CN101867477A - 传感器网络会话密钥建立方法 - Google Patents

Abstract

本发明公布了一种传感器网络会话密钥建立方法，采用MTI协议族的“隐式认证”的思想(将通信方的长、短期公私钥结合来设计会话密钥，而且由于认证和密钥协商过程结合在一起，因此大大提高了协议的通信和计算效率)，基于常规的椭圆曲线上的任意素数阶循环群，构造了新的无双线性对运算的基于身份的认证密钥协商协议，与现有的协议相比，不仅该协议的安全性更高，而且运行效率更快。由于新协议使用常规椭圆曲线上阶更小的循环群，而不是要求更高的构造双线性对所需的群，因此其运行效率更高。

Description

传感器网络会话密钥建立方法

技术领域

本发明涉及一种WSN中的传感器网络会话密钥建立方法。

背景技术

根据所使用的密码体制，WSN密钥建立可分为对称密钥建立和非对称密钥建立两类。在对称密钥方面，通信双方使用相同的密钥和加密算法对数据进行加密、解密，对称密钥建立具有密钥长度不长，计算、通信和存储开销相对较小等特点，但是其明显的缺点是通常必须有一个密钥预分配过程，即事先将对称密钥存储在节点中，增加和替换节点显得不够灵活。人们一直试图寻求非对称密钥系统在无线传感器网络中的应用。非对称密钥建立方案由于对节点的计算、存储、通信等能力要求比较高，曾一度被认为不适用于WSN，但一些研究表明，非对称加密算法经过优化后能适用于WSN。而且从安全角度来看，非对称密码体制的安全强度在计算意义上要远远高于对称密码体制。

目前为止WSN中提出的非对称密码体制的密钥建立方案有：基于证书公钥密码体制(certificate based public key system，CBS)方案、基于自认证公钥体制(self-certified public key based system，SCKBS)的方案和基于身份的公钥密码体制(identity based public key system，IBS)方案。通常基于CBS的安全方案需要分布式的证书中心(certificate authority，CA)进行证书管理，节点证书的获得需要CA节点来完成，CA节点要对数字证书进行数字签名，并保存所有节点的证书，当节点证书更新或撤销时，每个节点的证书目录都需要同步刷新。一般来说基于证书的密钥管理方法对网络节点的计算、存储和通信要求都非常高。为简化无线传感器网络中的证书管理，研究人员提出在WSN中采用基于自认证公钥体制来构建密钥产生方案。SCKBS中节点公钥自身具有认证功能，不需要证书保证公钥的可靠性。密钥分发中心(key distribution center，KDC)产生与节点身份对应的部分私钥，节点自己把部分私钥和一些秘密信息结合，得到实际私钥。但是基于SCKBS的安全方案仍然需要进行复杂的证书管理，这对于资源有限的WSN来说还是一个巨大的负担。

IBS方案不需要证书管理，每个节点身份信息都可作为节点公钥，并且不需要有一个公共文件存储公钥信息。Zhang等^[7]提出了将椭圆曲线上的双线性对技术与地理信息相结合的节点认证和密钥协商协议，Rahman和Manel等^[8-9]提出在异构WSN中使用双线性对技术来构建基于身份的密钥建立方案，杨庚等^[10]提出了基于双线性对的密钥分配方案，Piotr等^[11-12]实验评估了基于身份密钥协商协议和加解密算法。最近Chu等^[13]提出在WSN中运行基于身份的在线/离线加解密算法，并在选择身份(Selective-ID)模型下证明了该算法是抗选择密文攻击(chosen ciphertext attack，CCA)安全的，目前虽然不断对双线性对运算进行优化，但是椭圆曲线上的双线性对运算仍然是非常消耗节点资源的运算。Zhu等已提出了一个无双线性对的基于身份的密钥协商协议^[14]，但是该协议采用了基于签名的显式认证，计算效率和带宽利用率不高。最近曹雪菲等构造了一个三次传递的无双线性对的基于身份的密钥协商协议^[15]，该协议基于椭圆曲线加法群上的除法性计算Diffie-Hellman困难问题，但这是一个在椭圆曲线上的特殊群和特别构造的困难问题，在WSN中难以对该椭圆曲线上的运算进行优化，而且该协议只在安全性较低的mBR模型下进行了证明。

参考文献

[1]Chen Xiangqian，Kia Makki，Kang Yen，Niki Pissinou.Sensor network security：a survey[J].IEEE Communications surveys&tutorials，2009，11(2)：52-73.

[2]Zhou Yun，Fang Yuguang，Zhang Yanchao.Securing wireless sensor networks：a survey[J].IEEE Communications surveys，2008，10(3)：6-28.

[3]苏忠，林闯，封富君，任丰原.无线传感器网络密钥管理的方案和协议[J].软件学报，2007，18(5)：1812-1831.

[4]裴庆祺，沈玉龙，马建峰.无线传感器网络安全技术综述[J].通信学报，2007，28(8)：113-122.

[5]Gaubatz G，Kaps J，Sunar B.Public keys cryptography in sensor networks-Revisited.In：Proc.of the 1st European Workshop on Security in Ad-Hoc and Sensor Networks(ESAS).New York：ACM Press，2004，2-18.

[6]Malan D J，Welsh M，Smith M D.A public-key infrastructure for key distribution in TinyOS based on elliptic curve cryptography.In：Proc.of the 1st IEEE Int’l Conference on Sensor and Ad Hoc Communications and Networks.IEEE Press，2004，71-80.

[7]Zhang YC，Liu W，Lou WJ，Fang YG，Location-Based compromise-tolerant security mechanisms for wireless sensor networks.IEEE Journal on Selected Areas in Communications，2006，24(2)：247-260.

[8]Sk Md Mizanur Rahman，Nidal Nasser，Kassem Saleh.Identity and pairing-based secure key management scheme for heterogeneous sensor networks.IEEE International Conference on Wireless&Mobile Computing，Networking&Communication 2008，423-428.

[9]Manel Boujelben，Omar Cheikhrouhou，Habib Youssef.A pairing identity based key management protocol for heterogeneous wireless sensor networks.2009 International Conference on Network and Service Security，IEEE Computer Society，1-5.

[10]杨庚，王江涛，程宏兵，容淳铭.基于身份加密的无线传感器网络密钥分配方法[J]电子学报，2007，35(1)：180-184.

[11]Piotr Szczechowiak，Martin Collier.Practicalidentity-based key agreement for secure communication in sensor tetworks.Proceedings of 18^th international conference on computer communications and networks，2009，IEEE Computer Society，1-6.

[12]Piotr Szczechowiak，Martin Collier.TinyIBE：identity-based encryption for heterogeneous sensor networks，2009 International Conference on intelligent sensors，sensor networks and information processing，IEEE Computer Society，319-354.

[13]Chu Cheng-Kang，Liu Joseph K，Zhou Jianying，Feng Bao，Deng Robert H.Practical ID-based Encryption for Wireless Sensor Network.The 5^th ACM symposium on information，computer and communications security，2010，25-33.

[14]Zhu R W，Yang G，and Wong D S.An efficient identity-based key exchange protocol with KGS forward secrecy for low-power devices[J].Theoretical Computer Science，2007，378(2)：198-207.

[15]曹雪菲，寇卫东，樊凯，张军.无双线性对的基于身份的认证密钥协商协议[J].电子与信息学报，2009，31(5)：1241-1244.

发明内容

本发明目的是针对现有技术存在的缺陷提供一种传感器网络会话密钥建立方法。

本发明为实现上述目的，采用如下技术方案：

本发明传感器网络会话密钥建立方法如下：

传感器网络中基站负责为节点生成和安全分发长期私钥，基站选取椭圆曲线上阶为q的循环群G，P是G的生成元，两个Hash函数：H₁：{0，1}^*→Z_q，H₂：Z_q×Z_q→{0，1}^l，l是安全参数，随机选取整数x∈Z_q(Z_q为模为q的加法群)作为系统私钥秘密保存，然后计算Y＝xP得到系统公钥，系统的公开参数为(G，q，Z_q，P，H₁，H₂，l，Y)。基站为网络节点ID生成长期私钥：基站首先随机选取另一个整数k∈Z_q，计算并安全发送给节点ID：r_ID＝kP和s_ID＝k+H₁(ID，r_ID)x，(r_ID，s_ID)就是节点ID的长期私钥；

网络中任意两个节点A和B(分别用A和B表示这两个节点)通过如下协商协议产生会话密钥：

节点A和B的私钥分别为(r_A，s_A)和(r_B，s_B)，节点A和B进行如下操作：

(1)消息发送：节点A选取随机整数t_A∈Z_q，计算u_A＝t_AP，然后将(A，r_A，u_A)发送给节点B，同样节点B选取随机整数t_B∈Z_q，计算u_B＝t_BP，然后将(B，r_B，u_B)发送给节点A；

(2)计算：节点A收到(B，r_B，u_B)后计算z₁＝(t_A+s_A)(u_Br_BYH₁(B，r_B))，z₂＝t_Au_B和Z＝H₂(z₁，z₂)，删掉除会话密钥Z之外的所有临时信息；同样节点B收到(A，r_A，u_A)后计算z₁＝(t_B+s_B)(u_Ar_AYH₁(A，r_A))，z₂＝t_Bu_A和Z＝H₂(z₁，z₂)，删掉除会话密钥Z之外的所有临时信息。

所述会话密钥具有一致性的验证方法如下：

z₁＝(t_A+s_A)(u_Br_BYH₁(B，r_B))＝(t_B+s_B)(u_Ar_AYH₁(A，r_A))＝(t_A+s_A)(t_B+s_B)P，

z₂＝t_Au_B＝t_Bu_A＝t_At_BP。

本发明采用MTI协议族的“隐式认证”的思想(将通信方的长、短期公私钥结合来设计会话密钥，而且由于认证和密钥协商过程结合在一起，因此大大提高了协议的通信和计算效率)，基于常规的椭圆曲线上的任意素数阶循环群，构造了新的无双线性对运算的基于身份的认证密钥协商协议，与现有的协议相比，不仅该协议的安全性更高，而且运行效率更快。由于新协议使用常规椭圆曲线上阶更小的循环群，而不是要求更高的构造双线性对所需的群，因此其运行效率更高：它的计算效率和所需带宽是基本Diffie-Hellman协议的两倍，与公钥密码中著名的最高效的认证Diffie-Hellman协议MQV相当，但却不需要进行公钥和证书的传输与验证；而且我们基于椭圆曲线上的Diffie-Hellman困难问题，在CK2005模型下证明了新协议的安全性；此外，由于新协议使用常规椭圆曲线，因此能够对椭圆曲线上的运算使用现有的进一步优化算法，以提高运行效率。

具体实施方式

本发明传感器网络会话密钥建立方法如下：

传感器网络中基站负责为节点生成和安全分发长期私钥，基站选取椭圆曲线上阶为q的循环群G，P是G的生成元，两个Hash函数：H₁：{0，1}^*→Z_q，H₂：Z_q×Z_q→{0，1}^l，l是安全参数，随机选取整数x∈Z_q(Z_q为模为q的加法群)作为系统私钥秘密保存，然后计算Y＝xP得到系统公钥，系统的公开参数为(G，q，Z_q，P，H₁，H₂，l，Y)。基站为网络节点ID生成长期私钥：基站首先随机选取另一个整数k∈Z_q，计算并安全发送给节点ID：r_ID＝kP和s_ID＝k+H₁(ID，r_ID)x，(r_ID，s_ID)就是节点ID的长期私钥；

网络中任意两个节点A和B(分别用A和B表示这两个节点)通过如下协商协议产生会话密钥：

节点A和B的私钥分别为(r_A，s_A)和(r_B，s_B)，节点A和B进行如下操作：

(1)消息发送：节点A选取随机整数t_A∈Z_q，计算u_A＝t_AP，然后将(A，r_A，u_A)发送给节点B，同样节点B选取随机整数t_B∈Z_q，计算u_B＝t_BP，然后将(B，r_B，u_B)发送给节点A；

(2)计算：节点A收到(B，r_B，u_B)后计算z₁＝(t_A+s_A)(u_Br_BYH₁(B，r_B))，z₂＝t_Au_B和Z＝H₂(z₁，z₂)，删掉除会话密钥Z之外的所有临时信息；同样节点B收到(A，r_A，u_A)后计算z₁＝(t_B+s_B)(u_Ar_AYH₁(A，r_A))，z₂＝t_Bu_A和Z＝H₂(z₁，z₂)，删掉除会话密钥Z之外的所有临时信息。

所述会话密钥具有一致性的验证方法如下：

z₁＝(t_A+s_A)(u_Br_BYH₁(B，r_B))＝(t_B+s_B)(u_Ar_AYH₁(A，r_A))＝(t_A+s_A)(t_B+s_B)P，

z₂＝t_Au_B＝t_Bu_A＝t_At_BP。

安全性比较

通常密钥协商协议所需要的安全属性包括：已知密钥安全(known-key secrecy，KKS)、无密钥控制(NO key control，NKC)、抗短期私钥揭露攻击(ephemeral keys’leakage attack resistance，EKLAR)、抗假冒攻击(impersonation attack resistance，IAR)、抗未知密钥共享(unknown key share resistance，UKSR)、前向安全性(forward secrecy，FS)、主密钥前向安全(m-FS)和抗密钥泄露伪装(key compromise impersonation resistance，KCIR)。本文对现有的传感器网络中基于身份的密钥建立协议和无双线性对的密钥建立协议的安全性进行了比较，结果如表1。

表1协议安全性比较

效率比较

网络初始化和节点私钥生成主要由基站运行，各协议间的差别体现在密钥协商阶段。本文根据文献[14，15]给出的各基本运算的参考计算成本(点乘运算的成本为1，其它运算以此为参照：双线性对e：G×G→G_T和指数运算的计算复杂度分别是点乘运算的约20倍和3倍)，对现有无线传感器网络密钥协商协议的计算和通信效率进行了比较。本文也对协议中每个节点所需发送的消息长度进行了比较。根据文献[20]中超奇异椭圆曲线80比特安全级别G和G_T上元素的长度分别为512比特和1024比特，比较结果如表2所示。比较结果表明与现有的相关协议相比，本文提出的WSN-IBAKE协议在计算效率和通信效率方面性能都较好，而且其安全性更高。

表2协议性能比较

Claims (2)

1.一种传感器网络会话密钥建立方法，其特征在于所述方法如下：

传感器网络中基站负责为节点生成和安全分发长期私钥，基站选取椭圆曲线上阶为q的循环群G，P是G的生成元，两个Hash函数：H₁：{0，1}^*→Z_q，H₂：Z_q×Z_q→{0，1}^l，l是安全参数，随机选取整数x∈Z_q，Z_q为模为q的加法群，x作为系统私钥秘密保存，然后计算Y＝xP得到系统公钥，系统的公开参数为(G，q，Z_q，P，H₁，H₂，l，Y)。基站为网络节点ID生成长期私钥：基站首先随机选取另一个整数k∈Z_q，计算并安全发送给节点ID：r_ID＝kP和s_ID＝k+H₁(ID，r_ID)x，(r_ID，s_ID)就是节点ID的长期私钥；

网络中任意两个节点A和B通过如下协商协议产生会话密钥：

节点A和B的私钥分别为(r_A，s_A)和(r_B，s_B)，节点A和B进行如下操作：

(1)消息发送：节点A选取随机整数t_A∈Z_q，计算u_A＝t_AP，然后将(A，r_A，u_A)发送给节点B，同样节点B选取随机整数t_B∈Z_q，计算u_B＝t_BP，然后将(B，r_B，u_B)发送给节点A；

(2)计算：节点A收到(B，r_B，u_B)后计算z₁＝(t_A+s_A)(u_Br_BYH₁(B，r_B))，z₂＝t_Au_B和Z＝H₂(z₁，z₂)，删掉除会话密钥Z之外的所有临时信息；同样节点B收到(A，r_A，u_A)后计算z₁＝(t_B+s_B)(u_Ar_AYH₁(A，r_A))，z₂＝t_Bu_A和Z＝H₂(z₁，z₂)，删掉除会话密钥Z之外的所有临时信息。

2.根据权利要求1所述的传感器网络会话密钥建立方法，其特征在于所述会话密钥具有一致性的验证方法如下：

z₁＝(t_A+s_A)(u_Br_BYH₁(B，r_B))＝(t_B+s_B)(u_Ar_AYH₁(A，r_A))＝(t_A+s_A)(t_B+s_B)P，

z₂＝t_Au_B＝t_Bu_A＝t_At_BP。