CN1618200B - 在若干实体与设备间分布负荷的密码法 - Google Patents
在若干实体与设备间分布负荷的密码法 Download PDFInfo
- Publication number
- CN1618200B CN1618200B CN028277910A CN02827791A CN1618200B CN 1618200 B CN1618200 B CN 1618200B CN 028277910 A CN028277910 A CN 028277910A CN 02827791 A CN02827791 A CN 02827791A CN 1618200 B CN1618200 B CN 1618200B
- Authority
- CN
- China
- Prior art keywords
- integer
- key
- proof unit
- entity
- mould
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
- H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters
- H04L9/302—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters involving the integer factorization problem, e.g. RSA or quadratic sieve [QS] schemes
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3218—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/56—Financial cryptography, e.g. electronic payment or e-cash
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/80—Wireless
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- Theoretical Computer Science (AREA)
- Storage Device Security (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
本发明涉及一密码法,第二实体(B)运用一公共钥以验证第一实体(A)提供的证明。第一实体(A)包括产生第一随机数r,它比包含在第一实体(A)的密钥保持的秘密里的任一第一整数大得多。第一实体(A)产生由第一整数G的模n乘幂得到的第一证明单元,G包含或不包含在所述公共钥里,其指数为第一随机数r。结合第一证明单元产生所谓的公约数,使第二实体(B)和第一实体(A)都知道该公约数。第一实体(A)通过线性组合第一随机数r与至少第一密钥整数s,产生所述密钥的图像y。至少一个线性组合的乘法系数是所述公约数。任一实体产生等于第二整数G幂模n的第二证明单元Y,G包含或不包含在所述密钥里,其指数为所述公约数的图像y,并把第二证明单元Y送到第一实体(A)。第二实体(B)验证第一证明单元是否符合指数为第三整数e的第二证明单元Y的幂与包含在所述公共钥里指数为所述公约数c的第四整数v的幂的乘积模n。
Description
技术领域:
本发明涉及密码技术领域,更准确地说涉及所谓的公共钥密码术。在此类密码术中,用户有一对供指定使用的钥,包括该用户保持的秘密的密钥和该用户可传给其它用户的相关公共钥。例如在专用于保密的一对钥情况下,公共钥用于加密数据,密钥用来译码,即用明文重建该数据。
背景技术:
公共钥密码术应用极广,它不像密钥密码术,建立安保通信时不要求对话者遵守同一秘密。但这一安全优点伴随着性能上的缺点,因为公共钥密码法(也称为公共钥方案)通常比密钥密码法(也称为密钥方案)要慢成百上千倍。因此,一大难题就是探索能迅速执行的公共钥密码法,以便能在资源有限的环境中诸如带或不带触点的普通微处理器卡中使用。
现有的大多数公共钥方案取决于算法领域的数学难题(即数论),因而RSA(Rivest,Shamir,Adlemom)数字特征与加密方案的安全性基于整数分解的难题:给出一个通过把两个或更多差不多大小的质数秘密相乘所专门得出的极大整数(超过500位),目前尚无有效的方法恢复这些质数。
其它公共钥方案如EIGamal数字特征或加密方案,安全性依赖于所谓“离散对数问题。此问题可以其最普通的情况表达如下:设E为利用运算所提供的集(即有两个单元a与b的函数同表示为“a·b”或“ab”而称为“a与b乘积”的单元相关联)。设g是E单元,设r是大的整数,并设y是由y=g’所定义的整数(即乘积g·g·...·g·g出现r次);故由g和y恢复r是不可行的。
本发明尤其涉及实体鉴定(也称“识别”)技术领域,而且涉及运用公共钥密码技术的消息及其数字特征鉴定的技术领域。在此类方法中,称为“证人”的被鉴定实体拥有一密钥或专用钥和一关联的公共钥。证人用密钥生成鉴定值。称为“核对员”的鉴定实体只需要证人的公共钥就可核对鉴定值。
本发明特别涉及称为“零知识公开”的鉴定方法。这意味着运用某种协议作鉴定,协议以验证方式不透露被鉴定实体的密钥,但要使用多次。由这种方案可知,可用普通技术推导出鉴定消息及其数字特征的方案。
本发明甚至还涉及安全性依赖于整数因式分解和离散对数两个难题的方法。
本发明适用于用公共钥密码保护其单元和/或业务安全性的任何系统,尤其适用于各团体执行的一些运算构成至少一个团体的临界参数的系统,或是因为没有专用于密码运算的协同处理器(常称为密码处理器)来加快运算,或者例如在中央服务器的情况下或因其它原因,能同时执行大量运算。
一种典型的应用是用银行卡或电子财务作电子付款.在就近付款时,付款终端位于公共场所,便于应用公共钥密码法,不用存贮主控钥.为了减少这种系统的总成本,希望卡是一种普通的微处理器卡,即不配备秘密处理器的卡,或者终端自身所含的保密微处理器系普通类型,或者是二者.根据情况和采用的密码法,当前的现有技术在遵循系统的约束条件时,可实现诸目标之一,但不易同时实现两个目标.一例这样的约束条件是,要在不到一秒时间内付款,或在不接触交易时在小于150毫秒内付款,或在公路收费门甚至以几毫秒付款.
迄今已知的所有密码法,一个局限性是各团体必须执行的运算数量由方法本身固定且不能修正,尤其是不能在证人与第三方之间改变运算分配而不必计及置信度,以致适应这种环境,因而防止了同一方法被用于约束条件不同的多种环境。
发明内容:
本发明的目的规定了若干公共钥密码法,能在至少有关的两个实体之间分配大量运算,而这一分配不改变所述方法所提供的安全度。在公共钥数字特征或鉴定方法中,本发明尤其适于通过减少要执行的运算数量来减轻证人的任务。本发明能把某些运算委托给另一方,无须计及另一方的置信度。通常,本发明以满足与指定应用关联的约束条件的方式,使所有或某些运算在若干有关实体之间以任何方式分配。
考虑一种密码法,其中由第一实体运用其密钥保持秘密产生由第二实体可用与所述密钥关联的公共钥所验证的证明,本发明方法的优点在于包括一步骤。其中至少一个证明单元至少是部分通过对不让所述密钥恢复的数据项作公开数字处理而产生的。
“公开数字处理”指不得益于对可能侵入的特定保护的数字处理操作。公开数字处理操作可由任一方执行。上述的数据项,例如是一所述密钥的图像。
这种分布负荷的可能性允许一种或同一种密码法应用于多种有极大量约束条件的场合与环境,尤其可用计算量有限的码片,在更短时间内进行交易。
已知诸密码法应用了有限组一特征,有限组包含例如n个整数,而且配有一内部组成法如乘法。实际上无法恢复某个乘幂的原始指数,在n为包括至少两个极大质数的数时尤其如此。
具体而言,本发明方法包括:
第一步骤:第一实体用其单一随机数保持秘密产生第一证明单元;
第二步骤:产生一个或多个与第一证明单元关联的所谓的公约数,使第一和第二实体都知道所述公约数;
第三步骤:第一实体通过组合至少第一密钥整数与第一随机数和至少一个所述公约数,产生所述密钥的图像;
第四步骤:通过对所述密钥图像应用可由任一实体执行的公开数字处理操作而产生第二证明单元,允许第二实体通过对第二证明单元应用所述公共钥的第一部分而对至少一个所述公约数应用至少所述公共钥的第二部分,来验证第一证明单元与第二证明单元相符。
“产生与第一证明单元关联的公约数”可理解为指产生一对有必须预先知道第一证明单元的公约数。这种产生可以纯粹是随机的,而且与第一证明单元无关或有关。利用这一关联,在产生公约数时,就不能回到第一证明单元。
更具体地说:
在第一步骤中,第一实体产生第一随机数r,它比包含在第一实体的密钥保持的秘密里的任何第一整数s大得多,而且第一实体还产生在将第一整数G自乘到幂模n后得到的第一证明单元,G可以或可以不包含在所述公共钥中,其指数就是第一随机数r;
在第三步骤中,第一实体通过线性组合第一随机数r与至少第一密钥整数s而产生所述密钥图像y,所述线性组合的至少一个乘法系数是所述公约数或公约数之一;
在第四步骤中,产生的第二证明单元Y等于第二整数g的幂模n,g可以或可以不包含在所述公共钥中,其指数是密钥图像y,第二整数g使得第一公共钥整数G是第二整数g的幂模n,而作为指数的第三整数e可以或可以不包含在所述公共钥中。
首先要指出,第三步骤所产生的密钥图像资料并不提供有关该密钥的信息,因后者通过与第一随机数的线性组合而被遮蔽了,其第一证明单元不说明什么。其次,第一证明单元和公共钥的资料不允许在不知道密钥图像时产生第二证明单元,在第二步骤中,只有单独掌握密钥与随机数的第二实体才能产生第二证明单元。第一实体可以具有执行第五步骤的有限的计算资源,因为第三整数和公约数相对小的值足以可靠地验证与第一证明单元的匹配。
第四步骤可由第一实体执行,但因指数值大,要考虑第四步骤中计算幂的成本。
第四步骤由接收来自第一实体的密钥图像y的任一实体来执行是有利的。如上所述,任一实体的密钥图像资料并不危及该方法的安全性。第四步骤由任一第一实体以外的实体执行,减轻了第一实体的负担。该任一实体可选用第二实体或中间实体。
而且,第四步骤有利地包括:
第一分步骤,其中第一实体把图像y分解成第一局部图像y’与第二局部图像y”,前者用代表图像y的数据字的u个低位表示,后者用所述数据字的剩余高位表示;在第一分步骤中,第一实体产生第二证明单元的第一分量Y’与第二分量g’,所述分量为:
Y’=gy’模n
而且第一实体把第一分量Y’、第二分量g’与第二局部图像y”送到中间实体;
第二分步骤:其中任一实体通过把第一分量Y’乘上指数为第二局部图像y”的第二分量g’的幂而产生第二证明单元Y,而且该实体把第二证明单元Y送给第二实体。
因此在第二实体产生第一和第二分量Y’与g’时,小于y值的y’值只需要有限的计算资源。因第二局部图像和两个分量Y’与g’足以让任一实体在不完全掌握密钥图像的情况下产生第二证明单元,故提高了该方法的安全性。
尤其在用该密码法鉴别第一与第二实体间的对话时,第二步骤由第二实体执行,为接收自第二实体的第一证明单元以安全的间隔选择至少一个公约数,并把所述公约数送给第一实体。
这样能让第二实体相信,第一实体收到了该公约数,可产生在对话内与第一证明单元相配的第二证明单元。
尤其在第五步骤中,当第一证明单元x等于第二证明单元Y的幂(其指数为第三整数e)与包含在所述公共钥里的第四整数v的幂(其指数是所述公约数c)的乘积模n时,匹配被验证。
尤其不同的是,在对话包括第一实体发送消息M时,在第五步骤中,当第一证明单元等于带第一证明单元的数字消息M与第二证明单元Y的幂(其指数是第三整数e)和包含在所述公共钥里的第四整数v的幂(其指数为所述公约数c)的乘积模n的函数时,匹配被验证.
尤其不同的是,在对消息特征M应用该密码法时,第二步骤由第一实体执行,根据第一证明单元和带所述公约数的数字消息M产生至少一个公约数。
尤其在第五步骤中,当该公约数等于数字消息M和第二证明单元Y的幂(其指数是第三整数e)与包含在所述公共钥里的第四整数v的幂(其指数是所述公约数c)的乘积模n的函数时,匹配被验证。
本发明的主题也是设计成执行该密码法的证人设备、验证人设备与中间人设备。
现在研究一下证人设备,它备有密钥保持的秘密并防止任何侵入,用于产生证明,其应用与所述密钥关联的公共钥的验证能保证该证人设备是所述证明的起源,证人设备的价值在于包括:
计算装置设计成根据证人设备里的第一随机数保持的秘密产生第一证明单元,并通过组合至少第一密钥整数与第一随机数和若干与第一证明单元关联的公约数中的至少一个,产生所述密钥的图像,其方法是对所述密钥图像作公共的数字处理操作而产生第二证明单元,使它能通过对第二证明单元应用所述公共钥的第一部分而对至少一个所述公约数应用至少所述公共钥的第二部分,来验证第一与第二证明单元的匹配;
设计成发送至少所述第一证明单元的通信装置。
有利的是,在证人设备中:
另将计算装置设计成产生比包含在密钥保持的秘密里的任何第一整数s大得多的第一随机数r,并通过使可能或可能不包含在所述公共钥里的第一整数G以第一随机数r为指数自乘到幂模n,产生第一证明单元;
而计算装置还设计成通过线性组合第一随机数r与至少一第一密钥整数s而产生所述密钥图像y,所述线性组合的至少一个乘法系数是所述公约数或公约数之一。
根据实施法的型式,证人设备有各种修正。
例如,通信装置还设计成在发送了第一证明单元后接收所述公约数。较佳地,通信装置设计成发送密钥图像。
计算装置还可设计成产生第二证明单元。
有利的是,计算装置设计成把图像y分解成由代表图像y的数据字的u个低位表示的第一局部图像y’和由所述数据字剩余的高位表示的第二局部图像y”,并产生第二证明单元的第一分量Y’与第二分量g’,所述分量为:
Y’=gy’模n
式中g是第二整数,因而第一公共钥整数G是第二整数g的幂模n,指数为包含在所述公共钥里的第三整数e,通信装置设计成发送第一分量Y’、第二分量g’与第二局部图像y”。
在特定的消息特征情况下,计算装置设计成根据第一证明单元和带所述公约数的数字消息M,产生至少一个公约数。
根据诸替代实施例,计算装置设计成通过使第一整数G自乘至幂模n而产生第一证明单元,G可以或可以不包含在所述公共钥里,其指数是第一随机数r。
根据第一替代实施例,第一公共钥整数G与第四公共钥v分别为:
G=ge模n
v=G-s模n
根据第二替代实施例,第一公共钥整数G与第四公共钥整数v分别为:
G=ge模n
v=Gs模n
根据第三替代实施例,第一公共钥整数G与第四公共钥整数v分别为:
G=g-e模n
v=G-s模n
根据第四替代实施例,计算装置设计成按下式线性组合两个公约数a与b而产生密钥图像y:
y=ar+bs
根据第五替代实施例,当密钥包括若干秘密数s1、s2等时:
计算装置设计成产生许多与第一证明单元x关联的公约数c1、c2等;
计算装置设计成按下式作线性组合而产生密钥图像:
y=r+c1·s1+c2·s2+......
根据第六替代实施例,当公共钥特地包括模n,而其质数是证人设备里保持的秘密时,计算装置(37)就设计成用称为孙子剩余的技术计算乘幂。
当公共钥包括第一证明单元x预先计算值的量k时,计算装置设计成对每个执行作k次迭代,每次迭代用不同的第一证明单元值。
或者,第一证明单元为第一整数G的幂模n的函数f,G可以或可以不包含在所述公共钥里,其指数为第一随机数r。
现在研究验证人设备,该设备用与密钥关联的公共钥验证某一证明已由证人设备发出,而证人设备备有其所述密钥保持的秘密,验证人设备最好包括:
设计成接收第一和第二证明单元的通信装置;
设计成验证第一与第二证明单元相匹配的计算装置,验证时对第二证明单元应用所述公共钥的第一部分,对若干结合第一证明单元产生的公约数中的至少一个应用所述公共钥的至少第二部分。
在验证人设备中,有利的是把计算装置设计成验证第一证明单元匹配于第二证明单元Y的幂(其指数是第三整数e)与第四整数v的幂(其指数是所述公约数c)的乘积模n,第三和第四整数都包含在所述公共钥里。
同样有利的是,把计算装置设计成在接收了第一证明单元后的一安全间隔内选择至少一个公约数,而将通信装置设计成发射所述公约数。
具体而言,当第一证明单元x等于第二证明单元Y的幂(其指数是第三整数e)与包含在所述公共钥里的第四整数v的幂(其指数是所述公约数c)的乘积模n时,计算装置设计成宣布匹配被证实。
更具体地说,当第一证明单元为带第一证明单元的数字消息M和第二证明单元Y的幂(其指数是第三整数e)与包含在所述公共钥里的第四整数v的幂(其指数是所述公约数c)的乘积模n的函数时,计算装置设计成宣布匹配被证实.
不同的是,当该公约数为数字消息M和第二证明单元Y的幂(其指数是第三整数e)与包含在所述公共钥里的第四整数v的幂(其指数是所述公约数c)的乘积模n的函数时,计算装置设计成宣布匹配被证实。
由下列公式在验证人设备中验证等式:
x=Yevc模n;
或用公式:
Ye=vcx模n;
或用公式:
Yex=vc模n;
或用等式来验证匹配:
Ycvb=xa模n
当密钥包括若干秘密数s1、s2等时,计算装置(38)设计成对第一证明单元x选择许多公约数c1、c2等,还设计成用以下述等式用多个第四公共钥整数v1、v2等来验证匹配:
Yev1c2v2c2等=x模n
在一验证人设备的替代实施例中,计算装置在存储器中包括至少一个被视为公共钥组成部分的预先计算的第一证明单元x值。
具体地说,计算装置在存储器中包括量为k的预先计算的第一证明单元x的值,通信装置设计成接收k个第二证明单元,而计算装置设计成验证收到的各第二证明单元与第一证明单元一不同值的匹配。
在验证人设备的另一替代实施例中,当第一证明单元为第一整数G的幂模n的函数f时,计算装置设计成验证该函数的结果;所述整数G可以或可以不包含在所述公共钥里,其指数是第一随机数r。
现在研究一位于证人设备下游的中间人设备,该设备根据证人设备的密钥保持的秘密产生一证明,所述证明可用与所述密钥关联的公共钥验证,中间人设备包括的计算装置通过对所述密钥图像作公开数字处理而产生至少一个证明单元,所述密钥图像不允许恢复所述密钥。具体而言,该设备包括设计成接收所述密钥图像y的通信装置。
根据一可能的替代实施例,计算装置设计成通过使第二整数g自乘到幂模n而产生第二证明单元Y,g包含在所述公共钥里,其指数是密钥图像y。
根据另一可能的替代实施例,中间人设备包括的通信装置设计成接收密钥的第一局部图像y’和第二证明单元的第一分量Y’与第二分量g’,而计算装置设计成通过把第一分量Y’乘上指数为第二局部图像y”的第二分量g’的幂,产生第二证明单元Y。
较佳地,中间人设备的通信装置设计成向验证人设备发送该第二证明单元Y。
附图说明:
通过以下参照附图对示例性实例的描述,能更清楚地理解本发明,其中:
图1示出本发明用第一实体鉴定第二实体的鉴定法的步骤;
图2示出涉及中间实体的鉴定法的第一替代实施例;
图3示出涉及中间实体的鉴定法的第二替代实施例;
图4示出本发明消息鉴定法的步骤;和
图5示出本发明用于消息特征的方法步骤。
具体实施方式:
下述的实施方式是一种实体鉴定或识别法,使证人A确信验证人B的真实性。该法可以转换为鉴定消息或消息数字特征的方法,其安全性依赖于大整数因式分解的联合难度。
根据上述的目的和结果,该法包括两种选择,具体取决于若干实体间计算的分布方式。设n是大的构成整数,五个正整数e、g、G、s和v为正且小于n,因而:
G=ge(模n)和v=G-s(模n)
因此,证人的公共钥全部或部分由五重态(n,e,g,G,v)构成,具体取决于所选的选项,而密钥由至少证人的整数s保持的秘密构成。公共钥本身分解为若干证人公用的一般部分和每个证人不同的专用部分。
还定义了两个正整数k与t,称为安全参数。在所有选项中,假定第一实体(验证人B)已经知道了验证第二实体(证人A)给出的证明所必需的所有公共参数,即它的身份、公共钥、公共钥证件等。
根据第一选项,公共钥为三重态(n,e,v),实体B对实体A鉴定时对参照图1所述的协议作k次迭代。
在第一步骤9,实体A产生比s大得多的第一随机数r,计算x=Gr(模n),并将x送到实体B。众所周知,实体A与B为计算机类型或码片卡类型。“(模n)”指模n,即计算结果为有关操作结果用整数n作整数除法的余数,n一般称为模。这里的整数x构成第一证明单元,因为只有产生随机数r的实体才能产生数x。产生随机数r的实体不传送r。根据已知的数论,对于已知的第一整数G与模n,数r选成大得足以不能由数x恢复它。若第一整数G包含在公共钥中,则该第一证明单元不足以成为任何实体可用任一随机数产生的单元。应指出,在参照图1所述的方法中,整数G不一定包含在公共钥。
实体B收到第一证明单元x就使过渡10生效,后者激励第二步骤11。
在步骤11,实体B在称为安全间隔的间隔[0,t-1]内任选一整数C,并把C送到实体A,因而实体B结合第一证明单元产生的数C为实体A和B共有,也为任何其它渗入实体A与B之间对话的实体共有。
实体A收到公约数C就使过渡12生效,后者激励第三步骤13。
在步骤13,实体A计算y=r+sc。这样,实体A以数r与s线性组合的形式产生密钥图像y,乘法系数是公约数c。因随机数r很大而且不传送,故图像y的资料不允许乘积sc被恢复,因而防止了恢复密钥数s,保持了实体A保持的秘密。因为只有实体A知道数s,故只有实体A才能产生集成了公约数c的图像。
紧接着步骤13激励第四步骤15。在步骤15中,实体A计算Y=gy(模n),并向B送Y,因而实体A产生第二证明单元Y。应指出,第二整数g不一定包含在公共钥中。
实体B收到第二证明单元Y就使过渡16生效,后者激励第五步骤17。
在步骤17,实体B验证Yevc=x(模n)。由上述可见,虽然第二证明单元不传送密钥的信息,但第二证明单元Y为:
Y=gr+sc(模n)
因此,使第二证明单元Y自乘到一幂,其指数为公共钥的第三整数e,得:
Ye=g(r+sc)e=Gr+sc(模n)
另按照数论,虽然第四整数v不传送密钥信息,但所述整数实际上为:
vc=G-sc(模n)
因而在任何时候都不传送r,等式
Yevc=Gr=x(模n)
证明了单独知道s,c的实体A。
现在研究作为试图冒充成A的实体的捐税人(imposter),不知道秘密s,因而不检测该捐税人的概率为l/kt。对于众多应用,乘积kt可选得相对小,如为216量级。
较佳地k=1,t=e,此时上面定义的概率为1/e,只有一个验证公式可用。若e等于比如216则验证相对快,因为指数e与c相对小。在步骤11结束或之前预先计算。
z=vc(模n)
甚至可加快验证。因而在第四步骤中,B只要验证Yez=x(模n)。其它k与t值也行。
优化该基本协议可用多种不同的方法,如v=G-s(模n)可用v=Gs(模n)代替,此时验证公式变为Ye=xvc(模n)。
另外,比如可用G=g-e(模n)代替G=ge(模n)此时验证公式变为xYe=vc(模n)。
而且,例如可用一对正或负的整数(a,b)代替c,用y=ar+bs代替y=r+sc,此时验证公式变为Yevb=xa(模n)。
还有,例如可以选择若干秘密数s1,s2等,若干公共钥v1,v2等和若干整数c1,c2等,并用y=r+s1c1+s2c2+...代替y=r+sc,此时验证公式变为Yev1 c1v2 c2=x(模n)。
若n包含在公共钥特定部分里而且A知道n的质数系数,就可用所谓的“孙子余数”技术加快第一步骤。
第一步骤可以预先执行。此外,x的k值可以构成A的公共钥部分,此时协议直接从第二步骤开始。
数x可用值f(x)代替,f是一函数,例如等于(或包括)一密码混列函数,此时验证公式变为f(Yevc(模n))=x。可以组合上述全部或部分修正。
显然,A以外的任一实体也可计算Y,这样做不会损失任何安全性。在此情况下,A只计算y,并对该实体提供y。首先,y资料无s的信息,因为乘积sc被随机数r“遮蔽”了。其次,骗子实际上无法根据所有片数造出Y,因为给出n,e,v,x与c后,若因式分解是一难题,就无法求出满足第四步骤验证公式的Y值。
根据参照图2说明的第二选项,公共钥为四重态(n,e,g,v),实体B对遵循的协议迭代k次而鉴定实体A,其中C指A以外的任一实体。
该法的执行方法与参照图1所述的方法一直到步骤13都一样。参照图2,步骤13被修正为实体A向中间实体C发送密钥图像y。如前所见,图像y不给出该密钥的信息。
实体C收到图像y使过渡14生效,后者再激励第四步骤15。
在步骤15,此时中间实体C计算第二证明单元Y=gy(模n),并把Y送到B。
本方法再继续通过过渡16与步骤17,做法与参照图1描述的一样。
从物理上讲,中间实体C例如埋置在不一定保密的芯片里,而是包含在芯片卡之类的证人的安全设备里,在验证人的安全设备如付款终端或另一设备如计算机中。安全性依赖于这样的事实在:实体C自己无法求出合适的那满足验证公式的值Y。
在参照图3描述的第三选项中,在实体A与C之间分开计算Y。分提这一计算的方法很多。这里在步骤13之前,用参照图1所描述的方式执行该方法。在步骤13,按下式分解图像y较有利:
y=y’+2uy”
式中u是一正整数,y’是小于2u的整数。分解很方便。在代表图像y的数据字中,第一局部图像y’用该字的u个低位表示,第二局部图像用该字的剩余高位表示。
计算第二证明单元的第四步骤,此时分解成两个分步骤18与25。
第一分步骤18在步骤13之后由实体A直接执行。在分步骤18,实体A按下式计算第二证明单元的第一分量Y’:
Y’=gy’(模n)
计算第一分量Y’要求比完全计算第二证明单元少得多的资源,因为第一局部图像y’的值远远小于图像y,其方法是选用相对低的u值,如在8或16的量级。
在分步骤18,实体A按下式计算第二证明单元的第二分量g’:
计算第二分量g’要求很少的计算资源,因为只要作u乘方,先对第二整数g作第一乘方,然后对下一乘方模n结果依次乘方。
分步骤18结束时,实体A向中间实体C发送两个分量g’、Y’和第二局部图像y”。由于完全不传送密钥图像,故加强了安全性。由于实体A完全不计算第二证明单元,故减小了其计算负担。因此,实体C收到两个分量g’、Y’和第二局部图像y”,使过渡14生效而激励中间实体C中的第二分步骤25。
在分步骤25,实体C计算Y=Y’g’y”(模n),并向实体B发送如此产生的第二证明单元Y。
然后,操作以参照图1所述的同一方法继续通过过渡16和步骤17。
在过渡16生效前,实体B先执行步骤19是有利的,其中为便于在步骤17计算v,用下式算出数z:
z=vc(模n)
在过渡16之前,也可把步骤19引入图1、2和4的实例中。
同样要指出,还可在实体C与验证人B之间分担Y’的计算。
上述的协议可以转换成消息鉴定协议或数字特征方案。
图4示出一方法的步骤,该法能鉴定第一实体B收到的消息M由第二实体A发送。在第一步骤20,像在步骤9一样,实体A产生远远大于s的第一随机数r,计算x=Gr(模n).实体A不向实体B发送x,而提供第一证明单元x’,方法是对消息M连同数x应用一函数h,例如一密码混列函数或包含一密码混列函数,因而
x’=h(x,M)
接着,实体A向实体B发送消息M和第一证明单元x’。
实体B收到第一证明单元x使过渡21生效,后者再激励第二步骤11,然后此程序以参照图1~3之一描述的方式继续下去。在步骤11,实体B在[0,t-1]安全间隔内随机选一整数c并把它送到实体A,因而实体B结合第一证明单元产生的数c为实体A和B共有,也为渗入实体A与B之间对话的任一其它实体共有。
实体A收到公约数c使过渡12生效,后者再激励第三步骤13。
在步骤13,实体A计算y=r+sc,因而实体A以数r与s线性组合的形式产生密钥图像y,线性组合的乘法系数是公约数c。因随机数r极大且不传送,故图像y资料不允许乘积sc被恢复,因而不允许恢复实体A保持了保持的秘密的密钥数s。因为只有实体A知道数s,故只有A才能产生结合了公约数c的图像。在图4实例中,实体A向中间实体C发送密钥图像y。前面已看到,图像y并不给出密钥信息。实体C收到图像y使过渡14生效,后者再激励第四步骤15。
在步骤15,此时中间实体C计算第二证明单元Y=gy(模n),并向B发送y。
实体B收到第二证明单元Y使过渡16生效,后者再激励第五步骤22。
在步骤22,像步骤17一样,实体B用下式计算验证值V:
V=Yevc(模n)
然后用下列验证公式验证第二与第一证明单元的匹配:
h(V,M)=x’
在运用函数f另一个实施方法中,验证公式成为h(f(Yevc(模n)),M)=x’。
与消息鉴定不同,消息特征与发送者无关。若实体B接收来自任一其它实体的消息M,则实体A发出的消息M的特征保持有效。
参照图5,在第一步骤1,像步骤9一样,实体A产生比s大得多的第一随机数r,计算x=Gr(模n)。如此产生的第一证明单元x不需要送给实体B,因为不必为了验证特征而去鉴定实体A与B间的对话。
在紧接步骤1之后的第二步骤23,实体A产生公约数c’,方法是对消息M连同数x应用函数n,如一密码混列函数或包含一密码混列函数,使得
c’=h(x,M)
在紧接步骤23的第三步骤24,实体A计算y=r+sc,这样实体A以数r与s线性组合的形式产生密钥图像y,乘法系数为公约数c。由于随机数r很大且不传送,知道图像y并不能使乘积sc被恢复,因而不能恢复密钥数s,因此保持了实体A保持的秘密。因只有实体A知道数s,故只有实体A才能产生给合了公约数c’的图像。由上可见,图像y不给出密钥信息,对(c’,y)构成消息M的特征,因该对汇集了消息M和保证实体A为该特征源的密钥单元。
然后,实体A向实体B或任何其它实体发送消息M与特征(c’y)。
实体B从实体A或任一其之实体收到消息M及其特征(c’,y),使过渡2生效。
实体C收到图像y使过渡4生效,后者再激励第四步骤5。
在步骤5,此时中间实体C计算第二证明单元Y=gy(模n),并向B发送Y。
实体B收到第二证明单元Y使过渡7生效,后者再激励第五步骤8。
在步骤8,像步骤17一样,实体B用下式计算验证值V:
V=Yevc’(模n)
接着,用下述验证公式验证第二与第一证明单元匹配:
h(V,M)=c’
此时,与第一证明单元的匹配由该等式验证,因为步骤23产生的公约数c’本身与第一证明单元匹配。
在应用函数f的替代实施法中,验证公式变为h(f(Yevc(模n)),M)=x’。
实体C收到图像y使过渡4生效,这可以是收到来自实体A或任一其它实体的消息M及其特征(c’,y)的结果。参照图5,实体C收到图像y是过渡2激励的步骤3造成的。在步骤3,实体B从该特征中取出图像送给实体C。
在过渡7生效之前执行的步骤6中,为得到等于vc’的数z以便于在步骤8计算V,实体B从特征中取出公约数c’
参照图6,上述实体A、B、C在物理上分别是证人设备30、验证人设备31和中间设备32。证人设备比如是微处理器卡如信贷卡,或者是移动电话用户识别卡。验证人设备31例如是银行终端或电子设备服务器,或是移动电信操作器硬件。中间设备32例如是微处理器卡扩展件、信贷卡阅读终端或电子移动电话卡。
证人设备30包括通信装置34和计算装置37,可防侵入。在准备实施的方法型式中,通信装置34设计成发送第一证明单元x(如参照图1~3描述的步骤9)、密钥图像y(如参照图2和4描述的步骤13)、第二证明单元Y(如参照图1描述的步骤15)、带两个密钥图像分量g’与y”的第一局部图像y’(如参照图3描述的步骤18)、消息M(如参照图4与5描述的步骤20或24)或公约数c(如参照图5描述的步骤24)。在实施的方法型式对应于鉴定时,通信装置34还设计成在参照图1~4描述的过渡12接收公约数c。实施方法型式对应于特征时,不必把通信装置34设计为接收公约数c。根据实施方法型式,计算装置37设计成执行图1的步骤9、13和15,图2的步骤9和13,图3的步骤9、13和18,图4的步骤20和13,或图5的步骤1、23和24。众所周知,计算装置37包括微处理器与微程序或上述计算专用的组合电路。
验证人设备31包括通信装置35和计算装置38。在实施方法型式对应于鉴定时通信装置35设计成发送一个或多个公约数c,如图1~4的步骤11。实施方法型式对应于特征时,不必把通信装置35设计成发送公约数c。通信装置35还设计成接收两个证明单元x与Y(如图1~3的过渡10和16)、带第一证明单元x’和第二证明单元Y的消息M(如图4的过渡21和16)或者第二证明单元和带一个或多个公约数c’与密钥图像y的消息M(如图5的过渡2和8)。或者,实施方法型式对应于特征时,通信装置35设计成再发送密钥图像y,如图5的步骤3。
根据实施方法型式,计算装置38设计成执行图1~3的步骤11、17与19、图4的步骤11与22或图5的步骤6与8。众所周知,计算装置38包括微处理器和微程序或上述计算专用的组合电路。
中间设备32包括通信装置36和计算装置39,前者设计成发送第二证明单元Y,如图2和4的步骤15、图2和4的步骤15、图3的步骤25或图5的步骤5.通信装置36还设计成接收密钥图像y(如图2和4的过渡14)、密钥图像y(如图5的过渡4)或密钥局部图像y”与第二证明单元的两个分量g’与Y’(如图3的过渡14).
根据实施方法型式,计算装置39设计成执行图2或4的步骤15、图3的步骤25或图5的步骤5。众所周知,计算装置39包括微处理器和微程序或上述计算专用的组合电路。
作为过程的改进,上述的计算与通信两个装置都设计成对上述诸步骤重复执行k次,每次第一与第二证明单元不同。
Claims (57)
1.一种密码法,其中第一实体利用其密钥保持的秘密产生一可被第二实体用与所述密钥关联的公共钥验证的证明,其中所述方法包括步骤,所述步骤中至少一个证明单元至少部分地通过对数据项作公开数字处理而产生,所述数据项允许所述第二实体验证所述证明单元和另一证明单元之间的匹配,且不允许所述密钥被恢复,其特征在于,所述方法包括:
第一步骤,其中第一实体利用其第一随机数r保持的秘密产生第一证明单元;
第二步骤,其中结合第一证明单元产生一个或多个公约数,使第一实体与第二实体知道所述一个或多个公约数;
第三步骤,其中第一实体通过把至少第一密钥整数与第一随机数r和至少一个所述公约数组合起来,产生所述密钥的图像;
第四步骤,其中通过对所述密钥的所述图像y应用任一实体可执行的公开数字处理操作,产生第二证明单元Y,使第二实体通过对第二证明单元Y应用所述公共钥第一部分而对至少一个所述公约数应用至少所述公共钥第二部分,来验证第一与第二证明单元Y的匹配。
2.如权利要求1所述的密码法,其特征在于:
在第一步骤中,第一实体产生第一随机数r,所述第一随机数r比包含在第一实体的密钥保持的秘密里的任一第一整数大,而且第一实体产生使第一整数G自乘到幂模n后得到的第一证明单元x,所述第一整数G可以或可以不包含在所述保持的秘密里,其指数为第一随机数r;
在第三步骤中,第一实体通过线性组合第一随机数r和至少第一密钥整数s而产生所述密钥的图像y,所述线性组合的至少一个乘法系数是所述公约数或所述公约数之一;
在第四步骤中,产生的第二证明单元Y为第二整数g的幂模n,g可以或可以不包含在所述公共钥里,其指数是密钥图像y,所述第一整数G为所述第二整数g和作为指数的第三整数e的幂模n,所述第三整数e可以或可以不包含在所述公共钥里。
3.如权利要求2所述的密码法,其特征在于,在第四步骤中,把第二证明单元Y送到第二实体,而且其中所述方法包括第五步骤,其中第二实体验证第一证明单元匹配于指数为第三整数e的第二证明单元Y的幂与包含在所述公共钥里指数为所述公约数c的第四整数v的幂的乘积模n。
4.如权利要求1所述的密码法,其特征在于,第四步骤由第一实体以外接收来自第一实体的密钥图像的任一实体执行。
5.如权利要求1所述的密码法,其特征在于,第四步骤由第一实体执行。
7.如权利要求1所述的密码法,其特征在于,第二步骤由第二实体执行,第二实体在安全间隔内对接收自第一实体的第一证明单元选择至少一个公约数,并把所述公约数发给第一实体。
8.如权利要求1所述的密码法,其特征在于,第二步骤由第一实体执行,第一实体根据第一证明单元和数字消息M产生至少一个公约数。
9.如权利要求3所述的密码法,其特征在于,在第五步骤中,当第一证明单元等于指数为第三整数e的第二证明单元Y的幂与包含在所述公共钥里指数为所述公约数c的第四整数v的幂的乘积模n时,验证为匹配。
10.如权利要求3所述的密码法,其特征在于,在第五步骤中,当第一证明单元等于一个函数时,匹配得到验证,所述函数为数字消息M和第二证明单元Y的幂与包含在所述公共钥里的第四整数v的幂的乘积模n的函数,所述第二证明单元Y的指数为第三整数e,所述第四整数v的指数为所述公约数c。
11.如权利要求3所述的密码法,其特征在于,在第五步骤中,当公约数等于一个函数时,匹配得到验证,所述函数为数字消息M和第二证明单元Y的幂与包含在所述公共钥里的第四整数v的幂的乘积模n的函数,所述第二证明单元Y的指数为第三整数e,所述第四整数v的指数为所述公约数c。
12.如权利要求2所述的密码法,其特征在于,第一证明单元x等于可以或可以不包含在所述公共钥里指数为第一随机数r的第一整数G的幂模n。
13.如权利要求12所述的密码法,其特征在于,第一整数G和第四公共钥整数v由下列等式给出:
G=gc模n
v=G-s模n
且所述等式由下式验证:
x=Yevc模n。
14.如权利要求12所述的密码法,其特征在于,第四公共钥整数v由下列等式给出:
G=ge模n
v=Gs模n
且所述等式由下式验证:
Ye=vcx模n。
15.如权利要求12所述的密码法,其特征在于,第一整数G和第四公共钥整数v由下列等式给出:
G=g-e模n
v=G-s模n
且所述等式由下式验证:Yex=vc模n。
16.如权利要求12所述的密码法,其特征在于,
在所述第二步骤中,对第一证明单元x产生两个公约数a和b;
在所述第三步骤中,线性组合公式为:
y=a·r+b·s
在第五步骤中,由下式验证匹配:
Yevb=xa模n。
17.如权利要求12所述的密码法,其特征在于,当密钥包括若干秘密数s1、s2时:
第二步骤,包括产生对应于秘密数s1、s2的至少两个公约数c1、c2,以形成第一证明单元;
第三步骤,包括通过至少下列公式计算线性组合:y=r+c1·s1+c2·s2;
第五步骤,其中在第一证明单元模n和第二证明单元Y的幂及分别以第一c1和第二c2公约数为指数的至少两个第四公共钥整数v1、v2的乘积之间确定匹配,所述匹配通过至少下列等式验证:
Yev1c1v2c2=x模n。
18.如权利要求12所述的密码法,其特征在于,当公共钥特地包括可从第一实体知道其质数因子的模n时,用所谓的孙子余数技术加速第一步骤。
19.如权利要求1所述的密码法,其特征在于,公共钥包括至少一个预先计算的第一证明单元值,使本方法在第二步骤开始。
20.如权利要求19所述的密码法,其特征在于,公共钥包括量为k个预先计算的第一证明单元值,第二到第四步骤的执行迭代k次,每次迭代用不同的第一证明单元值。
21.如权利要求3所述的密码法,其特征在于,第一证明单元为可以或可以不包含在所述公共钥里指数为第一随机数r的第一整数G幂模n的函数,并对该函数的结果验证第五步骤。
22.一种备有密钥保持的秘密并防止任何侵入的证人设备,用于产生一证明,该证明用与所述密钥关联的公共钥验证,使它能保证设备为所述证明的起源,其特征在于它包括:
计算装置,设计成根据设备里第一随机数保持的秘密产生第一证明单元,并以某一方式把至少第一密钥整数与第一随机数和至少若干与第一证明单元关联的公约数之一组合起来,产生所述密钥的图像,从而能通过对所述密钥图像作公开数字处理操作而产生第二证明单元,使它能通过对第二证明单元应用所述公共钥第一部分,对至少一个所述公约数应用至少所述公共钥第二部分,来验证第一与第二证明单元的匹配;
通信装置,设计成发送至少所述的第一证明单元。
23.如权利要求22所述的证人设备,其特征在于:
一方面把计算装置设计成产生第一随机数,它比包含在密钥保持的秘密里的任一第一整数大,并通过使可以或可以不包含在所述公共钥里的第一整数G自乘到幂模n,产生第一证明单元,其中所述第一整数G自乘的指数为第一随机数r;
另一方面把计算装置设计成通过线性组合第一随机数与至少第一密钥整数s而产生所述密钥图像,所述线性组合的至少一个乘法系数是所述公约数或所述公约数之一。
24.如权利要求22所述的证人设备,其特征在于,通信装置设计成在发射了第一证明单元后接收所述公约数。
25.如权利要求22所述的证人设备,其特征在于,通信装置设计成发送密钥图像。
26.如权利要求22所述的证人设备,其特征在于,计算装置设计成产生第二证明单元。
27.如权利要求23所述的证人设备,其特征在于:
计算装置设计成把图像分解成第一局部图像y’与第二局部图像y”,所述第一局部图像y’由代表图像y的数据字中u个低位表示,所述第二局部图像y”由所述数据字的剩余高位表示,并且产生第二证明单元的第一分量Y’与第二分量g’,所述分量为:
Y’=gy’模n
式中g是第二整数,因而第一整数G是第二整数g的幂模n,指数为包含在所述公共钥里的第三整数e;并且
通信装置设计成发送第一分量Y’、第二分量g’与第二局部图像y”。
28.如权利要求22所述的证人设备,其特征在于,计算装置设计成根据第一证明单元与数字消息M,产生至少所述公约数。
29.如权利要求23所述的证人设备,其特征在于,计算装置设计成通过使第一整数G自乘到幂模n而产生第一证明单元,第一整数G可以或可以不包含在所述公共钥里,其指数为第一随机数r。
30.如权利要求29所述的证人设备,其特征在于,第一整数G和第四公共钥整数v分别为:
G=ge模n
v=G-s模n。
31.如权利要求29所述的证人设备,其特征在于,第一整数G与第四公共钥整数v分别为:
G=ge模n
v=Gs模n。
32.如权利要求29所述的证人设备,其特征在于,第一整数G与第四公共钥整数v分别为:
G=g-e模n
v=G-s模n。
33.如权利要求29所述的证人设备,其特征在于,计算装置设计成按下式线性组合两个公约数a与b而产生密钥图像:
y=a·r+b·s。
34.如权利要求29所述的证人设备,其特征在于,密钥包括至少两个秘密数s1、s2,其中:
计算装置设计成产生至少两个对应于秘密数s1、s2的与第一证明单元关联的公约数c1、c2;
计算装置设计成至少按下式线性组合而产生密钥图像:
y=r+c1·s1+c2·s2。
35.如权利要求23所述的证人设备,其特征在于,当公共钥特地包括其质数因子是证人设备中保持的秘密的模n时,计算装置设计成用所谓的孙子余数技术计算乘幂。
36.如权利要求22所述的证人设备,其特征在于,当公共钥包括量为k个预先计算的第一证明单元x值时,计算装置设计成迭代k次,每次迭代用不同的第一证明单元值。
37.如权利要求22所述的证人设备,其特征在于,第一证明单元为第一整数G幂模n的函数f,第一整数G可以或可以不包含在所述公共钥里,其指数为第一随机数r.
38.一种密钥系统,其中第一实体利用其密钥保持的秘密产生一可被第二实体用与所述密钥关联的公共钥验证的证明,其中至少一个证明单元至少部分地通过对数据项作公开数字处理而产生,所述数据项允许所述第二实体验证所述证明单元和另一证明单元之间的匹配,且不允许所述密钥被恢复,其特征在于,所述系统包括:
备有密钥保持的秘密并防止任何侵入的证人设备,用于产生一证明,该证明用与所述密钥关联的公共钥验证,使它能保证设备为所述证明的起源,其特征在于它包括:
证人计算装置,设计成根据证人设备里第一随机数r保持的秘密产生第一证明单元,并以某一方式把至少第一密钥整数与第一随机数和至少若干与第一证明单元关联的公约数之一组合起来,产生所述密钥的图像,从而能通过对所述密钥图像作公开数字处理操作而产生第二证明单元Y,使它能通过对第二证明单元应用所述公共钥第一部分,对至少一个所述公约数应用至少所述公共钥第二部分,来验证第一与第二证明单元Y的匹配;证人通信装置,设计成发送至少所述的第一证明单元。
39.如权利要求38所述的密钥系统,其特征在于,进一步包括验证人设备,用于验证所述证人设备已经发出证明,所述验证人设备包括:
验证人通信装置,设计成接收第一证明单元x与第二证明单元Y;
验证人计算装置,设计成验证第一与第二证明单元Y的匹配,方法是对第二证明单元Y应用所述公共钥的第一部分,对若干与第一证明单元关联地产生的公约数中至少一个应用所述公共钥的至少第二部分。
40.如权利要求39所述的密钥系统,其特征在于,所述验证人计算装置设计成验证第一证明单元x匹配于指数为第三整数e的第二证明单元Y的幂与指数为所述公约数c的第四整数v的幂的乘积模n,第三与第四整数均包含在所述公共钥里。
41.如权利要求39所述的密钥系统,其特征在于,所述验证人计算装置设计成在接收第一证明单元x后的安全间隔内选择至少一个公约数,而所述验证人通信装置设计成发送所述公约数。
42.如权利要求40所述的密钥系统,其特征在于,所述验证人计算装置设计成在第一证明单元x等于指数为第三整数e的第二证明单元Y的幂与包含在所述公共钥里指数为所述公约数c的第四整数v的幂的乘积模n时,宣布匹配被验证。
43.如权利要求40所述的密钥系统,其特征在于,所述验证人计算装置设计成在第一证明单元x为数字消息M和指数是第三整数e的第二证明单元Y的幂与包含在所述公共钥里指数为所述公约数c的第四整数v的幂的乘积模n的函数时,宣布匹配被证实。
44.如权利要求40所述的密钥系统,其特征在于,所述验证人计算装置设计成在公约数为数字消息M与指数为第三整数e的第二证明单元Y幂与包含在所述公共钥里指数为所述公约数c的第四整数v幂的乘积模n的函数时,宣布匹配被证实。
45.如权利要求42所述的密钥系统,其特征在于,该等式由下式验证:
x=Yevc模n。
46.如权利要求39所述的密钥系统,其特征在于,匹配由下式验证:
Ye=vcx模n。
47.如权利要求39所述的密钥系统,其特征在于,匹配由下式验证:
Yex=vc模n。
48.如权利要求39所述的密钥系统,其特征在于,匹配由下式验证:
Yevb=xa模n,其中a和b是正的或负的整数。
49.如权利要求41所述的密钥系统,其特征在于,密钥包括至少两个秘密数s1、s2:
所述验证人计算装置设计成对第一证明单元选择至少两个公约数c1、c2;
所述验证人计算装置设计成用至少两个第四公共钥整数v1、v2至少按下式验证匹配:
Yev1c2v2c2=x模n。
50.如权利要求39所述的密钥系统,其特征在于,所述验证人计算装置在存储器中包括至少一个预先计算的作为公共钥组成部分的第一证明单元的值。
51.如权利要求50所述的密钥系统,其特征在于,所述验证人计算装置在存储器中包括量为k个预先计算的第一证明单元的值,所述验证人通信装置设计成接收k个第二证明单元,所述验证人计算装置设计成验证收到的各第二证明单元Y与一不同的第一证明单元值的匹配。
52.如权利要求40所述的密钥系统,其特征在于,当第一证明单元为可以或可以不包含在所述公共钥里指数为第一随机数r的第一整数G的幂模n的函数时,所述验证人计算装置设计成验证该函数结果。
53.如权利要求38所述的密钥系统,其特征在于,进一步包括一种位于证人下游的中间设备,所述中间设备包括对所述密钥图像y作公开数字处理而产生至少一个证明单元的中间计算装置,所述密钥图像不让所述密钥被恢复。
54.如权利要求53所述的密钥系统,其特征在于,所述中间设备进一步包括设计成接收所述密钥图像y的中间通信装置。
55.如权利要求54所述的密钥系统,其特征在于,所述中间计算装置设计成通过使第二整数g自乘至幂模n而产生第二证明单元Y,第二整数g包含在所述公共钥里,其指数为密钥图像y。
56.如权利要求53所述的密钥系统,其特征在于,所述中间设备进一步包括设计成接收密钥第二局部图像y”、第二证明单元Y的第一分量Y’,与第二证明单元Y的第二分量g’的中间通信装置,其中密钥第二局部图像y”是由根据公式y=y’+2uy”对所述密钥的图像y的分解而产生的,u是正整数而y’是小于2u的整数,第二证明单元Y的第一分量Y’等于所述公共钥的第二整数g以y’为指数的幂模n,而第二证明单元Y的第二分量g’是通过公式计算的,所述中间计算装置设计成通过把第一分量Y’乘上指数为第二局部图像y”的第二分量g’的幂而产生第二证明单元Y。
57.如权利要求56所述的密钥系统,其特征在于,所述中间通信装置设计成向验证人设备发送第一证明单元和第二证明单元Y的至少一个。
Applications Claiming Priority (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
FR0116789A FR2834153B1 (fr) | 2001-12-21 | 2001-12-21 | Procede cryptographique permettant de repartir la charge entre plusieurs entites et dispositifs pour mettre en oeuvre ce procede |
FR01/16,789 | 2001-12-21 | ||
PCT/FR2002/004366 WO2003055134A1 (fr) | 2001-12-21 | 2002-12-16 | Procede cryptographique permettant de repartir la charge entre plusieurs entites et dispositifs pour mettre en oeuvre ce procede |
Publications (2)
Publication Number | Publication Date |
---|---|
CN1618200A CN1618200A (zh) | 2005-05-18 |
CN1618200B true CN1618200B (zh) | 2010-05-12 |
Family
ID=8870936
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN028277910A Expired - Fee Related CN1618200B (zh) | 2001-12-21 | 2002-12-16 | 在若干实体与设备间分布负荷的密码法 |
Country Status (8)
Country | Link |
---|---|
US (1) | US7382875B2 (zh) |
EP (1) | EP1456998A1 (zh) |
JP (1) | JP2005513564A (zh) |
KR (1) | KR100971038B1 (zh) |
CN (1) | CN1618200B (zh) |
AU (1) | AU2002364321A1 (zh) |
FR (1) | FR2834153B1 (zh) |
WO (1) | WO2003055134A1 (zh) |
Families Citing this family (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US7363492B2 (en) * | 2005-02-25 | 2008-04-22 | Motorola, Inc. | Method for zero-knowledge authentication of a prover by a verifier providing a user-selectable confidence level and associated application devices |
JP4988448B2 (ja) * | 2007-06-25 | 2012-08-01 | 株式会社日立製作所 | 一括検証装置、プログラム及び一括検証方法 |
FR2923305B1 (fr) * | 2007-11-02 | 2011-04-29 | Inside Contactless | Procede et dispositifs de protection d'un microcircuit contre des attaques visant a decouvrir une donnee secrete |
FR2925245B1 (fr) * | 2007-12-12 | 2010-06-11 | Sagem Securite | Controle d'une entite a controler par une entite de controle |
FR2981531A1 (fr) * | 2011-10-14 | 2013-04-19 | France Telecom | Procede de transfert du controle d'un module de securite d'une premiere entite a une deuxieme entite |
FR2992509B1 (fr) * | 2012-06-21 | 2017-05-26 | Commissariat Energie Atomique | Dispositif et procede pour generer une cle de session |
EP3697019A1 (de) * | 2019-02-12 | 2020-08-19 | Siemens Aktiengesellschaft | Verfahren zur bereitstellung eines herkunftsortnachweises für ein digitales schlüsselpaar |
CN110517147B (zh) * | 2019-08-30 | 2023-04-14 | 深圳市迅雷网络技术有限公司 | 交易数据处理方法、装置、系统及计算机可读存储介质 |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN1302406A (zh) * | 1998-05-22 | 2001-07-04 | 波系统股份有限公司 | 计算机系统中用于安全交易的方法和系统 |
Family Cites Families (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6226383B1 (en) * | 1996-04-17 | 2001-05-01 | Integrity Sciences, Inc. | Cryptographic methods for remote authentication |
US6779111B1 (en) * | 1999-05-10 | 2004-08-17 | Telefonaktiebolaget Lm Ericsson (Publ) | Indirect public-key encryption |
JP2001209308A (ja) * | 2000-01-24 | 2001-08-03 | Advanced Mobile Telecommunications Security Technology Research Lab Co Ltd | 一括署名方法 |
AU6816101A (en) * | 2000-06-05 | 2001-12-17 | Phoenix Tech Ltd | Systems, methods and software for remote password authentication using multiple servers |
-
2001
- 2001-12-21 FR FR0116789A patent/FR2834153B1/fr not_active Expired - Fee Related
-
2002
- 2002-12-16 CN CN028277910A patent/CN1618200B/zh not_active Expired - Fee Related
- 2002-12-16 JP JP2003555732A patent/JP2005513564A/ja active Pending
- 2002-12-16 KR KR1020047009924A patent/KR100971038B1/ko not_active IP Right Cessation
- 2002-12-16 AU AU2002364321A patent/AU2002364321A1/en not_active Abandoned
- 2002-12-16 WO PCT/FR2002/004366 patent/WO2003055134A1/fr active Application Filing
- 2002-12-16 EP EP02799095A patent/EP1456998A1/fr not_active Withdrawn
- 2002-12-16 US US10/499,563 patent/US7382875B2/en not_active Expired - Fee Related
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN1302406A (zh) * | 1998-05-22 | 2001-07-04 | 波系统股份有限公司 | 计算机系统中用于安全交易的方法和系统 |
Non-Patent Citations (1)
Title |
---|
Tsutomu MATSUMOTO,Koki KATO,Hideki IMAI.speeding up secret computations with insecureauxiliarydevices.Lecture Notes In Computer Science403.1990,403497-506. * |
Also Published As
Publication number | Publication date |
---|---|
FR2834153A1 (fr) | 2003-06-27 |
KR20040096509A (ko) | 2004-11-16 |
WO2003055134A9 (fr) | 2004-07-15 |
JP2005513564A (ja) | 2005-05-12 |
CN1618200A (zh) | 2005-05-18 |
AU2002364321A1 (en) | 2003-07-09 |
US20050220298A1 (en) | 2005-10-06 |
FR2834153B1 (fr) | 2004-04-23 |
US7382875B2 (en) | 2008-06-03 |
EP1456998A1 (fr) | 2004-09-15 |
WO2003055134A1 (fr) | 2003-07-03 |
KR100971038B1 (ko) | 2010-07-20 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
EP1573719B1 (en) | A method, system and computer program product for secure ticketing in a communications device | |
US9990796B2 (en) | Data card verification system | |
EP0348812A2 (en) | Authentication method and apparatus therefor | |
EP1261903B2 (en) | Method of authenticating users of software | |
US20030018893A1 (en) | Method and configuration for mutual authentication of two data processing units | |
US20020157003A1 (en) | Apparatus for secure digital signing of documents | |
Petersen et al. | Efficient scalable fair cash with off-line extortion prevention | |
Brickell et al. | Interactive identification and digital signatures | |
CN1618200B (zh) | 在若干实体与设备间分布负荷的密码法 | |
US7123717B1 (en) | Countermeasure method in an electronic component which uses an RSA-type public key cryptographic algorithm | |
Lee et al. | Design and implementation of an efficient fair off-line e-cash system based on elliptic curve discrete logarithm problem | |
CN1666458B (zh) | 在交易中促进计算的加密方法和设备 | |
US20030165238A1 (en) | A method for encoding long messages for electronic signature schemes based on rsa | |
Fan | Ownership-attached unblinding of blind signatures for untraceable electronic cash | |
Tsaur et al. | An efficient and secure ECC-based partially blind signature scheme with multiple banks issuing E-cash payment applications | |
US20020188850A1 (en) | Method for accelerated transmission of electronic signature | |
KR100899020B1 (ko) | 공개키를 이용하여 암호화 작업을 수행하는 방법 | |
Mohammed et al. | Elliptic curve cryptosystems on smart cards | |
Kadry et al. | Design of secure mobile communication using fingerprint | |
CN109687962B (zh) | 基于私钥池的抗量子计算mqv密钥协商方法和系统 | |
Shen et al. | A secure LITESET scheme | |
Chaum | New secret codes can prevent a computerized Big Brother | |
Kügler | Enabling privacy protection in E-commerce applications | |
Chou et al. | An improvement of an efficient user identification scheme based on ID-based cryptosystem | |
Baral et al. | Development of Time-Stamped Signcryption Scheme and its Application in E-Cash System |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
C14 | Grant of patent or utility model | ||
GR01 | Patent grant | ||
CF01 | Termination of patent right due to non-payment of annual fee |
Granted publication date: 20100512 Termination date: 20161216 |
|
CF01 | Termination of patent right due to non-payment of annual fee |