CN101667913B - 基于对称加密的认证加密方法及加密系统 - Google Patents

Abstract

本发明请求保护一种认证加密方法和系统，涉及通信安全领域。结合消息可恢复签名和对称加密技术，利用只有指定消息接收端能够计算出的承诺值作为会话密钥加密消息，消息接收端通过可恢复签名验证消息的有效性，从而在一个逻辑步骤里同时实现了加密和认证。发送端密钥生成单元生成发送端会话密钥，加密单元对要发送的消息进行加密，接收端生成接收端会话密钥，解密单元利用接收端会话密钥对加密消息进行解密，根据解密出的消息生成认证确认信息验证消息的有效性。当发生纠纷时，消息接收端可以将认证加密的消息签名转换为普通的签名，让第三方公开验证签名的有效性。本发明具有安全性高、计算量和传输代价小等优点。

Description

基于对称加密的认证加密方法及加密系统

技术领域

本发明涉及通信安全领域，具体涉及通信过程中的认证加密方法。

背景技术

随着计算机与通信技术的发展，人们越来越多的使用网络来传递秘密信息，这些秘密消息的传递往往同时需要保密和认证。传统上同时实现认证和保密的方法是将加密和签名组合，采用“先签名再加密”的方法，这种组合的计算、传输代价是签名和加密的总和，且这种传统方法使用的是公钥加密，计算速度慢，代价高。利用消息可恢复签名技术能够以较低的传输代价同时实现认证和加密功能，国内外许多学者相继设计了许多基于消息可恢复签名技术的认证加密方案。诸如在2006年的《电子学报》第34卷5期874-877页，张串绒，尹忠海，肖国镇的《不使用Hash和Redundancy函数的认证加密方案》一文中提出了基于消息可恢复签名技术的认证加密方案。该方案首次将消息可恢复签名和对称加密有机结合，用签名中恢复的消息与对称解密得到的消息相比较，实现消息有效性的验证，改变了传统上使用杂凑函数或冗余函数的验证方法。但该方案的安全性不高，无法抵抗消息接收者的伪造攻击，而且发生纠纷后，无法让第三方公开验证签名。

发明内容

本发明针对现有技术的上述不足，旨在设计一种计算量和传输代价小，安全性高的认证加密方案。由此提出了一种基于对称加密和消息可恢复签名技术的认证加密方法和系统。

本发明解决上述技术问题的技术方案是提出一种认证加密方法，该方法包括以下步骤：

发送端和接收端分别生成公、私钥对，分别将公钥和各自对应的身份标识发送给服务器。生成公、私钥对，和身份标识的步骤具体包括，发送端、接收端参数选择单元选取大素数p、q、确定q阶生成元g，并分别选取随机数x_a、x_b作为各自的私钥；发送端、接收端密钥生成单元调用模指数运算公式 $y_a=g^{x_a}\mathrm{mod}p,$ $y_b=g^{x_b}\mathrm{mod}p$ 分别确定发送端、接收端公钥y_a、y_b；签名单元将发送端、接收端私钥x_a、x_b对发送端和接收端消息串y_a‖ID_A、y_b‖ID_B分别进行签名，得到发送端签名

和接收端签名

等身份标识；

发送端通过服务器收到接收端公钥，根据接收端公钥和选取的随机数生成发送端会话密钥，利用发送端会话密钥对要发送的消息进行加密，并利用选取的随机数、所要发送的消息以及自己的私钥生成认证信息，把加密后的发送消息和认证信息通过服务器发送给接收端。

发送端选取随机数k，密钥生成单元根据接收端的公钥y_b和随机数k，输入双重模指数运算单元，调用公式K＝((y_b)^k(mod p))(mod q)获得用于加密消息的发送端会话密钥K，加密单元利用K对称加密消息m。将随机数k、发送端的私钥x_a及所要发送的消息m输入双重模指数运算单元，调用公式r＝(g^m+k(mod p))(mod q)和s＝k/(r+x_a)(mod q)计算认证信息r和s；

接收端通过服务器接收到发送端的加密消息和认证信息后，根据接收端自己的公、私钥、发送端的公钥以及认证信息生成接收端会话密钥，并对加密消息进行解密，根据解密出的消息生成验证信息，对生成的验证信息和收到的认证信息进行比较，验证消息的有效性。

接收端密钥恢复单元将自己的公、私钥y_b和x_b、发送端的公钥y_a以及收到的认证信息r和s，输入双重模指数运算单元，调用公式： $K=\left({\left(y_b^r{y}_a^{x_b}\right)}^s\right)\left(\mathrm{mod}p\right)\left(\mathrm{mod}q\right)$ 恢复接收端会话密钥。接收端算法模块将消息m、认证信息r和s、q阶生成元g、发送端公钥输入双重模指数运算单元，调用公式r′≡(g^m(g^ry_a)^s(mod p))(mod q)计算接收端验证信息r′，比较单元将验证信息r′与收到的认证信息r进行比较，如果相等则解密出的消息m是有效的。

当发生纠纷时，接收端可以将认证加密的消息签名转换为普通的签名，让第三方公开验证签名的有效性。

本发明还设计了一种认证加密系统，具体为，一种认证加密系统，发送端和接收端密钥生成单元根据随机选择的私钥生成相应公钥，将公钥和各自对应的身份标识发送给服务器；发送端通过服务器收到接收端公钥，发送端密钥生成单元根据接收端公钥和选取的随机数生成发送端会话密钥，加密单元利用发送端会话密钥对要发送的消息进行加密，并根据所要发送的消息以及自己的私钥生成认证信息，把加密消息和认证信息通过服务器发送给接收端；接收端接收到加密消息和认证信息后，接收端密钥生成单元根据自己的公、私钥、发送端的公钥以及认证信息生成接收端会话密钥，解密单元采用会话密钥对加密消息进行解密，根据解密出的消息生成认证确认信息(验证信息)，比较单元对认证确认信息和收到的认证信息进行比较，验证消息的有效性。

使用本发明的认证加密技术，不仅可以在一个逻辑步骤内实现认证和加密，同时在安全性、计算量、传输代价等方面都有所改进。

(1)将消息可恢复签名与对称加密相结合，不需要杂凑函数和冗余函数，避免了使用这些函数所要面临的相应安全威胁。

(2)因为发送端每次都是随机选择的参数k，真正做到了一次一密，具有前向安全性，即使密钥泄漏，攻击者也无法解密出以前的消息。

(3)能够确保消息的可靠性和完整性，接收端可以利用认证信息对解密出的消息进行有效性验证。

(4)消息的保密性强，任何攻击者想通过计算求解得到消息将会面临离散对数难题或者双重模难题。

(5)利用对称密钥加密消息，计算量较小，并且收发端、服务器三者之间交互传输信息的传输代价较小。

附图说明

图1所示为认证加密方法流程图

具体实施方式

本发明提出了一种基于对称加密和消息可恢复签名技术的认证加密方法和系统。具体包括如下步骤。

步骤A：发送端和接收端自动生成公、私钥，将公钥和各自对应的身份标识发送给服务器；

步骤B：发送端通过服务器收到接收端公钥，发送端密钥生成单元根据接收端公钥和选取的随机数生成发送端会话密钥，加密单元利用发送端会话密钥对要发送的消息进行加密，并利用选取的随机数、所要发送的消息以及自己的私钥生成认证信息，发送单元把加密消息和认证信息通过服务器发送给接收端；

步骤C：接收端通过服务器接收到发送端的加密消息和认证信息后，接收端密钥生成单元根据接收端自己的公、私钥、发送端的公钥以及认证信息生成接收端会话密钥，解密单元对接收到的加密消息进行解密，根据解密出的消息生成认证信息，比较单元对接收端生成的认证信息和收到的认证信息进行比较，验证消息的有效性。

步骤D：当发生纠纷时，接收端可以将收到的来自发送端的加密消息和认证信息转换为普通的签名，让第三方公开验证签名的有效性。

该发明依次通过初始化、发送、接收和验证共四个阶段来实现通信的认证加密。如图1所示为本发明认证加密方法流程图。该流程图具体步骤如下：

初始化：根据系统的安全性和效率选取大素数p和q，通常可选p的长度小于等于512比特，q的长度等于160比特，且要求满足q整除p-1；然后在乘法群Z_p ^*中选取一个q阶生成元g；建立注册用户列表L。

步骤101：发送端A参数选择单元选取随机数x_a∈Z_q(自然数)作为自己的私钥，发送端密钥生成单元将发送端私钥、q阶生成元g输入模指数运算单元，算法模块调用公式 $y_a=g^{x_a}\mathrm{mod}p$ 计算对应的公钥y_a。设置发送端A的身份标识ID_A(参数选择单元可在有限域Z_q中选取一个固定长度的随机数ID_A作为发送端A的身份标识)，

签名单元将发送端私钥随机数x_a作为签名私钥，对由公钥y_a和身份标识ID_A组成的消息串y_a‖ID_A进行签名，得到关于消息串y_a‖ID_A的签名选择秘密随机数k，送入模指数运算单元，调用公式a＝g^kmod p，b＝(H(y_a‖ID_A)-xr)k^-1mod(p-1)确定签名信息，确定(a‖b)为对消息串y_a‖ID_A的签名

然后发送端发送模块将发送端的身份标识ID_A、发送端公钥y_a和签名

作为发送端A的注册信息一起发送给服务器S，服务器验证单元利用发送端的公钥y_a对发送端签名

的有效性进行验证，将签名信息送入指数运算单元和模指数运算单元分别计算，验证单元对计算结果进行判断，如两次计算的结果相等，即若等式 ${y_a}^a{r}^b\≡g^{H\left(y_a\right|\left|{\mathrm{ID}}_A\right)}\mathrm{mod}p$ 成立，则说明签名有效。如果签名有效则接受发送端A为合法的注册用户，并将注册信息ID_A、y_a和签名

写入注册用户列表L，对用户身份和其公钥实现绑定。

接收端B参数选择单元选取随机数x_b∈Z_q作为自己的私钥，接收端密钥生成单元将接收端私钥、q阶生成元g输入模指数运算单元，算法模块调用公式 $y_b=g^{x_b}\mathrm{mod}p,$ 根据接收端私钥x_b通过对大素数p进行模指数运算求得对应的公钥y_b，设置接收端B的身份标识。可在有限域Z_q中选取一个固定长度(如32比特)的随机数ID_B作为接收端B的身份标识，签名单元将x_b作为签名私钥对由公钥y_b和身份标识ID_B组成的消息串y_b‖ID_B进行签名，得到关于消息串y_b‖ID_B的签名

等身份信息，签名的具体方式与发送端相同，然后将接收端的身份标识ID_B、公钥y_b和签名

作为接收端B的注册信息一起发送给服务器S，服务器验证单元利用接收端的公钥y_b对签名

的有效性进行验证，验证方式如发送端，如果有效则接受接收端B为合法的注册用户，并将注册信息ID_B、y_b和

写入注册用户列表L，对用户身份和其公钥实现绑定。否则拒绝接受接收端B为合法用户。

发送阶段：

步骤102：发送端A向服务器S发送身份标识ID_A和ID_B作为请求信息，请求获取接收端B的公钥y_b。

步骤103：服务器S收到发送端A的请求后，查询单元在注册用户列表中查找发送端A和接收端B是否为合法的注册用户，如何能够在注册用户列表中查找到发送端A和接收端B的注册信息，则说明送端A和接收端B是合法的注册用户，发送单元将接收端B的公钥y_b和关于消息串y_b‖ID_B的签名发送给发送端A。

步骤104：发送端A收到接收端B的公钥y_b后，验证单元首先利用接收端B的公钥y_b来验证签名

的有效性，如果有效则说明身份标识为ID_B的接收端B的公钥的确为y_b，然后选取随机数k∈Z_q，密钥生成单元调用双重模指数运算单元，进行以接收端的公钥y_b为底，发送端选取的随机数k为幂的双重模指数运算，将接收端公钥y_b和k输入双重模指数运算单元，调用公式K＝((y_b)^k(mod p))(mod q)获得发送端和接收端用于加密传输消息的对称密钥(即会话密钥)，并且只有指定的接收端才能够正确的恢复出该会话密钥来解密消息。加密单元利用会话密钥K对称加密消息m，从而生成密文c＝E_K(m)，具体可以采用DES数据加密算法。

然后，将随机数k和消息m送入加法器，相加操作后确定指数的幂，认证单元将发送端选取的随机数k、发送端的私钥x_a及所要发送的消息m输入双重模指数运算单元及混合运算单元，调用公式r＝(g^m+k(mod p))(mod q)和s＝k/(r+x_a)(mod q)分别计算认证信息r和s，把c、r和s作为签名信息(c，r，s)发送给服务器S。

接收阶段：

步骤105：当接收端B登陆系统后，服务器S发送模块将ID_A，y_a，

c，r和s发送给接收端B。

步骤106：接收端B收到服务器的所有信息后，根据发送端签名

验证发送端A的公钥y_a的有效性。如果有效接收端密钥恢复单元将自己的公、私钥y_b和x_b、发送端的公钥y_a以及收到的认证信息r和s，送入双重模指数运算单元，以公钥为底，认证信息、发送端私钥为幂，调用公式： $K=\left({\left(y_b^r{y}_a^{x_b}\right)}^s\right)\left(\mathrm{mod}p\right)\left(\mathrm{mod}q\right)$ 恢复出会话密钥，该会话密钥只有接收端B才能够唯一的恢复出来。接收端B利用恢复出的会话密钥K对称解密密文c，得到消息m。即利用会话密钥K对称解密密文c，从而得到明文m＝D_K(c)。可采用如发送端A一样的如DES算法进行解密。

验证阶段：

步骤107：对消息的有效性进行验证，验证模块判断通过双重模指数运算单元获得的认证确认信息(验证信息)与收到的认证信息是否成立，如果等式成立，则消息是有效的，否则无效。

接收端B解密出消息明文m后，必须要验证消息的有效性。接收端根据上述接收的信息，算法模块利用该消息和收到的认证信息r和s通过双重模指数运算，以g、y_a为底，m、r、s为幂，调用等式r′≡(g^m(g^ry_a)^s(mod p))(mod q)计算接收端认证确认信息r′，验证单元将认证确认信息r′与收到的认证信息进行比较，二者如果相等则说明解密出的消息m是有效的。

如果发生纠纷时，接收端或者发送端发送模块可以公布对称解密密文c、认证信息r和s组成的签名信息(c，r，s)以及消息m，将发送端对消息m的认证加密转化为一般的签名，则任何验证者都可以验证。第三方验证单元根据接收端或发送端提供的消息m，认证信息r和s，算法模块调用公式：r′＝(g^m(g^ry_a)^s(mod p))(mod q)，r″＝(g^k+m(mod p))(mod q)计算验证信息r′、r″，验证单元比较上述两式是否相等，如果上述两式相等，验证等式成立，即r′＝r″，则可以证明(c，r，s)是发送端对消息m的有效签名。

本发明的交互过程可以具体表示如下：

初始化：发送端和接收端分别向服务器发送各自的公钥和签名。

A→S：ID_A，y_a，

B→S：ID_B，y_b，

发送：服务器向发送端发送接收端的公钥和数字签名，发送端计算密文、认证相关信息并发送到服务器端。

A→S：ID_A，ID_B

S→A：y_b，

A→S：c，r，s

接收：服务器向接收端发送发送端的身份信息、密文及认证相关信息。

S→B：ID_A，y_a，

c，r，s

验证：根据公开的密文、相关认证信息等可对接收到的信息是否正确进行验证，根据下述公式是否成立判断。

本发明为安全通信提供了一种安全、简单的认证加密方法，并具有以下技术特点：利用对称密钥加密消息，计算量较小，并且收发端、服务器三者之间交互传输信息的传输代价较小。具有前向安全性，一次一密，能够确保消息的可靠性和完整性，接收端可以利用认证信息对解密出的消息进行有效性验证。

以上所述，仅为本发明的较佳实施方式，但本发明的保护范畴并不局限于此，任何熟悉该技术的人在本发明所揭露的技术范围内，可以轻易想到的交换和替换，都应包含在本发明的保护范围内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (6)

1.一种认证加密方法，其特征在于，所述方法包括以下步骤：

步骤A：发送端和接收端密钥生成单元根据随机选择的私钥生成相应公钥，将公钥、各自对应的身份标识和签名发送给服务器；

步骤B：发送端通过服务器收到接收端公钥，发送端密钥生成单元根据接收端公钥和选取的随机数生成发送端会话密钥，加密单元利用发送端会话密钥K对要发送的消息m进行对称加密，从而生成密文c，将随机数k、发送端的私钥x_a及所要发送的消息m输入双重模指数运算单元，调用公式r＝(g^m+k(mod p))(mod q)和s＝k/(r+x_a)(mod q)计算认证信息r和s，把加密消息和认证信息通过服务器发送给接收端，其中，p和q为大素数；

步骤C：接收端接收到加密消息和认证信息后，接收端密钥生成单元根据自己的公、私钥、发送端的公钥以及认证信息生成接收端会话密钥，解密单元利用接收端会话密钥对加密消息进行解密，接收端算法模块将消息m、认证信息r和s、q阶生成元g、发送端公钥y_a输入双重模指数运算单元，调用公式r′≡(g^m(g^ry_a)^s(mod p))(mod q)计算接收端认证确认信息r′，比较单元对认证确认信息和收到的认证信息进行比较，如果相等则解密出的消息m是有效的。

2.根据权利要求1所述的认证加密方法，其特征在于，所述步骤A进一步包括，发送端、接收端参数选择单元选取大素数p、q，满足q整除p-1，在乘法群

中选取一个q阶生成元g，并分别选取随机数x_a、x_b作为各自的私钥；密钥生成单元分别调用公式

进行模指数运算，分别确定发送端、接收端公钥y_a、y_b；签名单元利用私钥x_a、x_b对由公钥y_a和身份标识ID_A组成的发送端消息串y_a||ID_A、由公钥y_b和身份标识ID_B组成的接收端消息串y_b||ID_B分别进行签名，得到发送端签名

和接收端签名

将注册信息、公钥和签名写入注册用户列表L，绑定用户身份和其公钥，其中，ID_A为发送端身份标识、ID_B为接收端身份标识。

3.根据权利要求1所述的认证加密方法，其特征在于，所述步骤B进一步包括，发送端选取随机数k，密钥生成单元根据接收端的公钥y_b和随机数k，输入双重模指数运算单元，调用公式K＝((y_b)^k(mod p))(mod q)获得用于加密消息的发送端会话密钥K，加密单元利用K对称加密消息m。

4.根据权利要求1所述的认证加密方法，其特征在于，所述步骤C进一步包括，接收端密钥恢复单元将自己的公、私钥y_b和x_b、发送端的公钥y_a以及收到的认证信息r和s，输入双重模指数运算单元，调用公式： $K=\left({\left(y_b^r{y}_a^{x_b}\right)}^s\right)\left(\mathrm{mod}p\right)\left(\mathrm{mod}q\right)$ 恢复接收端会话密钥。

5.根据权利要求1-4其中之一所述的认证加密方法，其特征在于，当发生纠纷时，接收端将认证加密的消息签名转换为普通的签名，第三方验证单元根据接收端或发送端提供的消息m，认证信息r和s，输入双重模指数运算单元，算法模块调用公式：r′＝(g^m(g^ry_a)^s(mod p))(mod q)，r″＝(g^k+m(mod p))(mod q)分别计算验证信息r′和r″，如果r′＝r″，则(c，r，s)是发送端对消息m的有效签名，其中，c为密文。

6.一种认证加密系统，其特征在于，包括发送端、接收端和服务器，发送端和接收端密钥生成单元根据随机选择的私钥生成相应公钥，将公钥和各自对应的身份标识发送给服务器；发送端通过服务器收到接收端公钥，发送端密钥生成单元根据接收端公钥和选取的随机数生成发送端会话密钥，加密单元利用发送端会话密钥对要发送的消息进行加密，发送端选取随机数k，密钥生成单元根据接收端的公钥y_b和随机数k，输入双重模指数运算单元，调用公式K＝((y_b)^k(mod p))(mod q)获得用于加密消息的发送端会话密钥K，加密单元利用K对称加密消息m；将随机数k、发送端的私钥x_a及所要发送的消息m输入双重模指数运算单元，调用公式r＝(g^m+k(mod p))(mod q)和s＝k/(r+x_a)(mod q)计算认证信息r和s，把加密消息和认证信息通过服务器发送给接收端；接收端接收到加密消息和认证信息后，接收端密钥生成单元根据自己的公、私钥、发送端的公钥以及认证信息生成接收端会话密钥，解密单元采用会话密钥对加密消息进行解密，接收端密钥恢复单元将自己的公、私钥y_b和x_b、发送端的公钥y_a以及收到的认证信息r和s，输入双重模指数运算单元，调用公式：恢复接收端会话密钥；接收端算法模块将消息m、认证信息r和s、q阶生成元g、发送端公钥输入双重模指数运算单元，调用公式r′≡(g^m(g^ry_a)^s(mod p))(mod q)计算接收端验证信息r′，比较单元将验证信息r′与收到的认证信息r进行比较，如果相等则解密出的消息m是有效的。

Images