Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
BS ISO IEC 20008——匿名数字签名（Anonymous Digital Signatures）标准系列
Information technology — Security techniques — Anonymous digital signatures — Part 1 & Part 2
🕵️ BS ISO/IEC 20008 是英国标准协会（BSI）采用 ISO/IEC 20008 系列发布的关于匿名数字签名（anonymous digital signatures）的信息安全技术标准。匿名数字签名允许签名者在不暴露自身身份的前提下，生成可由公开密钥验证的签名，典型实现包括群签名（group signatures）等基于群公钥的机制。它由英国技术委员会 IST/33（信息安全技术）负责制定，ICS 分类为 35.040。本系列共收录两份标准：第 1 部分规定匿名数字签名的总体要求与设计选项，第 2 部分规定基于群公钥的匿名数字签名机制。匿名数字签名在匿名举报、电子投票、车辆匿名凭证与隐私保护数据聚合等”既要验证来源、又要保护身份”的场景中具有不可替代的价值。
💡 匿名数字签名的核心是”可验证但不可识别”：任何持有群公钥的验证者都能确认签名来自群体，但无法判断具体是哪位成员所签；只有在授权机构执行”撤销”或”追溯”操作时，匿名性才可能被解除。
一、系列概述与定位 📌
在开放网络环境中，数字签名用于保证消息的完整性、来源真实性与不可否认性，但传统签名会把签名者的身份一并暴露。匿名数字签名则在保留这些安全属性的同时，把”身份”从签名中剥离，让验证者只确认”签名确实来自某个受信任群体中的成员”，而无法关联到具体个体。这种性质被形象地称为”成员资格证明”（proof of membership），它构成了匿名凭证、电子投票、匿名举报、车联网（V2X）匿名身份等应用的安全基石。
BS ISO/IEC 20008 系列目前收录的两个部分如下表所示。第 1 部分给出总体模型、设计选项与一致性要求，第 2 部分给出基于群公钥的具体机制，包括具有”链接能力（linking capability）”的变体。
| 标准号 | 中文主题 | 主要内容 | 发布/实施 |
|---|---|---|---|
| BS ISO/IEC 20008-1:2013 | 总体要求（General） | 匿名数字签名的概念、术语、群公钥与多公钥选项、总体要求与通用模型 | 2013-12-15 首版 |
| BS ISO/IEC 20008-2:2013 | 基于群公钥的机制（Mechanisms using a group public key） | 使用群公钥的匿名数字签名机制、一般模型与要求，含具有链接能力的机制 | 2013-11-15 首版 |
⚠️ 匿名签名与盲签名（blind signatures）不同：盲签名让签名者不知道所签消息的内容，匿名签名让验证者不知道签名者的身份。两者可组合使用，但目的与机制完全不同，混用会导致安全性质误解。
二、总体要求与设计选项 🏗️
BS ISO/IEC 20008-1 规定匿名数字签名的总体要求（general requirements），并给出两种基本设计选项：
- 群公钥（group public key）选项：整个群体共享一个公钥，签名者各自持有不同的成员密钥（member private key）。验证者只需持有唯一的群公钥，即可验证任意成员的签名，验证成本低、密钥管理简单。
- 多公钥（multiple public keys）选项：群体中的每位成员拥有独立的公钥，验证者需要持有并维护完整的公钥集合，才能对群体内成员的签名进行验证。
标准围绕这两种选项给出了术语与符号约定、角色划分（如签名者、验证者、群管理者/授权机构）以及一致性与安全属性的定义，包括匿名性、不可伪造性、不可否认性与（可选）可撤销性。这些总体要求为第 2 部分的具体机制实现提供了统一的分析框架，也便于不同实现之间进行安全与效率的比较。
三、基于群公钥的机制与链接能力 🔧
BS ISO/IEC 20008-2 规定使用群公钥的匿名数字签名机制。这类机制通常基于群签名或类似的”匿名凭证”方案，标准规定了：
- 一般模型与要求：定义群公钥、成员密钥、群管理者与撤销机制等要素，并给出签名与验证算法的统一流程。
- 机制实现：给出签名生成、签名验证以及（可选）撤销/追溯的算法步骤与参数要求。
- 链接能力（linking capability）：部分机制允许在保持匿名的前提下，判断”两条签名是否出自同一签名者”，从而在不暴露身份的情况下检测重复投票、重复领取等滥用行为。
链接能力是一种精细的隐私权衡：系统能发现”同一匿名者是同一个人”，却仍然不知道”他是谁”。这在电子投票防重复、优惠发放防刷、匿名论坛防多人一马甲等场景中非常有用，但实现时必须小心，避免链接信息被用来间接刻画用户画像。
💡 群签名机制的”撤销”能力是双刃剑：它让授权机构在必要时（如执法需要、账户滥用）能追溯匿名签名者，但也意味着匿名并非绝对。设计系统时必须明确撤销的权限、触发条件与流程，并接受审计监督。
四、安全属性与工程要点 🛡️
无论采用哪种选项，匿名数字签名系统都应满足一组核心安全属性：
- 匿名性（anonymity / unlinkability）：验证者无法将签名关联到具体签名者，也无法关联同一签名者的不同签名（除非启用链接能力）。
- 不可伪造性（unforgeability）：非成员无法伪造出能通过群公钥验证的签名，防止身份冒充。
- 可撤销性（revocability，可选）：授权机构在特定条件下可以揭示签名者身份，用于追责与合规。
- 防重放与防滥用：借助链接能力或一次性凭证，防止攻击者重放签名或同一成员重复行使资格。
工程实践中还应注意：选择足够强度的群参数（如大素数阶群），采用经过审计的标准密码学实现，妥善保管成员密钥，并为随机数生成器提供足够熵源——随机性缺陷是此类系统最常见的实际安全漏洞之一。
五、应用与实施建议 🔍
匿名数字签名广泛应用于匿名凭证与隐私保护系统。实施建议包括：
- 匿名凭证：为车辆、设备或用户签发匿名身份凭证，使服务方能验证合法身份而不追踪个体，典型如车联网 V2X 消息认证。
- 电子投票与举报：让投票者或举报者匿名地提交可验证内容，同时借助链接能力防止重复投票，必要时支持授权撤销。
- 撤销治理：明确”谁有权、在何种条件下撤销匿名”，建立完善的权限与审计机制，避免权力滥用。
- 合规与方案选择：结合业务是否需要”可追溯”来选择是否启用撤销与链接能力，并评估与 ISO/IEC 9796、ISO/IEC 14888 等签名标准的互补关系。
六、常见问题解答 ❓
❓ 问：匿名数字签名如何做到”可验证但匿名”？
答：签名者使用个人持有的成员密钥生成签名，验证者只用唯一的群公钥确认签名来自群体；由于签名中不携带成员身份信息，验证者无法确定具体签名者。
答：签名者使用个人持有的成员密钥生成签名，验证者只用唯一的群公钥确认签名来自群体；由于签名中不携带成员身份信息，验证者无法确定具体签名者。
❓ 问：群公钥与多公钥选项有什么区别？
答：群公钥方案全体成员共享一个公钥、验证简单、密钥管理集中；多公钥方案每位成员有独立公钥，验证需持有完整公钥集合。两者在验证效率、密钥分发与匿名强度上各有取舍。
答：群公钥方案全体成员共享一个公钥、验证简单、密钥管理集中；多公钥方案每位成员有独立公钥，验证需持有完整公钥集合。两者在验证效率、密钥分发与匿名强度上各有取舍。
❓ 问：匿名是否绝对？
答：不一定。许多群签名机制支持”撤销”，授权机构在特定条件下可追溯签名者；启用”链接能力”的机制还能在不暴露身份的前提下关联同一签名者的不同签名，因此匿名性通常是”有条件的”。
答：不一定。许多群签名机制支持”撤销”，授权机构在特定条件下可追溯签名者；启用”链接能力”的机制还能在不暴露身份的前提下关联同一签名者的不同签名，因此匿名性通常是”有条件的”。
❓ 问：匿名签名与盲签名有什么区别？
答：盲签名解决”签名者不知道消息内容”，匿名签名解决”验证者不知道签名者身份”。前者常用于电子现金与匿名投票，后者常用于匿名凭证、举报与成员资格证明。
答：盲签名解决”签名者不知道消息内容”，匿名签名解决”验证者不知道签名者身份”。前者常用于电子现金与匿名投票，后者常用于匿名凭证、举报与成员资格证明。
❓ 问：实施匿名数字签名系统要注意哪些风险？
答：主要风险包括群参数强度不足、密码学实现有缺陷、成员密钥泄露、随机数生成器熵不足，以及撤销与链接能力被滥用导致的隐私侵害，需通过审计、密钥管理与权限治理加以控制。
答：主要风险包括群参数强度不足、密码学实现有缺陷、成员密钥泄露、随机数生成器熵不足，以及撤销与链接能力被滥用导致的隐私侵害，需通过审计、密钥管理与权限治理加以控制。
