## 从同态漏洞到隐私魔法：深入理解盲 RSA 签名 (Blind RSA)

在[上一篇文章](https://cloud.tencent.com.cn/developer/article/2634465)中，我们聊到了经典 RSA 签名。它虽然奠定了数字签名的基础，但其“教科书版本”存在一个致命的弱点——**乘法同态性**。黑客可以利用这个特性，把两份已有的签名相乘，凭空伪造出一份新文件的签名。为了堵住这个漏洞，现代密码学引入了**哈希函数 (Hash)**，把 RSA 签名升级成了固若金汤的 RSA-FDH。
但是，密码学巨擘 David Chaum 在 1982 年盯着这个所谓的“漏洞”时，脑海中却闪过一个疯狂的念头：**如果这个“漏洞”本来就是一种特性呢？我们能不能利用它，让签名者在“闭着眼睛”的情况下，对一份他根本看不见的文件进行签名？**
**盲签名 (Blind Signature)** 就此诞生！它最初是被 Chaum 构想用来实现“不可追踪的电子现金”。**其核心理念是让银行能够证明电子货币的有效性，但同时保证任何人（甚至银行自己）都无法追踪这笔钱的使用轨迹。**
今天刚好有空，我们来拆解下这个化腐朽为神奇的 **盲 RSA 签名 (Blind RSA)**。

---

## 1. 温故知新：标准 RSA 签名回顾

在讲盲签名之前，具体也可以看我上篇文章 [RSA数字签名（从“教科书”到现实应用安全）](https://cloud.tencent.com.cn/developer/article/2634465)我们花半分钟快速回顾一下标准 RSA 的核心概念:
- **公钥 ($pk$)**：$(N, e)$。用来验证签名（或加密）。
- **私钥 ($sk$)**：$(N, d)$。用来生成签名（或解密）。

在常规场景下，你要找大佬 (Signer) 签名：
1. 你把文件明文 $m$ 递过去。
2. 大佬用私钥签名：$\sigma = m^d \bmod N$。
3. 别人用公钥验证：$m \stackrel{?}{=} \sigma^e \bmod N$。

**问题来了**：在很多强调隐私的场景（比如电子投票、匿名代币）里，你**绝对不能**让大佬看到 $m$ 的内容。大佬不仅要“盲签”，而且签完之后，还要能被公开验证。这就需要引入参与盲签名的三个核心角色：**用户 (User)**、**签名者 (Signer)** 和**验证者 (Verifier)**。

---
## 2. 盲 RSA 的核心构造：数学的魔法

想象你有一个保密信封，里面垫了一张复写纸。你把文件放进信封，密封好交给市长。市长在信封外面签字，笔迹穿透复写纸印在了文件上。你拿回来拆开信封，就得到了一份带有市长签名的机密文件。
在 Blind RSA 中，这层“信封和复写纸”就是由我们之前提到的**乘法同态性**来实现的。
### 盲签名语法与流程 (Syntax & Construction)

假设 Alice（用户）想让 Bob（签名者）对消息 $m$ 签名，但不让 Bob 知道 $m$。
**第一步：盲化 (Blinding) —— Alice 把消息装进信封**
Alice 随机选择一个与 $N$ 互素的数字 $r$。这个 $r$ 就是“盲化因子”（也就是那个起掩盖作用的信封）。
她计算出一个盲化后的消息 $m'$：

$$m' = m \cdot r^e \bmod N$$

Alice 把看起来像是一串随机乱码的 $m'$ 发给 Bob。**因为有随机数 $r^e$ 的混淆，Bob 从数学上绝对无法反推出真实的 $m$。**
**第二步：盲签 (Signing) —— Bob 隔着信封签字**
Bob 收到 $m'$ 后，像往常一样用自己的私钥 $d$ 对这串乱码进行签名，得到盲签名 $s'$：

$$s' = (m')^d \bmod N$$

签完后，Bob 把 $s'$ 发还给 Alice。
**第三步：去盲 (Unblinding) —— Alice 拆开信封**
Alice 收到 $s'$ 后，需要把原本加进去的信封 $r$ 剥离掉。她通过乘以 $r$ 的模逆元 $r^{-1}$ 来计算最终的真实签名 $s$：

$$s = s' \cdot r^{-1} \bmod N$$

**正确性证明：为什么这样能成功？**
让我们把 $s'$ 展开，见证奇迹的发生：
$$s = (m \cdot r^e)^d \cdot r^{-1} \pmod N$$
根据指数分配律，将 $d$ 分配进去：
$$s \equiv m^d \cdot r^{ed} \cdot r^{-1} \pmod N$$
还记得 RSA 的核心定理吗？$ed \equiv 1 \pmod{\phi(N)}$，所以 $r^{ed} \equiv r \pmod N$。代入进去：
$$s \equiv m^d \cdot r \cdot r^{-1} \pmod N$$
因为 $r \cdot r^{-1} \equiv 1$，所以最终：

$$s \equiv m^d \pmod N$$

**大功告成！** Alice 得到的结果 $s$，刚好就是原消息 $m$ 的有效签名！而 Bob 这一辈子都不知道自己到底签了什么内容。

----
## 3. 实例：电子投票场景下的硬核计算

光看代数符号可能没有实感，我们把它带入到一个具体的协议场景中——**匿名电子投票 (Anonymous E-Voting)**，并带入一组极小规模的真实参数，手工走一遍这个精妙的过程（只做演示，真实场景的参数设置严谨得多）。
**实例背景：**
市长选举正在进行。Alice 是一位合法选民，她想投票给“4号候选人”（消息 $m = 4$）。
选举委员会 (Bob) 负责发放“有效选票凭证”。
- **矛盾点**：Bob 必须核对 Alice 的身份证，才能给她发凭证（确保一人一票）；但 Bob **绝对不能**知道 Alice 的选票上写了谁的名字（保护投票隐私）。

**初始化系统 (Key Generation)：**
选举委员会 Bob 生成 RSA 密钥（为了方便手工计算，我们选极小的素数）：
1. 选素数 $p = 11, q = 3$，计算模数 $N = 33$。
2. 计算欧拉函数 $\phi(N) = (11-1) \times (3-1) = 20$。
3. 选公钥指数 $e = 3$（必须与 20 互素）。
4. 计算私钥 $d$，满足 $3d \equiv 1 \pmod{20}$。容易算出 $d = 7$（因为 $3 \times 7 = 21 \equiv 1$）。

- **Bob 的公钥 (全网公开)**: $(N=33, e=3)$
- **Bob 的私钥 (绝对保密)**: $(d=7)$

----
### Step 1: Alice 盲化选票 (Blinding - 领票阶段)

Alice 准备好她的选票 $m = 4$，但她不能直接给 Bob 看。
1. Alice 随机选一个“信封” $r = 5$（要求 5 与 33 互素）。
2. 她计算出**盲化消息** $m'$：
	$$m' = m \cdot r^e \bmod N$$
	$$m' = 4 \cdot 5^3 \bmod 33 = 4 \cdot 125 \bmod 33 = 500 \bmod 33$$
	$500 = 33 \times 15 + 5$，所以 **$m' = 5$**。
3. Alice 拿着身份证，并把乱码 `5` 提交给 Bob。Bob 看着 `5`，在数学上完全猜不到信封里装的是 `4`。

### Step 2: Bob 盲签 (Signing - 盖章阶段)

Bob 查验了 Alice 的身份证，确认她还没投过票。
1. Bob 在系统中标记“Alice 已领票”，然后用自己的私钥 $d=7$ 对这个盲化消息进行签名（盖章）：
	$$s' = (m')^d \bmod N = 5^7 \bmod 33$$
	$5^7 = 78125$。
	$78125 \bmod 33 = 14$。
2. Bob 将**盲签名** `14` 发还给 Alice。至此，Bob 的任务结束。

### Step 3: Alice 去盲 (Unblinding - 拆信封阶段)

Alice 拿到了带有 Bob 盖章的信封，现在她要把信封拆掉，提取出里面那张“盖了章的真实选票”。
1. 拆信封需要用到 $r = 5$ 在模 33 下的逆元 $r^{-1}$。
	解方程 $5 \times r^{-1} \equiv 1 \pmod{33}$，容易求出 $r^{-1} = 20$（因为 $5 \times 20 = 100 = 33 \times 3 + 1$）。
2. Alice 计算**真实签名** $s$：
	$$s = s' \cdot r^{-1} \bmod N = 14 \times 20 \bmod 33 = 280 \bmod 33$$
	$280 = 33 \times 8 + 16$，所以真实凭证 **$s = 16$**。

### Step 4: 匿名投票与公开验证 (Casting & Verification)

到了投票日，Alice 使用洋葱网络（Tor）或其他匿名通信方式，把她的真实选票和合法凭证 **$(m=4, s=16)$** 扔进公开的电子投票箱。
全网任何人（包括吃瓜群众）都可以拿着选举委员会的公钥 $e=3$，来验证这张票是不是合法的：
$$\text{验证:} \quad s^e \bmod N = 16^3 \bmod 33 = 4096 \bmod 33$$
$4096 = 33 \times 124 + 4$。
**结果等于 4！完美匹配明文选票 $m$！**
>**奇妙之处在哪里？**
当 Bob（选举委员会）事后查看公开投票箱里的这张选票 $(4, 16)$ 时，他根本无法把它和当初 Alice 提交的 $(5, 14)$ 联系起来。因为从数学上看，没有任何痕迹能把它们绑定。**Alice 实现了完美的匿名性，而系统实现了完美的不可伪造性。魔法变成了现实。**

----
## 4. 总结与后续文章

从上面的流程我们可以看到，盲 RSA 极其优雅地利用了 RSA 的底层代数结构，将原本的“安全漏洞”转化为保护隐私的利器。它直接促成了最早期的密码朋克理想——**不可追踪的匿名电子现金**。
**但这还不是终点。**
随着现代业务的发展，完全匿名的系统也带来了一些管理上的灾难（比如无法控制代币的有效期，或者无法区分不同地域的权限）。我们需要一种机制，既能保持用户的匿名性，又能让签名者在签名里“打上一个公开的标签（比如：2024年10月有效，或者：VIP用户专属）”。
这就引出了密码学中一个更加精妙、在现代隐私网络（如苹果 iCloud Private Relay 和 隐私 VPN）中被大规模应用的技术：**带有公共元数据的 RSA 盲签名 (RSA Blind Signatures with Public Metadata)**。
在这个体系下，如何保证“附加公开信息”的同时不破坏盲签名的匿名性？这里面又有什么新坑和新的数学技巧？

在上一篇文章中，我们聊到了经典 RSA 签名。它虽然奠定了数字签名的基础，但其“教科书版本”存在一个致命的弱点——乘法同态性。黑客可以利用这个特性，把两份已有的签名相乘，凭空伪造出一份新文件的签名。为了堵住这个漏洞，现代密码学引入了哈希函数 (Hash)，把 RSA 签名升级成了固若金汤的 RSA-FDH。但是，密码学巨擘 David Chaum 在 1982 年盯着这个所谓的“漏洞”时，脑海中却闪过一个疯狂的念头：如果这个“漏洞”本来就是一种特性呢？我们能不能利用它，让签名者在“闭着眼睛”的情况下，对一份他根本看不见的文件进行签名？盲签名 (Blind Signature) 就此诞生！它最初是被 Chaum 构想用来实现“不可追踪的电子现金”。其核心理念是让银行能够证明电子货币的有效性，但同时保证任何人（甚至银行自己）都无法追踪这笔钱的使用轨迹。今天刚好有空，我们来拆解下这个化腐朽为神奇的 盲 RSA 签名 (Blind RSA)。

盲RSA签名，原理，数学实例和具体应用(Blind RSA)

经典 RSA ，它虽然奠定了数字签名的基础，但其“教科书版本”存在一个致命的弱点——乘法同态性。黑客可以利用这个特性，把两份已有的签名相乘，凭空伪造出一份新文件的签名。为了堵住这个漏洞，现代密码学引入了哈希函数 (Hash)，把 RSA 签名升级成了固若金汤的 RSA-FDH。
如果这个“漏洞”本来就是一种特性呢？我们能不能利用它，让签名者在“闭着眼睛”的情况下，对一份他根本看不见的文件进行签名？

保密

安全

算法

网络与通信

盲RSA签名巧妙利用RSA的同态特性实现隐私保护，让签名者无法知晓被签内容。文章详细解析了盲签名在电子投票等场景的应用流程，包括盲化、签名、去盲三个关键步骤，并通过具体参数演示了数学运算过程。这种技术完美平衡了身份验证与隐私保护的需求，为匿名电子现金等应用奠定了基础。

哈希函数

数字签名

2026采购季 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

盲RSA签名，原理，数学实例和具体应用(Blind RSA)-腾讯云开发者社区-腾讯云

盲RSA签名，原理，数学实例和具体应用(Blind RSA)

盲RSA签名，原理，数学实例和具体应用(Blind RSA)

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐