CN105634734B

CN105634734B - 信息的广义签密方法

Info

Publication number: CN105634734B
Application number: CN201610107899.6A
Authority: CN
Inventors: 张爱清; 叶新荣; 谢小娟; 韩凌云; 丁绪星
Original assignee: Anhui Normal University
Current assignee: Tangshan Zhijin Technology Co Ltd
Priority date: 2016-02-26
Filing date: 2016-02-26
Publication date: 2018-11-06
Anticipated expiration: 2036-02-26
Also published as: CN105634734A

Abstract

本发明公开了一种信息的广义签密方法，该信息的广义签密方法包括：发送端用户ID_A对预设长度为l₀的消息通过如下模式进行操作并将操作结果发送给接收端用户ID_B：当需要实现消息的机密性、完整性和认证性时，发送端用户ID_A通过签密模式对消息进行操作；或者当只需要实现消息的机密性时，发送端用户ID_A通过加密模式对消息进行操作；或者当只需要消息的完整性和认证性时，发送端用户ID_A通过签名模式对消息进行操作；接收端用户ID_B对操作结果进行广义解签密，在判断结果与签名的消息一致的情况下，接收消息，否则拒绝消息。该信息的广义签密方法克服了现有技术中的广义签密效率不高的问题，实现了不同要求下不同模式的设定。

Description

信息的广义签密方法

技术领域

本发明涉及广义签密方法，具体地，涉及信息的广义签密方法。

背景技术

在基于密码技术的数据安全传输系统中，通常依赖于加密技术实现数据的机密性，采用数字签名技术实现数据的完整性和数据来源的认证性，在同时需要保护数据的机密性和完整性的应用场合，若采用先“签名后加密”或“先加密后签名”的方法，其计算复杂度将是两者之和。而数字签密技术能够在一个合理的逻辑步骤内同时完成数字签名和加密两项功能，相对于签名与加密的简单结合，具有更少的计算复杂度和更低的通信代价。因此，在需要加密和认证功能的场合，签密技术具有效率高的优点。但系统有时只需要机密性或完整性，有时两者同时都需要时，签密技术就不再适用了。

发明内容

本发明的目的是提供一种信息的广义签密方法，该信息的广义签密方法克服了现有技术中的广义签密效率不高的问题，实现了不同要求下不同模式的设定。

为了实现上述目的，本发明提供了一种信息的广义签密方法，该信息的广义签密方法包括：发送端用户ID_A对预设长度为l₀的消息通过如下模式进行操作并将操作结果发送给接收端用户ID_B：

当需要实现消息的机密性、完整性和认证性时，发送端用户ID_A通过签密模式对消息进行操作；或者

当只需要实现消息的机密性时，发送端用户ID_A通过加密模式对消息进行操作；或者

当只需要消息的完整性和认证性时，发送端用户ID_A通过签名模式对消息进行操作；

接收端用户ID_B对操作结果进行广义解签密，在判断结果与签名的消息一致的情况下，接收消息，否则拒绝消息。

本发明还提供一种信息的广义签密方法，该信息的广义签密方法包括：

步骤1，系统建立；

步骤2，密钥生成；

步骤3，根据权利要求1中的信息的广义签密方法进行广义签密传输。

优选地，在步骤1中的系统建立方法包括：

步骤11，给定安全参数k，KGC(Key Generating Center)选择两个素数p和q满足p互质于q-1，其中，P是循环群G的椭圆曲线上的一个q阶生成元，KGC随机选择x_N∈z_q ^*作为主私钥x_N，并通过公式X_N＝x_N×P计算公钥X_N；

步骤12，KGC选择以下三个Hash函数：H₁:{0,1}^*×G×G×G→Z_q ^*，H₂:G×Z_q ^*×{0，1}^*→Z_q ^*，H₃:Z_q ^*×Z_q ^*→{0,1}^l，其中，l＝l₀+l₁；

步骤13，定义指示函数f(ID)为：当ID＝φ时，f(ID)＝0；否则，f(ID)＝1；

系统参数为params＝(p,q,P,X_N,H₁,H₂,H₃)。

优选地，在步骤2中的密钥生成方法包括：

步骤21，发送端用户ID_i随机选择x_i∈z_q ^*作为自己的秘密值，并计算X_i＝x_i×P作为其部分公钥X_i，其中，用户ID_i包括发送端用户ID_A和/或接收端用户ID_B；

步骤22，发送端用户ID_i发送(ID_i,X_i)给KGC；

步骤23，KGC随机选择y_i∈z_q ^*，并计算Y_i＝y_i×P，z_i＝y_i+x_N×H₁(ID_i,Y_i,X_i,X_N)；

步骤24，KGC通过秘密渠道将z_i发送给用户ID_i。

优选地，在步骤2中的密钥生成方法还包括：步骤25，用户ID_i判定等式z_i×P＝Y_i+H₁(ID_i,Y_i,X_i,X_N)×X_N在成立的情况下，部分私钥为正确的。

优选地，在步骤3中的广义签密方法包括：

发送端用户ID_A对长度为l₀的消息m通过如下操作并将结果μ_i＝(f₁,f₂,f₃,m')发送给接收端用户ID_B；

发送端用户ID_A执行如下操作：随机选取r∈Z_q ^*,计算h₁＝H₁(ID_B,Y_B,X_B,P_pub)、f₁＝r×P，f₂＝r×f(ID_A)/(x_A+z_A+f₃)、f₃＝H₂(f₁,ID_A,m)和其中，v₁＝r×X_B，v₂＝r×(Y_B+P_pub×h₁)；

该算法中，当ID_A＝φ时，执行加密模式；当ID_B＝φ时，执行签名模式；当ID_A≠φ,ID_B≠φ时，执行签密模式。

优选地，当ID_A≠φ且ID_B≠φ时，通过签密模式执行以下操作，ID_A随机选择r∈Z_q ^*,计算h₁＝H₁(ID_B,Y_B,X_B,P_pub)，f₁＝r×P，f₃＝H₂(f₁,ID_A,m)，f₂＝r/(x_A+z_A+f₃)和其中，v₁＝r×X_B，v₂＝r×(Y_B+h₁×P_pub)，得到的结果为密文μ_i＝(f₁,f₂,f₃,m')；

或者

当ID_A＝φ且ID_B≠φ时，通过加密模式执行以下操作，ID_A随机选择r∈Z_q ^*,分别计算h₁＝H₁(ID_B,Y_B,X_B,X_N)、f₁＝r×P、f₃＝H₂(f₁,ID_A,m)和其中，v₁＝r×X_B，v₂＝r×(Y_B+h₁×X_N)；得到的结果为密文μ_i＝(f₁,f₃,m')；

或者

当ID_A≠φ且ID_B＝φ时，通过签名模式执行以下操作，ID_A随机选择r∈Z_q ^*,计算h₁＝H₁(ID_B,Y_B,X_B,X_N)、f₁＝r×P、f₃＝H₂(f₁,ID_A,m)和f₂＝r/(x_A+z_A+f₃)；得到的结果为签名μ_i＝(f₁,f₂,f₃,m)。

优选地，在步骤3中的广义解签密方法包括：

在签密模式下，接收端用户ID_B分别计算h₁'＝H₁(ID_A,Y_A,X_A,X_N)、v₁'＝x_B×f₁、v₂'＝z_B×f₁和判定等式f₃＝H₂(f₁,ID_A,m)和等式f₂×(X_A+Y_A+h₁'×P_pub+f₃×P)＝f₁在成立的情况下，接收端用户ID_B接受消息m，否则拒绝；或者

在加密模式下，接收端用户ID_B分别计算h₁'＝H₁(ID_A,Y_A,X_A,X_N)、v₁'＝x_B×f₁和v₂'＝z_B×f₁、判定等式f₃＝H₂(f₁,ID_A,m)在成立的情况下，接收端用户ID_B接受消息m，否则拒绝；或者

在签名模式下，接收端用户ID_B计算h₁'＝H₁(ID_A,Y_A,X_A,X_N)；判定等式f₂×(X_A+Y_A+h₁'P_pub+f₃×P)＝f₁和f₃＝H₂(f₁,ID_A,m)在成立的情况下，接收端用户ID_B接受消息m，否则拒绝。

优选地，用户ID_i先将自己的身份信息和部分公钥(ID_i,X_i)发送给KGC，再接收部分私钥；其中，用户ID_i包括发送端用户ID_A和/或接收端用户ID_B。

通过上述的第一种方案，本发明的信息的广义签密方法可工作于三种模式：签密、加密和签名。当需要实现数据的机密性、完整性和认证性时，采用签密模式，当只需要实现数据的机密性时采用加密模式，只需要数据的完整性和认证性时，采用签名模式。通过这样的方式，可以减少了计算开销，提高了签密效率。通过上述的实施方式，所设计的整体签密方案在一个逻辑步骤内同时实现签名和加密两种功能。所设计的方案满足机密性和不可伪造性，即在CDHP(计算Diffie-Hellem问题)假设下适应性选择密文攻击下的不可区分性，在DLP(离散对数问题)假设下适应性选择消息攻击下的不可为造型。

本发明的其他特征和优点将在随后的具体实施方式部分予以详细说明。

附图说明

附图是用来提供对本发明的进一步理解，并且构成说明书的一部分，与下面的具体实施方式一起用于解释本发明，但并不构成对本发明的限制。在附图中：

图1是说明本发明的一种广义签密传输方法的结构框图。

具体实施方式

以下结合附图对本发明的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本发明，并不用于限制本发明。

本发明提供一种信息的广义签密方法，如图1所示，该信息的广义签密方法包括：发送端用户ID_A对预设长度为l₀的消息通过如下模式进行操作并将操作结果发送给接收端用户ID_B，用CLGSC(ID_A,ID_B,m)表示，

通过上述的具体实施方式，减少了计算开销，提高了签密效率，

在本发明的另一种信息的广义签密方法，该信息的广义签密方法包括：

步骤1，系统建立；

步骤2，密钥生成；

通过这样的方式，实现了信息的广义签密传输，对秘钥进行了系统化的建立，以下对计算过程进行详细的描述。

在该种实施方式中，在步骤1中的系统建立方法可以包括：

步骤11，给定安全参数k，安全参数k决定了p和q的取值范围，KGC(Key GeneratingCenter)选择两个素数p和q满足p互质于q-1，其中，P是循环群G的椭圆曲线上的一个q阶生成元，KGC随机选择x_N∈z_q ^*作为主私钥x_N，并通过公式X_N＝x_N×P计算公钥X_N；

其中，z_q ^*指非零整数，N只是一个指示下标，也可以用其他字母代替。

步骤12，KGC选择以下三个Hash函数：H₁:{0,1}^*×G×G×G→Z_q ^*，H₂:G×Z_q ^*×{0，1}^*→Z_q ^*，H₃:Z_q ^*×Z_q ^*→{0,1}^l，其中，l＝l₀+l₁；hash函数可以自定义输入输出，这里的输入输出是根据所设计的算法需要制定的，l定义为消息长度和所选取的随机数β长度之和，其中，β的长度为l₁。

系统参数为params＝(p,q,P,X_N,H₁,H₂,H₃)。

在步骤2中的密钥生成方法包括：

步骤21，发送端用户ID_i随机选择x_i∈z_q ^*作为自己的秘密值，并计算X_i＝x_i×P作为其部分公钥X_i，其中，用户ID_i包括发送端用户ID_A和/或接收端用户ID_B，i的意思是指所有用户，包括了用户A和用户B；

步骤22，发送端用户ID_i发送(ID_i,X_i)给KGC；

步骤24，KGC通过秘密渠道将z_i发送给用户ID_i。

在步骤2中的密钥生成方法还包括：

步骤25，用户ID_i判定等式z_i×P＝Y_i+H₁(ID_i,Y_i,X_i,X_N)×X_N在成立的情况下，部分私钥为正确的。

在步骤3中的广义签密方法包括：

发送端用户ID_A对长度为l₀的消息m通过如下操作并将结果发送给接收端用户ID_B；

或者

在步骤3中的广义解签密方法包括：

在签密模式下，接收端用户ID_B分别计算h₁'＝H₁(ID_A,Y_A,X_A,X_N)、v₁'＝x_B×f₁、v₂'＝z_B×f₁和判定等式f₃＝H₂(f₁,ID_A,m)和等式f₂×(X_A+Y_A+h₁'P_pub+f₃×P)＝f₁在成立的情况下，接收端用户ID_B接受消息m，否则拒绝；或者

在该种实施方式中，用户ID_i先将自己的身份信息和部分公钥(ID_i,X_i)发送给KGC，再接收部分私钥；其中，用户ID_i包括发送端用户ID_A和/或接收端用户ID_B。

通过上述的实施方式，一方面避免了基于证书的签密方案中证书颁发、管理和注销所带来的管理上的开销，另一方面避免了基于身份的签密方案中密钥托管问题。此外，采用无线性对签密方法，减少了计算开销，提高了签密效率。基于CDHP和DLP困难问题假设下，本方案满足机密性和不可伪造性。

本发明设计了一种无证书无双线性对的高效、安全的广义签密方案。所设计的签密方案在一个逻辑步骤内同时实现签名和加密两种功能。所设计的方案满足机密性和不可伪造性，即在CDHP(计算Diffie-Hellem问题)假设下适应性选择密文攻击下的不可区分性，在DLP(离散对数问题)假设下适应性选择消息攻击下的不可为造型。该广义签密方案可工作于三种模式：签密、加密和签名。当需要实现数据的机密性、完整性和认证性时，采用签密模式，当只需要实现数据的机密性时采用加密模式，只需要数据的完整性和认证性时，采用签名模式。

下面分别给出本发明正确性和安全性的证明。

一、正确性：

加密的正确性

签名的正确性

二、安全性：

无证书公钥体制中存在两类攻击者：第一类攻击者(A_I)能够替换用户公钥但是无法获得系统主密钥，第二类攻击者(A_II)能够获得系统主密钥但是无法替换用户公钥。下面分别证明在这两类攻击下本方案均能满足机密性和不可为造性。其中机密性主要针对广义签密方案中的加密模式和签密模式，不可伪造性主要针对广义签密方案中的签名模式和签密模式。

(1)机密性

1)类型I攻击(A_I)下的机密性。

定理1在随机预言模型下，所提出广义签密方案中加密和签密模式中如果攻击者A_I如果能够在多项式时间内以ε区分密文，那么存在算法C将能够解决CDHP困难问题。

证明：假设C是一个CDHP困难问题的解决者，其困难问题的输入为(aP,bP)，其目标是计算abP。C模拟挑战者与A_I交互如下：

系统建立阶段。C设置系统主密钥为X_N＝bP并将系统参数params＝(p,q,P,X_N,H₁,H₂,H₃)发送给A_I，其中H₁,H₂,H₃是由C控制的随机预言机。C随机选择这里为向H₁询问的最大次数。

训练阶段。A_I适应性进行多项式有界次以下询问，C维持列表L₁,L₂,L₃,L_S,L_P分别用于跟踪A_I对预言机H₁,H₂,H₃、秘密值询问和部分私钥询问。开始时每个列表为空。

H₁询问(ID_i,Y_i,X_i,X_N)：当C收到A_I对(ID_i,Y_i,X_i,X_N)的询问时，如果(ID_i,Y_i,X_i,X_N,h₁)在列表L₁中存在，返回h₁。否则，C随机选择h₁∈z_q ^*，将(ID_i,Y_i,X_i,X_N,h₁)加入列表L₁中，返回h₁。

H₂询问(f₁,ID_i,m)：当C收到A_I对(f₁,ID_i,m)的询问时，如果(f₁,ID_i,m,f₃)在列表L₂中存在，返回f₃。否则，C随机选择f₃∈z_q ^*，将(f₁,ID_i,m,f₃)加入列表L₂中，返回f₃。

H₃询问(v₁,v₂)：当C收到A_I对(v₁,v₂)的询问时，如果(v₁,v₂,h₃)在列表L₃中存在，返回h₃。否则，C随机选择h₃∈z_q ^*，将(v₁,v₂,h₃)加入列表L₃中，返回h₃。

秘密值询问(ID_i)：当C收到A_I对(ID_i)的询问时，如果(ID_i,x_i,X_i)在列表L_S中存在，返回x_i。否则，C随机选择x_i∈z_q ^*，将(ID_i,x_i,X_i)加入列表L_S中，返回x_i。

部分私钥询问(ID_i,X_i)：当ID_i＝ID_γ时，C随机选择y_i∈z_q ^*，并计算Y_i＝y_i×P，将(ID_i,X_i,⊥,Y_i)加入到列表L_P中(C保存y_i)，返回⊥，否则，如果(ID_i,X_i,z_i,Y_i)在列表L_P中存在，返回z_i。否则，C随机选择z_i,h₁∈z_q ^*，计算Y_i＝z_i×P-h₁×X_N将(ID_i,X_i,z_i,Y_i)加入列表L_P中，将(ID_i,Y_i,X_i,X_N,h₁)加入列表L₁中，返回z_i。

公钥询问(ID_i,X_i)：当C收到A_I对(ID_i,X_i)的询问时，如果(ID_i,X_i,z_i,Y_i)在列表L_P中存在，返回(X_i,Y_i)。否则，C执行部分私钥询问(ID_i,X_i)，返回(X_i,Y_i)。

公钥替换询问(ID_i,Y_i')：当C收到A_I对(ID_i,Y_i')的询问时，C将列表(ID_i,X_i,z_i,Y_i)替换为(ID_i,X_i,⊥,Y_i')。

广义签密询问(ID_i,ID_j,m)：当C收到A_I以ID_i作为发送端用户，以ID_j作为接收端用户对长度为l₀的m进行签密询问(ID_i,ID_j,m)时，如果ID_i＝φ,ID_j≠φ,工作于加密模式，只需要系统参数，C按照实际的加密算法进行加密。如果ID_i≠φ，C执行如下操作：

a)如果ID_i≠ID_γ且ID_i≠ID_j，C执行实际的签密算法因为C知道发送端ID_i的私钥。

b)如果ID_i＝ID_γ且ID_i≠ID_j，

C随机选择r∈Z_q ^*,计算f₁＝r×P，如果(f₁,ID_i,m,f₃)在列表L₂中存在，否则C随机选择f₃并将(f₁,ID_i,m,f₃)更新到列表L₂中。

C通过查阅表L₁获得(ID_i,Y_i,X_i,X_N,h₁)或者进行H₁询问(ID_i,Y_i,X_i,X_N)，计算f₂＝f₁/(X_i+Y_i+h₁'×X_N+f₃×P)。

C计算v₁＝r×X_j，v₂＝r×(Y_j+X_N×h₁)，并查阅L₃中是否存在(v₁,v₂,h₃)，如果不存在，C随机选择h₃并将(v₁,v₂,h₃)更新到列表L₃中。

C计算并返回密文μ＝(f₁,f₂,f₃,m')。

广义解签密询问(ID_i,ID_j,μ)：

a)如果ID_j≠ID_γ且ID_i≠ID_j，C执行实际的解签算法因为C知道接收端ID_j的私钥。

b)ID_j＝ID_γ，C执行H₁询问以获取(ID_j,Y_j,X_j,X_N,h₁)，然后查阅表L₂和L₃，如果存在(f₁,ID_i,m,f₃)以及(v₁,v₂,h₃)∈L₃满足：

验证f₂×(X_A+Y_A+h₁'×P_pub+f₃×P)＝f₁是否成立，如果成立，接受m，否则拒绝。

挑战阶段。A_I输出两个长度相等的消息m₀,m₁，以及随机选择发送端ID_A和接收端ID_B，如果ID_B＝ID_γ(概率为)，C执行如下操作：

查询列表L_P获取(ID_γ,X_γ,⊥,Y_γ)。

随机选择以及α∈{0,1}。

设置f₁ ^*＝a×P，η^*＝Y_γ+h₁ ^*×X_N以及h₁ ^*＝H₁(ID_γ,Y_γ,X_γ,X_N)，f₃ ^*＝H₂(f₁ ^*,ID_A,m^*)。

计算

定义

返回μ^*＝(f₁ ^*,f₂ ^*,f₃ ^*,m^*)。

A_I进行概率多项式次数训练阶段的询问，注意A_I不能对μ^*进行解签密询问。

猜测阶段。当A_I输出α'，C计算集合其中v_1i,v_2i分别是H₃询问的第一部分和第二部分。C选择S中的一个元素作为CDHP问题的输出。

在以上挑战阶段，发送者ID_i可以是φ，这时工作于加密模式，否则工作于签密模式。

2)类型II攻击(A_II)下的机密性。

定理2在随机预言模型下，所提出广义签密方案中加密和签密模式中如果攻击者A_II如果能够在多项式时间内以ε区分密文，那么存在挑战者C将能够解决CDHP困难问题。

证明：假设C是一个CDHP困难问题的解决者，其困难问题的输入为(aP,bP)，其目标是计算abP。C模拟挑战者与A_II交互如下：

系统建立阶段。C随机选择x_N∈z_q ^*作为系统主密钥并且计算X_N＝x_N×P作为系统公钥。C将系统参数params＝(p,q,P,X_N,H₁,H₂,H₃)和主密钥x_N发送给A_II，其中H₁,H₂,H₃是由C控制的随机预言机。C随机选择这里为向H₁询问的最大次数。

训练阶段。在这个阶段，A_II进行与定理1的证明中训练阶段的询问，但A_II不进行公钥替代询问。除了部分私钥询问外，C进行与定理1的证明中训练阶段相同的应答。C对部分私钥询问(ID_i,X_i)的应答如下：

当ID_i＝ID_γ时，C设置Y_i＝a×P，将(ID_i,X_i,⊥,Y_i)加入到列表L_P中，返回⊥，否则，如果(ID_i,X_i,z_i,Y_i)在列表L_P中存在，返回z_i。否则，C随机选择z_i,h₁∈z_q ^*，计算Y_i＝z_i×P-h₁×X_N将(ID_i,X_i,z_i,Y_i)加入列表L_P中，将(ID_i,Y_i,X_i,X_N,h₁)加入列表L₁中，返回z_i。

挑战阶段。A_II输出两个长度相等的消息m₀,m₁，以及随机选择发送端ID_A和接收端ID_B，如果ID_B＝ID_γ(概率为)，C执行如下操作：查询列表L_P获取(ID_γ,X_γ,⊥,Y_γ)。随机选择以及α∈{0,1}。设置f₁ ^*＝a×P，η^*＝Y_γ+h₁ ^*×X_N以及f₃ ^*＝H₂(f₁ ^*,ID_A,m^*)，h₁ ^*＝H₁(ID_γ,Y_γ,X_γ,X_N)。计算定义返回μ^*＝(f₁ ^*,f₂ ^*,f₃ ^*,m^*)。A_II进行概率多项式次数训练阶段的询问，注意A_II不能对c^*进行解签密询问。

猜测阶段。当A_II输出α'，C计算集合其中v_1i,v_2i分别是H₃询问的第一部分和第二部分。C选择S中的一个元素作为CDHP问题的输出。

(2)不可伪造性：

1)类型I攻击(A_I)下的不可伪造性。

定理3在随机预言模型下，所提出广义签密方案中签名和签密模式中如果攻击者A_I如果能够在多项式时间内成功伪造密文，那么存在算法C将能够解决DLP困难问题。

证明：假设C是一个DLP困难问题的解决者，其困难问题的输入为(P,aP)，其目标是计算a。C模拟挑战者与A_I交互如下：

系统建立阶段。C设置系统主密钥为X_N＝aP并将系统参数params＝(p,q,P,X_N,H₁,H₂,H₃)发送给A_I，其中H₁,H₂,H₃是由C控制的随机预言机。C随机选择这里为向H₁询问的最大次数。

训练阶段。在这个阶段，A_I进行与定理1的证明中训练阶段的询问。除了广义签密和广义解签密询问外，C进行与定理1的证明中训练阶段相同的应答。C对广义签密和广义解签密询问的应答如下：

广义签密询问(ID_i,ID_j,m)：当C收到A_I以ID_i作为发送端用户，以ID_j作为接收端用户对长度为l₀的m进行签密询问(ID_i,ID_j,m)时，

a)如果ID_i≠ID_γ,ID_i≠ID_j,C按照实际的签名或签密算法进行加密因为C知道发送端ID_i的私钥。。

b)如果ID_i＝ID_γ,ID_i≠ID_j,C执行

C随机选择r∈Z_q ^*,计算f₁＝r×P，如果(f₁,ID_i,m,f₃)在列表L₂中存在，否则C随机选择f₃并将(f₁,ID_i,m,f₃)更新到列表L₂中。。

C计算并返回密文μ＝(f₁,f₂,f₃,m')。

广义解签密询问(ID_i,ID_j,μ)：

伪造阶段。在这个阶段，A_I发送一个伪造的签密μ⁽¹⁾＝(f₁ ⁽¹⁾,f₂ ⁽¹⁾,f₃ ⁽¹⁾,m⁽¹⁾)给挑战者C，以ID_A作为发送端，ID_B作为接收端。需要注意的是，在训练阶段不能对ID_A进行部分私钥询问。此外，μ⁽¹⁾不能是任何签密询问的输出。如果这个签密是有效的，C可以通过如下方式解决DLP问题：

a)如果ID_A＝ID_γ(概率为)，C分别查阅表L₂,L₃，如果存在(f₁,ID_i,m,f₃)，(v₁,v₂,h₃)∈L₃满足：f₁ ⁽¹⁾＝r×P,v₁＝r×X_B，v₂＝r×(Y_B+h₁×X_N)，提取m，否则放弃。如果μ⁽¹⁾通过验证，C重复如上游戏，采用相同随机数但是不同的预言机H₂采用不同的Hash值。根据分枝定理，A_I将输出另一个签密μ⁽²⁾＝(f₁ ⁽²⁾,f₂ ⁽²⁾,f₃ ⁽²⁾,m⁽²⁾)，如果该签密有效，以下等式将成立：

f₂ ^(j)×(X_γ+Y_γ+h₁'×X_N+f₃ ^(j)×P)＝f₁ ^(j),j＝1,2 (1)

由于X_γ＝x_γ×P,Y_γ＝y_γ×P,X_N＝a×P,f₁＝r×P，式(1)可以写为：

f₂ ^(j)×(x_γ+y_γ+h₁'×a+f₃ ^(j))＝r,j＝1,2 (2)

式(2)的两个方程中，只有y_γ,a两个未知数。因此，C可以通过解两个独立的线性方程获得a，从而解决了DLP问题。

b)如果ID_A≠ID_γ，C放弃游戏。

在以上的伪造阶段，接收者ID_B可以是φ，这时工作于签名模式，否则工作于签密模式。

1)类型II攻击(A_II)下的不可伪造性。

定理4在随机预言模型下，所提出广义签密方案中签名和签密模式中如果攻击者A_II如果能够在多项式时间内成功伪造密文，那么存在算法C将能够解决DLP困难问题。

证明：假设C是一个DLP困难问题的解决者，其困难问题的输入为(P,aP)，其目标是计算a。C模拟挑战者与A_II交互如下：

系统建立阶段。与定理2证明中系统建立阶段相同。

训练阶段。在这个阶段，A_II进行与定理2的证明中训练阶段的询问。除了广义签密和广义解签密询问，C进行与定理2的证明中训练阶段相同的应答。C对广义签密和广义解签密询问的应答与定理3证明中相同。

伪造阶段。在这个阶段，A_II发送一个伪造的签密μ⁽¹⁾＝(f₁ ⁽¹⁾,f₂ ⁽¹⁾,f₃ ⁽¹⁾,m⁽¹⁾)给挑战者C，以ID_A作为发送端，ID_B作为接收端。需要注意的是，在训练阶段不能对ID_A进行部分私钥询问。此外，μ⁽¹⁾不能是任何签密询问的输出。如果这个签密是有效的，C可以通过如下方式解决DLP问题：

b)如果ID_A＝ID_γ(概率为)，C分别查阅表L₂,L₃，如果存在(f₁,ID_i,m,f₃)，(v₁,v₂,h₃)∈L₃满足：f₁＝r×P,v₁＝r×X_B，v₂＝r×(Y_B+h₁×X_N)，提取m，否则放弃。如果μ⁽¹⁾通过验证，则以下等式将成立：

f₂ ⁽¹⁾×(X_γ+Y_γ+h₁'×X_N+f₃ ⁽¹⁾)＝f₁, (3)

由于X_γ＝x_γ×P,Y_γ＝a×P,X_N＝x_N×P,f₁＝r×P，式(3)可以写为：

f₂ ⁽¹⁾×(x_γ+a+h₁'×x_N+f₃ ⁽¹⁾)＝r, (4)

式(4)中，只有a是未知数。因此，C可以通过解式(4)获得a，

从而解决了DLP问题。

b)如果ID_A≠ID_γ，C放弃游戏。

以上结合附图详细描述了本发明的优选实施方式，但是，本发明并不限于上述实施方式中的具体细节，在本发明的技术构思范围内，可以对本发明的技术方案进行多种简单变型，这些简单变型均属于本发明的保护范围。

另外需要说明的是，在上述具体实施方式中所描述的各个具体技术特征，在不矛盾的情况下，可以通过任何合适的方式进行组合，为了避免不必要的重复，本发明对各种可能的组合方式不再另行说明。

此外，本发明的各种不同的实施方式之间也可以进行任意组合，只要其不违背本发明的思想，其同样应当视为本发明所公开的内容。

Claims

1.一种信息的广义签密方法，其特征在于，该信息的广义签密方法包括步骤1，系统建立；

步骤2，密钥生成；

步骤3，根据下述的广义签密方法进行广义签密传输：

发送端用户ID_A对预设长度为l₀的消息通过如下模式进行操作并将操作结果发送给接收端用户ID_B：

接收端用户ID_B对操作结果进行广义解签密，在判断结果与签密的消息一致的情况下，接收消息，否则拒绝消息；

在步骤1中的系统建立方法包括：

步骤11，给定安全参数k，KGC(Key Generating Center)选择两个素数p和q满足p互质于q-1，其中，P是循环群G的椭圆曲线上的一个q阶生成元，KGC随机选择x_N∈z_q ^*作为主私钥x_N，并通过公式X_N＝x_N×P计算公钥X_N，其中，z_q ^*指非零整数；

步骤12，KGC选择以下三个Hash函数：H₁:{0,1}^*×G×G×G→Z_q ^*，H₂:G×Z_q ^*×{0，1}^*→Z_q ^*，H₃:Z_q ^*×Z_q ^*→{0,1}^l，其中，l＝l₀+l₁；Z_q ^*指非零整数；l定义为消息长度和所选取的随机数β长度之和，其中，β的长度为l₁；

系统参数为params＝(p,q,P,X_N,H₁,H₂,H₃)。

2.根据权利要求1中的信息的广义签密方法，其特征在于，在步骤2中的密钥生成方法包括：

步骤21，用户ID_i随机选择x_i∈z_q ^*作为自己的秘密值，并计算X_i＝x_i×P作为其部分公钥X_i，其中，用户ID_i包括发送端用户ID_A和/或接收端用户ID_B；

步骤22，用户ID_i发送(ID_i,X_i)给KGC；

步骤24，KGC通过秘密渠道将z_i发送给用户ID_i。

3.根据权利要求2中的信息的广义签密方法，其特征在于，在步骤2中的密钥生成方法还包括：

4.根据权利要求3中的信息的广义签密方法，其特征在于，在步骤3中的广义签密方法包括：

发送端用户ID_A对长度为l₀的消息m通过如下操作并将结果μ_i＝(f₁,f₂,f₃,m')发送给接收端用户ID_B：

发送端用户ID_A执行如下操作：随机选取r∈Z_q ^*,计算h₁＝H₁(ID_B,Y_B,X_B,P_pub)、f₁＝r×P，f₂＝r×f(ID_A)/(x_A+z_A+f₃)、f₃＝H₂(f₁,ID_A,m)和其中，v₁＝r×X_B，v₂＝r×(Y_B+P_pub×h₁)；P_pub的定义是系统公钥；

该方法中，当ID_A＝φ时，执行加密模式；当ID_B＝φ时，执行签名模式；当ID_A≠φ,ID_B≠φ时，执行签密模式。

5.根据权利要求4中的信息的广义签密方法，其特征在于，

当ID_A≠φ且ID_B≠φ时，通过签密模式执行以下操作，ID_A随机选择r∈Z_q ^*,计算h₁＝H₁(ID_B,Y_B,X_B,P_pub)，f₁＝r×P，f₃＝H₂(f₁,ID_A,m)，f₂＝r/(x_A+z_A+f₃)和其中，v₁＝r×X_B，v₂＝r×(Y_B+h₁×P_pub)，得到的结果为密文μ_i＝(f₁,f₂,f₃,m')；

或者

6.根据权利要求5中的信息的广义签密方法，其特征在于，在步骤3中的广义解签密方法包括：

在签密模式下，接收端用户ID_B分别计算h₁'＝H₁(ID_A,Y_A,X_A,X_N)、v₁'＝x_B×f₁、v₂'＝z_B×f₁和判定等式f₃＝H₂(f₁,ID_A,m)和等式f₂×(X_A+Y_A+h′₁P_pub+f₃×P)＝f₁在成立的情况下，接收端用户ID_B接受消息m，否则拒绝；或者

在加密模式下，接收端用户ID_B分别计算h₁'＝H₁(ID_A,Y_A,X_A,X_N)、v₁'＝x_B×f₁和判定等式f₃＝H₂(f₁,ID_A,m)在成立的情况下，接收端用户ID_B接受消息m，否则拒绝；或者

在签名模式下，接收端用户ID_B计算h₁'＝H₁(ID_A,Y_A,X_A,X_N)；判定等式f₂×(X_A+Y_A+h′₁×P_pub+f₃×P)＝f₁和f₃＝H₂(f₁,ID_A,m)在成立的情况下，接收端用户ID_B接受消息m，否则拒绝。

7.根据权利要求1所述的信息的广义签密方法，其特征在于，用户ID_i先将自己的身份信息和部分公钥(ID_i,X_i)发送给KGC，再接收部分私钥；其中，用户ID_i包括发送端用户ID_A和/或接收端用户ID_B。