CN102750129B - 云计算中的安全模指数外包计算方法 - Google Patents

Abstract

本发明公开了一种云计算中的安全模指数外包计算方法，需要外包计算的用户T先调用提高计算速度的子程序Rand，然后把模指数计算交给外包计算中的第一个服务器U₁和外包计算中的第二个服务器U₂；模指数外包方法不能让敌手A从模指数外包方法的输入和输出中得到任何有用的信息；设p，q是两个大素数且q|p-1，即q整除p-1，模指数外包方法的输入是和且u^q＝1modp，这里u是任意一个底数，a是任意一个指数，Z_q ^*表示有限域Z_q去掉零元素后的乘法群，模指数外包方法的输出为u^a modp，a和u是保密的，从而U₁和U₂无法计算出a和u。模指数外包方法为资源受限的个人和企业在软硬件及其维护上节省了大量开销。

Description

云计算中的安全模指数外包计算方法

技术领域

本发明属于云计算安全领域，涉及外包计算，具体地说是提出了一种新的安全模指数外包计算方法，可用于实现云计算中安全而有效的模指数外包计算。

背景技术

从效用计算的长远角度来看，云计算旨在使用户可以通过网络方便地、按需地访问一个集中的、可配置的动态计算资源池。作为云计算所提供的最吸引人的服务之一，外包计算使得资源受限的企业或个人能够用按需支付的方式把大量的计算交给云服务器来处理。因此，企业能够在软硬件及其维护上节省大量开销。

尽管外包计算给人们带来了巨大的利益，但是它也存在一些新的安全问题和挑战。第一，云服务器不是完全可信的。实际上，在云计算模式下不可能为外包计算找到一个可信的服务器。另一方面，外包的计算任务经常包含了一些不应该暴露给服务器的敏感信息。因此，外包计算的首要安全问题是它的计算资源的隐私性：云服务器不应该知道任何关于实际计算资源的信息，包括对计算的输入输出的保密。而加密技术不能完全解决这个问题，因为服务器很难对加密的信息做有意义的计算。第二，半可信的云服务器可能返回一个错误的结果，例如，服务器可能存在软件上的漏洞。此外，由于经济报酬上的激励不足，服务器可能会减少计算的次数，以致返回一个错误的结果。因此，外包计算的第二个安全问题是它的计算结果的可检验性：需要外包的用户能够检测云服务器执行后的结果是否错误。检测的过程不应该是一些其它复杂的计算，因为很多计算资源有限的设备，如RFID标签，智能卡等都不能执行这种检测。

在密码学领域，安全外包计算得到了广泛而深入的研究。Chaum和Pedersen第一次引入了“带监测器的电子钱包”的思想：在客户的设备上安装一款硬件，它能在每一次交易中做一些有用计算。Golle和Mironov首先引入了套环的概念，进而巧妙地实现了在外包计算中检验像求单向函数逆这类计算的完成情况。Hohenberger和Lysyanskaya提出了外包加密计算的安全模型，并引入了第一个模指数安全外包计算方法，我们称其为HL方法。

发明内容

本发明所要解决的技术问题是针对现有技术的不足提供一种新的安全模指数外包计算方法，以实现云计算中安全而有效的模指数外包计算，为资源受限的个人和企业在软硬件及其维护上节省开销。

本发明的技术方案如下：

一种云计算中的安全模指数外包计算方法，需要外包计算的用户T先调用提高计算速度的子程序Rand，然后把模指数计算交给外包计算中的第一个服务器U₁和外包计算中的第二个服务器U₂；模指数外包方法不能让敌手A从模指数外包方法的输入和输出中得到任何有用的信息；设p，q是两个大素数且q|p-1，即q整除p-1，模指数外包方法的输入是和且u^q＝1mod p，这里u是任意一个底数，a是任意一个指数，表示有限域Z_q去掉零元素后的乘法群，模指数外包方法的输出为u^amod p，a和u是保密的，从而U₁和U₂无法计算出a和u。

所述的安全模指数外包计算方法，包括以下步骤：

步骤1、调用提高计算速度的子程序：

为了用外包计算中的第一个服务器U₁和外包计算中的第二个服务器U₂来实现模指数外包方法，需要外包计算的用户T首先要调用提高计算速度的子程序来生成两个对(α，g^α)和(β，g^β)，记v＝g^αmod p，μ＝g^βmod p；

步骤2、逻辑拆分：

第一个逻辑拆分：

u^a＝(vw)^a＝g^αaw^a＝g^βg^γw^a，

其中w＝u/v，γ＝aα-β；

第二个逻辑拆分：

u^a＝g^βg^γw^a＝g^βg^γw^k+l＝g^βg^γw^kw^l，

其中l＝a-k；

步骤3、调用提高计算速度的子程序：

需要外包计算的用户T调用提高计算速度的子程序得到三个对和

步骤4、对计算服务器的请求：

需要外包计算的用户T以任意次序对服务器U₁进行如下请求：

即向U₁输入t₂/t₁和输出mod p，

$U_1(\mathrm{\γ}/t_3,g^{t_3})\→g^{\mathrm{\γ}},$

U₁(l，w)→w^l；

需要外包计算的用户T以任意次序对服务器U₂进行如下请求：

$U_2(t_2/t_1,g^{t_1})\→g^{t_2},$

$U_2(\mathrm{\γ}/t_3,g^{t_3})\→g^{\mathrm{\γ}},$

U₂(k，w)→w^k；

步骤5、检测并计算出结果：

需要外包计算的用户T检测服务器U₁和服务器U₂是否输出正确的结果，即判断 $g^{t_2}=U_1(t_2/t_1,g^{t_1})=U_2(t_2/t_1,g^{t_1})$ 和 $U_1(\mathrm{\γ}/t_3,g^{t_3})=U_2(\mathrm{\γ}/t_3,g^{t_3})$ 是否同时成立；如果其中一个等式不成立，就输出失败；否则，需要外包计算的用户(T)就计算u^a＝μg^γw^kw^l。

所述的安全的同时模指数外包计算方法，包括以下步骤：

步骤1、调用提高计算速度的子程序：

需要外包计算的用户T首先调用提高计算速度的子程序得到两个对(α，g^α)和(β，g^β)，记v＝g^αmod p，μ＝g^βmod p；

步骤2、逻辑拆分：

第一次逻辑拆分：

$u_1^a{u}_2^b={\left({\mathrm{vw}}_1\right)}^a{\left({\mathrm{vw}}_2\right)}^b=g^{\mathrm{\β}}{g}^{\mathrm{\γ}}{w_1}^a{w_2}^b,$

其中w₁＝u₁/v，w₂＝u₂/v，γ＝(a+b)α-β；

第二次逻辑拆分：

$u_1^a{u}_2^b=g^{\mathrm{\β}}{g}^{\mathrm{\γ}}{w_1}^a{w_2}^b=g^{\mathrm{\β}}{g}^{\mathrm{\γ}}{w_1}^k{w_1}^l{w_2}^s{w_2}^t,$

其中l＝a-k和s＝b-t；

步骤3、调用提高计算速度的子程序：

需要外包计算的用户T调用提高计算速度的子程序得到三个对和

步骤4、对计算服务器的请求：

需要外包计算的用户T以任意次序对U₁进行如下请求：

$U_1(t_2/t_1,g^{t_1})\→g^{t_2},$

$U_1(\mathrm{\γ}/t_3,g^{t_3})\→g^{\mathrm{\γ}},$

$U_1(k,w_1)\→w_1^k,$

$U_1(t,w_2)\→w_2^t;$

需要外包计算的用户T以任意次序对U₂进行如下请求：

$U_2(t_2/t_1,g^{t_1})\→g^{t_2},$

$U_2(\mathrm{\γ}/t_3,g^{t_3})\→g^{\mathrm{\γ}},$

$U_2(l,w_1)\→w_1^l,$

$U_2(s,w_2)\→w_2^s;$

步骤5、检测并计算出结果：

需要外包计算的用户T检测U₁和U₂是否输出正确的结果，即判断 $g^{t_2}=U_1(t_2/t_1,g^{t_1})=U_2(t_2/t_1,g^{t_1})$ 和 $U_1(\mathrm{\γ}/t_3,g^{t_3})=U_2(\mathrm{\γ}/t_3,g^{t_3})$ 是否同时成立；如果其中一个不成立，就输出失败；否则，需要外包计算的用户(T)就计算μg^γw₁ ^kw₁ ^lw₂ ^sw₂ ^t。

本发明的模指数外包方法(Exp)基于Hohenberger和Lysyanskaya提出的模指数外包计算方法(HL方法)做了进一步改进，并引入了第二个模指数安全外包计算方法，较HL方法它的效率和可检验性更高。在实际应用中，广泛使用的基于加密和签名方法的各种协议涉及到大量的模指数运算，因此，模指数外包方法为个人和企业在软硬件及其维护上节省了大量开销。

附图说明

图1为本发明系统结构示意图；

图2为本发明方法流程图。

具体实施方式

以下结合具体实施例，对本发明进行详细说明。

实施例1

参考图1，类似于HL方法，本发明的模指数外包方法Exp也用到两个服务器，采用的安全模型允许一个恶意服务器。在模指数外包方法(Exp)中，参考图2，需要外包计算的用户(T)先调用提高计算速度的子程序(Rand)，然后把模指数计算交给外包计算中的第一个服务器U₁和外包计算中的第二个服务器U₂。模指数外包方法(Exp)不能让敌手A从模指数外包方法(Exp)的输入和输出中得到任何有用的信息。设p，q是两个大素数且q|p-1。模指数外包方法(Exp)的输入是和且u^q＝1mod p，这里u是任意一个底数，a是任意一个指数。模指数外包方法(Exp)的输出为u^amod p，a和u是保密的，从而U₁和U₂无法计算出a和u。

实施例2、安全模指数外包方法Exp

与Hohenberger和Lysyanskaya提出的模指数外包计算方法(HL方法)一样，U_i(x，y)→y^x表示向U_i输入(x，y)以得到y^x mod p，i＝1，2。设p，q是两个大素数且q|p-1。模指数外包方法(Exp)的输入是和且u^q＝1mod p，这里u是任意一个底数，a是任意一个指数。模指数外包方法(Exp)的输出为u^amod p，a和u是保密的，从而外包计算中的第一个服务器(U₁)和外包计算中的第二个服务器(U₂)无法计算出a和u。

方法的实现过程如下：

步骤1、调用提高计算速度的子程序。为了用外包计算中的第一个服务器(U₁)和外包计算中的第二个服务器(U₂)来实现模指数外包方法(Exp)，需要外包计算的用户(T)首先要调用提高计算速度的子程序来生成两个(两次调用)对(α，g^α)和(β，g^β)，记v＝g^αmod p，μ＝g^βmod p。

Exp的核心思想是将a，u拆分成看似随机的数，服务器U₁和服务器U₂无法通过这些数计算出a和u。

步骤2、逻辑拆分

第一个逻辑拆分：

u^a＝(vw)^a＝g^αaw^a＝g^βg^γw^a，

其中w＝u/v，γ＝aα-β。

第二个逻辑拆分：

u^a＝g^βg^γw^a＝g^βg^γw^k+l＝g^βg^γw^kw^l，

其中l＝a-k。

步骤3、调用提高计算速度的子程序

需要外包计算的用户(T)调用提高计算速度的子程序来得到三个对 和

步骤4、对计算服务器的请求

4.1需要外包计算的用户(T)以任意次序对服务器U₁进行如下请求：

(即向U₁输入t₂/t₁和输出mod p，)

$U_1(\mathrm{\γ}/t_3,g^{t_3})\→g^{\mathrm{\γ}},$

U₁(l，w)→w^l。

4.2需要外包计算的用户(T)以任意次序对服务器U₂进行如下请求：

$U_2(t_2/t_1,g^{t_1})\→g^{t_2},$

$U_2(\mathrm{\γ}/t_3,g^{t_3})\→g^{\mathrm{\γ}},$

U₂(k，w)→w^k。

步骤5、检测并计算出结果

需要外包计算的用户(T)检测服务器U₁和服务器U₂是否输出正确的结果，即判断 $g^{t_2}=U_1(t_2/t_1,g^{t_1})=U_2(t_2/t_1,g^{t_1})$ 和 $U_1(\mathrm{\γ}/t_3,g^{t_3})=U_2(\mathrm{\γ}/t_3,g^{t_3})$ 是否同时成立。如果其中一个等式不成立，就输出失败；否则，需要外包计算的用户(T)就计算u^a＝μg^γw^kw^l。

性能比较：

表1是Hohenberger和Lysyanskaya提出的模指数外包计算方法(HL方法)和模指数外包方法(Exp)方法在效率和可验证方面的比较，这里不考虑模加运算。

表1 HL方法和Exp方法比较

由表1可以看出，模指数外包方法(Exp)方法在效率和安全性上优于HL方法。Exp方法在模乘、模逆运算和对提高计算速度的子程序、U₁、U₂调用次数上比HL方法少，但在可验证性上却比Hohenberger和Lysyanskaya提出的模指数外包计算方法(HL方法)强。模指数运算是基于离散对数加密协议的最基础的运算，每天都有上亿的模指数运算需要外包给云服务器来执行。因此，我们提出的模指数外包方法(Exp)方法能为需要外包计算的用户和外包服务器节省巨大的计算资源。

实施例3、同时的模指数外包方法SExp

在允许一个恶意服务器的模型中，我们提出一个更有效的同时的模指数外包计算方法(SExp)。设p，q是两个大素数且q|p-1。以任意两个底数u1，和任意两个指数a，为输入，同时的模指数外包计算方法(SExp)输出mod p。

方法的实现过程如下：

步骤1、调用提高计算速度的子程序

需要外包计算的用户(T)首先调用提高计算速度的子程序得到两个对(α，g^α)和(β，g^β)，记v＝g^αmod p，μ＝g^βmod p。

步骤2、逻辑拆分

第一次逻辑拆分：

$u_1^a{u}_2^b={\left({\mathrm{vw}}_1\right)}^a{\left({\mathrm{vw}}_2\right)}^b=g^{\mathrm{\β}}{g}^{\mathrm{\γ}}{w_1}^a{w_2}^b,$

其中w₁＝u₁/v，w₂＝u₂/v，γ＝(a+b)α-β。

第二次逻辑拆分：

$u_1^a{u}_2^b=g^{\mathrm{\β}}{g}^{\mathrm{\γ}}{w_1}^a{w_2}^b=g^{\mathrm{\β}}{g}^{\mathrm{\γ}}{w_1}^k{w_1}^l{w_2}^s{w_2}^t,$

其中l＝a-k和s＝b-t。

步骤3、调用提高计算速度的子程序

需要外包计算的用户(T)调用提高计算速度的子程序得到三个对和

步骤4、对计算服务器的请求

4.1需要外包计算的用户(T)以任意次序对U₁进行如下请求：

$U_1(t_2/t_1,g^{t_1})\→g^{t_2},$

$U_1(\mathrm{\γ}/t_3,g^{t_3})\→g^{\mathrm{\γ}},$

$U_1(k,w_1)\→w_1^k,$

$U_1(t,w_2)\→w_2^t.$

4.2需要外包计算的用户(T)以任意次序对U₂进行如下请求：

$U_2(t_2/t_1,g^{t_1})\→g^{t_2},$

$U_2(\mathrm{\γ}/t_3,g^{t_3})\→g^{\mathrm{\γ}},$

$U_2(l,w_1)\→w_1^l,$

$U_2(s,w_2)\→w_2^s.$

步骤5、检测并计算出结果

需要外包计算的用户(T)检测U₁和U₂是否输出正确的结果，即判断 $g^{t_2}=U_1(t_2/t_1,g^{t_1})=U_2(t_2/t_1,g^{t_1})$ 和 $U_1(\mathrm{\γ}/t_3,g^{t_3})=U_2(\mathrm{\γ}/t_3,g^{t_3})$ 是否同时成立。如果其中一个不成立，就输出失败；否则，需要外包计算的用户(T)就计算μg^γw₁ ^kw₁ ^lw₂ ^sw₂ ^t。

性能比较：

同时的模指数外包计算方法(SExp)在每次同时的模指数运算中只需要10模乘运算(MM)，4模逆运算(Minv)，5次调用提高计算速度的子程序，和4次外包计算中的第一个服务器(U₁)和外包计算中的第二个服务器(U₂)调用。因此，同时的模指数外包计算方法(SExp)比两次调用模指数外包方法(Exp)运算所花费的计算资源少。表2是同时的模指数外包计算方法(SExp)和Hohenberger和Lysyanskaya提出的模指数外包计算方法(HL方法)的比较。

所花费的计算资源相当。

表2 HL方法和SExp方法比较

应当理解的是，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，而所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (1)

1.一种云计算中的安全模指数外包计算方法，其特征在于，需要外包计算的用户T先调用提高计算速度的子程序Rand，然后把模指数计算交给外包计算中的第一个服务器U₁和外包计算中的第二个服务器U₂；模指数外包方法不能让敌手A从模指数外包方法的输入和输出中得到任何有用的信息；设p，q是两个大素数且q|p-1，模指数外包方法的输入是和且u^q＝1mod p，这里u是任意一个底数，a是任意一个指数，模指数外包方法的输出为u^amod p，a和u是保密的，从而U₁和U₂无法计算出a和u，

包括以下步骤：

步骤1、调用提高计算速度的子程序：为了用外包计算中的第一个服务器U₁和外包计算中的第二个服务器U₂来实现模指数外包方法，需要外包计算的用户T首先要调用提高计算速度的子程序Rand来生成两个对(α，g^α)和(β，g^β)，记v＝g^αmod p，μ＝g^βmod p；

步骤2、逻辑拆分：

第一个逻辑拆分：

$u^a={\left(\mathrm{vw}\right)}^a=g^{\mathrm{\αa}}{w}^a=g^{\mathrm{\β}}{g}^{\mathrm{\γ}}{w}^a,$

其中w＝u/v，γ＝aα-β；

第二个逻辑拆分：

u^a＝g^βg^γw^a＝g^βg^γw^k+l＝g^βg^γw^kw^l，

其中l＝a-k；

步骤3、调用提高计算速度的子程序：

需要外包计算的用户T调用提高计算速度的子程序Rand得到三个对和

步骤4、对计算服务器的请求：

需要外包计算的用户T以任意次序对服务器U₁进行如下请求：

即向U₁输入t₂/t₁和输出

$U_1(\mathrm{\γ}/t_3,g^{t_3})\→g^{\mathrm{\γ}},$

U₁(l，w)→w^l；

需要外包计算的用户T以任意次序对服务器U₂进行如下请求：

$U_2(t_2/t_1,g^{t_1})\→g^{t_2},$

$U_2(\mathrm{\γ}/t_3,g^{t_3})\→g^{\mathrm{\γ}},$

U₂(k，w)→w^k；

步骤5、检测并计算出结果：

需要外包计算的用户T检测服务器U₁和服务器U₂是否输出正确的结果，即判断 $g^{t_2}=U_1(t_2/t_1,g^{t_1})=U_2(t_2/t_1,g^{t_1})$ 和 $U_1(\mathrm{\γ}/t_3,g^{t_3})=U_2(\mathrm{\γ}/t_3,g^{t_3})$ 是否同时成立；如果其中一个等式不成立，就输出失败；否则，需要外包计算的用户T就计算u^a＝μg^γw^kw^l；

或者，包括以下步骤：

步骤1、调用提高计算速度的子程序：

需要外包计算的用户T首先调用提高计算速度的子程序Rand得到两个对(α，g^α)和(β，g^β)，记v＝g^αmod p，μ＝g^βmod p；

步骤2、逻辑拆分：

第一次逻辑拆分：

$u_1^a{u}_2^b={\left({\mathrm{vw}}_1\right)}^a{\left({\mathrm{vw}}_2\right)}^b=g^{\mathrm{\β}}{g}^{\mathrm{\γ}}{w_1}^a{w_2}^b,$

其中w₁＝u₁/v，w₂＝u₂/v，γ＝(a+b)α-β；

第二次逻辑拆分：

$u_1^a{u}_2^b=g^{\mathrm{\β}}{g}^{\mathrm{\γ}}{w_1}^a{w_2}^b=g^{\mathrm{\β}}{g}^{\mathrm{\γ}}{w_1}^k{w_1}^l{w_2}^s{w_2}^t,$

其中l＝a-k和s＝b-t；

步骤3、调用提高计算速度的子程序：

需要外包计算的用户T调用提高计算速度的子程序Rand得到三个对和

步骤4、对计算服务器的请求：

需要外包计算的用户T以任意次序对U₁进行如下请求：

$U_1(t_2/t_1,g^{t_1})\→g^{t_2},$

$U_1(\mathrm{\γ}/t_3,g^{t_3})\→g^{\mathrm{\γ}},$

$U_1(k,w_1)\→w_1^k,$

$U_1(t,w_2)\→w_2^t;$

需要外包计算的用户T以任意次序对U₂进行如下请求：

$U_2(t_2/t_1,g^{t_1})\→g^{t_2},$

$U_2(\mathrm{\γ}/t_3,g^{t_3})\→g^{\mathrm{\γ}},$

$U_2(l,w_1)\→w_1^l,$

$U_2(s,w_2)\→w_2^s;$

步骤5、检测并计算出结果：

需要外包计算的用户T检测U₁和U₂是否输出正确的结果，即判断 $g^{t_2}=U_1(t_2/t_1,g^{t_1})=U_2(t_2/t_1,g^{t_1})$ 和 $U_1(\mathrm{\γ}/t_3,g^{t_3})=U_2(\mathrm{\γ}/t_3,g^{t_3})$ 是否同时成立；如果其中一个不成立，就输出失败；否则，需要外包计算的用户T就计算μg^γw₁ ^kw₁ ^lw₂ ^sw₂ ^t。