CN104052601B - 一种密钥隔离签密方法 - Google Patents

Abstract

一种密钥隔离签密方法，所述方法在消息发送者与消息接收者的计算机之间设置一个可信的协助器，由协助器帮助消息发送者和消息接收者生成初始私钥和公钥并在各时间段的起点对私钥进行更新，消息发送者发送消息时用自己的私钥和接收者的公钥对消息进行签密，消息接收者收到密文后用自己的私钥和发送者的公钥对密文进行解签密，恢复出消息。本发明把数字签名和公钥加密合并到一个步骤中完成，并将密钥隔离机制引入到签密系统中，不仅可以节约计算量和通信成本，而且满足机密性、不可否认性、前向安全性和公开可验证性。

Description

一种密钥隔离签密方法

技术领域

本发明涉及一种能节约计算量和通信成本，并能够减小密钥泄露危害的数字签密方法，属通信技术领域。

背景技术

随着网络的发展，网上电子商务、电子政务等也都蓬勃发展，为保证网上传播的信息的完整性和真实性，实现安全通信已经刻不容缓。保密性和认证性是通信的两个基本要求，传输消息的保密性通过加密来获取，消息的认证通过数字签名来实现。如果我们同时需要获得保密性、完整性、认证和不可否认性，一个传统的方法是先对消息进行签名，然后进行加密，称之为“先签名后加密”方法。这种方法的计算量和通信成本是签名和加密之和，效率较低。

1997年，Zheng提出了签密的概念，签密是一种能够同时提供加密和签名这两种服务特性的高效密码技术。在诸如电子现金支付系统、安全认证的密钥生成、网络上的安全多发送信息传输及可认证的密钥恢复等方面都需要既保密又认证地传输消息，因此签密技术有着广泛的应用范围。然而，Zheng的原始方案虽然可以满足机密性和可验证性，但是不满足不可否认性、前向安全性和公开可验证性；一旦签密者的私钥泄露，任何得到签密者私钥的人都可以解密签密者本次及以前通信的签密密文，从而恢复出消息。

因此，如何构造一个高效且安全的签密方法是一个值得研究的课题。

发明内容

本发明的目的在于针对现有技术之弊端，提供一种既可以节约计算量和通信成本，又可以满足机密性、不可否认性、前向安全性和公开可验证性的密钥隔离签密方法。

本发明所述问题是以下述技术方案实现的：

一种密钥隔离签密方法，所述方法在消息发送者与消息接收者的计算机之间设置一个可信的协助器，由协助器帮助消息发送者和消息接收者生成初始私钥和公钥并在各时间段的起点对私钥进行更新，消息发送者发送消息时用自己的私钥和接收者的公钥对消息进行签密，消息接收者收到密文后用自己的私钥和发送者的公钥对密文进行解签密，恢复出消息，所述方法包括如下步骤：

a. 协助器生成发送者的初始私钥和公钥、接收者的初始私钥和公钥以及协助器的私钥和公钥

构造两个阶为的循环群和，P和Q是群的两个随机生成元，是中的随机数，为双线性映射，和是两个抗碰撞的密码哈希函数，分别满足：

向协助器输入安全参数k（k为数q的比特长度），协助器随机从中选择参数，其中， ={1,2,…,q-1}，q为素数，计算

，，，，

公钥为，发送者的公钥为，接收者的公钥为，协助器公钥为，发送者的初始私钥为，接收者的初始私钥为，协助器私钥为，满足，角标0表示0时间片段；

b. 计算时间段t的协助器更新消息

在时间段t的起点将时间参数t 和协助器私钥HK输入到协助器，由协助器计算并输出协助器更新消息 ；

c. 发送者私钥的更新

将时间参数t、协助器更新消息、发送者在t-1时间段的私钥输入到发送者的计算机，发送者的计算机根据等式计算发送者在时间t时的部分临时私钥，最终得到发送者在时间片段t的私钥；

d. 接收者私钥的更新

将时间参数t、协助器更新消息、接收者在t-1时间片段的私钥输入接收者的计算机，接收者的计算机根据等式计算接收者在时间t时的部分临时私钥，最终得到接收者在时间片段t的私钥；

e. 消息的签密

向发送者的计算机输入时间参数t、消息m、发送者在时间t的临时私钥、公钥PK，发送者随机选择，并计算，，， 其中b 用字符串表示为 ，，，最终输出签密的密文；

f. 签密消息的解签密

向接收者的计算机输入密文、接收者的在时间t的私钥、公钥PK，接收者的计算机对密文按如下方式进行解签密：

计算 , 并且b 用字符串表示为 ；

验证下列等式是否成立：

.

如果上式成立，计算并返回明文

否则返回“无效”。

本发明的有益结果是：

发送者在签密算法中同时实现签名和加密两项功能，降低了消息保密认证传输所需的时间代价和通信带宽；

在签密密文的验证过程中，不需要接收者提供其私钥和消息内容，具有公开验证性；

若在时间t时，发送者的临时私钥泄露，并不危害其他没有发生密钥泄露的时间段消息的安全性，因为如果攻击者只拥有时间段t时发送者的临时密钥并不能推导出其他没有发生密钥泄露时间段的私钥，因此不仅提高了整个系统防御密钥泄露的能力，还减少了系统中因密钥泄露产生的危害。

协助器只需发送某个时间段的更新消息，发送者/接收者自己就可以更新该时间段的私钥，但保持公钥不变。不需要证书的定期更新，延长了证书的生命周期，减轻了证书中心的管理负担；

整个系统的算法复杂度小于传统的“先签名后加密”系统；

所有密钥和算法都不涉及到系统的生命周期，只与当前时间段t有关，算法时间复杂度不会随着生命周期的增加而增加。

附图说明

下面结合附图对本发明作进一步详述。

图1是本发明密钥隔离签密系统的整体结构示意图；

图2是发送者临时私钥更新的示意图。

文中各符号清单为：和是两个阶为 的循环群；P和Q是群的两个随机生成元；是中的随机数；和是两个抗碰撞的密码哈希函数PK为公钥；为发送者的公钥；为接收者的公钥；为协助器公钥；为发送者的初始私钥；为接收者的初始私钥；HK为协助器私钥；为协助器更新消息；为发送者在t-1时间段的私钥；为发送者在时间片段t的私钥；为接收者在t-1时间片段的私钥；为接收者在时间片段t的私钥；为签密的密文。

具体实施方式

如果Alice写一封信，她会在信纸中签名，然后把信纸装入信封，如果她把不带签名的信装入信封而在信封上签名，那么收信人Bob有理由担心这封信已经被替换，如果Bob把Alice的信和信封给Carol看，Carol可能因为信没有装对信封而控告Bob撒谎，因此，加密前签名是很自然的做法，带加密的数字签名把公开密钥算法和数字签名结合起来，同时实现通信的不可伪造性，不可否认性和保密性。然而，Alice或者Bob的私钥一旦泄露，他们之前或者之后所有的操作都不再安全，因此，本发明引入密钥隔离机制，系统的整个生命周期分为离散的N个时间片段，在系统的整个生命周期内，Alice和Bob公钥始终保持不变，但临时私钥在每个时间片的开始都要进行更新操作，这样不仅提高了系统防御密钥泄露的能力，而且Alice和Bob在不同时间片段内进行签名，加密或者解密操作时都会使用不同的临时私钥，从而在某个特定时间片段内临时私钥泄露就不会危害其他未发生密钥泄露时间片段内系统的安全性。此签密方法中，在发送者Alice签密时需用到自己的私钥，可保证Alice不可以否认对消息的签名。另外，本发明在满足保密性、不可伪造性、不可否认性的同时，它的公开可验证性和安全性也应得到保证。

传统的数字签密中有发送者Alice和接收者Bob两个实体，在本发明中，引入了一个协助器设备，它主要是帮助两个实体更新自己的私钥，从而将密钥隔离机制引入到签密系统中，解决了传统签密算法不满足前向安全性的问题。发送者Alice负责用自己的私钥和接收者Bob的公钥对消息签密，因此解决了传统签密算法中不满足不可否认性的问题，Bob负责用自己的私钥和发送者的公钥对签密了的消息解签密，恢复出消息。本发明还具有公开可验证的性质，在公开验证的时候无需Bob提供自己的私钥和消息明文，保证了Bob的密钥信息和通信信息的安全性。

图1是本发明密钥隔离签密系统的整体结构示意图。其中，协助器密钥更新模块设置在协助器中，负责向发送者和接收者的私钥更新模块发送更新消息；发送者私钥更新模块和签密模块在发送者的计算机中，签密产生的密文发送给接收者；接收者的私钥更新模块和解签密模块在接收者的计算机中，解签密模块负责对产生的密文解密，并验证。

图2是发送者临时私钥更新的示意图。完成这个操作需要发送者的计算机与协助器进行交互。每个时间段的开始协助器向发送者发送更新消息。签密的发送者利用协助器给的更新消息进行临时私钥更新。

本发明基于的原理

减小密钥泄露对数字签名危害的方法，成为目前密码学领域的一个研究热点，密钥演化技术是一种有效的方法，主要思想是：在保持公钥不变的前提下，用户的私钥进行周期性的演化，在不同的时间段内使用不同的私钥，某个时间段内私钥的泄露不会危害到其他时间段私钥的安全性。在这个模型中，引入了物理安全但计算能力有限的设备，称作协助器。在密钥生成阶段，生成两部分密钥：协助器密钥和初始临时私钥。协助器密钥存放在协助器中，临时私钥则由用户保管。整个密码系统分为若干个离散的时间段，在每个时间段协助器都利用自己的密钥生成更新消息，并发送给用户；用户利用自己旧的临时私钥和更新消息生成新的临时私钥。即使用户的一些临时私钥发生泄露，在协助器密钥安全的情况下也不会危害到其他时间段的临时私钥的安全性。

本发明提供了一种密钥隔离签密的方法，应用此技术能使整个系统的算法复杂度小于传统的“先签名后加密”系统；在满足保密性、不可伪造性、不可否认性的同时，它的公开验证性和安全性也得到了保证；整个系统的生命周期分为不同的离散的时间片段，某些时间段内签密用户私钥的泄露并不危害其他时间段私钥的安全性，提高了整个系统防御密钥泄露的能力。

本发明所使用的密钥隔离签密系统包括发送者的设备（计算机），接收者的设备（计算机）和协助器（计算机）。

发送者的设备用于完成对消息签密的操作，如图1所示，其包括密钥生成模块、发送者私钥更新模块和签密模块。

密钥生成模块用于输出发送者、接收者和协助器的公私钥信息，其包括发送者的公钥、初始私钥，接收者的公钥、初始私钥，协助器公钥、私钥。

发送者私钥更新模块用于在每个时间片段输出发送者的新的私钥，并发送给签密模块。

签密模块用于对消息进行签密操作，输出签密的密文。

接收者的设备用于完成对密文的解签密操作，其包括密钥生成模块、接收者私钥更新模块和解签密模块。

接收者私钥更新模块用于在每个时间片段输出接收者的新的私钥，并发送给解签密模块。

解签密模块用于对签密的密文解签密，还原明文消息。

协助器用于输出协助器更新消息，其包括协助器密钥更新模块。

协助器密钥更新模块用于生成协助器更新消息，并发送给发送者和接收者，帮助他们更新自己的私钥。

具体的方案描述

和是两个阶为 的循环群，P和Q是群的两个随机生成元.，是中的随机数，为双线性映射，和是两个抗碰撞的密码哈希函数，分别满足：

(1) 密钥生成算法（Gen）

随机从选择参数，其中， ={1,2,…,q-1}，q为素数。计算

，，，，。

公钥为，发送者的公钥为，接收者的公钥为，协助器公钥为。发送者的初始私钥为，接收者的初始私钥为，协助器私钥为。满足，0表示0时间片段。

最终返回。

生成发送者的公私钥信息的操作在发送者的设备中进行，生成接收者的公私钥信息的操作在接收者的设备中进行，生成协助器公私钥的操作在协助器设备中进行。

(2) 协助器密钥更新算法（UpdateH）

该算法输出协助器的更新消息，其操作在协助器设备中进行。根据密钥生成算法生成的协助器私钥和哈希函数，按照以下方式生成时间段t的更新消息为：

。

其中，t表示时间参数，可以是时间段0、时间段1、时间段2……中的任何一个时间片段。

协助器在每个时间片段的开始将生成的更新消息发送给发送者和接收者，帮助他们进行临时私钥的更新。

(3) 发送者私钥更新算法（UpdateS）

该算法根据协助器提供的协助器更新消息，更新发送者在新的时间段的私钥，更新方式如图2所示。

从所述协助器获取的时间段t的协助器更新密钥，根据所述时间段t的协助器更新密钥对时间段t的发送者私钥进行更新，得到时间段t的发送者的私钥，其中，t表示时间片段，初始为时间段0，具体的更新等式为：

。

最终输出发送者在t时间段的私钥为。

(4) 接收者私钥更新算法（UpdaterR）

该私钥更新算法与发送者私钥更新方式相同，不同的是该算法的操作都在接收者的设备中进行。接收者私钥更新的等式为

。

最终输出的私钥为.

(5) 签密算法（Signcryption）

从所述的发送者当前的私钥，对输入的消息进行签密操作。发送者的私钥对消息进行签名，接收者的公钥对消息加密。具体的操作如下：

输入时间参数t，消息m，发送者的私钥，公钥PK。发送者随机从选择两个参数 并计算

；

；

；

。

其中b用字符串表示 ，

，。

输出签密为。

(6) 解签密算法（Unsigncryption）

接收者接收到签密的密文后，对密文解签密操作。操作如下：

输入签密 。接收者进行如下操作:

计算 ，。

b用字符串表示为 。

验证下列等式是否成立：

.

如果上式成立，计算并返回明文

。

否则返回“无效”。

需要说明的是：在本发明中，密文的验证是公开的，任何人都可以对上述验证等式进行验证，确认密文的有效性。但对密文解签密还原出明文的操作，只能够由接收者完成，因为解密操作需要输入接收者自己的私钥。

Claims (1)

1.一种密钥隔离签密方法，其特征是，所述方法在消息发送者与消息接收者的计算机之间设置一个可信的协助器，由协助器帮助消息发送者和消息接收者生成初始私钥和公钥并在各时间段的起点对私钥进行更新，消息发送者发送消息时用自己的私钥和接收者的公钥对消息进行签密，消息接收者收到密文后用自己的私钥和发送者的公钥对密文进行解签密，恢复出消息，所述方法包括如下步骤：

a.协助器生成发送者的初始私钥和公钥、接收者的初始私钥和公钥以及协助器的私钥和公钥；协助器在密钥生成阶段，生成两部分密钥：协助器密钥和初始临时私钥；协助器密钥存放在协助器中，临时私钥则由用户保管；整个密码系统分为若干个离散的时间段，在每个时间段协助器都利用自己的密钥生成更新消息，并发送给用户；用户利用自己旧的临时私钥和更新消息生成新的临时私钥；

构造两个阶为q的循环群G₁和G₂，P和Q是群G₁的两个随机生成元，U',U₁,...,U_n是G₁中的随机数，为双线性映射，H₁和H₂是两个抗碰撞的密码哈希函数，分别满足：

H₁:{0,1}^*→G₁,H₂:{0,1}^*×{0,1}^*×G₁→G₁.

向协助器输入安全参数k，k为数q的比特长度，协助器随机从中选择参数h,s,r，其中，q为素数，计算

PK_H＝hP，PK_s＝sP，PK_r＝rP，US₀＝(h+s)H₁(0)，UR₀＝(h+r)H₁(0)

公钥为PK＝(PK_H,PK_s,PK_r)，发送者的公钥为PK_s，接收者的公钥为PK_r，协助器公钥为PK_H，发送者的初始私钥为SK₀＝(s,US₀)，接收者的初始私钥为RK₀＝(r,UR₀)，协助器私钥为HK＝h，H₁满足{0,1}^*→G₁，角标0表示0时间片段；

b.计算时间段t的协助器更新消息

在时间段t的起点将时间参数t和协助器私钥HK输入到协助器，由协助器计算并输出协助器更新消息UK_t＝HK(H₁(t)-H₁(t-1))；

c.发送者私钥的更新

将时间参数t、协助器更新消息UK_t、发送者在t-1时间段的私钥SK_t-1输入到发送者的计算机，发送者的计算机根据等式US_t＝US_t-1+UK_t+s(H₁(t)-H₁(t-1))计算发送者在时间t时的部分临时私钥，最终得到发送者在时间片段t的私钥SK_t＝(s,US_t)；

d.接收者私钥的更新

将时间参数t、协助器更新消息UK_t、接收者在t-1时间片段的私钥RK_t-1输入接收者的计算机，接收者的计算机根据等式UR_t＝UR_t-1+UK_t+r(H₁(t)-H₁(t-1))计算接收者在时间t时的部分临时私钥，最终得到接收者在时间片段t的私钥RK_t＝(r,UR_t)；

e.消息的签密

向发送者的计算机输入时间参数t、消息m、发送者在时间t的临时私钥SK_t、公钥PK，发送者随机选择并计算σ₂＝δ₁P，δ₃＝H₂(σ₁,σ₂,PK_s,PK_r)，b＝H₃(δ₃P+δ₂Q)其中b用字符串表示为b₁...b_n∈{0,1}ⁿ，

最终输出签密的密文σ＝(σ₁,σ₂,σ₃,σ₄)；

f.签密消息的解签密

向接收者的计算机输入密文σ、接收者的在时间t的私钥RK_t、公钥PK，接收者的计算机对密文按如下方式进行解签密：

计算δ₃＝H₂(σ₁,σ₂,PK_s,PK_r),b＝H₃(δ₃P+σ₄Q)并且b用字符串表示为b₁...b_n∈{0,1}ⁿ；

验证下列等式是否成立：

如果上式成立，计算并返回明文

否则返回“无效”。