CN101317357B - 密钥管理 - Google Patents

Abstract

本发明涉及用于生成密码处理第一通信单元(200)与第二通信单元(300)之间通信的密钥的装置和方法。第一通信单元(200)和第二通信单元(300)适合于获得有关秘密函数的知识，其中第一通信单元包括：用于选择值z的部件(210)、用于将秘密函数作为所选值z的函数进行计算的部件(220)、用于采用所计算秘密函数来处理数据的部件(230)以及用于将已处理数据与所选z结合发射到第二通信单元的部件(240)，其中从几乎k元独立的函数集中选择秘密函数。

Description

密钥管理

技术领域

本发明涉及例如用于加密或完整性保护的密钥管理，具体来说，涉及密钥的生成。

背景技术

本发明生成的例如用于加密或完整性保护的密钥适合于传感器网络。图1示出了这样一种传感器网络的实例。传感器网络的其它资料参见Holger Karl和Andreas Willig的“无线传感器网络的协议和体系结构”。图1的传感器例如在地理上通过飞机来分布，并形成网络。传感器网络包括多个传感器，这些传感器包括用于收集和交换数据的部件。数据收集通常表示收集环境信息，例如温度、气压、声音、视频、静止图像和振动。收集的数据可在传感器之间交换，并且通常在中心点处理，其中要求传感器中的至少一个具有到那个中心点的直接连通性。因此，传感器中的至少一个包括中继部件。包括中继部件的传感器又称作中继传感器。在图1中，中继传感器用叉示出，而非中继传感器用圆圈示出。

中继传感器能够向非中继传感器发射信息并从非中继传感器接收信息，并且它们还能够与传感器网络中的中心点通信。例如，中继传感器从多个非中继传感器接收测量报告，并将这个接收的信息加上它自己的测量报告转发给网络中的中心点。中心点可以是蜂窝网络的基站，或者是带天线的车辆，它可将报告转发给中央单元以便处理报告的信息。

在一些情况下，如图1所示，将传感器随机分布在某个地理区域、例如从飞机投放。在这种情况下，首先运行“发现”协议，以便确定具有中继能力邻近传感器和/或哪些传感器应当起中继传感器的作用。发现协议的实例可参见上述Karl和Willig的参考文献。这个阶段还可包含初始安全握手，其中非中继传感器创建到其它(中继)传感器的安全连接。

或者，可通过更有序的方式来分布传感器，在这种情况下，适当地配置中继传感器。这种情况的一个典型实例是在公寓大楼中，其中可为每套房间提供多个关联的传感器，其中传感器中的至少一个是与例如与大楼关联的中心点通信的中继传感器。

在传感器网络中的通信的安全要求取决于传感器应用的类型，并且由于来自非中继传感器的短程传输特性，中继传感器与非中继传感器之间的通信安全要求通常比中继传感器与传感器网络的中心点之间的通信安全要求更低。但是，许多应用要求以极高安全性的方式执行中继传感器与中心点之间的通信。本发明最适合于保护中继传感器与中心点(例如基站)之间的通信，但是不排除也用于上述传感器间通信。

用于安全通信的一种常见技术是通过协商或生成密钥的“握手”开始通信会话。但是，在关键传感器应用中，通常希望从传感器接收数据的一方保持“无线电静寂”，即，不透露通信方的存在或位置。传感器还可希望限制信令量以节能，在无线电接口上发射1比特消耗多达执行大约800-1000个本地CPU指令的能量。同样，监听也消耗功率。在许多应用中，还有这样的情况，例如在广播情况下，数据的特定接收方可能是传感器未知的。因此，可假定，传感器必须能够自行产生密钥，并且还以某种简单而安全方式“暗示”已授权接收器它使用哪个密钥。因此，密钥资料的基础部分必须从开始、例如在部署之前的制造或配置期间就存储在传感器中。从这样一种基础部分生成新密钥的一种常见方式是将密码函数f应用于主密钥K_master和一些随机数据：

K_session＝f(K_master，RANDOM)

这种情况的第一个问题在于，小传感器可能没有足够好的随机数据源，并且“RANDOM”实际上将是“计数器”值等，使得会话密钥是截然不同的。但是，这使密钥的质量降级。另一种方式是使用：

K_new＝f(K_old)

但是，这种情况的缺点在于，如果例如因使用密钥的算法的密码分析而泄露了某个密钥，则泄露了所有将来密钥。除此之外，上述两种方式共同之处在于，具有极高安全要求的某些应用只是在不适当/不容许的情况下禁止在终端装置中用密码生成密钥。例如，如果f是如SHA1散列或AES算法等函数，则上述方式的安全性依赖于密码假设，它可能被证明是错误的，即，安全性完全是启发性的。具有高要求的应用实际上可能要求在形式上、数学上证明某些属性、例如密钥的准确统计分布，这无法通过前面所述的方法获得。

因此，由于传感器中的密钥生成问题以及避免不必要通信的需求，传感器可能需要存储由高安全性密钥生成装置所生成的比较大数量的预安装密钥，由于受限的传感器环境这又成了问题。

发明内容

因此，本发明的目的是提供适合于高安全性传感器的改进密钥生成方法和设备。

通过根据独立权利要求的方法和设备来实现上述目的。

优选实施例由从属权利要求定义。

本发明的基本想法是使用k元(k-wise)独立函数p作为计算例如用于加密目的的密钥的秘密函数。已经表明，能够根据k元独立函数p来计算k-1个统计上独立的密钥。应当注意，不要求秘密函数是完全k元独立的，秘密函数p也可以是几乎k元独立的。将p的副本存储在或者传递到在通信的通信单元。当发射通信单元要进行通信时，它选择之前未使用的值z∈GF(2ⁿ)，它使用所选的z来计算p(z)，并使用p(z)来处理待发送的数据。将处理的数据与z一起发送。在接收到处理数据和所选z时，接收器从数据中得到z，应用p(z)，因而得出用于对数据进行处理(例如加密)和“逆处理”(例如解密)的相同密钥。

本发明的优点在于，限制了已存储密钥的数量，并且根据已存储密钥提供了新密钥，而不依赖于密码术；具体来说，安全性无需依赖密码假设。

另一个优点在于，实现了前向/后向安全性；对于单独会话密钥或者甚至这类密钥的集合的成功敌对攻击不影响以前或以后的密钥。

另一个优点在于，根据本发明的方法在计算上有效且节能。

另外，本发明提供了用于使可信对方告知传感器使用哪个密钥的简单部件。

附图说明

图1示出可实现本发明的传感器网络。

图2示出根据本发明的发射和接收通信单元。

图3a-3b是示出根据本发明的方法的流程图。

具体实施方式

下面参照附图更全面地描述本发明，附图中示出本发明的优选实施例。但是，本发明可按照许多不同的形式来实施，而不应理解为限于本文阐述的实施例；而是，提供这些实施例的目的在于使本领域的技术人员全面透彻地了解本公开，并使他们完整地了解本发明的范围。

在本发明的描述中，使用以下符号。如果S是集合，则#S用来表示大小，即S的元素数量。如果S是集合，且g是某个函数，则g(S)是集合{g(s)|s∈S}。最后，设GF(2ⁿ)表示2ⁿ个元素的有限域。

本发明涉及用于在通信单元中生成安全密钥的方法和设备。描述了密钥是加密密钥的情况，但是，本发明还可生成用于完整性保护、鉴权或者其它安全目的的密钥。通信单元优选地与传感器网络关联，并且通信单元可设置在传感器中，或者适合与传感器通信的至少另一个单元中。包括通信单元的传感器可以是中继传感器，而另一个单元可以是如上所述的中心点。根据本发明，在制造或最初设置时，从几乎k元独立函数集为通信单元提供一个函数p。优选地，通过将p与通信单元的身份关联，将关于将哪个p提供给哪个通信单元的信息存储在中央基站。

如果对于来自集合A的任何截然不同的k个输入值，通过从F中随机选择函数f，k个输出值均匀地分布在B×B×...×B(k个副本，它通常还表示为B^k)，则将函数集F中的各函数从集合A映射到集合B的函数集F说成是k元独立的。描述k元独立函数集的另一种方式是，从A获得元素的k维向量(x1，...，xk)，从F中选择随机函数，并逐个分量(component wise)应用f：y＝(f(x1)，...，f(xk))。然后，在B上将y均匀地分布在所有k维向量集合之间。

通过以下实例来说明k元独立性：假定k＝2，并且A是整数集合{0，1，...，10}，而B是集合{0，1，...，6}。如果对于{0，1，...，10}中的任何截然不同的x1、x2和{0，1，...，6}的任何y1、y2，在随机从F中选择f时，f(x1)＝y1且f(x2)＝y2的概率是1/49(因为B×B包含49个元素)，则F是2元独立函数集合。

k元独立性的定义的一个结果是，如果知道随机选择的未知f的值对[x1，f(x1)]、[x2，f(x2)]、...[x(k-1)，f(x(k-1))]，则这仍然完全没有泄露值f(xk)，只要xk不在“被观测”集合{x1，...，x[k-1]}中。换言之，f[xk]取任何值yk的概率仍然是1/B。

在本发明的说明书中，采用k-1次多项式举例说明k元独立函数集。但是，应当注意，与k-1次多项式不同的函数也可以是k元独立的，并可用于本发明。这种k元独立函数集的另一个实例是A与B之间的所有函数的集合，其中A和B是任何有限集。

如上所述，本发明要求从几乎k元独立函数集中选择秘密函数p。术语“几乎”在这里表示p是来自k元d独立函数集的函数。下面描述d独立性。设f是函数f：A→B，则k元独立性是指，值的每个k元组(f(x1)，...，f(xk))‘几乎’均匀分布。这可通过引入定量‘距离测量’d来测量(f(x1)，...，f(xk))与均匀分布的接近程度来捕捉。也就是说，如果与均匀分布的偏差不大于d，则把函数集F说成是k元d独立的。这可通过几种方式来测量。例如可使用最大范数。在这种情况下，如果对于每一个(y1，...yk)，(f(x1)，...，f(xk))＝(y1，...，yk)的概率都在范围[(#B)^(-k)-d，(#B)^(-k)+d]内，其中f是随机选择的函数f∈F，则把F说成是k元d独立的。或者，能够使用统计范数，其中如果在对B^k中的所有(y1，...yk)求和时，|Pr[(f(x1)，...，f(xk))＝(y1，...，yk)]-(#B)^(-k)|不大于d，则F是k元d独立的。这类k元d独立函数的实例可参见“几乎k元独立随机变量的简单构造”(N.Alon、O.Goldreich、J.

R.Peralta，IEEE Symposium on Foundations of Computer Science，1992)。

但优选的是，秘密函数p来自完全k元独立函数集，完全k元独立是指在上述实例中d＝0。

在通信时，发射通信单元选择z并计算p(z)。所计算p(z)用作直接或者在附加处理之后处理待发射数据、例如对数据加密的密钥资料。把已处理数据和所选z发射到至少一个接收通信单元。如果发送方的身份不能假定为接收方已知的，则发送方还必须发送他的身份，以便使接收方检索与发送方对应的正确p。z的传输优选地经过认证，并且还可通过安全方式来传输，但是，对安全性不作要求。具体来说，z本身无需加密。至少一个接收方已经知道秘密函数p，或者适合于使用发送方的身份从数据库中检索它，以及通过接收z，它现在能够计算p(z)，并且在加密的情况下对接收的加密数据进行解密。所计算密钥p(z)可用于两个方向，或者，第一密钥p(z1)用于第一方向，而第二密钥p(z2)用于第二方向。另一个选项是，上述附加处理将密钥“分成”两个密钥，每个方向一个。其它备选方案是，一个密钥可用于一个传输/会话，例如每小时或每天定期地生成新密钥，在执行预定数量的传输时、或者在预定传送的数据量之后、或者当通信单元接收到生成新密钥的指令时，生成新密钥。

所选值z(其中z∈GF(2ⁿ))可包含在发射数据中，或者在分开的消息中发射。

传感器优选地避免两次重复使用同一个z，因为那会降低安全性。下面将论述如何实现这个方面而无需存储所有老的z值。

虽然不作要求，但有利的是，n是合数、例如在8位CPU上n具有n＝8w的形式，其中w是整数，因为非常有效的有限域计算是可能的。例如参见“GF(2^n)中的算术运算的快速软件实现”(De Win、Bosselaers、Vandenberghe、De Gersem和Vandewalle，Lect.Notes inComp.Sci.，Springer-Verlag，Vol 1163(1996)，第65-76页)。虽然本发明原则上可概况到任何其它有限域，但是为了简洁起见，在描述中仅考虑了二进制域。但是应当注意，本发明不局限于二进制域。

给通信单元提供秘密函数p。优选地在制造通信单元时提供p。在以下实例中，k元独立函数p(z)是在GF(2ⁿ)上随机选择的k-1次多项式。

p(x)＝c_k-1x^k-1+c_k-2x^k-2+...+c₁x+c₀

式中，每个c_j∈GF(2ⁿ)。不排除概率c_k-1＝0，但严格来说，那将是低次多项式。因此，通过以z对p求值、即p(z)，这种p可描述任何z∈GF(2ⁿ)到元素p(z)∈GF(2ⁿ)的映射。

由于通常在工厂环境中执行通信单元的准备工作，所以假定p的随机性的质量很高。为不同的通信单元提供独立且随机的p(z)。在这里，n对应于期望的“安全等级”，例如n＝80、112或128，这些可以是典型值。注意，可通过使用存储器的kn位来存储这种多项式。值“k”还将定义安全属性，其在下面进一步进行论述，但是k的实际值可具有与n大致相同的大小，从而引起略高于1kB的存储器消耗。

如上所述，p的副本需要存储在或者传递到在通信的通信单元，例如传感器的通信单元以及将与传感器通信的装置的通信单元。例如，当传感器的通信单元要进行通信时，它例如通过以词典编辑顺序选择z值以免需要“记住”所有以前的值来选择之前未使用的值z∈GF(2ⁿ)，它使用所选z来计算p(z)，并使用p(z)对待发射数据进行处理、如加密，而且例如将所选z包含在发送数据中。注意，z需要n位来表示。在接收时，接收方从数据中获得z，应用p(z)，因而得出相同的密钥，它用来处理数据。如上所述，发送方还可包含它的身份，以便使接收方在计算p(z)之前检索正确的p。p(z)的求值是高效的，因为它可使用所谓的霍纳规则、通过d阶的GF(2ⁿ)中的加法和乘法来执行，霍纳规则是对多项式求值的有效方法，例如在D.Knuth的“计算机编程技术”(vol2，第2版，Addison-Wesley，1981年)中有进一步说明。

下面分析本发明的安全属性。如上所述，对于随机选择的p，p(z)具有以下属性：

对于任何固定的z∈GF(2ⁿ)，p(z)在GF(2ⁿ)中完全均匀地分布，对于p的随机选择、即对于任何z和q得到概率：

Pr[p(z)＝q]＝2^-n

一般来说，对于任何(不一定截然不同)子集

对于#T＝#S≤k的截然不同元素的任何集合

p(S)＝T的概率正好是2^-n#S，即p的输出是k元独立的。这些属性意味着，至多k个密钥的任何集合将与它们被独立且完全随机选择时“一样好”。具体来说，即使k-1个会话被密码分析破解了，但没有帮助攻击者破解任何其它会话。显然，如果多达k个会话被破解了，则也丧失了将来会话的安全性，但是在下文说明了可如何限制损害。如果选择k-1＝n＝100，则破解100个会话是极不可能的。

在本发明的一个实施例中，在密码术是可接受的情况下，将本发明的方法与常规密码术相结合。这将提供附加损害控制，这在上面提到了。如上所述，如果泄漏了k个会话密钥，则丧失了根据现有技术的上述方法的安全性，因为然后可内插和重构多项式p。例如，在k＝2的情况下，通过对如下方程系统求解来进行多项式重构(它现在是形式p(x)＝ax+b的仿射函数)：

y1＝a z1+b

y2＝a z2+b

式中a、b是未知数，z1、z2通过监听通信来获得，而y1、y2对应于泄漏的密钥。很显然，在z1不同于z2的情况下，我们得到具有与未知数一样多的方程的非简并方程系统，因此可对于(a，b)求解。观察这个方面的另一种方式是拟合经过点(z1，y1]和[z2，y2]的直线，由此确定这条线上的所有其它点。一般来说，需要例如通过标准高斯方法或其它内插方法来对k个方程和k个未知数的非简并方程系统求解。

如果希望避免与k个(或者更多)会话密钥的泄漏关联的所有风险，则一般重要的是决不从同一个p生成k-1个以上的会话密钥。可以生成k-1个以上的密钥，但如果泄漏了所有密钥，则将不再保证具有完全安全性。具体来说，使用第一(随机)多项式p₁来生成k₁₁、k₁₂、...k_1k-1。p₁由p2替代，例如：

p₂＝f(p₁)

对于某个适当的单向密码函数f，例如单向散列函数，则从p₂生成k₂₁、k₂₂、...、k_2k-1，依此类推。注意，安全论据现在变得更为启发性/密码性。但是，即使泄漏了从某个p生成的所有k-1个密钥，也提供“前向”和“后向”安全性。即使传感器在物理意义上被破坏了，也保持后向安全性。

现在来看图3a和图3b，示出了根据本发明的方法的流程图。因此，本发明涉及一种用于生成密码处理发射通信单元与接收通信单元之间通信的密钥的方法，其中发射通信单元和接收通信单元适合于获得有关秘密函数的知识。图3a所示的方法包括以下步骤：

301.选择值z。

302.在发射单元将秘密函数作为所选值z的函数进行计算。

303.采用所计算秘密函数来处理数据。

304.将已处理数据与所选z结合发射到接收通信单元，其中从几乎k元独立的函数集中选择秘密函数。

本发明还涉及一种用于生成安全处理发射通信单元与接收通信单元之间通信的密钥的方法。发射通信单元和接收通信单元适合于获得有关秘密函数的知识。该方法如图3b的流程图所示，并包括以下步骤：

305.将值z与密码处理的数据结合接收。

306.在接收单元将秘密函数作为所接收值z的函数进行计算。

307.采用所计算秘密函数来处理所接收数据，其中从几乎k元独立的函数集中选择秘密函数。

该方法可通过计算机程序产品来实现。该计算机程序产品可存储在计算机可用介质上，包括用于使通信单元中的处理部件控制本发明方法步骤的执行的可读程序。应当注意，这些方法还可通过硬件或者硬件和软件的组合来实现。

现在来看图2，示出了两个在通信的通信单元，其中发射通信单元(200)在传感器中实现，而接收通信单元(300)在与基站关联的中心点实现。发射通信单元(200)又表示为第一通信单元，包括用于生成密码处理发射通信单元与接收通信单元(又表示为第二通信单元)之间通信的密钥的部件。两个通信单元适合于例如通过从数据库检索秘密函数来获得有关秘密函数的知识，或者可在制造时将秘密函数存储在通信单元中。发射通信单元包括用于执行以下步骤的部件：选择值z(210)，将秘密函数作为所选值z的函数进行计算(220)，采用所计算秘密函数来处理数据(230)，将z与已处理数据一起发射到第二通信单元(240)。接收通信单元包括用于接收值z连同密码处理的数据的部件(250)、用于在接收单元将秘密函数作为所接收数值z的函数进行计算的部件(260)以及用于采用所计算秘密函数来处理数据的部件(270)。根据本发明，从几乎k元独立的函数集中选择秘密函数。

此外，本发明还涉及预先配置装置，适合于采用从几乎k元独立的函数集中选择的秘密函数预先配置根据本发明的通信单元。

本发明不限于上述优选实施例。可采用各种备选、修改和等效方案。因此，以上实施例不应当理解为限制所附权利要求书定义的本发明的范围。

Claims (16)

1.一种用于生成密码处理传感器网络的发射通信单元与接收通信单元之间通信的密钥的方法，其中所述发射通信单元和所述接收通信单元适合于获得有关秘密函数p的知识，所述方法包括以下步骤：

-在所述发射通信单元选择(301)值z，

-在所述发射通信单元将所述秘密函数p作为所选值z的函数p(z)进行计算(302)，以致生成密钥，

-采用所生成的密钥来处理(303)数据，以及

-将已处理数据与所选z结合发射(304)到所述接收通信单元，其中从几乎k元独立的函数集中选择所述秘密函数p，其特征在于，所述秘密函数p在所述通信单元之间共享，并对所述通信单元而言是独立且随机地预先配置的，以及所生成的密钥仅基于所述发射通信单元的信息，并且所述通信单元之一是中心点，而另一个通信单元是传感器，其中尽管k与所述传感器网络中的传感器数量无关，仍安全地生成所述密钥。

2.一种用于生成安全处理传感器网络的发射通信单元与接收通信单元之间通信的密钥的方法，其中所述发射通信单元和所述接收通信单元适合于获得有关秘密函数p的知识，所述方法包括以下步骤：

-将值z与密码处理的数据结合接收(305)，

-在所述接收单元将所述秘密函数p作为所接收z的函数p(z)进行计算(306)，以致生成密钥，以及

-采用所生成的密钥来处理(307)所接收数据，其中从几乎k元独立的函数集中选择所述秘密函数p，其特征在于，所述秘密函数p在所述通信单元之间共享，并对所述通信单元而言是独立且随机地预先配置的，以及所生成的密钥仅基于所述发射通信单元的信息，并且所述通信单元之一是中心点，而另一个通信单元是传感器，其中尽管k与所述传感器网络中的传感器数量无关，仍安全地生成所述密钥。

3.如权利要求1或2所述的方法，其特征在于，从完全k元独立的函数集中选择所述秘密函数p。

4.如权利要求1或2所述的方法，其特征在于，所述k元独立的函数集包括在有限域上定义的k-1次多项式。

5.如权利要求1或2所述的方法，其特征在于，所述方法还包括以下步骤：

-当所述秘密函数p已经用于生成至多k-1个密钥时，用函数p_new代替p，以及

-基于所述秘密函数p的密码处理来生成p_new。

6.如权利要求5所述的方法，其特征在于，所述p_new的生成是基于单向散列函数。

7.如权利要求1所述的方法，其特征在于，所述方法还包括以下步骤：

-所述发射通信单元将所述发射通信单元的身份发射到所述接收通信单元，以便使所述接收通信单元在计算p(z)之前检索正确的秘密函数p。

8.如权利要求2所述的方法，其特征在于，所述方法还包括以下步骤：

-接收所述发射通信单元的身份，以便使所述接收通信单元在计算p(z)之前检索正确的秘密函数p。

9.一种第一通信单元(200)，包括用于生成密码处理传感器网络中第一通信单元(200)与第二通信单元(300)之间通信的密钥的部件，其中第一通信单元(200)和第二通信单元(300)具有有关秘密函数p的知识，第一通信单元包括：

-用于选择值z的部件(210)，

-用于将所述秘密函数p作为所选值z的函数p(z)进行计算以生成密钥的部件(220)，

-用于采用所生成的密钥来处理数据的部件(230)，以及

-用于将已处理数据与所选z结合发射到第二通信单元(300)的部件(240)，其中从几乎k元独立的函数集中选择所述秘密函数p，其特征在于，所述秘密函数p在所述通信单元之间共享，并对所述通信单元而言是独立且随机地预先配置的，以及所生成的密钥仅基于第一通信单元的信息，并且所述通信单元之一是中心点，而另一个通信单元是传感器，其中尽管k与所述传感器网络中的传感器数量无关，仍安全地生成所述密钥。

10.一种第二通信单元，包括用于生成安全处理传感器网络的第一通信单元与第二通信单元之间通信的密钥的部件，其中第一通信单元和第二通信单元适合于获得有关秘密函数p的知识，第二通信单元包括：

-用于将值z与密码处理的数据结合接收的部件(250)，

-用于在第二通信单元(300)将所述秘密函数p作为所接收z的函数p(z)进行计算以生成密钥的部件(260)，以及

-用于采用所生成的密钥来处理所接收数据的部件(270)，其中从几乎k元独立的函数集中选择所述秘密函数p，其特征在于，所述秘密函数p在所述通信单元之间共享，并对所述通信单元而言是独立且随机地预先配置的，以及所生成的密钥仅基于第一通信单元的信息，并且所述通信单元之一是中心点，而另一个通信单元是传感器，其中尽管k与所述传感器网络中的传感器数量无关，仍安全地生成所述密钥。

11.如权利要求9-10中任一项所述的通信单元，其特征在于，从完全k元独立的函数集中选择所述秘密函数p。

12.如权利要求9-10中任一项所述的通信单元，其特征在于，所述k元独立的函数集包括在有限域上定义的k-1次多项式。

13.如权利要求9-10中任一项所述的通信单元，其特征在于，所述通信单元包括：

-用于在所述秘密函数p已经用于生成至多k-1个密钥时用函数p_new代替p的部件，以及

-用于基于所述秘密函数p的密码处理来生成p_new的部件。

14.如权利要求13所述的通信单元，其特征在于，用于生成p_new的部件包括用于基于单向散列函数生成p_new的部件。

15.如权利要求9所述的第一通信单元，其特征在于，所述第一通信单元包括用于向第二通信单元发射第一通信单元的身份以便使第二通信单元在计算p(z)之前检索正确的秘密函数p的部件。

16.如权利要求10所述的第二通信单元，其特征在于，所述第二通信单元包括用于接收第一通信单元的身份以便使第二通信单元在计算p(z)之前检索正确的秘密函数p的部件。

Images