CN101682510B - 通过验证实体来认证实体的方法 - Google Patents

Abstract

由验证实体认证实体的方法，所述实体共享一对私钥X和Y。根据本发明，所述私钥X和Y是n×m二进制矩阵(n，m＞1)，所述方法包括重复r次(r≥1)的步骤：包括：所述要认证的实体(1)和所述验证实体(2)交换由所述验证实体(2)和所述要认证的实体(1)分别随机抽取的n比特的二进制矢量a和b；并且所述要认证的实体(1)随机抽取m比特的二进制噪声矢量c，所述m比特中的每一个在小于1/2的概率η的情况下等于1，并且所述要认证的实体(1)计算等于m比特的应答矢量z并将其发送到该验证实体(2)，该验证实体计算误差矢量的汉明权(220’)，然后如果r个误差矢量e的汉明权满足取决于概率η的参数(T)的比较关系(230’)，则该验证实体接受(240’)认证。应用到密码协议以非常低的成本认证电子芯片。

Description

通过验证实体来认证实体的方法

技术领域

本发明涉及通过验证实体来认证实体的方法。

背景技术

本发明在密码协议领域中发现了对于认证具有或不具有接触的非常低成本的电子微芯片(特别是射频标识(RFID)标签)的特别有利的应用。

在例如标注或跟踪对象(药物、图书馆书籍等)并产生和验证例如公共交通票的电子票的许多应用中使用例如RFID类型的低成本电子微芯片。

与涉及的应用无关，必须防止伪造微芯片的欺骗行为，特别是拷贝或复制它们或重放它们所传送的数据。为了使得应用免受这样的攻击，当微芯片与微芯片读取器互相作用时，认证微芯片是势在必行的。

然而，在例如低成本微芯片的要认证的实体和例如微芯片读取器的验证实体之间使用的任何认证协议必须考虑这类微芯片(通常是硬连线逻辑类型)的特别有限的计算资源。

最近已提出了特别设计为满足RFID微芯片的需求的对称HB+(霍珀-勃鲁姆)认证协议(见A.Juels and S.A.Weis，″Authenticating Pervasive Deviceswith Human Protocols″，in V.Shoup，Editor，Advances in Cryptology-Crypto 05，Lecture Notes in Computer Science，Vol.3126，pp.293-308，Springer Verlag)。

图1表示在要认证的实体和验证实体之间的HB+协议下的数据交换。

如该图中可以看出的，例如RFID微芯片的要认证的实体和例如微芯片读取器的验证实体共享包括n比特二进制矢量的一对私钥x和y。这些私钥被存储在微芯片的存储部件10和微芯片读取器的存储部件20中。

HB+协议在r次连续迭代上展开。在每一迭代中，微芯片随机抽取(draw)(块100)并向微芯片读取器发送(1)n比特二进制矢量b。类似地，微芯片读取器随机抽取(块200)并向微芯片发送(2)n比特二进制矢量a。根据统一概率法则来进行矢量b和a的随机抽取。

微芯片然后通过计算(块120)噪声影响的应答 $z=a\·x\⊕b\·y\⊕v$ 并向微芯片读取器发送(3)，而对微芯片读取器发起的挑战(challenge)a作出应答，其中·表示模2数积运算，而

表示模2加。微芯片随机抽取噪声比特v(块110)；它在概率η＜1/2的情况下取值1，而在概率(1-η)的情况下取值0。

如果接收的应答z不满足等式 $z=a\·x\⊕b\·y,$ 则微芯片读取器拒绝当前迭代(块210)；在该情况下，将拒绝的迭代次数nbr的计数器递增一个单位(块220)。在迭代次数nbt的计数器计数(块250)的r次迭代的结尾，如果且仅如果来自计数器的拒绝的迭代次数nbr低于给定阈值t(块230)，则接受该认证(块240)。t的值当然是概率η的函数；t的简单值是例如t＝r×η。

尽管在三遍r次迭代中构造了提出的HB+协议的交换，但是可能通过同时计算和发送b、a和z的r个值，来将其降低为三遍一次交换。

HB+协议的优点在于认证计算的极大简便性。

此外，其鲁棒性起源于求出具有噪声的线性系统的解的LPN(具有噪声的学习奇偶性)问题的困难。最后，与历史上较早的HB协议(其不同之处在于，具有噪声的应答不包括b·y项)相比，HB+协议具有以下益处：二进制矢量b引起的遮蔽效应与私钥y关联；HB协议对其中对手发送恒定挑战a并收听来自微芯片读取器的应答的攻击敏感；最频繁的应答是a·x，并且已知a，可能在第一步骤中获得用于足够数目值a的a·x，并在第二步骤中通过求解线性系统而推知(deduce)x。

然而，HB+协议具有防止其在实践中被有效使用的缺陷。

如已经指明的，第一缺陷在于：尽管该协议对抗对a的一些主动攻击，但是其仍然易受当对手访问多个连续认证的结果(成功/失败)时遭遇的其他攻击。

这样的攻击拦截当从微芯片读取器向微芯片发送时的挑战a，并连续修改其比特。例如，如果修改了a的第一比特，则清楚的是，如果在该修改之后没有改变该结果，则能推断该私密矢量(secret vector)x的第一比特可能是0。相反，如果改变了该结果，则x的第一比特可能等于1。为了获得x的所有n比特，修改a的第二比特以发现x的第二比特，依此类推，直到比特n为止，这就足够了。

HB+协议的第二缺陷在于其产生连续数目的错误警报，错误警报被定义为谢绝认证合法微芯片。利用以下值：n＝224比特、η＝0.25、r＝100次迭代和t＝η×r＝25，例如，错误警报率为45％，这是完全不可接受的。错误肯定率(即，随机应答的芯片的成功认证)接近3×10^-7。

如果不是对于t取期望值t＝η×r＝25，而是取较高值(例如35)，则错误警报率下降到1％(这仍然不可接受)，但是错误肯定率增加到大约1.7×10^-3。

最后，HB+的第三缺陷在于其在微芯片和微芯片读取器之间的通信中引起的过分复杂性。利用与前面相同的数值，可示出，必须在每一认证中交换44900比特，即在100次迭代的每一次中的用于b的224比特、用于a的224比特、和用于结果z的一比特。

即使具有10000bps的比特率，微芯片读取器也需要多于四秒来认证微芯片(这在系统生物工程学方面是禁止的)，更不用说向微芯片供电的结果问题。

发明内容

本发明所以提供了一种通过验证实体认证实体的方法，所述实体共享一对私钥X和Y。所述方法的显著之处在于：所述私钥X和Y是n×m(n，m＞1)二进制矩阵，并且所述方法包括重复r次(r≥1)的步骤：

·所述要认证的实体和所述验证实体交换由所述验证实体和所述要认证的实体分别随机抽取的n比特的二进制矢量a和b，并且所述要认证的实体随机抽取m比特的噪声二进制矢量c，所述m比特中的每一个在小于1/2的概率η的情况下等于1，并且所述要认证的实体计算等于 $z=\mathrm{aX}\⊕\mathrm{bY}\⊕c$ 的m比特的应答矢量z并将其发送到该验证实体；

·该验证实体计算误差矢量 $e=z\⊕\mathrm{aX}\⊕\mathrm{bY}$ 的汉明权；并然后

·如果r个误差矢量e的汉明权满足与作为概率η的函数的参数的比较的关系，则接受认证。

由此，可以看出，与HB+协议相比，本发明的方法着眼于重组私密X，而提供了对于修改挑战a的比特的攻击的改进抵抗。如果修改了a的第一比特，则该修改影响该比特与X的m列的第一比特的乘积，也影响乘积aX的m比特并因此整体影响应答z。结果，不可能通过观察对于a的比特的修改的认证结果的效果，而推知有关私密X的任何信息，因为可修改z的m比特中的多个，而不可能告知它们的编号或它们的位置，而在HB+协议中，对于a的比特的任何修改直接影响仅包括一比特的应答z。

关于本发明的方法的性能，应观察到的是，每一迭代的应答z被写入到m比特上，本质上似乎在仅一次迭代中进行了m次迭代。

作为其结果，在第一极端情况下，可能将迭代次数降低m阶数的因数，并由此实际上将迭代次数限制为仅一个，这在错误警报率方面维持了HB+协议的性能，但是将交换的比特数目从r(2n+1)降低为(2n+m)，即，在n＝224和m＝128的情况下从44900比特降低为576比特，这表示了相当大的改进。该示例全面证明了本发明将迭代次数r限制为1的益处，这对于HB+协议来说是不可能想象的。

在第二极端情况下，迭代次数相同。交换的数据数量然后轻微增加，但是错误警报率变得可以忽略。

当然，在降低的错误警报率以及在微芯片和微芯片读取器之间交换的降低的比特数两者的情况下，不得不在这两种极端情况之间选定现实情况。

这也许是事实，但是清楚的是，本发明在错误警报率和要在涉及的这两个实体之间交换的信息数量的方面，比HB+协议提供更好的性能。

在本发明的一个具体实现中，所述矩阵X和Y是Toeplitz矩阵。下面更详细地示出，如果要选定其他矩阵，则该有利特征将微芯片和微芯片读取器的存储容量限制为(n+m-1)而不是n×m。另一优点是乘积aX和bY的简化计算。

本发明还提供了一种要由验证实体认证的实体，所述实体共享一对私钥X和Y，其显著之处在于所述要认证的实体包括用于存储包括n×m(n，m＞1)二进制矩阵的私钥X和Y的部件、用于与验证实体通信的部件、和适于将以下步骤实行r次(r≥1)的计算部件：

·随机抽取n比特的二进制矢量b，并将其发送到验证实体；

·从验证实体接收n比特的二进制矢量a；

·随机抽取m比特的噪声二进制矢量c，所述m比特中的每一个在小于1/2的概率η的情况下等于1，并计算等于 $z=\mathrm{aX}\⊕\mathrm{bY}\⊕c$ 的m比特的应答矢量z并将其发送到验证实体。

本发明还提供了一种计算机程序，包括以下程序指令，当所述程序由形成要认证的实体的所述计算部件的部分的计算机执行时，用于执行由所述要认证的实体实行的步骤。

本发明还提供了一种验证实体，与要认证的实体共享一对私钥X和Y，其显著之处在于所述验证实体包括用于存储包括n×m(n，m＞1)二进制矩阵的私钥X和Y的部件、用于与要认证的实体通信的部件、和适于将以下步骤实行r次(r≥1)的计算部件：

·从要认证的实体接收n比特的二进制矢量b；

·随机抽取n比特的二进制矢量a并将其发送到要认证的实体；

·从要认证的实体接收m比特的应答矢量z；

·计算误差矢量 $e=z\⊕\mathrm{aX}\⊕\mathrm{bY}$ 的汉明权，并且如果r个误差矢量e的汉明权满足与作为预定概率η的函数的参数(T，t)的比较的关系，则接受认证。

本发明最后提供了一种计算机程序，包括以下程序指令，当所述程序由形成所述验证实体的所述计算部件的部分的计算机执行时，用于执行所述验证实体实行的步骤。

附图说明

参考附图作为非限制性示例而给出了以下描述，并且以下描述解释了本发明包括什么以及如何能将本发明还原为实践。

图2表示在本发明的方法期间在要认证的实体和验证实体之间的交换。

图3是要通过图2的方法认证的实体的图。

图4是用于使用图2的方法认证图3的实体的验证实体的图。

具体实施方式

图2示出了使得验证实体(例如接触或非接触微芯片读取器)能够验证要认证的实体(在该示例中可以是RFID微芯片)的身份的认证方法。

图2中示出的方法是所谓对称方法，其中两个实体(微芯片和微芯片读取器)共享相同的私钥。被指定为X和Y的这些密钥是包括n行和m列的n×m(n，m＞1)二进制矩阵。私钥X和Y被存储在微芯片的存储部件10和微芯片读取器的存储部件20中(见图2以及图3和4)。

本发明的方法被构造为重复r次的步骤(r≥1)。表述“r次”指明可在三遍r次迭代中依次实行的微芯片和微芯片读取器之间的交换，如图2中指明的，其中迭代次数nbt在每一迭代中由计数器递增1(块250)，或指明三遍并行实行的微芯片和微芯片读取器之间的交换，每一遍包括数据的r项从一个实体向另一实体的传送。

在图2的示例中，微芯片1在每一迭代中随机抽取(块100)并向微芯片读取器2发送(1)n比特的一行二进制矢量b。微芯片读取器2然后向微芯片1发送(2)作为随机抽取的n比特的一行二进制矢量的挑战a(块200)。根据0和1比特的均匀分布来随机抽取二进制矢量b和a。

响应于挑战a，微芯片1向微芯片读取器2发送(3)等于模2和 $z=\mathrm{aX}\⊕\mathrm{bY}\⊕c$ 的m比特的一行二进制矢量z(块120’)，其中c是由微芯片1根据概率法则随机抽取(块110’)的m比特的一行噪声二进制矢量，该概率法则确保c的每一比特在具有相等概率的情况下等于1、或者小于或等于比1/2小的参数η。为此，可根据具有参数η＜1/2的柏努利法则，而彼此独立地随机抽取噪声矢量c的每一比特。也可从比特之和(汉明权)不大于具有η＜1/2的值η×m的所有m比特矢量中随机抽取噪声矢量c。当然，可在微芯片随机抽取二进制矢量b(如应记得的那样，用于遮蔽对矢量a的主动攻击)的同时随机抽取噪声矢量c。

在每一迭代上，微芯片读取器2计算(块210’)等于 $e=z\⊕\mathrm{aX}\⊕\mathrm{bY}$ 的m比特的误差矢量e，其中z是微芯片1发送的应答矢量，并且按照这种方式获得误差矢量e的汉明权PH(e)(块220’)。

在r次迭代之后，从每次迭代中获得的误差矢量e的r个汉明权PH(e)、以及其与作为概率η的函数的参数的比较，来确定微芯片读取器2验证微芯片1的接受或拒绝。

然后，几个策略是可能的。

图2中表示的第一策略是如果且仅如果r个误差矢量e的汉明权之和S(块221’)低于给定阈值T(块230’)，例如等于r(η+ε)m，其中ε是低于1/2的极限(margin)(可能为零)，则接受认证(块240’)。

第二策略是如果且仅如果每次迭代中获得的误差矢量e的汉明权低于阈值t，则接受认证。

最后，第三策略是如果且仅如果每次迭代中获得的误差矢量e的汉明权等于值t，则接受认证。

在第二和第三策略中，参数t具有值(η+ε)m，其中ε是小于1/2的极限(可能为零)。

取值r＝1、n＝256、m＝128、η＝0.25以及从具有汉明权32的长度128的二进制矢量中随机抽取的噪声矢量c(即，η×m)，如果且仅如果每次迭代中的误差矢量e的权重精确等于值32(这里，ε＝0)，则在以上策略中的第三策略下接受微芯片的认证。

在该示例中，可以看出，交换的总长度仅为640比特，即(2n+m)比特。相反，可以看出，错误警报率严格为零，而尝试z的随机值的攻击的错误肯定率接近10^-8，这在实践中是完全可接受的。

在图2中，微芯片1和微芯片读取器2之间的交换顺序如下：向微芯片读取器发送b，向微芯片发送a，微芯片随机抽取c，和向微芯片读取器发送z。无论如何必须注意的是，可同样好地使用不同顺序，即：向微芯片发送a，微芯片随机抽取b和c，和向微芯片读取器发送b和z。该顺序具有降低交换次数的优点。

在显著降低用于存储矩阵X和Y所必需的存储器数量、以及微芯片和验证实体要实行的计算的复杂性的实现中，可使用严格少于n×m的多个比特从微芯片中定义的所有n×m矩阵的严格子集中选择矩阵X和Y中的每一个。例如，当X和Y是Toeplitz矩阵(即，具有沿着对角线的恒定系数的矩阵，其所有系数完全由第一行和第一列的系数确定)时，用于存储每一矩阵所必需的存储器数量被降低为仅(n+m-1)。如果X是Toeplitz矩阵并且如果x_i，j是第i行和第j列的系数，如果i大于或等于j，则x_i，j等于x_i-j+1，1，否则x_i，j等于x_1，j-i+1。

以下实现高度有效地逐比特地计算例如a的二进制矢量和例如X的Toeplitz矩阵的乘积，该Toeplitz矩阵使用m比特的两个寄存器借助于其第一行和其第一列的(n+m-1)个系数来定义，一个寄存器用于计算该矩阵的当前行，而另一寄存器被初始化为0，用于累加该矢量矩阵乘积的部分结果。第一寄存器用X的第一行来初始化，其后按照以下方式对矢量a的每一比特进行处理：如果a的当前比特等于1，则使用异或运算符将X的当前行的值逐比特地与部分结果累加寄存器的当前值组合。否则，不修改该寄存器的当前值。或者，如果当前行不是矩阵X的最后一行，则通过将该寄存器的内容向右旋转一比特，随后将与新当前行对应的第一列的系数拷贝到该寄存器的最左单元，而更新包括该矩阵的当前行的寄存器。

如图3中所示，微芯片读取器2要认证的微芯片1(这两个实体共享一对私钥X和Y)包括用于存储包括n×m(n，m＞1)二进制矩阵的私钥X和Y的部件10、用于与微芯片读取器2通信的部件12、和适于将参考图2描述的方法的步骤执行r次(r≥1)的计算部件11：

·随机抽取n比特的二进制矢量b，并将其发送到微芯片读取器2；

·从微芯片读取器2接收n比特的二进制矢量a；

·随机抽取m比特的噪声二进制矢量c(所述m比特中的每一个在小于1/2的概率η的情况下等于1)，并计算等于 $z=\mathrm{aX}\⊕\mathrm{bY}\⊕c$ 的m比特的应答矢量z并将其发送到微芯片读取器2。

类似地，在图4中可以看出，用于认证微芯片1的微芯片读取器2包括用于存储包括n×m(n，m＞1)二进制矩阵的私钥X和Y的部件20、用于与要认证的微芯片1通信的部件22、和适于将参考图2描述的方法的步骤执行r次(r≥1)的计算部件21：

·从要认证的微芯片1接收n比特的二进制矢量b；

·随机抽取m比特的二进制矢量a并将其发送到微芯片1；

·从微芯片1接收m比特的应答矢量z；

·计算误差矢量 $e=z\⊕\mathrm{aX}\⊕\mathrm{bY}$ 的汉明权，并且如果r个误差矢量e的汉明权满足与作为概率η的函数的参数的比较的关系，则接受认证。具体来说，如上面详细描述的那样，如果通过r次迭代获得的误差矢量e的汉明权之和小于与阈值T相等的参数，则接受认证。

Claims (9)

1.一种由验证实体(2)认证要认证的实体(1)的方法，所述验证实体(2)和所述要认证的实体(1)共享一对私钥X和Y，其特征在于所述私钥X和Y是n×m二进制矩阵，其中n，m＞1，所述方法包括重复r次的步骤，其中r≥1：

·所述要认证的实体(1)和所述验证实体(2)交换由所述验证实体(2)和所述要认证的实体(1)分别随机抽取的n比特的二进制矢量a和b，并且所述要认证的实体(1)随机抽取m比特的噪声二进制矢量c，所述m比特中的每一个在小于1/2的概率η的情况下等于1，并且所述要认证的实体(1)计算等于

的m比特的应答矢量z并将其发送到该验证实体(2)；·该验证实体(2)计算误差矢量

的汉明权；并且

·如果r个误差矢量e的汉明权满足与作为概率η的函数的参数T，t的比较的关系，则接受认证。

2.根据权利要求1的方法，其中所述比较的关系使得通过r次迭代获得的误差矢量e的汉明权之和小于与阈值T相等的参数。

3.根据权利要求2的方法，其中该阈值T具有值r(η+ε)m，其中ε是小于1/2的极限。

4.根据权利要求1的方法，其中所述比较关系使得在每一迭代中获得的误差矢量e的汉明权小于与阈值t相等的参数。

5.根据权利要求1的方法，其中所述比较关系使得在每一迭代中获得的误差矢量e的汉明权等于与阈值t相等的参数。

6.根据权利要求4或权利要求5的方法，其中t具有值(η+ε)m，其中ε是小于1/2的极限。

7.根据权利要求1的方法，其中所述矩阵X和Y是Toeplitz矩阵。

8.一种要由验证实体(2)认证的实体(1)，所述验证实体(2)和所述要认证的实体(1)共享一对私钥X和Y，其特征在于所述要认证的实体(1)包括用于存储包括n×m二进制矩阵的私钥X和Y的部件(10)、用于与验证实体(2)通信的部件(12)、和适于将以下步骤实行r次的计算部件(11)，其中n，m＞1，r≥1：

·随机抽取n比特的二进制矢量b，并将其发送到验证实体(2)；

·从验证实体(2)接收n比特的二进制矢量a；

·随机抽取m比特的噪声二进制矢量c，所述m比特中的每一个在小于1/2的概率η的情况下等于1，并计算等于

的m比特的应答矢量z并将其发送到验证实体(2)。

9.一种验证实体(2)，与要认证的实体(1)共享一对私钥X和Y，其特征在于所述验证实体(2)包括用于存储包括n×m二进制矩阵的私钥X和Y的部件(20)、用于与要认证的实体(1)通信的部件(22)、和适于将以下步骤实行r次的计算部件(21)，其中n，m＞1，r≥1：

·从要认证的实体(1)接收n比特的二进制矢量b；

·随机抽取n比特的二进制矢量a并将其发送到要认证的实体(1)；

·从要认证的实体(1)接收m比特的应答矢量z；

·计算误差矢量

的汉明权，并且如果r个误差矢量e的汉明权满足与作为预定概率η的函数的参数T，t的比较的关系，则接受认证。

Images