CN104767611A - 一种从公钥基础设施环境到无证书环境的签密方法 - Google Patents

Abstract

一种从公钥基础设施环境到无证书环境的签密方法，属于保密通信领域。签密步骤依次为：无证书环境系统初始化；公钥基础设施环境系统初始化；无证书环境接收方密钥生成；公钥基础设施环境发送方密钥生成；公钥基础设施环境的发送方根据系统参数、发送方私钥与公钥、接收方身份与公钥和消息m生成签密文 ，将结果发送给接收方；无证书环境的接收方根据系统参数、发送方公钥、接收方身份与公钥验证签密文的正确性并利用接收方完整私钥解密签密文。本发明可以实现公钥基础设施环境的发送方向无证书环境的接收方发送签密文，为他们提供保密性和认证性服务；并且具有可公开验证的认证性和收发双方无需共用系统公共参数的特点。

Description

一种从公钥基础设施环境到无证书环境的签密方法

技术领域

本发明属于信息安全技术领域，具体涉及一种从公钥基础设施环境到无证书环境的异构签密方法。

背景技术

1976年，Diffie和Hellman提出了公钥密码体制的概念。公钥密码体制相比于对称密码体制有两个显著的优点：密钥分配简单，很容易实现数字签名。公钥密码体制有两个密钥，一个公钥和一个私钥。公钥可以公开，私钥保密。由于公钥与用户身份没有直接关系，所以需要一个可信第三方--认证中心(Certificate Authority，以下简称CA)颁发一个证书来把用户的公钥与其身份信息进行绑定，从而需要建立一套公钥基础设施(Public Key Infrastructure,以下简称PKI)。由于PKI的建立需要高昂的费用，这阻碍了基于PKI的公钥密码体制的广泛使用，使得它只适合于用户数量适中的系统。

基于身份的密码体制可以降低高昂的公钥管理费用，它是Shamir于1984年在CRYPTO’84中提出的概念。基于身份的密码体制是先确定用户的公钥，再计算相应的私钥。因而公钥可以取为用户的身份信息，从而省去了公钥证书，降低了公钥管理的费用。但基于身份的密码体制的私钥必须由可信第三方—私钥生成中心(Private Key Generator，以下简称PKG)产生，不可避免地引起密钥托管问题，即PKG知道所有用户的私钥。所以，它只能适合于对PKG绝对可信的场合应用。

无证书密码体制既可降低公钥的管理费用又可解决密钥托管问题，它是Al-Riyami和Paterson于2003年在ASIACRYPT’2003中提出的概念。无证书密码体制的私钥由两部分组成。一部分是密钥生成中心(KeyGeneration Center，以下简称KGC)生成的部分私钥；另一部分是用户自己选取的一个秘密值。公钥也由两部分组成。一部分是用户的身份信息；另一部分是秘密值对应的公钥。由于KGC不知道用户的完整私钥，因而解决了密钥托管问题。并且用户的公钥不需要证书，因而降低了公钥的管理费用。

保密性和认证性是信息安全领域里两个基本的安全需求。保密性可以通过加密技术来实现；而认证性可以通过数字签名来实现。当我们同时需要保密性和认证性时，传统做法是“先签名再加密”。签密可以实现在一个逻辑步骤内同时实现加密和签名两项功能，而且其计算代价和通信成本比传统的“先签名再加密”的两步实现要小得多，它是Zheng于1997年在CRYPTO’97中提出的概念。

目前，基于PKI的签密方案、基于身份的签密方案和基于无证书的签密方案都得到了广泛的研究。但它们都假定用户属于相同的公钥认证环境，即收发双方要么同属于PKI环境、要么同属于基于身份的环境、要么同属于无证书环境。

2010年，Sun和Li提出了一个异构环境的签密方案，该方案的发送方属于PKI环境而接收方属于基于身份的环境，它为属于不同公钥认证环境的用户提供了能进行签密通信的方法。2011年，Huang,Wong和Yang提出两个发送方属于PKI环境而接收方属于基于身份环境的异构签密方案。2013年，Li,Zhang和Takagi提出两个异构环境签密方案，第一个方案的发送方属于PKI环境而接收方属于基于身份的环境，第二个方案的发送方属于基于身份环境而接收方属于PKI环境。同年，Li和Xiong提出一个异构环境的在线/离线签密方案，该方案的发送方属于基于身份的环境而接受方属于PKI环境。

另外，中国专利申请CN103746810A公开了一种发送方属于PKI环境而接收方属于基于身份环境的匿名签密方法。中国专利申请CN103746811A公开了一种发送方属于基于身份环境而接收方属于PKI环境的匿名签密方法。中国专利申请CN104270249A公开了一种发送方属于基于无证书环境而接收方属于基于身份环境的签密方法。中国专利申请CN104301108A公开了一种发送方属于基于身份环境而接收方属于无证书环境的签密方法。

但以上所有异构环境的签密方法都假定收发双方共用相同的系统共用参数，然而由于收发双方属于不同的公钥环境，更普遍和更实际的情况是收发双方使用不同的系统共用参数。而且，若发送方属于PKI环境而接收方属于无证书环境，则以上方法都将无法使用。

发明内容

本发明的目的在于克服上述现有技术的缺陷，提供一种发送方属于PKI环境而接收方属于无证书环境的异构签密方法，并且收发双方的系统公共参数不同。

本发明公开了一种从公钥基础设施环境到无证书环境的签密方法，包括下列步骤：

步骤1无证书环境系统初始化：设定无证书环境的系统参数，用于生成接收方的完全私钥和公钥、签密和解签密。

步骤2PKI环境系统初始化：设定PKI环境的系统参数，用于生成发送方的私钥和公钥、签密和解签密。

步骤3无证书环境的接收方密钥生成：接收方B提交自己的身份信息ID_B给密钥生成中心KGC，KGC根据系统参数和身份信息ID_B生成部分私钥D_B并秘密地发送给接收方B。接收方B基于系统参数随机生成一个秘密值x_B，计算相应于该秘密值的公钥PK_B，并基于秘密值x_B和部分私钥D_B计算自己的完整私钥。

步骤4PKI环境的发送方密钥生成：发送方A随机选取一个秘密值x_A作为私钥，并计算公钥PK_A。

步骤5签密：发送方根据系统参数、自己的私钥、消息m、自己的公钥和接收方的身份和公钥生成签密文σ。

步骤6解签密：接收方根据系统参数，发送方的公钥和自己的身份与公钥验证签密文σ的正确性，如果正确则接受该签密文σ，然后再使用自己的完整私钥解密出消息m，否则拒绝。

作为本发明的优选，所述步骤1中无证书环境系统参数设置为：安全参数k_1-1为正整数；一个循环加法群G_1-1和一个循环乘法群G_2-1，两个群的阶都为素数q_1-1；一个随机的G_1-1的生成元P_1-1；一个双线性映射e₁:G_1-1×G_1-1→G_2-1；一个安全的散列函数其中{0,1}^*表示任意比特长的二进制序列组成的集合，表示去掉单位元所得的加法群；一个随机数作为主私钥，计算P_pub＝sP_1-1作为主公钥，其中是由所有大于等于1且小于q_1-1的正整数组成的有限域；公开系统参数为{e₁,G_1-1,G_2-1,P_1-1,P_pub,H₁}，保密主密钥s；

所述步骤2中PKI环境的系统参数为：安全参数k_1-2为正整数；一个循环加法群G_1-2和一个循环乘法群G_2-2，两个群的阶都为素数q_1-2；一个随机的G_1-2的生成元P_1-2；一个双线性映射e₂:G_1-2×G_1-2→G_2-2；两个安全的散列函数H₂:{0,1}^*→{0,1}^l，其中{0,1}^l表示比特长为l的二进制序列组成的集合，l为预设参数，表示消息的比特长度；公开系统参数为{e₂,G_1-2,G_2-2,l,P_1-2,H₂,H₃}；

所述步骤3中无证书环境的接收方密钥生成具体为：密钥生成中心计算接收方B的部分私钥D_B＝sQ_B，其中Q_B＝H₁(ID_B)；接收方B随机选取秘密值并设置完整私钥为(D_B,x_B)，计算公钥PK_B＝x_BP_1-1，则完整公钥为(Q_B,PK_B)；

所述步骤4中PKI环境的发送方密钥生成具体为：发送方A随机选取作为私钥，计算公钥PK_A＝x_AP_1-2；

所述步骤5中签密具体为：设消息m∈{0,1}^l，q＝max{q_1-1,q_1-2}，其中max表示取最大值；发送方A随机选取计算U₁＝rP_1-1，U₂＝rP_1-2,T＝e(P_pub,Q_B)^r，h＝H₂(U₁,U₂,T,rPK_B,ID_B,PK_A)，W＝x_A·H₃(U₁,U₂,V,PK_B,ID_B)，输出σ＝(U₁,U₂,V,W)作为签密文；

所述步骤6中解签密具体为：接收方B验证e(P_1-2,W)＝e(PK_A,H₃(U₁,U₂,V,PK_B,ID_B))是否成立，不成立则返回⊥表示拒绝；否则恢复消息 $m=V{\⊕H}_2(U_1,U_2,e(U_1,D_B),x_B{U}_1,{\mathrm{ID}}_B,{\mathrm{PK}}_A).$

由于采用了上述技术方案，本发明的有益效果是：

1、为发送方是基于PKI环境而接收方是无证书环境的用户提供签密服务；

2、发送方和接收方无需共用系统公共参数；

3、实现了可公开验证的认证性，验证等式中的所有参数都是已知的或可计算的，发生纠纷时任何人都能在不泄露任何秘密信息的情况下对签密文进行有效性验证。

附图说明

图1是本发明方法的通信示意图；图2是本发明方法的处理流程示意图。

具体实施方式

下面结合附图对本发明做详细描述。

如图1、2所示，本发明提供了一种从公钥基础设施环境到无证书环境的异构签密方法,本发明的具体过程如下：

步骤1、无证书环境系统初始化。

安全参数k_1-1为整数，生成元为P_1-1的一个加法循环群G_1-1和一个乘法循环群G_2-1，两个群的阶都为素数q_1-1。e₁:G_1-1×G_1-1→G_2-1为一个双线性映射。定义安全的Hash函数其中{0,1}^*表示任意比特长的二进制序列组成的集合，表示去掉单位元所得到的加法群。密钥生成中心KGC随机选取作为主私钥，计算P_pub＝sP_1-1作为主公钥，其中是由所有大于等于1且小于q_1-1的正整数组成的有限域。公开系统参数为{e₁,G_1-1,G_2-1,P_1-1,P_pub,H₁}，保密主密钥s。

步骤2、PKI环境系统初始化。

安全参数k_1-2为整数，生成元为P_1-2的一个加法循环群G_1-2和一个乘法循环群G_2-2，两个群的阶都为素数q_1-2。e₂:G_1-2×G_1-2→G_2-2为一个双线性映射。定义两个安全的Hash函数H₂:{0,1}^*→{0,1}^l，其中{0,1}^l表示比特长为l的二进制序列组成的集合，l为预设参数，表示消息m的比特长度。认证中心CA公开系统参数为{e₂,G_1-2,G_2-2,l,P_1-2,H₂,H₃}。

步骤3、无证书环境的接收方密钥生成。

KGC计算接收方B的部分私钥D_B＝sQ_B，其中Q_B＝H₁(ID_B)。接收方B随机选取秘密值计算公钥PK_B＝x_BP_1-1，则接收方B的完整私钥为(D_B,x_B)，完整公钥为(ID_B,PK_B)。

步骤4、PKI环境的发送方密钥生成。

发送方A随机选取作为私钥，计算公钥PK_A＝x_AP_1-2。

步骤5、签密。

假设PKI环境的发送方A想要给无证书环境的接收方B发送签密消息，设消息m∈{0,1}^l，q＝max{q_1-1,q_1-2}，其中max表示取最大值。发送方A随机选取计算U₁＝rP_1-1，U₂＝rP_1-2,T＝e(P_pub,Q_B)^r，h＝H₂(U₁,U₂,T,rPK_B,ID_B,PK_A)，W＝x_A·H₃(U₁,U₂,V,PK_B,ID_B)，输出σ＝(U₁,U₂,V,W)作为签密文，其中表示异或运算。

步骤6、解签密。

接收方B验证e(P_1-2,W)＝e(PK_A,H₃(U₁,U₂,V,PK_B,ID_B))是否成立，不成立则返回⊥表示拒绝；否则恢复消息 $m=V{\⊕H}_2(U_1,U_2,e(U_1,D_B),x_B{U}_1,{\mathrm{ID}}_B,{\mathrm{PK}}_A).$

本发明使得PKI环境的发送方可以向无证书环境的接收方发送签密消息；发送方和接收方无需共用系统公共参数；实现了可公开验证的认证性，发生纠纷时任何人都能在不泄露任何秘密信息的情况下对签密文进行有效性验证。

Claims (2)

1.一种从公钥基础设施环境到无证书环境的签密方法，其特征在于，包括下列步骤：

步骤1、无证书环境系统初始化：设定无证书环境的系统参数，用于生成接收方的完全私钥和公钥、签密和解签密；

步骤2、公钥基础设施环境系统初始化：设定公钥基础设施环境的系统参数，用于生成发送方的私钥和公钥、签密和解签密；

步骤3、无证书环境的接收方密钥生成：接收方B提交自己的身份信息ID_B给密钥生成中心KGC，KGC根据系统参数和身份信息ID_B生成部分私钥D_B并秘密地发送给接收方B；接收方B基于系统参数随机生成一个秘密值x_B，计算相应于该秘密值的公钥PK_B，并基于秘密值x_B和部分私钥D_B计算自己的完整私钥；

步骤4、公钥基础设施环境的发送方密钥生成：发送方A随机选取一个秘密值x_A作为私钥，并计算公钥PK_A；

步骤5、签密：发送方根据系统参数、自己的私钥、消息m、自己的公钥和接收方的身份和公钥生成签密文σ；

步骤6、解签密：接收方根据系统参数，发送方的公钥和自己的身份与公钥验证签密文σ的正确性，如果正确则接受该签密文σ，然后再使用自己的完整私钥解密出消息m，否则拒绝。

2.根据权利要求1所述从公钥基础设施环境到无证书环境的签密方法，其特征在于，所述步骤1中无证书环境系统参数设置为：安全参数k_1-1为正整数；一个循环加法群G_1-1和一个循环乘法群G_2-1，两个群的阶都为素数q_1-1；一个随机的G_1-1的生成元P_1-1；一个双线性映射e₁:G_1-1×G_1-1→G_2-1；一个安全的散列函数其中{0,1}^*表示任意比特长的二进制序列组成的集合，表示去掉单位元所得的加法群；一个随机数作为主私钥，计算P_pub＝sP_1-1作为主公钥，其中是由所有大于等于1且小于q_1-1的正整数组成的有限域；公开系统参数为{e₁,G_1-1,G_2-1,P_1-1,P_pub,H₁}，保密主密钥s；

所述步骤2中公钥基础设施环境的系统参数为：安全参数k_1-2为正整数；一个循环加法群G_1-2和一个循环乘法群G_2-2，两个群的阶都为素数q_1-2；一个随机的G_1-2的生成元P_1-2；一个双线性映射e₂:G_1-2×G_1-2→G_2-2；两个安全的散列函数H₂:{0,1}^*→{0,1}^l，其中{0,1}^l表示比特长为l的二进制序列组成的集合，l为预设参数，表示消息的比特长度；公开系统参数为{e₂,G_1-2,G_2-2,l,P_1-2,H₂,H₃}；

所述步骤3无证书环境的接收方密钥生成具体为：密钥生成中心计算接收方B的部分私钥D_B＝sQ_B，其中Q_B＝H₁(ID_B)；接收方B随机选取秘密值并设置完整私钥为(D_B,x_B)，计算公钥PK_B＝x_BP_1-1，则完整公钥为(Q_B,PK_B)；

所述步骤4公钥基础设施环境的发送方密钥生成具体为：发送方A随机选取作为私钥，计算公钥PK_A＝x_AP_1-2；

所述步骤5签密具体为：设消息m∈{0,1}^l，q＝max{q_1-1,q_1-2}，其中max表示取最大值；发送方A随机选取计算U₁＝rP_1-1，U₂＝rP_1-2,T＝e(P_pub,Q_B)^r，h＝H₂(U₁,U₂,T,rPK_B,ID_B,PK_A)，W＝x_A·H₃(U₁,U₂,V,PK_B,ID_B)，输出σ＝(U₁,U₂,V,W)作为签密文；

所述步骤6解签密具体为：接收方B验证e(P_1-2,W)＝e(PK_A,H₃(U₁,U₂,V,PK_B,ID_B))是否成立，不成立则返回⊥表示拒绝；否则恢复消息 $m=V\⊕H_2(U_1,U_2,e(U_1,D_B),x_B{U}_1,{\mathrm{ID}}_B,{\mathrm{PK}}_A).$