CN103595526A - 一种基于区组设计的容错性密钥协商方法 - Google Patents

Abstract

本发明公开了一种基于区组设计的容错性密钥协商方法，将区组设计技术应用于密钥协商当中，利用双线性映射和基于身份的加密技术，使密钥协商方法拥有高效的运行性能和高效的容错能力，并使其在动态环境中拥有良好的扩展性能。本发明包括构建对称平衡不完全区组步骤和两轮密钥协商步骤，借助对称平衡不完全区组设计来平衡每个参与者对共同密钥的贡献，任何参与者都不能强迫密钥被预先选择或预测密钥，具有很高的安全性。此外，解决差别密钥攻击，使得当恶意参与者使用两种不同的子密钥时，本方法仍能将其识别和剔除。剔除恶意参与者后，还能利用空参与者来替代被删除的恶意参与者迅速进行新的密钥协商，具有良好的扩展性。

Description

一种基于区组设计的容错性密钥协商方法

技术领域

本发明属于信息安全技术领域，尤其是涉及一种基于区组设计的容错性密钥协商方法。

背景技术

随着密钥协商技术的不断发展，协商方法的容错性受到了越来越多的关注和研究。在实际应用中，随着协商参与者的增多，将不可避免的出现某些恶意参与者。恶意参与者有可能会延迟或破坏会话密钥的生成，进而阻止会话的建立。当前绝大多数密钥协商方法都是建立在诚实可信的参与者的基础上，一旦有恶意参与者存在，或者某些诚实可信的参与者由于俘获攻击（物理攻击）变成了恶意参与者，那么协商将会失效，会话将会延迟或中断，在某些应急的应用领域将导致严重的后果和巨大的损失。密钥协商方法的容错性旨在识别协商中的恶意参与者，并将其剔除，从而重新生成得到新的会话密钥。

为了克服和缓解恶意参与者所带来的危害，2000年Tzeng和Kim等人分别提出了两种容错性的密钥协商方法。2002年Tzeng对协商方法进行了完善，其本质是通过验证协商参与者的签名来识别和剔除恶意参与者。然而，上述协商方法均无法抵御恶意参与者的差别密钥攻击，恶意参与者往往利用差别密钥攻击来延迟或者破坏最终会话密钥的建立，通过使用两种不同的子密钥，使得协商方法无法识别恶意参与者，也就无法从根本上容错。2004年Kim等人提出了基于树结构的组密钥协商方法，其本质是利用树形结构的特点构造Tree-basedGroup Diffie-Hellman(TGDH)，进而在此基础上提供密钥协商和容错能力。Zhou等人也提出了一个可认证的基于树的容错性密钥协商方法（AFTD）。Zhou等人的方法拥有更好的运行性能，尤其是减少了通信开销和存储开销。然而，该方法仍然是基于树的。由于树形结构有其本身的局限性，维护和管理也会增加额外的消耗。2004年，Yi应用韦伊对提出了基于身份的容错性密钥协商方法。该方法克服了文献的安全性缺陷，能够抵御差别密钥攻击，且并没有通过树形结构或层级结构来运行密钥的协商，提高了协商的有效性，减少了通信开销。然而Yi的方法需要一个名为会议桥的中央控制者的介入，协商过程中，所有参与者都必须和会议桥进行联系，这使得协商的计算开销增加并缺乏灵活性。虽然会议桥被定义为一个半可信任的第三方实体，但它仍然具有密钥泄露的风险。

密钥协商方法已从最开始的双方密钥协商方法扩展至多方密钥协商方法，因此当前密钥协商方法的研究必须考虑协商的容错能力。协商参与者的增多必将导致恶意参与者的出现，如何高效地发现和识别恶意参与者，如何高效地剔除恶意参与者，如何高效地在剩余可信的参与者之间重新协商生成密钥，以及如何抵御差别密钥攻击，已成为亟待解决的问题。密钥协商的安全性已不仅仅局限于形式化安全模型下的可证明安全性和参与实体之间的可认证性，而是更多的需要保证协商过程中的容错性。虽然近些年密钥协商的容错性已得到一定程度的关注，但如何实现协商高效的容错能力、快速的恢复能力以及抵御差别密钥攻击的能力仍未得到深入的研究，这将严重限制密钥协商的实际应用，并有可能导致高层会话的延迟、破坏以及泄密。

发明内容

针对现有密钥协商方法的种种不足，本发明公开了一种基于区组设计的容错性密钥协商方法，将区组设计技术应用于密钥协商当中，利用双线性映射和基于身份的加密技术，使协商方法拥有高效的运行性能和高效的容错能力，并使其在动态环境中拥有良好的扩展性能。

为了达到上述目的，本发明提供如下技术方案：

一种基于区组设计的容错性密钥协商方法，包括如下步骤：

（1）初始化步骤：

KGC计算自己的公钥并公开发布，KGC计算各用户U_i的私钥后通过安全信道传送给U_i，KGC计算用于认证的信息后将其分发给所有用户；

（2）两轮密钥协商步骤：

（2.1）根据具体应用环境选定参数v,k,λ,使其满足特定的数学公式λ(v-1)=k(k-1)，构建(v,k,λ)-design关联矩阵，其中v为参与者的数量；

（2.2）关联矩阵的行对应协商参与者，针对每个参与者，接收同一行中值为1的其他参与者的信息并进行计算；关联矩阵的列对应协商参与者，针对每个参与者，接收同一列中值为1的其他参与者的信息计算密钥；协商生成的共同密钥为：

其中，r_i为用户自己的密钥，

为用户信息，

表示韦伊对运算l_ji表示对应的关联矩阵第j行第i列的值。

（3）两轮身份认证步骤：针对每个参与者，对同一行中值为1的其他参与者进行认证；针对每个参与者，对同一列中值为1的其他参与者进行认证；

作为本发明的改进，当参与者的数目无法满足既定的数学公式λ(v-1)=k(k-1)时，补充空参与者填补参与者数量的不足，使v、k、λ重新满足条件。

所述步骤（1）具体包括：

KGC选择G₁、G₂、H₁、H₂、p、q、p^*、q^*，e_i、

计算自己的公钥

并公开发布{p,q,G₁,G₂,

H₁,H₂}，KGC计算用户U_i的私钥

并将用户U_i的私钥通过安全信道传送给U_i，KGC计算n=p^*q^*，为每个用户U_i选择一个整数e_i，并将(e_i,n)分发给所有用户；

其中，G₁和G₂为两个质数阶的组，为韦伊对运算，H₁和H₂为两个哈希函数，分别为H₁:H₂:

为KGC自己选定的私钥，

为G₁的生成元，p、q、p^*、q^*为质数；Q_i=H₁(ID_i)，ID_i∈{0,1}^*，e_i与(p^*-1)(q^*-1)互质；

所述步骤（2.2）具体包括：

每个用户U_i选择一个随机数r_i作为每次会话用户自己的密钥，并计算

同时，U_i计算其中

Y_i=H₂(ID_i)，t_i为时间戳；用户U_i接收用户U_j的信息D_j并进行计算，其中

l_ij=1且j≠i，即j∈B_i-{i}；

用户U_i接收用户U_j的信息E_ji，其中

l_ji=1且j≠i，最终得到共同协商密钥为：

所述步骤（3）具体包括：

用户U_i接收用户U_j的信息D_j，其中l_ij=1且j≠i，即j∈B_i-{i}，

U_i计算得到

mod n,j∈B_i-{i}，并计算

其中

若

成立则U_i可以认证U_j；

用户U_i接收用户U_j的信息E_ji，l_ji=1且j≠i，U_i计算得到

mod n,l_ji=1 and j≠i，并计算

其中

如果

则U_i可以认证U_j。

作为本发明的改进，所述初始化阶段中KGC还需要选择一个整数

并进行发布；在密钥协商阶段用户U_i计算

并将

提交给KGC，在所有步骤之后还包括容错验证步骤：

KGC广播其中N=H₂(ID₁,ID₂,…,ID_v,ID_KGC,t)，每个参与者均计算下述公式是否成立：

其中g由KGC在初始化阶段选择并在发布公钥时统一公开发布；当有参与者不满足等式

时，则进行恶意参与者的甄别与筛除；当筛除所有的恶意参与者后，补充进空参与者代替原有的恶意参与者，KGC在参与者中重新生成N^*，并重新启动秘钥协商。

作为一种优选，所述恶意参与者的甄别与筛除包括：用户U_j请求KGC再次发送并计算

是否成立，如果

仍不成立，且不成立次数超过预先设定的门槛值τ，则用户U_j向KGC报告错误后进行侦错步骤。

所述的侦错步骤具体包括：KGC收到来自用户U_j的错误报告

后，检查等式是否成立：

如果

不成立，KGC向U_j返回一个错误通知，然后U_j向KGC再次发送

如果U_j在△t时间段内没有重新发送或者错误发生次数超过门槛值τ，则KGC认定U_j是恶意参与者并将U_j从用户名单中删除；

如果

成立，KGC向所有用户广播侦错通知，除U_j以外的所有用户向KGC提交

当KGC收到来自用户U_i的信息

之后，KGC首先检查

是否成立：

如果

不成立，KGC向U_i返回一个错误通知，然后U_i向KGC再次发送

如果U_i在△t时间段内没有重新发送或者错误发生次数超过门槛值τ，则KGC认定U_i是恶意参与者并将U_i从用户名单中删除；

如果

成立，则KGC验证由

所算得的

是否等于从用户y所接收到的（其中y满足l_yi=1,y≠i且

如果则KGC认定U_i是恶意参与者并将U_i从用户名单中删除，如果对所有用户（除U_j以外）都有

则KGC认定U_j是恶意参与者并将U_j从用户名单中删除。

与现有技术相比，本发明具有如下优点和有益效果：

1.利用对称平衡不完全区组设计技术设计密钥协商方法，每个参与者都要参与密钥协商，且每个参与者的输出都将对最终生成的共同密钥做出贡献，这就使我们可以借助对称平衡不完全区组设计来平衡每个参与者对共同密钥的贡献，因此本方法的设计有了框架保证，任何参与者都不能强迫密钥被预先选择或预测密钥，具有很高的安全性。此外，解决差别密钥攻击，使得当恶意参与者使用两种不同的子密钥时，本发明仍能将其识别和剔除。

2.当参与者的数目发生变化时，我们通过定义空参与者（empty participant）来填补数量不足，使v、k、λ重新满足条件，从而能够建立针对任一参与者数量的关联矩阵，形成通用的密钥协商框架。空参与者的应用不会增加额外的计算开销和通信开销。

3.对称平衡不完全区组设计的结构特点决定了密钥协商参与者之间的通信量可以被统一和均衡。本协商方法的通信轮数为两轮，但总的通信开销仅为

而大多数已有密钥协商方法的通信开销为O(n²)，n为用户数，本方法的通信开销小。由于协商参与者之间通信量的减少，将导致每个参与者接受到的需要计算处理的信息量减少，因此计算开销也会随之降低。

4.对称平衡不完全区组设计易于执行纠错操作和可扩展操作。由于在对称平衡不完全区组设计中信息的传播是多播形式（Multicast）而非广播形式（broadcast），因此协商的参与者可以明确相互通信的对象，进而易于相互认证，易于发现恶意参与者并执行纠错。

5.通过对共同协商密钥的验证，能够保证未遭受攻击、诚实可信的参与者永远不会被误删；任何试图延迟或破坏会话密钥的恶意参与者必须被删除，当有恶意参与者存在并被剔除时，还能利用空参与者来替代被删除的恶意参与者迅速进行新的密钥协商，具有极强的容错性和良好的扩展性。

附图说明

图1为基于区组设计的容错性密钥协商方法流程示意图；

图2为对应(7,3,1)-design的7x7关联矩阵；

图3为第一轮信息通信建立共同密钥的过程示意图；

图4为第二轮信息通信建立共同密钥的过程示意图；

图5为通过两轮信息通信建立共同密钥的算式列表；

图6为具有容错功能的基于区组设计的容错性密钥协商方法流程示意图；

图7为本方法与Yi的协商方法的性能对比示意图，其中^*n表示用户数量；w表示韦伊对运算；p表示点乘运算；e表示模指数运算，其中韦伊对运算开销>点乘运算开销>>模指数运算开销；

具体实施方式

以下将结合具体实施例对本发明提供的技术方案进行详细说明，应理解下述具体实施方式仅用于说明本发明而不用于限制本发明的范围。

本发明通过将区组设计的技术应用于容错性密钥协商方法，将区组设计的技术应用于容错性密钥协商，用以平衡各个参与者对最终共同密钥的贡献，并根据对称平衡不完全区组设计的结构特点，执行容错纠错操作。本发明应用的环境中包括密钥生成中心（KGC）和数个用户（即参与者），具体地说，如图1所示，包括如下步骤：

1、初始化阶段：

每个合法用户向密钥生成中心（KGC）注册后，KGC通过安全的信道向每个用户发布对应的私钥。私钥的生成过程如下：首先，KGC选择两个质数阶的组G₁和G₂、并选择韦伊对运算

其次，KGC选择两个哈希函数,分别为H₁:

和H₂:

最后，KGC选定一随机整数

作为KGC自己的私钥，同时计算KGC自己的公钥

其中为G₁的生成元，并发布公开{p,q,G₁,G₂,

H₁,H₂}，但是s不公开并保证s安全。每个用户U_i的身份值为ID_i∈{0,1}^*。KGC计算U_i的公钥Q_i=H₁(ID_i)，进而计算得到U_i的私钥

并将用户U_i的私钥通过安全信道传送给U_i。另外，为了能够提供认证功能，KGC还需要选择两个质数p^*和q^*，并计算n=p^*q^*；同时，KGC为每个用户U_i选择一个整数e_i，使其与(p^*-1)(q^*-1)互质，并由e_i计算出对应的d_i，使其满足e_id_i=1 mod (p^*-1)(q^*-1)。KGC将(e_i,n)分发给所有用户。用户U_i计算其中Y_i=H₂(ID_i)，并保证(d_i,X_i)安全。

2、密钥协商阶段：

首先我们根据参与者的数量，确定参数v，再根据数学公式λ(v-1)=k(k-1)，确定相应的k和λ，使其满足特定的数学公式λ(v-1)=k(k-1)，并构建(v,k,λ)-design关联矩阵。根据不同的应用环境，针对不同的参与者数目，我们可以构建不同的(v,k,λ)-design的对称平衡不完全区组设计。本例中，假定参与者为7个，我们构建一个针对7个协商参与者的(7,3,1)-design关联矩阵，如图2所示，用户数量和区组数量一样都是7。其中用户数为{1,2,3,4,5,6,7}，区组为B₁={1,2,4},B₂={2,3,5},B₃={3,4,6},B₄={4,5,7},B₅={1,5,6},B₆={2,6,7},B₇={1,3,7}。矩阵中，若第i行第j列的值为1，则表示区组i包含用户j；若第i行第j列的值为0，则表示区组i不包含用户j。

其次通过两轮信息通信建立共同密钥，如图3、图4所示：第一轮，关联矩阵的行对应协商参与者，如图3所示，参与者1将收到来自参与者2、4的信息用以计算密钥，以此类推，参与者2～6也将分别获得对应参与者的信息。第二轮，关联矩阵的列对应协商参与者，如图4所示，参与者1将收到来自参与者5、7的信息用以计算密钥，以此类推，参与者2～6也将分别获得对应参与者的信息。两轮信息的分步计算过程如图5所示。

最后在参与者1～7之间形成共同会话密钥，协商生成的共同密钥为：

其中，

为最终协商生成的共同密钥，r_i是用户自己的密钥，

为参与者i的用户信息，

表示韦伊对运算，

为用户私钥，l_ji表示对应的关联矩阵第j行第i列的值。

具体地说，第一轮协商过程为：每个用户U_i选择一个随机数r_i作为每次会话用户自己的密钥，并计算

同时，为了提供基于身份的认证，U_i还需要计算其中

Y_i=H₂(ID_i)，t_i为时间戳。用户U_i将接收用户U_j的信息D_j，这里用户U_j的选择必须满足l_ij=1且j≠i，即j∈B_i-{i}，

用于产生共同密钥，

用于认证。我们以用户U₁为例，描述密钥协商第一轮的过程：U₁将收到来自U₂和U₄的信息和

并计算

其中，

mod n,j∈B_i-{i}，

同理，其他用户按照同样的过程可以得到相关的值，如图5。

第二轮，用户U_i将接收用户U_j的信息E_ji，这里用户U_j的选择必须满足l_ji=1且j≠i，

其中用于产生共同密钥，

用于认证。我们仍以用户U₁为例，描述密钥协商第二轮的过程：U₁将收到来自U₅和U₇的信息

和

并计算

最终，共同协商密钥为

其中，

3、认证阶段

在密钥协商的过程中，我们还需要保证收到的信息确实来自于某个用户。因此，我们可以利用用户的身份信息来验证用户。和密钥协商过程相似，认证阶段也分为两轮。

第一轮，用户U_i将接收用户U_j的信息D_j，这里用户U_j的选择必须满足l_ij=1且j≠i，即j∈B_i-{i}，

认证过程如下：U_i计算得到

mod n,j∈B_i-{i}，并计算

其中

如果

则U_i可以认证U_j。我们以用户U₁为例，则U₁将收到来自U₂和U₄的信息

和

并计算

其中，如果

则U₁可以认证U₂和U₄。

第二轮，用户U_i将接收用户U_j的信息E_ji，这里用户U_j的选择必须满足l_ji=1且j≠i，

认证过程如下：U_i计算得到

mod n,l_ji=1 and j≠i，并计算其中

如果

则U_i可以认证U_j。我们仍以用户U₁为例，则U₁将收到来自U₅和U₇的信息

和

并计算

其中，

如果

则U₁可以认证U₅和U₇。

实际参与者的数量有可能是任何正整数，因此实际参与者的数量可能不满足公式λ(v-1)=k(k-1)的要求，为了使本发明提供的密钥协商方法具有通用型，我们补充相应数量的空参与者来满足公式λ(v-1)=k(k-1)的要求。例如，若要构建(7,3,1)-design关联矩阵，但实际参与者为6个，则补充1个空参与者来构建矩阵。而当参与者的数目发生变化时，参数v、k、λ也有可能不满足既定的数学公式，此时同样利用空参与者来解决这种情况，填补参与者数量的不足，使v、k、λ重新满足条件。设U_j是空参与者，则U_i将从U_j接收到的

的值设置为1；同时空参与者U_j计算

其中

的值均设置为1，并将

传送给既定的目标接收者，从而最终得到共同协商密钥。空参与者的应用不会增加额外的计算开销和通信开销。

作为本发明的改进方案，本例通过增加下述步骤实现良好的容错性能：首先在初始化阶段，KGC需要多选择一个整数

发布公开{p,q,g，G₁,G₂,

H₁,H₂}。其次在密钥协商阶段用户U_i需要多计算一个值

并将

提交给KGC。本例中初始化阶段、密钥协商阶段和认证阶段中的其他步骤均与实施例一相同。

在共同密钥生成之后，本实施例还包括容错步骤：

首先KGC广播

其中N=H₂(ID₁,ID₂,…,ID_v,ID_KGC,t)。

如图6所示，用户U_j可以通过计算

来验证共同协商秘钥

的正确性。如果所有用户

都成立，则我们判定共同协商秘钥

的被正确的在用户中建立。如果用户U_j计算

不成立，则进行恶意参与者的甄别与筛除：

用户U_j请求KGC再次发送

如果

仍不成立，且不成立次数超过门槛值τ，则用户U_j向KGC报告错误。门槛值τ应预先设定。

当用户U_j检查到

不成立，并已向KGC报告错误，则启动侦错步骤，其过程具体描述如下：

用户U_j向KGC发送错误报告，错误报告形式为

KGC收到来自用户U_j的错误报告后，KGC检查等式

是否成立。

a）如果

不成立，KGC向U_j返回一个错误通知，然后U_j向KGC再次发送

如果U_j在△t时间段内没有重新发送或者错误发生次数超过门槛值τ，则KGC认定U_j是恶意参与者（恶意用户）并将U_j从用户名单中删除。

b）如果

成立，KGC向所有用户广播侦错通知，除U_j以外的所有用户向KGC提交

当KGC收到来自用户U_i的信息

(i≠j)之后，KGC首先检查是否成立。如果

不成立，KGC向U_i返回一个错误通知，然后U_i向KGC再次发送

如果U_i在△t时间段内没有重新发送或者错误发生次数超过门槛值τ，则KGC认定U_i是恶意参与者（恶意用户）并将U_i从用户名单中删除。如果

成立，则KGC验证由

所算得的

是否等于从用户y所接收到的

（其中y满足l_yi=1,y≠i且

如果

则KGC认定U_i是恶意参与者（恶意用户）并将U_i从用户名单中删除，如果对所有用户（除U_j以外）都有

则KGC认定U_j是恶意参与者（恶意用户）并将U_j从用户名单中删除。

当所有恶意参与者都被删除之后，KGC在剩下的可信参与者中重新生成N^*，之后秘钥协商重新启动。由于本发明的构建是基于对称平衡不完全区组设计，所以我们需要定义一类空参与者，空参与者用来代替被删除的恶意参与者从而来运行秘钥协商阶段的各种运算。例如，空参与者需要代替原来的恶意参与者计算

假设U_j是恶意参与者，当秘钥协商方法重启后，U_i将本应该从U_j接收到的的值设置为1；同时空参与者代替原来的恶意参与者U_j计算

其中

的值均设置为1，并将传送给既定的目标接收者。

按照上述步骤重复直到没有错误被侦测出，那么最终共同协商秘钥为

本方法可以保证未遭受攻击、诚实可信的参与者永远不会被误删；同时，任何试图延迟或破坏会话密钥的恶意参与者一定能够被删除。通过空参与者的加入，本方法具有了良好的容错性和可扩展性。

图7列出了本方法与Yi的密钥协商方法的性能对比。本发明明显优于同样具备容错性能的Yi的密钥协商方法，计算开销和通信复杂度均有明显降低。

本发明方案所公开的技术手段不仅限于上述实施方式所公开的技术手段，还包括由以上技术特征任意组合所组成的技术方案。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围。

Claims (7)

1.一种基于区组设计的容错性密钥协商方法，其特征在于，包括如下步骤： 

（1）初始化步骤： 

KGC计算自己的公钥并公开发布，KGC计算各用户U_i的私钥后通过安全信道传送给U_i，KGC计算用于认证的信息后将其分发给所有用户； 

（2）两轮密钥协商步骤： 

（2.1）根据具体应用环境选定参数v,k,λ,使其满足特定的数学公式λ(v-1)=k(k-1)，构建(v,k,λ)-design关联矩阵，其中v为参与者的数量； 

（2.2）关联矩阵的行对应协商参与者，针对每个参与者，接收同一行中值为1的其他参与者的信息并进行计算；关联矩阵的列对应协商参与者，针对每个参与者，接收同一列中值为1的其他参与者的信息计算密钥；协商生成的共同密钥为： 

其中，r_i为用户自己的密钥，

为用户信息，

表示韦伊对运算l_ji表示对应的关联矩阵第j行第i列的值。 

（3）两轮身份认证步骤：针对每个参与者，对同一行中值为1的其他参与者进行认证；针对每个参与者，对同一列中值为1的其他参与者进行认证。 

2.根据权利要求1所述的基于区组设计的容错性密钥协商方法，其特征在于：当参与者的数目无法满足既定的数学公式λ(v-1)=k(k-1)时，补充空参与者填补参与者数量的不足，使v、k、λ重新满足条件。 

3.根据权利要求1或2所述的基于区组设计的容错性密钥协商方法，其特征在于，所述初始化步骤（1）具体包括： 

KGC选择G₁、G₂、H₁、H₂、p、q、p^*、q^*，e_i、计算自己的公钥

并公开发布{p,q,G₁,G₂,

H₁,H₂}，KGC计算用户U_i的私钥

并将用户U_i的私钥通过安全信道传送给U_i，KGC计算n=p^*q^*，为每个用户U_i选择一个整数e_i，并将(e_i,n)分发给所有用户； 

其中，G₁和G₂为两个质数阶的组，

为韦伊对运算，H₁和H₂为两个哈希函数，分别为H₁:

H₂:

为KGC自己选定的私钥，

为G₁的生成元，p、q、p^*、q^*为质数；Q_i=H₁(ID_i)，ID_i∈{0,1}^*，e_i与(p^*-1)(q^*-1)互质； 

所述步骤（2.2）具体包括： 

每个用户U_i选择一个随机数r_i作为每次会话用户自己的密钥，并计算同时，U_i计算

其中

Y_i=H₂(ID_i)，t_i为时间戳；用户U_i接收用户U_j的信息D_j并进行计算，其中

l_ij=1且j≠i，即j∈B_i-{i}； 

用户U_i接收用户U_j的信息E_ji，其中

l_ji=1且j≠i，最终得到共同协商密钥为： 

所述步骤（3）具体包括： 

用户U_i接收用户U_j的信息D_j，其中l_ij=1且j≠i，即j∈B_i-{i}， 

U_i计算得到mod n,j∈B_i-{i}，并计算其中 

若

成立则U_i可以认证U_j； 

用户U_i接收用户U_j的信息E_ji，l_ji=1且j≠i，

U_i计算得到

mod n,l_ji=1 and j≠i，并计算

其中

如果 

则U_i可以认证U_j。 

4.根据权利要求3所述的基于区组设计的容错性密钥协商方法，其特征在于，在步骤（1）（2）（3）之后还包括容错验证步骤： 

KGC广播

其中N=H₂(ID₁,ID₂,…,ID_v,ID_KGC,t)，每个参与者均计算下述公式是否成立： 

其中

g由KGC在初始化阶段选择并在发布公钥时统一公开发布；当有参与者不满足等式

时，则进行恶意参与者的甄别与筛除；当筛除所有的恶意参与者后，补充进空参与者代替原有的恶意参与者，KGC在参与者中重新生成N^*，并重新启动秘钥协商。 

5.根据权利要求4所述的基于区组设计的容错性密钥协商方法，其特征在于，所述恶意参与者的甄别与筛除包括：用户U_j请求KGC再次发送

并计算 

是否成立，如果仍不成立，且不成立次数超过预先设定的门槛值τ，则用户U_j向KGC报告错误后进行侦错步骤。 

6.根据权利要求5所述的基于区组设计的容错性密钥协商方法，其特征在于，所述的侦错步骤具体包括：KGC收到来自用户U_j的错误报告

后，检查等式 

是否成立： 

如果

不成立，KGC向U_j返回一个错误通知，然后U_j向KGC再次发送如果U_j在△t时间段内没有重新发送或者错误发生次数超过门槛值τ，则KGC认定U_j是恶意参与者并将U_j从用户名单中删除； 

如果

成立，KGC向所有用户广播侦错通知，除U_j以外的所有用户向KGC提交当KGC收到来自用户U_i的信息 

之后，KGC首先检查是否成立： 

如果

不成立，KGC向U_i返回一个错误通知，然后U_i向KGC再次发送

如果U_i在△t时间段内没有重新发送或者错误发生次数超过门 槛值τ，则KGC认定U_i是恶意参与者并将U_i从用户名单中删除； 

如果

成立，则KGC验证由

所算得的是否等于从用户y所接收到的

（其中y满足l_yi=1,y≠i且

如果则KGC认定U_i是恶意参与者并将U_i从用户名单中删除，如果对所有用户（除U_j以外）都有

则KGC认定U_j是恶意参与者并将U_j从用户名单中删除。 

7.根据权利要求2或4所述的基于区组设计的容错性密钥协商方法，其特征在于：所述空参与者U_j的

值均设置为1。 

Images