CN111404687B - 一种移动互联网轻量化安全通信方法 - Google Patents

Abstract

本发明公开了一种移动互联网轻量化安全通信方法。本方法为：1)节点A与节点B分别获得可信第三方提供的公钥加解密算法密钥和数字签名算法密钥；其中，节点A、B的加解密公钥为EnPK_a、EnPK_b，私钥为EnSK_a、EnSK_b，数字签名公钥为SignPK_a、SignPK_b，私钥为SignSK_a、SignSK_b；2)节点A与节点B通过可信第三方，使用EnPK_a、EnSK_a、EnPK_b、EnSK_b进行密钥协商，获得会话密钥K_ab；3)节点A使用K_ab、SignSK_a封装待发送的信息形成协议报文，并发送至节点B；4)节点B使用K_ab、SignPK_a对收到的协议报文进行解析，获得节点A发出的信息。

Description

一种移动互联网轻量化安全通信方法

技术领域

本发明涉及一种移动互联网轻量化安全通信方法，属于网络通信技术领域。

背景技术

移动互联网具有的开放性、IP化及无线传输特性，使得安全威胁成为终端信息传输过程面临的关键问题之一。4G等常用移动通信网络架构采用的全IP技术使其更易受窃听、注入等方式攻击，增加了隐私泄露的风险；而WLAN技术由于其在认证与网络安全等方面的问题，也有很高的隐私泄露风险。如何保证信息内容以及传输行为等在移动互联网中传输的匿名性，是基于移动互联网的信息传输所面临的一个严峻挑战。

以密码学研究为主的通信加密、数字签名和安全通信协议是实现移动互联网信息传输匿名安全的重要一环。一般来说，密码体制包含对称密码体制和公钥密码体制，这两种体制各有优劣。对称密码体制算法速度快，但其通信双方的加密、解密密钥相同，妨碍了密钥管理安全和密钥协商安全的实现，且无法应用于数字签名。公钥密码体制可以将加密密钥和解密密钥分开，但其运算速度较慢，受限于移动硬件平台。

目前应用比较广泛的公钥密码体制都会涉及高精度整数乘法和模幂运算。这是导致其运算速度过慢的主要原因，也是目前广泛应用的公钥密码体制无法绕开的问题。

发明内容

本发明的目的在于提供一种应用于移动设备的轻量化安全通信方法，能够在保障移动设备通信安全的同时，降低用于安全运算的开销。本发明通过使用NTRU算法，规避了高精度整数乘法和模幂运算导致的性能问题。

本发明的主要技术流程为：

1)节点A与节点B分别获得可信第三方提供的公钥加解密算法密钥和数字签名算法密钥；其中，节点A的加解密公钥为EnPK_a、私钥为EnSK_a，数字签名公钥为SignPK_a、私钥为SignSK_a；节点B的加解密公钥为EnPK_b、私钥为EnSK_b，数字签名公钥为SignPK_b、私钥为SignSK_b；

2)节点A与节点B通过可信第三方，使用EnPK_a、EnSK_a、EnPK_b、EnSK_b进行密钥协商，获得会话密钥K_ab，作为对称加密算法密钥；

3)节点A使用K_ab、SignSK_a封装待发送的信息形成协议报文，并发送至节点B；

4)节点B使用K_ab、SignPK_a对收到的协议报文进行解析，获得节点A发出的信息。

与现有技术相比，本发明的积极效果为：

本发明能够在具有同RSA等传统密码算法相同安全性的条件下，提高安全协议在移动和嵌入式设备上的运行速度。

附图说明

图1为本发明安全协议的报文封装过程。

图2为本发明安全协议的报文解析过程。

图3为本发明安全协议的NTRU加解密算法密钥生成过程。

图4为本发明安全协议的NTRU加解密算法加密过程。

图5为本发明安全协议的NTRU加解密算法解密过程。

图6为本发明安全协议的NTRU数字签名算法密钥生成过程。

图7为本发明安全协议的NTRU数字签名算法签名生成过程。

图8为本发明安全协议的NTRU1算法签名验证过程。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面通过具体实施例和附图，对本发明做进一步说明。

发明通过如下方式实现：

本发明使用如下协议符号与概念：

A，B：网络中的节点身份。

TTP(Trusted Third Party)：可信第三方服务提供者。

SignPK_x：节点X的数字签名算法公钥。

SignSK_x：节点X的数字签名算法私钥。

EnPK_x：节点X的公钥加解密算法公钥。

EnSK_x：节点X的公钥加解密算法私钥。

K_ab：节点A与B的会话密钥，为对称加密算法密钥。

N_x：节点X产生的随机数。

{M}K：用密钥K对消息M进行加密、解密、签名或验证。

Hash(m)：计算消息m的摘要。

X→Y：节点X发送消息给节点Y。

<m,n>：包含数据m和数据n的结构化数据包。

本发明在节点A与节点B的通信过程中，包含如下步骤：

步骤1：节点A与节点B获得可信第三方提供的公钥加解密算法密钥和数字签名算法密钥。节点A的加解密公钥为EnPK_a，私钥为EnSK_a；节点B的加解密公钥为EnPK_b，私钥为EnSK_b；可信第三方加解密公钥为EnPK_ttp，私钥为EnSK_ttp。节点A数字签名公钥为SignPK_a，私钥为SignSK_a；节点B数字签名公钥为SignPK_b，私钥为SignSK_b；可信第三方数字签名公钥为SignPK_ttp，私钥为SignSK_ttp。

步骤2：节点A与节点B通过可信第三方，使用EnPK_a、EnSK_a、EnPK_b、EnSK_b进行密钥协商，双方获得会话密钥K_ab，为对称加密算法密钥。

步骤3：节点A使用K_ab、SignSK_a封装待发送的信息形成协议报文，并发送至节点B。

步骤4：节点B使用K_ab、SignPK_a对接收到的协议报文进行解析，获得节点A发出的信息。节点B在步骤1获取了节点A的签名公钥并保存，用于验证B接收到的消息确实是由A产生的。

上述在节点A与节点B的通信过程步骤1中，节点A执行如下具体步骤(如附图3所示)：

步骤1.ae.1：获取参数Nea，qea，pea＝Xea+2，dea_f1，dea_f2，dea_f3，dea_g。其中Nea，qea，dea_f1，dea_f2，dea_f3，dea_g为正整数，Xea为截尾多项式环中的多项式。

步骤1.ae.2：生成度为Nea-1的多项式gea，其中dgea个系数为1，其他系数为0；dgea取值为70～75。

步骤1.ae.3：生成度为Nea-1的稀疏小多项式fea₁，fea₂，fea₃，其中分别有dea_f1，dea_f2，dea_f3个系数为1，其他系数均为0。

步骤1.ae.4：计算fea＝1+pea*(fea₁*fea₂+fea₃)。

步骤1.ae.5：计算fea_q＝fea^-1(mod qea)。

步骤1.ae.6：判断fea_q是否存在(即步骤1.ae.5是否能够计算出一数值)。若是，则执行步骤1.ae.7，否则执行步骤1.ae.2。

步骤1.ae.7：计算hea＝pea*fea_q*gea(mod qea)。

步骤1.ae.8：输出公钥EnPK_a＝hea，私钥EnSK_a＝fea。

上述在节点A与节点B的通信过程步骤1中，节点A执行如下具体步骤(如附图6所示)：

步骤1.as.1：获取正整数参数Nsa，qsa，dsa_f，dsa_g，Bsa。

步骤1.as.2：生成Bsa个稀有格基，令i＝Bsa。

步骤1.as.3：随机选择多项式ksa，lsa，且ksa，lsa中分别有dsa_k，dsa_l个系数为1，其他均为0；其中dsa_k，dsa_l取值为70～75。

步骤1.as.4：计算Ksa，Lsa满足ksa*Lsa–Ksa*lsa＝qsa。即求解满足ksa*Lsa–Ksa*l＝qsa的Ksa、Lsa。

步骤1.as.5：计算hsa_i＝1/ksa^-1*Ksa(mod qsa)。

步骤1.as.6：计算i＝i–1令ksa_i＝ksa，ksa_i'＝Ksa。

步骤1.as.7：判断是否i≥0。是则跳转至步骤1.as.3，否则执行步骤1.as.8。

步骤1.as.8：输出公钥SignPK_a＝hsa₀，私钥SignSK_a＝{ksa_i，ksa_i'，hsa_i}，i＝0...Bsa；即私钥由Bsa+1组(ksa_i，ksa_i'，hsa_i)构成。

上述在节点A与节点B的通信过程步骤1中，节点B执行如下具体步骤(如附图3所示)：

步骤1.be.1：获取参数Neb，qeb，peb＝Xeb+2，deb_f1，deb_f2，deb_f3，deb_g。其中Neb，qeb，deb_f1，deb_f2，deb_f3，deb_g为正整数，Xeb为截尾多项式环中的多项式。

步骤1.be.2：生成度为Neb-1的多项式geb，其中dgeb个系数为1，其他系数为0；dgeb取值为70～75。

步骤1.be.3：生成度为Neb-1的稀疏小多项式feb₁，feb₂，feb₃，其中分别有deb_f1，deb_f2，deb_f3个系数为1，其他系数均为0。

步骤1.be.4：计算feb＝1+peb*(feb₁*feb₂+feb₃)。

步骤1.be.5：计算feb_q＝feb^-1(mod qeb)。

步骤1.be.6：判断feb_q是否存在(即步骤1.be.5是否能够计算出一数值)。若是，则执行步骤1.be.7，否则执行步骤1.be.2。

步骤1.be.7：计算heb＝peb*feb_q*geb(mod qeb)。

步骤1.be.8：输出公钥EnPK_b＝heb，私钥EnSK_b＝feb。

上述在节点A与节点B的通信过程步骤1中，节点B执行如下具体步骤(如附图6所示)：

步骤1.bs.1：获取正整数参数Nsb，qsb，dsb_f，dsb_g，Bsb。

步骤1.bs.2：生成Bsb个稀有格基，令i＝Bsb。

步骤1.bs.3：随机选择多项式ksb，lsb，且ksb，lsb中分别有dsb_k，dsb_l个系数为1，其他均为0；其中dsb_k，dsb_l取值均为70～75。

步骤1.bs.4：计算Ksb，Lsb满足ksb*Lsb–Ksb*lsb＝qsb。即求解满足ksb*Lsb–Ksb*l＝qsb的Ksb、Lsb。

步骤1.bs.5：计算hsb_i＝1/ksb^-1*Ksb(mod qsb)。

步骤1.bs.6：计算i＝i–1令ksb_i＝ksb，ksb_i'＝Ksb。

步骤1.bs.7：判断是否i≥0。是则跳转至步骤1.bs.3，否则执行步骤1.bs.8。

步骤1.bs.8：输出公钥SignPK_b＝hsb₀，私钥SignSK_b＝{ksb_i，ksb_i'，hsb_i}，i＝0...Bsb；即私钥由Bsb+1组(ksb_i，ksb_i'，hsb_i)构成。

上述在节点A与节点B的通信过程步骤1中，节点TTP执行如下具体步骤(如附图3所示)：

步骤1.te.1：获取参数Net，qet，pet＝Xet+2，det_f1，det_f2，det_f3，det_g。其中Net，qet，det_f1，det_f2，det_f3，det_g为正整数，Xet为截尾多项式环中的多项式。

步骤1.te.2：生成度为Net-1的多项式get，其中有dget个系数为1，其他系数为0；dget取值为70～75。

步骤1.te.3：生成度为Net-1的稀疏小多项式fet₁，fet₂，fet₃，其中分别有det_f1，det_f2，det_f3个系数为1，其他系数均为0；det_f1，det_f2，det_f3取值均为8。

步骤1.te.4：计算fet＝1+pet*(fet₁*fet₂+fet₃)。

步骤1.te.5：计算fet_q＝fet^-1(mod qet)。

步骤1.te.6：判断fet_q是否存在(即步骤1.te.5是否能够计算出一数值)。若是，则执行步骤1.te.7，否则执行步骤1.te.2。

步骤1.te.7：计算het＝pet*fet_q*get(mod qet)。

步骤1.te.8：输出公钥EnPK_ttp＝het，私钥EnSK_ttp＝fet。

上述在节点A与节点B的通信过程步骤1中，节点TTP执行如下具体步骤(如附图6所示)：

步骤1.ts.1：获取正整数参数Nst，qst，dst_f，dst_g，Bst。

步骤1.ts.2：生成Bst个稀有格基，令i＝Bst。

步骤1.ts.3：随机选择多项式kst，lst，且kst，lst中分别有dst_k，dst_l个系数为1，其他均为0；其中dst_k，dst_l取值为70～75。

步骤1.ts.4：计算Kst，Lst满足kst*Lst–Kst*lst＝qst。即求解满足kst*Lst–Kst*l＝qst的Kst、Lst。

步骤1.ts.5：计算hst_i＝1/kst^-1*Kst(mod qst)。

步骤1.ts.6：计算i＝i–1令kst_i＝kst，kst_i'＝Kst。

步骤1.ts.7：判断是否i≥0。是则跳转至步骤1.ts.3，否则执行步骤1.ts.8。

步骤1.ts.8：输出公钥SignPK_ttp＝hst₀，私钥SignSK_ttp＝{kst_i，kst_i'，hst_i}，i＝0...Bst；即私钥由Bst+1组(kst_i，kst_i'，hst_i)构成。

上述在节点A与节点B的通信过程步骤2包含如下具体步骤：

步骤2.1：A→B：{<N_a,A,B>}SignSK_a，{<A,B,N_a>}EnPK_ttp。EnPK_ttp为可信第三方的公钥，A利用签名密钥SignSK_a和EnPK_ttp分别对<N_a,A,B>进行处理，并将处理结果发送给B。B收到消息后，执行{{<N_a,A,B>}SignSK_a}SignPK_a验证消息签名。

步骤2.2：B→TTP：{<N_a,B,A>}SignSK_b，{<A,B,N_a>}EnPK_ttp。TTP收到消息后，执行{{<N_a,A,B>}SignSK_b}SignPK_b验证消息签名，执行{{<A,B,N_a>}EnPK_ttp}EnSK_ttp解密消息。

步骤2.3：TTP→A：{{<B,N_a,K_ab>}EnPK_a}SignSK_ttp。A收到消息后，执行{{{<B,N_a,K_ab>}EnPK_a}SignSK_ttp}SignPK_ttp验证消息签名，执行{{<B,N_a,K_ab>}EnPK_a}EnSK_a解密消息，得到会话密钥K_ab。

步骤2.4：TTP→B：{{<A,N_a,K_ab>}EnPK_b}SignSK_ttp。B收到消息后，执行{{{<A,N_a,K_ab>}EnPK_b}SignSK_ttp}SignPK_ttp验证消息签名，执行{{<A,N_a,K_ab>}EnPK_b}EnSK_b解密消息，得到会话密钥K_ab。

上述在节点A与节点B的通信过程步骤2.1中，节点A执行如下具体步骤(如附图4所示)：

步骤2.1.ae.1：获取公钥hea＝EnPK_ttp，明文mea＝<A,B,N_a>，正整数参数dea_r1,dea_r2,dea_r3。

步骤2.1.ae.2：生成度为Nea-1的稀疏小多项式rea₁，rea₂，rea₃，其中分别有dea_r，dea_r2，dea_r3个系数为1，其他均为0。

步骤2.1.ae.3：计算rea＝rea₁*rea₂+rea₃。

步骤2.1.ae.4：计算eea＝rea*hea+mea(mod qet)。

步骤2.1.ae.5：输出密文{<A,B,N_a>}EnPK_ttp＝eea，并将其发送给节点B。

上述在节点A与节点B的通信过程步骤2.1中，节点A执行如下具体步骤(如附图7所示)：

步骤2.1.as.1：获取待签名消息Dsa＝<N_a,A,B>，私钥fsa＝SignSK_a＝{ksa_i，ksa_i'，hsa_i}，i＝0...Bsa，参数NormBoundsa。NormBoundsa用于判断是否需要重新生成签名和签名验证是否通过。

步骤2.1.as.2：令tsa＝0。

步骤2.1.as.3：令ssa＝0，i＝Bsa。

步骤2.1.as.4：计算Zsa＝zsa＝Hash(Dsa||tsa)。

步骤2.1.as.5：计算xsa＝[-(1/qsa)zsa*ksa_i']，ysa＝[(1/qsa)zsa*ksa_i]。

步骤2.1.as.6：计算ssa_i＝xsa*ksa_i+ysa*ksa_i'。

步骤2.1.as.7：计算zsa＝ssa_i*(hsa_i–hsa_i-1)(mod qsa)。

步骤2.1.as.8：计算ssa＝ssa+ssa_i，i＝i–1。

步骤2.1.as.9：判断是否i≥0。是则执行步骤2.1.as.5，否则执行步骤2.1.as.10。在此处进行多次运算，目的是对数字签名进行扰动，以增加数字签名的安全性。

步骤2.1.as.10：计算bsa＝||(ssa，ssa*hsa₀-Zsa(mod qsa))||。

步骤2.1.as.11：判断是否bsa≤NormBoundsa。若是，则执行步骤2.1.as.13，否则执行步骤2.1.as.12。

步骤2.1.as.12：计算tsa＝tsa+1，执行步骤2.1.as.3。

步骤2.1.as.13：输出签名结果{<N_a,A,B>}SignSK_a＝(tsa，ssa)，并将其发送给节点B。

上述在节点A与节点B的通信过程步骤2.1中，节点B执行如下具体步骤(如附图8所示)：

步骤2.1.bv.1：获取待验证消息Dvb＝{<N_a,A,B>}，签名(tvb，svb)＝{<N_a,A,B>}SignSK_a，公钥hvb＝SignPK_a，参数NormBoundsa。

步骤2.1.bv.2：计算wvb＝Hash(Dvb||tvb)。

步骤2.1.bv.3：计算bvb＝||(svb，svb*hvb-wvb(mod qsa))||。

步骤2.1.bv.4：判断是否bvb≤NormBoundsa，若是则验证通过，否则验证失败。

上述在节点A与节点B的通信过程步骤2.2中，节点B执行如下具体步骤(如附图7所示)：

步骤2.1.bs.1：获取待签名消息Dsb＝<N_a,B,A>，私钥fsb＝SignSK_b＝{ksb_i，ksb_i'，hsb_i}，i＝0...Bsb，参数NormBoundsb。

步骤2.1.bs.2：令tsb＝0。

步骤2.1.bs.3：令ssb＝0，i＝Bsb。

步骤2.1.bs.4：计算Zsb＝zsb＝Hash(Dsb||tsb)。

步骤2.1.bs.5：计算xsb＝[-(1/qsb)zsb*ksb_i']，ysb＝[(1/qsb)zsb*ksb_i]。

步骤2.1.bs.6：计算ssb_i＝xsb*ksb_i+ysb*ksb_i'。

步骤2.1.bs.7：计算zsb＝ssb_i*(hsb_i–hsb_i-1)(mod qsb)。

步骤2.1.bs.8：计算ssb＝ssb+ssb_i，i＝i–1。

步骤2.1.bs.9：判断是否i≥0。是则执行步骤2.1.bs.5，否则执行步骤2.1.bs.10。在此处进行多次运算，目的是对数字签名进行扰动，以增加数字签名的安全性。

步骤2.1.bs.10：计算bsb＝||(ssb，ssb*hsb₀-Zsb(mod qsb))||。

步骤2.1.bs.11：判断是否bsb≤NormBoundsb。若是，则执行步骤2.1.bs.13，否则执行步骤2.1.bs.12。

步骤2.1.bs.12：计算tsb＝tsb+1，执行步骤2.1.bs.3。

步骤2.1.bs.13：输出签名结果{<N_a,B,A>}SignSK_b＝(tsb，ssb)，并将其发送给TTP。

上述在节点A与节点B的通信过程步骤2.2中，节点TTP执行如下具体步骤(如附图8所示)：

步骤2.1.tv.1：获取待验证消息Dvt＝{<N_a,B,A>}，签名(tvt，svt)＝{<N_a,A,B>}SignSK_b，公钥hvt＝SignPK_b，参数NormBoundsb。

步骤2.1.tv.2：计算wvt＝Hash(Dvt||tvt)。

步骤2.1.tv.3：计算bvt＝||(svt，svt*hvt-wvt(mod qsb))||。

步骤2.1.tv.4：判断是否bvt≤NormBoundsb，若是则验证通过，否则验证失败。

上述在节点A与节点B的通信过程步骤2.2中，节点TTP执行如下具体步骤(如附图5所示)：

步骤2.2.td.1：获取密文edt＝{<A,B,N_a>}EnPK_ttp，私钥fdt＝EnSK_ttp。

步骤2.2.td.2：计算adt＝fdt*edt(mod qet)。

步骤2.2.td.3：计算bdt＝adt(mod pet)。

步骤2.2.td.4：输出明文bdt＝<A,B,N_a>。

上述在节点A与节点B的通信过程步骤2.3中，节点TTP执行如下具体步骤(如附图4所示)：

步骤2.3.te.1：获取公钥het1＝EnPK_a，明文met1＝<B,N_a,K_ab>，正整数参数det1_r1,det1_r2,det1_r3。

步骤2.3.te.2：生成度为Net1-1的稀疏小多项式ret1₁，ret1₂，ret1₃，其中分别有det1_r，det1_r2，det1_r3个系数为1，其他均为0。

步骤2.3.te.3：计算ret1＝ret1₁*ret1₂+ret1₃。

步骤2.3.te.4：计算eet1＝ret1*het1+met1(mod qea)。

步骤2.3.te.5：输出密文{<B,N_a,K_ab>}EnPK_a＝eet1，对其签名后发送给A。

上述在节点A与节点B的通信过程步骤2.3中，节点TTP执行如下具体步骤(如附图7所示)：

步骤2.3.ts.1：获取待签名消息Dst＝<B,N_a,K_ab>}EnPK_a，私钥fst＝SignSK_ttp＝{kst_i，kst_i'，hst_i}，i＝0...Bst，参数NormBoundst。

步骤2.3.ts.2：令tst＝0。

步骤2.3.ts.3：令sst＝0，i＝Bst。

步骤2.3.ts.4：计算Zst＝zst＝Hash(Dst||tst)。

步骤2.3.ts.5：计算xst＝[-(1/qst)zst*kst_i']，yst＝[(1/qst)zst*kst_i]。

步骤2.3.ts.6：计算sst_i＝xst*kst_i+yst*kst_i'。

步骤2.3.ts.7：计算zst＝sst_i*(hst_i–hst_i-1)(mod qst)。

步骤2.3.ts.8：计算sst＝sst+sst_i，i＝i–1。

步骤2.3.ts.9：判断是否i≥0。是则执行步骤2.3.ts.5，否则执行步骤2.3.ts.10。在此处进行多次运算，目的是对数字签名进行扰动，以增加数字签名的安全性。

步骤2.3.ts.10：计算bst＝||(sst，sst*hst₀-Zst(mod qst))||。

步骤2.3.ts.11：判断是否bst≤NormBoundst。若是，则执行步骤2.3.ts.13，否则执行步骤2.3.ts.12。

步骤2.3.ts.12：计算tst＝tst+1，执行步骤2.3.ts.3。

步骤2.3.ts.13：输出签名结果{{<B,N_a,K_ab>}EnPK_a}SignSK_ttp＝(tst，sst)，并将其发送给节点A。

上述在节点A与节点B的通信过程步骤2.3中，节点A执行如下具体步骤(如附图8所示)：

步骤2.3.av.1：获取待验证消息Dva＝{<B,N_a,K_ab>}EnPK_a，签名(tva，sva)＝{<B,N_a,K_ab>}EnPK_a}SignSK_ttp，公钥hva＝SignPK_ttp，参数NormBoundst。

步骤2.3.av.2：计算wva＝Hash(Dva||tva)。

步骤2.3.av.3：计算bva＝||(sva，sva*hva-wva(mod qst))||。

步骤2.3.av.4：判断是否bva≤NormBoundst，若是则验证通过，否则验证失败。

上述在节点A与节点B的通信过程步骤2.3中，节点A执行如下具体步骤(如附图5所示)：

步骤2.3.ad.1：获取密文eda＝{<B,N_a,K_ab>}EnPK_a，私钥fda＝EnSK_a。

步骤2.3.ad.2：计算ada＝fda*eda(mod qea)。

步骤2.3.ad.3：计算bda＝ada(mod pea)。

步骤2.3.ad.4：输出明文bda＝<B,N_a,K_ab>。

上述在节点A与节点B的通信过程步骤2.4中，节点TTP执行如下具体步骤(如附图4所示)：

步骤2.4.te.1：获取公钥het2＝EnPK_b，明文met2＝<A,N_a,K_ab>，正整数参数det2_r1,det2_r2,det2_r3。

步骤2.4.te.2：生成度为Net2-1的稀疏小多项式ret2₁，ret2₂，ret2₃，其中分别有det2_r，det2_r2，det2_r3个系数为1，其他均为0。

步骤2.4.te.3：计算ret2＝ret2₁*ret2₂+ret2₃。

步骤2.4.te.4：计算eet2＝ret2*het2+met2(mod qeb)。

步骤2.4.te.5：输出密文{<A,N_a,K_ab>}EnPK_b＝eet2，然后签名后发送给B。

上述在节点A与节点B的通信过程步骤2.4中，节点TTP执行如下具体步骤(如附图7所示)：

步骤2.4.ts.1：获取待签名消息Dst＝{<A,N_a,K_ab>}EnPK_b，私钥fst＝SignSK_ttp＝{kst_i，kst_i'，hst_i}，i＝0...Bst，参数NormBoundst。

步骤2.4.ts.2：令tst＝0。

步骤2.4.ts.3：令sst＝0，i＝Bst。

步骤2.4.ts.4：计算Zst＝zst＝Hash(Dst||tst)。

步骤2.4.ts.5：计算xst＝[-(1/qst)zst*kst_i']，yst＝[(1/qst)zst*kst_i]。

步骤2.4.ts.6：计算sst_i＝xst*kst_i+yst*kst_i'。

步骤2.4.ts.7：计算zst＝sst_i*(hst_i–hst_i-1)(mod qst)。

步骤2.4.ts.8：计算sst＝sst+sst_i，i＝i–1。

步骤2.4.ts.9：判断是否i≥0。是则执行步骤2.4.ts.5，否则执行步骤2.4.ts.10。在此处进行多次运算，目的是对数字签名进行扰动，以增加数字签名的安全性。

步骤2.4.ts.10：计算bst＝||(sst，sst*hst₀-Zst(mod qst))||。

步骤2.4.ts.11：判断是否bst≤NormBoundst。若是，则执行步骤2.4.ts.13，否则执行步骤2.4.ts.12。

步骤2.4.ts.12：计算tst＝tst+1，执行步骤2.4.ts.3。

步骤2.4.ts.13：输出签名结果{{<A,N_a,K_ab>}EnPK_b}SignSK_ttp＝(tst，sst)，并将其发送给节点B。

上述在节点A与节点B的通信过程步骤2.4中，节点B执行如下具体步骤(如附图8所示)：

步骤2.4.bv.1：获取待验证消息Dvb＝{<A,N_a,K_ab>}EnPK_b，签名(tvb，svb)＝{{<A,N_a,K_ab>}EnPK_b}SignSK_ttp，公钥hvb＝SignPK_ttp，参数NormBoundst。

步骤2.4.bv.2：计算wvb＝Hash(Dvb||tvb)。

步骤2.4.bv.3：计算bvb＝||(svb，svb*hvb-wvb(mod qst))||。

步骤2.4.bv.4：判断是否bvb≤NormBoundst，若是则验证通过，否则验证失败。

上述在节点A与节点B的通信过程步骤2.4中，节点B执行如下具体步骤(如附图5所示)：

步骤2.4.bd.1：获取密文edb＝{<A,N_a,K_ab>}EnPK_b，私钥fdb＝EnSK_b。

步骤2.4.bd.2：计算adb＝fdb*edb(mod qeb)。

步骤2.4.bd.3：计算bdb＝adb(mod peb)。

步骤2.4.bd.4：输出明文bdb＝<A,N_a,K_ab>。

上述在节点A与节点B的通信过程步骤3包含如下具体步骤(见附图1)，由节点A完成：

步骤3.1：对待发送的消息M，计算C＝{M}K_ab。

步骤3.2：计算密文摘要HA＝Hash(C)。

步骤3.3：计算摘要签名S＝{HA}SignSK_a。

步骤3.4：计算报文长度L、序列号N、指令码I。长度表示该段报文总长度，序列号表示该报文在报文簇中的排序，指令码用于描述本报文的作用，如建立连接、发送数据、进行认证、断开连接等。

步骤3.5：将上述内容封装为报文，格式为L|N|I|S|HA|C。

步骤3.6：节点A将封装完成的报文发送至节点B。

上述在节点A与节点B的通信过程步骤3.3中，节点A执行如下具体步骤(如附图7所示)：

步骤3.3.as.1：获取待签名消息Dsa＝HA，私钥fsa＝SignSK_a＝{ksa_i，ksa_i'，hsa_i}，i＝0...Bsa，参数NormBoundsa。

步骤3.3.as.2：令tsa＝0。

步骤3.3.as.3：令ssa＝0，i＝Bsa。

步骤3.3.as.4：计算Zsa＝zsa＝Hash(Dsa||tsa)。

步骤3.3.as.5：计算xsa＝[-(1/qsa)zsa*ksa_i']，ysa＝[(1/qsa)zsa*ksa_i]。

步骤3.3.as.6：计算ssa_i＝xsa*ksa_i+ysa*ksa_i'。

步骤3.3.as.7：计算zsa＝ssa_i*(hsa_i–hsa_i-1)(mod qsa)。

步骤3.3.as.8：计算ssa＝ssa+ssa_i，i＝i–1。

步骤3.3.as.9：判断是否i≥0。是则执行步骤3.3.as.5，否则执行步骤3.3.as.10。在此处进行多次运算，目的是对数字签名进行扰动，以增加数字签名的安全性。

步骤3.3.as.10：计算bsa＝||(ssa，ssa*hsa₀-Zsa(mod qsa))||。

步骤3.3.as.11：判断是否bsa≤NormBoundsa。若是，则执行步骤3.3.as.13，否则执行步骤3.3.as.12。

步骤3.3.as.12：计算tsa＝tsa+1，执行步骤3.3.as.3。

步骤3.3.as.13：输出签名结果{HA}SignSK_a＝(tsa，ssa)。

上述在节点A与节点B的通信过程步骤4包含如下具体步骤，由节点B完成(见附图2)：

步骤4.1：节点B接收到节点A发送的报文，格式为L|N|I|S|HA|C。

步骤4.2：使用SignPK_a验证摘要签名S。若验证通过，进行步骤4.3，否则拒绝接收。

步骤4.3：计算H_b＝Hash(C)。判断是否有HA＝H_b。若相等，则进行步骤4.4，否则拒绝接收。

步骤4.4：计算M＝{C}K_ab，得到节点A发送的明文消息M。

上述在节点A与节点B的通信过程步骤4.3中，节点B执行如下具体步骤(如附图8所示)：

步骤4.3.bv.1：获取待验证消息Dvb＝HA，签名(tvb，svb)＝S，公钥hvb＝SignPK_a，参数NormBoundsa。

步骤4.3.bv.2：计算wvb＝Hash(Dvb||tvb)。

步骤4.3.bv.3：计算bvb＝||(svb，svb*hvb-wvb(mod qst))||。

步骤4.3.bv.4：判断是否bvb≤NormBoundsa，若是则验证通过，否则验证失败。

尽管为说明目的公开了本发明的具体内容、实施算法以及附图，其目的在于帮助理解本发明的内容并据以实施，但是本领域的技术人员可以理解：在不脱离本发明及所附的权利要求的精神和范围内，各种替换、变化和修改都是可能的。本发明不应局限于本说明书最佳实施例和附图所公开的内容，本发明要求保护的范围以权利要求书界定的范围为准。

Claims (8)

1.一种移动互联网轻量化安全通信方法，其步骤包括：

1)节点A与节点B分别获得可信第三方提供的公钥加解密算法密钥和数字签名算法密钥；其中，节点A的加解密公钥为EnPK_a、私钥为EnSK_a，数字签名公钥为SignPK_a、私钥为SignSK_a；节点B的加解密公钥为EnPK_b、私钥为EnSK_b，数字签名公钥为SignPK_b、私钥为SignSK_b；可信第三方数字签名公钥为SignPK_ttp，私钥为SignSK_ttp；

2)节点A与节点B通过可信第三方，使用EnPK_a、EnSK_a、EnPK_b、EnSK_b进行密钥协商，获得会话密钥K_ab，作为对称加密算法密钥；其中，获得会话密钥K_ab的方法为：21)节点A利用签名密钥SignSK_a和可信第三方TTP的公钥EnPK_ttp分别对<N_a,A,B>进行处理，并将处理结果发送给节点B；节点B收到消息后，执行{{<N_a,A,B>}SignSK_a}SignPK_a验证消息签名；N_a为节点A生成的随机数；22)节点B利用签名密钥SignSK_b和可信第三方TTP的公钥EnPK_ttp分别对<N_a,A,B>进行处理，并将处理结果发送给TTP；TTP收到消息后，执行{{<N_a,A,B>}SignSK_b}SignPK_b验证消息签名，执行{{<A,B,N_a>}EnPK_ttp}EnSK_ttp解密消息；23)TTP生成会话密钥K_ab，然后利用PK_a、SignSK_ttp对<B,N_a,K_ab>进行加密签名处理并将处理结果发送给节点A；节点A收到消息后，执行{{{<B,N_a,K_ab>}EnPK_a}SignSK_ttp}SignPK_ttp验证消息签名，执行{{<B,N_a,K_ab>}EnPK_a}EnSK_a解密消息，得到会话密钥K_ab；24)TTP利用EnPK_b、SignSK_ttp对<A,N_a,K_ab>进行加密签名处理并将处理结果发送给节点B；节点B收到消息后，执行{{{<A,N_a,K_ab>}EnPK_b}SignSK_ttp}SignPK_ttp验证消息签名，执行{{<A,N_a,K_ab>}EnPK_b}EnSK_b解密消息，得到会话密钥K_ab；

3)节点A使用K_ab、SignSK_a封装待发送的信息形成协议报文，并发送至节点B；

4)节点B使用K_ab、SignPK_a对收到的协议报文进行解析，获得节点A发出的信息。

2.如权利要求1所述的方法，其特征在于，所述步骤21)中，节点A执行如下步骤：

21a)获取公钥hea＝EnPK_ttp，明文mea＝<A,B,N_a>，正整数参数Nea，dea_r1,dea_r2,dea_r3；

21b)生成度为Nea-1的稀疏小多项式rea₁，rea₂，rea₃；其中分别有dea_r，dea_r2，dea_r3个系数为1，其他均为0；

21c)计算rea＝rea₁*rea₂+rea₃；

21d)计算eea＝rea*hea+mea(mod qet)；其中，qet为正整数；

21e)输出密文{<A,B,N_a>}EnPK_ttp＝eea，并将其发送给节点B。

3.如权利要求1所述的方法，其特征在于，所述步骤21)中，节点A执行如下步骤：

211)获取待签名消息Dsa＝<N_a,A,B>，私钥fsa＝SignSK_a＝{ksa_i，ksa_i'，hsa_i}，i＝0...Bsa，参数NormBoundsa；NormBoundsa用于判断是否需要重新生成签名和签名验证是否通过；Bsa，qsa为正整数参数；ksa_i，ksa_i'，hsa_i为私钥SignSK_a的组成部分；

212)令tsa＝0；

213)令ssa＝0，i＝Bsa；

214)计算Zsa＝zsa＝Hash(Dsa||tsa)；

215)计算xsa＝[-(1/qsa)zsa*ksa_i']，ysa＝[(1/qsa)zsa*ksa_i]；

216)计算ssa_i＝xsa*ksa_i+ysa*ksa_i'；

217)计算zsa＝ssa_i*(hsa_i–hsa_i-1)(mod qsa)；

218)计算ssa＝ssa+ssa_i，i＝i–1；

219)判断是否i≥0；如果是则执行步骤215)，否则执行步骤2110)；

2110)计算bsa＝||(ssa，ssa*hsa₀-Zsa(mod qsa))||；

2111)判断是否bsa≤NormBoundsa；若是，则执行步骤2113)，否则执行步骤2112)；

2112)计算tsa＝tsa+1，执行步骤213)；

2113)输出签名结果{<N_a,A,B>}SignSK_a＝(tsa，ssa)，并将其发送给节点B。

4.如权利要求1所述的方法，其特征在于，步骤22)中，节点B执行如下具体步骤：

221)获取待签名消息Dsb＝<N_a,B,A>，私钥fsb＝SignSK_b＝{ksb_i，ksb_i'，hsb_i}，i＝0...Bsb，参数NormBoundsb；ksb_i，ksb_i'，hsb_i为私钥SignSK_b的组成部分；Bsb为正整数，

222)令tsb＝0；

223)令ssb＝0，i＝Bsb；

224)计算Zsb＝zsb＝Hash(Dsb||tsb)；

225)计算xsb＝[-(1/qsb)zsb*ksb_i']，ysb＝[(1/qsb)zsb*ksb_i]；其中，qsb为正整数；

226)计算ssb_i＝xsb*ksb_i+ysb*ksb_i'；

227)计算zsb＝ssb_i*(hsb_i–hsb_i-1)(mod qsb)；

228)计算ssb＝ssb+ssb_i，i＝i–1；

229)判断是否i≥0；如果是则执行步骤225)，否则执行步骤2210)；

2210)计算bsb＝||(ssb，ssb*hsb₀-Zsb(mod qsb))||；

2211)判断是否bsb≤NormBoundsb；若是，则执行步骤2213)，否则执行步骤2212)；

2212)计算tsb＝tsb+1，执行步骤223)；

2213)输出签名结果{<N_a,B,A>}SignSK_b＝(tsb，ssb)，并将其发送给TTP。

5.如权利要求1所述的方法，其特征在于，步骤23)中，TTP执行如下具体步骤：

23a)获取公钥het1＝EnPK_a，明文met1＝<B,N_a,K_ab>，正整数参数Net1、det1_r1,det1_r2,det1_r3；

23b)生成度为Net1-1的稀疏小多项式ret1₁，ret1₂，ret1₃；其中小多项式ret1₁有det1_r个系数为1，其他均为0；小多项式ret1₂有det1_r2个系数为1，其他均为0；小多项式ret1₃有det1_r3个系数为1，其他均为0；

23c)计算ret1＝ret1₁*ret1₂+ret1₃；

23d)计算eet1＝ret1*het1+met1(mod qea)；其中，qea为用于生成公钥加解密算法密钥的正整数；

23e)输出密文{<B,N_a,K_ab>}EnPK_a＝eet1，然后利用SignSK_ttp对其签名后发送给节点A。

6.如权利要求1所述的方法，其特征在于，步骤23)中，TTP执行如下具体步骤：

231)获取待签名消息Dst＝<B,N_a,K_ab>}EnPK_a，私钥fst＝SignSK_ttp＝{kst_i，kst_i'，hst_i}，i＝0...Bst，参数NormBoundst；kst_i，kst_i'，hst_i为私钥SignSK_ttp的组成部分；

232)令tst＝0；

233)令sst＝0，i＝Bst；

234)计算Zst＝zst＝Hash(Dst||tst)；

235)计算xst＝[-(1/qst)zst*kst_i']，yst＝[(1/qst)zst*kst_i]；其中，qst为用于生成数字签名算法密钥的正整数；

236)计算sst_i＝xst*kst_i+yst*kst_i'；

237)计算zst＝sst_i*(hst_i–hst_i-1)(mod qst)；

238)计算sst＝sst+sst_i，i＝i–1；

239)判断是否i≥0；如果是则执行步骤235)，否则执行步骤2310)；

2310)计算bst＝||(sst，sst*hst₀-Zst(mod qst))||；

2311)判断是否bst≤NormBoundst；若是，则执行步骤2313)，否则执行步骤2312)；

2312)计算tst＝tst+1，执行步骤233)；

2313)输出签名结果{{<B,N_a,K_ab>}EnPK_a}SignSK_ttp＝(tst，sst)，并将其发送给节点A。

7.如权利要求1所述的方法，其特征在于，步骤1)中，获取公钥加解密算法密钥的方法为：

11)获取参数Nea，qea，pea＝Xea+2，dea_f1，dea_f2，dea_f3，dea_g；其中Nea，qea，dea_f1，dea_f2，dea_f3，dea_g为正整数，Xea为截尾多项式环中的多项式；

12)生成度为Nea-1的多项式gea；其中dgea个系数为1，其他系数为0；dgea为正整数；

13)生成度为Nea-1的稀疏小多项式fea₁，fea₂，fea₃；其中，稀疏小多项式fea₁中有dea_f1个系数为1，其他系数均为0；稀疏小多项式fea₂中有dea_f2个系数为1，其他系数均为0；稀疏小多项式fea₃中有dea_f3个系数为1，其他系数均为0；

14)计算fea＝1+pea*(fea₁*fea₂+fea₃)；

15)计算fea_q＝fea^-1(mod qea)；

16)判断fea_q是否存在；若是，则执行步骤17)，否则返回步骤12)重新获取fea_q；

17)计算hea＝pea*fea_q*gea(mod qea)；

18)输出公钥EnPK_a＝hea，私钥EnSK_a＝fea。

8.如权利要求1所述的方法，其特征在于，步骤1)中，获取数字签名算法密钥的方法为：

111)获取正整数参数Nsa，qsa，dsa_f，dsa_g，Bsa；

112)生成Bsa个稀有格基，令i＝Bsa；

113)随机选择多项式ksa、lsa；其中ksa中有dsa_k个系数为1，其他均为0；lsa中有dsa_l个系数为1，其他均为0；dsa_l、dsa_k为正整数；

114)计算Ksa，Lsa满足ksa*Lsa–Ksa*lsa＝qsa；

115)计算hsa_i＝1/ksa^-1*Ksa(mod qsa)；

116)计算i＝i–1令ksa_i＝ksa，ksa_i'＝Ksa；

117)判断是否i≥0，如果是则跳转至步骤113)，否则执行步骤118)；

118)输出公钥SignPK_a＝hsa₀，私钥SignSK_a＝{ksa_i，ksa_i'，hsa_i}，i＝0...Bsa。

Images