CN104811302A - 基于无证书的椭圆曲线混合签密方法 - Google Patents

Abstract

一种基于无证书的椭圆曲线混合签密方法，由系统初始化、生成用户的私钥和公钥、生成用户的部分公钥和部分私钥、签密、解签密步骤组成。该方法克服了传统公钥基础设施中证书产生、存储、分发、撤销以及验证证书的计算费用等问题，消除了身份密码学中固有的密钥托管问题，无需安全信道，可以同时达到保密并认证的效果，可以签密任意长度的消息。本发明具有安全性好、运算效率高、通信成本低等优点，可用于资源受限的无线传感器网络。

Description

基于无证书的椭圆曲线混合签密方法

技术领域

本发明属于网络信息安全技术领域，具体涉及到无证书密码学或椭圆曲线密码学或混合签密方法。

背景技术

为了能同时达到保密并认证的效果以及能签密任意长度的消息，Dent于2005年提出了混合签密的概念。混合签密具有设计灵活、运算效率高和对消息长度没有限制等优势，是公钥密码系统的最主要应用之一。混合签密由非对称部分和对称部分组成，非对称部分在发送者私钥和接收者公钥的共同作用下生成对称密钥和对称密钥封装，对称部分则利用对称密钥和加密算法加密任意长度的消息。混合签密的各部分相互独立，因而可以分别研究，目前已成为实现加密并认证的重要手段而且安全性越来越完善。然而，绝大多数无证书模式下的混合签密方法都是基于双线性对的，计算代价较大。

无线传感器网络具有拓扑易变化、节点能源受限、网络易受攻击等特性。目前，无线传感器网络中运用混合签密方法还存在以下问题：1)网络必须有可信中心为用户生成公钥。2)需要安全信道传送秘密信息。3)计算量和通信成本比较大。4)密钥需要托管给可信中心。前两个问题在无线传感器网络中不可实现，而后两个问题对这种资源受限的环境也是不合理的，因此都是需要极力克服。

发明内容

本发明所要解决的技术问题在于客服现有技术的不足，提供一种安全性好、运算效率高、通信成本低的基于无证书的椭圆曲线混合签密方法。

解决上述技术问题所采用的技术方案由下述步骤组成：

A、系统初始化

(A1)密钥生成中心选择一个k比特的素数p和一个定义在有限域F_p上的椭圆曲线E，G是加法循环群G_p的一个生成元。

(A2)密钥生成中心选择密码学安全的Hash函数H₁:H₄。

(A3)密钥生成中心选择主密钥z∈_R Z_p ^*并计算系统公钥y＝zG∈G_p。

(A4)密钥生成中心公开系统参数ρ＝(F_p,E,G_p,G,l,y,H₁:H₄)，保密主密钥z。

B.、生成用户的私钥和公钥

(B1)身份为id_a的发送方Alice随机选择私钥x_a∈Z_p ^*并计算其公钥y_a＝x_aG∈G_p。

(B2)身份为id_b的接收方Bob随机选择私钥x_b∈Z_p ^*并计算其公钥y_b＝x_bG∈G_p。

C.、生成用户的部分公钥和部分私钥

(C1)密钥生成中心和身份为id_a的发送方Alice通过交互协议生成Alice的部分公钥u_a和部分私钥s_a。

(C2)密钥生成中心和身份为id_b的接收方Bob通过交互协议生成部分公钥u_b和部分私钥s_b。

D、签密

(D1)身份为id_a的发送方Alice选择一个随机数η∈Z_p ^*，计算r＝ηG，t＝η(u_b+H₁(id_b)y)，κ＝H₂(t,ηy_b)，c＝DEM.Enc(κ,m)。

(D2)Alice用自己的私钥生成对消息m的签名(e,n,s)。

(D3)Alice通过公开信道将生成的密文C←(r,c,e,n,s)发送给身份为id_b的接收方Bob。

E、解签密

(E1)身份为id_b的接收方Bob收到密文C后，计算t＝s_br和κ＝H₂(t,x_br)，恢复出明文m＝DEM.Dec(κ,c)。

(E2)Bob计算γ＝H₄(t,x_br)和u＝sγ-enmodp。

(E3)Bob计算n'＝H₃(id_a,id_b,m,r,γ,u)。

(E4)Bob验证n'＝n是否成立？如果验证不通过，Bob拒绝接收Alice发给他的密文，即密文无效；否则，接受恢复出的消息m。

在本发明的步骤A2中，密码学安全的Hash函数是：H₁:{0,1}^*→Z_p ^*，H₂:G_p×G_p→{0,1}^β，H₃:{0,1}^*2×{0,1}ⁿ×G_p ³→Z_p ^*，H₄:{0,1}^*×G_p ³→G_p，其中β是一个数据封装机制的对称密钥长度。

在本发明的步骤C1中，密钥生成中心和身份为id_a的发送方Alice通过交互协议生成Alice的部分公钥u_a和部分私钥s_a，生成过程如下：

密钥生成中心选择一个随机数l_a∈Z_p ^*，计算Alice的部分公钥u_a＝l_aG和部分私钥s_a＝zH₁(id_a)+l_a mod p，密钥生成中心计算Y_a＝s_aG+l_ay_a并发送(s_a,u_a,Y_a)给Alice，Alice通过下面等式验证部分公钥u_a和部分私钥s_a的真实性：

s_aG＝u_a-H₁(id_a)y和s_aG＝Y_a-x_au_a。

在本发明的步骤C2中，密钥生成中心和身份为id_a的发送方Alice通过交互协议生成Alice的部分公钥u_b和部分私钥s_b，生成过程如下：

密钥生成中心选择一个随机数l_b∈Z_p ^*，计算Bob的部分公钥u_b＝l_bG和部分私钥s_b＝zH₁(id_b)+l_b mod p，密钥生成中心计算Y_b＝s_bG+υ_by_b并发送(s_b,u_b,Y_b)给Bob，Bob通过下面等式验证部分公钥u_b和部分私钥s_b的真实性：

s_bG＝u_b-H₁(id_b)y和s_bG＝Y_b-x_bu_b。

在本发明的步骤D2中，Alice用自己的私钥生成消息m的签名，通过如下步骤实现：

(D21)Alice计算γ＝H₄(t,ηy_b)。

(D22)Alice计算u＝ηγ。

(D23)Alice计算e＝γ(s_a+x_a)。

(D24)Alice计算n＝H₃(id_a,id_b,m,r,γ,u)。

(D25)Alice计算s＝η+n(s_a+x_a)modp。

式中r＝ηG，t＝η(u_b+H₁(id_b)y)。

本发明将混合签密和椭圆曲线密码学技术同时扩展到无证书环境，提出了一种基于无证书的椭圆曲线混合签密方法。该方法可以使发送方在资源受限的网络环境中为接收方生成任意消息的密文，除接收方之外的其他人看不到真实消息，同时接收方能确信消息源自发送方。

基于无证书的椭圆曲线混合签密方法中，用户的公私钥由用户自己生成，而其部分公私钥由密钥生成中心生成。该方法克服了传统公钥基础设施中证书产生、存储、分发、撤销以及验证证书的计算费用等问题，消除了身份密码学中固有的密钥托管问题，无需安全信道，可以同时达到保密并认证的效果，可以签密任意长度的消息。本发明具有安全性好、运算效率高、通信成本低等优点，可用于资源受限的无线传感器网络。

附图说明

图1是实施例1中步骤4的签密和步骤5的解签密流程图。

具体实施方式

下面结合附图和实施例对本发明进一步详细说明，但本发明不限于这些实施例。

实施例1

以密钥生成中心选择的大素数p，p为2¹⁹²‐2⁶⁴‐1为例，基于无证书的椭圆曲线混合签密方法步骤如下：

A、系统初始化

(A1)密钥生成中心选择一个大素数p，p为2¹⁹²‐2⁶⁴‐1，有限域F_p上的同余方程y²≡x³+ax+bmodp所有解(x,y)∈F_p×F_p，连同一个无穷远点O共同构成F_p上的椭圆曲线E：y²≡x³+ax+b，其中a,b∈F_p是满足4a³+27b²≠0的常量。E(a,b)和无穷远点O组成一个加法循环群G_p，G是群G_p的一个生成元。

(A2)密钥生成中心选择密码学安全的Hash函数包括：H₁:{0,1}^*→Z_p ^*，H₂:G_p×G_p→{0,1}^β，H₃:{0,1}^*2×{0,1}ⁿ×G_p ³→Z_p ^*，H₄:{0,1}^*×G_p ³→G_p，其中β是一个数据封装机制(DEM)的对称密钥长度。

(A3)密钥生成中心选择主密钥z∈_R Z_p ^*并计算系统公钥y＝zG∈G_p。

(A4)密钥生成中心公开系统参数ρ＝(F_p,E,G_p,G,l,y,H₁:H₄)，保密主密钥z。

B、生成用户的私钥和公钥

(B1)身份为id_a的发送方Alice随机选择私钥x_a∈Z_p ^*并计算其公钥y_a＝x_aG∈G_p。

(B2)身份为id_b的接收方Bob随机选择私钥x_b∈Z_p ^*并计算其公钥y_b＝x_bG∈G_p。

C、生成用户的部分公钥和部分私钥

(C1)密钥生成中心和身份为id_a的发送方Alice通过交互协议生成Alice的部分公钥u_a和部分私钥s_a，生成Alice的部分公钥u_a和部分私钥s_a的具体步骤如下：

密钥生成中心选择一个随机数l_a∈Z_p ^*，计算Alice的部分公钥u_a＝l_aG和部分私钥s_a＝zH₁(id_a)+l_amodp，密钥生成中心计算Y_a＝s_aG+l_ay_a并发送(s_a,u_a,Y_a)给Alice，Alice可以通过下面等式验证部分公钥u_a和部分私钥s_a的真实性：

s_aG＝u_a-H₁(id_a)y和s_aG＝Y_a-x_au_a。

(C2)密钥生成中心和身份为id_b的接收方Bob通过交互协议生成部分公钥u_b和部分私钥s_b，生成部分公钥u_b和部分私钥s_b的具体步骤如下：

密钥生成中心选择一个随机数l_b∈Z_p ^*，计算Bob的部分公钥u_b＝l_bG和部分私钥s_b＝zH₁(id_b)+l_b mod p，密钥生成中心计算Y_b＝s_bG+υ_by_b并发送(s_b,u_b,Y_b)给Bob，Bob通过下面等式验证部分公钥u_b和部分私钥s_b的真实性：

s_bG＝u_b-H₁(id_b)y和s_bG＝Y_b-x_bu_b。

D、签密

(D1)身份为id_a的发送方Alice选择一个随机数η∈Z_p ^*，计算r＝ηG，t＝η(u_b+H₁(id_b)y)，κ＝H₂(t,ηy_b)，c＝DEM.Enc(κ,m)。

(D2)Alice用自己的私钥生成对消息m的签名(e,n,s)。

(D21)Alice计算γ＝H₄(t,ηy_b)。

(D22)Alice计算u＝ηγ。

(D23)Alice计算e＝γ(s_a+x_a)。

(D24)Alice计算n＝H₃(id_a,id_b,m,r,γ,u)。

(D25)Alice计算s＝η+n(s_a+x_a)modp。

(D3)Alice通过公开信道将生成的密文C←(r,c,e,n,s)发送给身份为id_b的接收方Bob。

E、解签密

(E1)身份为id_b的接收方Bob收到密文C后，计算t＝s_br和κ＝H₂(t,x_br)，恢复出明文m＝DEM.Dec(κ,c)。

(E2)Bob计算γ＝H₄(t,x_br)和u＝sγ-enmodp。

(E3)Bob计算n'＝H₃(id_a,id_b,m,r,γ,u)。

(E4)Bob验证n'＝n是否成立？如果验证不通过，Bob拒绝接收Alice发给他的密文，即密文无效；否则，接受恢复出的消息m。

实施例2

以密钥生成中心选择的大素数p，p为2²²⁴‐2⁹⁶+1为例，基于无证书的椭圆曲线混合签密方法步骤如下：

在本实施例的系统初始化(A1)步骤中，密钥生成中心选择一个大素数p，p为2²²⁴‐2⁹⁶+1，有限域F_p上的同余方程y²≡x³+ax+bmodp所有解(x,y)∈F_p×F_p，连同一个无穷远点O共同构成F_p上的椭圆曲线E：y²≡x³+ax+b，其中a,b∈F_p是满足4a³+27b²≠0的常量。E(a,b)和无穷远点O组成一个加法循环群G_p，G是群G_p的一个生成元。步骤A1中的其它步骤与实施例1相同。

其它步骤与实施例1相同。

实施例3

以密钥生成中心选择的大素数p，p为2²⁵⁶‐2²²⁴+2¹⁹²+2⁹⁶+1为例，基于无证书的椭圆曲线混合签密方法步骤如下：

在本实施例的系统初始化(A1)步骤中，密钥生成中心选择一个大素数p，p为2²⁵⁶‐2²²⁴+2¹⁹²+2⁹⁶+1，有限域F_p上的同余方程y²≡x³+ax+bmodp所有解(x,y)∈F_p×F_p，连同一个无穷远点O共同构成F_p上的椭圆曲线E：y²≡x³+ax+b，其中a,b∈F_p是满足4a³+27b²≠0的常量。E(a,b)和无穷远点O组成一个加法循环群G_p，G是群G_p的一个生成元。步骤A1中的其它步骤与实施例1相同。

其它步骤与实施例1相同。

实施例4

以密钥生成中心选择的大素数p，p为2³⁸⁴‐2¹²⁸‐2⁹⁶+2³²‐1为例，基于无证书的椭圆曲线混合签密方法步骤如下：

在本实施例的系统初始化(A1)步骤中，密钥生成中心选择一个大素数p，p为2³⁸⁴‐2¹²⁸‐2⁹⁶+2³²‐1，有限域F_p上的同余方程y²≡x³+ax+bmodp所有解(x,y)∈F_p×F_p，连同一个无穷远点O共同构成F_p上的椭圆曲线E：y²≡x³+ax+b，其中a,b∈F_p是满足4a³+27b²≠0的常量。E(a,b)和无穷远点O组成一个加法循环群G_p，G是群G_p的一个生成元。步骤A1中的其它步骤与实施例1相同。

其它步骤与实施例1相同。

实施例5

以密钥生成中心选择的大素数p，p为2⁵²¹‐1为例，基于无证书的椭圆曲线混合签密方法步骤如下：

在本实施例的系统初始化(A1)步骤中，密钥生成中心选择一个大素数p，p为2⁵²¹‐1，有限域F_p上的同余方程y²≡x³+ax+bmodp所有解(x,y)∈F_p×F_p，连同一个无穷远点O共同构成F_p上的椭圆曲线E：y²≡x³+ax+b，其中a,b∈F_p是满足4a³+27b²≠0的常量。E(a,b)和无穷远点O组成一个加法循环群G_p，G是群G_p的一个生成元。步骤A1中的其它步骤与实施例1相同。

其它步骤与实施例1相同。

本发明具有如下优点：

1)本发明采用无证书的公钥密码模式，没有证书管理问题和密钥托管问题，降低了网络的存储、计算和通信开销，适合应用于资源受限的无线传感器网络。

2)本发明由于密钥生成中心只生成用户的部分公钥和部分私钥，发送方或接收方能验证部分公钥和部分私钥的有效性，约束了密钥生成中心的权力，而且无需安全信道。

3)本发明以轻量级椭圆曲线密码体制为理论基础，在计算量和通信成本上均有很大改善，适合为资源受限的无线传感器网络建立安全和信任体系。

4)这种基于无证书的椭圆曲线混合签密方法能够抵抗适应性选择密文攻击和适应性选择消息攻击。

Claims (5)

1.一种基于无证书的椭圆曲线混合签密方法，其特征在于它是由下述步骤组成：

A、系统初始化

(A1)密钥生成中心选择一个k比特的素数p和一个定义在有限域F_p上的椭圆曲线E，G是加法循环群G_p的一个生成元；

(A2)密钥生成中心选择密码学安全的Hash函数H₁:H₄；

(A3)密钥生成中心选择主密钥z∈_RZ_p ^*并计算系统公钥y＝zG∈G_p；

(A4)密钥生成中心公开系统参数ρ＝(F_p,E,G_p,G,l,y,H₁:H₄)，保密主密钥z；

B、生成用户的私钥和公钥

(B1)身份为id_a的发送方Alice随机选择私钥x_a∈Z_p ^*并计算其公钥y_a＝x_aG∈G_p；

(B2)身份为id_b的接收方Bob随机选择私钥x_b∈Z_p ^*并计算其公钥y_b＝x_bG∈G_p；

C、生成用户的部分公钥和部分私钥

(C1)密钥生成中心和身份为id_a的发送方Alice通过交互协议生成Alice的部分公钥u_a和部分私钥s_a；

(C2)密钥生成中心和身份为id_b的接收方Bob通过交互协议生成部分公钥u_b和部分私钥s_b；

D、签密

(D1)身份为id_a的发送方Alice选择一个随机数η∈Z_p ^*，计算r＝ηG，t＝η(u_b+H₁(id_b)y)，κ＝H₂(t,ηy_b)，c＝DEM.Enc(κ,m)；

(D2)Alice用自己的私钥生成对消息m的签名(e,n,s)；

(D3)Alice通过公开信道将生成的密文C←(r,c,e,n,s)发送给身份为idb的接收方Bob；

E、解签密

(E1)身份为id_b的接收方Bob收到密文C后，计算t＝s_br和κ＝H₂(t,x_br)，恢复出明文m＝DEM.Dec(κ,c)；

(E2)Bob计算γ＝H₄(t,x_br)和u＝sγ-en mod p；

(E3)Bob计算n'＝H₃(id_a,id_b,m,r,γ,u)；

(E4)Bob验证n'＝n是否成立？如果验证不通过，Bob拒绝接收Alice发给他的密文，即密文无效；否则，接受恢复出的消息m。

2.根据权利要求1所述的基于无证书的椭圆曲线混合签密方法，其特征在于所述的步骤A2中，密码学安全的Hash函数是：H₁:{0,1}^*→Z_p ^*，H₂:G_p×G_p→{0,1}^β，H₃:{0,1}^*2×{0,1}ⁿ×G_p ³→Z_p ^*，H₄:{0,1}^*×G_p ³→G_p，其中β是一个数据封装机制的对称密钥长度。

3.根据权利要求1所述的无基于无证书的椭圆曲线混合签密方法，其特征在于：所述的步骤C1中，密钥生成中心和身份为id_a的发送方Alice通过交互协议生成Alice的部分公钥u_a和部分私钥s_a，生成过程如下：

密钥生成中心选择一个随机数l_a∈Z_p ^*，计算Alice的部分公钥u_a＝l_aG和部分私钥s_a＝zH₁(id_a)+l_amod p，密钥生成中心计算Y_a＝s_aG+l_ay_a并发送(s_a,u_a,Y_a)给Alice，Alice通过下面等式验证部分公钥ua和部分私钥s_a的真实性：

s_aG＝u_a-H₁(id_a)y和s_aG＝Y_a-x_au_a。

4.根据权利要求1所述的基于无证书的椭圆曲线混合签密方法，其特征在于：所述的在步骤C2中，密钥生成中心和身份为id_b的接收方Bob通过交互协议生成部分公钥u_b和部分私钥s_b，生成过程如下：

密钥生成中心选择一个随机数l_b∈Z_p ^*，计算Bob的部分公钥u_b＝l_bG和部分私钥s_b＝zH₁(id_b)+l_bmod p，密钥生成中心计算Y_b＝s_bG+υ_by_b并发送(s_b,u_b,Y_b)给Bob，Bob通过下面等式验证部分公钥u_b和部分私钥s_b的真实性：

s_bG＝u_b-H₁(id_b)y和s_bG＝Y_b-x_bu_b。

5.根据权利要求1所述的基于无证书的椭圆曲线混合签密方法，其特征在于所述的步骤D2中，Alice用自己的私钥生成消息m的签名，通过如下步骤实现：

(D21)Alice计算γ＝H₄(t,ηy_b)；

(D22)Alice计算u＝ηγ；

(D23)Alice计算e＝γ(s_a+x_a)；

(D24)Alice计算n＝H₃(id_a,id_b,m,r,γ,u)；

(D25)Alice计算s＝η+n(s_a+x_a)mod p；

式中r＝ηG，t＝η(u_b+H₁(id_b)y)。