PBC（Pairing-based cryptography）库是一个免费的C库（根据GNU Lesser General Public许可证发布），它建立在GMP库的基础上，执行基于配对的加密系统的数学运算

安装教程

该安装教程当前仅适用Linux平台的用户，具体可参考官方文档

下载

首先，在官网下载安装包，可以看到有多个不同的包，这里下载pbc-0.5.14.tar.gz，这是因为安装环境是在Linux平台（如有必要，本文档后续会更新在Windows平台的安装教程）

编译和安装库

对于大多数库，解压缩源程序包后，输入以下命令将其安装到主目录的本地子目录

 $ ./configure --prefix=$HOME/.local  
 $ make  
 $ make install

其中**–prefix**指定了PBC库要安装的目录，您也可以指定到自己喜欢的地方。如果一切正常，您应该会在$HOME/.local中看到新文件，包括include、lib和bin三个文件夹

简单使用

下面是PBC程序foo.c中的内容

#include "pbc.h"

int main(void)
{
    /* call PBC functions */
    return 0;
}

当完成程序编写，则需要gcc来完成程序编译，我们使用以下命令进行编译

$ gcc -o foo foo.c -I ~/.local/include/pbc -L ~/.local/lib -Wl,-rpath ~/.local/lib  -l pbc

编译成功后，会在当前目录生产foo，通过./foo执行即可

BLS实现

本章将介绍如何使用PBC库实现Boneh Lynn Shacham（BLS）签名方案，它基于文件example/bls.c

回顾BLS

我们有三个阶为素数$r$的群$G_1,G_2,G_T$和一个双线性映射$e$，它从$G_1$中获取一个元素，从$G_2$中获取一个元素，并输出$G_T$中的一个元素。我们将其与系统参数$g$一起发布，$g$是$G_2$中随机选择的元素
爱丽丝想在消息上签名。首先，她生成她的公钥和私钥，她的私钥是$Z_r$的一个随机元素$x$，对应的公钥是$g^x$。为了给消息签名，Alice将消息散列到$G_1$的某个元素$h$，然后输出签名$\sigma =h^x$。为了验证签名$\sigma$，Bob检查$e(h,g^x)=e(\sigma ,g)$

代码实现

现在，我们使用PBC库将上述过程转换为C代码。
首先，我们包含必须的头文件pbc/pbc.h

#include <pbc.h>

接着，初始化双线性对，构建双线性对所需的参数param将在执行时被传递进来，即通过./bls < param/a.param来执行该程序

pairing_t pairing;
char param[1024];
size_t count = fread(param, 1, 1024, stdin);
if (!count) pbc_die("input error");
pairing_init_set_buf(pairing, param, count);

我们需要几个element_t变量来保存系统参数、密钥和其他量。我们声明并初始化它们

element_t g, h;
element_t public_key, secret_key;
element_t sig;
element_t temp1, temp2;

element_init_G2(g, pairing);
element_init_G2(public_key, pairing);
element_init_G1(h, pairing);
element_init_G1(sig, pairing);
element_init_GT(temp1, pairing);
element_init_GT(temp2, pairing);
element_init_Zr(secret_key, pairing);

生成系统参数$g$，私钥以及对应公钥

element_random(g);
element_random(secret_key);
element_pow_zn(public_key, g, secret_key);

当给定要签名的消息时，我们首先使用一些标准哈希算法计算其哈希。许多库都可以做到这一点，而且此操作不涉及双线性映射，因此PBC不提供此步骤的函数。对于这个例子，我们的消息已经被散列，这可能使用了另一个库。假设消息散列为“ABCDEF”（48位散列）。我们将这些字节映射到$G_1$的元素$h$并进行签名计算

element_from_hash(h, "ABCDEF", 6);
element_pow_zn(sig, h, secret_key);

为了验证这个签名，我们比较了基于签名$\sigma$和系统参数$g$的双线性映射输出，以及应用于消息哈希$h$和公钥$g^x$的双线性映射输出。如果输出匹配，则签名有效

pairing_apply(temp1, sig, g, pairing);
pairing_apply(temp2, h, public_key, pairing);
if (!element_cmp(temp1, temp2)) {
    printf("signature verifies\n");
} else {
    printf("signature does not verify\n");
}

最后按照上节提到的编译方法编译执行即可看到输出结果

椭圆曲线选取

官方文档中介绍了多种用于双线性映射的椭圆曲线，这里先简要介绍A类椭圆曲线
A类配对(pairing)所用椭圆曲线是在$F_q$域上的曲线$y^2=x^3+x$，其中$q$是素数且满足$q=3\mathrm{m}\mathrm{o}\mathrm{d}4$。$G_1$和$G_2$都是$E(F_q)$群上的点的集合，$G_T$为$F_{q^2}$的一个子群，其阶数$r$为$q+1$的素因子，令$q+1=r\ast h$，一般取$r$为Solinas素数，即$r$具有$2^a\pm 2^b\pm 1$的形式，其中整数$a,b$满足$0<b<a$，此外，PBC库为了方便计算，选择的$q$满足$q=-1\mathrm{m}\mathrm{o}\mathrm{d}12$
由以上知识，就可以得到A类配对的参数，PBC官方库提供的参数结构如下

exp2, exp1, sign1, sign0, r:
  r = 2^exp2 + sign1 * 2^exp1 + sign0 * 1 (Solinas prime)
q, h:
  r * h = q + 1
  其中q是素数, h是12的倍数(因此q = -1 mod 12)

参数具体数值如下

type a
q 8780710799663312522437781984754049815806883199414208211028653399266475630880222957078625179422662221423155858769582317459277713367317481324925129998224791
h 12016012264891146079388821366740534204802954401251311822919615131047207289359704531102844802183906537786776
r 730750818665451621361119245571504901405976559617
exp2 159
exp1 107
sign1 1
sign0 1

PBC库函数

这部分参考官方文档