CN106357397A - 发送者可认证的非对称群密钥协商方法 - Google Patents

Abstract

本发明公开了一种发送者可认证的非对称群密钥协商方法，该方法包括一下步骤：设置步骤，提取步骤，协商步骤，生成加密密钥步骤，生成解密密钥步骤，签名和加密步骤，解密和验证步骤。本发明有以下特点：满足消息的机密性、前向安全性、发送者可认证性和隐私性、发送者动态性；由于没有使用通用变换，减少了计算代价。

Description

发送者可认证的非对称群密钥协商方法

技术领域

本发明属于信息安全领域，具体涉及一种发送者可认证的非对称群密钥协商方法。

背景技术

群组通信是指多个用户在一个信道内进行通信。随着网络电视等面向群组的应用的发展，群组通信拥有越来越广泛的应用场景，这些应用要求数据可以安全地从一个实体发送给一组接受者。群组通信的安全性要得到保障，需考虑消息的机密性、前向安全性、发送者可认证性和隐私性，以及发送者动态性。

为了满足上述安全属性，群密钥协商和广播加密被广泛使用。群密钥协商能够使群组内的用户建立一个共享的密钥，群组用户之间可以互相机密和匿名地通信。缺点是当有外部用户要给群组用户发送秘密消息时，发送者需要与群组用户协商新的密钥，在外部用户频繁变化的情况下群密钥协商的效率较低，无法满足发送者高动态性。此外，群密钥协商需要用户间至少两轮才能建立群密钥，对于群组内不同时区的用户，同时在线比较困难。广播加密没有上述缺点，但对称广播加密需要可信第三方，或者密文长度随着群组用户的增加而增加。此外，现有同时满足消息的机密性、前向安全性、发送者可认证性和隐私性，以及发送者动态性的广播加密普遍效率较低。

为了避免群密钥协商和广播加密的缺点，非对称群密钥协商被提出来，非对称群密钥协商中群组用户有一个共同的加密密钥和各自的解密密钥。与传统群密钥协商相比，非对称群密钥协商中，外部用户只需知道公开的加密密钥就可以向群组内的用户发送加密的消息，而且非对称群密钥协商只需一轮就可以建立加解密密钥。与广播加密相比，非对称群密钥协商无需可信第三方维护***，而且密文的长度是不变的。

但是现有的非对称群密钥协商没有达到发送者可认证性和隐私性，而且现有的基于身份的非对称群密钥协商使用通用变换达到选择密文攻击安全，而这种方式效率不高。

发明内容

本发明的目的在于：针对现有非对称群密钥协商方法中的缺点，提供一种发送者可认证的非对称群密钥协商方法，该方法满足消息的机密性、前向安全性、发送者可认证性和隐私性、发送者动态性，而且达到已知密钥安全，无密钥托管，满足选择密文攻击安全同时不扩展密文长度。

实现本发明目的的具体技术方案是：

一种发送者可认证的非对称群密钥协商方法，该方法由用户和密钥生成中心(KGC)实现，其中用户包括群成员以及群外用户，发送者为用户；特点是该方法包括下列步骤：

步骤1：设置

密钥生成中心输入安全参数，选取主密钥，生成全局参数Λ，并公布全局参数；

步骤2：提取

将用户的身份标识作为输入，通过主密钥和哈希函数计算出该身份标识对应的私钥；

步骤3：协商

每个群成员使用各自的身份标识、私钥和会话标识，与全局参数计算得到协商参数，并公布协商参数；

步骤4：生成加密密钥

群成员使用各自的身份标识和会话标识，与协商参数计算得到群组加密密钥，非群成员的发送者计算后再使用双线性映射判断是否输出群组加密密钥；

步骤5：生成解密密钥

群成员使用协商参数计算得到解密密钥，并使用双线性映射判断解密密钥是否有效；

步骤6：签名和加密

发送者使用身份标识、私钥和群组加密密钥对消息进行签名和加密；

步骤7：解密和验证

用户使用解密密钥对签密的消息进行解密和验证。

步骤6所述发送者使用身份标识、私钥和群组加密密钥对消息进行签名和加密，具体包括：

1)、发送者选择随机数x，计算C₁＝xP，C₁为签名的一部分，P为循环群的生成元，h＝H₆(C₁，m，id_i)，h为C₁、消息m和身份标识id_i的哈希值，H₆表示哈希函数，F＝hS_i，2+xP_pub，F为签名的一部分，S_i，2为发送者的一部分私钥，P_pub为密钥生成中心生成的公钥，则发送者对消息m的签名为(C₁，F)；

2)、计算C₂＝xE，C₂、C₃分别为一部分加密后的消息，E和ζ分别为一部分群组加密密钥，H₅表示哈希函数；

3)、签名并加密后的消息为(C₁，C₂，C₃)。

步骤7所述用户使用解密密钥对签密的消息进行解密和验证，具体包括：

1)、用户U_i计算W_i＝H₃(sid_v，i)，W_i为会话标识sid_v和整数i的哈希值，H₃为哈希函数，H₅为哈希函数，D_i为群组解密密钥，h＝H₆(C₁，m，id_i)，h为C₁、m和id_i的哈希值，H₆为哈希函数；

2)、U_i判断下列等式是否成立，e(F，P)＝e(C₁+hH₁(id_i，2)，P_pub)，H₁表示哈希函数，如果等式成立，输出(m，id_i，σ)，σ表示消息m的签名，否则验证失败。

本发明的优点是：

(1)本发明满足消息的机密性、前向安全性、发送者可认证性和隐私性、发送者动态性。

(2)本发明由于没有使用通用变换，减少了计算代价。

附图说明

图1为本发明的流程图。

具体实施方式

本发明包括如下实体：用户、密钥生成中心(KGC)，其中用户包括群成员以及群外用户，发送者可为任意用户；其包括下列步骤：

步骤1：设置

KGC输入安全参数，选取主密钥，生成非对称群密钥协商方法的全局参数Λ，并公布全局参数。具体如下：

1)输入安全参数选取两个阶为q的循环群G₁、G₂，选取一组双线性映射e：G₁×G₂→G₂，选取一个生成元P∈G₁；

2)选取一个随机数s，满足表示1和q-1之间的整数集合，该随机数作为主密钥，设置公钥为P_pub＝sP；

3)选取6个哈希函数， l₀表示身份的长度，l₁表示G₁的元素的长度，l₂表示G₂的元素的长度，l₃表示状态信息的长度，l₄表示明文消息的长度；

4)全局参数为Λ＝(q，G₁，G₂，e，P，P_pub，H₁～H₆)。

步骤2：提取

将用户的身份标识作为输入，通过主密钥和哈希函数计算出该身份标识对应的私钥。具体如下：

1)假设某一用户的身份标识为id_i，计算Q_i，0＝H₁(id_i，0)，Q_i，1＝H₁(id_i，1)，Q_i，2＝H₁(id_i，2)，Q_i，0、Q_i，1、Q_i，2分别为哈希值；

2)私钥为(S_i，0＝sQ_i，0，S_i，1＝sQ_i，1，S_i，2＝sQ_i，2)，S_i，0、S_i，1、S_i，2分别为私钥的一部分。

步骤3：协商

每个群成员使用各自的身份标识、私钥和会话标识，与全局参数计算得到协商参数，并公布协商参数。具体如下：

1)假设有n个用户，每个用户U_i拥有自己的身份标识id_i和对应的私钥(S_i，0＝sQ_i，0，S_i，1＝sQ_i，1，S_i，2＝sQ_i，2)，会话标识为sid_v；

2)U_i选取两个随机数表示1和q-1之间的整数集合，计算R_i＝r_iP，Z_i＝z_iP，V＝H₂(sid_v)，R_i和Z_i分别为协商参数的一部分，V为会话标识的哈希值，f_i＝H₄(sid_v，id_i，R_i，Z_i)，f_i为会话标识、身份标识和部分协商参数的哈希值；

3)j为整数，满足1≤j≤n，计算W_j＝H₃(sid_v，j)，W_j为会话标识和整数j的哈希值，X_i，j＝S_i，0+f_iS_i，1+z_iV+r_iW_j，X_i，j为协商参数的一部分；

4)协商参数为{X_i，j}_{j∈{1，..，n}，j≠i}表示X_i，j组成的集合。

步骤4：生成加密密钥

群成员使用各自的身份标识和会话标识，与协商参数计算得到群组加密密钥，群外用户计算得到群组加密密钥后再使用双线性映射判断是否输出群组加密密钥。具体如下：

1)群成员或者群外用户计算V＝H₂(sid_v)，W_j＝H₃(sid_v，j)，其中j∈{1，2}，f_i＝H₄(sid_v，id_i，R_i，Z_i)，Q_i，0＝H₁(id_i，0)，Q_i，0为身份标识和整数0的哈希值，Q_i，1＝H₁(id_i，1)，Q_i，1为身份标识和整数1的哈希值，Y为哈希值运算后的累加值；

2)群成员输出加密密钥(E，ζ)，E和ζ分别为加密密钥的一部分，其中

3)群外用户判断如下两个等式是否成立，e(X_1，2，P)＝e(Q_1，0+f₁Q_1，1，P_pub)e(V，Z₁)e(W₂，R₁)，如果两个等式成立则设置判别值Υ＝1，否则Υ＝0；

4)如果Υ＝1，则输出加密密钥(E，ζ)，否则终止；

步骤5：生成解密密钥

群成员使用协商参数计算得到解密密钥，并使用双线性映射判断解密密钥是否有效。具体如下：

1)用户U_i计算解密密钥X_l，i为协商参数的一部分；

2)U_i判断等式e(D_i，P)＝ζe(W_i，E)是否成立，如果成立，U_i将D_i作为解密密钥存储。

步骤6：签名和加密

发送者使用身份标识、私钥和群组加密密钥对消息进行签名和加密。具体如下：

1)发送者选择随机数x，计算C₁＝xP，C₁为签名的一部分，P为循环群的生成元，h＝H₆(C₁，m，id_i)，h为C₁、消息m和身份标识id_i的哈希值，H₆表示哈希函数，F＝hS_i，2+xP_pub，F为签名的一部分，S_i，2为发送者的一部分私钥，P_pub为KGC生成的公钥，则发送者对消息m的签名为(C₁，F)；

2)计算C₂＝xE，C₂、C₃分别为一部分加密后的消息，E和ζ分别为一部分群组加密密钥，H₅表示哈希函数；

3)签名并加密后的消息为(C₁，C₂，C₃)。

步骤7：解密和验证

用户使用解密密钥对签名并加密的消息进行解密和验证。具体如下：

1)用户U_i计算W_i＝H₃(sid_v，i)，W_i为会话标识sid_v和整数i的哈希值，H₃为哈希函数，H₅为哈希函数，D_i为群组解密密钥，h＝H₆(C₁，m，id_i)，h为C₁、m和id_i的哈希值，H₆为哈希函数；

2)U_i判断下列等式是否成立，e(F，P)＝e(C₁+hH₁(id_i，2)，P_pub)，H₁表示哈希函数，如果等式成立，输出(m，id_i，σ)，σ表示消息m的签名，否则验证失败。

Claims (3)

1.一种发送者可认证的非对称群密钥协商方法，该方法由用户和密钥生成中心实现，其中，用户包括群成员以及群外用户，发送者为用户；其特征在于该方法包括下列步骤：

步骤1：设置

密钥生成中心输入安全参数，选取主密钥，生成全局参数Λ，并公布全局参数；

步骤2：提取

将用户的身份标识作为输入，通过主密钥和哈希函数计算出该身份标识对应的私钥；

步骤3：协商

每个群成员使用各自的身份标识、私钥和会话标识，与全局参数计算得到协商参数，并公布协商参数；

步骤4：生成加密密钥

群成员使用各自的身份标识和会话标识，与协商参数计算得到群组加密密钥，非群成员的发送者计算后再使用双线性映射判断是否输出群组加密密钥；

步骤5：生成解密密钥

群成员使用协商参数计算得到解密密钥，并使用双线性映射判断解密密钥是否有效；

步骤6：签名和加密

发送者使用身份标识、私钥和群组加密密钥对消息进行签名和加密；

步骤7：解密和验证

用户使用解密密钥对签密的消息进行解密和验证。

2.根据权利要求1所述的方法，其特征在于，步骤6所述发送者使用身份标识、私钥和群组加密密钥对消息进行签名和加密，具体包括：

1)、发送者选择随机数x，计算C₁＝xP，C₁为签名的一部分，P为循环群的生成元，h＝H₆(C₁,m,id_i)，h为C₁、消息m和身份标识id_i的哈希值，H₆表示哈希函数，F＝hS_i,2+xP_pub，F为签名的一部分，S_i,2为发送者的一部分私钥，P_pub为密钥生成中心生成的公钥，则发送者对消息n的签名为(C₁,F)；

2)、计算C₂＝xE，C₂、C₃分别为一部分加密后的消息，E和ζ分别为一部分群组加密密钥，H₅表示哈希函数；

3)、签名并加密后的消息为(C₁,C₂,C₃)。

3.根据权利要求1所述的方法，其特征在于，步骤7所述用户使用解密密钥对签密的消息进行解密和验证，具体包括：

1)、用户U_i计算W_i＝H₃(sid_v,i)，W_i为会话标识sid_v和整数i的哈希值，H₃为哈希函数，H₅为哈希函数，D_i为群组解密密钥，h＝H₆(C₁,m,id_i)，h为C₁、m和id_i的哈希值，H₆为哈希函数；

2)、U_i判断下列等式是否成立，e(F,P)＝e(C₁+hH₁(id_i,2),P_pub)，H₁表示哈希函数，如果等式成立，输出(m,id_i,σ)，σ表示消息m的签名，否则验证失败。