CN113162938B

CN113162938B - 一种基于区块链的抗后门攻击的公共参数产生方法

Info

Publication number: CN113162938B
Application number: CN202110451675.8A
Authority: CN
Inventors: 许春香; 蒋昌松; 杜逸聪
Original assignee: University of Electronic Science and Technology of China; Yangtze River Delta Research Institute of UESTC Huzhou
Current assignee: University of Electronic Science and Technology of China; Yangtze River Delta Research Institute of UESTC Huzhou
Priority date: 2021-04-26
Filing date: 2021-04-26
Publication date: 2023-10-10
Anticipated expiration: 2041-04-26
Also published as: CN113162938A

Abstract

本发明提供一种基于区块链的抗后门攻击的公共参数产生方法，包括步骤：获取区块链上最新确认的L个区块哈希值，将这L个区块哈希值和生成次数变量通过约定映射关系映射到集合G中的元素得到此次生成的公共参数；为保证链质量和链一致性的最小值；再判断产生的参数是否满足条件，若不满足条件，则舍弃该参数，更新生成公共参数；若满足条件，则输出该公共参数至公共参数使用设备。本发明的公共参数基于区块链上最新确认的区块，并有区块链的算力保证，即使是系统的开发者也无法预知或设定公共参数，具有随机性；公共参数产生完全公开透明具有可验证性和随机性，安全性高，具有可验证性，去中心化，可以有效抵抗后门攻击。

Description

一种基于区块链的抗后门攻击的公共参数产生方法

技术领域

本发明涉及区块链技术，具体涉及抗后门攻击的公共参数产生技术。

背景技术

现实生活中，密码设备常常被作为黑盒使用。设备使用者(用户)相信密码设备的内部设计符合安全规范，不会去检查其中代码的真实性。用户使用密码设备产生相应的公共参数和用户的秘密密钥。然而，在黑盒环境下，攻击者(如制造商)可能会秘密地嵌入后门到密码设备中：将用户的秘密密钥嵌入到公共参数中(如使用攻击者的公钥加密秘密密钥生成公共参数)，该参数与公开已知的密码算法产生的公共参数是不可区分的。掌握后门的攻击者可以很容易地从公共参数中恢复出秘密密钥(如使用攻击者的私钥解密公共参数得到秘密密钥)而不被人察觉，从而密码设备的安全性遭到破坏。这种攻击被称为后门攻击。

另一方面，区块链是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。区块链由一组基于点到点网络的节点组成，各节点通过执行共识机制，维护数据的一致性。区块链利用区块的哈希值将数据区块连接起来形成块链式结构，使区块中的数据具有不可篡改、可追溯和公开透明等特性。区块链通过分布式节点共识算法来生成、更新和存储数据，可以达到去中心化的功能。区块链通过数字签名的方式声明和转让数字资产保证了数据传输和访问的安全。

因为每个区块的内容是不可预测的，所以下一个区块的哈希值也是不可预测的。以以太坊区块链为例，以太坊中的数据是公开透明的，任何人都可以接入以太坊网络中查询以太坊区块链的内容以及验证区块的哈希值。不仅如此，目前为止以太坊算力为449.1TH/s，即每秒计算4.49×10¹⁴次哈希。而中国计算速度最快的超级计算机神威·太湖之光的持续性能为每秒9.3×10¹⁶次逻辑计算，约为5.5×10¹²次哈希计算，低于以太坊的算力。由此可见，以太坊区块链有足够的算力保证数据的不可伪造性。

发明内容

本发明所要解决的技术问题，根据区块链的公开透明、防篡改以及最新确认的区块哈希值的随机性等良好性质提供一种基于区块链的抗后门攻击的公共参数产生方法。

本发明为所要解决的技术问题所采用的技术方案是，一种基于区块链的抗后门攻击的公共参数产生方法，包括步骤：

1)准备阶段：

首先确定公共参数的取值范围，生成公共参数的选值集合G；

2)公共参数生成阶段：

在系统中设置生成次数变量i；获取区块链上最新确认的L个区块哈希值，将这L个区块哈希值和生成次数变量i通过约定映射关系映射到集合G中的元素得到此次生成的公共参数；为保证链质量和链一致性的最小值；

3)公共参数验证阶段：

判断生成阶段产生的参数是否满足条件，若不满足条件，则舍弃该参数，更新生成次数变量i＝i+1，返回步骤2)；若满足条件，则输出该公共参数至公共参数使用设备。

本发明的有益效果是：

(1)公共参数基于区块链上最新确认的区块，并有区块链的算力保证，即使是系统的开发者也无法预知或设定公共参数，具有随机性；公共参数产生完全公开透明具有可验证性和随机性，安全性高，可以有效抵抗后门攻击；

(2)对使用者完全透明，任何一个人都可以根据区块哈希值计算出公共参数，具有可验证性；

(3)去中心化，不需要任何第三方的投入。

附图说明

图1为使用连续L个区块哈希值映射生成公共参数的示意图。

图2为本发明流程图。

具体实施方式

下面结合附图和实施例对本发明进行进一步的说明。

本实施例选取一个代表模p剩余类加群Z_p作为集合G进行讨论，其中p为大素数，其他集合的公共参数产生方法与Z_p中的参数产生方法类似，本文不做详细描述。

由系统发起者生成参数，系统发起者可以是使用参数的中心机构，也可以是其他团体或机构。公共参数生成过程如图2所示：

1)准备工作：

首先确定参数范围和条件，Z_p中公共参数产生规则：给定大素数p，确定群Z_p＝{0,1,2,…,p-1}，确定参数Parameter的条件为1<Parameter<p-1，也可以是满足规范的条件。确定参数集合G＝Z_p。

2)生成阶段：

生成参数开始时，在系统中设置初始的生成次数变量i，i的初始值为0。将以太坊上最新确认的L个区块哈希值作为输入的一部分，设这L个区块的哈希值按时间先后顺序分别表示为HBlock1、HBlock2、……、HBlock L。为保证链质量和链一致性的最小值。基于以太坊区块链为生成公共参数时，保证链质量和链一致性的最小值/>为12；基于比特币区块链为生成公共参数时，保证链质量和链一致性的最小值/>为6。目前关于保证链质量和链一致性的最小值/>已有明确定义，详见Y.Zhang,C.Xu,H.Li,H.Yang,and X.Shen,“Chronos⁺:Secure and accurate time-stamping scheme for digital files viablockchain,”IEEE Transactions on Services Computing,2020,13(2):216-229。

本发明定义映射f(HBlock1,HBlock2,…,HBlockL,i)→G,i＝0,1,…。映射f将L个区块哈希值映射为集合G中的元素。如图1所示，本实例将L个区块采用哈希值映射的方式映射为集合Z_p中的元素，哈希函数若采用SHA256算法，则哈希函数将任意长度的二进制值映射为长度为256的二进制值H:{0,1}^*→{0,1}²⁵⁶。定义映射H(HBlock1||HBlock2||…||HBlockL||i)→Z_p,i＝0,1,…。其中，||为连接符，H()为哈希函数，将任意长度的二进制值映射为固定长度的二进制值，这个固定的二进制值称为哈希值。产生a₁＝H(HBlock1||HBlock2||…||HBlockL||i)。

进一步的，为了保证了产生的公共参数在集合Z_p中均匀分布，满足随机性，根据集合G中给定参数的比特长度pLen与公共参数的比特长度a₁Len的大小关系对映射结果再取模：首先计算给定参数p的比特长度pLen。若pLen≤a₁Len，公共参数a₁＝H(HBlock1||HBlock2||…||HBlockL||i)mod p，其中mod为取模运算，得到此次产生的参数a₁∈Z_p；若pLen>a₁Len，首先搜索满足pLen≤256l的最小l，再计算a₁＝H(HBlock1||HBlock2||…||HBlockL||i)||H(HBlock1||HBlock2||…||HBlockL||i+1)||…||H(HBlock1||HBlock2||…||HBlockL||i+l-1)mod p,i＝0，得到此次产生的参数a₁∈Z_p。

验证阶段：

判断a₁是否满足1<a₁<p-1，若满足则输出公共参数Parameter＝a₁；若不满足，则i＝i+1，并且重新执行生成阶段a₁＝H(HBlock1||HBlock2||…||HBlockL||i)∈Z_p或者根据给定大素数长度与公共参数长度的大小关系对映射结果再取模，重复此过程，直至找到满足条件的公共参数。

下面给出几种典型的后门攻击以及相应的公共参数产生方法

实施例1

1.1被破坏的RSA密钥生成

RSA正确的密钥生成过程：任意选取两个不同的大素数p和q计算乘积N＝pq，计算任意选取一个大整数作为公共参数e作为公共参数，满足e与/>互素，即/>其中gcd为求取两数的最大公因数；求解d，满足公钥为(N,e)，私钥为d。

设置后门的RSA密钥生成过程：任意选取两个不同的大素数p和q计算乘积N＝pq，计算系统利用自己的密钥pk^*加密p得到e₁，即e₁＝Enc(pk^*,p)，使用e₁和随机选择的e₂拼接构建e，即e＝e₁||e₂，并且e₂的选择满足/>求解d，满足/>公钥为(N,e)，私钥为d。

在被破坏的RSA密钥生成中，公钥的产生在概率上和正确产生e是不可区分的，但却留有后门。知道后门的攻击者可以发起无法被察觉的攻击。其使用与pk^*对应的sk^*恢复出秘密参数p，进而求解q和利用e和/>求解私钥d，最终破解整个系统。而本发明方法的e的产生方法可以避免私钥d被破解，具体方法见1.2。

1.2基于区块链的抗后门攻击的RSA公钥生成方法

准备工作：

确定RSA公钥e的范围：集合为集合G的给定参数。确定RSA公钥e条件：e与/>互素，即/>下面给出生成抗后门攻击的RSA算法中公钥e的生成方法。

生成阶段：

生成参数开始时，在系统中设置初始的生成次数变量i，i的初始值为0。将以太坊上最新确认的12个区块哈希值作为输入的一部分，设这12个区块的哈希值按时间先后顺序分别表示为HBlock1、HBlock2、HBlock3、HBlock4、HBlock5、HBlock6、HBlock7、HBlock8、HBlock9、HBlock10、HBlock11、HBlock12。

将12个区块哈希值映射到集合G中，定义映射H(HBlock1||HBlock2||…||HBlock12||i)→G,i＝0,1,…。其中，||为连接符，H()为哈希函数，将任意长度的二进制值映射为固定长度的二进制值，这个固定的二进制值称为哈希值。本实施例中哈希函数若采用SHA256算法，H:{0,1}^*→{0,1}²⁵⁶，表示哈希函数将任意长度的二进制值映射为长度为256的二进制值。

更具体地，首先计算的比特长度Len。若Len≤256，其中mod为取模运算，得到此次产生的参数a₁∈G；若Len>256，首先搜索满足Len≤256l的最小l，计算a₁＝H(HBlock1||HBlock2||…||HBlock12||i)||H(HBlock1||HBlock2||…||HBlock12||i+1)||…||得到此次产生的参数a₁∈G。

验证阶段：

判断a₁是否满足若满足则输出产生公共参数e＝a₁，RSA公钥(N,e)；若不满足，则更新i＝i+1，并且重新执行生成阶段，重复此过程，直至找到满足条件的参数。

实施例2

2.1(i′,i′+1)DH Kleptogram

(i′,i′+1)DH Kleptogram的攻击过程如下：

协议每次通过产生的a_i′来构造出此次产生的密钥/>其中g和h为循环群中的生成元，i′为当前密钥生成次数变量，并且所有运算都是在群中的运算。但是如果系统留有后门，即h＝g^β，则任何一个知道β的人都能够通过/>获得a_i′+1，

2.2基于区块链的抗(i,i+1)DH Kleptogram的参数产生方法

准备工作：

确定公共参数g的范围：群Z_p＝{0,1,…,p-1}，p为大素数。确定公共参数g的条件：要求g为Z_p的生成元，阶为p-1，即ord(g)＝p-1，其中ord为对应元素在群中的阶数。

生成阶段：

生成参数开始时，设置生成次数变量i，初始i＝0。将以太坊上最新确认的12个区块哈希值作为输入的一部分，设这12个区块的哈希值按时间先后顺序分别表示为HBlock1、HBlock2、HBlock3、HBlock4、HBlock5、HBlock6、HBlock7、HBlock8、HBlock9、HBlock10、HBlock11、HBlock12。

将12个区块哈希值映射到Z_p中，定义映射H(HBlock1||HBlock2||…||HBlock12||i)→Z_p,i＝0,1,…。其中，||为连接符，H()为哈希函数，将任意长度的二进制值映射为固定长度的二进制值，这个固定的二进制值称为哈希值。本实施例中哈希函数若采用SHA256算法，H:{0,1}^*→{0,1}²⁵⁶，表示哈希函数将任意长度的二进制值映射为长度为256的二进制值。

更具体地，首先计算p的比特长度pLen。若pLen≤256，a₁＝H(HBlock1||HBlock2||…||HBlock12||i)mod p，其中mod为取模运算，得到此次产生的参数a₁∈Z_p；若pLen>256，首先搜索满足pLen≤256l的最小l，计算a₁＝H(HBlock1||HBlock2||…||HBlock12||i)||H(HBlock1||HBlock2||…||HBlock12||i+1)||…||H(HBlock1||HBlock2||…||HBlock12||i+l-1)mod p,i＝0，得到此次产生的参数a₁∈Z_p。上述方式保证了产生的公共参数在集合中均匀分布，满足随机性。

验证阶段：

判断a₁是否满足ord(a₁)＝p-1，若满足则输出产生的公共参数g＝a₁；若不满足，则更新i＝i+1，并且重新执行生成阶段，重复此过程，直至找到满足条件的参数。

实施例3

3.1针对SwissPost电子投票的后门攻击

Haines等人在《How not to prove your election outcome》提出瑞士投票系统存在漏洞，投票选项对应的素数存在后门攻击。例如在客户端和服务器勾结的情况下，两个选项yes和no分别对应两个不同的素数p_yes和p_no。投票者点击p_yes但被恶意的客户端修改为p_no。客户端生成p_no的部分选择码，服务器进一步使用部分选择码生成选择码供投票者验证。修改后的选项最终验证的内容为但由于服务器还知道留有后门的参数，如a、b满足所以服务器返回给用户的选择码/>可由/>获得，即从而达到欺骗投票者的目的。

3.2基于区块链的抗后门攻击的SwissPost电子投票参数产生方法

准备工作：

确定公共参数p_yes的范围：正整数集合Z⁺。确定公共参数p_yes的条件：素数。

生成阶段：

将12个区块哈希值映射到正整数集合Z⁺中，定义映射H(HBlock1||HBlock2||…||HBlock12||i)→Z⁺,i＝0,1,…。其中，||为连接符，H()为哈希函数，将任意长度的二进制值映射为固定长度的二进制值，这个固定的二进制值称为哈希值。本实施例中哈希函数若采用SHA256算法，H:{0,1}^*→{0,1}²⁵⁶，表示哈希函数将任意长度的二进制值映射为长度为256的二进制值。

计算a₁＝H(HBlock1||HBlock2||…||HBlock12||i)，得到此次产生的参数a₁∈Z⁺。

验证阶段：

判断a₁是否满足素数条件，若满足则输出产生的公共参数p_yes，其中p_yes＝a₁；若不满足，则i＝i+1，并且重新回到生成阶段计算a₁＝H(HBlock1||HBlock2||…||HBlock12||i)，重复此过程，直至找到满足条件的参数。

作为黑盒使用的密码设备存在后门攻击，攻击者可能秘密地嵌入后门到密码设备中：将用户的秘密密钥嵌入设备输出的公共参数中，然后从公共参数中恢复出秘密密钥。为了抵御后门攻击，本发明提供了一种基于区块链的抗后门攻击的公共参数产生方法并对该方法进行了详细介绍。本文应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权力要求的保护范围内。

Claims

1.一种基于区块链的抗后门攻击的公共参数产生方法，其特征在于，包括以下步骤：

1)准备阶段：

首先确定公共参数的取值范围以及满足条件，生成公共参数的选值集合G；

2)公共参数生成阶段：

在系统中设置生成次数变量i与连续区块数L；获取区块链上最新确认的L个区块哈希值，将这L个区块哈希值和生成次数变量i通过约定映射关系映射到集合G中的元素得到此次生成的公共参数；为保证链质量和链一致性的最小值；

3)公共参数验证阶段：

2.如权利要求1所述方法，其特征在于，步骤2)中获取区块链上最新确认的L个区块哈希值，将这L个区块哈希值和生成次数变量i通过约定映射关系映射到集合G中的元素得到此次生成的公共参数的具体方法是：

以太坊区块链上最新确认的L个区块的哈希值按时间先后顺序分别表示为HBlock1、HBlock2、…、HBlockL；约定映射关系为f，将L个区块哈希值和生成次数变量i通过约定映射关系映射到集合G，f(HBlock1,HBlock2,…,HBlockL,i)→G；生成公共参数a₁＝f(HBlock1,HBlock2,…,HBlockL,i)。

3.如权利要求1所述方法，其特征在于，步骤2)中获取区块链上最新确认的L个区块哈希值，将这L个区块哈希值和生成次数变量i通过约定映射关系映射到集合G中的元素得到此次生成的公共参数的具体方法是：

集合G中给定参数的比特长度pLen与公共参数的比特长度a₁Len的大小关系对映射结果再取模：首先计算参数p的比特长度pLen；若pLen≤a₁Len，公共参数a₁＝H(HBlock1||HBlock2||…||HBlockL||i)mod p，其中mod为取模运算；若pLen>a₁Len，首先搜索满足pLen≤a₁Len*l的最小l，再计算公共参数a₁＝H(HBlock1||HBlock2||…||HBlockL||i)||H(HBlock1||HBlock2||…||HBlockL||i+1)||…||H(HBlock1||HBlock2||…||HBlockL||i+l-1)mod p,i＝0。

4.如权利要求1、2或3所述方法，其特征在于，当步骤2)基于以太坊区块链为生成公共参数时，保证链质量和链一致性的最小值为12；

当步骤2)基于比特币区块链为生成公共参数时，保证链质量和链一致性的最小值为6。

5.如权利要求2或3所述方法，其特征在于，设置L＝12。