2.我们的建设

系统是在 Pointcheval‑Sanders (PS) 签名方案的基础上构建的，用于 n 条消息的块，通过将编辑的消息聚合在一个元素中，然后通过一个附加元素证明后者是诚实的产生。不幸的是，这是通过在公钥中添加元素的二次数（以 n 为单位）来完成的，这很快就会变得低效。

我们的方法与有一些相似之处，但在几个重要方面有所不同。我们的第一个区别是我们不是从原始的 PS 签名方案开始，而是从一个特定的实例开始。

其中密钥仅包含两个标量 x 和 y 并且其中签名 (σ1, σ2) ∈ G2 yi · mi ) ，对于一些随机元素 h ∈ G1。是(h, hx n i=1 set of messages { mi } n方案。

在这个阶段，我们有一个不可伪造的可编辑签名方案。为了实现不可链接性，我们使用与中完全相同的技巧，即我们在虚拟公钥下聚合随机消息 t 上的签名，然后编辑 t 以完美隐藏集合{mi}i∈I。连同 PS 签名（我们的变体继承）的可重新随机化性，这导致了不可链接的可编辑签名方案。

我们在这里证明，对于 Sign 或 Derive 算法返回的任何 sig nature σ，Verify 算法都会返回。首先，在没有导出 σ 的情况下，我们注意到第二个验证方程很容易满足，因为σ3和 σ 分别是G1和G2的中性元素。此外，在这种情况下，我们有 e(σ2, g) = e(σx n i=1包括证明。