PBC密码学库使用指南

PBC（Pairing-based cryptography）库是一个免费的C库（根据GNU Lesser General Public许可证发布），它建立在GMP库的基础上，执行基于配对的加密系统的数学运算

安装教程

该安装教程当前仅适用Linux平台的用户，具体可参考官方文档

下载

首先，在官网下载安装包，可以看到有多个不同的包，这里下载pbc-0.5.14.tar.gz，这是因为安装环境是在Linux平台（如有必要，本文档后续会更新在Windows平台的安装教程）

编译和安装库

对于大多数库，解压缩源程序包后，输入以下命令将其安装到主目录的本地子目录

 $ ./configure --prefix=$HOME/.local  
 $ make  
 $ make install

其中**–prefix**指定了PBC库要安装的目录，您也可以指定到自己喜欢的地方。

如果一切正常，您应该会在$HOME/.local中看到新文件，包括include、lib和bin三个文件夹

简单使用

下面是PBC程序foo.c中的内容

#include "pbc.h"

int main(void)
{
    /* call PBC functions */
    return 0;
}

当完成程序编写，则需要gcc来完成程序编译，我们使用以下命令进行编译

$ gcc -o foo foo.c -I ~/.local/include/pbc -L ~/.local/lib -Wl,-rpath ~/.local/lib  -l pbc

编译成功后，会在当前目录生产foo，通过./foo执行即可

BLS实现

本章将介绍如何使用PBC库实现Boneh Lynn Shacham（BLS）签名方案，它基于文件example/bls.c

回顾BLS

我们有三个阶为素数 r r r的群 G 1 , G 2 , G T G_1,G_2,G_T G1​,G2​,GT​和一个双线性映射 e e e，它从 G 1 G_1 G1​中获取一个元素，从 G 2 G_2 G2​中获取一个元素，并输出 G T G_T GT​中的一个元素。

我们将其与系统参数 g g g一起发布， g g g是 G 2 G_2 G2​中随机选择的元素
爱丽丝想在消息上签名。

首先，她生成她的公钥和私钥，她的私钥是 Z r Z_r Zr​的一个随机元素 x x x，对应的公钥是 g x g^x gx。

为了给消息签名，Alice将消息散列到 G 1 G_1 G1​的某个元素 h h h，然后输出签名 σ = h x \sigma=h^x σ=hx。

为了验证签名 σ \sigma σ，Bob检查 e ( h , g x ) = e ( σ , g ) e(h,g^x)=e(σ,g) e(h,gx)=e(σ,g)

代码实现

现在，我们使用PBC库将上述过程转换为C代码。

首先，我们包含必须的头文件pbc/pbc.h

#include 

接着，初始化双线性对，构建双线性对所需的参数param将在执行时被传递进来，即通过./bls < param/a.param来执行该程序

pairing_t pairing;
char param[1024];
size_t count = fread(param, 1, 1024, stdin);
if (!count) pbc_die("input error");
pairing_init_set_buf(pairing, param, count);

我们需要几个element_t变量来保存系统参数、密钥和其他量。

我们声明并初始化它们

element_t g, h;
element_t public_key, secret_key;
element_t sig;
element_t temp1, temp2;

element_init_G2(g, pairing);
element_init_G2(public_key, pairing);
element_init_G1(h, pairing);
element_init_G1(sig, pairing);
element_init_GT(temp1, pairing);
element_init_GT(temp2, pairing);
element_init_Zr(secret_key, pairing);

生成系统参数 g g g，私钥以及对应公钥

element_random(g);
element_random(secret_key);
element_pow_zn(public_key, g, secret_key);

当给定要签名的消息时，我们首先使用一些标准哈希算法计算其哈希。

许多库都可以做到这一点，而且此 *** 作不涉及双线性映射，因此PBC不提供此步骤的函数。

对于这个例子，我们的消息已经被散列，这可能使用了另一个库。

假设消息散列为“ABCDEF”（48位散列）。

我们将这些字节映射到 G 1 G_1 G1​的元素 h h h并进行签名计算

element_from_hash(h, "ABCDEF", 6);
element_pow_zn(sig, h, secret_key);

为了验证这个签名，我们比较了基于签名 σ \sigma σ和系统参数 g g g的双线性映射输出，以及应用于消息哈希 h h h和公钥 g x g^x gx的双线性映射输出。

如果输出匹配，则签名有效

pairing_apply(temp1, sig, g, pairing);
pairing_apply(temp2, h, public_key, pairing);
if (!element_cmp(temp1, temp2)) {
    printf("signature verifies\n");
} else {
    printf("signature does not verify\n");
}

最后按照上节提到的编译方法编译执行即可看到输出结果

椭圆曲线选取

官方文档中介绍了多种用于双线性映射的椭圆曲线，这里先简要介绍A类椭圆曲线
A类配对(pairing)所用椭圆曲线是在 F q F_q Fq​域上的曲线 y 2 = x 3 + x y^2=x^3+x y2=x3+x，其中 q q q是素数且满足 q = 3 m o d    4 q=3\mod{4} q=3mod4。

G 1 G_1 G1​和 G 2 G_2 G2​都是 E ( F q ) E(F_q) E(Fq​)群上的点的集合， G T G_T GT​为 F q 2 F_{q^2} Fq2​的一个子群，其阶数 r r r为 q + 1 q+1 q+1的素因子，令 q + 1 = r ∗ h q+1=r*h q+1=r∗h，一般取 r r r为Solinas素数，即 r r r具有 2 a ± 2 b ± 1 2^a\pm 2^b \pm 1 2a±2b±1的形式，其中整数 a , b a,b a,b满足 0 < b < a 00<b<a，此外，PBC库为了方便计算，选择的 q q q满足 q = − 1 m o d    12 q=-1\mod{12} q=−1mod12
由以上知识，就可以得到A类配对的参数，PBC官方库提供的参数结构如下

exp2, exp1, sign1, sign0, r:
  r = 2^exp2 + sign1 * 2^exp1 + sign0 * 1 (Solinas prime)
q, h:
  r * h = q + 1
  其中q是素数, h是12的倍数(因此q = -1 mod 12)

参数具体数值如下

type a
q 8780710799663312522437781984754049815806883199414208211028653399266475630880222957078625179422662221423155858769582317459277713367317481324925129998224791
h 12016012264891146079388821366740534204802954401251311822919615131047207289359704531102844802183906537786776
r 730750818665451621361119245571504901405976559617
exp2 159
exp1 107
sign1 1
sign0 1

PBC库函数

这部分参考官方文档