所提出方案的模型如 图1 所示。模型主要包含了五类实体，即注册中心、防疫凭证发行方、用户、公共场所防疫监管者和智能合约。注册中心颁发、更新和撤销令牌，并进行密接者溯源；防疫凭证发行方签发凭证；用户与注册中心和发行方交互获取令牌和凭证，并生成匿名认证信息展示给验证方；防疫监管者验证凭证有效性并上传信息给智能合约；智能合约验证事务并上传认证信息至区块链。方案包括六个阶段：初始化、注册、签发、认证阶段，详见 表1 。在 表1 中对方案中涉及的主要变量符号进行了说明。

1) 初始化阶段

$\text{Setup}\left(1^{\lambda }\right)\to pp$：输入为安全参数 $\lambda$，输出全局公开参数pp。

$\text{RKGen}\left(pp\right)\to \left(s{k}_{RA},v{k}_{RA},ts{k}_{RA},tp{k}_{RA}\right)$：注册中心执行，输出签发令牌密钥对 $\left(s{k}_{RA},v{k}_{RA}\right)$和密钥对 $\left(ts{k}_{RA},tp{k}_{RA}\right)$。

$\text{IKGen}\left(pp\right)\to \left(is{k}_j,iv{k}_j\right)$：颁发方 $Is{s}_j$运行，生成密钥对 $\left(is{k}_j,iv{k}_j\right)$。

$\text{UKGen}\left(pp,u_i\right)\to \left(us{k}_i,up{k}_i\right)$：用户 $Us{r}_i$执行，输入用户的生物特征 $u_i$，用户可以通过生物特征派生算法中的FE.PkGen与FE.SkGen计算出密钥对 $\left(us{k}_i,up{k}_i\right)$。

$\text{VKGen}\left(pp\right)\to \left(vs{k}_{V_k},vv{k}_{V_k}\right)$：算法由防疫监管者 $V_k$执行，生成用于事务认证的签名密钥对 $\left(vs{k}_{V_k},vv{k}_{V_k}\right)$。

2) 注册阶段

在注册阶段，用户与注册中心交互获取到身份令牌并验证。算法定义如下：

$\text{UReg}\left(pp,us{k}_i,up{k}_i,v{k}_{RA}\right)\to {\pi }_i^{\text{tok}}$：由用户执行，生成身份令牌获取证明 ${\pi }_i^{\text{tok}}$。

$\text{RReg}\left(pp,s{k}_{RA},t,{\pi }_i^{\text{tok}}\right)\to \left(t{k}_i,{\rho }_i\right)$：由注册中心执行，验证令牌获取证明 ${\pi }_i^{\text{tok}}$，若验证通过则为用户 $Us{r}_i$分配一条完全二叉树上的路径 ${\rho }_i$以及相应的令牌 $t{k}_i:=\left(t{k}_i^{\text{tra}},t{k}_{i,n^{\ast }}^{\text{rev}}\right)$，其中 $n^{\ast }\in {\rho }_i\cap S_R^{\left(t\right)}$。RA将 $\left(I{D}_{Us{r}_i},t{k}_i,{\rho }_i\right)$存储至本地数据库 $D{B}_{RA},I{D}_{Us{r}_i}$包含在用户获取证明 ${\pi }_i^{\text{tok}}$中。

${\text{Verify}}_{\text{Usr}}^{\text{tok}}\left(pp,v{k}_{RA},up{k}_i,t{k}_i,{\rho }_i,t\right)\to 1/0$：由用户执行，输入注册中心验证公钥 $v{k}_{RA}$，用户公钥 $up{k}_i$以及用户令牌 $t{k}_i$和路径 ${\rho }_i$进行验证，若验证通过输出1，否则输出0。

3) 签发阶段

在防疫凭证签发阶段，由于防疫凭证生成的非实时性，例如核酸、疫苗报告等，用户无法实时获取到新的防疫凭证。因此在该阶段颁发方将生成的防疫凭证利用用户注册时的公钥 $up{k}_i$进行加密生成密文，并存储在本地凭证数据库 $D{B}_{Is{s}_j}$。当用户 $Us{r}_i$请求时，颁发方查询相应的密文结果并返回给用户。算法定义如下：

$\text{CIssue}\left(pp,up{k}_i,is{k}_j,I{D}_{Us{r}_i}\right)\to C{T}_{j,i}$：输入用户公钥 $up{k}_i$以及身份标识 $I{D}_{Us{r}_i}$和发行方私钥 $is{k}_j$， $Is{s}_j$生成基于用户公钥加密的属性凭证 $C{T}_{j,i}\leftarrow ℰ\text{.}Enc\left(up{k}_i,cre{d}_{j,i}\right)$，并存储 $\left(I{D}_{Us{r}_i},C{T}_{j,i}\right)$到本地凭证数据库 $D{B}_{Is{s}_j}$， $ℰ$为公钥加密算法，例如ElGamal公钥加密算法。

$\text{CObtain}\left(pp,is{k}_i,iv{k}_j,I{D}_{Us{r}_i},C{T}_{j,i}\right)\to cre{d}_{j,i}/\perp$：输入用户私钥 $is{k}_j$以及身份标识 $I{D}_{Us{r}_i}$，加密的属性凭证 $C{T}_{j,i}$和验证公钥 $iv{k}_j$，用户解密出 $cre{d}_{j,i}\leftarrow ℰ\text{.}Dec\left(is{k}_i,C{T}_{j,i}\right)$并验证 $cre{d}_{j,i}$的有效性，如果有效输出 $cre{d}_{j,i}$，否则输出 $\perp$。

4) 认证阶段

在认证阶段，根据访问属性策略集，其中 $N_{pub}$表示所需属性的个数，用户利用令牌及符合的防疫凭证生成匿名认证信息并出示。防疫监管方对出示的认证信息进行验证，验证通过则表明该用户是未撤销用户且满足访问属性策略集。算法定义如下：

：输入用户通过生物特征恢复 $is{k}_i$，验证公钥 $v{k}_{RA}$，追踪公钥 $tp{k}_{RA}$和满足的防疫凭证集合 ${\left\{cre{d}_{j,i}\right\}}_{j\in \left[N_{Iss}\right]}$以及公共场所访问属性策略集，其中 $N_{Iss}$表示防疫发行方的数量，算法输出匿名认证信息 ${\pi }_i^{\text{show}}$和盲化后的聚合凭证 ${\widehat{cred}}_{agg}$。

：算法由公共场所防疫监管者 $V_k$运行，用于验证用户所出示的认证信息是否有效。算法输入RA的验证公钥 $v{k}_{RA}$，用户的匿名认证信息 ${\pi }_i^{\text{show}}$，盲化后的聚合凭证 ${\widehat{cred}}_{agg}$以及访问属性策略集。若无效则输出 $\perp$。否则， $V_k$生成签名值 ${\sigma }_{V_k}\leftarrow \Sigma .Sign\left(s{k}_{V_k},m_{tx}:=\left({\pi }_i^{\text{show}}\parallel msg\right)\right)$，其中 $msg$包含认证场所信息以及时间戳等信息，并将验证事务 $tx:=\left({\sigma }_{V_k},m_{tx}\right)$通过智能合约(SC)验证上传至区块链，Σ为签名算法，例如EdDSA签名算法。

$\text{SVerify}\left(pp,vv{k}_{V_k},tx\right)\to 1/0$：智能合约使用验证算法 $\Sigma .Verify\left(vv{k}_{V_k},tx\right)$对上传的事务进行验证，若验证通过则将数据上传至区块链中，并输出1。否则，表示验证失败输出0。

本方案需要满足以下的安全性以及功能性需求：

匿名性：匿名性是指在凭证认证过程中，除了访问策略的属性值及认证结果外，攻击者无法从匿名认证信息中获取关于用户的任何有效个人信息。

不可伪造性：不可伪造性包含两方面，一是攻击者不能够伪造其它合法用户的匿名认证信息；二是攻击者无法伪造注册中心颁发的有效撤销令牌以及凭证发行方颁发的防疫凭证。

可撤销性：可撤销性是指注册中心能够对非法用户(例如隔离人员等)的身份令牌进行撤销，使其无法生成有效的匿名认证信息，从而保障方案的后向安全性。

不可转移性：不可转移性是指攻击者在认证阶段不能通过伪造用户私钥或派生出用户私钥进行匿名认证信息出示。

不可冒充性：不可冒充性是指攻击者在凭证认证阶段不能够冒充合法用户的身份出示匿名认证信息。

不可篡改性：不可篡改性是指单一的攻击者不能篡改用户进入公共场所的匿名认证信息以及相关公共场所信息。

选择性属性暴露：选择性属性暴露是指用户可以根据公共场所访问策略进行选择性的属性凭证聚合，而不需要出示所有用户的属性凭证。