CN114285576B - 一种非对的在线离线签密方法 - Google Patents

Abstract

本发明公开了一种非对的在线离线签密方法，包括以下步骤：系统参数初始化；基于无证书环境的密钥生成和基于公钥基础设施环境的密钥生成；无证书环境的发送端利用系统参数和自己私钥，通过指数运算和点乘运算，得到离线密文η；根据离线密文η、消息m，发送端的身份信息、公钥、接收端的身份信息，发送端得到在线密文δ；公钥基础设施环境的接收端根据在线密文δ，发送端的身份信息和公钥以及接收者的私钥，计算出验证等式；通过验证等式，判断是接收这个密文并输出消息m还是拒绝密文并输出错误符号。与现有技术相比，本发明使通信双方在不使用双线性对运算的前提下能够在异构系统下进行安全的通信。

Description

一种非对的在线离线签密方法

技术领域

本发明属于安全通信技术领域，特别是涉及一种非对的在线离线签密方法。

背景技术

在线离线签密概念由An等人于2002年提出。在线离线签密分为两个阶段：离线签密阶段和在线签密阶段。离线签密阶段顾名思义就是发送端在知道签密消息之前先使用发送方私钥，接收端公钥进行一些耗时的运算(双线性对运算等，本方案未涉及对运算)，生成离线签密密文，在线签密阶段根据离线签密密文和所要签密消息进行一些轻量级的运算(哈希、异或等算)，生成在线签密密文，然后将在线签密密文发送给接收端进行解签密。

2013年，Fei等提出了一种基于公钥基础设施的在线离线签密方法，在该方案中，离线签密阶段只需要两个点乘运算，在线签密阶段只需要一个哈希运算和乘法运算，因此具有较高的效率，但该方案是同构的且解签密阶段存在对运算。2015年，Li等提出了一种基于无证书的在线离线签密方案，并在随机预言机模型下证明了该方案的安全性，该方案解决了密钥托管问题，但由于在线签密阶段生成了较多密文从而导致该方案存在通信开销过多的问题，且该方案后来被证明存在密钥泄露问题。2017年，Li F等提出了一种基于无证书的在线离线签密方案，该方案在离线签密阶段没有使用对运算，在线签密阶段只有几轻量级的运算，但该方案在解签密阶段使用了两个对运算和一个指数运算，从而导致计算开销较大，因为对运算是及其耗时的。2019年，Jawaid等提出了一种异构的在线离线签密方案，该方案基于CDHP(Computational Diffil Hellman Problem)等困难问题，具有较高的安全级别且满足了异构系统的要求，在该方案中，发送方处于CLC密码体制下，接收方处于无证书密码体制下，且没有密钥托管问题，但该方案在解签密阶段也使用了对运算，从而导致计算开销较大。2021年Vankamamidi等提出了一种基于身份的在线离线签密方案，并将该方案应用到了物联网环境，但该方案存在密钥托管问题，且该方案是同构的。

上述在线离线签密方案均存在的通信开销和异构系统问题。

发明内容

发明目的：本发明公开一种非对的在线离线签密方法，使通信双方在不使用双线性对运算的前提下能够在异构系统下进行安全的通信。

技术方案：本发明提供一种非对的在线离线签密方法，具体包括以下步骤：

(1)系统参数初始化；该系统参数包括可信第三方需要设置的系统参数模块、基于无证书环境的公钥和私钥生成模块和基于公钥基础设施环境的公钥和私钥生成模块；

可信第三方需要设置的系统参数模块：

系统初始化：给定一个安全参数k，KGC选择椭圆曲线上的一个加法群G，q为群的阶且q为素数，P是群G的生成元。定义三个安全的密码哈希函数H₂:G×G×G→{0,1}^l,/>KGC选择系统主密钥/>并计算相应主公钥P_pub＝sP。KGC公开系统参数{G,P,P_pub,H₁,H₂,H₃}并保密主密钥s；

基于无证书环境的公钥和私钥生成模块：

发送端向KGC提交身份ID_s，KGC选择随机数计算承诺值/> 哈希值/>和部分私钥/>计算完成后，KGC将发送给发送端；发送端通过等式/>是否成立来验证部分私钥的正确性，若该等式成立，则接收部分私钥。否则，拒绝该部分私钥；

具有身份ID_s的发送端选择随机数作为秘密值，再结合部分私钥/>计算完整私钥/>

具有身份ID_s的发送端根据秘密值计算/>哈希值u＝H₁(ID_s,PK_s)，然后设置公钥/>

基于公钥基础设施环境的公钥和私钥生成模块：

公钥基础设施环境的接收端选择随机数计算PK_r＝x_rP，其中，x_r为接收端私钥，PK_r为接收端公钥。然后接收端向公钥基础设施发送相应的身份ID_r和公钥PK_r，公钥基础设施利用相应的签名算法为接收端公钥生成数字证书，最后将数字证书发送给接收端。

(2)无证书环境发送端签密模块；无证书环境的发送端根据系统参数和发送端的私钥接收端公钥PK_r进行离线签密，得到离线签密密文η；根据离线签密密文小消息m、发送端的身份信息ID_s、公钥PK_s进行在线签密，得到在线签密密文δ并发送给公钥基础设施环境的接收端。

(3)公钥基础设施环境接收端解签密模块；公钥基础设施环境的接收端根据系统参数、发送端的身份ID_s、公钥PK_s、接收端的私钥x_r和在线签密密文δ，输出消息m或拒绝该密文。

进一步地，步骤(1)-步骤(3)中的主公钥P_pub、发送端公钥、接收端公钥和数字证书在系统参数初始化阶段全部公开。

进一步地，步骤(2)无证书环境发送端签密模块包括以下步骤：

(21)选择随机数计算承诺值T＝tP＝(T_x，T_y)，其中T_x和T_y分别为点T在椭圆曲线上对应的x轴坐标和y轴坐标；

(22)利用随机数t，接收端公钥PK_r计算承诺值U，U＝tPK_r；

(23)计算ID_s，PK_s的哈希值u，u＝H₁(ID_s，PK_s)；

(24)利用哈希值u，承诺值r，完整私钥对u进行签名得到τ′，其中，mod为取模运算。最后生成离线签密密文η＝(t，α，T，r，U，u，τ′)；

(25)根据消息m和离线签密密文η＝(t，α，T，r，U，u，τ′)，计算哈希值h＝H₂(T，U，PK_r)，将哈希值h作为密钥，利用对称加密算法加密消息m，得到密文c；

(26)计算哈希值再用随机数t、α，哈希值v，计算承诺值w＝t^-1(v-α)mod q，得到在线签密密文δ＝(c，w，T，τ′)，其中，c是消息m的密文，只能使用接收者私钥x_r恢复，w是承诺值，T是根据接收端公钥计算的承诺值，τ′是利用发送端私钥得到的数字签名。

进一步地，步骤(3)中公钥基础设施环境接收端解签密模块包括以下步骤：

(31)利用接收端私钥计算承诺值U＝x_rP，再根据承诺值U、T和接收端公钥计算哈希值h＝H₂(T,U,PK_r)；

(32)利用密文c和哈希值h得到消息

(33)计算哈希值

(34)利用τ′和w计算承诺值τ＝(τ′+w)mod q，再计算承诺值r＝T_xmod q；

(35)验证等式是否成立；如果等式成立，则输出明文消息m，否则，拒绝该密文。

有益效果：

本发明允许发送端处于无证书密码体制下，接收端处于公钥基础设施密码体制下进行安全的在线离线通信。离线签密阶段不需要配对运算；只需要3个点乘运算和一些轻量级运算，而在线签密阶段只需要简单的异或、哈希函数和加法运算，解签密阶段也没有使用双线性对运算。与已有的基于双线性对的异构方案相比，我们的方案在离线签密和在线签密阶段都具有较低的计算开销，因此本文所提出的方案更加适用于实际应用环境中。

附图说明

图1为本发明在线离线签密流程图；

图2为本发明发送端和接收端公钥私钥注册图；

图3为本发明离线阶段签密流程图；

图4为本发明在线阶段签密流程图；

图5为本发明解签密流程图。

具体实施方式

本发明提出一种非对的在线离线签密方法，该方法在线签密阶段和解签密阶段都没有使用到双线性对运算，因此在车载自组网络中较为适用，因为车载节点的计算能力往往受限，而公路基础设施节点计算能力往往也收到限制，在车载节点和公路基础设施进行通信时，需要保证数据传输的机密性和认证性。由于本发明所提出的方案在线签密阶段和解签密阶段都没有使用双线性对运算，因此可以完美适用于该场景。该方法具体包括以下步骤：

步骤1：系统参数初始化。

给定一个安全参数k，KGC选择椭圆曲线上的一个加法群G，q为群的阶且q为素数，P是群G的生成元。定义三个安全的密码哈希函数H₂:G×G×G→{0,1}^l,KGC选择系统主密钥/>并计算相应主公钥P_pub＝sP。KGC公开系统参数{G,P,P_pub,H₁,H₂,H₃}并保密主密钥s。

步骤2：生成无证书环境中发送端的完全私钥和公钥。

基于无证书环境的发送端向KGC提交身份ID_s，KGC选择随机数计算承诺值/>哈希值/>和部分私钥/> 计算完成后，KGC将/>发送给发送端；发送端通过等式/>是否成立来验证部分私钥的正确性，若该等式成立，则接收部分私钥。否则，拒绝该部分私钥；

具有身份ID_s的发送端选择随机数作为秘密值，再结合部分私钥/>计算完全私钥/>

具有身份ID_s的发送端根据秘密值计算/>哈希值u＝H₁(ID_s,PK_s)，然后设置公钥/>

步骤3：生成基于公钥基础设施环境中接收端的私钥和公钥。

基于公钥基础设施环境的接收端选择随机数计算PK_r＝x_rP，其中，x_r为接收端私钥，PK_r为接收端公钥。然后接收端向公钥基础设施发送相应的身份ID_r和公钥PK_r，公钥基础设施利用相应的签名算法为接收端公钥生成数字证书，最后将数字证书发送给接收端。

步骤4：基于无证书环境的发送端执行在线离线签密步骤。

步骤4.1：无证书环境的发送端根据系统参数和发送端的私钥SK_IDs，接收端公钥PK_r进行离线签密，得到离线签密密文η；具体执行步骤如下：

1)选择随机数

2)计算T＝tP＝(T_x,T_y)；

3)计算r＝T_xmod q；

4)计算U＝tPK_r；

5)计算u＝H₁(ID_s,PK_s)；

6)计算

7)输出离线签密密文η＝(t,α,T,r,U,u,τ′)。

步骤4.2：根据消息m和离线签密密文η＝(t,α,T,r,U,u,τ′)，发送端的身份信息ID_s和公钥PK_s进行在线签密；具体执行步骤如下：

1)计算h＝H₂(T,U,PK_r)；

2)计算

3)计算

4)计算

5)计算w＝t^-1(v-α)mod q；

6)输出在线签密密文δ＝(c,w,T,τ′)；

步骤5：基于无证书环境的接收端根据系统参数、发送端的身份ID_s、公钥PK_s、接收端的私钥x_r和在线签密密文δ，输出消息m或拒绝该密文。具体步骤如下：

1)计算U＝x_rP；

2)计算h＝H₂(T,U,PK_r)；

3)计算

4)计算

5)计算

6)计算τ＝(τ′+w)mod q；

7)验证等式是否成立；如果等式成立，则输出明文消息m，否则，拒绝该密文。

本发明允许发送端处于无证书密码体制下，接收端处于公钥基础设施密码体制下进行安全的在线离线通信。离线签密阶段不需要配对运算；只需要3个点乘运算和一些轻量级运算，而在线签密阶段只需要简单的异或、哈希函数和加法运算，解签密阶段没有使用双线性对运算。与已有的基于双线性对的异构方案相比，我们的方案在离线签密和在线签密阶段都具有较低的计算开销，因此本发明所提出的方案更加适用于实际应用环境中。

上述实施方式只为说明本发明的技术构思及特点，其目的在于让熟悉此项技术的人能够了解本发明的内容并据以实施，并不能以此限制本发明的保护范围。凡根据本发明精神实质所做的等效变换或修饰，都应涵盖在本发明的保护范围之内。

Claims (3)

1.一种非对的在线离线签密方法，其特征在于，包括以下步骤：

(1)系统参数初始化：系统初始化：给定一个安全参数k，KGC选择椭圆曲线上的一个加法群G，q为群的阶且q为素数，P是群G的生成元，定义三个安全的密码哈希函数H₁:H₂:G×G×G→{0,1}^l,H₃:/> KGC选择系统主密钥/>并计算相应主公钥P_pub＝sP，KGC公开系统参数{G,P,P_pub,H₁,H₂,H₃}并保密主密钥s；/>为不包括0的整数群；

(2)无证书环境的发送端提交身份信息ID_s给密钥生成中心，密钥生成中心KGC选择随机数计算承诺值/>哈希值/>和部分私钥计算完成后，KGC将/>发送给发送端；发送端通过等式是否成立来验证部分私钥的正确性，若该等式成立，则接收部分私钥；否则，拒绝该部分私钥；发送端验证部分私钥正确性后选择随机数/>作为秘密值，再结合部分私钥/>计算完全私钥/>发送端再根据秘密值/>计算承诺值/>哈希值u，部分公钥/>然后计算完整公钥PK_s；

步骤2.1：具有身份ID_s的发送端选择随机数作为秘密值，再结合部分私钥/>计算完整私钥/>

步骤2.2：具有身份ID_s的发送端根据秘密值计算/>哈希值u＝H₁(ID_s,PK_s)，/>设置公钥/>

(3)公钥基础设施环境的接收端选择随机数作为私钥，计算公钥PK_r，然后接收端向公钥基础设施发送相应的身份ID_r和公钥PK_r，公钥基础设施利用相应的签名算法为接收端公钥生成数字证书，最后将数字证书发送给接收端；

(4)无证书环境的发送端根据系统参数和发送端的完全私钥接收端公钥PK_r进行离线签密，得到离线签密密文η；根据离线签密密文η、消息m、发送端的身份信息ID_s、公钥PK_s进行在线签密，得到在线签密密文δ并发送给公钥基础设施环境的接收端；

步骤4.1：选择随机数t、计算承诺值T＝tP＝(T_x,T_y)和r＝T_xmod q，其中T_x和T_y分别为点T在椭圆曲线上对应的x轴坐标和y轴坐标；

步骤4.2：利用随机数t，接收端公钥PK_r计算承诺值U，U＝tPK_r；

步骤4.3：计算ID_s,PK_s的哈希值u，u＝H₁(ID_s,PK_s)；

步骤4.4：利用哈希值u，承诺值r，完整私钥对u进行签名得到τ'，其中，mod为取模运算，最后生成离线签密密文η＝(t,α,T,r,U,u,τ')；

步骤4.5：计算哈希值h＝H₂(T,U,PK_r)，将哈希值h作为密钥，利用对称加密算法加密消息m，得到密文

步骤4.6：计算哈希值再用随机数t、α，哈希值v，计算承诺值w＝t^-1(v-α)mod q，得到在线签密密文δ＝(c,w,T,τ')，其中，c是消息m的密文，只能使用接收者私钥x_r恢复，w是承诺值，T是根据接收端公钥计算的承诺值，τ'是利用发送端私钥得到的数字签名；

(5)公钥基础设施环境的接收端根据系统参数、发送端的身份ID_s、公钥PK_s、接收端的私钥x_r和在线签密密文δ，输出消息m或拒绝该密文；

步骤5.1：利用接收端私钥计算承诺值U＝x_rP，再根据承诺值U、T和接收端公钥PK_r计算哈希值h＝H₂(T,U,PK_r)；

步骤5.2：利用密文c和哈希值h得到消息

步骤5.3：计算哈希值

步骤5.4：利用τ'和w计算承诺值τ＝(τ'+w)mod q，再计算承诺值r＝T_xmod q；

步骤5.5：验证等式是否成立；如果等式成立，则输出明文消息m，否则，拒绝该密文。

2.根据权利要求1所述的一种非对的在线离线签密方法，其特征在于，所述步骤(3)中接收端公钥PK_r＝x_rP，其中，x_r为接收端私钥，PK_r为接收端公钥。

3.根据权利要求1或2所述的一种非对的在线离线签密方法，其特征在于，步骤(1)-步骤(3)中的主公钥P_pub、发送端公钥、接收端公钥和数字证书在系统参数初始化阶段全部公开。