叶 青，赵楠楠，赵宗渠，秦攀科，闫玺玺，汤永利

（河南理工大学计算机科学与技术学院，河南焦作 454000）

0 概述

1991年，CHAUM等人首次提出群签名的概念［1］，其具有匿名性和追踪性。群签名允许群中合法成员代表群对消息进行签名，任意验证者均可利用群公钥来验证该签名的合法性，但无法确定签名者的真实身份，即匿名性；当发生争议时，群管理员可以通过追踪密钥打开签名找到真实的签名者，即追踪性。群签名的匿名性和追踪性使其被广泛应用于多种场景，如电子投票、电子商务系统和可信计算等。文献［2］指出，基于经典数论难题的传统密码方案［3-5］在多项式时间内会被量子计算机破解，基于格的新型密码体制将成为后量子密码时代的研究热点。

2010年，GORDON等人在Asiacrypt2010会议上提出格上群签名方案［6］，但该方案的密钥长度和签名长度都与群成员数量呈线性关系。2013年，LANGUILLAUMIE等人在Asiacrypt2013会议上提出一种密钥长度、签名长度与群成员数量呈对数关系的群签名方案［7］，虽然缩短了密钥长度和签名长度，但由于两者均依赖于群成员数量，因此该方案并不适用于大群组的群签名系统。2015年，NGUYEN等人提出一种简单高效的群签名方案［8］，该方案的密钥长度和签名长度与群成员数量无关，适用于大群组的群签名系统，但由于群成员私钥由群管理员产生，因此不能抵抗群管理员对群成员的陷害攻击。考虑到用户加入群的动作在任意时间都有可能发生，并且当发现某些群成员有行为不端的现象时，群管理员应有权撤销不法成员的签名权力，因此，群签名系统应包含支持群成员动态加入、撤销的加入机制和撤销机制［9-10］。……