CN110190969A - 一种匿名信息系统中用户身份克隆检测方法及系统 - Google Patents

Abstract

本发明公开了一种匿名信息系统中用户身份克隆检测方法及系统。向认证服务器发送提供当前用户匿名证书中的秘密参数的零知识证明；在注销此次登录时，更新用户匿名证书的部分秘密参数并处理发送给认证服务器；以零知识方式证明当前用户匿名证书的秘密参数与用户匿名证书的新秘密参数之间存在联系，认证服务器对用户生成的用户匿名证书的新秘密参数进行签名；在下一次登录时，用户向认证服务器以零知识方式进行证明；用户输入计算出认证序列号并向认证服务器发送，以零知识方式证明此认证序列号被正确地生成。本发明可有效地解决匿名信息系统中用户身份的克隆问题，而且彻底解决利用匿名属性对大数据系统实施克隆攻击的问题。

Description

一种匿名信息系统中用户身份克隆检测方法及系统

技术领域

本发明涉及信息安全技术领域，特别是涉及一种匿名信息系统中用户身份克隆检测方法及系统。

背景技术

个人隐私越来越受到重视，包括中国在内的各国已经对个人隐私保护立法。大数据应用越深入，隐私保护要求越强烈。而且，这也是大数据应用能否推广的关键。在大数据环境中，真正意义上的隐私保护意味着用户对所有人(包括系统)保持匿名，并且，每次登录行为不可链接。隐私保护是大势所趋。然而，对用户隐私实施这样的“绝对保护”，导致用户身份克隆行为(共享身份信息)难以检测，由此产生对信息系统违规使用问题，甚至演变为攻击大数据系统的问题。比如，克隆者终端身份会对只向付费会员开放的信息系统造成实质性损害。而克隆车载信息采集系统的身份模块，可以大规模登录，而基于车载模块反馈信息的智能交通系统将会因此产生交通拥塞的假象，攻击者可用这样克隆登录的方式干预系统用户的出行规划，甚至以虚假拥塞制造真实拥堵事故。在实际应用中，一旦用户身份模块被(攻破)读取，克隆攻击或许只需“复制-粘贴”，甚至以同一身份反复登录(不注销)即可——此时攻击者可以利用“绝对隐私保护”轻易地实施攻击。在现实中，比如北京、上海、贵阳、纽约等等城市，基于车载传感器采集信息的智能交通出行系统、环境监控预警系统、城市规划建议系统已经或者正在部署。而基于手机位置信息的人群流动预测系统为用户出行提供参考，并指导职能部门及时疏导人群，以避免踩踏事件发生……显然，克隆攻击会误导系统的使用者，从而将导致非常严重的后果。因此，此类应用迫切需要相应的解决方案，来应对潜在的克隆攻击。

因此，大数据应用中普遍存在的难题是：一方面，对于诚实用户而言，隐私保护(匿名登录且不可链接)是法律要求、用户期望、应用产品的核心竞争力；然而，另一方面，对于克隆者而言，匿名登录且不可链接，容易实现“安全”违规，甚至达到攻击系统的目的。

发明内容

为了解决背景技术中存在的问题，本发明不基于任何物理安全假设，不依赖于特殊硬件，提供一种匿名信息系统中用户身份克隆检测方法及系统，以高效、实用的方式解决用户身份克隆问题。一方面，确保诚实用户隐私的绝对保护；另一方面，即时检测克隆行为，提取克隆者身份信息并撤销其证书(即收回克隆者登录系统的能力)。

本发明采用的技术方案是：

一、一种匿名信息系统中用户身份克隆检测方法，方法包括：

用户向认证服务器发送提供当前用户匿名证书中的秘密参数的零知识证明，以此来证明自己的合法身份并登录系统；

在用户注销此次登录时，用户更新用户匿名证书的部分秘密参数，并以新秘密参数作为指数，以公共参数作为底计算其模幂运算的结果，将此结果发送给认证服务器；同时，用户以零知识方式证明当前用户匿名证书的秘密参数与用户匿名证书的新秘密参数之间存在联系(比如当前参数与新参数之差可以零知识证明)，认证服务器对用户生成的用户匿名证书的新秘密参数进行签名(即对以新秘密参数为指数的模幂运算的结果签名)。

用户的当前用户匿名证书的秘密参数与用户匿名证书的新秘密参数之间存在的联系能被伪随机函数所表达，能使用零知识方式证明用户匿名证书的新秘密参数被正确地生成。

在下一次登录时，用户向认证服务器以零知识方式进行证明，新秘密参数曾被认证服务器签名；

认证服务器作为验证者，能够验证用户的用户匿名证书的新秘密参数生成的正确性，此外，无法获取匿名证书参数的其它任何有用的信息。这包括认证服务器不能够根据当前的用户匿名证书的秘密参数，推断之前或者之后生成的参数的任何信息。

用户生成用户匿名证书的新秘密参数，并且以零知识方式证明其生成用户匿名证书的新秘密参数的正确性，但是，用户无法对用户匿名证书的新秘密参数的生成顺序作任何变更。

用户输入用户匿名证书的秘密参数到第一伪随机函数之中，计算出本次身份认证(本次登录)需要出示的认证序列号，用户向认证服务器发送此认证序列号，并以零知识方式证明此认证序列号被正确地生成。

用户提供的零知识证明通过对由认证服务器生成的随机挑战的响应来完成验证。用户向认证服务器发送认证序列号，此认证序列号同时也作为向认证服务器提供的与用户匿名证书相关的零知识证明的证明承诺。

步骤A，用户在注册服务器处进行注册，在此阶段用户以离散对数的方式生成用户匿名证书的秘密参数发送给注册服务器，并提供用户匿名证书的秘密参数被正确生成的零知识证明，注册服务器验证此零知识证明后对用户匿名证书的秘密参数完成签名；

步骤B，用户登录系统时，在认证服务器处以零知识的方式完成身份认证，包括：

步骤B1，用户向认证服务器发送用户匿名证书的零知识证明，以零知识的方式证明拥有合法的(被注册服务器或者认证服务器签名的)用户匿名证书；

步骤B2，用户向认证服务器出示用第一伪随机函数生成的认证序列号SN(第一伪随机函数的输入包括当前用户匿名证书的秘密参数)，并提供SN被正确生成的零知识证明；

步骤B3，用户以认证序列号SN作为零知识证明的承诺，构造关于用户匿名证书参数的非标准的零知识证明(即生成非标准的零知识证明响应R)；

步骤B4，用户生成用户匿名证书的新秘密参数，并向认证服务器发送其正确生成的零知识证明；

步骤B5，用户注销本次登录时，认证服务器对用户匿名证书的新秘密参数进行签名；

步骤C，认证服务器将用户登录时发送过来的认证序列号SN及非标准的零知识证明响应R发送给注册服务器。正常情况下，此SN与注册服务器记录的已经使用的认证序列号SN不相同。

一旦注册服务器收到的认证序列号SN与历史记录的认证序列号SN相同，注册服务器将进行克隆行为判断：

如果认证序列号SN相同，对应的非标准的零知识证明响应R也相同，确认不为克隆行为产生的认证信息(比如注册服务器收到认证服务器重复发送的SN及R)，注册服务器则忽略这样的认证信息；

如果认证序列号SN相同，对应的非标准的零知识证明响应R不同，确认为克隆行为产生的认证信息，注册服务器则根据与认证序列号SN相关的两个不同的非标准的零知识证明响应R，计算出克隆者所使用的用户匿名证书的秘密参数，从而识别克隆者的真实身份，并计算出所有克隆者将会出示的认证序列号SN，并将这些认证序列号发送给系统中所有的认证服务器。

步骤E，认证服务器收到克隆者所有的认证序列号SN后，将根据此对登录的用户出示的SN进行比较，这使得克隆者能够被所有的认证服务器识别，克隆者将因此不能够再次登录系统。

二、一种匿名信息系统中用户身份克隆检测系统：

为实现本发明反克隆的目的，提供的匿名信息系统包括注册服务器、认证服务器、用户。

所述的匿名信息系统，是指诚实用户始终保持匿名方式登录，系统只能够确认登陆者身份的合法性，而不能确认登陆者的具体身份信息。因此，实现了登录用户的匿名保护，而且，诚实用户每次登录不具有可以识别的链接性。

本发明的系统功能：向用户提供注册功能和认证功能，实现诚实用户对系统的匿名访问，或者实现系统对用户数据的匿名化采集，从而实现诚实用户隐私的绝对保护。与此同时，用户的克隆行为能够被系统检测出来，并且确保克隆者身份被识别，克隆者的系统访问被识别并因此被拒绝登录。

包括注册服务器：

用户向注册服务器发送实名信息进行注册，注册服务器保存用户的实名信息，并且签署获得用户实名证书(比如，可以使用CL签名技术)；同时接收认证服务器发来的用户的认证序列号SN及非标准的零知识证明响应R之后，注册服务器进行克隆检测，发现克隆行为后，通过计算和利用保存的用户实名信息识别克隆者，并且向系统中所有的认证服务器发送发布克隆者所有可用/用过的认证序列号以进行公开；

所述的注册服务器，负责用户注册并存储注册信息，通过收集用户的认证信息，进行克隆检测。如果发现克隆行为，负责揭开克隆者终端的真实身份，并计算和公开发布克隆者的相关登录信息，以确保克隆者终端无法再次登录系统(即撤销克隆者证书)。

包括多个认证服务器：

用户向认证服务器发送当前用户匿名证书中的秘密参数的零知识证明并以此登录，认证服务器收集用户登录使用的认证序列号SN及非标准的零知识证明响应R并发送给注册服务器，供其克隆检测；

当用户注销本次登录时，认证服务器对用户生成的用户匿名证书的新秘密参数进行签名；

接收来自注册服务器的克隆者所有可用/用过的认证序列号，利用克隆者所有可用/用过的认证序列号判别是否有克隆者终端在线(即检测当前用户出示的认证序列号SN是否包含在克隆者拥有的认证序列号集合之中)，一旦发现克隆者，即可强制克隆者下线，并且拒绝克隆者再次登录系统。

所述的认证服务器，负责在用户登录时验证用户身份的合法性，并将用户身份认证中使用的部分登录信息发送给上述的注册服务器，以供其克隆检测。一旦注册服务器发现克隆行为，认证服务器负责接收注册服务器发来的克隆者的相关登录信息，并根据此信息进行用户登录检查，以确保克隆者终端无法再次登录系统。

每个认证服务器均用于用户的登录认证。

本发明所述的用户为系统注册成功的用户终端，可以是能够执行通信协议的电子设备。

所述的用户，即匿名信息系统的用户。用户先在注册服务器处实名注册，获取由注册服务器签名的用户匿名证书。之后，用户登录系统时，通过零知识证明的方式向认证服务器证明拥有某合法的用户匿名证书。当用户注销本次登录时，由认证服务器对更新后的用户匿名证书签名。

在真正匿名的系统中，用户向认证服务器以零知识的方式证明拥有某合法证书后登录系统，在用户本次登录注销时，由认证服务器更新用户匿名证书。随着用户登录/注销因而不断更新的用户匿名证书，决定了用户隐藏的认证轨迹。因此，克隆者终端身份登录将导致各个克隆身份的认证轨迹重叠，通过在身份认证过程中使用特殊设计的零知识证明协议，认证轨迹的重叠将导致用户身份信息的泄漏，进而实现系统对克隆者身份的识别，并且，根据泄漏的用户身份信息实现用户匿名证书的撤销，因此，克隆者将失去登录系统的能力。

本发明提出的用户身份克隆检测方法及系统，可以有效地解决匿名信息系统中用户身份的克隆问题，而且彻底解决利用匿名属性对大数据系统实施克隆攻击的问题。

本发明具有的有益效果是：

本发明通过改造零知识证明的内部结构，构造出非标准的零知识证明，以高效率的方式泄漏克隆者秘密的证书参数，从而实现克隆者匿名属性的撤销和其证书的撤销，而非标准的零知识证明的安全属性可以严格证明。

不同于基于物理方法的反克隆方案，本发明提供了低成本(不依赖于特殊硬件)、高安全性(不基于物理安全假设)的反克隆数据验证检测方案。

不同于当前密码学反克隆思路，本发明无登录次数限制、无系统周期规定、——确保了方案的普适性；不同于当前密码学反克隆方案，本发明对于登录用户无反复认证要求——确保了方案的高效性；相比于当前密码学反克隆方案，本发明高效地识别克隆、高效地泄漏克隆者信息、高效地撤销克隆者证书——确保了方案的实用性。

附图说明

图1是本发明实施例的系统示意图。

图2是本发明实施例的用户注册协议示意图。

图3是本发明实施例的用户认证协议示意图。

图4是本发明实施例的系统工作示意图。

图5是本发明的一个具体的实施例。

具体实施方式

以下结合附图和实施例对本发明的用户身份克隆检测方法及系统作进一步的说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

如图1所示，本发明的克隆检测系统包括用户、注册服务器和认证服务器。在本系统中，诚实用户的隐私得到了绝对的保护。也就是说，诚实用户在注册服务器处注册后，能以匿名方式在认证服务器处完成认证并登录系统，任何人(包括系统)都不能够识别登录用户的身份，而且也不能够判定任何两次登录来自于同一个用户。与此同时，一旦用户克隆身份，通过收集来自认证服务器的登录信息，注册服务器能够识别克隆行为及克隆者的真实身份，通过计算出克隆者所有的登录序列号并发布给所有的认证服务器，确保克隆者的登录行为被认证服务器识别并因此被拒绝登录。

本发明的注册过程是通过用户首先在注册服务器处完成注册，获得注册服务器签名的用户证书，从而成为合法的系统用户。用户在注册服务器进行注册时可以使用实名信息(可以借助于用户此前已经获得的实名证书来验证实名信息的真实性，而此证书可以是注册服务器或者注册服务器所信任的实体颁发)，确保克隆者能被找到/追责。为了保证诚实用户不被系统陷害，在用户计算生成以下步骤203中的SPK_J时，同时使用用户实名证书对应的私钥完成签名。

本发明所涉及的用户匿名证书，是指用户以实名方式注册，以秘密的方式选择证书参数，并以零知识方式证明进而被注册服务器/认证服务器签署的证书。秘密参数仅为用户知晓的参数，不被认证服务器和注册服务器获知，从而实现用户的匿名保护。

用户匿名证书将在用户在认证服务器进行身份认证登录系统时，被用户以零知识的方式证明对其的所有权(即以匿名方式出示用户证书)。

系统公共参数包括循环群一的阶足够大的元素a₁,a₂,a₃…，循环群二的本原元b，b₁和b₂。

本发明的匿名注册处理过程如图2所示：

步骤201，用户选择用户匿名证书的秘密参数，生成其知识承诺J₁；其中，比如生成知识承诺J₁时，将用户匿名证书的秘密参数作为指数，系统公共参数作a₁,a₂,a₃…为底，作模幂运算作为J₁。

步骤202，用户使用用户匿名证书的部分秘密参数生成克隆追踪数据项J₂；其中，生成克隆追踪数据项J₂时，将部分秘密参数作为指数，系统公共参数作为b底，作模幂运算作为J₂。

步骤203，用户使用用户匿名证书的秘密参数的知识，结合用户实名证书私钥知识计算对于用户实名信息的知识签名SPK_J，用以证明J₁,J₂被正确生成；具体实施中，这里的用户实名信息可采用用户的用户实名证书中的信息。

步骤204，用户将知识承诺J₁、克隆追踪数据项J₂、知识签名SPK_J和用户实名信息发送给注册服务器；

步骤205，注册服务器验证用户的用户实名信息；

为了保证诚实用户不被陷害，具体实施中，用户实名信息采用用户实名证书中的信息。在此种情况下，注册服务器验证用户实名信息的方式是：验证用户实名证书是否有效以及验证用户是否使用了用户实名证书的私钥来生成知识签名SPK_J。

若验证结果为真，则继续完成后继步骤；

若验证结果为假，则中断本注册协议；

步骤206，注册服务器按照典型的验证知识签名的方式验证SPK_J的有效性。

若验证结果为真，则继续完成后继步骤；

若验证结果为假，则中断本注册协议；

步骤207，注册服务器使用自己的私钥计算对用户匿名证书的秘密参数的签名Sign；

这里具体实施可以使用CL签名算法。

步骤208，注册服务器将最终签名Sign发送给用户。

步骤209，用户验证注册服务器对其匿名证书参数的签名Sign。比如，具体实施完成CL签名验证。

如果验证有效，则用户获得了系统颁发的证书，即成为系统的合法用户。

如果验证无效，则用户注册失败。

在完成如图2所示的注册后，用户通过零知识证明的方式来出示注册获得的有效证书，实现匿名登录系统的目的。

如图3所示，用户经认证服务器进行匿名登录的过程如下。为实现反克隆检测的目标，如权利要求书部分所述，用户在此过程需完成5个处理操作：

以零知识的方式证明拥有合法的(被注册服务器或者认证服务器签名)的证书；

出示用第一伪随机函数生成的认证序列号SN，并提供认证序列号SN被正确生成的零知识证明；

以认证序列号SN作为零知识证明的承诺，构造非标准的零知识证明；

生成用户证书的新参数，并提供其正确生成的零知识证明；

注销时，要求认证服务器对用户证书的新参数签名。

具体过程如下：

步骤301，用户为了证明拥有已签名的用户匿名证书的参数知识，利用用户匿名证书的秘密参数生成其零知识证明PK₁的承诺commitments of PK₁，在生成承诺过程加入随机化参数进行盲化处理；

步骤302，用户生成认证序列号SN及认证序列号SN被正确生成的零知识证明PK₂的承诺commitments of PK₂；

认证序列号SN通过以下公式的第一伪随机函数形式生成：SN＝f_s,t(i_c)，其中f()为第一伪随机函数，其输出空间足够大；s和t是用户的用户匿名证书的所有秘密参数的其中两个，并作为伪随机函数f()的秘密种子；i_c是用户发送给认证服务器的认证参数，认证参数i_c是由用户的当前用户匿名证书的秘密参数通过区别于第一伪随机函数f()的另一个伪随机函数(第二伪随机函数)计算获得。

步骤303，用户为了证明生成认证序列号SN时使用了正确的认证参数i_c，即证明认证参数i_c由用户的当前用户匿名证书的秘密参数i(即上一次登录使用的i_c)正确地通过第二伪随机函数更新导出(比如此第二伪随机函数的输入为i及用户匿名证书中除了用于生成认证序列号SN的秘密参数以外的其它秘密参数)，生成认证参数i_c被正确生成的零知识证明PK₃的承诺commitments of PK₃；

步骤304，用户使用认证序列号SN构造非标准的零知识证明PK₄，构造时使用认证序列号SN作为用户匿名证书的部分秘密参数t的零知识证明PK₄的承诺，进而利用该承诺生成非标准的零知识证明PK₄；比如，将认证序列号SN用作T＝b₁ ^t·b₂ ^r的离散对数的零知识证明的承诺，这里的r为随机数，T的离散对数知识将被证明。

步骤305，用户将认证序列号SN、认证参数i_c和三个承诺commitments of PK₁～PK₃发送给认证服务器；

步骤306，认证服务器为用户零知识证明PK₁～PK₄选择挑战challenge；

步骤307，认证服务器将挑战challenge发送给用户；

步骤308，用户收到挑战challenge，并根据挑战challenge计算零知识证明PK₁～PK₃的挑战响应challenge-responses of PK₁～PK₃；

步骤309，根据步骤304，用户生成与零知识证明PK₄相关的挑战响应R，具体可采用R＝PRF_s(i_c)–challenge·t方式生成挑战响应，其中PRF_s(i_c)表示输入为秘密参数s和认证参数i_c的第三伪随机函数；

因此，根据R＝PRF_s(i_c)–challenge·t，步骤302中使用的 比如

步骤310，用户将挑战响应R和三个挑战响应challenge-responses of PK₁～PK₃发送回认证服务器；

步骤311，认证服务器验证challenge-responses of PK₁～PK₃，并验证挑战响应R；

若验证结果为真，则继续完成后继步骤；

若验证结果为假，则用户身份认证失败，终止本认证协议；

步骤312，认证服务器验证与R相关的挑战响应。

步骤313，在用户注销本次登录、离开系统时，用户向认证服务器发送注销本次登录的请求，并发送本次使用参数的知识承诺D(此知识承诺的生成方式同步骤201)；

步骤314，认证服务器对用户本次登录使用的用户匿名证书的秘密参数进行签名，获得秘密参数签名Sign′(这里的签名方式同步骤207)；

步骤315，认证服务器将秘密参数签名Sign′发送给用户；

步骤316，用户验证认证服务器对用户匿名证书的新参数的签名Sign′，从而获得在下一次登录时可以使用的用户匿名证书的新参数——根据步骤303，可知本次登录使用的参数i_c由用户的当前用户匿名证书的秘密参数i(即上一次登录使用的i_c)正确地通过第二伪随机函数更新导出，因此，Sign′是对用户匿名证书的新参数的签名。

按照如上所述的方法，当认证服务器收到用户的认证信息后，将其中的认证序列号SN及非标准的零知识证明响应R发送给注册服务器，由注册服务器完成克隆检测和克隆追踪，此过程如图4所示。如图4所示，当注册服务器收到认证服务器发来的用户的认证序列号SN后，可以进行克隆检测。

如前面步骤303所述，用户必须以零知识的方式证明，i_c是在上一次登录使用的i_c基础之上，输入当前用户匿名证书参数正确地通过第二伪随机函数更新导出。也就是说，一方面，用户可以使用的认证参数i_c的顺序是固定的(因为上一次使用的i_c被认证服务器签名，是用户使用当前i_c的前提条件，而且当前i_c是伪随机函数输入用户秘密证书参数而产生的输出，这一点需用户以零知识的方式证明，参见步骤303，311)；另一方面，用户使用i_c的顺序对外界来讲，是未知的(因为用户以零知识方式证明i_c是伪随机函数的输出)。因此，这不影响用户匿名属性，与此同时，不同克隆身份不能够同时登陆系统，因为当前用户匿名证书参数合法性的取得(被签名)是以上一次使用的证书参数(其中就包括i_c)被签名为前提(参见步骤313-316)，而证书参数被认证服务器签名只能在用户注销本次登陆时完成。因此，如果试图通过克隆用户身份来发起对大数据系统的攻击(这要求不同克隆身份同时登录系统)，则将必然打破这条系统规则。

克隆检测：因此，对于克隆攻击而言，如果克隆者同时登陆系统，则克隆者必然使用同一个i_c。而对于一般的克隆行为而言，因为各个克隆者是不同的实体，通常各自状态独立，即克隆者难以同步更新当前的用户匿名证书参数(因为更新参数需获得系统签名，这并非用户独立能够完成的)，因此，各个克隆身份也将会重复使用同一个认证参数i_c。在这样的情况下，注册服务器通过检测收集到的SN，一旦发现重复的SN(因为使用了重复的i_c,)，而对应的零知识证明挑战challenge不同(因此R不同)，即可断定发现克隆行为。

克隆追踪：根据前述步骤309，克隆行为将产生两个零知识证明的挑战响应R＝PRF_s(i_c)–challenge·t……(1)，R′＝PRF_s(i_c)–challenge′·t……(2)。比如根据步骤309，R＝(i_c+s)^-1–challenge·t，R′＝(i_c+s)^-1–challenge′·t。因此通过(1)和(2)即可求解用户匿名证书秘密参数(s和t)，即求解二元方程组(未知数是s和t)。参照前述步骤202，根据求解的证书参数，即可识别克隆者的真实身份。参照前述步骤302，根据SN＝f_s,t(i_c)，输入有效的i_c即可求出所有克隆者可使用的SN(系统可以规定i_c的取值范围)，并向系统中所有的认证服务器广播认证序列号SN，确保认证服务器可以立即识别克隆者，并拒绝克隆者登录/继续使用系统。

下面介绍本发明的一个具体的实施例，如图5所示。该系统可以实现本发明的反克隆方法。可以理解的是，本发明的方法普遍适用于付费使用的系统、大数据采集系统，这与信息系统的具体功能以及网络连接的方式无关。

如图5所示的一个车辆位置信息实时采集系统，该系统可指导、智能规划用户的出行路线，与此同时，为保护用户隐私，通常需要匿名登录系统，并且登录行为不可链接。如前背景技术部分所述，克隆者终端身份模块，容易实施对此类大数据系统的攻击。

在图5所示的系统中，用户为车载的信息采集模块，认证服务器为与车辆通信的无线接入点，注册服务器计算资源丰富，其数据库存有完整的系统用户信息。如前所述，通过注册，车载信息采集模块成为系统合法用户。通过认证协议，用户登录系统，保证大数据采集系统的数据源的真实性；采用匿名方式，实现用户隐私的绝对保护，保证大数据应用可以顺利推广；采用本发明反克隆方法，保证大数据系统不会因为匿名登录被违规使用或者遭到克隆攻击。

在图5所示的实际应用中，注册服务器和认证服务器通常属于同一系统方，而且，为了用户可以随时随地登录系统，认证服务器通常分布广泛，数量众多。因此，用户可以就近接入一个认证服务器，完成如图2所示的注册协议，此时认证服务器可取代注册服务器，与用户执行注册协议。在这种情况下，相比于如图2所示的注册协议，需做的改动是，当注册协议执行完毕之后，认证服务器将收集到的用户注册信息发送给注册服务器，实现统一存储。在图5所示的系统中，认证服务器和注册服务器之间可通过VPN技术建立安全信道完成通信，而车载信息采集模块与认证服务器(即无线接入点)之间，可以采用IEEE 802.11协议或者移动通信协议实现通信。

车载信息采集模块在注册之后，可以随时通过与认证服务器执行认证协议，登陆系统，这个过程如图3和图4所示。如果用户诚实，则在此系统中，用户可以保持匿名无限次登录，并且登录行为不可链接。但是，一旦用户克隆其身份登录，则克隆行为将立即被系统检测出来，克隆者真实身份将被揭开，克隆者证书将被撤销，克隆者将因此被立即识别，并失去登录系统的能力。其详细过程如前所述。在实际应用中，用户匿名证书中容易嵌入有效期信息，一旦克隆者证书过期，用于克隆追踪的数据(即SN信息)即可从认证服务器中清除，确保追踪数据库的规模可控。

上述实施例仅仅用来解释说明本发明，而不是对本发明进行限制，例如，本发明各实例中的实体可以根据系统不同而具有不同名称，或者因为系统部署需要数量不同，甚至当系统规模小时，认证服务器和注册服务器可由同一设备充当。在本发明的精神和权利要求的保护范围内，对本发明作出的任何修改和改变，都落入本发明的保护范围。

Claims (6)

1.一种匿名信息系统中用户身份克隆检测方法，其特征在于，包括：

用户向认证服务器发送提供当前用户匿名证书中的秘密参数的零知识证明，以此来证明自己的合法身份并登录系统；在注销此次登录时，用户更新用户匿名证书的部分秘密参数，并以新秘密参数作为指数，以公共参数作为底计算其模幂运算的结果，将此结果发送给认证服务器；同时，用户以零知识方式证明当前用户匿名证书的秘密参数与用户匿名证书的新秘密参数之间存在联系，认证服务器对用户生成的用户匿名证书的新秘密参数进行签名；在下一次登录时，用户向认证服务器以零知识方式进行证明，新秘密参数曾被认证服务器签名；用户输入用户匿名证书的秘密参数到第一伪随机函数之中，计算出本次身份认证(本次登录)需要出示的认证序列号，用户向认证服务器发送此认证序列号，并以零知识方式证明此认证序列号被正确地生成。

2.根据权利要求1所述的一种匿名信息系统中用户身份克隆检测方法，其特征在于：

用户提供的零知识证明通过对由认证服务器生成的随机挑战的响应来完成验证。用户向认证服务器发送认证序列号，此认证序列号同时也作为向认证服务器提供的与用户匿名证书相关的零知识证明的证明承诺。

3.根据权利要求1所述的一种匿名信息系统中用户身份克隆检测方法，其特征在于：

步骤A，用户在注册服务器处进行注册，在此阶段用户以离散对数的方式生成用户匿名证书的秘密参数发送给注册服务器，并提供用户匿名证书的秘密参数被正确生成的零知识证明，注册服务器验证此零知识证明后对用户匿名证书的秘密参数完成签名；

步骤B，用户登录系统时，在认证服务器处以零知识的方式完成身份认证，包括：

步骤B1，用户向认证服务器发送用户匿名证书的零知识证明，以零知识的方式证明拥有合法的用户匿名证书；

步骤B2，用户向认证服务器出示用第一伪随机函数生成的认证序列号SN(第一伪随机函数的输入包括当前用户匿名证书的秘密参数)，并提供SN被正确生成的零知识证明；

步骤B3，用户以认证序列号SN作为零知识证明的承诺，构造关于用户匿名证书参数的非标准的零知识证明；

步骤B4，用户生成用户匿名证书的新秘密参数，并向认证服务器发送其正确生成的零知识证明；

步骤B5，用户注销本次登录时，认证服务器对用户匿名证书的新秘密参数进行签名；

步骤C，认证服务器将用户登录时发送过来的认证序列号SN及非标准的零知识证明响应R发送给注册服务器。

一旦注册服务器收到的认证序列号SN与历史记录的认证序列号SN相同，注册服务器将进行克隆行为判断：

如果认证序列号SN相同，对应的非标准的零知识证明响应R也相同，确认不为克隆行为产生的认证信息，注册服务器则忽略这样的认证信息；

如果认证序列号SN相同，对应的非标准的零知识证明响应R不同，确认为克隆行为产生的认证信息，注册服务器则根据与认证序列号SN相关的两个不同的非标准的零知识证明响应R，计算出克隆者所使用的用户匿名证书的秘密参数，从而识别克隆者的真实身份，并计算出所有克隆者将会出示的认证序列号SN，并将这些认证序列号发送给系统中所有的认证服务器。

步骤E，认证服务器收到克隆者所有的认证序列号SN后，将根据此对登录的用户出示的SN进行比较，这使得克隆者能够被所有的认证服务器识别，克隆者将因此不能够再次登录系统。

4.一种匿名信息系统中用户身份克隆检测系统，其特征在于包括：

包括注册服务器：用户向注册服务器发送实名信息进行注册，注册服务器保存用户的实名信息，并且签署获得用户实名证书；同时接收认证服务器发来的用户的认证序列号SN及非标准的零知识证明响应R之后，注册服务器进行克隆检测，发现克隆行为后，通过计算和利用保存的用户实名信息识别克隆者，并且向系统中所有的认证服务器发送发布克隆者所有可用/用过的认证序列号以进行公开；

包括多个认证服务器：用户向认证服务器发送当前用户匿名证书中的秘密参数的零知识证明并以此登录，认证服务器收集用户登录使用的认证序列号SN及非标准的零知识证明响应R并发送给注册服务器，供其克隆检测；当用户注销本次登录时，认证服务器对用户生成的用户匿名证书的新秘密参数进行签名；接收来自注册服务器的克隆者所有可用/用过的认证序列号，利用克隆者所有可用/用过的认证序列号判别是否有克隆者终端在线，一旦发现克隆者，即可强制克隆者下线，并且拒绝克隆者再次登录系统。

5.根据权利要求4所述的一种匿名信息系统中用户身份克隆检测系统，其特征在于：每个认证服务器均用于用户的登录认证。

6.根据权利要求4所述的一种匿名信息系统中用户身份克隆检测系统，其特征在于：所述的用户为系统注册成功的用户终端。