в изначальном вопросе описано как это достигается симметричной криптографией, сверху я бросил и код с имплементацией

и еще пару папир которые описывают алгоритмы решающие эту задачу

или похожую

Sequential Aggregate Signatures
оригинальная https://hovav.net/ucsd/dist/rsaagg.pdf и модификация https://eprint.iacr.org/2011/222.pdf

Решают очень похожую задачу, но к сожалению ничего не говорят об 1. свойстве

всеми, кто обладает token1 ?

и token2

token1 = data1.apikey1.signature1
  where signature1 = sign(data1.apikey1, secret1)

token2 = data1.apikey1.data2.apikey2.signature2
  where signature2 = sign(data1.apikey1.signature1.data2.apikey2, secret2)

вот тут структрура описана

из нее видно что доступно обладателю token2, что обладателю token1

а почему в token2 нет signature1 в явном виде?

хотя в подписных данных она есть

ну вот потому и нет, что из token2 невозможно получить token1 ) но при этом оно включено в подпись, т.е. верификатор может проверить, что token2 был получен обладателем token1

кайф и супер, все условия задачи выполнены. но я знаю как это заимплеменить только подписями с симметричными ключами

(и заимплементил в коде сверху)

1) User1 генерирует пару, приватный и публичный ключи. User2 тоже генерирует пару.
2) User1 & User2 обмениваются публичными ключами.
3) User1 шифрует документ, который хочет отправить, с помощью публичного ключа User2,
4) отсылает зашифрованный документ User2,
5) и User2 теперь с помощью своего приватного ключа, может расшифровать документ. Даже User1 который шифровал и отправлял документ, не может расшифровать это сообщение, и не имеет доступа к приватному ключу User2.

А в такой ассиметричной схеме, что в ней не так для этой задачи, и на каком этапе? В ней по идее можно последовательно обернуть, при этом публичные ключи будут известны или их наличие по идее, но приватные нет.

Я себе просто чтобы понять ), ну то есть можно ли изменить такую стандартную ассим. схему или она в корне не о том. Потому что по структуре которую ты приводил и из обсуждения, пока я не очень понял.

я вроде понял, о чем речь, но это не про те сигнатуры, M из N
на которые я ссылку давал.

это (вроде) валидное предложение, но требует сложной коммуникации между агентами и в целом сводит идею на нет

но если за одного из UserX взять верификатор?

то есть все узлы обменяются с верификатором публичным ключом.

X509 еще прикрутите чтобы еще больше все запутать :)

не не надо )) у нас я где-то это уже проходил или что-то похожее, с RSA