CN101710859A - 一种认证密钥协商方法 - Google Patents

Abstract

本发明提供了一种认证密钥协商方法，用于两个通信实体A和B之间认证对方的身份并协商出一个共享密钥，其包括：实体A将产生的第一随机数与实体B的公钥结合产生第一消息，并将第一消息发送给实体B；实体B将产生的第二随机数与实体A的公钥结合产生第二消息，且通过杂凑函数计算产生杂凑值R_B，并将第二消息和杂凑值R_B发送给实体A；实体A验证杂凑值R_B，若验证通过，则实体A通过杂凑函数计算产生杂凑值R_A和共享密钥，并将杂凑值R_A发送给实体B；实体B验证杂凑值R_A，若验证通过，则实体B计算出共享密钥。本发明所提供的方法需要较少的计算量和通信量，有利于提升通信速度和通信效率。

Description

一种认证密钥协商方法

技术领域

本发明涉及数字通信技术，尤其涉及一种数字通信系统中的实体认证和密钥协商的方法。

背景技术

数字通信网络中的两个实体在进行通信之前，为了确保通信内容的安全性，通信双方通常都需要认证对方的身份并在此基础上协商出一个会话密钥(即执行一个认证密钥协商协议)，该会话密钥用于对后续实际通信内容的加密。

认证密钥协商方法主要包括但不限于：基于公钥加密的、基于数字签名的、基于消息认证码的、基于对称密码的、基于口令的。目前常用的认证密钥协商方法大都基于Diffie-Hellman密钥交换协议和数字签名，如图1所示，这种方法包括以下步骤：

步骤S1：实体A将自己的公钥证书Cert_A发送给实体B。

步骤S2：实体B接收到Cert_A后，验证Cert_A是否有效；如果Cert_A有效，则执行步骤S3；如果Cert_A无效，则终止通信。

步骤S3：实体B发送自己的公钥证书Cert_B给实体A。

步骤S4：实体A接收到Cert_B后，验证Cert_B是否有效；如果Cert_B无效，则终止通信；如果Cert_B有效，执行步骤S5。

步骤5：实体A产生一个随机数x，计算公钥g^x，并使用自己的私钥计算出对公钥g^x的数字签名Sig_A(g^x)。

步骤S6：实体A将公钥g^x以及数字签名Sig_A(g^x)发送给实体B。

步骤S7：实体B接收到公钥g^x和Sig_A(g^x)后，使用实体A的公钥验证数字签名Sig_A(g^x)的正确性；如果数字签名Sig_A(g^x)无效，则终止通信；如果数字签名Sig_A(g^x)有效，则执行步骤S8。

步骤S8：实体B产生一个随机数y，计算公钥g^y，并使用自己的私钥计算出对公钥g^y的数字签名Sig_B(g^y)，然后执行步骤S9。

步骤S9：实体B将公钥g^y以及数字签名Sig_B(g^y)发送给实体A。

步骤S10：实体A接收到公钥g^y和Sig_B(g^y)后，使用实体B的公钥验证数字签名Sig_B(g^y)的正确性；如果数字签名有效，则执行步骤S11；

步骤S11：实体A计算密钥K_A＝(g^y)^x＝g^xy。

步骤S12：实体B计算密钥K_B＝(g^x)^y＝g^xy。

上述认证密钥协商方法基于数字签名技术，通信双方都需要计算一次数字签名，也都需要验证对方的数字签名的有效性，因而基于数字签名技术的认证密钥协商方法需要较多的计算资源和通信资源。

发明内容

本发明提供了一种认证密钥协商方法，用于两个通信实体认证对方的身份并协商出一个共享密钥，通过基于杂凑函数实现认证密钥协商以解决基于数字签名需要较多资源的技术问题。

为解决本发明的技术问题，本发明公开一种认证密钥协商方法，其包括步骤：

实体A将产生的第一随机数与实体B的公钥结合产生第一消息，并将第一消息发送给实体B；

实体B将产生的第二随机数与实体A的公钥结合产生第二消息，且通过杂凑函数计算产生杂凑值R_B，并将第二消息和杂凑值R_B发送给实体A；

实体A验证杂凑值R_B，若验证通过，则实体A通过杂凑函数计算产生杂凑值R_A和共享密钥，并将杂凑值R_A发送给实体B；

实体B验证杂凑值R_A，若验证通过，则实体B计算出共享密钥。

在一个实施例中，第一随机数是取自乘法群Z_q ^*＝{1，2，...，q-1}的随机数x，第一消息为X≡(g^b)^x(mod p)，其中，g^b是实体B的公钥，p是一个大素数，g是乘法群Z_p ^*中的一个q阶元素，q是p-1的素因子。第二随机数是取自乘法群Z_q ^*的随机数y，第二消息为Y≡(g^a)^y(modp)，其中，g^a是实体A的公钥。实体B在通过一个强无碰撞杂凑函数H计算杂凑值R_B＝H(g^x，Y，g^xy，ID_B)之前，还包括步骤：实体B使用自己私钥b的逆元素b计算X ^b ≡g^x(mod p)，且私钥b的逆元素b满足式子bb≡1(mod q)；计算(g^x)^y≡g^xy(mod p)；其中，ID_B是实体B的有效身份标识。实体A接收Y和杂凑值R_B杂凑值R_B，使用自己的私钥a的逆元素a计算Y ^a ≡g^y(mod p)，进一步计算(g^y)^x≡g^xy(mod p)和杂凑值H(g^x，Y，g^xy，ID_B)；实体A验证接收到的杂凑值R_B与自己计算出来的杂凑值H(g^x，Y，g^xy，ID_B)是否相等，若相等，则实体A计算杂凑值R_A＝H(g^y，X，g^xy，ID_A)并将杂凑值R_A发送给实体B，其中，ID_A是实体A的有效身份标识。实体B验证收到的杂凑值R_A与自己计算出来的杂凑值H(g^y，X，g^xy，ID_A)是否相等，若相等，则实体A和实体B分别计算出共享密钥。

在另一个实施例中，第一随机数是取自乘法群Z_n ^*＝{1，2，...，n-1}的随机数r_A，第一消息为R_A＝r_AQ_B，其中，Q_B是实体B的公钥，n是一个大素数。第二随机数是取自乘法群Z_n ^*的随机数r_B，第二消息为R_B＝r_BQ_A，其中，Q_A是实体A的公钥.实体B在通过一个强无碰撞杂凑函数H计算杂凑值V_B＝H(r_AP，R_B，r_Ar_BP，ID_B)之前，还包括步骤：实体B接收第一消息R_A，使用自己私钥x_B的逆元素x_B ^-1计算x_B ^-1R_A＝r_AP，且私钥x_B的逆元素x_B ^-1满足式子x_Bx_B ^-1≡1(mod n)；计算r_B(r_AP)＝r_Ar_BP；其中，ID_B是实体B的有效身份标识。实体A接收第二消息R_B和杂凑值V_B，使用自己私钥x_A的逆元素x_A ^-1计算x_A ^-1R_B＝r_BP；实体A进一步计算r_A(r_BP)＝r_Ar_BP和H(r_AP，R_B，r_Ar_B P，ID_B)，验证接收到的杂凑值V_B与自己计算出来的杂凑值H(r_AP，R_B，r_Ar_BP，ID_B)是否相等；若相等，实体A计算杂凑值V_A＝H(r_BP，R_A，r_Ar_BP，ID_A)并将杂凑值V_A发送给实体B，其中，ID_A是实体A的有效身份标识。实体B验证收到的杂凑值V_A与自己计算出来的杂凑值H(r_BP，R_A，r_Ar_BP，ID_A)是否相等，若相等，则实体A和实体B分别计算出共享密钥。

与现有技术相比，本发明具有如下有益效果：

本发明所提供的认证密钥协商方法是基于杂凑函数的：一个通信实体通过将自己计算出来的杂凑值与接收到来自另一个通信实体的杂凑值比对来确定另外一个通信实体是否真实可靠；另外，通过杂凑值比对，一个通信实体也可以确定另外一个通信实体是否可以计算出共享密钥；最后，通信双方通过计算杂凑值得到了相同了的通信密钥。相比基于数字签名的方法，本发明所提供的方法需要较少的计算量和通信量，有利于提升通信速度和通信效率。

附图说明

图1是现有基于数字签名的认证密钥协商方法的流程示意图；

图2是本发明的实施方式1的流程示意图；

图3是本发明的实施方式2的流程示意图。

具体实施方式

本发明是基于Diffie-Hellman密钥交换协议、并采用杂凑(Hash，或称为哈希)函数来实现在两个通信实体之间认证密钥协商。本发明在保证安全性的同时，减少了通信双方的计算量和数据通信量。

实施例1

通信双方包括两个对等实体：实体A和实体B。这里的实体可以是运行程序的硬件，也可以仅仅是一段程序或者软件。

在执行认证和密钥协商之前，假定通信双方已就参数p、q、g、H达成共识。其中p是一个大素数(例如，p的二进制表示有1024比特)，q是p-1的一个大的素因子(例如，q的二进制表示有160比特)，g是乘法群Z_p ^*＝{1，2，...，p-1}中的一个q阶元素，H是一个强无碰撞杂凑函数(例如SHA-1或SHA-256)。

进一步假定：实体A拥有私钥a和公钥g^a，其身份标识为ID_A；实体B拥有私钥b和公钥g^b，其身份标识为ID_B。其中私钥a和私钥b取自群Z_q ^*＝{1，2，...，q-1}，公钥g^a和公钥g^b属于Z_p ^*。并且假定通信双方在认证和密钥协商之前已经获知对方的有效的公钥和身份标识。获知对方有效公钥和身份标识的最有效的办法是验证对方公钥证书的有效性，在此不予描述。

如图2所示。该实施方式包括以下步骤：

步骤S21：实体A产生一个随机数x，x取自Z_q ^*，计算X≡(g^b)^x(mod p)，并将X发送给实体B。

步骤S22：实体B接收X，使用自己私钥b的逆元素b计算X ^b ≡g^x(mod p)。其中私钥b的逆元素b满足式子bb≡1(mod q)。

步骤S23：实体B产生一个随机数y，y取自Z_q ^*，计算Y≡(g^a)^y(mod p)，计算(g^x)^y≡g^xy(mod p)和杂凑值R_B＝H(g^x，Y，g^xy，ID_B)，并将Y和杂凑值R_B发送给实体A。

步骤S24：实体A接收Y和杂凑值R_B，使用自己的私钥a的逆元素a计算Y ^a ≡g^y(modp)，实体A进一步计算(g^y)^x≡g^xy(mod p)和杂凑值H(g^x，Y，g^xy，ID_B)。

步骤S25：实体A验证接收到的杂凑值R_B与自己计算出来的杂凑值H(g^x，Y，g^xy，ID_B)是否相等；如果两个杂凑值相等，实体A就确信自己的通信对象的确是实体B，并且实体B有能力计算出共享密钥；如果两个杂凑值不相等，实体A就认为实体B是不合法的，从而中止认证和密钥协商过程。

步骤S26：实体A计算R_A＝H(g^y，X，g^xy，ID_A)，并将杂凑值R_A发送给实体B。

步骤S27：实体B接收杂凑值R_A，计算杂凑值H(g^y，X，g^xy，ID_A)；实体B验证收到的R_A与自己计算出来的H(g^y，X，g^xy，ID_A)是否相等；如果两个杂凑值相等，实体B就确信自己的通信对象的确是实体A，并且实体A有能力计算出共享密钥；否则，如果两个杂凑值不相等，实体B就认为实体A是不合法的，从而中止认证和密钥协商过程。

步骤S28：实体A计算密钥K＝H(g^xy，ID_A，ID_B)。

步骤S29：实体B计算密钥K＝H(g^xy，ID_A，ID_B)。

从上述实施方式可以看出，本发明的方法的确可以满足通信双方认证身份和协商共享密钥的需求。

实施例2

通信双方包括两个对等实体：实体A和实体B。这里的实体可以是运行程序的硬件，也可以仅仅是一段程序或者软件。

在执行认证和密钥协商之前，假定通信双方已就椭圆曲线的参数q、FR、S、a、b、P、n、h达成共识。其中q是有限域的阶(例如，q是256比特的素数或者是2²⁵⁶)；FR是有限域F_q中元素的表示方法；参数S是随机产生椭圆曲线时用到的一个随机值，如果椭圆曲线不是随机产生的，就不需要这个参数；参数a和b属于有限域F_q，这两个参数限定了产生椭圆曲线的方程；P是椭圆曲线上的一个点，该点的阶为n，n是一个大素数(例如，q的二进制表示有256比特)；h＝#E(F_q)/n，其中#E(F_q)表示F_q上的椭圆曲线E上的点的个数。H是一个强无碰撞杂凑函数(例如SHA-1或SHA-256)。

进一步假定实体A拥有私钥x_A和公钥Q_A＝x_AP，其身份标识为ID_A；实体B拥有私钥x_B和公钥Q_B＝x_BP，其身份标识为ID_B。其中私钥x_A和x_B取自集合Z_n ^*＝{1，2，...，n-1}，公钥Q_A和公钥Q_B是椭圆曲线上的点，即Q_A和公钥Q_B属于E(F_q)。并且假定通信双方再认证和密钥协商之前已经获知对方的有效的公钥和身份标识。获知对方有效公钥和身份标识的最有效的办法是验证对方公钥证书的有效性，在此不予描述。

如图3所示，该实施方式包括以下步骤：

步骤S31：实体A产生一个随机数r_A，r_A取自乘法群Z_n ^*＝{1，2，...，n-1}，计算R_A＝r_AQ_B，并将R_A发送给实体B。

步骤S32：实体B接收R_A，使用自己私钥x_B的逆元素x_B ^-1计算x_B ^-1R_A＝r_AP。其中私钥x_B的逆元素x_B ^-1满足式子x_Bx_B ^-1≡1(mod n)。

步骤S33：实体B产生一个随机数r_B，r_B取自Z_n ^*，计算R_B＝r_BQ_A，计算r_B(r_AP)＝r_Ar_BP和V_B＝H(r_AP，R_B，r_Ar_BP，ID_B)，并将R_B和V_B发送给实体A。

步骤S34：实体A接收R_B和V_B，使用自己私钥x_A的逆元素x_A ^-1计算x_A ^-1R_B＝r_BP；实体A进一步计算r_A(r_BP)＝r_Ar_BP和H(r_AP，R_B，r_Ar_BP，ID_B)。

步骤S35：实体A验证接收到的V_B与自己计算出来的H(r_AP，R_B，r_Ar_BP，ID_B)是否相等；如果两个值相等，实体A就确信自己的通信对象的确是实体B，并且实体B有能力计算出共享密钥；否则，如果两个值不相等，实体A就认为实体B是不合法的，从而中止认证和密钥协商过程。

步骤S36：实体A计算V_A＝H(r_B P，R_A，r_Ar_B P，ID_A)，并将V_A发送给实体B。

步骤S37：实体B接收V_A，计算H(r_BP，R_A，r_Ar_BP，ID_A)；实体B验证收到的V_A与自己计算出来的H(r_BP，R_A，r_Ar_BP，ID_A)是否相等。如果两个值相等，实体B就确信自己的通信对象的确是实体A，并且实体A有能力计算出共享密钥。否则，如果两个值不相等，实体B就认为实体A是不合法的，从而中止认证和密钥协商过程。

步骤S38：实体A计算密钥K＝H(r_Ar_BP，ID_A，ID_B)。

步骤S39：实体B计算密钥K＝H(r_Ar_B P，ID_A，ID_B)。

从上述实施方式可以看出，本发明的方法的确可以满足通信双方认证身份和协商共享密钥的需求。

综上，本发明所提供的认证密钥协商方法是基于杂凑函数的：一个通信实体通过将自己计算出来的杂凑值与接收到来自另一个通信实体的杂凑值比对来确定另外一个通信实体是否真实可靠；另外，通过杂凑值比对，一个通信实体也可以确定另外一个通信实体是否可以计算出共享密钥；最后，通信双方通过计算杂凑值得到了相同了的通信密钥。相比基于数字签名的方法，本发明所提供的方法需要较少的计算量和通信量。

Claims (10)

1.一种认证密钥协商方法，其特征在于，包括步骤：

实体A将产生的第一随机数与实体B的公钥结合产生第一消息，并将第一消息发送给实体B；

实体B将产生的第二随机数与实体A的公钥结合产生第二消息，且通过杂凑函数计算产生杂凑值R_B，并将第二消息和杂凑值R_B发送给实体A；

实体A验证杂凑值R_B，若验证通过，则实体A通过杂凑函数计算产生杂凑值R_A和共享密钥，并将杂凑值R_A发送给实体B；

实体B验证杂凑值R_A，若验证通过，则实体B计算出共享密钥。

2.根据权利要求1所述认证密钥协商方法，其特征在于，第一随机数是取自乘法群Z_q ^*＝{1，2，..，q-1}的随机数x，第一消息为X≡(g^b)^x(mod p)，其中，g^b是实体B的公钥，p是一个大素数，g是乘法群Z_p ^*中的一个q阶元素，q是p-1的素因子。

3.根据权利要求2所述认证密钥协商方法，其特征在于，第二随机数是取自乘法群Z_q ^*的随机数y，第二消息为Y≡(g^a)^y(modp)，其中，g^a是实体A的公钥。

4.根据权利要求3所述认证密钥协商方法，其特征在于，实体B在通过一个强无碰撞杂凑函数H计算杂凑值R_B＝H(g^x，Y，g^xy，ID_B)之前，还包括步骤：

实体B使用自己私钥b的逆元素b计算X ^b ≡g^x(mod p)，且私钥b的逆元素b满足式子bb≡1(mod q)；

计算(g^x)^y≡g^xy(mod p)；

其中，ID_B是实体B的有效身份标识。

5.根据权利要求4所述认证密钥协商方法，其特征在于，实体A接收Y和杂凑值R_B，使用自己的私钥a的逆元素a计算Y ^a ≡g^y(mod p)，进一步计算(g^y)^x≡g^xy(mod p)和杂凑值H(g^x，Y，g^xy，ID_B)；实体A验证接收到的杂凑值R_B与自己计算出来的杂凑值H(g^x，Y，g^xy，ID_B)是否相等；若相等，则实体A计算杂凑值R_A＝H(g^y，X，g^xy，ID_A)，其中，ID_A是实体A的有效身份标识。

6.根据权利要求1所述认证密钥协商方法，其特征在于，第一随机数是取自乘法群Z_n ^*＝{1，2，...，n-1}的随机数r_A，第一消息为R_A＝r_AQ_B，其中，Q_B是实体B的公钥，n是一个大素数。

7.根据权利要求6所述认证密钥协商方法，其特征在于，第二随机数是取自乘法群Z_n ^*的随机数r_B，第二消息为R_B＝r_BQ_A，其中，Q_A是实体A的公钥。

8.根据权利要求7所述认证密钥协商方法，其特征在于，实体B在通过一个强无碰撞杂凑函数H计算杂凑值V_B＝H(r_AP，R_B，r_Ar_BP，ID_B)之前，还包括步骤：

实体B接收第一消息R_A，使用自己私钥x_B的逆元素x_B ^-1计算x_B ^-1R_A＝r_AP，且私钥x_B的逆元素x_B ^-1满足式子x_Bx_B ^-1≡1(mod n)；

计算r_B(r_AP)＝r_Ar_BP；

其中，ID_B是实体B的有效身份标识。

9.根据权利要求8所述认证密钥协商方法，其特征在于，实体A接收第二消息R_B和杂凑值V_B，使用自己私钥x_A的逆元素x_A ^-1计算x_A ^-1R_B＝r_BP；实体A进一步计算r_A(r_BP)＝r_Ar_BP和H(r_AP，R_B，r_Ar_BP，ID_B)，验证接收到的杂凑值V_B与自己计算出来的杂凑值H(r_AP，R_B，r_Ar_BP，ID_B)是否相等；若相等，实体A计算杂凑值V_A＝H(r_BP，R_A，r_Ar_BP，ID_A)并将杂凑值V_A发送给实体B，其中，ID_A是实体A的有效身份标识。

10.根据权利要求9所述认证密钥协商方法，其特征在于，实体B验证收到的杂凑值V_A与自己计算出来的杂凑值H(r_BP，R_A，r_Ar_BP，ID_A)是否相等；若相等，则实体A和实体B分别计算出共享密钥。

Images