其实 keygen 之后，可以不执行 refresh 的，作者写出 refresh 是为了方案的完备性的。

refresh 本应该在后台周期性执行，但是由于 refresh 中生成的 Paillier 和 ring-Pedersen 参数会被 presign 用到，所以 keygen 后必须执行 refresh 才能签名成功。

为了避免在签名前必须执行 refresh，可在 keygen 中生成 presign 用到的 Paillier 和 ring-Pedersen 参数：

• round_1

  • 输入：$(ssid,i)$
  • 生成私钥分片 $x_i\in F_q$ 和公钥分片：$X_i=g^{x_i}$，其中 $x_i\in F_q$ 是私钥分片
  • zk-schnorr 承诺： $(A_i,\tau )=M(com,\prod ^{sch})$，其中 $A_i=g^{\tau }$ 是 proof，$\tau$ 是随机数
  • 生成随机数 $sri{d}_i={\{0,1\}}^k,u_i={\{0,1\}}^k$

  • 生成 Paillier & ring-Pedersen

    • 生成 Paillier 公钥 $N_i$ 和私钥 $(p_i,q_i)$，其中 $N_i=p_i\cdot q_i$
    • 生成 ring-Pedersen 公钥 $(N_i,s_i,t_i)$ 和私钥 $\lambda$，其中 $s_i=t_i^{\lambda }$ mod $N_i$
  • 生成承诺 $V_i=Hash(ssid,i,sri{d}_i,X_i,A_i,u_i,N_i,s_i,t_i)$
  • 广播 $V_i$

• round_2

  • 收到 $P_j$ 的 $V_j$ 后，广播 $(ssid,i,sri{d}_i,X_i,A_i,u_i,N_i,s_i,t_i)$

• round_3

  • 收到 $P_j$ 的 $(ssid,j,sri{d}_j,X_j,A_j,u_j,N_i,s_i,t_i)$ 后，验证 $H(ssid,j,sri{d}_j,X_j,A_j,u_j,N_i,s_i,t_i)=V_j$
  • 将 $srid$ 设为所有其它 $P_j$ 的 $sri{d}_j$ 的 xor：$srid=\underset{j}{⨁}sri{d}_j$

  • zk-schnorr 证明： ${\psi }_i=M(prove,\prod ^{sch},(ssid,i,srid),X_i;x_i,\tau )$，证明知道私钥分片 $x_i$

    其中，$(ssid,i,srid)$ 用来生成挑战 $c$，${\psi }_i=\tau +c\cdot x_i$

  • 生成 Paillier & ring-Pedersen 的 proof 

    • 生成 $N_i$ 是 Paillier-Blum Modulus 的 zk-proof

      • 计算 ${\psi }_i=M(prove,\prod ^{mod},(sid,i),N_i;p_i,q_i)$
      • 计算 ${\psi }_i^{\prime }=M(prove,\prod ^{mod},(sid,i,{\psi }_i),N_i;(p_i,q_i))$

    • 生成 $(N_i,s_i,t_i)$ 是 ring-Pedersen param 的 zk-proof，即 $s_i$ 属于 $t_i$ 生成的群中的元素，群的阶为 $N_i$

      • 计算 ${\psi }_i^{″}=M(prove,\prod ^{prm},(sid,i),(N_i,s_i,t_i);\lambda )$
  • 向 $P_j$ 发送 $(ssid,i,{\psi }_i,{\psi }_i^{\prime },{\psi }_i^{″})$

• final

  • 收到 $P_j$ 的 $(ssid,j,{\psi }_j)$
  • zk-schnorr 验证：$M(vrfy,\prod ^{sch},(ssid,j,srid),X_j,{\psi }_j)=1$

  •  验证 Paillier & ring-Pedersen 的 proof

    • 验证 $M(vrfy,\prod ^{mod},(sid,j),N_j,{\psi }_j)=1$
    • 验证 $M(vrfy,\prod ^{mod},(sid,j,{\psi }_j),N_j,{\psi }_j^{\prime })=1$
    • 验证 $M(vrfy,\prod ^{prm},(sid,j),(N_j,s_j,t_j,\rho ),{\psi }_j^{″})=1$
  • 计算公钥：$X=\prod _j{X}_j$