrm{1}}\cdots C_n,V\right).

解签密算法：作为接收方的边缘设备接收到密文{\sigma }_{\mathrm{\Delta }}、发送方匿名身份Q_{\mathrm{s}}发送方公钥\mathrm{p}{\mathrm{k}}_{\mathrm{s}}、接收方私钥\mathrm{s}{\mathrm{k}}_{\mathrm{r}}.边缘服务器执行以下步骤：

1）计算F=Y\cdot \mathrm{s}{\mathrm{k}}_{\mathrm{r}}和h_{\mathrm{s}}=H_{\mathrm{2}}(F,Q_{\mathrm{s}}).

2）计算m_i=C_i\oplus h_{\mathrm{s}}以恢复明文.

3）计算j_i=H_{\mathrm{3}}(m_i,\mathrm{p}{\mathrm{k}}_{\mathrm{s}},Y)

4）通过验证等式VP={\displaystyle \sum _{i=\mathrm{1}}^n}(j_{i}p{k}_s+Y)来验证消息是否合法.若等式成立，则接收消息m_i，若等式不成立，则返回⊥.

4 正确性检验及安全性证明

4.1 正确性检验

1）部分私钥有效性：在执行部分私钥提取算法后，KGC生成用户的部分私钥，并通过安全信道将部分私钥发送给用户.用户已知P、P_{\mathrm{p}\mathrm{u}\mathrm{b}}，且可以自行计算Q_U，当用户收到由KGC发送的部分私钥时，用户可以通过式（1）进行验证，判断Psk _UP与P_{\mathrm{p}\mathrm{u}\mathrm{b}}{Q}_U是否相等来验证部分私钥Psk _U 是否正确.

\mathrm{P}\mathrm{s}{\mathrm{k}}_{U}P=s{Q}_{U}P=P_{\mathrm{p}\mathrm{u}\mathrm{b}}{Q}_U（1）

2）聚合签密有效性：根据式（2）、式（3）的已知条件，可以验证发送方发送的签密文本，证明恢复明文的正确性.

F=t_i\cdot \mathrm{p}{\mathrm{k}}_{\mathrm{r}}=t_{i}P\cdot \mathrm{s}{\mathrm{k}}_{\mathrm{r}}=Y\cdot \mathrm{s}{\mathrm{k}}_{\mathrm{r}}（2）

m_i=C_i\oplus h_{\mathrm{s}}（3）

根据式（4）的已知条件，通过式（5）验证签名的正确性.

j_i=H_{\mathrm{3}}(m_i,\mathrm{p}{\mathrm{k}}_{\mathrm{s}},Y)（4）

{\displaystyle \sum _{i=\mathrm{1}}^n}(j_{i}p{k}_s+Y)={\displaystyle \sum _{i=\mathrm{1}}^n}(j_{i}s{k}_{s}P+t_{i}P)={\displaystyle \sum _{i=\mathrm{1}}^n}{V}_{i}P=VP（5）

4.2 安全性证明

无证书签密方案易受到A_{\mathrm{1}}和A_{\mathrm{2}}两类敌手的攻击，本文方案基于ECDLP困难问题假设以及ECDH困难问题假设，论证了方案在随机预言模型下的安全性.

定理1 （A_{\mathrm{1}}条件下的不可伪造性）假设存在一个敌手A_{\mathrm{1}}能够在多项式时间内，凭借不可忽略的优势ε伪造出有效密文（A_{\mathrm{1}}执行q_{\mathrm{1}}>\mathrm{1}次部分私钥提取询问），则存在一个挑战者C能够在多项式时间内以不可忽略的优势\theta \ge \epsilon [\mathrm{1}/(q_{\mathrm{1}}+n)][\mathrm{1}-\mathrm{1}/(q_{\mathrm{1}}{+n)]}^{q_{\mathrm{1}}+n-\mathrm{1}}攻克ECDLP困难问题.

证 给定任意一个ECDLP实例（P，sP），其中， s\in Z_q^{\mathrm{*}}.挑战者C的目标是通过与敌手A_{\mathrm{1}}的交互，最终计算出s的值.

1）初始化阶段：C运行算法，生成系统参数\mathrm{P}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}\mathrm{s}=\left\{G,P,q,P_{\mathrm{p}\mathrm{u}\mathrm{b}},H_{\mathrm{1}},H_{\mathrm{2}},H_{\mathrm{3}}\right\}和系统主密钥s，

C公开系统参数Params并发送给A_{\mathrm{1}}，将主密钥s保密，令P_{\mathrm{p}\mathrm{u}\mathrm{b}}=sP.

2）查询阶段： C建立列表L_{H_{\mathrm{1}}}、L_{H_{\mathrm{2}}}、L_{H_{\mathrm{3}}}分别用于记录H₁、H₂、H₃生成的询问结果，建立列表L_x、L_{\mathrm{P}\mathrm{s}\mathrm{k}}、L_{\mathrm{p}\mathrm{k}}分别用于记录秘密值、部分私钥和公钥生成的询问结果，所有列表初始为空.

H₁查询：当A_{\mathrm{1}}对H₁预言机进行询问时， C首先查找（ID _U，Q_U，d_U ）是否存在于L_{H_{\mathrm{1}}}中，如果存在， C将Q_U 返回给A_{\mathrm{1}}.否则C随机选取d_U\in \left\{\mathrm{0,1}\right\}，设\mathrm{P}\mathrm{o}\mathrm{r}[d_U=\mathrm{1}]=\zeta，\mathrm{P}\mathrm{o}\mathrm{r}[d_U=\mathrm{0}]=\mathrm{1}-\zeta.若d_U=\mathrm{0}，C随机选择Q_U\in G，并在表L_{H_{\mathrm{1}}}中添加元素组（ID _U，Q_U，0），返回Q_U到A_{\mathrm{1}}.若d_U=\mathrm{1}，C计算Q_U=\mu \in G并在表L_{H_{\mathrm{1}}}中添加元素组\left(\mathrm{I}{\mathrm{D}}_U,\mu ,\mathrm{1}\right)，将Q_U发送给A_{\mathrm{1}}.

H₂查询：当A_{\mathrm{1}}向H₂预言机发起询问时， C首先查找(h_{\mathrm{s}},F,Q_{\mathrm{s}})是否已存储于L_{H_{\mathrm{2}}}中，若存在，则C将h_{\mathrm{s}}返回给A_{\mathrm{1}}.否则，C生成随机数\beta \in G，令h_{\mathrm{s}}=\beta，并在表L_{H_{\mathrm{2}}}中添加元素(h_{\mathrm{s}},F,Q_{\mathrm{s}})，将h_{\mathrm{s}}发送给敌手A_{\mathrm{1}}.

H₃查询：当A_{\mathrm{1}}对H₃预言机发起询问时， C首先查找(j_i,m_i,\mathrm{p}{\mathrm{k}}_{\mathrm{s}},Y)是否已存储于L_{H_{\mathrm{3}}}中，若存在，C将j_i返回给A_{\mathrm{1}}.否则，C随机选取随机数j_i\in G，并在表L_{H_{\mathrm{3}}}中添加元素组(j_i,m_i,\mathrm{p}{\mathrm{k}}_{\mathrm{s}},Y)，将j_i返回给A_{\mathrm{1}}.

秘密值提取：当A_{\mathrm{1}}向随机预言机发出秘密值提取询问时，首先查找(\mathrm{I}{\mathrm{D}}_{\mathrm{s}},x)是否存在于表L_x中，如果存在， C返回x给A_{\mathrm{1}}.否则，C选择一个随机的x\in Z_q^{\mathrm{*}}，并在表L_x中添加元素组(\mathrm{I}{\mathrm{D}}_{\mathrm{s}},x)，将x返给A_{\mathrm{1}}.

部分私钥提取询问：当A_{\mathrm{1}}向随机预言机发出部分私钥提取询问时，首先查找(\mathrm{P}\mathrm{s}\mathrm{k},Q_U)是否存在于表L_{\mathrm{P}\mathrm{s}\mathrm{k}}中，若存在，C将Psk发送至A_{\mathrm{1}}.若不存在，C随机选取一个元素Psk，并将元素组(\mathrm{P}\mathrm{s}\mathrm{k},Q_U)添加到表L_{\mathrm{P}\mathrm{s}\mathrm{k}}中，返回Psk给A_{\mathrm{1}}.

公钥提取询问：当A_{\mathrm{1}}向随机预言机查询\mathrm{I}{\mathrm{D}}_U，进行公钥提取询问时，首先查找(\mathrm{I}{\mathrm{D}}_U,\mathrm{s}{\mathrm{k}}_{\mathrm{U}},\mathrm{p}{\mathrm{k}}_{\mathrm{U}})是否存在于表L_{\mathrm{p}\mathrm{k}}中，如果存在，C将\mathrm{p}{\mathrm{k}}_{\mathrm{U}}返回给A_{\mathrm{1}}.否则，C根据身份\mathrm{I}{\mathrm{D}}_U执行私钥查询得到\mathrm{s}{\mathrm{k}}_{\mathrm{U}}，并计算\mathrm{p}{\mathrm{k}}_{\mathrm{U}}(\mathrm{p}{\mathrm{k}}_{\mathrm{U}}=P\cdot \mathrm{s}{\mathrm{k}}_{\mathrm{U}}).C将元素组(\mathrm{I}{\mathrm{D}}_U,\mathrm{s}{\mathrm{k}}_{\mathrm{U}},\mathrm{p}{\mathrm{k}}_{\mathrm{U}})添加到L_{\mathrm{p}\mathrm{k}}中，将\mathrm{p}{\mathrm{k}}_{\mathrm{U}}发送给A_{\mathrm{1}}.

公钥替换询问：A_{\mathrm{1}}随机选取公钥\mathrm{p}{\mathrm{k}}_U^{\mathrm{*}}，替换原有公钥\mathrm{p}{\mathrm{k}}_{\mathrm{U}}，并将(\mathrm{I}{\mathrm{D}}_U,\mathrm{s}{\mathrm{k}}_{\mathrm{U}},\mathrm{p}{\mathrm{k}}_U^{\mathrm{*}})添加到表L_{\mathrm{p}\mathrm{k}}中.

签密询问：当A_{\mathrm{1}}向随机预言机查询元素组(\mathrm{I}{\mathrm{D}}_{\mathrm{s}},\mathrm{I}{\mathrm{D}}_{\mathrm{r}},m_i)时，C向L_{H_{\mathrm{1}}}查询(\mathrm{I}{\mathrm{D}}_U,Q_{\mathrm{U}},d_{\mathrm{U}})，并执行以下步骤.

①当d_{\mathrm{U}}=\mathrm{0}时，C正常运行签密算法对m_i进行签密，并将密文\sigma =(Y,C_i,V_i)返回给A_{\mathrm{1}}.

②当d_{\mathrm{U}}=\mathrm{1}时，C随机选择t_i\in Z_q^{\mathrm{*}}.

③通过查询对应的表L_{H_{\mathrm{2}}}、L_{H_{\mathrm{3}}}、L_x、L_{\mathrm{P}\mathrm{s}\mathrm{k}}得到h_{\mathrm{s}}、j_i、x、Psk、\mathrm{p}{\mathrm{k}}_{\mathrm{U}}.

④C计算m_i=C_i\oplus h_{\mathrm{s}}，V_i=j_i\mathrm{s}{\mathrm{k}}_{\mathrm{s}}+t_i，F=t_i\cdot \mathrm{p}{\mathrm{k}}_{\mathrm{r}}.

⑤C将密文\sigma =(Y,C_i,V_i)返回给A_{\mathrm{1}}.

3）伪造阶段：C输出聚合密文{\sigma }_{\mathrm{\Delta }}，若伪造的密文通过验证，则存在：

VP={\displaystyle \sum _{i=\mathrm{1}}^n}{V}_{i}P={\displaystyle \sum _{i=\mathrm{1}}^n}(j_i\mathrm{s}{\mathrm{k}}_{\mathrm{s}}+t_i)P

V={\displaystyle \sum _{i=\mathrm{1}}^n}(j_{i}s{k}_s+t_i)={\displaystyle \sum _{i=\mathrm{1}}^n}(j_{i}s{k}_s)+{\displaystyle \sum _{i=\mathrm{1}}^n}{t}_i

={\displaystyle \sum _{i=\mathrm{1}}^n}(j_{i}x\cdot s{Q}_U)+{\displaystyle \sum _{i=\mathrm{1}}^n}{t}_i

可推出s=\frac{V-{\displaystyle \sum _{i=\mathrm{1}}^n}{t}_i}{{\displaystyle \sum _{i=\mathrm{1}}^n}(j_{i}x{Q}_U)}即为要解决的困难问题， 如果C成功解决ECDLP困难问题，应满足以下条件：

{\tau }_{\mathrm{1}}：C在A_{\mathrm{1}}的签名询问中不中断.

{\tau }_{\mathrm{2}}：A_{\mathrm{1}}产生一个有效的密文\sigma.

{\tau }_{\mathrm{3}}：{\tau }_{\mathrm{2}}发生且至少存在一个d_U=\mathrm{0}.

计算可得\mathrm{P}\mathrm{o}\mathrm{r}[{\tau }_{\mathrm{1}}]={(\mathrm{1}-\zeta )}^{q_{\mathrm{1}}}， \mathrm{P}\mathrm{o}\mathrm{r}[{\tau }_{\mathrm{2}}|{\tau }_{\mathrm{1}}]=\epsilon，\mathrm{P}\mathrm{o}\mathrm{r}[{\tau }_{\mathrm{3}}|{\tau }_{\mathrm{1}}{\tau }_{\mathrm{2}}]=\zeta {(\mathrm{1}-\zeta )}^{n-\mathrm{1}}.C求解出ECDH困难问题的概率应满足：

\mathrm{P}\mathrm{o}\mathrm{r}\left[{\tau }_{\mathrm{1}}{\tau }_{\mathrm{2}}{\tau }_{\mathrm{3}}\right]=\mathrm{P}\mathrm{o}\mathrm{r}\left[{\tau }_{\mathrm{1}}\right]\mathrm{P}\mathrm{o}\mathrm{r}\left[{\tau }_{\mathrm{2}}\left|{\tau }_{\mathrm{1}}\right.\right]\mathrm{P}\mathrm{o}\mathrm{r}\left[{\tau }_{\mathrm{3}}\left|{\tau }_{\mathrm{1}}{\tau }_{\mathrm{2}}\right.\right]=

\epsilon \zeta {\left(\mathrm{1}-\zeta \right)}^{q_{\mathrm{1}}+n-\mathrm{1}}

将上式看作关于\zeta的函数，通过计算可得当\zeta =\mathrm{1}/(q_{\mathrm{1}}+n)时，概率达到最大值，即\theta \ge \epsilon [\mathrm{1}/(q_{\mathrm{1}}+n)][\mathrm{1}-\mathrm{1}/(q_{\mathrm{1}}{-n)}^{q_{\mathrm{1}}+n-\mathrm{1}}].

定理2 （A_{\mathrm{2}}条件下的不可伪造性）若存在敌手A_{\mathrm{2}}能够在多项式时间内，以不可忽略的优势\theta伪造出有效密文（A_{\mathrm{2}}可以执行q_{\mathrm{1}}>\mathrm{1}次部分私钥提取询问），则必然存在挑战者C能够在多项式时间内，以不可忽略的优势\theta \ge \epsilon [\mathrm{1}/(q_{\mathrm{1}}+n)][\mathrm{1}-\mathrm{1}/(q_{\mathrm{1}}{+n)]}^{q_{\mathrm{1}}+n-\mathrm{1}}解决ECDLP困难问题.

证 针对给定ECDLP实例(P,\alpha P)，挑战者C目标是利用敌手A_{\mathrm{2}}，来计算出\alpha的值.

1）初始化阶段：C实施算法，生成系统参数\mathrm{P}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}\mathrm{s}=\left\{G,P,q,P_{\mathrm{p}\mathrm{u}\mathrm{b}},H_{\mathrm{1}},H_{\mathrm{2}},H_{\mathrm{3}}\right\}及主密钥s，并将所得的系统参数\mathrm{P}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}\mathrm{s}与主密钥s传输至A_{\mathrm{2}}.

2）查询阶段：A_{\mathrm{2}}已知系统主密钥但不能替换公钥，不可执行部分私钥提取询问、公钥替换询问.除公钥提取询问外，其他询问过程与定理1查询阶段类似.

公钥提取询问：当A_{\mathrm{2}}向随机预言机查询\mathrm{I}{\mathrm{D}}_U请求公钥时，首先查找(\mathrm{I}{\mathrm{D}}_U,\mathrm{s}{\mathrm{k}}_{\mathrm{U}},\mathrm{p}{\mathrm{k}}_{\mathrm{U}})是否存在于表L_{\mathrm{p}\mathrm{k}}中，如果存在，C将\mathrm{p}{\mathrm{k}}_{\mathrm{U}}返回给A_{\mathrm{2}}.否则，C根据身份\mathrm{I}{\mathrm{D}}_U执行私钥查询，当d_U=\mathrm{1}时计算\mathrm{p}{\mathrm{k}}_{\mathrm{U}}=P^{\mathrm{\text{'}}}\cdot s\cdot Q_{\mathrm{U}}，其中， P^{\mathrm{\text{'}}}=\alpha P,\alpha \in Z_{\mathrm{q}}^{\mathrm{*}}；当d_U=\mathrm{0}时行私钥查询得到\mathrm{s}{\mathrm{k}}_{\mathrm{U}}计算\mathrm{p}{\mathrm{k}}_{\mathrm{U}}=P\cdot \mathrm{s}{\mathrm{k}}_{\mathrm{U}}.

3）伪造阶段：C输出聚合密文{\sigma }_{\mathrm{\Delta }}，若伪造的密文通过验证，则存在：

\begin{array}{l}VP={\displaystyle \sum _{i=\mathrm{1}}^n}{V}_{i}P={\displaystyle \sum _{i=\mathrm{1}}^n}(j_{i}s{k}_s\cdot P+t_{i}P)\\ ={\displaystyle \sum _{i=\mathrm{1}}^n}(j_{i}p{k}_s+t_{i}P)\\ ={\displaystyle \sum _{i=\mathrm{1}}^n}(j_{i}P\text{'}\cdot s\cdot Q_U+t_{i}P)\\ ={\displaystyle \sum _{i=\mathrm{1}}^n}(j_i\alpha P\cdot s\cdot Q_U+t_{i}P)\end{array}

可推出\alpha =\frac{V-{\displaystyle \sum _{i=\mathrm{1}}^n}{t}_i}{{\displaystyle \sum _{i=\mathrm{1}}^n}(j_{i}s\cdot Q_U)}，即为要解决的困难问题.

定理3 （A_{\mathrm{1}}条件下的机密性）在随机预言机模型下，若敌手A_{\mathrm{1}}在多项式时间内凭借不可忽略的优势赢得IND-CCA2游戏，则必然存在挑战者C能够在多项式时间内以不可忽略的优势攻克ECDH困难问题.

定理4 （A_{\mathrm{2}}条件下的机密性）在随机预言机模型下，若存在敌手A_{\mathrm{2}}在多项式时间内凭借不可忽略的优势赢得IND-CCA2游戏，则必然存在一个挑战者C能够在多项式时间内以不可忽略的优势攻克ECDH困难问题.

机密性的证明过程与文献［21］的机密性证明类似，由于篇幅原因，不再赘述.

5 性能分析

为进一步验证本文方案的有效性，将所提方案与相关方案^［15-20］在计算开销与通信开销方面进行实验对比.实验平台使用Dell笔记本电脑（I7-4700 CPU，2.60 GHz，16 GB内存），运行Ubuntu Linux系统，采用Pairing-Based Crypto （PBC）密码学函数库.经测试，得出表1相关密码操作的时间基准，表2给出了相关参数所占的字节长度.

5.1 计算时间比较

本节主要对比所提方案及相关6种方案在签密阶段和解签密阶段的计算效率.主要对比的算法包括T_pa点加法运算、T_pm点乘法运算、T_pb双线性配对运算.不考虑属于Z_{\mathrm{q}}^{\mathrm{*}}的哈希函数和异或操作，因为它们在处理中花费的时间很少.由表3可得7种方案在签密、单个解签密与n个解签密的计算总时耗.文献［15］方案需要采用双线性对运算，文献［16］方案中涉及较多的点乘运算，以上两种方案的计算开销显著高于本文方案.尽管文献［17-20］的方案在一定程度上减少了单个解签密的时间，但计算开销仍高于本文方案，且都没有使用区块链存储用户公钥，存在数据篡改丢失的风险.

假设通信消息数量为n，为直观对比，图3展示了n取不同值时文献［16-20］方案的解签密计算时间.实验结果表明，随着n的数量增加，本文方案的计算时间明显少于其他方案.当n=\mathrm{150}时，本文方案的聚合解签密时间较文献［16-20］分别缩短了20.3、40.7、44.6、43.1和1.6 ms.本文方案无双线性配对操作且标量乘法较少，计算复杂度显著低于同类方案.因此，本文方案具有更好的性能.

5.2 通信开销比较

本节通过对比实验分析本文方案与文献［15-20］在通信开销方面的差异.表4计算了7种方案在单个签密、聚合签密及公私钥通信开销的具体数据.为直观展示，图4绘制了n取不同值时各方案的通信开销柱状图.实验结果表明，相较于文献［16-20］，本文方案在传输效率上有显著优势.当n=\mathrm{150}时，总通信效率分别提高76.5%、67.7%、65.6%、76.5%与68.1%.

在该方案中，区块链作用为存储用户身份与公钥，计算得到单用户在区块链上的存储开销为|G|+|Z_q^{\mathrm{*}}|=\mathrm{64}字节，则区块链与多个消息聚合签密的总通信开销为\mathrm{168}+\mathrm{20}n字节，其通信开销仍小于对比方案.综上，本文方案在存储和通信开销方面均优于现有方案.

6 结 论

本研究针对边缘计算环境中普遍存在的隐私保护不足与计算资源受限的双重挑战，提出了一种创新的轻量级无证书聚合签密方案.该方案通过设计高效的签密聚合机制，实现了多个签密向单一签密的可验证转换，不仅显著降低了计算复杂度，还减少了存储开销和通信带宽需求.在安全性方面，该方案采用先进的密码学构造，确保外部攻击者无法从聚合签密中推导出任何发送方的身份信息，同时利用区块链的分布式账本技术保证了数据的一致性和可审计性.本方案在安全性方面满足IND-CCA2（选择密文攻击下的不可区分性）与EUF-CMA（选择消息攻击下的存在不可伪造性）两个安全标准.实验结果表明，在保证同等安全级别的前提下，本方案的计算效率提升了约52%，通信效率提升了约68%，特别适用于资源受限的边缘计算场景.这些优势使得该方案在物联网、智慧城市等边缘计算应用领域具有广阔的应用前景.

参考文献

[1] NGUYEN D C， PATHIRANA P N， DING M，et al ．BEdgeHealth：a decentralized architecture for edge-based IoMT networks using blockchain［J］．IEEE Internet of Things Journal，2021，8（14）：11743-11757．

[2] NIU S F， SHAO H L， SU Y，et al ．Efficient heterogeneous signcryption scheme based on Edge Computing for Industrial Internet of Things［J］．Journal of Systems Architecture，2023，136：102836．

[3] 沈传年 ．边缘计算安全与隐私保护研究进展［J］．网络安全与数据治理，2022，41（8）： 41-48．

[4] SHEN C N ．Research progress of edge computing security and privacy-preserving［J］．Cyber Security and Data Governance，2022，41（8）： 41-48．（in Chinese）

[5] XU G X， DONG J N， MA C，et al ．A certificateless signcryption mechanism based on blockchain for edge computing［J］．IEEE Internet of Things Journal，2023，10（14）：11960-11974．

[6] XIAO Y H， JIA Y Z， LIU C C，et al ．Edge computing security：state of the art and challenges［J］. Proceedings of the IEEE，2019，107（8）： 1608-1631．

[7] ZHENG Y L. Digital signcryption or how to achieve cost（signature & encryption） ≪ cost（signature） + cost（encryption）［C］//Advances in Cryptology — CRYPTO '97．Berlin，Heidelberg：Springer，1997：165-179．

[8] BAEK J， STEINFELD R， ZHENG Y L ．Formal proofs for the security of signcryption［C］//Public Key Cryptography： 5th International Workshop， PNK 2002. Berlin，Heidelberg：Springer，2002： 80-98．

[9] SHAMIR A ．Identity-based cryptosystems and signature schemes［C］//Advances in Cryptology．Berlin，Heidelberg：Springer，1985： 47-53．

[10] AL-RIYAMI S S， PATERSON K G ．Certificateless public key cryptography［C］//Advances in Cryptology-ASIACRYPT 2003．Berlin，Heidelberg：Springer， 2003： 452-473．

[11] LIU X Y， XIONG X， WANG J，et al ．An Internet of Vehicles road traffic data sharing scheme based on signcryption and editable blockchain［J］．Computer Networks，2024，255：110864．

[12] LIU J W， ZHANG G J， SUN R，et al ．A blockchain-based conditional privacy-preserving traffic data sharing in cloud［C］//ICC 2020—2020 IEEE International Conference on Communications （ICC）. June 7-11，2020，Dublin，Ireland． IEEE，2020：1-6．

[13] ZHANG B ．A lightweight data aggregation protocol with privacy-preserving for healthcare wireless sensor networks［J］. IEEE Systems Journal，2021，15（2）：1705-1716．

[14] BONEH D， GENTRY C， LYNN B，et al ．Aggregate and verifiably encrypted signatures from bilinear maps［C］//Advances in Cryptology — EUROCRYPT 2003．Berlin，Heidelberg：Springer，2003：416-432．

[15] DENG L Z， NING B Q， JIANG Y H. A lightweight certificateless aggregation signature scheme with provably security in the standard model［J］. IEEE Systems Journal，2020，14（3）：4242-4251．

[16] SHAO H S， XIA Y R， PIAO C H ．Blockchain-assisted certificateless signcryption for vehicle-to-vehicle communication in VANETs［J］．Computer Networks，2023，235：109969．

[17] TOMAR A， TRIPATHI S ．BCSoM：Blockchain-based certificateless aggregate signcryption scheme for Internet of Medical Things［J］. Computer Communications，2023，212：48-62．

[18] SRINIVASA RAO G， THUMBUR G， AMARAPU R B，et al ．A new lightweight and secure certificateless aggregate signcryption scheme for industrial Internet of Things［J］. IEEE Internet of Things Journal，2024， 11（6）： 10563-10574．

[19] WU W Q， CHEN J J. A security-enhanced certificateless aggregate signcryption scheme for vehicular ad hoc networks［J］. Vehicular Communications，2025，53：100897．

[20] CHEN D M， ZHOU F， LIU Y N，et al ．Secure pairing-free certificateless aggregate signcryption scheme for IoT［J］．Journal of Systems Architecture，2024，156：103268．

[21] LI X， ZHU R Q， DU D J，et al ．ECC-based certificateless aggregate signcryption scheme in cyber-physical power systems［J］．IEEE Systems Journal，2024，18（2）：893-904．

[22] ESLAMI Z， PAKNIAT N ．Certificateless aggregate signcryption：security model and a concrete construction secure in the random oracle model［J］．Journal of King Saud University-Computer and Information Sciences，2014，26（3）：276-286．

基金资助

高校教师创新基金项目(2023A-041)

University Teaching Staff InnovationFund Project(2023A-041)

兰州交通大学青年学者科学基金项目(2022011)

The Young Scholars Science Foundation of Lanzhou Jiaotong University(2022011)

甘肃省自然科学基金项目(25JRA156)

Gansu Provincial Natural Science Foundation Project(25JRA156)