CN104902471B - 无线传感器网络中基于身份的密钥交换设计方法 - Google Patents

Abstract

本发明公开了无安全高效的基于身份的密钥交换方法：(1)基站(BS)产生自身的私钥，节点A的私钥，节点B的私钥以及其他公钥材料，并分别发送给节点A和节点B对应的密钥材料。(2)节点A通过加密算法生成数据元素的签名，并将计算得到的对应参数发送给节点B。节点B收到对应参数后，同样进行对应解密算法和加密算法，将计算得到的对应参数发送给节点A。接着，节点A和B分别根据收到的对应参数进行验证，判断是否成功实现密钥交换。最后节点A和节点B分别计算出共享密钥。本发明能有效降低密钥交换协议的通信成本，采用了基于简单标量乘法的椭圆曲线算法，从而显著降低了数据加密和协商的计算成本。

Description

无线传感器网络中基于身份的密钥交换设计方法

技术领域

本发明涉及一种适用于无线传感器网络中安全高效的基于身份的可认证密钥协商协议，称为IBKE，属于物联网安全技术领域。

背景技术

如今，无线传感器网络已经广泛运用于军事，环境和其他商业应用中。为了确保两个传感器节点之间的通信安全，要通过部署密钥交换模块生成共享秘钥用来保护传感器节点之间的数据传输。为了简化公钥基础设施中的证书管理，无线传感器网络的密钥交换机制通常使用基于身份的密码学技术来生成共享密钥。

无论技术如何实现，一个典型的密钥交换场景包括三个部分：基站(BS)，带有身份标识的节点A和带有身份标识的节点B，它们涉及到两个阶段(准备阶段和密钥交换阶段)。在准备阶段，基站通过节点A和节点B的身份信息为它们计算密钥材料，并且将这些材料预加载到两个节点中。在密钥交换过程中，节点A和节点B分别利用各自的密钥材料进行密钥协商。

在上面的密钥交换系统中计算成本是一个严重的问题。由于有限的能量，通信节点双方深切关注由计算共享密钥带来的高计算成本。因此，为了提高传感器节点的生命周期，协商过程中应避免使用相当耗时的加密操作(如双线性配对操作)。不幸的是，在目前的机制中，通信节点双方都采用了多次配对操作来计算共享密钥，从而导致了计算成本的提高和传感器节点的生命周期的缩短。因此，精心的设计一个不含双线性映射的基于身份的密钥交换协议是首要任务。

一个不含双线性映射的基于身份的密钥交换协议应当满足下面的要求：(1)正确性。通信节点双方应当确保在正确实施IBKE的情况下，可以成功得到共享密钥。(2)机密性。通信节点双方应当确保攻击者不能从协议中提取出共享密钥，否则，攻击者会对节点双方随后利用共享密钥进行的通信产生威胁。(3)完整性。通信节点双方应当确保在该协议中共享密钥不会被攻击者篡改，否则，攻击者会利用篡改的共享密钥对节点双方随后进行的通信产生威胁。(4)通信节点双方低计算成本。由于能量有限，通信节点双方应当确保它们各自的计算成本很低，换句话说，通信节点双方应避免使用相当耗时的加密算法。(5)低通信成本。无线接口之间的数据传送会消耗传输节点的能量，因此，通信节点双方应当确保它们之间的通信成本很低。

很明显，设计一个无线传感器网络的基于身份的可认证密钥协商协议是一项困难的任务，因为资源限制的传感器节点没有能力运行相当耗时的加密算法。当前的方案可以满足需求(1)，(2)，(3)和(5)，然而，对于需求(4)被广泛的忽视了。更重要的是，当考虑到研究主题，我们观察到现有的加密原语都不可以有效地直接用于实现上述讨论的目标。

发明内容

发明目的：为了解决上述的安全和效率问题，本发明提出了无线传感器网络的一种基于身份的可认证密钥协商设计方法，由于该方法采用了现有方案所没有采用的基于简单标量乘法的椭圆曲线算法，该方法能够提供满足上述安全性能的高效的密钥协商，签名和验证算法以及协议。

技术方案：一种无线传感器网络中基于身份的密钥交换设计方法，称为IBKE，包括准备阶段和密钥交换阶段。

(1)准备阶段

准备阶段中实现密钥材料的生成，及将密钥材料从基站(BS)分发到节点A和节点B。基站按一定的规则和方法构造密钥生成函数，然后根据该函数生成共享密钥并通过完整/机密/抗重放保护的密钥分发渠道分配给节点A和节点B这两个实体。其中，密钥生成阶段使用了椭圆曲线标量乘法。

使得节点A和节点B拥有各自的密钥材料。确保在通信前后通信节点双方能够使用正确的密钥进行签名算法和验证。

(2)密钥交换阶段

签名机制实现了节点A能够就数据元素和加密问题与节点B进行通信。节点A得到来自基站的密钥和共享材料后，需要对待发送的数据元素使用加密算法生成对应材料，并将其发送给节点B。节点B在接收到节点A的消息后，使用解密算法生成对应数据材料，再将对应数据材料发送回给节点A。接着，节点A和节点B分别根据接收到的消息进行验证，确认交换材料的正确性。其中，涉及到的加密解密算法和验证算法也运用到了椭圆曲线的基本标量运算和简单的代数运算。最后节点A和节点B分别计算出共享密钥。

有益效果：本发明可以满足正确性，机密性和完整性要求。它建立在简单的代数运算之上。然而，不同于目前的基于双线性映射的密钥交换机制，本发明是基于椭圆曲线的新的协议。由于下面的理由，本发明没有使用传统的双线性映射算法：当使用双线性映射技术进行密钥交换时，通信节点双方都要进行多次配对操作，这是相当费时的。另一方面，注意到椭圆曲线标量乘法比配对操作更高效。本发明旨在主要执行简单的椭圆曲线标量乘法设计一个新颖的密钥交换协议。通过这样做，通信节点双方可以避免配对操作，从而显著地减少计算成本。

另外，通过安全性分析和效益评估，该方法符合所要求的安全性目标。该方法也从理论和实验上验证了效率，显示它可以满足上述所有的要求。本方法的研究对完善基于身份的密钥交换技术，进而推动我国物联网安全发展和繁荣互联网经济意义重大。

附图说明

图1是基于身份的密钥交换方案的系统模型；

图2是准备阶段流程图；

图3是密钥交换阶段流程图。

具体实施方式

下面结合具体实施例，进一步阐明本发明，应理解这些实施例仅用于说明本发明而不用于限制本发明的范围，在阅读了本发明之后，本领域技术人员对本发明的各种等价形式的修改均落于本申请所附权利要求所限定的范围。

无线传感器网络的基于身份的密钥交换方案的系统模型如图1所示。它包括该方案涉及的实体，这些实体之间沟通的协议，以及在协议上运行的算法。

本发明定义了三种实体：基站(BS)，节点A和节点B。基站(BS)用于生成密钥对并将节点A和节点B的私钥分别传送给节点A和节点B。节点A得到来自基站的密钥和共享材料后，需要对待发送的数据元素使用加密算法生成签名，并将其发送给节点B。节点B在接收到节点A的消息后，生成共享密钥，并使用解密算法生成对应数据材料，再将对应数据材料发送回给节点A。接着，节点A和节点B分别根据接收到的消息进行验证，确认交换材料的正确性。最后节点A和节点B分别计算出共享密钥。

具体分述如下：

(1)本发明提出了一种新的准备机制，包括：

准备机制实现了密钥材料的生成及其从基站(BS)到节点A和节点B的分发。基站按一定的规则和方法构造密钥生成函数，然后根据该函数生成共享密钥并通过完整/机密/抗重放保护的密钥分发渠道分配给节点A和节点B这两个实体。

这一实施例使得节点A和节点B拥有各自的密钥材料。确保在通信前后通信节点双方能够使用正确的密钥进行签名算法和验证。

(2)本发明提出了一种新的密钥交换机制，包括：

签名机制实现了节点A能够就数据元素和加密问题与节点B进行通信。节点A得到来自基站的密钥和共享材料后，需要对待发送的数据元素使用加密算法生成对应材料，并将其发送给节点B。节点B在接收到节点A的消息后，使用解密算法生成对应材料，再将对应数据材料发送回给节点A。接着，节点A和节点B分别根据接收到的消息进行验证，确认交换材料的正确性。最后节点A和节点B分别计算出共享密钥。

这一实施例使得通信节点双方在敌对的网络中实现加密材料和共享密钥的交换。

实施例一

本实施例设计完成准备工作。准备工作的目的是：生成密钥材料并分别给通信节点双方分配各自的密钥材料。包括但不限于以下步骤(采用表格表示)：

本实施例的协议流程如图2所示。

对实施例一中的步骤说明如下：

步骤100：基站首先构造一个密钥生成函数Setup()，基站再由此函数进行操作：{pk_bs,sk_bs,sk_A,sk_B}←Setup(ID_A,ID_B)，它将节点A和节点B的身份信息作为输入，产生一系列密钥材料。该函数具体算法如下：基站随机产生生成元G₀和素数阶p并由此生成椭圆G，然后基站生成一组随机数sk_bs＝{sk_bs1,sk_bs2,...，sk_bsn∈Z_p}，并将sk_bs作为自己的私钥，再计算对应的{pk_bs1＝sk_bs1G₀,pk_bs2＝sk_bs2G₀,...,pk_bsn＝sk_bsnG₀}，并且将pk_bs＝{G,G₀,p,pk_bs1,pk_bs2,...,pk_bsn}作为其公钥。其中Z_p表示小于p的整数。

对于节点A，基站计算出h(ID_A)＝a₁a₂...a_n，并进一步由此计算出节点A的私钥其中h:Z_p→{0,1}ⁿ是一种散射函数，我们可知(a₁,...,a_n∈{0,1})。

对于节点B，基站计算出h(ID_B)＝b₁b₂...b_n，并进一步由此计算出节点B的私钥其中h:Z_p→{0,1}ⁿ是一种散射函数，我们可知(b₁,...,b_n∈{0,1})。

步骤102：生成一系列密钥材料之后，基站在将对应的密钥材料分别预下载给节点A和节点B。之后节点A将持有自身的密钥材料{sk_A,pk_bs}，节点B将持有自身的密钥材料{sk_B,pk_bs}。

实施例二

本实施例设计完成密钥交换阶段。该阶段的目的是：通信节点双方对密钥元素进行加密和交换，实现共享密钥的交换以及验证。包括但不限于以下步骤(采用表格表示)：

本实施例的协议流程如图3所示。

对实施例二中的步骤及协议流程图说明如下：

步骤104：节点A首先通过加密算法(δ_A,u_A)←EncA(ID_B,pk_bs)对数据元素进行加密。 该算法将节点B的身份信息ID_B和基站的公钥材料pk_bs作为输入，得到数据材料(δ_A,u_A)。节点 A将u_A保密，而将δ_A发送给节点B。加密算法具体如下：节点A首先随机生成(u_A∈G,r_A∈Z_p)，并 计算出c₁＝r_AG₀∈G和最后得到δ_A＝(c₁,c₂)。

步骤106：节点B在接受到来自节点A的数据材料后，首先通过解密算法计算出u_A←DecB(sk_B,δ_A,pk_bs)，它将(sk_B,δ_A,pk_bs)作为输入，将输出u_A保密。解密算法具体操作如下：u_A＝c₂-sk_Bc₁。

节点B要生成一个证据来确保u_A没有被攻击者篡改，因此要通过证据生成算法σ_A←GenProB(u_A)实现，它将u_A作为输入，将输出σ_A作为证据发送给节点A。证据生成算法具体操作如下：σ_A＝H(u_A)。其中，H:G→Z_p是一个散射函数。

同样的，节点B也通过加密算法(δ_B,u_B)←EncB(ID_A,pk_bs)对数据材料进行加密。该 算法将节点A的身份信息ID_A和基站的公钥材料pk_bs作为输入，得到数据材料(δ_B,u_B)。节点B 将u_B保密，而将δ_B发送给节点A。加密算法具体如下：节点B首先随机生成(u_B∈G,r_B∈Z_p)，并 计算出c₃＝r_BG₀∈G和最后得到δ_B＝(c₃,c₄)。

步骤108：节点A根据已有材料要验证σ_A来确保u_A没有被攻击者篡改。节点A根据自己已有的u_A来计算σ_A'＝GenProB(u_A)，然后验证σ_A'和σ_A是否相等。验证算法同步骤106中的证据生成算法相同。

节点A通过从节点B得到的δ_B的和自己的私钥sk_A进行解密得到u_B←DecA(sk_A,δ_B,pk_bs)，它将(sk_A,δ_B,pk_bs)作为输入，将输出u_B保密。解密算法DecA()和DecB()类似，具体操作如下：u_B＝c₄-sk_Ac₃。

同样的，节点A也要生成一个证据来确保u_B没有被攻击者篡改，因此要通过证据生成算法σ_B←GenProA(u_B)实现，它将u_B作为输入，将输出σ_B作为证据发送给节点B。证据生成算法具体操作如下：σ_B＝H(u_B)。其中，H:G→Z_p是一个散射函数。

步骤110：节点B根据已有材料要验证σ_B来确保u_B没有被攻击者篡改。节点B根据自己已有的u_B来计算σ_B'＝GenProA(u_B)，然后验证σ_B'和σ_B是否相等。验证算法同步骤108中的证据生成算法相同。

步骤112：最终在通过验证之后，节点A计算得到k_A＝u_A+u_B，节点B计算得到k_B＝u_A+u_B。显然，如果该密钥交换过程没有被攻击者干扰，可得到k_A＝k_B即为共享的密钥。

Claims (1)

1.一种无线传感器网络中基于身份的密钥交换设计方法，其特征在于，包括准备阶段和密钥交换阶段；

(1)准备阶段

准备阶段中实现密钥材料的生成，及将密钥材料从基站(BS)分发到节点A和节点B；

基站生成共享密钥、节点A的私钥和节点B的私钥，并通过密钥分发渠道分配给节点A和节点B；使得节点A和节点B拥有各自的密钥材料；

(2)密钥交换阶段

在这个阶段，节点A通过加密算法生成数据元素的签名，并将计算得到的对应参数发送给节点B；节点B收到对应参数后，同样进行对应解密算法和加密算法，将计算得到的对应参数发送给节点A；接着，节点A和B分别根据收到的对应参数进行验证，判断是否成功实现密钥交换；最后节点A和节点B分别计算出共享密钥；

准备阶段中采用椭圆曲线标量乘法生成密钥材料；

密钥交换阶段中通过椭圆曲线的基本标量运算和代数运算实现加密解密算法和验证算法；

在准备阶段，基站首先构造一个密钥生成函数Setup()，基站再由此函数进行操作：{pk_bs,sk_bs,sk_A,sk_B}←Setup(ID_A,ID_B)，它将节点A和节点B的身份信息作为输入，产生一系列密钥材料，其中，pk_bs为基站公钥，sk_bs为基站私钥，sk_A为节点A私钥，sk_B为节点B私钥；

生成一系列密钥材料之后，基站在将对应的密钥材料分别预下载给节点A和节点B；之后节点A将持有自身的密钥材料{sk_A,pk_bs}，节点B将持有自身的密钥材料{sk_B,pk_bs}；

节点A首先通过加密算法(δ_A,u_A)←EncA(ID_B,pk_bs)对数据元素进行加密；节点B在接受到来自节点A的数据材料后，首先通过解密算法计算出u_A←DecB(sk_B,δ_A,pk_bs)；节点B要生成一个证据来确保u_A没有被攻击者篡改，因此要通过证据生成算法σ_A←GenProB(u_A)实现，它将u_A作为输入，将输出σ_A作为证据发送给节点A；

同样的，节点B也通过加密算法(δ_B,u_B)←EncB(ID_A,pk_bs)对数据材料进行加密；

节点A根据已有材料要验证σ_A来确保u_A没有被攻击者篡改；节点A根据自己已有的u_A来计算σ_A'＝GenProB(u_A)，然后验证σ_A'和σ_A是否相等；

节点A通过从节点B得到的δ_B的和自己的私钥sk_A进行解密得到u_B←DecA(sk_A,δ_B,pk_bs)，它将(sk_A,δ_B,pk_bs)作为输入，将输出u_B保密；

节点A也要生成一个证据来确保u_B没有被攻击者篡改；

节点B根据已有材料要验证σ_B来确保u_B没有被攻击者篡改；

在通过验证之后，节点A计算得到k_A＝u_A+u_B，节点B计算得到k_B＝u_A+u_B；显然，如果该密钥交换过程没有被攻击者干扰，可得到k_A＝k_B即为共享的密钥。