CN105723647A - 用于共享密码密钥的系统 - Google Patents

Abstract

一种用于配置网络设备（300）以便共享密钥的系统（200），该共享密钥是.位长的，该系统包括：—密钥材料获取器（210），其用于—以电子形式获得双变量多项式的第一私有集合（252，??(, )）和约简整数的第二私有集合（254，??），并且存在与第一集合中的每个双变量多项式相关联的第二集合的约简整数以及与约简整数的第二私有集合（254，??）相关联的公共全局约简整数（256，...），—网络设备管理器（230），其用于以电子形式获得用于网络设备的身份号（310，￥），该身份号是.位长的，其中. > .，以及—多项式操纵单元（220），其用于针对网络设备通过以下项根据第一和第二私有集合来计算单变量私有密钥多项式（229）—通过以下项来获得单变量多项式的集合—针对所述第一私有集合的每个特定多项式，向所述特定多项式??(￥, )中代入身份号（￥）并以与所述特定多项式相关联的约简整数为模进行约简，以及—对单变量多项式的集合求和，—网络设备管理器被进一步配置成用于在网络设备处电子地存储生成的单变量私有密钥多项式（229、236）和公共全局约简整数（256，...）。

Description

用于共享密码密钥的系统

技术领域

本发明涉及一种用于配置网络设备以便密钥共享的系统，该系统包括：用于获得多项式的密钥材料获取器、用于以电子形式获得用于网络设备的身份号的网络设备管理器以及多项式操控单元。

背景技术

在密码学中，密钥协商协议是由此可能未共享公共密钥的两方或更多方可以就这样的密钥达成一致的协议。优选地，双方可以影响结果，使得双方都不会强迫密钥的选择。窃听双方之间的所有通信的攻击者应学习不到关于密钥的任何东西。然而，虽然看到相同通信的攻击者学习不到任何东西或很少，但各方其本身可以导出共享密钥。

密钥协商协议对例如安全通信、例如对各方之间的消息进行加密和/或认证是有用的。

在1976年当Whitfield Diffie和Martin Hellman介绍公钥密码学的概念时，引入了实际密钥协商协议。他们提出了一种用于双方之间的密钥协商的系统，其利用在具有q个元素的有限域GF(q)的范围内计算对数的明显困难性。使用该系统，两个用户可以对对称密钥达成一致。该对称密钥然后可被用于比如双方之间的加密通信。

当各方尚未具有共享密钥时，用于密钥协商的Diffie-Hellman系统适用。Diffie-Hellman密钥协商方法要求大量资源的数学运算，诸如在有限域的范围内执行取幂操作。幂和域的大小两者都可以很大。这使得密钥协商协议不那么适合于低资源设备。另一方面，密钥协商协议在资源受限设备中将是非常有用的。例如，在诸如物联网、自组式无线网等的应用领域中，可以使用密钥协商来保护设备之间的链路。另一示例是读取器与电子标签之间的通信，比如读卡器与智能卡或标签读取器与标签，例如RFID标签或NFC标签。

在C. Blundo、A. De Santis、A. Herzberg、S. Kutten、U. Vaccaro和M. Yung在Springer Lecture Notes in Mathematics, Vol. 740, pp. 471-486, 1993中的•Perfectly-Secure Key distribution for Dynamic Conferences（针对动态会议的完美安全的密钥分配）•（称为Blundof）中给出了在给定通信网络中的成对网络设备之间建立安全的连接的问题的另一方法 。

此系统采取中央管理局（也称为网络管理局或可信第三方（TTP）），其用在具有p个元素的有限域F中的系数生成对称双变量多项式f(x,y)，其中，p是素数或素数的幂。每个设备在F中具有身份号，并且被TTP提供本地密钥材料。针对具有标识符,,,的设备而言，本地密钥材料是多项式f(,,,,y)的系数。如果设备,,希望与设备,,f通信，则其使用其密钥材料来生成密钥。由于f是对称的，所以生成相同的密钥。该本地密钥材料是秘密的。本地密钥材料的知识将直接地危害系统。特别地，其将允许窃听者获得相同的共享密钥。该方法要求设备网络中的每个设备具有其自己的唯一身份号和本地密钥材料。

如果攻击者知道t+1个或更多设备的密钥材料，则发生该密钥共享方案的问题，其中，t是双变量多项式的次数。攻击者然后可以重构多项式f(x,y)。那时，系统的安全被完全打破。给定任何两个设备的身份号，攻击者可以重构在这对设备之间被共享的密钥。

密钥共享中的另一顾虑涉及以下内容。可能难以获得许多设备的密钥材料。可能更容易获得目标设备已共享的共享密钥。可假设较大数目的这样的共享密钥可能是可用的。例如，攻击者可收集目标设备用来与至少部分地在攻击者fs的控制下的一大群设备通信的密钥。根据共享密钥的收集，攻击者可尝试预测目标设备在与不在攻击者控制下的设备进行通信时将使用的密钥。该攻击并未瞄准用来在每个设备中生成本地密钥材料的根密钥材料，而是攻击特定目标设备的本地密钥材料。

Oscar Garcia-Morchon等人的论文•Towards fully collusion-resistant ID-based establishment of pairwise keys（针对配对密钥的完全共谋抵抗的基于ID的确立）•公开了密钥确立方案。

发明内容

具有一种用于在网络设备、尤其是低资源网络设备之间的密钥分配和密钥共享的改进系统将是有利的。具有针对上述类型的攻击更有抵抗力的用于密钥共享的系统将是尤其有利的。

提供了一种用于配置网络设备以便共享密钥的系统，其中，共享密钥是•位长的。该系统包括密钥材料获取器、网络设备管理器和多项式操控单元。

密钥材料获取器被配置成以电子形式获得双变量多项式的第一私有集合以及约简整数的第二私有集合，并且存在与第一集合中的每个双变量多项式相关联的第二集合的约简整数以及与约简整数的第二私有集合相关联的公共全局约简整数。

多项式操控单元被配置成通过用针对第一私有集合的每个特定多项式，向所述特定多项式中代入身份号并以与所述特定多项式相关联的约简整数为模进行约简来获得单变量多项式的集合以及对单变量多项式集合求和而针对网络设备从第一和第二私有集合计算单变量私有密钥多项式。

网络设备管理器被配置成以电子形式获得用于网络设备的身份号，该身份号是•位长的，其中，•＞•。该网络设备管理器进一步被配置成电子地在网络设备处存储生成的单变量私有密钥多项式和公共全局约简整数。

本发明人发现使用小于身份号的共享密钥显著地增加针对攻击的恢复力，其中，攻击者可访问目标设备与受控设备共享的密钥。以这种方式共享的密钥可直接地用作密码密钥。然而，本发明人进一步发现可通过将多个小共享密钥组合在一个较大共享密钥中来减少存储资源。虽然存储资源增加以容纳多个密钥材料，但这小于一个具有身份号的相应较大尺寸的单片电路密钥材料将要求的存储要求。使用比生成的共享密钥更长的标识符使得格攻击的使用不可行，同时由于较长的标识符而允许可缩放性。

在实施例中，网络设备被配置成用于共享组合密钥，该组合密钥是从多个共享密钥导出的。组合密钥也称为,largekeyf，从多个共享,smallf密钥导出。单词小和大并不指示绝对尺寸，而是支持小密钥在尺寸方面比大密钥小。

将多个小密钥组合在一个大密钥中并未减小结果得到的大密钥的强度，同时增加了针对攻击的恢复力，并且存储方面的所要求的增加是适度的。在实施例中，组合密钥的长度为至少B。

在实施例中，公共全局约简整数具有至少( , + 1) • + •位，其中,是第一私有集合中的双变量多项式的单个变量中的最高次数。公共全局约简整数的尺寸增加两个已配置网络设备将达到同一密钥的机会，而同时减少共享密钥的泄露。同样地，在实施例中，对于某些整数而言，具有 < 2^‰，每个私有约简整数满足。当私有约简整数之间的差小于阈值（例如）和/或具有公倍数（例如）时，两个设备生成相同共享密钥的机会较高。在优选实施例中，公共全局约简整数具有精确地位。

在实施例中，密钥材料获取器被配置成获得双变量多项式的多个第一私有集合，并且存在与多个第一集合中的第一集合中的每个双变量多项式相关联的第二私有集合的约简整数。多项式操控单元被配置成通过针对多个私有集合中的每个第一私有集合用所述第一私有集合的每个特定多项式、向所述特定多项式中代入身份号并以与所述特定多项式相关联的第二私有集合的约简整数为模进行约简来获得单变量多项式集合以及对单变量多项式集合求和而从多个第一私有集合计算多个单变量私有密钥多项式。网络设备管理器被配置成用于在网络设备处电子地存储多个生成的单变量私有密钥多项式。

使用单个实例来生成足够长度的共享密钥将要求相当大的身份值。该身份值进而可要求多项式的系数很大。通过将多个较小密钥组合而获得存储方面的可观减少。这允许身份号的尺寸较小。例如，可将较小密钥组合以获得位尺寸B或更大的较大密钥。

在实施例中，密钥材料获取器被配置成获得多个约简整数的第二私有集合。存在与多个第一集合中的每个特定第一集合相关联的多个第二集合中的特定第二集合。存在与多个第一集合中的特定第一集合中的每个双变量多项式相关联的多个第二集合中的关联第二集合的约简整数。多项式操控单元被配置成用于以与来自与所述第一集合相关联的第二集合的所述特定多项式相关联的约简整数为模进行约简。实施例具有每个集合一个公共全局约简整数。例如，公共全局约简整数与第一集合数相关联。

在实施例中，密钥材料获取器被配置成以电子形式获得多个公共全局约简整数，并且存在与多个第一集合中的每个第一集合相关联的多个公共全局约简整数中的公共全局约简整数，网络管理器被进一步配置成在网络设备处电子地存储多个生成的公共全局约简整数。

如果将身份号以随机方式跨其B个位分布，则系统更加安全。存在用以改善这一点的许多方式。例如，在实施例中，网络设备管理器被配置成以电子形式生成用于网络设备的身份号，该身份号为•位长，其中，• > •。

在实施例中，身份号的至少一部分是随机生成的。例如，整个号码可以是随机生成的，或者比如最高有效位的预定的位数。

在实施例中，生成身份号包括对另一身份号进行散列计算，并将散列的结果指派给身份号的至少一部分。例如，可为网络设备指派其另外的身份号，诸如网络地址（诸如MAC地址之类）或序列号。可通过对这样的号码进行散列计算来增加其适合性。

本发明的一方面涉及被配置成确定与第二网络设备的共享密钥的第一网络设备，该共享密钥为•位长。第一网络设备包括电子存储装置、通信单元和多项式操控单元。电子存储装置被配置成存储单变量私有密钥多项式和公共全局约简整数，其是从用于配置网络设备以便密钥共享的系统获得的，存储装置进一步存储第一身份号以供第一网络设备用来生成单变量私有密钥多项式，该第一身份号为•位长的，其中• > •。

通信单元被配置成获得第二网络设备的第二身份号，第二身份号为•位长的，其中• > •，第二网络设备不同于第一网络设备。

多项式操控单元被配置成将第二身份整数代入单变量私有密钥多项式中，以公共全局约简整数为模约简代入的结果，并进一步以为模对以公共全局约简整数为模进行约简的结果进行约简。该设备可包括用于从后一种按模约简的结果导出共享密钥的密钥推导单元。

在实施例中，电子存储装置被配置成存储从用于配置网络设备以用于密钥共享的系统获得的多个单变量私有密钥多项式。多项式操控单元被配置成通过针对多个单变量私有密钥多项式中的每个单变量私有密钥多项式向单变量私有密钥多项式中代入第二身份整数、以公共全局约简整数为模约简代入的结果并进一步以为模约简以公共全局约简整数为模的约简的结果来从多个单变量私有密钥多项式获得多个小共享密钥。该设备进一步可包括用于从多个小共享密钥导出组合共享密钥的密钥推导设备。

在实施例中，该电子存储装置被配置成存储多个公共全局约简整数，并且存在与多个单变量私有密钥多项式中的每个单变量私有密钥多项式相关联的多个公共全局约简整数中的公共全局约简整数。多项式操控单元被配置成以被关联到单变量私有密钥多项式的公共全局约简整数为模约简代入的结果。

在典型实施例中，直接地将以为模的进一步约简应用于以公共全局约简整数为模约简的结果。然而，在以公共全局约简整数为模约简代入的结果之后但在进一步约简的步骤之前可存在附加步骤。例如，用多个单变量私有密钥多项式来增加安全性的另一方式如下。在实施例中，多项式操控单元被配置成向多个单变量私有密钥多项式中的每个单变量私有密钥多项式中代入第二身份整数，并以被关联到单变量私有密钥多项式的公共全局约简整数为模约简代入的结果。多项式操控单元被配置成将以关联公共全局约简整数为模的约简的结果求和。后一个和被以为模约简。该设备可包括用于从后一按模约简的结果导出共享密钥的密钥推导单元。

可通过使用多个单变量私有密钥多项式的多个集合来将多个单变量私有密钥多项式的这两次使用组合，其中，多个单变量私有密钥多项式的各集合被用来获得共享密钥，并且这样获得的共享密钥被组合成较大组合密钥。

在实施例中，电子存储装置存储用于第一网络设备的多个身份号。通信单元被配置成获得第二网络设备的多个身份号，并且存在与多个单变量私有密钥多项式中的每个单变量私有密钥多项式相关联的多个身份号中的身份号。多项式操控单元被配置成通过以下各项从多个单变量私有密钥多项式获得多个小共享密钥：针对多个单变量私有密钥多项式中的每个单变量私有密钥多项式，生成尺寸的小共享密钥，该密钥尺寸小于与所述单变量私有密钥多项式相关联的身份号的尺寸（）；向所述单变量私有密钥多项式中代入所述身份整数；以公共全局约简整数（）为模约简代入的结果；以及进一步以为模约简以公共全局约简整数（）为模的约简的结果。

在实施例中，第一网络设备包括密钥均衡器，其被配置成计算用于共享密钥的密钥确认数据并将密钥确认数据发送到第二网络设备。在实施例中，第一网络设备包括密钥均衡器，其被配置成从第二网络设备接收密钥确认数据，并适配小密钥以符合接收到的密钥确认数据。使用密钥均衡器，可以保证由第一和第二设备导出同一共享密钥。

本发明的一方面涉及一种密钥共享系统，其包括用于配置网络设备以便密钥共享的系统和被系统配置成用于配置网络设备以便密钥共享的第一和第二网络设备。

本发明的一方面涉及一种用于配置网络设备以便密钥共享的方法。本发明的一方面涉及一种用于确定与第二网络设备的尺寸b的共享密钥的方法。

附图说明

根据下文所述实施例，本发明的这些及其它目的是显而易见的，并且将参考下述实施例来阐述本发明的这些及其它方面。在所述附图中：

图1是用于配置网络设备以用于密钥共享的系统200和第一网络设备200的示意性框图，

图2是第一网络设备300和第二网络设备350的示意性框图，

图3a是密钥共享系统100的示意性框图，

图3b是密钥共享系统102的示意性框图，

图4是集成电路400的示意性框图，

图5是图示出用于配置网络设备以用于共享b位长的密钥的方法500的流程图，

图6是图示出用于确定与第二网络设备350的尺寸b的共享密钥的方法600的流程图。

应注意的是，在不同图中具有相同参考数字的项目具有相同的结构特征和相同的功能，或者是相同的信号。在已解释了这样的项目的功能和/或结构的情况下，在详细描述中不需要重复说明。

具体实施方式

虽然本发明易受到许多不同形式的实施例的影响，但在图中示出且将在本文中详细地描述一个或多个特定实施例，并且理解要将本公开内容视为本发明的原理的示范例且其并不意图使本发明局限于所示和所述的特定实施例。

下面用数学术语来描述密钥共享方法的实施例。密钥共享方法可在如下所述的设备中实现，例如在用于配置网络设备（300）的系统（200）上、在密钥共享系统（100）、（102）中等等。

在下面的实施例中，网络设备被配置成获得具有比网络设备的身份号更少的位的共享密钥。这样的共享密钥称为,small key f。在后续实施例中，将多个这些小密钥组合以获得较大密钥。我们将一个小密钥的生成称为,instancef。为了生成较大密钥，需要多个实例。然而，多个实例可共享其参数中的某些。下面首先描述单个实例。

该方法具有设置阶段和使用阶段。设置阶段可包括发起步骤和注册步骤。发起步骤并未涉及到网络设备。

发起步骤选择系统参数。发起步骤可由可信第三方（TTP）执行。还可将该系统参数视为给定输入。在那种情况下，可信第三方不需要生成系统参数，并且可跳过发起步骤。例如，可信第三方可从设备制造商接收系统参数。设备制造商可能已执行发起步骤以获得系统参数。为了便于说明，我们将把可信第三方称为执行发起步骤，记住这并非是必需的。

发起步骤

选择用于在实例的使用阶段中将在设备之间共享的小密钥的期望密钥长度；该密钥长度称为,•f。还选择期望的身份号长度。在后面的注册步骤中，每个设备将与身份号长度的身份号相关联；该身份号长度被称为,• f。用位来测量号码的长度。

• < •是要求。在实施例中，•是•的倍数，比如，至少为2•，或者针对推荐的安全水平，•为至少4•。用于低安全性应用的典型值可以是•＝8，•＝16。针对高安全性，•＝8、•＝32更好。较高安全性使用• •8（例如•＝8），并且（例如•＝128）。

用每个实例，双方可以导出共享密钥。可以将该共享密钥组合以形成较大组合密钥。选择实例的数目，使得组合密钥对于其中将使用该组合密钥的安全性应用而言足够长。例如，一个选项是将实例的数目选择为，其中，是期望密钥长度，例如，80位或更多、128位或更多、256或更多等。优选的是使得组合密钥至少与为单独身份号一样大，并且将实例的数目选择为或更高。

•相对于•的较小值增加对所谓共谋攻击的恢复力。在共谋攻击中，攻击者获得关于在目标网络节点与多个共谋网络节点之间所使用的共享密钥的信息。从每个附加共谋网络节点学习的信息的量具有尺寸•。然而，需要重构以便中断目标网络节点与非共谋网络节点之间的通信所需的信息量随•而增加。

通常，所有实例将使用相同的•和•，但这并不是必需的。两个实例可以对•和/或•使用不同的值，即使其稍后在单个较大密钥中被组合。

实例的数目、密钥尺寸和子密钥长度常常将例如由系统设计员预定，并作为输入提供给可信方。

实例参数

接下来，选择用于每个实例的参数。选择期望的次数；该次数控制某些多项式的次数。该次数将称为,,f，其至少为1。用于，的实际选择是2。更安全的应用可使用,的较高值，比如3或4，或者甚至更高。针对简单的应用，,＝1也是可能的。情况,＝1与所谓的,hiddennumber problemf有关，较高的• , •值与确认这些情况难以中断的扩展隐藏数问题有关。值,＝1虽然是可能的，但并不推荐，并且应仅针对非常低安全性的应用考虑。针对低安全性应用，,＞2、（比如,＝3）的值是可能的。然而，针对高安全性，推荐32，例如,＝32。

选择多项式的数目。多项式的数目将称为, •f。用于•的实际选择是2。更安全的应用可使用•的较高值（比如3或4）或者甚至更高。

请注意，比如用于资源受限设备的低复杂性应用可使用•＝1。值•＝1虽然是可能的，但并不推荐，并且应仅针对低安全性应用考虑。安全参数的较高值,和•增加系统的复杂性，并且因此增加其难驾驭性。更复杂的系统更加难以分析，并且因此对密码分析更加有抵抗力。下面假设• 2。

选择满足的公共模数...。优选地，将公共模数选择成具有精确地(™+ 1) • + •位，并且因此还有...＜。例如，可在此区间中随机地选择...。密钥长度•、次数以及多项式•的数目常常将例如由系统设计员预定，并作为输入提供给可信方。公共模数也可以是固定的，比如在标准中，但是更典型地将在参数的生成期间选择。

选择数目•个私有模数。模数是正整数。每个所选数满足以下关系。其中，是随机的•位整数，即< 2^‰，更优选地，其具有精确地B位，即 < 2^‰。

针对•＞1，系统更加复杂，并且因此更加安全，因为用于不同模数的按模运算被组合，即使这样的运算在普通的数学意义上并不是兼容的。因此，将所选私有模数选择为成对地不同是有利的。

生成次的数目•个双变量多项式。优选地，双变量多项式是对称的；这允许所有网络设备与每个其它网络设备对共享密钥达成一致。这些双变量多项式也可以选择为不对称的。所有次数满足，并且针对至少一个Ϋ，我们具有。更好的选择是采取次的每个多项式。双变量多项式是具有两个变量的多项式。对称多项式满足 =。在由通过以为模计算而获得的以为模的整数形成的有限环中评估每个多项式。以为模的整数形成具有个元素的有限环。多项式的系数是整数，并表示由以为模的运算定义的有限环中的元素。在实施例中，多项式被表示为具有从0直至的系数。可例如通过在这些界限内选择随机系数来随机地选择双变量多项式。

密钥共享的安全性取决于这些双变量多项式，因为其是系统的根密钥材料；所以优选地采取强有力措施来保护它们，例如控制程序、抵抗篡改设备等。优选地，所选整数也是保密的，其包括对应于的值，但是这不那么关键。我们将参考也采取以下形式的双变量多项式：针对j＝1、2、...、m，我们写出。

可以用许多方式来变化以上实施例。可以用各种各样的方式来选择对于公共和私有模数的限制，使得单变量多项式的混淆是可能的，然而在网络设备处获得的共享密钥仍足够频繁地相互足够接近。足够的情况将取决于应用、所要求的安全水平和在网络设备处可用的计算资源。以上实施例将正整数组合，使得当生成多项式时执行的求模运算可以在其在整数范围内被相加时以非线性方式组合，从而创建用于存储在网络设备上的本地密钥材料的非线性结构。用于...和的以上选择具有以下性质：（i）...的尺寸对于所有网络设备而言是固定的，并且与,相链接；（ii）该非线性效应在形成存储在设备上的密钥材料的系数中出现。

由于该特定形式，可以通过在以...为模约简之后以为模约简来生成共享小密钥。

注册步骤

在注册步骤中，为每个网络设备指派密钥材料（KM）。该密钥材料包括用于每个实例的密钥材料。下面我们描述了如何针对网络设备导出用于一个实例的密钥材料。每个实例具有唯一于该实例的密钥材料，即使可在不同的实例之间共享密钥材料的一部分。

网络设备与身份号¥相关联。身份号可例如由TTP按需指派，或者可已经被存储在设备中，例如在制造时存储在设备中等。¥的位尺寸为•位。生成¥可用各种各样的方式来完成。为了高安全性，¥的低位是随机的。例如，可将¥选择为随机数；¥可以是可能被截断成•位的另一身份号的散列，比如说序列号。

TTP如下生成用于设备A的一组密钥材料：

可以向其添加另一混淆数，如下：

其中，是具有身份号的设备的密钥材料，是形式变量。请注意，密钥材料是非线性的。符号 指代以为模约简括号之间的多项式的每个系数。换言之，我们有。

符号表示随机整数，其为混淆数的示例，使得。请注意，随机整数中的任何一个可以是正的或负的。针对每个设备再次生成随机数-。项因此表示次的中的多项式，其系数长度随着增加的次数而较短。替换地，更一般但更复杂的条件是是小的，例如。在不同有限环范围内的混合效应对安全性提供最大的贡献，混淆数的使用因此是可选的。

所有其它加法可使用自然整数运算（即在环中），或者（优选地）其使用以...为模的加法。因此，单变量多项式的评估每个对较小的模数求模单独地完成，但是优选地以...为模来完成这些约简的单变量多项式本身的求和。并且还可使用自然整数运算或者优选地以...为模来完成将混淆多项式相加。密钥材料包括系数，其中。可将密钥材料呈现为如上多项式。在实践中，可将密钥材料存储为整数的列表，例如阵列。设备A还接收数...和•。可将多项式的操控实现为例如包含系数的阵列的操控，例如按照预定顺序列出所有系数。请注意，在其它数据结构中可将多项式实现为例如相联阵列（也称为,mapf），其包括（次数，系数）对的集合，优选地使得每个系数在该集合中出现至多一次。提供给设备的系数优选地在范围0,1,...,N-1中。

使用阶段

一旦两个设备具有身份号A和B并从TTP接收到用于该实例的密钥材料，则其可使用其密钥材料来获得一个小共享密钥。设备A可针对每个实例执行以下步骤以获得其共享密钥。首先，设备A获得设备B的身份号•，然后A通过计算下式来生成共享密钥：

也就是说，A针对值B评估被视为整数多项式的其密钥材料；评估密钥材料的结果是整数。接下来，设备A首先以公共模数...为模且然后以密钥模数为模约简评估的结果。结果将被称为与B的Afs共享密钥，其为在0至范围中的整数。针对其一部分，设备B可以通过针对身份号¥评估其密钥材料并以...为模且然后以2为模约简该结果来生成与A的Bfs共享密钥。

如果根密钥材料中的双变量多项式是对称的，则与B的Afs共享密钥和与A的Bfs共享密钥常常但不一定总是相等的。对整数以及对随机数±的特定要求使得密钥常常是相等的且几乎总是以密钥长度的二次幂为模彼此接近。如果A和B已获得相同的共享密钥，则它们可将该共享密钥用作在A和B之间共享的对称密钥；例如，其可被用于各种各样的密码应用，例如其可交换使用共享密钥加密和/或认证的一个或多个消息。优选地，对共享密钥应用密钥推导算法以进一步保护主密钥，例如可应用散列函数。

即使A和B未获得相同的共享密钥，可以肯定的是在的意义上，这些密钥是相互接近的；在本文中¼在绝对值方面是小的数，至多为3• + 2。定义，即以为模的N的逆。然后

让c为最小数，使得，然后A可将的 个最低有效位作为密钥确认数据发送。这使得B根据和密钥确认数据来确定。

所选•个私有模数优选地是成对互质的。如果这些数是成对互质的，则增加了按模运算之间的兼容性的缺乏。可以通过按顺序选择整数、针对每个新的整数测试所有成对的不同数是否仍互质、如果不是则从集合中移除刚刚选择的数来获得成对互质数。该程序持续至所有的•个数都被选择。通过要求所选的•个私有模数是不同的质数，甚至进一步增加了复杂性。

将多个实例组合

所述系统允许网络节点对小于其标识符的共享密钥达成一致。较高安全性和实际实施方式的组合使得选择相对小的•的值是合期望的，例如• • 8或者可能甚至• • 16。然而，•的这样的选择对于安全加密通信而言过于小了。这可以通过选择•的大得多的值来解决，例如通过将身份号长度•选择为512位或更多，并将密钥长度•选择为128位或更多来解决。在这种情况下，单个实例将允许两个网络节点共享•位的密钥，这对于安全通信而言足够长。然而，具有•＝512使得本地密钥材料相应地较大。因此可能的是，甚至使用仅适度强大的网络设备（比如移动电话）来配置网络设备以用于安全地共享对于安全通信而言足够长的密钥，但仅要求单个实例。无论如何，在仍导出足够长的共享密钥的同时降低存储要求将是非常合期望的。

在不创建不切实际的长密钥材料的情况下增加密钥长度的一个方式是将多个小密钥组合。该系统允许该方对一起形成共享密钥的多个子密钥达成一致。我们将把生成子密钥的系统称为密钥协商实例。每个实例可具有其自己的独立参数，但是沿着与其它实例相同的原理操作。然而，多个实例可共享其参数中的某些参数。我们将把从如上所述的系统，即从单个实例获得的共享密钥称为,smallfkey，并将两个或更多小密钥的组合称为,large keysf。被组合的实例的数目称为。

获得多个小密钥的第一方式是选择多个完全独立的实例。然而，由于用于每个小密钥的安全性要求是相等的，所以多个实例通常将针对和•具有相同的值。TTP生成针对每个实例的公共模数...、私有模数、私有多项式以及针对每个实例和每个网络节点的标识符¥和本地密钥材料。

用以将多个实例组合的第二方式是针对每个实例使用相同标识符¥。第三方式是针对每个实例使用相同的公共模数...。最后，可以使用相同标识符¥和相同公共模数...。本地密钥材料将不是对于所有实例而言都相同的。

例如，共享大密钥的尺寸取决于安全要求，其可以是64或80。用于消费者水平安全性的典型值可以是128。高度秘密的应用可优选256或者甚至更高的值。在实施例中，组合密钥的长度等于标识符•的长度。并且，选择实例的数目和子密钥的尺寸。不同实例中的子密钥的尺寸可以是不同的。我们可将实例中的子密钥的尺寸称为。这些被选择成使得。为了简单起见，我们将丢弃索引，并且在下面将子密钥的尺寸指代为。通常，子密钥的尺寸在所有实例中将是相同的，并被选择成使得。

每个设备使用密钥材料的不同实例来生成子密钥。然后例如通过将子密钥级联而从子密钥生成共享密钥。

除其它的之外，已经在实验中验证用于B＝32的以下参数集比其它的更安全：α＝10，b＝8，B＝32，此系统要求4个实例来做出32位密钥。参数集α＝3，b＝8，B＝32也是安全的，然而在具有α的这个较低选择的情况下，可建议的是，使用32位ID的全跨度。特别地，在长度256的任何区间中，应使用少于10个ID。一般地，通过以下来实现更多的安全性，即：设置预定的第一和第二身份阈值并选择身份号，使得第一身份阈值的尺寸（例如256）的区间不包含多于第二身份阈值（例如10）的身份值。这可以例如由网络设备管理器例如通过根据该规则生成识别值或者通过针对具有超过阈值的识别值的设备拒绝生成本地密钥材料来执行。

图1是用于配置网络设备以用于密钥共享的系统200和第一网络设备300的示意性框图。

用于配置的系统200通常被实现为集成设备。例如，可将用于配置的系统200包括在服务器中。用于配置的系统200可通过网络（比如无线网或互联网等）来配置网络设备。然而，还可将用于配置的系统200集成在用于制造网络设备的制造设备中。

用于配置的系统200包括密钥材料获取器210、网络设备管理器230和多项式操控单元220。用于配置的系统200意图与多个网络设备一同工作。图1示出了一个这样的设备，第一网络设备300。

用于配置的系统200选择秘密密钥材料，其也称为根密钥材料。用于配置的系统200然后针对多个网络设备中的每一个导出本地密钥材料。本地密钥材料是从根密钥材料和网络设备的至少一个公共身份号¥导出的。在图1中，网络设备300存储身份号310。网络设备还可具有多个身份号，例如每个实例一个。网络设备还可存储另一身份号并在需要时从其导出身份号310，例如通过对该另一身份号进行散列计算。

本地密钥材料包括对特定网络设备私有的部分，即，只有一个特定网络设备和可能可信设备可访问。本地密钥材料还可包含虽然是获得共享密钥所需要的、但保密并不那么关键的部分。

形容词“公共”和“私有”的使用意图有助于理解：即使可访问所有公共数据，也不能计算私有数据，至少在给定应用的安全性或者与密钥生成、加密和解密所需的资源相比没有不合理的高资源的情况下不能计算。然而，,publicf并不意味着使得相应数据比用于配置的系统200和网络设备必须是对任何其他人可用的。特别地，针对不可信的各方将公共全局约简整数及其它公共参数保密增加了安全性。同样地，对私有数据的访问可局限于生成或需要该数据的一方，这增加了安全性。然而，可允许可信方访问私有数据；对私有数据的访问降低安全性。

通过使用其本地密钥材料及另一方的身份号，网络设备可以对其之间的共享密钥达成一致。

密钥材料获取器210被配置成以电子形式获得至少第一参数集250。第一参数集包括公共全局约简整数256、...、双变量多项式的第一私有集合252、以及约简整数的第二私有集合254，，以及与第一集合中的每个双变量多项式相关联的第二集合的约简整数以及公共全局约简整数256、...。针对具有位尺寸•的标识号的网络节点生成第一参数集。第一参数集（即，第一实例）将被用于生成本地密钥材料，其进而将被用来导出共享的小密钥。小密钥的位尺寸•满足• < •。这样，可以从共享密钥学习的信息量小于需要重构的信息的量。这使得相应点阵问题更难，并且甚至棘手。

在优选实施例中，密钥材料获取器210被配置成以电子形式获得多个参数集250、260。图1示出了第一参数集250和第二参数集260。参数集的数目有时被指示为,tf。可存在多于2个参数集，例如4个或更多、8个或更多、16个或更多、32个或更多等。第二参数集260包括双变量多项式的第一私有集合262以及约简整数的第二私有集合264。

针对两个参数集描述了下面的实施例：参数集250和260。必须记住的是在典型实施例中，参数集的数目将更高，比如16个或者甚至更多。下面针对两个集合所述的内容也适用于多于两个集合。

在参数集之间可存在某种重叠，例如其可具有相同的公共约简整数；或者相同的公共约简整数和相同的约简整数集合。在更安全的实施例中，参数集是不同的，例如独立地生成。优选地，多项式（即，第一集合252和262）在所有参数集方面是不同的。

参数集256、266、...的公共全局约简整数不同于该集合中的约简整数254、264中的每一个。优选地，参数集256、266、..的公共全局约简整数大于该参数集的约简整数254、264中的每一个。

密钥材料获取器210不需要与网络设备相交互以便获得密钥材料；特别地，密钥材料获取器210不需要身份号。用于配置的系统200可以是其中密钥材料获取器210位于与多项式操控单元220不同的物理位置处的分布式系统。密钥材料获取器210生成密钥材料的全部或一部分和/或从外部源获得密钥材料的全部或一部分。例如，密钥材料获取器210适合于从外部源接收公共全局约简整数256、266，并生成第一私有集合252、262和第二集合254、264。后者允许用固定的公共全局约简整数256、266来制造所有网络设备，从而降低成本。

密钥材料获取器210可包括电子随机数发生器。该随机数发生器可以是真或伪随机数发生器。密钥材料获取器210可例如使用电子随机数发生器来生成公共全局约简整数...。虽然公共全局约简整数是公共信息，但引入随机性使得分析系统更加困难。

来自第二集合的约简整数与第一集合中的每个双变量多项式相关联。可随机地从整数环中选择随机系数，例如按某个数为模计算的整数，诸如关联的约简整数。

密钥材料获取器210可使用电子随机数发生器来生成第二私有集合中的约简整数的一个或多个系数。约简整数是质数并不是必需的。然而，其可被选择为质数以增加抵抗力。质数产生域，其是一种环。相同的参数集（即，相同第一和第二私有集合以及公共全局约简数）被用于稍后需要共享密钥的所有网络设备。

密钥材料获取器210可例如使用电子随机数发生器来生成第一私有集合252、262中的双变量多项式的一个或多个系数。密钥材料获取器210可用这种方式来生成所有双变量多项式。密钥材料获取器210可使用最大次数的这些多项式（比如2次、3次或更高）并且生成比次数多一个的随机系数。

规定第一私有集合252、262的某些方面是方便的，诸如私有集合252、262中的多项式的数目和多项式的次数或者最大次数。还可规定的是多项式中的系数中的某些系数是零，例如以便降低存储要求。

第一集合可包含两个相等多项式。这将起作用，然而除非关联约简整数是不同的，则集合可在尺寸方面减小。因此通常，每当第一集合中的两个或更多双变量多项式相同时，关联约简整数（即，底层环）是不同的。

在实施例中，双变量多项式的所有第一私有集合包括对称双变量多项式。仅使用对称多项式具有如下优点，即：每个网络设备可以与已配置网络设备的任何其它网络设备对共享密钥达成一致。然而，双变量多项式的第一私有集合可包含一个或多个不对称多项式；这具有可以将设备划分成两个群组的效果：来自一个群组的设备只能与第二群组的设备对共享密钥达成一致。

密钥材料获取器210被配置成以电子形式获得双变量多项式的第一私有集合252，其在公式中也称为。下面描述的实施例假设集合252中的所有双变量多项式是对称的。可用相同的方式来完成第二参数集的生成。

还可以以两个形式变量作为占位符将对称双变量多项式以符号表示为。对称双变量多项式满足 =。此要求转化成对系数的要求，例如单项式的系数等于单项式的系数。

可取决于应用而不同地选择第一私有集合252中的多项式数目。当第一和第二集合仅包含单个多项式时，系统将工作；在这样的系统中，密钥可被成功地共享并提供适度的安全性水平。然而，只有当第一集合在其中具有至少2个多项式且第二集合具有至少两个不同的约简整数时才能实现在不同环的范围内进行混合的安全性优点。

私有集合252包括至少一个双变量多项式。在发起密钥协商设备100的实施例中，私有集合252由一个多项式组成。在私有集合252中仅具有一个多项式降低了复杂性、存储要求并增加了速度。然而，在私有集合252中仅具有一个多项式被认为与在私有集合252中具有两个或更多多项式相比不那么安全，因为这样的单多项式系统并未受益于下面描述的求和中的附加混合。然而，密钥共享将正确地工作，并被认为对于低值和/或低安全性应用而言足够安全。

在其余部分中，我们将假设私有集合252包括至少两个对称的双变量多项式。在实施例中，多项式中的至少两个或者甚至全部是不同的；这使得系统的分析相当复杂。但其并不是必需的，私有集合252可包括两个相等多项式，并且仍受益于求和步骤中的混合，如果在不同环的范围内对这两个多项式进行评估的话。请注意，不同的约简整数定义不同的环。在实施例中，私有集合252包括与不同关联约简整数相关联的至少两个相等多项式。在第一集合中具有两个或更多相等多项式降低了存储要求。在实施例中，第二集合包括至少两个多项式，并且第二集合中的所有多项式是不同的。

私有集合252中的多项式可以具有不同的次数。用对称双变量多项式的次数，我们将意指在两个变量中的一个中的多项式的次数。例如，的次数等于2，因为次数是2。可将多项式选择成在每个变量中具有相同的次数；如果私有集合252中的多项式是对称的，则次数在另一变量中将是相同的。

可取决于应用而不同地选择私有集合252中的多项式的次数。私有集合252包括次数为1或更高的至少一个对称双变量多项式。在实施例中，私有集合252仅包括次数为1的多项式。在私有集合252中仅具有线性多项式降低了复杂性、存储要求并增加了速度。然而，在私有集合252中仅具有一次多项式被认为与在私有集合252中具有至少二次的至少一个多项式相比不那么安全，因为这样的系统相当地更加线性。即使如此，如果在不同环的范围内评估私有集合252中的多个多项式，则结果得到的加密不是线性的，即使私有集合252中的所有多项式都是线性的。在实施例中，私有集合252包括2次或更高次的至少一个、优选地两个多项式。然而，如果仅使用1次多项式，密钥生成、加密和解密将正确地工作，并且被认为对于低值和/或地安全性应用而言足够安全。

在私有集合252中具有0次的一个或多个多项式将不影响系统，只要具有较高次数的（一个或者多个）多项式提供足够的安全性即可。

对于中等安全性应用而言，私有集合252可包括2次的两个对称双变量多项式或者甚至由其组成。对于较高安全性应用而言，私有集合252可包括两个对称双变量多项式（一个多项式是2次的，并且一个多项式是高于2次的，比如3次）或者甚至由其组成。增加多项式的数目和/或其次数将以增加的资源消耗为代价进一步增加安全性。

优选地，选择约简整数，使得约简整数的相同集合中的任何两个约简整数的差具有公约数。特别地，该公约数可以是；或者总之，任何两个约简整数之间的差以至少与将从该实例导出的小密钥的尺寸一样多的零fs结束。

例如，生成约简整数和公共全局约简整数的一个方式如下。

1. 首先生成公共全局约简整数...，例如作为规定尺寸的随机整数，

2. 针对每个约简整数，生成整数并生成约简整数作为差。

可将公共全局约简整数选择成具有位或更多，其中，,是第一私有集合中的双变量多项式的单个变量中的最高次。在那种情况下，可将整数选择为 < 2^‰。

可用软件或用硬件或者用其组合对密钥材料获取器210进行编程。密钥材料获取器210可与多项式操控单元220共享资源以用于多项式操控。

网络设备管理器230被配置成以电子形式获得用于网络设备300的身份号310，¥。网络设备管理器230可从网络设备接收身份号。例如，网络设备管理器230可包括或利用通信单元以便通过网络接收身份号。例如，网络设备管理器230可包括用于接收身份号作为无线信号的天线。可将该身份号表示为位数，通常身份号•中的位数至少与共享密钥中的位数一样大。

系统200可对所有参数集使用相同的身份号。然而，还可以对不同的参数集使用不同的身份号。在后一种情况下，网络管理器230获得多个身份号。

多项式操控单元220被配置成针对参数集和标识号¥计算单变量私有密钥多项式229。对密钥材料获取器210的参数集中的每个参数集应用多项式操控单元220。在实施例中，多项式操控单元对参数集中的至少两个或者甚至对其中的每一个使用相同的标识号。在实施例中，多项式操控单元针对参数集中的至少两个或者甚至全部使用网络设备的不同标识号。因此获得的单变量私有密钥多项式和相应公共全局约简整数是将发送到网络设备的本地密钥材料的一部分。

多项式操控单元220通过连接238从密钥材料获取器210接收参数集中的数据。下面描述了多项式操控单元220如何根据第一参数集来确定单变量私有密钥多项式。以相同的方式完成根据另一参数集生成单变量私有密钥多项式。

多项式操控单元220可如下计算单变量私有密钥多项式229：

通过向当前被处理的参数集的第一私有集合中的多项式中的每个多项式代入到身份整数¥来获得单变量多项式中。通过用某个值代替双变量多项式的仅一个变量，双变量多项式约简为单变量多项式。然后以与其中代替身份号¥的双变量多项式相关联的约简整数为模来约简结果得到的单变量多项式。例如通过在多项式中添加y的相等幂的系数来对结果得到的单变量多项式的集合求和。这可在下式中从用于的公式获得：。

假设是第一私有集合中的双变量多项式中的一个。从环取该多项式的系数。亦即，从整数环取第一集合中的多项式的系数。为了简单起见，使用变量和来表示第一集合中的整数的形式变量。

在代入之后，多项式操控单元220获得。

多项式操控单元220进一步被配置成以为模来约简此项。例如通过以f为模进行约简而在系统在其范围内操作的环（例如）中约简系数。优选地，多项式操控单元220使结果为标准形，即预定标准化表示。适当的标准形是按单项式的次数排序的系数的表示。替换地，代替可以是针对y。

为了确保系统中的身份号,randomf起作用，建议在链中的某一点处进行随机化步骤，以确保格攻击不会简化。尤其是如果根据例如序列号之类的特定顺序对网络设备给定身份号，则建议这样的随机化步骤。例如，可对身份号应用密码散列（比如sha-256），结果被缩短成B位。

此外，可将身份号扩展成更多位。例如，可例如通过散列计算和/或级联将•f位的身份号扩展成•位，其中。例如且可将身份号¥扩展成或；指代散列且| |指代级联。在LSB侧完成级联。对于这种操作而言，诸如密码散列之类的高度非线性散列是优选的。

如果第一集合仅包含对称多项式，则身份整数¥的代替可以是在双变量多项式的两个变量中的任一个变量中。然而，如果在不对称多项式中完成代替，则需要更多注意。例如，多项式操控单元220可被配置成获得第一网络设备300是在第一还是第二群组中。第一和第二群组分别地与双变量多项式的第一和第二变量相关联。针对第一群组中的网络设备而言，总是使用第一变量。针对第二群组中的网络设备而言，总是使用第二变量。

图1示出了用以实现该功能的一个可能方式。图1示出了代入单元222、多项式约简单元224、多项式加法单元226和单变量多项式集合的和228；后者将是单变量私有密钥多项式228。这些可如下工作。代入单元222向第一集合的双变量多项式中代入身份整数¥。代入单元222可收集各项以产生标准形的结果，但这也可等待。多项式约简单元224接收代入的结果并以与在其中代入的双变量多项式相关联的约简整数为模对其进行约简。

向所述特定多项式中代入身份整数¥并以与所述特定多项式相关联的约简整数为模进行约简的结果在由多项式加法单元226求和之前以标准形表示为系数列表。变量充当形式变量。这种代入有时简单地以符号表示表示为。

多项式加法单元226接收已约简的单变量多项式并将其加到和228中的累计总数。和228在生成单变量私有密钥多项式之前被重置成0。多项式加法单元226可以使用自然运算或以被关联到参数集的公共全局约简数来逐个系数地添加多项式。

当第一私有集合中的所有多项式都以这种方式被处理时，可使用和228中的结果作为单变量私有密钥多项式。可将结果得到的单变量私有密钥多项式（比如在和228中）表示为系数列表且采取标准形。

如果系统200使用多个实例，即，如果系统200使用多个参数集，则多项式操纵单元220针对其中的每一个确定单变量私有密钥多项式。如果需要的话，单元220可重新使用某些信息，例如，单元220可使用相同身份号¥来生成所有单变量私有密钥多项式。为了实现更多的安全性，参数集是独立的，并且优选地还使用不同的身份号。

网络设备管理器230进一步被配置成用于在网络设备处电子地存储所生成的单变量私有密钥多项式229和相应的公共全局约简整数256、...。使用单变量私有密钥多项式229及其一个或多个身份号，第一网络设备300可以与根据相同根材料配置的其它设备共享密钥。还可将网络设备管理器230配置成用于在网络设备处电子地存储参数B和b。

虽然多项式操纵单元220是用软件实现的，但多项式操纵单元220特别适合于硬件的实现方式。只要多项式简化单元224实现了硬件，就将获得显著的速度改善；单元224的硬件版本未执行的系统200的功能的一部分可由处理器的软件运行环境（software running）来执行。

图1示出了多项式操纵单元220从第一网络设备300接收身份号消息232；第一网络设备300从密钥材料获取器210接收公共全局约简整数消息234并从多项式操纵单元220接收单变量私有密钥多项式消息236。这些消息通常是通过网络设备管理器230发送和接收的。可将单变量私有密钥多项式消息236和全局约简整数消息234组合在单个消息中。公共全局约简整数消息234可包含多个公共全局约简整数，其对应于单变量私有密钥多项式消息236中的多个单变量私有密钥多项式。身份号消息232可包含一个或多个身份号。身份号消息232还可或替代地包含一个或多个另外的身份号，系统200被配置成从所述一个或多个另外的身份号导出一个或多个身份号，例如通过对其进行散列计算。

用于配置的系统200可被配置成通过生成用于第一网络设备300的身份号来获得身份号。这样的配置很适合于制造设施。在那种情况下，替代于将发送身份号消息232，第一网络设备300从配置系统200接收身份号消息232，比如从密钥材料获取器210或多项式操纵单元220接收身份号消息232。

图2是第一网络设备300和第二网络设备350的示意性框图。第一网络设备300和第二网络设备350被配置成一起确定共享密钥。

第二网络设备350具有与网络设备300相同的设计。我们仅详细描述第一网络设备300，第二网络设备350可以是相同或类似的。图2仅示出了第二网络设备350存储了身份号355。第二网络设备350的身份号355是公共的，并且可与网络设备300交换以共享密钥。第二网络设备350还需要本地密钥材料（未示出），特别是对应于身份号355的一个或多个单变量私有密钥多项式。

第一网络设备300包括电子存储装置320、通信单元342、多项式操纵单元330和密钥推导设备340。

存储装置320存储设备300的本地密钥材料。该设备可被配置成用本地密钥材料的单个实例（即，一个单变量多项式单变量私有密钥多项式和一个公共全局约简整数）工作。在图2中所示的实施例中，设备300包括密钥材料的多个集合，示出了其中的第一个集合370和第二集合380。密钥材料的集合的数目可大于2，因为设备300的密钥材料可能已经从用于配置网络设备以用于密钥共享的系统（诸如系统200）获得。密钥材料包括单变量私有密钥多项式和公共全局约简整数。例如，第一密钥材料370包括单变量私有密钥多项式372和公共全局约简整数374；并且第二密钥材料380包括单变量私有密钥多项式382和公共全局约简整数384。公共全局约简整数可在某些或所有密钥材料之间被共享。然而，私有密钥多项式优选地在所有集合中是不同的。

存储装置320还存储被用来生成密钥材料中的单变量私有密钥多项式的是身份号310，¥。密钥材料还可包括身份号，尤其是在对每个密钥材料使用不同身份号的情况下。

存储装置320可以是存储器，比如非易失性且可写的存储器，诸如闪存。存储装置320可以是其它类型的存储装置，比如诸如硬盘之类的磁存储装置。存储装置320可以是一次写入存储器。

通信单元342被配置成获得第二网络设备350的身份号355。可将通信单元342实现为有线连接，比如WiFi、蓝牙或Zigbee连接。可用通过比如互联网之类的数据网络的连接来实现通信单元342。

多项式操纵单元330被配置成针对存储装置320中的每个密钥材料集合导出与设备350共享的小密钥。设备350具有与设备300相同数目的密钥材料。设备300可从设备350接收一个或多个身份号。设备300还可接收另外的身份号并由此导出身份号。下面描述了多项式操纵单元330可如何使用第一密钥材料370导出单个共享密钥。针对另一密钥材料导出小共享密钥以相同方式进行。通过使用多个共享密钥可导出较大共享密钥。

多项式操纵单元330可包括代入单元332以及整数约简单元334。

多项式操纵单元330被配置成向单变量私有密钥多项式372中代入身份整数¥并以公共全局约简整数374为模来约简代入的结果。多项式操纵单元330可使用与代入单元222和多项式约简单元224类似的硬件或软件。请注意，第一网络设备300不能访问第一和第二私有集合。

可选地，多项式操纵单元330包括密钥均衡器336。可能发生的是设备300和设备350并未得到相同共享小密钥。应用可选择忽视这种可能性。这么做的话，某些成对的网络设备可能不能参与加密和/或认证通信，因为其缺少共同的共享密钥。对于某些应用而言，仅保护某些成对的网络设备的安全就足够了，例如自组式网络是其示例。设备300和350还可配置有可选密钥均衡器336。在两个设备300和350中的一个设备中，密钥均衡器336从生成的密钥生成密钥确认数据，并将其发送到另一设备；在另一设备中，密钥均衡器336使用接收到的密钥确认数据来适配所生成的小密钥，使得两个设备中导出的共享小密钥是相同的。

例如，设备300中的密钥均衡器336获得所生成的小密钥的预定数目的最低有效位作为密钥确认数据。例如，可将预定数c选择为最小数，使得，其中，是第一私有集合中的多项式的次数且•是多项式的数目。

如果使用均衡器336来适配密钥，则其适配所生成的小密钥直至其符合密钥确认数据为止，即从已适配的小密钥导出密钥确认数据将给出与用于该密钥的接收到的密钥确认数据相同的结果。可通过如下步骤来完成对小密钥的适配，即：加上公共全局约简整数的倍数并以为模进行约简、即。如果最低有效位用作为确认数据，则均衡器将加上倍数，直至c个最低有效位与接收到的位相同为止。

密钥推导设备340被配置成从所有小密钥（即，以公共全局约简整数为模的所有约简结果）导出共享密钥。该共享密钥是所谓的对称密钥。约简结果是整数。该结果可几乎直接地用作密钥，比如通过可选地在均衡化之后将其系数级联。

从约简结果导出共享密钥可包括密钥推导功能和类似功能的应用，所述密钥推导功能例如是在开放移动联盟的OMA DRM规范（OMA-TS-DRM-DRM-V2_0_2-20080723-A，7.1.2KDF小节中定义的功能KDF）。

作为按照每个小密钥发送和接收密钥确认数据的替代，还可将均衡器配置成通过所聚集的大共享密钥生成密钥确认数据，甚至可能在类似于KDF的密钥确认算法之后。在这种情况下，均衡器同时地适配所有小密钥直至发现满足密钥确认数据的大密钥为止。虽然在该处变化多个小密钥是多得多的工作，但通过大密钥生成密钥确认数据还会更加安全，因为较少的直接信息可用于小密钥。

图2进一步示出了第一网络设备300中的可选密码单元345。密码单元345被配置成使用共享密钥。例如，密码单元345可以是被配置成用于用共享对称密钥对电子消息进行加密的加密单元。例如，密码单元345可以是用于用共享对称密钥对电子消息进行解密的解密单元。

图3a是密钥共享系统100的示意性框图。

密钥共享系统100包括用于配置的系统200以及多个网络设备；示出了网络设备300、350和360。网络设备的每个从用于配置的系统200接收身份号、单变量私有密钥多项式和全局约简整数。通过使用该信息，它们可以就共享密钥达成一致。例如，第一网络设备300和第二网络设备350的每个将其身份号发送给另一方。它们然后可以计算多个小共享密钥，它们将所述多个小共享密钥组合成较大的共享密钥。具有第一网络设备300与第二网络设备350之间的通信以及甚至全局约简整数的知识的某个人不能在不使用过多资源的情况下获得它们的共享密钥。甚至设备360也不能导出在设备300与350之间共享的密钥。

图3b是类似密钥共享系统102的示意性框图。系统102与系统100相同，除了网络设备从配置服务器110（也称为个性化设备）接收其身份号。网络设备然后通过发送其身份号来向用于配置的系统200注册。甚至设备360也不能获得在设备300与350之间共享的密钥。

配置服务器110可支配也被用于其它目的的身份号。例如，配置服务器110可指派网络地址，诸如MAC地址。该网络地址被网络节点用于从第二网络节点向其本身路由网络业务量。然而，该网络地址也可兼作身份号。在这种情况下，网络节点使得其网络地址对系统200可用，并接收单变量私有密钥多项式，其允许网络节点使用其网络地址作为身份号而参与加密通信。优选的是身份号具有全熵，即B位的熵。然而，当这不能实现时，优选的是执行熵平滑函数，例如在使用该号码作为身份号之前的散列函数。

配置服务器110可生成身份号以通过避免接近、（即，共享最高有效位的许多或全部）的身份号来增加系统的安全性。例如，服务器110可随机地生成身份号，比如真随机的或伪随机的。向身份号附加预定数目的随机位（比如10位）也是足够的。该身份号可具有形式，其中，¥_不是随机的，比如序列号、网络地址等，并且其中是随机的。可由随机数发生器生成。也可通过对进行散列计算而生成。如果使用密钥散列，比如HMAC，则此然后不能在没有访问所述密钥的情况下针对各方与随机区别开。该密钥可由服务器110生成并存储。

可将服务器110包括在系统200中，例如，并入在网络管理器230中。

图4是集成电路400的示意性框图。集成电路400包括处理器420、存储器430和/或I/O单元440。集成电路400的这些单元可以通过诸如总线之类的互连410在相互之间通信。处理器420被配置成执行存储在存储器430中的软件以执行如本文所述的方法。这样，可将集成电路400配置为用于配置的系统200或网络设备，诸如第一网络设备300；存储器430的一部分可根据要求而存储公共全局约简整数、双变量多项式的第一私有集合、约简整数的第二私有集合、身份号、明文消息和/或加密消息。

I/O单元440可用来与诸如设备200或300之类的其它设备通信，例如以接收密钥数据（诸如双变量多项式252的第一私有集合）和可能的关联参数（诸如尺寸、次数、模数等），或者发送和接收已加密和/或已认证消息。I/O单元440可包括用于无线通信的天线。I/O单元440可包括用于有线通信的电接口。

可将集成电路400集成在计算机、移动通信设备（诸如移动电话）等中。还可将集成电路400集成在例如布置有LED设备的照明设备中。例如，被配置为网络设备且布置有诸如LED之类的照明单元的集成电路400可接收用共享对称密钥加密的命令。

比如并入在照明设备中的多个网络设备可形成加密网络的节点，其中使用节点之间的共享密钥对链路加密。

虽然多项式操控可由处理器420按照存储在存储器430中的多项式操控软件所指导的来执行，但如果集成电路400被配置有可选多项式操纵单元450，则密钥生成的任务和计算单变量多项式更快。在本实施例中，多项式操纵单元450是用于执行代入和约简操作的硬件单元。

通常，设备200和300的每个包括微处理器（未示出），其执行存储在设备200和300处的适当软件；例如，该软件可能已被下载和/或存储在相应存储器中，例如，诸如RAM之类的易失性存储器或诸如闪存（未示出）之类的非易失性存储器。替换地，设备200和300可完全或部分地用可编程逻辑）例如作为现场可编程门阵列（FPGA））实现。

图5示出了图示了一种用于配置网络设备（比如第一网络设备300）以便共享•位长的密钥的方法500的流程图。方法500包括：

以电子形式获得502公共全局约简整数252、...、双变量多项式的第一私有集合252、以及约简整数的第二私有集合254。第二集合的约简整数与第一集合中的每个双变量多项式相关联。步骤502可以是获得密钥材料的一部分。

以电子形式获得504用于网络设备的身份号310，¥，该身份号是•位长的，其中• >•。

通过以下各项根据第一和第二私有集合来计算506单变量私有密钥多项式229：

通过针对第一私有集合的每个特定多项式向所述特定多项式中代入508身份号¥并以与所述特定多项式相关联的约简整数为模进行约简510来获得单变量多项式的集合。例如通过将其余形式变量的相等幂的系数相加来对单变量多项式的集合求和512。

在网络设备处存储514所生成的单变量私有密钥多项式229和公共全局约简多项式252、...。

图6示出了图示出用第二网络设备350来确定尺寸•的共享密钥的方法600的流程图。方法600包括：

存储602从用于配置网络设备以用于如本文所述的密钥共享的系统获得的单变量私有密钥多项式372和公共全局约简整数374、...。

存储604用于第一网络设备的身份号310，即¥，第一身份号为•位长，其中• > •，

获得606用于第二网络设备的身份号355，用于第二网络设备的身份号355是•位长的，其中• > •，

向单变量私有多项式中代入608第二身份整数，并以公共全局约简整数（...）为模来约简610代入的结果，进一步以为模来约简以公共全局约简整数（...）为模的约简结果。

从以为模的约简结果导出612共享密钥。

如对于本领域的技术人员而言将显而易见的，可以有执行本方法的许多不同方式。例如，可变化步骤的顺序或者可并行地执行某些步骤。此外，在各步骤之间可插入其它方法步骤。插入的步骤可表示诸如本文所述的方法的细化，或者可与本方法无关。而且，给定步骤可能在开始下一步骤之前并未完全结束。

可使用软件来执行根据本发明的方法，所述软件包括用于促使处理器系统执行方法500和/或600的指令。软件可仅包括由系统的特定子实体采取的那些步骤。可将软件存储在适当的存储介质中，诸如硬盘、软盘、存储器等。可将软件作为信号沿着导线或者无线地或者使用例如互联网之类的数据网络发送。可使得该软件可用于下载和/或用于在服务器上的远程使用。

将认识到的是本发明还扩展至被适配于将本发明付诸实践的计算机程序，特别是在载体上或载体中的计算机程序。该程序可以是源代码、目标代码、代码中间源和目标代码（诸如部分编译形式）的形式，或者是适合于在实现根据本发明的方法时使用的任何其它形式。涉及计算机程序产品的实施例包括对应于所阐述方法中的至少一个的每个处理步骤的计算机可执行指令。可将这些指令细分成子例程和/或存储在可被静态地或动态地链接的一个或多个文件中。涉及计算机程序产品的另一个实施例包括对应所阐述的系统和/或产品中的至少一项的装置中的每一装置的计算机可执行指令。

应注意的是上述实施例图示而不是限制本发明，并且本领域的技术人员将能够设计许多替换实施例。

在权利要求中，不应将放入括号之间的任何参考标号理解为限制权利要求。动词“包括”及其动词变化的使用并不排除除在权利要求中叙述的那些之外的元件或步骤的存在。在元件前面的冠词“一”或“一个”不排除多个这样的元件的存在。可借助于包括多个不同元件的硬件以及借助于适当编程的计算机来实现本发明。在枚举多个装置的设备权利要求中，可由硬件的同一个项来体现这些装置中的几个装置。在相互不同的从属权利要求中叙述某些措施的单纯事实并不指示这些措施的组合不能被有利地使用。

图1—4中的参考数字列表：

100、102 密钥共享系统

110 个性化设备

200 用于配置用于密钥共享的网络设备的系统

210 密钥材料获取器

220 多项式操纵单元

222 代入单元

224 多项式约简单元

226 多项式加法单元

228 单变量多项式集合的和

229 单变量私有密钥多项式

230 网络设备管理器

232 身份号消息

234 公共全局约简整数消息

236 单变量私有密钥多项式消息

250 第一参数集

252 双变量多项式的第一私有集合

254 约简整数的第二私有集合

256 公共全局约简整数

260 第二参数集

262 双变量多项式的第一私有集合

264 约简整数的第二私有集合

266 公共全局约简整数

300 第一网络设备

310 身份号

320 电子存储装置

330 多项式操纵单元

332 代入单元

334 整数约简单元

336 密钥均衡器

340 密钥推导设备

342 通信单元

345 密码单元

350 第二网络设备

355 身份号

360 第三网络设备

370 第一密钥材料

372 单变量私有密钥多项式

374 公共全局约简整数

380 第二密钥材料

382 单变量私有密钥多项式

384 公共全局约简整数

400 集成电路

410 互连

420 处理器

430 存储器

440 I/O单元

450 多项式操纵单元。

Claims (15)

1.一种用于配置网络设备（300）以便共享组合密钥的系统（200），所述共享密钥是•位长的，所述系统包括：

—密钥材料获取器（210），其用于

—以电子形式获得双变量多项式的第一私有集合以及约简整数的第二私有集合，并且存在与第一集合中的每个双变量多项式相关联的第二集合的约简整数以及公共全局约简整数（256、...），

—网络设备管理器（230），其用于以电子形式获得用于网络设备的身份号（310，¥），所述身份号是•位长的，其中• > •，以及

—多项式操纵单元（220），其用于针对网络设备通过以下各项根据第一和第二私有集合来计算单变量私有密钥多项式（229）

—通过以下项来获得单变量多项式的集合

—针对第一私有集合的每个特定多项式，向所述特定多项式中代入身份号（¥）并以与所述特定多项式相关联的约简整数为模进行约简，以及

—对单变量多项式的集合求和，

—网络设备管理器被进一步配置成用于在网络设备处电子地存储生成的单变量私有密钥多项式（229、236）和公共全局约简整数（256，...），

—其中，从多个共享密钥导出组合密钥。

2.如权利要求1所述的配置网络设备以便密钥共享的系统，其中，所述公共全局约简整数具有至少位，其中，是第一私有集合中的双变量多项式的单个变量中的最高次。

3.如权利要求1所述的配置网络设备以便密钥共享的系统， 其中，针对具有< 2^‰的某个整数而言，每个私有约简整数满足。

4.如权利要求1所述的系统（200）， 为了配置网络设备（300）以便共享组合密钥，其中，所述密钥材料获取器（210）被配置成获得双变量多项式的多个第一私有集合，并且存在与多个第一集合中的第一集合中的每个双变量多项式相关联的第二私有集合的约简整数，

—所述多项式操纵单元（220）被配置成通过以下项根据多个第一私有集合来计算多个单变量私有密钥多项式（229），

—针对多个私有集合中的每个第一私有集合

—通过以下项来获得单变量多项式的集合

—针对所述第一私有集合的每个特定多项式，向所述特定多项式中代入身份号（¥）并以与所述特定多项式相关联的约简整数为模进行约简，以及

—对单变量多项式的集合求和，

—所述网络设备管理器进一步被配置成用于在网络设备处电子地存储多个生成的单变量私有密钥多项式（229，236）。

5.如权利要求1或4所述的系统（200），为了配置网络设备（300）以便共享组合密钥，其中，所述密钥材料获取器（210）被配置成获得约简整数的多个第二私有集合，并且存在与所述多个第一集合中的每个第一集合相关联的所述多个第二集合中的第二集合，并且存在与所述多个第一集合中的第一集合中的每个双变量多项式相关联的所述多个第二集合中的关联第二集合的约简整数，

—多项式操纵单元（220）被配置成用于以与来自与所述第一集合相关联的第二集合的所述特定多项式相关联的约简整数为模进行约简。

6.如权利要求1、4或5所述的系统（200），为了配置网络设备（300）以便共享组合密钥，其中，所述密钥材料获取器（210）被配置成以电子形式获得多个公共全局约简整数（256，...），并且存在与所述多个第一集合中的每个第一集合相关联的所述多个全局约简整数中的公共全局约简整数，所述网络管理器被进一步配置成在网络设备处电子地存储多个生成的公共全局约简整数。

7.一种被配置成确定与第二网络设备（350）的共享组合密钥的第一网络设备（300），所述组合密钥是从多个共享密钥导出的，所述共享密钥是•位长的，所述第一网络设备包括

—电子存储装置（320），其存储从如权利要求1所述的用于配置网络设备以便密钥共享的系统获得的单变量私有密钥多项式（372）和公共全局约简整数（374，...），所述存储装置进一步存储被用来生成单变量私有密钥多项式（372）的用于第一网络设备的第一身份号（310，¥），所述第一身份号是•位长的，其中• > •，

—通信单元（342），其用于获得第二网络设备的第二身份号（355），所述第二身份号为•位长的，其中• > •，所述第二网络设备不同于所述第一网络设备，

—多项式操纵单元（330），其用于

—向单变量私有密钥多项式中代入第二身份整数，

以公共全局约简整数（...）为模对代入的结果进行约简，并且

进一步以为模对以公共全局约简整数（...）为模的约简的结果进行约简。

8.如权利要求7所述的第一网络设备（300），其中

—所述电子存储装置（320）被配置成存储从如权利要求1所述的用于配置网络设备以便密钥共享的系统获得的多个单变量私有密钥多项式（372），

—多项式操纵单元（330），其被配置成

—针对多个单变量私有密钥多项式中的每个单变量私有密钥多项式，通过以下项，从多个单变量私有密钥多项式获得多个小共享密钥，

—向单变量私有密钥多项式中代入第二身份整数，

以公共全局约简整数（...）为模对代入的结果进行约简，并且

进一步以为模对以公共全局约简整数（...）为模的约简的结果进行约简，

—密钥推导设备（340），其用于从多个小共享密钥导出组合共享密钥。

9.如权利要求8所述的第一网络设备（300），其中

—电子存储装置（320）被配置成存储多个公共全局约简整数（374，...），并且存在与所述多个单变量私有密钥多项式（372）中的每个单变量私有密钥多项式相关联的多个公共全局约简整数的公共全局约简整数，

—多项式操纵单元（330）被配置成用于

以被关联到单变量私有密钥多项式的公共全局约简整数（...）为模对代入的结果进行约简。

10.如权利要求8或9所述的第一网络设备（300），其中

—所述电子存储装置（320）存储用于第一网络设备的多个身份号，

—通信单元（342）被配置成用于获得第二网络设备的多个身份号（355），并且存在与多个单变量私有密钥多项式（372）中的每个单变量私有密钥多项式相关联的多个身份号中的身份号，

—多项式操纵单元（330）被配置成

—针对多个单变量私有密钥多项式中的每个单变量私有密钥多项式，通过以下项，从多个单变量私有密钥多项式获得多个小共享密钥

—生成尺寸的小共享密钥，所述密钥尺寸小于与所述单变量私有密钥多项式相关联的身份号的尺寸，

—向所述单变量私有密钥多项式中代入所述身份整数，

以公共全局约简整数（...）为模对代入的结果进行约简，并且

进一步以为模对以公共全局约简整数（...）为模的约简的结果进行约简。

11.如权利要求8、9或10所述的第一网络设备（300），包括

—密钥均衡器（336），其被配置成

—计算用于共享密钥的密钥确认数据并将所述密钥确认数据发送到第二网络设备，和/或

—从第二网络设备接收密钥确认数据并适配小密钥以符合接收到的密钥确认数据。

12.一种密钥共享系统，其包括如权利要求1所述的用于配置网络设备以便密钥共享的系统以及被所述系统配置成用于配置网络设备以便密钥共享的第一和第二网络设备。

13.一种用于配置网络设备（300）以用于共享组合密钥的方法（500），所述方法包括：

—以电子形式获得（502）公共全局约简整数（256，...）、双变量多项式的第一私有集合（）以及约简整数的第二私有集合（），并且存在与第一集合的每个双变量多项式相关联的第二集合的约简整数

—以电子形式获得（504）用于网络设备的身份号（310，¥），所述身份号是•位长的，其中• > •，

—通过以下项根据第一和第二私有集合来计算（506）单变量私有密钥多项式（229），

—通过以下项来获得单变量多项式的集合

—针对所述第一私有集合的每个特定多项式，向所述特定多项式中代入（508）身份整数（¥），并以与所述特定多项式相关联的约简整数为模进行约简（510），以及

—对单变量多项式的集合求和（512），

—在网络设备处存储（514）生成的单变量私有密钥多项式（229）和公共全局约简整数（256，...），

—从所述多个共享密钥导出组合密钥。

14.一种用于确定与第二网络设备（350）的共享组合密钥的方法（600），所述方法包括

—从尺寸•的多个共享密钥导出组合密钥，以及

—通过以下项来确定尺寸•的共享密钥：

—存储（602）从如权利要求1所述的用于配置网络设备以便密钥共享的系统获得的单变量私有密钥多项式（372）和公共全局约简整数（374，...），

—存储（604）用于第一网络设备的第一身份号（310，¥），所述第一身份号是•位长的，其中• > •，

—获得（606）第二网络设备的第二身份号（355），所述第二身份号是•位长的，其中• >•，以及

—向单变量私有多项式中代入（608）第二身份整数，以及以公共全局约简整数（...）为模对代入的结果进行约简（610），进一步以为模对以公共全局约简整数（...）为模的约简的结果进行约简。

15.一种在计算机可读介质上体现的计算机程序，包括适配于当在计算机上运行计算机程序时执行权利要求13和14中的任一项的所有步骤的计算机程序代码装置。