CN104052608B - 云应用中基于第三方的无证书远程匿名认证方法 - Google Patents

Abstract

本发明公开了一种云应用中基于第三方的无证书匿名认证方法，主要解决现有技术远程双向认证安全性差的问题。其实现步骤是：1)网络管理者M对***进行初始化；2)网络管理者M对用户U进行身份注册，并给用户U颁发***账号；3)网络管理者M对服务提供商S进行身份注册，并给服务提供商S发送合法用户U的部分身份信息；4)用户U使用***账号以匿名方式向服务提供商S发送服务请求；5)服务提供商S与用户U进行双向认证。本发明既消除了对证书的需求，又无密钥托管的弊端，提高了匿名双向认证的安全性，可用于无线体域网中远程用户进行服务请求时的身份认证。

Description

云应用中基于第三方的无证书远程匿名认证方法

技术领域

本发明属于信息安全技术领域，特别涉及无证书远程匿名认证方法，可用于无线体域网WBAN中远程用户身份认证。

背景技术

云计算是目前IT领域的研究热点之一，被认为是继互联网之后的***IT产业革命。云计算是基于互联网和分布式计算技术，将原本各自独立的分散的计算、存储及带宽等资源整合起来形成资源池，向用户屏蔽了存储硬件配置、分布式处理、容灾与备份等细节，将存储资源作为服务通过互联网提供给用户使用。用户按照自己对存储资源的实际需求量向云服务提供商租用池内资源，将用户的计算和存储都转移到云端，省却本地的存储硬件及人员投入，从而减轻用户终端的资源负担。同时，专业云服务提供商一般具有普通用户无法比拟的技术和管理水平，从技术上为用户数据提供更好的冗余备份和灾难恢复。正是云的这些特点使得关于云应用的研究也越来越多。为了实现匿名认证和安全通信，目前已有多种解决方案。

1.基于传统公钥体制实现的远程认证方案：用户和服务器各自拥有公/私钥对及相应的公钥证书，用户利用签名向服务器进行身份认证，并利用用户和服务器之间的共享密钥加密用户身份、用户签名和用户公钥证书，以保证用户匿名性、非否认性。但是由于存在公钥证书管理、证书实时传递和验证使得这类方案计算量太大。

2.基于身份的密码***—IBC：用户具有基于身份的公/私钥对，并利用基于身份的签名算法生成认证请求。当签名通过验证时，服务器对用户进行授权，克服了公钥体制的证书管理等问题，但是该方法由于引入了密钥托管的问题，同时未考虑匿名性要求，故不能实现匿名认证和提供匿名服务，同时计算量很大。

3.基于无证书的公钥密码***—CL-PKC：用户和密钥生成中心各自生成用户部分私钥，由这两部分私钥构成用户完整的私钥，用户利用无证书签名向服务器进行身份认证。这种方法虽然解决了密钥托管的问题，但仍然存在计算复杂度高，不能实现完整的匿名性，且不能抵抗公钥替换攻击和未考虑用户存储空间有限等问题。

发明内容

本发明的目的在于针对上述已有技术的不足，提出云应用中基于第三方的无证书远程匿名认证方法，以解决提高安全强度，实现远程匿名双向认证。

本发明的技术方案是这样实现的：

本发明涉及三个使用云服务的实体：网络管理者M、用户U、服务提供商S。这三个实体在匿名认证***中充当不同的角色：网络管理者M，负责认证***的初始化和注册；用户U，负责向认证***中的服务提供商发送服务请求并接收反馈回来的信息；服务提供商S，负责接收用户请求，收集相关信息并提供相应服务给合法用户。其具体的认证过程包括如下：

(1)网络管理者M对***进行初始化：

1a)网络管理者M公布***参数system＝{G₁,G₂,e,l,q,P,Q_c,H₁,H₂}，其中,G₁是一个阶为素数q的循环加法群，G₂是一个阶为素数q的循环乘法群，e是一个双线性对映射，l是安全系数，P是G₁的生成元，Q_c是网络管理者M的公钥，H₁和H₂是两个无碰撞安全杂凑函数，H₁是将长度不等的0/1序列映射到G₁上的元素的杂凑函数，H₂是将长度不等的0/1序列和G₁中的元素映射到整数乘法群上的一个元素的杂凑函数；

1b)网络管理者M从modq的整数乘法群中随机的选择一个整数s作为它的私钥，并计算它的公钥Q_c＝sP，得到自己的公私钥对(s,Q_c)，其中私钥s必须对外保密，公钥Q_c对外公开；

(2)用户U和服务提供商S进行***注册：

2a)用户U生成自己的公私钥对，并把它的身份和公钥信息发送给网络管理者M，网络管理者M为用户U颁发***账号作为用户U在***中的身份标识；

2b)服务提供商S将自己的身份信息发送给网络管理者M，网络管理者M计算服务提供商S的第一部分私钥并将这个私钥通过安全信道发送给服务提供商S，服务提供商S收到第一部分私钥后计算自己的第二部分私钥并计算公钥对，得到自己的公私钥对；

2c)网络管理者M给服务提供商S颁发合法用户U的***账号；

(3)远程匿名认证：

3a)用户U生成服务请求消息，并发送给服务提供商S；

3b)服务提供商S收到服务请求消息后，检测服务请求时间和用户的有效性，如果有效，则计算会话密钥和消息认证码，并发送应答消息给用户U，如果无效，则拒绝服务；

3c)用户U收到应答消息后，验证服务提供商S的合法性，如果不合法，验证失败，如果合法，则计算会话密钥并验证消息认证码，如果验证成功，则认证结束，否则，认证失败。

本发明与现有技术相比具有如下优点：

(1)实现了匿名性：本发明通过***账号Acn代替用户U的真实身份完成***认证，使得用户U在不暴露身份的情况下享受服务，个人信息得到了保护，实现了匿名性，提高了安全性。

(2)实现了双向认证：本发明在注册阶段实现了用户U和网络管理者M、服务提供商S和网络管理者M之间的双向认证；在远程匿名认证阶段实现了用户U和服务提供商S之间的双向认证。

(3)安全性高：本发明中用户U和服务提供商S是利用用户U的***账号Acn和双方的公私钥对进行身份认证，而网络管理者M只知道用户U的***账号Acn和用户U身份之间的对应关系并没有用户U的私钥，所以网络管理者M不能冒充用户U同服务提供商S完成认证过程，避免了网络管理者M冒充用户U与服务提供商S进行认证。

附图说明

图1是本发明的实现总流程图；

图2是本发明用户的注册子流程图；

图3是本发明服务提供商的注册子流程图；

图4是本发明的认证子流程图。

具体实施方式

参照图1，本发明的实现步骤如下：

步骤1，网络管理者M对***进行初始化：

(1a)网络管理者M根据安全需要，确定安全系数l和素数q的大小，利用椭圆曲线选择合适的循环加法群G₁和循环乘法群G₂构造双线性对映射e(G₁,G₂)→G₂；

(1b)网络管理者M选择两个无碰撞杂凑函数H₁:{0,1}^*→G₁和其中，H₁是将长度不等的0/1序列映射到循环加法群G₁上的一个元素的杂凑函数，H₂是将长度不等的0/1和循环加法群G₁中的元素映射到modq的整数乘法群上的一个元素的杂凑函数；

(1c)网络管理者M从modq的整数乘法群中随机选择一个整数s作为它的私钥，计算Q_c＝sP作为它的公钥,P是循环加法群G₁的生成元；

(1d)网络管理者M公布***参数system＝{G₁,G₂,e,l,q,P,Q_c,H₁,H₂}，其中，q是一个素数，G₁是一个阶为素数q的循环加法群，G₂是一个阶为素数q的循环乘法群，e是一个双线性对映射，l是安全系数，P是循环加法群G₁的生成元,Q_c是网络管理者M的公钥。

步骤2，网络管理者M对用户U进行身份注册：

参照图2，本步骤的具体实现如下：

(2a)用户U从modq的整数乘法群中随机选取一个整数s_U作为自己的私钥，计算公钥Q_U＝s_UP，得到自己的公私钥对(s_U,Q_U)，用户U把它的身份id_U和它的公钥Q_U发送给网络管理者M，其中，P是循环加法群G₁的生成元；

(2b)网络管理者M收到用户U的身份id_U和公钥Q_U，从modq的整数乘法群中随机选取一个整数r₁，计算用户U的***账号Acn＝r₁P，并生成一个签名σ₁＝r₁-sH₂(id_U,Q_U)，网络管理者M将账号管理信息(σ₁,Acn)发送给用户U，其中，P是循环加法群G₁的生成元，s是网络管理者M的私钥；

(2c)用户U收到账号管理信息(σ₁,Acn)后，判断等式Acn＝σ₁P+Q_cH₂(id_U,Q_U)是否成立，如果成立，则存储账号管理信息(σ₁,Acn)，并将***账号Acn作为自己在认证***中的身份标识，如果不成立，则放弃本次注册，其中，P是循环加法群G₁的生成元，Q_c是网络管理者M的公钥，id_U是用户U的身份信息，Q_U是用户U的公钥。

步骤3，网络管理者M对服务提供商S进行身份注册：

参照图3，本步骤的具体实现如下：

(3a)服务提供商S将自己的身份id_S发送给网络管理者M，网络管理者M计算服务提供商S的第一部分私钥并将第一部分私钥S₁通过安全信道发送给服务提供商,其中，s是网络管理者M的私钥，身份消息摘要id_S是服务提供商S的身份信息；

(3b)服务提供商S收到网络管理者M发送过来的第一部分私钥S₁，判断等式是否成立：如果成立，则服务提供商S验证网络管理者M合法，服务提供商S从modq的整数乘法群中随机选取一个整数s₂作为自己的第二部分私钥，得到自己的完整私钥对(S₁,s₂)，并计算公钥对如果不成立，则服务提供商S验证网络管理者M不合法，放弃本次注册过程，其中，P是循环加法群G₁的生成元，身份消息摘要id_S是服务提供商S的身份信息，Q_c网络管理者M的公钥；

(3c)网络管理者M给服务提供商S发送用户U的部分身份信息(σ₁,Acn,Q_U,h)，其中，σ₁是网络管理者M的签名，Acn是用户U的***账号，Q_U是用户U的公钥，h＝H₂(id_U,Q_U)是用户U的身份id_U和公钥Q_U的消息摘要；

(3d)服务提供商S收到网络管理者M发送的用户U的部分身份信息(σ₁,Acn,Q_U,h)后，检测等式Acn＝σ₁P+Q_ch是否成立：如果成立，则服务提供商S存储用户U的部分身份信息(σ₁,Acn,Q_U,h)，并将***账号Acn作为合法用户U的身份标识；如果不成立，则服务提供商S放弃存储，其中，P是循环加法群G₁的生成元。

步骤4，用户U与服务提供商S进行远程匿名认证：

参照图4，本步骤的具体实现如下：

(4a)用户U从modq的整数乘法群中随机选择r₂，计算自己的一次性消息R₁＝r₂P和一次性保护消息R₂＝r₂Q₁,其中，P是循环加法群G₁的生成元，Q₁为服务提供商S的公钥；

(4b)用户U根据自己的一次性消息R₁计算自己的消息摘要h＝H₂(σ₁||t_C,R₁)，其中，σ₁是网络管理者M的签名，t_C是请求服务的时间；

(4c)用户U根据随机选取的整数r₂、自己的私钥s_U和消息摘要h计算信息签名σ₂＝s_U-r₂h；

(4d)用户U计算账号保护消息R₃＝R₁+R₂+Acn，其中，R₁是用户U的一次性消息，R₂是用户U的一次性保护消息，Acn是用户U的***账号；

(4e)用户U用上述得到的一次性保护消息R₂、信息签名σ₂、请求服务的时间t_C和账号保护消息R₃构成服务请求消息M₂＝{R₂,σ₂,t_C,R₃}，并将该服务请求消息M₂发送给服务提供商S；

(4f)服务提供商S收到服务请求信息M₂后，检测服务请求时间t_C与本地时间差是否在***允许范围内，如果在，则服务提供商S用自己的私钥s₂计算自己的一次性消息如果不在，则服务提供商S放弃本次认证，其中，R₂是用户U的一次性保护消息；

(4g)服务提供商S根据自己的一次性消息R′₁、用户U的一次性保护消息R₂和账号保护消息R₃计算用户U的***账号Acn＝R₃-R′₁-R₂，并根据***账号Acn找到用户U的公钥Q_U；

(4h)服务提供商S根据自己的一次性消息R′₁计算自己的消息摘要h'＝H₂(σ₁||t_C,R′₁)，其中，σ₁是网络管理者M的签名，t_C是请求服务的时间；

(4i)服务提供商S根据自己的一次性消息R′₁和消息摘要h'验证等式σ₂P+R′₁h'＝Q_U是否成立：如果成立，则认为用户U合法，服务提供商S用是网络管理者M的签名σ₁计算自己的消息摘要h₁＝H₂(σ₁||t_C||id_S,R₂)；如果不成立，则服务提供商S放弃本次认证，其中，σ₂是用户U的签名，P是循环加法群G₁的生成元，Q_U是用户U的公钥，t_C是请求服务的时间，id_S是服务提供商的身份信息，R₂是用户U的一次性保护消息；

(4j)服务提供商S用自己的私钥对(S₁,s₂)计算签名其中，h₁是服务提供商S的消息摘要，R₁是用户U的一次性消息；

(4k)服务提供商S计算自己的会话密钥key＝H₂(h₁,R′₁)，并用会话密钥key加密自己的消息摘要h₁得到消息认证码MAC_key(h₁)，其中，h₁是服务提供商S的消息摘要，R′₁是服务提供商S的一次性消息；

(4l)服务提供商S用上述生成的签名σ₃和消息认证码MAC_key(h₁)构成回复消息M₃＝{MAC_key(h₁),σ₃}，并将该回复消息M₃发送给用户U作为对用户U服务请求的回复；

(4m)用户U收到服务提供商S发送的回复消息M₃＝{MAC_key(h₁),σ₃}，计算自己的消息摘要h′₁＝H₂(σ₁||t_C||id_S,R₂)，其中，σ₁是网络管理者M的签名，t_C是请求服务的时间,id_S是服务提供商S的身份信息，R₂是用户U的一次性保护消息；

(4n)用户U根据自己的消息摘要h′₁验证等式是否成立：如果成立，则用户U计算自己的会话密钥key'＝H₂(h′₁,R₁)；如果不成立，则认为服务提供商S是非法的，放弃本次认证，其中，σ₃是服务提供商S的签名，Q₁、Q₃是服务提供商S的公钥，R₁是用户U的一次性消息；

(4o)用户U用自己的会话密钥key'解密消息认证码MAC_key(h₁)，得到服务提供商S的消息摘要h₁，并验证服务提供商S的消息摘要h₁和自己的消息摘要h′₁是否相等，如果相等，则认为验证成功，否则，验证失败。

以上描述仅是本发明的一个具体实例，并不构成对本发明的任何限制。显然对于本领域的专业人员来说，在了解了本发明内容和原理后，都可能在不背离本发明原理、结构的情况下，进行形式和细节上的各种修正和改变，但是这些基于本发明思想的修正和改变仍在本发明的权利要求保护范围之内。

Claims (8)

1.一种基于第三方的无证书远程匿名认证方法，包括以下步骤：

(1)网络管理者M对***进行初始化：

1a)网络管理者M公布***参数system＝{G₁,G₂,e,l,q,P,Q_c,H₁,H₂}，其中,G₁是一个阶为素数q的循环加法群，G₂是一个阶为素数q的循环乘法群，e是一个双线性对映射，l是安全系数，P是G₁的生成元，Q_c是网络管理者M的公钥，H₁和H₂是两个无碰撞安全杂凑函数，H₁是将长度不等的0/1序列映射到G₁上的元素的杂凑函数，H₂是将长度不等的0/1序列和G₁中的元素映射到整数乘法群上的一个元素的杂凑函数；

1b)网络管理者M从mod q的整数乘法群中随机的选择一个整数s作为它的私钥，并计算它的公钥Q_c＝sP，得到自己的公私钥对(s,Q_c)，其中私钥s必须对外保密，公钥Q_c对外公开；

(2)用户U和服务提供商S进行***注册：

2a)用户U生成自己的公私钥对，并把它的身份和公钥信息发送给网络管理者M，网络管理者M为用户U颁发***账号作为用户U在***中的身份标识；

2b)服务提供商S将自己的身份信息发送给网络管理者M，网络管理者M计算服务提供商S的第一部分私钥并将这个私钥通过安全信道发送给服务提供商S，服务提供商S收到第一部分私钥后从modq的整数乘法群中随机选取一个整数s₂作为自己的第二部分私钥，得到自己的私钥对(S₁,s₂)，再根据自己的私钥对(S₁,s₂)计算自己的公钥对：其中，P是循环加法群G₁的生成元，消息摘要id_S是服务提供商S的身份信息，得到自己的公私钥对{(S₁,s₂),(Q₁,Q₂,Q₃)}；

2b1)服务提供商S收到第一部分私钥S₁后，从mod q的整数乘法群中随机选取一个整数s₂作为自己的第二部分私钥，得到自己的私钥对(S₁,s₂)；

2b2)服务提供商S根据自己的私钥对(S₁,s₂)计算自己的公钥对：其中，P是循环加法群G₁的生成元，消息摘要id_S是服务提供商S的身份信息，得到自己的公私钥对{(S₁,s₂),(Q₁,Q₂,Q₃)}；

2c)网络管理者M给服务提供商S发送合法用户U的部分身份信息；

(3)远程匿名认证：

3a)用户U生成服务请求消息，并发送给服务提供商S：

3a1)用户U从mod q的整数乘法群中随机选取一个整数r₂，计算自己的一次性消息R₁＝r₂P和一次性保护消息R₂＝r₂Q₁,其中，P是循环加法群G₁的生成元，Q₁为服务提供商S的公钥；

3a2)用户U根据自己的一次性消息R₁计算自己的消息摘要h＝H₂(σ₁||t_C,R₁)，其中，σ₁是网络管理者M的签名，t_C是请求服务的时间；

3a3)用户U根据随机选取的整数r₂、自己的私钥s_U和消息摘要h计算信息签名σ₂＝s_U-r₂h；

3a4)用户U计算账号保护消息R₃＝R₁+R₂+Acn，其中，R₁是用户U的一次性消息，R₂是用户U的一次性保护消息，Acn是用户U的***账号；

3a5)用上述得到的一次性保护消息R₂、信息签名σ₂、请求服务的时间t_C和账号保护消息R₃构成服务请求消息M₂＝{R₂,σ₂,t_C,R₃}；

3b)服务提供商S收到服务请求消息后，检测服务请求时间和用户的有效性，如果有效，则计算会话密钥和消息认证码，并发送回复消息给用户U，如果无效，则拒绝服务；

3c)用户U收到回复消息后，验证服务提供商S的合法性，如果不合法，验证失败，如果合法，则计算会话密钥并验证消息认证码，如果验证成功，则认证结束，否则，认证失败。

2.根据权利要求1所述的基于第三方的无证书远程匿名认证方法，其中步骤2a)所述的用户U生成自己的公私钥对，按如下步骤进行：

2a1)用户U从mod q的整数乘法群中随机选取一个整数s_U作为自己的私钥；

2a2)用户U根据私钥计算公钥Q_U＝s_UP，得到自己的公私钥对(s_U,Q_U)；

其中P是循环加法群G₁的生成元。

3.根据权利要求1所述的基于第三方的无证书远程匿名认证方法，其中步骤2a)所述的网络管理者M为用户U颁发***账号，是由网络管理者M先从mod q的整数乘法群中随机选取一个整数r₁再计算用户U的***账号Acn＝r₁P，其中P是循环加法群G₁的生成元。

4.根据权利要求1所述的基于第三方的无证书远程匿名认证方法，其中步骤2b)所述的网络管理者M计算服务提供商S的第一部分私钥，按如下步骤进行：

2b1)网络管理者M计算消息摘要其中id_S是服务提供商的身份信息；

2b2)根据消息摘要计算服务提供商S的第一部分私钥：其中s是网络管理者M的私钥。

5.根据权利要求1所述的基于第三方的无证书远程匿名认证方法，其中步骤3b)所述的检测服务请求时间和用户的有效性,按如下步骤进行：

3b1)服务提供商S检测服务请求时间与本地时间差是否在***允许范围内，如果在，则认为服务请求时间有效，否则，认为无效；

3b2)服务提供商S用自己的私钥s₂计算自己的一次性消息其中R₂是用户U的一次性保护消息；

3b3)服务提供商S根据自己的一次性消息R′₁、用户U的一次性保护消息R₂和账号保护消息R₃计算用户U的***账号Acn＝R₃-R′₁-R₂，并根据***账号Acn找到用户U的公钥Q_U；

3b4)服务提供商S根据自己的一次性消息R′₁计算自己的消息摘要h'＝H₂(σ₁||t_C,R′₁)，其中，σ₁是网络管理者M的签名，t_C是请求服务的时间；

3b5)服务提供商S根据自己的一次性消息R′₁和消息摘要h'验证等式σ₂P+R′₁h'＝Q_U是否成立，其中，σ₂是用户U的签名，P是循环加法群G₁的生成元，Q_U是用户U的公钥，如果成立，则认为用户U合法，否则，认为用户U不合法。

6.根据权利要求1所述的基于第三方的无证书远程匿名认证方法，其中步骤3b)所述的计算会话密钥和消息认证码，按如下步骤进行：

3b1)服务提供商S计算自己的会话密钥key＝H₂(h₁,R′₁)，其中，h₁是服务提供商S的消息摘要，R′₁是服务提供商S的一次性消息；

3b2)服务提供商S用会话密钥key加密自己的消息摘要h₁得到消息认证码MAC_key(h₁)。

7.根据权利要求1所述的基于第三方的无证书远程匿名认证方法，其中步骤3c)所述的验证服务提供商S的合法性，按如下步骤进行：

3c1)用户U计算自己的消息摘要h′₁＝H₂(σ₁||t_C||id_S,R₂)，其中，σ₁是网络管理者M的签名，t_C是请求服务的时间，id_S是服务提供商S的身份信息，R₂是用户U的一次性保护消息；

3c2)用户U验证等式是否成立，如果等式成立，则认为服务提供商S合法，否则，认为服务提供商S非法，其中，Q₁、Q₃是服务提供商S两个不同的公钥，σ₃是服务提供商S的签名，R₁是用户U的一次性消息，P是循环加法群G₁的生成元，h′₁是用户U的消息摘要。

8.根据权利要求1所述的基于第三方的无证书远程匿名认证方法，其中步骤3c)所述的计算会话密钥并验证消息认证码，按如下步骤进行：

3c1)用户U计算自己的会话密钥key'＝H₂(h′₁,R₁)，其中，h′₁是用户U的消息摘要，R₁是用户U的一次性消息；

3c2)用户U用自己的会话密钥key'解密消息认证码MAC_key(h₁)，得到服务提供商S的消息摘要h₁，并验证该消息摘要h₁与用户U的消息摘要h′₁是否相等，如果相等，则认为验证成功，否则，验证失败。