CN103873248B - 带有证书的基于身份的加密方法和装置 - Google Patents

Abstract

本发明实施例提供了一种带有证书的基于身份的加密方法和装置。该方法主要包括：认证中心生成并公开系统参数；用户生成并公开自己的公钥，将用户的身份信息和公钥发送给所述认证中心，所述认证中心利用所述用户身份信息和系统参数计算出用户证书，将所述用户证书发送给所述用户；所述用户根据所述用户证书和所述系统参数计算出自己的私钥。本发明实施例通过认证中心利用用户的身份信息和系统参数计算出用户证书，结合了公钥密码学体制和基于身份的密码体制，解决了基于身份的密码体制中密钥托管问题。本发明实施例可以将用户证书公布，不需要通过安全通道传输用户证书。

Description

带有证书的基于身份的加密方法和装置

技术领域

本发明涉及密码学技术领域，尤其涉及一种带有证书的基于身份的加密方法和装置。

背景技术

随着科技和信息的不断发展，信息安全成为研究及应用所必需的，密码学便是为了保证信息安全而不断发展并逐渐成熟的学科。信息化的高速发展，对密码学有了新的要求，传统的密码学已经不能满足新的应用需求。公钥密码学由Diffie和Hellman于1976年引入密码学，在公钥密码学中加密密钥和解密密钥是不同的，而且加密密钥是公开的，可以方便地加密明文消息，解密密钥是非公开的，从而解决了传统对称密码学中的密钥产生，传输以及管理的问题。随后在1977年由Rivest，Shamir和Adleman公开提出了RSA密码体制，公钥密码学开始得到广泛应用。密码分析技术的发展需要RSA密码体制的安全参数比较高。在1985年Koblitz和Miller分别将椭圆曲线引入密码学，得到椭圆曲线密码体制，椭圆曲线密码体制使用较小的安全参数便可以得到与有较大安全参数的RSA密码体制相同的安全级别，而且对于椭圆曲线密码体制还没有亚指数时间的攻击，因此椭圆曲线密码体制在近十余年不断迅速发展和应用。

在速度方面，公钥密码体制加密和解密速度相对比较慢，没有对称密码体制中的实现速度快，通常在实际应用中是将公钥密码体制和对称密码体制结合起来，用公钥密码体制来传输对称密码体制的密钥，用对称密码体制的密钥来加密和解密传输消息。为了保证公钥密码体制的实施，用PKI（Public Key Infrastructure，公钥基础设施）来实现公钥密码体制的正常应用。在PKI中，CA（Certificate Authority，认证机构）是负责创建或证明身份的可信赖的权威机构，CA给每一个用户颁发一个数字证书，数字证书中保存着用户的相关信息，其中包括公钥、注册机构、证书服务器、证书库等一系列相关设施，以保证公钥密码体制的正常运行。

在公钥密码体制中，为了给一个用户发送消息，发送者需要取得此用户的公钥和证书，导致公钥密码体制在大范围内应用有着阻碍。Shamir于1984年在CRYPTO’84中提出基于身份的密码学，并且给出了一个基于身份的签名方案。然而基于身份的加密方案发展比较缓慢，直到2001年，出现了两个基础的基于身份的加密方案，分别为Cocks利用模RSA数的二次剩余给出的方案和Boneh、Franklin在CRYPTO 2001上使用椭圆曲线上双线性配对给出的方案，从此基于身份的密码学得到了飞速发展，许多基于身份的密码学方案使用了椭圆曲线上双线性配对工具。基于身份的密码体制，属于公钥密码体制，但是不需要CA，也不需要证书，从而也不需要证书吊销列表等。用户的公钥与其身份有关系，只需要知道其身份便可以给用户发送消息。用户收到加密消息只需要向PKG（Private Key Generator，私钥生成器）询问其私钥，PKG用安全通道将私钥传给用户，用户便可以用其私钥来解密消息。然而这个过程引发了基于身份的密码体制的一个不可避免的问题，即密钥托管问题，PKG生成了用户私钥，从而可以解密用户的所有密文消息。

为了解决基于身份的密码体制中的密钥托管问题，主要有如下的三种方式：第一种方式是，使用多个PKG，只有达到一定数目的PKG，才能一起得到用户的私钥；第二种方式是使用双重加密，将公钥加密体制和基于身份的加密体制结合起来；第三种方式是带有证书的基于身份的加密方案。

现有技术中，还没有有效的带有证书的基于身份的加密方案。

发明内容

本发明的实施例提供了一种带有证书的基于身份的加密方法和装置，以解决基于身份的密码体制中的密钥托管问题。

一种带有证书的基于身份的加密方法，包括：

认证中心生成并公开系统参数；

用户生成并公开自己的公钥，将用户的身份信息和公钥发送给所述认证中心，所述认证中心利用所述用户身份信息和系统参数计算出用户证书，将所述用户证书发送给所述用户；

所述用户根据所述用户证书和所述系统参数计算出自己的私钥。

一种带有证书的基于身份的加密装置，包括：

系统参数生成模块，用于通过认证中心生成并公开系统参数；

用户证书生成模块，用于通过认证中心接收用户的身份信息和公钥，通过所述认证中心利用所述用户身份信息和系统参数计算出用户证书，将所述用户证书发送给用户私钥生成模块；

用户私钥生成模块，用于根据所述用户证书和所述系统参数计算出所述用户的私钥。

由上述本发明的实施例提供的技术方案可以看出，本发明实施例通过认证中心利用用户的身份信息和系统参数计算出用户证书，结合了公钥密码学体制和基于身份的密码体制，解决了基于身份的密码体制中密钥托管问题。本发明实施例可以将用户证书公布，不需要通过安全通道传输用户证书。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一提供的一种带有证书的基于身份的加密方法的处理流程图；

图2为本发明实施例二提供了一种带有证书的基于身份的加密装置的具体结构图。

具体实施方式

为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例做进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

实施例一

本发明实施例所述技术方案涉及的实体如下：

（1）系统参数生成机构CA：CA选择安全参数，为用户生成系统参数，该系统参数包括私钥和公钥，并公开用户的公钥，保存好私钥；收到用户的身份等信息，验证用户的身份，并用私钥对用户的信息进行签名，得到用户的证书并发送给用户。

（2）消息发送方：用接收方的身份和公钥对明文消息进行加密，并将密文消息发送给接收方。

（3）消息接收方：消息接收方发送用户身份信息和公钥给CA，并取得CA的证书，验证证书，结合证书生成自己的私钥；收到密文消息，用自己的私钥解密得到明文消息。

该实施例提供的一种带有证书的基于身份的加密方法的处理流程如图1所示，包括如下的处理步骤：

步骤11：CA生成系统参数。

具体处理过程如下：

CA基于安全参数k，选择有限域，通常是二元域的大素数阶扩域，或者大素数阶有限域，然后选取有限域上的配对友好常椭圆曲线。若一个椭圆曲线有一个大素数阶子群，而且具有小的嵌入次数（大于6小于等于50），则这个椭圆曲线称为配对友好常椭圆曲线。选取所述配对友好常椭圆曲线上的一个双线性配对e：G₁×G₂→G_T，其中G₁和G₂为椭圆曲线上的素数q阶的加法加群，G_T为有限域中的q阶乘法群，所述q为设定的素数。

分别取G₁和G₂的生成元P和Q；

随机取Z_q中的一个非零元s作为私钥，并公开参数P_Pub＝sP；所述Z_q为模q的剩余所组成的集合，即Z_q={0，1，……，q-1}，

选取安全的hash函数H₂:G_T→{0,1}ⁿ，H₄:{0,1}ⁿ→{0,1}ⁿ，所述Z_q ^*表示1-(q-1)范围内的整数，Z_q ^*={1，……，q-1}。

系统公共参数为params=（G₁，G₂，G_T，e，P，Q，P_Pub，H₁，H₂，H₃，H₄），消息空间为M＝{0,1}ⁿ，私钥为s（这个私钥是CA的私钥）。

步骤12：用户生成并公开自己的公钥，将用户的身份信息和公钥发送给CA，CA生成用户的用户证书并发送给用户，用户根据用户证书生成用户私钥。

具体处理过程如下：

用户User选取秘密参数x，生成并公开自己的公钥xH₁(ID)P，，其中ID为用户User的用户身份信息，

用户User将用户身份信息ID和公钥xH₁(ID)P发送给CA；

CA验证上述用户身份信息；

CA验证User的身份信息通过，CA计算出用户证书Cert＝sH₁(ID′)Q，其中ID'=（P_Pub，i，ID），i为时间段，并将上述用户证书Cert传给用户User；

用户User验证上述用户证书Cert，即验证e(P,Cert)＝e(P_pub，H₁(ID′)Q)是否成立，如果成立，则计算xH₁(ID)Q，并计算S_U＝Cert+xH₁(ID)Q，并将S_U作为自己的解密私钥。

步骤13：消息发送者用上述用户的公钥加密明文消息，并发送给用户。

具体处理过程如下：

消息发送者给用户User发送明文消息m，计算P_U＝H₁(ID')P_pub；

消息发送者随机选取σ∈{0,1}ⁿ；

消息发送者计算r＝H₃(σ,m，U=rP， 其中表示比特串的异或，将（U，V，W）作为密文。

发送者将密文消息（U，V，W）发送给用户User。

步骤14、用户接收到上述密文信息后，用自己的私钥解密上述密文消息。

具体处理过程如下：

用户User收到密文消息（U，V，W）；

User计算

User验证H₃(σ,m)P与U是否相等，如果相等则接受消息m，否则终止。

实施例二

该实施例提供了一种带有证书的基于身份的加密装置，其具体结构如图2所示，包括：

系统参数生成模块21，用于通过认证中心生成并公开系统参数；

用户证书生成模块22，用于通过认证中心接收用户的身份信息和公钥，通过所述认证中心利用所述用户身份信息和系统参数计算出用户证书，将所述用户证书发送给用户私钥生成模块；

用户私钥生成模块23，用于根据所述用户证书和所述系统参数计算出所述用户的私钥。

具体的，所述系统参数生成模块21，具体用于通过认证中心基于安全参数k，选取有限域上的常椭圆曲线，并产生所述常椭圆曲线上的一个配对e：G₁×G₂→G_T，其中G₁和G₂为所述常椭圆曲线上的q阶的加法加群，G_T为有限域中的q阶乘法群，所述q为设定的素数；

分别选取所述G₁和G₂的生成元P和Q；

随机取Z_q中的一个非零元s作为私钥，并公开参数P_Pub＝sP；选取安全hash函数H₂:G_T→{0,1}ⁿ，H₄:{0,1}ⁿ→{0,1}ⁿ。

通过所述认证中心获取并公开系统参数params，params=（G₁，G₂，G_T，e，P，Q，P_Pub，H₁，H₂，H₃，H₄），消息空间为M＝{0,1}ⁿ，私钥为s。

具体的，所述的用户证书生成模块22，具体用于通过用户选取秘密参数x，生成并公开用户的公钥xH₁(ID)P，将用户的身份信息ID和公钥发送给所述认证中心，通过所述认证中心验证所述用户身份信息合格后，通过所述认证中心计算出用户证书Gert＝sH₁(ID')Q，其中ID'=（P_Pub，i，ID），i为时间段，并将所述用户证书Cert发送给所述用户。

具体的，所述的用户私钥生成模块23，具体用于通过所述用户验证所述用户证书Cert，即验证e(P,Cert)＝e(P_pub，H₁(ID')Q)是否成立，如果成立，则计算xH₁(ID)Q，并计算S_U＝Gert+xH₁(ID)Q，并将S_U作为所述用户的私钥。

进一步地，所述的装置还可以包括：

明文消息加密模块24，用于当消息发送者要给所述用户发送明文消息m时，通过所述消息发送者计算P_U＝H₁(ID')P_pub，随机选取σ∈{0,1}ⁿ，计算r＝H₃(σ,m)，U=rP， 将密文消息（U，V，W）发送给所述用户。

密文消息解密模块25，用于在所述用户收到所述密文消息（U，V，W）后，通过所述用户计算 验证H₃(σ,m)P与U是否相等，如果相等则接受所述消息m。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域普通技术人员可以理解：实施例中的设备中的模块可以按照实施例描述分布于实施例的设备中，也可以进行相应变化位于不同于本实施例的一个或多个设备中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

用本发明实施例的装置进行带有证书的基于身份的加密的具体过程与前述方法实施例类似，此处不再赘述。

综上所述，本发明实施例通过认证中心利用包含用户公钥的用户身份信息和系统参数计算出用户证书，结合了公钥密码学体制和基于身份的密码体制，解决了基于身份的密码体制中密钥托管问题。

本发明实施例可以将用户证书公布，任何人可以使用公开参数验证证书，而用户在加密的时候，将证书作为私钥的一部分，结合自己的产生的部分私钥生成最终的加密私钥，不需要通过安全通道传输用户证书。

本发明实施例使用hash函数将用户的身份信息ID映射成为整数而不是椭圆曲线群上的点，更加有效安全；使用了非对称的双线性配对，需要常椭圆曲线，常椭圆曲线上的非对称双线性配对选择更多，而且更加安全；

本发明实施例中，在加密和解密消息时，各仅需要一次双线性配对计算，实现更为有效。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种带有证书的基于身份的加密方法，其特征在于，包括：

认证中心生成并公开系统参数；

用户生成并公开自己的公钥，将用户的身份信息和公钥发送给所述认证中心，所述认证中心利用所述用户身份信息和系统参数计算出用户证书，将所述用户证书发送给所述用户；

所述用户根据所述用户证书和所述系统参数计算出自己的私钥；所述认证中心生成并公开系统参数，包括：

认证中心基于安全参数k，选取有限域上的常椭圆曲线，并产生所述常椭圆曲线上的一个配对e：G₁×G₂→G_T，其中G₁和G₂为所述常椭圆曲线上的q阶的加法加群，G_T为有限域中的q阶乘法群，所述q为设定的素数；

分别选取所述G₁和G₂的生成元P和Q；

随机取Z_q中的一个非零元s作为私钥，并公开参数P_Pub＝sP,所述Z_q＝{0,1，……,q-1}；

选取安全hash函数H₂:G_T→{0,1}ⁿ，H₄:{0,1}ⁿ→{0,1}ⁿ，所述

所述认证中心获取并公开系统参数params，params＝(G₁，G₂，G_T，e，P，Q，P_Pub，H₁，H₂，H₃，H₄)，消息空间为M＝{0,1}ⁿ，私钥为s。

2.如权利要求1所述的带有证书的基于身份的加密方法，其特征在于，所述的用户生成并公开自己的公钥，将用户的身份信息和公钥发送给所述认证中心，所述认证中心利用所述用户身份信息和系统参数计算出用户证书，将所述用户证书发送给所述用户，包括：

用户选取秘密参数x，生成并公开自己的公钥xH₁(ID)P，所述用户将自己的用户身份信息ID和公钥发送给所述认证中心；

所述认证中心验证所述用户身份信息合格后，CA计算出用户证书Cert＝sH₁(ID')Q，其中ID'＝(P_Pub，i，ID)，i为时间段，并将所述用户证书Cert发送给所述用户。

3.如权利要求2所述的带有证书的基于身份的加密方法，其特征在于，所述的用户根据所述用户证书和所述系统参数计算出自己的私钥，包括：

所述用户验证所述用户证书Cert，即验证e(P,Cert)＝e(P_pub,H₁(ID')Q)是否成立，如果成立，则计算xH₁(ID)Q，并计算S_U＝Cert+xH₁(ID)Q，并将S_U作为自己的私钥。

4.如权利要求1至3任一项所述的带有证书的基于身份的加密方法，其特征在于，所述的方法还包括：

当消息发送者要给所述用户发送明文消息m时，所述消息发送者计算P_U＝H₁(ID')P_pub，随机选取σ∈{0,1}ⁿ，计算r＝H₃(σ,m)，U＝rP，V＝σ⊕H₂(e(P_U+xH₁(ID)P,Q)^r)，W＝m⊕H₄(σ)；

所述消息发送者将密文消息(U，V，W)发送给所述用户。

5.如权利要求4所述的带有证书的基于身份的加密方法，其特征在于，所述的方法还包括：

所述用户收到所述密文消息(U，V，W)后，计算σ＝V⊕H₂(e(U,S_U))，m＝W⊕H₄(σ)；

所述用户验证H₃(σ,m)P与U是否相等，如果相等则接受所述消息m。

6.一种带有证书的基于身份的加密装置，其特征在于，包括：

系统参数生成模块，用于通过认证中心生成并公开系统参数；

用户证书生成模块，用于通过认证中心接收用户的身份信息和公钥，通过所述认证中心利用所述用户身份信息和系统参数计算出用户证书，将所述用户证书发送给用户私钥生成模块；

用户私钥生成模块，用于根据所述用户证书和所述系统参数计算出所述用户的私钥；

所述系统参数生成模块，具体用于通过认证中心基于安全参数k，选取有限域上的常椭圆曲线，并产生所述常椭圆曲线上的一个配对e：G₁×G₂→G_T，其中G₁和G₂为所述常椭圆曲线上的q阶的加法加群，G_T为有限域中的q阶乘法群，所述q为设定的素数；

分别选取所述G₁和G₂的生成元P和Q；

随机取Z_q中的一个非零元s作为私钥，并公开参数P_Pub＝sP，所述Z_q＝{0,1，……,q-1}；

选取安全hash函数H₂:G_T→{0,1}ⁿ，H₄:{0,1}ⁿ→{0,1}ⁿ，所述

通过所述认证中心获取并公开系统参数params，params＝(G₁，G₂，G_T，e，P，Q，P_Pub，H₁，H₂，H₃，H₄)，消息空间为M＝{0,1}ⁿ，私钥为s。

7.如权利要求6所述的带有证书的基于身份的加密装置，其特征在于：

所述的用户证书生成模块，具体用于通过用户选取秘密参数x，生成并公开用户的公钥xH₁(ID)P，将用户的身份信息ID和公钥发送给所述认证中心，通过所述认证中心验证所述用户身份信息合格后，通过所述认证中心计算出用户证书Cert＝sH₁(ID')Q，其中ID'＝(P_Pub，i，ID)，i为时间段，并将所述用户证书Cert发送给所述用户。

8.如权利要求7所述的带有证书的基于身份的加密装置，其特征在于：

所述的用户私钥生成模块，具体用于通过所述用户验证所述用户证书Cert，即验证e(P,Cert)＝e(P_pub,H₁(ID')Q)是否成立，如果成立，则计算xH₁(ID)Q，并计算S_U＝Cert+xH₁(ID)Q，并将S_U作为所述用户的私钥。

9.如权利要求6至8任一项所述的带有证书的基于身份的加密装置，其特征在于，所述的装置还包括：

明文消息加密模块，用于当消息发送者要给所述用户发送明文消息m时，通过所述消息发送者计算P_U＝H₁(ID')P_pub，随机选取σ∈{0,1}ⁿ，计算r＝H₃(σ,m)，U＝rP，V＝σ⊕H₂(e(P_U+xH₁(ID)P,Q)^r)，W＝m⊕H₄(σ)，将密文消息(U，V，W)发送给所述用户。

10.如权利要求9所述的带有证书的基于身份的加密装置，其特征在于，所述的装置还包括：

密文消息解密模块，用于在所述用户收到所述密文消息(U，V，W)后，通过所述用户计算σ＝V⊕H₂(e(U,S_U))，m＝W⊕H₄(σ)，验证H₃(σ,m)P与U是否相等，如果相等则接受所述消息m。