CN111105537B - 基于秘密共享和抗量子计算的门禁身份识别方法及系统 - Google Patents

Abstract

本申请涉及一种基于秘密共享和抗量子计算的门禁身份识别方法及系统，实施在通过门禁识别装置进行通信的服务端以及客户端之间，所述服务端以及客户端均配置有密钥卡，所述客户端的密钥卡中存储有己方的第一用户信息单元，所述服务端的密钥卡中存储有本地用户信息池，所述本地用户信息池中存储有与各客户端对应的第二用户信息单元，与同一个客户端相关的所述第一用户信息单元以及第二用户信息单元分别存储有基于秘密共享方式生成的所述客户端的身份标识碎片以及假身份标识。进一步提高了在门禁身份识别过程中，客户端身份标识的安全性。

Description

基于秘密共享和抗量子计算的门禁身份识别方法及系统

技术领域

本申请涉及秘密共享领域，特别是涉及一种基于秘密共享和抗量子计算的门禁身份识别方法及系统。

背景技术

随着信息技术发展，互联网身份授权的使用越来越频繁，主流互联网应用都提供第三方登录入口。对于门禁的身份识别技术主流的有人脸、指纹识别和智能卡(iCLASS、MIFARE、EMX)等多种技术。身份识别技术是信息系统安全的第一道屏障，身份识别单元部分也是门禁系统的重要组成部分，起到对通行人员的身份进行识别和确认的作用，实现身份识别的方式和种类很多，主要有卡证类身份识别方式、密码类识别方式、生物识别类身份识别方式以及复合类身份识别方式。

生物特征识别又包括指纹、面部、语音等识别方式，现有用于门禁的身份识别装置在使用过程中存在一定的安全隐患，现在普遍采用的基于证件的身份认证方法正遭受着各种威胁，各类造假技术层出不穷，伪造及篡改证件变得越来越容易，这给国家和社会造成了巨大的经济损失，证件的安全性成为亟待解决的问题。

身份识别是在信息安全时代备受关注的一个研究领域。近年来，随着电子信息技术、计算机及网络技术的不断深入和发展，人们的生活已经逐渐实现了网络化、信息化，身份认证已成为开展各项服务的基础。

现有技术存在的问题：

1、可移动身份识别装置的ID可读。若丢失可能造成ID信息泄露。如果ID在多个门禁识别装置处被记录，则可以实现ID追踪，某些应用场景下属于严重的信息泄露

2、给可移动身份识别装置颁发对称密钥，由于对称密钥无法进行可靠的数字签名，因此对身份识别不利

3、给可移动身份识别装置颁发非对称密钥对，并用私钥进行数字签名，该方式由于验证数字签名时公钥需要公开，不能抵抗量子计算

4、给可移动身份识别装置颁发非对称密钥的私钥，并将公钥存于服务器，则可以抵抗量子计算，但由于服务器处的公钥由ID或类似ID的公钥指针随机数所识别，因此ID或公钥指针随机数必须公开，造成用户信息泄露。

发明内容

基于此，有必要针对上述技术问题，提供一种基于秘密共享和抗量子计算的门禁身份识别方法及系统。

一种基于秘密共享和抗量子计算的门禁身份识别方法，实施在通过门禁识别装置进行通信的服务端以及客户端之间，所述服务端以及客户端均配置有密钥卡，所述客户端的密钥卡中存储有己方的第一用户信息单元，所述服务端的密钥卡中存储有本地用户信息池，所述本地用户信息池中存储有与各客户端对应的第二用户信息单元，与同一个客户端相关的所述第一用户信息单元以及第二用户信息单元分别存储有基于秘密共享方式生成的所述客户端的身份标识碎片以及假身份标识；

所述门禁身份识别方法包括：

所述服务端生成真随机数作为挑战消息送法至所述客户端；

所述客户端根据所述挑战消息以及所述第一用户信息进行计算，得到应答消息，并发送至所述服务端；

所述服务端根据所述第二用户信息对所述应答消息进行验证后，生成确认消息发送至所述客户端，并对所述第二用户信息进行更新；

所述客户端根据所述确认消息将所述第一用户信息进行更新。

可选的，所述第一用户信息以及所述第二用户信息均由所述服务端的密钥卡生成，具体包括：

根据RSA算法计算得到服务端密钥卡的私钥和公钥；

对所述客户端的身份标识进行秘密共享，得到与所述身份标识相关的第一秘密碎片以及第二秘密碎片，所述第一秘密碎片以及第二秘密碎片均包括秘密系数以及身份标识分量；

根据所述客户端的身份标识、第一秘密碎片的身份标识分量以及第二秘密碎片的身份标识分量进行哈希计算，得到所述客户端的假身份标识；

将所述假身份标识、第一秘密碎片以及服务端密钥卡的公钥作为所述第一用户信息发送至所述客户端的密钥卡；

将所述假身份标识、第二秘密碎片、第一秘密碎片的秘密系数以及服务端密钥卡的私钥作为第二用户信息存储至本地用户信息池。

可选的，所述第一用户信息以及所述第二用户信息均由所述服务端的密钥卡生成，具体包括：

根据ID密码学算法计算得到服务端密钥卡的公私钥对，以及客户端密钥卡的公私钥对；

对所述客户端的身份标识进行秘密共享，得到与所述身份标识相关的第一秘密碎片以及第二秘密碎片，所述第一秘密碎片以及第二秘密碎片均包括秘密系数以及身份标识分量；

根据所述客户端的身份标识、第一秘密碎片的身份标识分量以及第二秘密碎片的身份标识分量进行哈希计算，得到所述客户端的假身份标识；

将所述假身份标识、第一秘密碎片以及客户端密钥卡的公私钥对作为所述第一用户信息以及所述服务端的身份发送至所述客户端的密钥卡；

将所述假身份标识、第二秘密碎片、第一秘密碎片的秘密系数以及服务端密钥卡的公私钥对作为第二用户信息存储至本地用户信息池。

可选的，所述客户端根据所述挑战消息以及所述第一用户信息进行计算，得到应答消息，并发送至所述服务端，具体包括：

根据所述挑战消息以及第一秘密碎片的秘密系数进行计算，得到第一系数以及第二系数；

对所述第一秘密碎片的秘密系数、第一系数以及第二系数进行验证，验证后，将所述假身份标识以及第一秘密碎片的身份标识分量组成第一消息，将所述第一系数和第二系数组成第二消息；

根据所述公钥或私钥对所述第一消息以及第二消息进行RSA数字签名或ID密码学签名得到第一签名消息；

根据所述第一消息以及第一签名消息组成所述应答消息。

可选的，所述服务端根据所述第二用户信息对所述应答消息进行验证后，生成确认消息具体包括：

根据所述应答消息中的第一消息，获取所述客户端的假身份标识、第一秘密碎片的身份标识分量；

根据所述假身份标识从本地用户信息池中获取与所述客户端相关的第二用户信息，并从中提取第一秘密碎片的秘密系数以及服务端密钥卡的私钥；

根据所述第一秘密碎片的秘密系数以及挑战信息，重新计算得到验证第一系数以及验证第二系数，并根据所述验证第一系数以及验证第二系数组成第一验证消息；

根据所述第一验证消息以及服务端密钥卡的私钥对所述第一签名进行验证后，获取所述第一系数以及第二系数；

根据第一秘密碎片以及第二秘密碎片进行计算，得到第一秘密碎片的新身份标识分量以及新第二秘密碎片的新身份标识分量；

根据所述客户端的假身份标识以及第二秘密碎片的新身份标识分量作为第三消息；

根据所述第一系数以及第二系数作为第四消息；

根据所述私钥对所述三消息以及第四消息进行签名，得到第二签名消息；

将所述第三消息以及第二签名消息作为确认消息。

可选的，所述服务端生成所述确认消息后，并对所述第二用户信息进行更新具体包括：

根据所述客户端的身份标识、第一秘密碎片的新身份标识分量以及第二秘密碎片的新身份标识分量进行计算，得到新假身份标识；

将所述第一系数作为第一秘密碎片的新秘密系数，将所述第二系数作为第二秘密碎片的新秘密系数；

根据所述新假身份标识、第一秘密碎片的新秘密系数、第二秘密碎片的新秘密系数以及第二秘密碎片的新身份标识分量对相应的第二用户信息进行更新。

可选的，所述客户端根据所述确认消息将所述第一用户信息进行更新具体包括：

根据所述确认消息进行相应解密，根据所述第三消息进行计算得到新假身份标识、第一秘密碎片的新秘密系数以及新身份标识分量，并对所述第一用户标识进行相应更新。

本发明还提供了一种基于秘密共享和抗量子计算的门禁身份识别系统，包括通过门禁识别装置进行通信的服务端以及客户端之间，所述服务端以及客户端均配置有密钥卡，所述客户端的密钥卡中存储有己方的第一用户信息单元，所述服务端的密钥卡中存储有本地用户信息池，所述本地用户信息池中存储有与各客户端对应的第二用户信息单元，与同一个客户端相关的所述第一用户信息单元以及第二用户信息单元分别存储有基于秘密共享方式生成的所述客户端的身份标识碎片以及假身份标识；

所述服务端和用户包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现上述的基于秘密共享和抗量子计算的门禁身份识别方法。

上述基于秘密共享和抗量子计算的门禁身份识别方法及系统，通过使用秘密共享理论将客户端的身份标识进行秘密共享，并将秘密共享后的身份标识分别存储在客户端的密钥卡中以及服务端的密钥卡中，这样客户端的身份标识没有完整的存储于服务器端或者客户端，因此单独对服务器端或者客户端进行断电拆解无法获取身份标识，因此本发明对身份标识的秘密共享方式大大提高了真实身份标识的隐藏能力。

附图说明

图1为其中一个实施例中服务器和客户端密钥区结构示意图；

图2为其中一个实施例中认证流程示意图；

图3为另一个实施例中的认证流程示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了更好地描述和说明本申请的实施例，可参考一幅或多幅附图，但用于描述附图的附加细节或示例不应当被认为是对本申请的发明创造、目前所描述的实施例或优选方式中任何一者的范围的限制。

应该理解的是，除非本文中有明确的说明，各步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些子步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

在本实施例中，提供了一种基于秘密共享和抗量子计算的门禁身份识别方法，实施在通过门禁识别装置进行通信的服务端以及客户端之间，服务端以及客户端均配置有密钥卡，客户端的密钥卡中存储有己方的第一用户信息单元，服务端的密钥卡中存储有本地用户信息池，本地用户信息池中存储有与各客户端对应的第二用户信息单元，与同一个客户端相关的第一用户信息单元以及第二用户信息单元分别存储有基于秘密共享方式生成的客户端的身份标识碎片以及假身份标识。

在本实施例中，客户端为可移动身份识别装置，服务端为门禁服务器。门禁系统是一套电子装置设备，可包括多个可移动身份识别装置、多个门禁识别装置和一个门禁服务器。身份识别装置在实施过程中的物理状态和通信方式包括但不限于以下几种：

1)UKEY，通过USB接口或线连接门禁识别装置；

2)IC密钥卡，通过IC卡读卡器连接门禁识别装置；

3)NFC密钥卡，通过NFC连接门禁识别装置；

4)蓝牙KEY，通过蓝牙连接门禁识别装置；

5)红外KEY，通过红外连接门禁识别装置。

在本实施例中，服务器匹配有随机数发生器，或由上级管理服务器颁发的密钥卡。身份识别装置包含密钥区，密钥区的功能同密钥卡一样具备信息处理能力。门禁识别装置为服务器可控制的识别装置，与服务器可安全通信。本发明的密钥体系中服务器具有用户信息池。

进一步的当为移动终端时，密钥卡优选为密钥SD卡；当为固定终端时，密钥卡优选为密钥USBkey或主机密钥板卡。

密钥卡从智能卡技术上发展而来，是结合了密码学技术、硬件安全隔离技术、量子物理学技术(搭载量子随机数发生器的情况下)的身份认证和加解密产品。密钥卡的内嵌芯片和操作系统可以提供密钥的安全存储和密码算法等功能。由于其具有独立的数据处理能力和良好的安全性，密钥卡成为私钥和密钥池的安全载体。每一个密钥卡都有硬件PIN码保护，PIN码和硬件构成了用户使用密钥卡的两个必要因素。即所谓“双因子认证”，用户只有同时取得保存了相关认证信息的密钥卡和用户PIN码，才可以登录系统。即使用户的PIN码被泄露，只要用户持有的密钥卡不被盗取，合法用户的身份就不会被仿冒；如果用户的密钥卡遗失，拾到者由于不知道用户PIN码，也无法仿冒合法用户的身份。总之，密钥卡使得密钥等绝密信息不以明文形式出现在主机的磁盘及内存中，从而能有效保证绝密信息的安全。

具体的，门禁身份识别方法包括：

服务端生成真随机数作为挑战消息送法至客户端；

客户端根据所述挑战消息以及第一用户信息进行计算，得到应答消息，并发送至服务端；

服务端根据所述第二用户信息对应答消息进行验证后，生成确认消息发送至客户端，并对第二用户信息进行更新；

客户端根据确认消息将第一用户信息进行更新。

在本实施例中，第一用户信息以及所述第二用户信息均由服务端的密钥卡生成，具体包括：根据RSA算法计算得到服务端密钥卡的私钥和公钥；对客户端的身份标识进行秘密共享，得到与身份标识相关的第一秘密碎片以及第二秘密碎片，第一秘密碎片以及第二秘密碎片均包括秘密系数以及身份标识分量；根据客户端的身份标识、第一秘密碎片的身份标识分量以及第二秘密碎片的身份标识分量进行哈希计算，得到客户端的假身份标识；将假身份标识、第一秘密碎片以及服务端密钥卡的公钥作为第一用户信息发送至客户端的密钥卡；将假身份标识、第二秘密碎片、第一秘密碎片的秘密系数以及服务端密钥卡的私钥作为第二用户信息存储至本地用户信息池。

具体的，第一用户信息以及所述第二用户信息均由服务端的密钥卡生成，具体包括：根据ID密码学算法计算得到服务端密钥卡的公私钥对，以及客户端密钥卡的公私钥对；对客户端的身份标识进行秘密共享，得到与身份标识相关的第一秘密碎片以及第二秘密碎片，第一秘密碎片以及第二秘密碎片均包括秘密系数以及身份标识分量；根据客户端的身份标识、第一秘密碎片的身份标识分量以及第二秘密碎片的身份标识分量进行哈希计算，得到客户端的假身份标识；将假身份标识、第一秘密碎片以及客户端密钥卡的公私钥对作为第一用户信息以及服务端的身份发送至客户端的密钥卡；将假身份标识、第二秘密碎片、第一秘密碎片的秘密系数以及服务端密钥卡的公私钥对作为第二用户信息存储至本地用户信息池。

具体的，客户端根据所述挑战消息以及所述第一用户信息进行计算，得到应答消息，并发送至所述服务端，具体包括：根据挑战消息以及第一秘密碎片的秘密系数进行计算，得到第一系数以及第二系数；对第一秘密碎片的秘密系数、第一系数以及第二系数进行验证，验证后，将假身份标识以及第一秘密碎片的身份标识分量组成第一消息，将第一系数和第二系数组成第二消息；根据公钥或私钥对第一消息以及第二消息进行RSA数字签名或ID密码学签名得到第一签名消息；根据第一消息以及第一签名消息组成应答消息。

在本实施例中，服务端根据所述第二用户信息对所述应答消息进行验证后，生成确认消息具体包括：根据应答消息中的第一消息，获取客户端的假身份标识、第一秘密碎片的身份标识分量；根据假身份标识从本地用户信息池中获取与客户端相关的第二用户信息，并从中提取第一秘密碎片的秘密系数以及服务端密钥卡的私钥；根据第一秘密碎片的秘密系数以及挑战信息，重新计算得到验证第一系数以及验证第二系数，并根据验证第一系数以及验证第二系数组成第一验证消息；根据第一验证消息以及服务端密钥卡的私钥对所述第一签名进行验证后，获取第一系数以及第二系数；

根据第一秘密碎片以及第二秘密碎片进行计算，得到第一秘密碎片的新身份标识分量以及新第二秘密碎片的新身份标识分量；根据客户端的假身份标识以及第二秘密碎片的新身份标识分量作为第三消息；根据第一系数以及第二系数作为第四消息；根据私钥对所述三消息以及第四消息进行签名，得到第二签名消息；将第三消息以及第二签名消息作为确认消息。

在本实施例中，服务端生成所述确认消息后，并对第二用户信息进行更新具体包括：根据客户端的身份标识、第一秘密碎片的新身份标识分量以及第二秘密碎片的新身份标识分量进行计算，得到新假身份标识；将第一系数作为第一秘密碎片的新秘密系数，将第二系数作为第二秘密碎片的新秘密系数；根据新假身份标识、第一秘密碎片的新秘密系数、第二秘密碎片的新秘密系数以及第二秘密碎片的新身份标识分量对相应的第二用户信息进行更新。

在本实施例中，客户端根据所述确认消息将第一用户信息进行更新具体包括：根据确认消息进行相应解密，根据第三消息进行计算得到新假身份标识、第一秘密碎片的新秘密系数以及新身份标识分量，并对第一用户标识进行相应更新。

就各步骤细节进一步描述基于秘密共享和抗量子计算的门禁身份识别方法的具体流程如下所示：

实施例1

1.1准备阶段

1.1.1本实施例所用非对称算法为RSA算法，其非对称密钥对任意一个密钥均可以为公钥，剩下的则为私钥。即：假设RSA算法的非对称密钥对为E/D，则可以令公钥/私钥为E/D，也可以令公钥/私钥为D/E。设服务器生成的公钥、私钥分别为PK、SK。

1.1.2密钥区的用户信息单元具体内容如下(密钥区结构如图1所示)：

身份识别装置	服务器
		PID||(x1,ID1)||PK	PID||x1||(x2,ID2)||SK

由此可见，ID没有存储于服务器硬件或者身份识别装置，因此单独对服务器硬件或者身份识别装置进行断电拆解无法获取ID，因此本发明对ID的秘密共享方式大大提高了真实ID的隐藏能力。

1.1.3服务器根据函数f(x)＝ID+RAND*x，RAND为随机数(不同ID，RAND也不同)得到ID1＝ID+RAND*x1和ID2＝ID+RAND*x2。即服务器对ID进行(2,2)的秘密共享，每个秘密为(x1,ID1)，(x2,ID2)。

服务器凑齐2组秘密可以恢复ID，实现方式如下：

两组秘密求得拉格朗日参数

其中：

λ1＝(-x2)/(x1-x2)

λ2＝(-x1)/(x2-x1)

求得ID＝λ1*ID1+λ2*ID2＝(x1*ID2-x2*ID1)/(x1-x2)

RAND＝(ID2-ID1)/(x2-x1)

1.1.4服务器计算得到假身份信息PID＝HASH(ID||ID1||ID2)。保存用户信息到本地用户信息池，具体为：PID||x1||(x2,ID2)||SK。

1.1.5服务器将信息PID||(x1,ID1)||PK颁发给可移动身份识别装置。认证流程如图2所示。

1.2认证阶段

1.2.1服务器根据匹配的随机数发生器生成真随机数x0，作为挑战消息通过门禁识别装置发送给可移动身份识别系统。

1.2.2身份识别装置通过门禁识别装置接收到服务器发送过来的消息x0，从用户信息单元中取出x1，并与x0进行哈希计算分别得到x1’和x2’，即x1’＝HASH(x1||x0)，x2’＝HASH(x0||x1)。

1.2.3身份识别装置将x1、x1’、x2’进行比较，如果任意二者相等，则返回错误消息并由服务器重新发起挑战消息。反之，进行下一步。

1.2.4身份识别装置将PID与ID1组成消息M1_0＝PID||ID1，将x1’与x2’组成消息M1_1＝x1’||x2’。

1.2.5身份识别装置利用公钥PK对消息M1_0和M1_1进行基于RSA数字签名得到消息SIGN(M1_0||M1_1,PK)，并将该消息与M1_0组成应答消息M1＝M1_0||SIGN(M1_0||M1_1,PK)发送给门禁识别装置。

1.2.6服务器通过门禁识别装置获取到消息M1，从M1_0解析得到PID||ID1。根据PID搜索本地可移动身份识别装置信息列表中的PID项，如找不到PID，则认证失败。反之，取出PID所在的用户信息条目，包括PID||x1||(x2,ID2)||SK，进行下一步。

1.2.7服务器根据x1和x0计算得到x1’＝HASH(x1||x0)和x2’＝HASH(x0||x1)。组合出M1_1＝x1’||x2’。

1.2.8服务器取出私钥SK对消息SIGN(M1_0||M1_1,PK)进行验证。验证失败则流程结束，验证通过则进行下一步骤。

1.2.9服务器根据(x1,ID1)和(x2,ID2)利用秘密共享理论来恢复ID和RAND，即通过(x1,ID1)和(x2,ID2)这两组秘密计算出f(x)函数，再根据f(x)函数计算得到ID1’＝f(x1’)和ID2’＝f(x2’)。

1.2.10服务器令M2_0＝PID||ID2’，M2_1＝x1’||x2’。利用私钥SK对M2_0||M2_1进行签名得到消息SIGN(M2_0||M2_1,SK)，并与M2_0组成确认消息M2＝M2_0||SIGN(M2_0||M2_1,SK)。

1.3更新阶段

1.3.1服务器计算PID’＝HASH(ID||ID1’||ID2’)。

1.3.2服务器将PID更新为PID’，x1更新为x1’，(x2,ID2)更新为(x2’,ID2’)。

1.3.3服务器将确认消息M2发给身份识别装置。

1.3.4身份识别装置组合出M2_1＝x1’||x2’。利用公钥PK验证SIGN(M2_0||M2_1,SK)签名，如验证失败，或没有收到确认消息，则认证失败，可移动身份识别装置报警以提示需要人工处理。人工处理的方式可以包括但不限于为认证失败的可移动身份识别装置重新颁发PID||(x1,ID1)||PK，并在服务器相应颁发可移动身份识别装置信息，使得可移动身份识别装置可以在下次认证成功。如验证成功则表明ID已被服务器认可，认证成功。

1.3.5身份识别装置根据(x1,ID1)和(x2’,ID2’)利用秘密共享理论来恢复ID和RAND，即通过(x1,ID1)和(x2’,ID2’)这两组秘密计算出f(x)函数，再根据f(x)函数计算得到ID1’＝f(x1’)。

1.3.6身份识别装置计算PID’＝HASH(ID||ID1’||ID2’)。

1.3.7身份识别装置将PID更新为PID’，(x1,ID1)更新为(x1’,ID1’)。

实施例2

2.1准备阶段

2.1.1本实施例所用非对称算法为基于ID密码学，设客户端和服务器的身份分别为ID/IDS，公钥分别为PK/PKS，私钥分别为SK/SKS，其中公钥PK＝H(ID)，PKS＝H(IDS||ID)，私钥SK＝S*PK，SKS＝S*PKS,其中S为密钥颁发服务器的私钥。密钥颁发服务器是服务器的一部分，由服务器管理员进行统一管理，而且为保证安全，是一台离线装置。密钥区结构如图1所示。对于不同ID，服务器均对应有特定的一对PKS/SKS。

2.1.2可移动身份识别装置密钥区存有PID||(x1,ID1)||PK||SK以及服务器的身份IDS。

2.1.3服务器密钥区内存有包括多组可移动身份识别装置信息的列表，每组可移动身份识别装置信息包括：PID||x1||(x2,ID2)||PKS||SKS，以及自身身份IDS。

2.1.4基于ID密码学的签名：SIGN(m,SK)＝(U,V)＝(r*PK,(r+h)*SK)，以m为消息k为密钥的基于ID密码学的签名。具体可参见《An Identity-Based Signature from GapDiffie-Hellman Groups》。由于本专利的用户ID不公开，其他方无法得到PK，因此无法通过U和PK得到随机数r。由于签名的对象m无法被其他方所知，因此无法通过m得到h。由于敌方无法得到r和h，因此其他方无法通过V＝(r+h)*SK得到SK。综上所述，公开的数字签名能抵抗敌方量子计算机对基于身份的公钥密码学的攻击。

2.1.5服务器根据函数f(x)＝ID+RAND*x，RAND为随机数(不同ID，RAND也不同)得到ID1＝ID+RAND*x1和ID2＝ID+RAND*x2。

即服务器对ID进行(2,2)的秘密共享，每个秘密为(x1,ID1)，(x2,ID2)。

服务器凑齐2组秘密可以恢复ID，实现方式如下：

两组秘密求得拉格朗日参数

其中：

λ1＝(-x2)/(x1-x2)

λ2＝(-x1)/(x2-x1)

求得ID＝λ1*ID1+λ2*ID2＝(x1*ID2-x2*ID1)/(x1-x2)

RAND＝(ID2-ID1)/(x2-x1)

2.1.6服务器计算得到假身份信息PID＝HASH(ID||ID1||ID2)。保存用户信息到本地用户信息池，具体为：PID||x1||(x2,ID2)||PKS||SKS。

2.1.7服务器将信息PID||(x1,ID1)||PK||SK以及服务器的身份IDS颁发给可移动身份识别装置。认证流程如图3所示。

2.2认证阶段

2.2.1服务器根据匹配的随机数发生器生成真随机数x0，作为挑战消息通过门禁识别装置发送给可移动身份识别系统。

2.2.2身份识别装置通过门禁识别装置接收到服务器发送过来的消息x0，从用户信息单元中取出x1，并与x0进行哈希计算分别得到x1’和x2’，即x1’＝HASH(x1||x0)，x2’＝HASH(x0||x1)。

2.2.3身份识别装置将x1、x1’、x2’进行比较，如果任意二者相等，则返回错误消息并由服务器重新发起挑战消息。反之，进行下一步。

2.2.4身份识别装置将PID与ID1组成消息M1_0＝PID||ID1，将x1’与x2’组成消息M1_1＝x1’||x2’。

2.2.5身份识别装置利用私钥SK对消息M1_0和M1_1进行基于ID密码学签名得到消息SIGN(M1_0||M1_1,SK)，并将该消息与M1_0组成应答消息M1＝M1_0||SIGN(M1_0||M1_1,SK)发送给门禁识别装置。

2.2.6服务器通过门禁识别装置获取到消息M1，从M1_0解析得到PID||ID1。根据PID搜索本地可移动身份识别装置信息列表中的PID项，如找不到PID，则认证失败。反之，取出PID所在的用户信息条目，包括PID||x1||(x2,ID2)||PKS||SKS，进行下一步。

2.2.7服务器根据x1和x0计算得到x1’＝HASH(x1||x0)和x2’＝HASH(x0||x1)，并组成信息M2_1＝x1’||x2’。

2.2.8服务器根据(x1,ID1)和(x2,ID2)利用秘密共享理论恢复ID和RAND，即通过(x1,ID1)和(x2,ID2)这两组秘密计算出f(x)函数，再根据f(x)函数计算得到ID1’＝f(x1’)和ID2’＝f(x2’)。

2.2.9服务器计算公钥PK＝H(ID)，对消息SIGN(M1_0||M1_1,SK)进行验证。验证失败则流程结束，验证通过则进行下一步骤。

2.2.10服务器令M2_0＝PID||ID2’，M2_1＝x1’||x2’。

2.2.11服务器利用私钥SKS对M2_0||M2_1进行签名得到消息SIGN(M2_0||M2_1,SKS)，并与M2_0组成确认消息M2＝M2_0||SIGN(M2_0||M2_1,SKS)。

2.3更新阶段

2.3.1服务器计算PID’＝HASH(ID||ID1’||ID2’)。

2.3.2服务器将PID更新为PID’，x1更新为x1’，(x2,ID2)更新为(x2’,ID2’)。

2.3.3服务器将确认消息M2发给身份识别装置。

2.3.4身份识别装置根据(x1,ID1)和(x2’,ID2’)利用秘密共享理论来恢复ID和RAND，即通过(x1,ID1)和(x2’,ID2’)这两组秘密计算出f(x)函数，再根据f(x)函数计算得到ID1’＝f(x1’)。

2.3.5身份识别装置组合出M2_1＝x1’||x2’。利用公钥PKS＝H(IDS||ID)验证SIGN(M2_0||M2_1,SKS)签名，如验证失败，或没有收到确认消息，则认证失败，可移动身份识别装置报警以提示需要人工处理。人工处理的方式可以包括但不限于为认证失败的可移动身份识别装置重新颁发PID||(x1,ID1)||PK||SK，并在服务器相应颁发可移动身份识别装置信息，使得可移动身份识别装置可以在下次认证成功。如验证成功则表明ID已被服务器认可，认证成功。

2.3.6身份识别装置计算PID’＝HASH(ID||ID1’||ID2’)。

2.3.7身份识别装置将PID更新为PID’，(x1,ID1)更新为(x1’,ID1’)。

上述的基于秘密共享和抗量子计算的门禁身份识别方法，客户端的身份标识不公开，且在身份认证过程中身份标识不会在门禁识别装置处或通信消息中被记录，因此敌方无法通过门禁识别装置或通信消息追踪ID得到用户隐私。并且，身份标识没有存储于服务器硬件或者身份识别装置，因此单独对服务器硬件或者身份识别装置进行断电拆解无法获取客户端身份标识，因此本发明对身份标识的秘密共享方式大大提高了真实身份标识的隐藏能力。

本方法中的服务端只需要存储一个用户信息池，配合上抗量子签名算法，即可抵抗量子计算，而无需存储更大容量的对称密钥池并不断更换密钥来抵抗量子计算，从而降低了存储成本。

在认证消息传递过程中，将用户信息池中的秘密共享信息对数字签名进行改进，使得量子计算机无法得到数字签名的输入，从而无法通过数字签名破解非对称密钥，最终使得数字签名具有抗量子计算的效果。

在其中一个实施例中，提供了一种计算机设备，即一种基于秘密共享和抗量子计算的门禁身份识别系统，该计算机设备可以是终端，其内部结构可以包括通过系统总线连接的处理器、存储器、网络接口、显示屏和输入装置。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现上述基于秘密共享和抗量子计算的门禁身份识别方法。该计算机设备的显示屏可以是液晶显示屏或者电子墨水显示屏，该计算机设备的输入装置可以是显示屏上覆盖的触摸层，也可以是计算机设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。

在其中一个实施例中，提供了一种基于秘密共享和抗量子计算的门禁身份识别系统，包括通过门禁识别装置进行通信的服务端以及客户端之间，所述服务端以及客户端均配置有密钥卡，所述客户端的密钥卡中存储有己方的第一用户信息单元，所述服务端的密钥卡中存储有本地用户信息池，所述本地用户信息池中存储有与各客户端对应的第二用户信息单元，与同一个客户端相关的所述第一用户信息单元以及第二用户信息单元分别存储有基于秘密共享方式生成的所述客户端的身份标识碎片以及假身份标识；

所述服务端和用户包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现上述的基于秘密共享和抗量子计算的门禁身份识别方法。

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明的保护范围应以所附权利要求为准。

Claims (7)

1.基于秘密共享和抗量子计算的门禁身份识别方法，实施在通过门禁识别装置进行通信的服务端以及客户端之间，其特征在于，所述服务端以及客户端均配置有密钥卡，所述客户端的密钥卡中存储有己方的第一用户信息单元，所述服务端的密钥卡中存储有本地用户信息池，所述本地用户信息池中存储有与各客户端对应的第二用户信息单元，与同一个客户端相关的所述第一用户信息单元以及第二用户信息单元分别存储有基于秘密共享方式生成的所述客户端的身份标识碎片以及假身份标识；

第一用户信息以及第二用户信息均由所述服务端的密钥卡生成，具体包括：

根据RSA算法计算得到服务端密钥卡的私钥和公钥；

对所述客户端的身份标识进行秘密共享，得到与所述身份标识相关的第一秘密碎片以及第二秘密碎片，所述第一秘密碎片以及第二秘密碎片均包括秘密系数以及身份标识分量；

根据所述客户端的身份标识、第一秘密碎片的身份标识分量以及第二秘密碎片的身份标识分量进行哈希计算，得到所述客户端的假身份标识；

将所述假身份标识、第一秘密碎片以及服务端密钥卡的公钥作为所述第一用户信息发送至所述客户端的密钥卡；

将所述假身份标识、第二秘密碎片、第一秘密碎片的秘密系数以及服务端密钥卡的私钥作为第二用户信息存储至本地用户信息池；

所述门禁身份识别方法包括：

所述服务端生成真随机数作为挑战消息发送至所述客户端；

所述客户端根据所述挑战消息以及所述第一用户信息进行计算，得到应答消息，并发送至所述服务端；

所述服务端根据所述第二用户信息对所述应答消息进行验证后，生成确认消息发送至所述客户端，并对所述第二用户信息进行更新；

所述客户端根据所述确认消息将所述第一用户信息进行更新。

2.根据权利要求1所述的门禁身份识别方法，其特征在于，所述第一用户信息以及所述第二用户信息均由所述服务端的密钥卡生成，具体包括：

根据ID密码学算法计算得到服务端密钥卡的公私钥对，以及客户端密钥卡的公私钥对；

对所述客户端的身份标识进行秘密共享，得到与所述身份标识相关的第一秘密碎片以及第二秘密碎片，所述第一秘密碎片以及第二秘密碎片均包括秘密系数以及身份标识分量；

根据所述客户端的身份标识、第一秘密碎片的身份标识分量以及第二秘密碎片的身份标识分量进行哈希计算，得到所述客户端的假身份标识；

将所述假身份标识、第一秘密碎片以及客户端密钥卡的公私钥对作为所述第一用户信息以及所述服务端的身份发送至所述客户端的密钥卡；

将所述假身份标识、第二秘密碎片、第一秘密碎片的秘密系数以及服务端密钥卡的公私钥对作为第二用户信息存储至本地用户信息池。

3.根据权利要求1或2所述的门禁身份识别方法，其特征在于，所述客户端根据所述挑战消息以及所述第一用户信息进行计算，得到应答消息，并发送至所述服务端，具体包括：

根据所述挑战消息以及第一秘密碎片的秘密系数进行计算，得到第一系数以及第二系数；

对所述第一秘密碎片的秘密系数、第一系数以及第二系数进行验证，验证后，将所述假身份标识以及第一秘密碎片的身份标识分量组成第一消息，将所述第一系数和第二系数组成第二消息；

根据所述公钥或私钥对所述第一消息以及第二消息进行RSA数字签名或ID密码学签名得到第一签名消息；

根据所述第一消息以及第一签名消息组成所述应答消息。

4.根据权利要求3所述的门禁身份识别方法，其特征在于，所述服务端根据所述第二用户信息对所述应答消息进行验证后，生成确认消息具体包括：

根据所述应答消息中的第一消息，获取所述客户端的假身份标识、第一秘密碎片的身份标识分量；

根据所述假身份标识从本地用户信息池中获取与所述客户端相关的第二用户信息，并从中提取第一秘密碎片的秘密系数以及服务端密钥卡的私钥；

根据所述第一秘密碎片的秘密系数以及挑战信息，重新计算得到验证第一系数以及验证第二系数，并根据所述验证第一系数以及验证第二系数组成第一验证消息；

根据所述第一验证消息以及服务端密钥卡的私钥对所述第一签名进行验证后，获取所述第一系数以及第二系数；

根据所述第一秘密碎片以及第二秘密碎片进行计算，得到第一秘密碎片的新身份标识分量以及新第二秘密碎片的新身份标识分量；

根据所述客户端的假身份标识以及第二秘密碎片的新身份标识分量作为第三消息；

根据所述第一系数以及第二系数作为第四消息；

根据所述私钥对所述三消息以及第四消息进行签名，得到第二签名消息；

将所述第三消息以及第二签名消息作为确认消息。

5.根据权利要求4所述的门禁身份识别方法，其特征在于，所述服务端生成所述确认消息后，并对所述第二用户信息进行更新具体包括：

根据所述客户端的身份标识、第一秘密碎片的新身份标识分量以及第二秘密碎片的新身份标识分量进行计算，得到新假身份标识；

将所述第一系数作为第一秘密碎片的新秘密系数，将所述第二系数作为第二秘密碎片的新秘密系数；

根据所述新假身份标识、第一秘密碎片的新秘密系数、第二秘密碎片的新秘密系数以及第二秘密碎片的新身份标识分量对相应的第二用户信息进行更新。

6.根据权利要求5所述的门禁身份识别方法，其特征在于，所述客户端根据所述确认消息将所述第一用户信息进行更新具体包括：

根据所述确认消息进行相应解密，根据所述第三消息进行计算得到新假身份标识、第一秘密碎片的新秘密系数以及新身份标识分量，并对所述第一用户标识进行相应更新。

7.基于秘密共享和抗量子计算的门禁身份识别系统，包括通过门禁识别装置进行通信的服务端以及客户端之间，其特征在于，所述服务端以及客户端均配置有密钥卡，所述客户端的密钥卡中存储有己方的第一用户信息单元，所述服务端的密钥卡中存储有本地用户信息池，所述本地用户信息池中存储有与各客户端对应的第二用户信息单元，与同一个客户端相关的所述第一用户信息单元以及第二用户信息单元分别存储有基于秘密共享方式生成的所述客户端的身份标识碎片以及假身份标识；

第一用户信息以及第二用户信息均由所述服务端的密钥卡生成，具体包括：

根据RSA算法计算得到服务端密钥卡的私钥和公钥；

对所述客户端的身份标识进行秘密共享，得到与所述身份标识相关的第一秘密碎片以及第二秘密碎片，所述第一秘密碎片以及第二秘密碎片均包括秘密系数以及身份标识分量；

根据所述客户端的身份标识、第一秘密碎片的身份标识分量以及第二秘密碎片的身份标识分量进行哈希计算，得到所述客户端的假身份标识；

将所述假身份标识、第一秘密碎片以及服务端密钥卡的公钥作为所述第一用户信息发送至所述客户端的密钥卡；

将所述假身份标识、第二秘密碎片、第一秘密碎片的秘密系数以及服务端密钥卡的私钥作为第二用户信息存储至本地用户信息池；

所述服务端和用户包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现权利要求1～6任一项所述的基于秘密共享和抗量子计算的门禁身份识别方法。

Images