CN101156348B - 使用配对函数在各方之间的通信中确保保密的方法和设备 - Google Patents

Abstract

一种通过在共享密钥k的第一方与至少一个第二方之间传送的有序消息序列M[x(1)，D(1)]、M[x(2)，D(2)]等等中隐藏描述消息处理的元数据x(i)来改进保密的方法，其中D(i)表示净荷数据。该方法包括：所述第一方和所述第二方同意基于共享密钥k、至少把x(i)映射到y(i)的F_k的伪随机映射；以及所述第一方通过在每个消息M(x(i)，D(i))中用y(i)替换x(i)来修改所述消息。所述第一方然后发送所述修改后的消息，同时保持其原始顺序，并且在接收到消息M(y(m)，D)时，第二方使用映射G_k来检索所接收的值的位置m和所述原始值x(m)。

Description

使用配对函数在各方之间的通信中确保保密的方法和设备

技术领域

本发明涉及一种用于在各方之间的通信中确保保密(privacy)的方法和设备，特别是(尽管不是必须地)涉及一种用于防止对一方的移动进行跟踪的方法和设备。

背景技术

在其中用户终端和/或用户是可移动的通信系统中，出于保密以及可能的法律原因，防止对用户和设备的未经授权的跟踪是重要的。在防止跟踪的过程中，主要的挑战是避免使用长期的或容易相关的信息(比如标识符、数据或其他值)，所述信息构成显式“标识符”或者以其他方式允许识别用户，并且使得有可能在实体从一个地点移动到另一个地点时跟随该相同实体(其中“地点”可以是地理的(即物理的)或逻辑的(例如网络地址))。下面使用的术语“标识符”包含所有可能性。这里，“地点”可以是物理的(地理的)或逻辑的(例如网络地址)。一些电信机制已经将此纳入考虑，并且可以使用频繁地和/或随机地改变的标识符。在GSM中，所谓的TIMSI，即临时IMSI(国际移动用户标识符)被用来隐藏真实的IMSI。然而，一般来说，除非在整个协议栈中都实施这种技术，否则这种技术是没用的。例如，虽然无线LAN认证机制可以采用“假名”[EAP-SIM，IETF draft-haverinen-pppext-eap-sim-14.txt；以及EAP-AKA，IETF draft-arkko-pppext-eap-aka-14.txt]或者甚至对其他人完全隐藏认证交换[PEAP，IETF draft-josefsson-pppext-eap-tls-eap-10.txt]，但是只要在较低层处使用固定的链路层标识符(例如MAC地址)，这样做就没有什么价值。

所述问题以许多形式存在。一个特别明显的例子是传输明文的人类可读的用户身份，比如NAI[IETF RFC 2486]。对于稳定的但是“无意义的”标识符的传输出现类似的问题，比如IP地址[PRIVACYADDR；IETFRFC 3041]。一个不大为人所知的问题是，即便是完全独立于任何实际的“标识符”的数据也可以被用来跟踪用户。例如，如果SPI值没有发生改变，那么即使IP地址不再是相同的，IPSec SPI[IPSEC，IETF RFC2401]也可能揭示出在一个地点处的节点与随后出现在另一个位置处的节点是相同的节点；例如，在32比特的SPI的情况下，如果SPI：s是相同的，那么其不是相同用户的几率大约是40亿分之一。(如果使用NAT-T或MOBIKE，则IP地址可以改变。)这对于IKE SPI是特别成问题的，因为在该过程中不揭示先前的SPI的情况下没有高效地重新协商IKESPI的可能性。对于IPSec SPI来说，该问题不大严重，因为可以在IKESA的保护下重新协商SPI，从而对外界隐藏所述改变。然而，仍然存在这样的问题：保密增强措施有时可能会被意外的因素摧毁。

相同的问题出现在某些认证机制中。出于认证的目的，两种流行的技术是使用公共密钥密码术和所谓的散列链。公共密钥的问题在于，即使所述密钥没有被绑定到一个身份，它也会留下用户的“踪迹”，这是因为任何人都可以利用所述公共密钥来验证真实性。类似地，通过应用所述散列，可以容易地在正向上链接散列链。

即使对于每个分组改变的数据也可以被用来跟踪用户。例如，在一些情况下，即使不存在其他稳定的标识符，TCP或IPSec序列号也可能足以识别设备。只要所述序列号空间足够大并且节点散布的程度足够高，那么在一个地点处给出序列号N并且不久之后在另一个地点处给出N+1(或与其接近的东西)的节点很有可能是相同的节点。

用来处理这些问题的现有技术包括：

-把标识符和其他通信隐藏在受保护的一个或多个隧道内，比如TLS或IPSec。这一解决方案的缺陷在于，在所述“隧道”外部，其他标识符常常仍然保持可见。

-使用“假名”，如在GSM和一些EAP方法中所做的那样。在这种技术中，使用一个标识符来登录一个服务，并且该服务返回一个加密的令牌，客户端可以解密该加密的令牌并且将其用作标识符以用于下次登录到所述服务。这种方案的缺陷在于，必须返回新的假名，这增加了必要的信令的数量。无论如何，这种解决方案可能并不是在所有情况下都是可行的。例如，按照这种方式保护序列号在TCP中将是可能的，因为存在ACK，但是在IPSec中将是困难的，因为在需要发送新的分组之前，在返回方向上可能没有通信量。无论任何，在可以发送第二分组之前等待新的假名都会是低效的。

-在传统上使用序列号的场合可以考虑除去序列号(从而除去可链接性)。然而，在现有技术下，这不是一个普遍可行的选项，因为这样做产生了发送方/接收方同步问题，至少在与诸如IP之类的不可靠数据传输机制一起使用时是这样的。

-对于公共密钥和散列链，一种可以用来改进保密的方法是频繁地生成新的公共密钥/散列链。然而，这样做的计算量非常大。

所述问题概括来说就是，描述对数据分组的处理(例如安全性处理)的元数据可以被用来攻击保密。

发明内容

本发明的一个目的是克服或者至少减轻上面提到的缺点。这一目的和其他目的的实现是通过使用从一个伪随机序列中选择的值来表示这样的值：所述值虽然本身不是用户标识符，但是其在一次通信或一系列通信中是相对长寿的(long-lived)，或者其改变方式可以被第三方预测到。

根据本发明的第一方面，提供一种通过在共享密钥k的第一方与至少一个第二方之间传送的有序消息序列M[x(1)，D(1)]、M[x(2)，D(2)]等等中隐藏描述消息处理的元数据x(i)来改进保密的方法，其中D(i)表示净荷数据，该方法包括：

所述第一方和所述第二方同意基于共享密钥k、至少把x(i)映射到y(i)的F_k的伪随机映射；

所述第一方通过在每个消息M(x(i)，D(i))中用y(i)替换x(i)来修改所述消息；

所述第一方发送所述修改后的消息，同时保持其原始顺序；

在接收到消息M(y(m)，D)时，第二方使用映射G_k来检索所接收的值的位置m和所述原始值x(m)。

在本发明的某些实施例中，所述方法包括：所述第二方利用其所接受的值的窗口[N_i，N_i+t]，所述窗口尺寸t是预定义的，并且其中所述映射G_k是通过把所述映射F_k应用于所述窗口中的至少一个N_m值并且把结果与所述y(m)进行比较来计算的。

优选地，G_k是F_k的逆，并且检索所述原始值x(i)的步骤是通过计算G_k(y(i))来执行的。

在序列中的位置与所述原始值x之间可能存在已知的关系r，从而使得i-＞x(r(i))。在某些实施例中，r(i)＝i。

每一方可以使用一个计数器或所同意的算术函数r来为能够生成所述伪随机值序列的函数生成输入值，每个计数器值或函数结果r(i)根据F_k:{r(i)，x(i)}-＞y(i)而产生所述伪随机序列中的相应值。

在本发明的某些实施例中，元数据x(i)是单调递增的序列。

在本发明的某些实施例中，元数据x(i)描述对消息M(i)的安全性处理。

根据本发明的第二方面，提供一种在第一方与一个或多个第二方通过通信网络的通信中确保保密的方法，该方法包括：

使得相同的伪随机值序列可用于第一方和第二方当中的每一方，并且保持所述序列或所述各值与这样一个值之间的映射，该值被接收由第一方发送的消息的一方使用来处理该消息或其内容；

在将在所述第一方与第二方之间发送的消息中，使用来自所述序列的值来替换该序列被映射到的所述值；并且

在所述接收方或每一个接收方处，基于被替入的值来识别被替换掉的值，并且相应地处理所述消息，

其中，所使用的来自所述序列的值被逐个消息地改变或者被周期性地改变。

根据本发明的某些方面，所述序列被映射到的值可以被视为“元数据”，也就是用来标识数据的数据。所述值可能是相对长寿的，或者其改变方式可能被第三方预测到。本发明的实施例对第三方隐藏所述一个或多个真实值，所述第三方可能正在“窥探”在各方之间发送的消息。

所述序列被映射到的值可以是被动态地分配给一方或通信的值。该值可以被临时分配给一方或通信会话。

所映射的值可能按照可预测的方式改变，即按照第三方可能能够把不同的值与同一方相关联的方式改变。

所述序列被映射到的值可能是以下各项的其中之一：

-IKE或IPSec SPI

-MAC(介质接入控制)地址

-IP地址

-IPv6地址的接口标识符部分

-端口号

-密码密钥(例如，在一些情况下使用相同的密钥两次可能会产生一个可利用的链接)

-散列链(散列链中的连续值是非常可链接的，但是使用new_value＝PRF(h(old_value)|P)将除去到外界的这种链接。在这种情况下，实现相同结果的另一个公式将是new_value＝PRF(old_value|P)。

-序列号—这里，标识符N_i将对应于序列号i；将按照与当前处理序列号相同的方式来进行窗口处理。

优选地，使得相同的伪随机值序列可用于第一方和第二方当中的每一方的所述步骤包括：向所述各方以及能够生成伪随机数序列的函数提供共享秘密。每一方通过使用所述共享秘密和相应的值序列(例如一个算术级数或者一个已知的有限状态机、LFSR等等的连续输出)作为到所述函数的输入来生成所述伪随机序列。可以按照需要并且在需要时每次生成所述伪随机序列的一个值，或者可以生成一组值以供将来使用。

在本发明的一个替换实施例中，可以由第三方生成一个伪随机值序列，并且由该第三方将其提供给所述第一方和第二方当中的一个或二者/全部。

所述伪随机序列的各值优选地由发送方按照预定义的顺序使用，或者从有限范围的序列值中选择。该范围可以在使用了一个或多个值后移位。接收方具有关于所述标识符将被使用的顺序的知识(例如通过使用带外信令生成先前同意的策略)，以及/或者关于从中选择标识符的窗口的知识。

每一方可以使用一个计数器或所同意的算术函数来生成用于一个能够生成所述伪随机值序列的函数的输入值，每一个计数器值或函数结果产生所述伪随机序列中的相应值。在生成所述伪随机输出之前，可以由所述函数按照可预测的方式来修改所述计数器值或结果，例如对其进行乘法或除法。计数器可以按照任何适当的方式进行计数。

优选地，所述函数是一个伪随机函数。然而，其他函数也可能能够生成合适的伪随机序列(其中包括分组密码函数)，并且可以被替换地使用。

所述函数的输出可以被直接用作所述第一方的标识符。可选择地，该输出可以被进一步处理以便生成所述标识符。

所述序列的各值可以被第一方按顺序使用，以便在与第二方的相继通信中标识其自身。可选择地，所述各值可以被无序地使用，但是例如在某一预定义的范围内。

优选地，所述方法包括在第二方处定义可接受的第一方值的窗口，该窗口对应于一个计数器值范围。该窗口的下端可以基于已经接收的值而被定义，从而使得所述窗口在接收到所有在前值之后移动到所述序列中的下一个值。

可以按照需要并且在需要时在第一方和第二方处生成所述值，例如恰好在发送从第一方到第二方的通信之前，以及在第二方处接收到通信之后。(不需要同时递增两方处的计数器。)可选择地，所述两方的其中之一或二者可以预先生成一组标识符以供将来使用。

在本发明的一个实施例中，所述方法被用来根据IPv6生成密码生成地址(CGA)。更特别地，通过使用所述计数器值作为到所述接口标识符生成过程的输入来生成CGA地址的接口标识符部分。

值序列中的单个值可以被使用多次而不是仅仅一次，其中基于预定义的因素使用下一个值，例如当发送侧移动到新的位置时或者当它从接收方接收到使用所述下一个值的分组时。

所述各值可以被用来在接收端对所述分组进行多路分解，以便例如对所述分组进行时间排序和/或把分组路由到正确的目的地。

本发明可以被采用来隐藏/替换IPSec或IKE中的SPI号和其他标识符。

本发明可以被采用在诸如WLAN、GSM之类的网络接入机制中或者被采用在诸如EAP之类的认证方法中。

在本发明的一些实施方式中，可以为诸如NAT之类的第三方提供生成所述值序列所需的信息。该第三方可以与除了通信节点之外的各方共享所述序列，以用于合法拦截或其他目的。

根据本发明的第三方面，提供一种操作移动终端或网络节点的方法，该方法包括：

使得一个伪随机值序列可用于所述终端或节点，并且保持所述序列或所述各值与这样一个值之间的映射，该值被接收由所述终端或节点发送的消息的一方使用来处理该消息或其内容；并且

在将在所述终端或节点与第二方之间发送的有序消息序列当中的每一个消息之中，使用来自所述伪随机序列的相应值来替换该序列被映射到的所述值。

根据本发明的第四方面，提供一种操作移动终端或网络节点的方法，该方法包括：

使得一个伪随机值序列可用于所述终端或节点，并且保持所述序列或所述各值与这样一个值之间的映射，该值被接收由所述终端或节点发送的消息的一方使用来处理该消息或其内容；并且

对于在所述终端或节点处从第二方接收到的有序消息序列当中的每一个消息，把包含在该消息中的序列值映射到所述所映射的值，并且使用该映射的值来处理该消息或其内容。

根据本发明的第五方面，提供一种生成公共密钥序列以便用在各方之间的安全通信中的方法，该方法包括：

向第一方和第二方提供第一公共密钥；

在第一方与第二方之间同意共享秘密；

向第一方和第二方提供用于利用所述第一公共密钥和所述共享秘密生成另外的公共密钥的序列的装置，从而使得所述序列的各值具有伪随机性质；并且

使用所述序列的各公共密钥来确保所述各方之间的通信的安全。

作为这种公共密钥序列的一个例子，考虑“基本”密钥y＝g^x(在基于离散对数的方案中)，其中通过把y自乘到从所述伪随机序列获得的幂来获得各连续密钥。

附图说明

图1示意性地示出了在安全通信过程中所涉及到的各方；

图2是示出了安全通信过程中的各步骤的流程图；

图3示意性地示出了在包括第三方的安全通信过程中所涉及到的各方；

图4示意性地示出了在其中需要合法拦截的安全通信过程中所涉及到的各方；以及

图5是示出了使用IPSec的安全通信过程中的各步骤的流程图。

具体实施方式

现在将参考一个一般性的通信系统来说明本发明，在该通信系统中，两方希望通过通信网络彼此通信。所述各方可以是用户终端或基于网络的装置，或者可以是二者的组合。所述通信包括多个被多路复用的通信，其中的每个通信包括描述或指示该通信应当被处理的方式的“元数据”。这种数据可以涉及安全性处理，并且可以被用来导出各通信之间的时间关系以及/或者通信与物理或逻辑实体之间的空间关系。一种示例性时间关系可以从一个序列号确定，而一种示例性空间关系则可以从一个身份确定，该身份标识用户、发送了该通信的网络实体、或者诸如端口号之类的逻辑实体。

所述各方(或“对等体”)同意将被使用的特定值序列。这样做的最容易的方式是同意一个公共伪随机函数，所述各对等体将使用该公共伪随机函数来导出下一个值。这不要求在每个分组基础上的信令。所述对等体使用它们接受的值窗口；这样，分组丢失不会破坏同步。

更具体来说，所述各对等体同意一些秘密参数P作为它们的连接建立的一部分。举例来说，在IKE中，P可以基于从建立IKE SA产生的主密钥来导出。这不一定要求超出现有协议的任何通信，只要所述各对等体知道两端都支持该方案即可。例如，P可以被设置为h(“保密”|主密钥)。参见图1和图2。

下一个步骤是使用诸如伪随机函数(PRF)之类的序列生成函数来导出多个类随机值。到该函数的输入是所述秘密参数P。例如，第一值可以是PRF(“1”|P)，第二值可以是PRF(“2”|P)，后面依此类推。这里，“n”表示自然数n到一个值的映射“n”＝r(n)。如果P本身是一个可变参数，比如序列号，则所添加的序列号“1”、“2”等等可能是不必要的。一种替换方案可以是使用函数

value_j＝F(P，anchor_ID|“j”)，

其中，F是可逆的一对一函数(PRF通常不是)，例如是分组密码，而j是序列号。所述anchor_ID可以是“真实”身份，比如真实的用户名。这种做法背后的动机是，合法的、可信的用户(其共享P)于是将按照一种简单且高效的方式进行“回溯”并且找到所述anchor_ID。在该实施例中，接收方可以高效地从value_j重建j，这意味着接收方可以容易地确定所接收的消息的原始顺序(以及其他内容)。如果F不是一对一的(这可能将是更普遍的情况)，则接收方仍然可以(以高的概率)高效地重建所述原始顺序，正如接下来将描述的那样。

发送对等体使用序列中的每个值。如果迄今为止直到N_i的值都被见过的话，则接收对等体使用其所接受的值窗口，比方说值N_i+1、N_i+2、...、N_i+32。如果所讨论的应用允许或者甚至要求这样的话，所述各值在所述窗口内可以被无序地使用。例如，在IPSec中这将是所需要的。在其他应用中，较低层(比如TCP)可能已经确保所有值都被使用在序列中，并且没有值被跳过。

所接受的序列值的窗口被用来确定所接收的值在所述序列中的位置。随后使用一个映射函数来检索已经被替换掉的原始值。当在所述窗口内的所述位置与所述原始值之间存在已知的关系时，所述映射函数优选地被选择成使得它是一对一的(因此是唯一可逆的)。所述位置不需要直接确定所述原始值。然而，一旦确定了所述位置，可以在执行所述逆映射之前首先应用一个映射“位置”。例如，在接收到v(它具有PRF(j|P)的形式)之后，接收方最初不知道j。然而，通过对于上述窗口中的所有Ni评估PRF(Ni|P)，接收方将很有可能找到作为满足下式的Ni的正确的j：

PRF(Ni|P)＝v。

唯一的问题将是在所述窗口中是否存在映射到相同值的两个不同的Ni、Nk。但是，假定所述PRF产生尺寸为t比特的输出并且所述窗口的尺寸为w，则这种冲突的概率预计大约是w2^-t。比方说对于w＝t＝32，该概率仅仅是大约十亿分之一。作为另一个例子，假设数据会话以50分组每秒运行。在预期到甚至单个冲突错误之前，这种数据会话可以持续大约一个月。

注意，该方案可以被用于任何类型的值或者可能揭示与所述装置或用户的身份相关的信息的其他元数据。例如：

-MAC(介质接入控制)地址

-IP地址

-IPv6地址的接口标识符部分

-端口号

-IKE或IPSec SPI

-密码密钥(例如，在一些情况下使用相同的密钥两次可能会产生一个可利用的链接)

-散列链(散列链中的连续值是非常可链接的，但是使用new_value＝PRF(h(old_value)|P)将除去到外界的这种链接。在这种情况下，实现相同结果的另一个公式将是new_value＝PRF(old_value|P)。

-序列号—这里，标识符N_i将对应于序列号i；将按照与当前处理序列号相同的方式来进行窗口处理。

在本发明的一个优选实施例中，所述值/元数据被用来在接收端对所接收的分组进行多路分解。例如，IP地址和TCP/UDP端口号被用来在接收方处对分组进行多路分解，以便把它们传递到正确的接收过程。类似地，IPSec SPI被用来对所述分组进行多路分解，以便把它们导向正确的安全性关联以用于进行密码处理。实施该实施例的一种所建议的方式是利用一个短的预先计算的生成值列表来替换保存所述标识符的变量。当使用散列表来进行多路分解时，所有的所述生成值都被插入到所述散列表中。

在本发明的另一个实施例中，所述值具有一些密码语义。例如，在IPv6中，所谓的密码生成地址(CGA)具有一个接口标识符部分，其是作为公共密码密钥和一些其他参数的散列而生成的。本发明可以应用于CGA，这是通过在所述其他参数中包括一个序列计数器，并且使用所生成的接口标识符序列来替换单个稳定的接口标识符。

在本发明的另一个实施例中，除了原始发送方和最终接收方之外，把所生成的所述序列传送给其他各通信方。例如，可以向IP网络地址转换器(NAT)或其他中介装置揭示所述序列，这是通过把生成所述序列所需的参数安全地发送给其他各通信方(参见图3)。

在本发明的另一个实施例中，所述序列或者由第三方生成或者被揭示给第三方，从而使得该第三方在后面又可以把该序列揭示给其他方。这例如对于执行合法拦截可能是有用的。举例来说，一个运营商控制的节点可以生成用于两个通信节点的值和共享秘密的序列，并且利用安全性关联将其安全地传送给所述两个节点，其中该安全性关联是在建立它们的订购时所建立的。如果随后需要合法拦截，则该运营商的节点可以向一个能够捕获分组流的节点揭示所述值序列，并且向希望执行所述合法拦截操作的政府机构揭示所述共享秘密序列(参见图4)。

本发明可以被用来提供超保密的通信。一种可能的应用是在主机身份协议(HIP)中，或者用于4G链路层协议和WLAN协议。

如上所述，本发明的一种特定应用是在IPSec中，其打算为IP和上层协议(例如TCP或UDP)提供安全性。IPSec利用安全性关联(SA)数据库把密钥和安全性服务关联到通信量。在IPSec协议报头中包括被称作安全性参数索引(SPI)的索引，并且该索引指向所述SA数据库中的特定SA。SPI通常将被分配给特定的用户或终端以供长期使用。所述SPI必须被明文地包括在IPSec报头中，因此这样就存在一个弱点，该弱点可能被恶意的第三方利用来跟踪用户移动。通过把所述SPI映射到一个伪随机值序列并且利用一个改变的序列值来替换IPSec报头中的SPI，该弱点被消除。

一般来说，对于每个消息选择新的序列值。将认识到，在各通信方之间每个方向上建立一个SA，这种机制将被单独地应用于每个SA。图5是说明该过程的流程图。

由于IPSec报头还包括再次可能代表弱点的序列号，因此所述序列号还可以被映射到一个伪随机序列。

本领域技术人员将认识到，在不背离本发明的范围的情况下可以对上述实施例进行各种修改。

Claims (8)

1.一种通过在共享密钥k的第一方与第二方之间传送的在i的范围内的有序消息序列M[x(i)，D(i)]中隐藏描述消息处理的元数据x(i)来改进通信网络中双方的秘密的方法，其中D(i)表示净荷数据，该方法包括：

所述第一方和所述第二方同意基于所共享的密钥k的伪随机映射序列，至少把x(i)映射到y(i)，其中，所述所共享的密钥k是函数F_k；

所述第一方通过在每个消息M(x(i)，D(i))中用y(i)替换x(i)来修改所述消息；

所述第一方发送序列中的修改后的消息，同时保持其原始顺序；

在接收到消息M(y(m)，D(m))时，第二方使用映射G_k来检索所接收的值的位置m和原始值x(i)，

其中，G_k是F_k的逆，并且检索所述原始值x(i)的所述步骤是通过计算G_k(y(i))来执行的。

2.根据权利要求1所述的方法，包括所述第二方利用其所接受的值的窗口[N_i，N_i+t]，所述窗口尺寸t是预定义的，并且其中所述映射G_k是通过把所述映射F_k应用于所述窗口中的至少一个N_m值并且把结果与所述y(m)进行比较来计算的。

3.根据权利要求1所述的方法，其中，在序列中的位置与原始值x之间存在已知的关系r，从而使得将i映射到x(r(i))。

4.根据权利要求3所述的方法，其中，r(i)＝i。

5.根据权利要求1所述的方法，其中，每一方使用计数器或所同意的算术函数r来为能够生成所述伪随机映射序列的函数生成输入值，每个计数器值或函数结果r(i)根据F_k：{r(i)，x(i)}映射到y(i)来产生所述伪随机映射序列中的相应值。

6.根据权利要求5所述的方法，其中，x(i)在整个所述消息序列中是恒定的。

7.根据权利要求1所述的方法，其中，所述元数据x(i)是单调递增的序列。

8.根据权利要求1所述的方法，其中，所述元数据x(i)描述对消息M(i)的安全性处理。

Images