CN114285580B - 一种从无证书到公钥基础设施的在线离线签密方法 - Google Patents

Abstract

本发明公开了一种从无证书到公钥基础设施的在线离线签密方法，包括系统参数初始化；生成基于无证书环境的密钥和生成基于公钥基础设施环境的密钥；CLC环境的发送端利用系统参数和自己的私钥，通过指数运算和点乘等运算，得到离线密文η；根据离线密文η、消息m，发送端的身份信息、公钥、接收端的身份信息，发送端通过异或运算和哈希等轻量级运算，得到在线密文δ；PKI环境的接收端根据在线密文δ，发送端的身份信息和公钥以及接收端的私钥，通过双线性对运算、异或运算、哈希运算和点乘运算计算出验证等式；若验证通过，则接收这个密文并输出消息m；否则，拒绝该密文并输出错误符号。与现有技术相比，本发明通信双方能够在异构的系统下进行安全通信。

Description

一种从无证书到公钥基础设施的在线离线签密方法

技术领域

本发明属于安全通信领域，特别是涉及一种从无证书到公钥基础设施的在线离线签密方法。

背景技术

在线离线签密概念由An等人于2002年提出。在线离线签密分为两个阶段：离线签密阶段和在线签密阶段。离线签密阶段顾名思义就是发送端在知道签密消息之前先使用发送方私钥，接收端公钥进行一些耗时的运算(双线性对运算等)，生成离线签密密文，在线签密阶段根据离线签密密文和所要签密消息进行一些轻量级的运算(哈希、异或等算)，生成在线签密密文，然后将在线签密密文发送给接收端进行解签密。

2013年，Li和Xiong提出了一种从基于身份到基于PKI的在线离线签密方案。他们的方案在密文生成阶段具有较高的效率，因为两个点乘运算可以在离线阶段预先计算出来。然而，该方案是基于对的加密和签名方案。在密文解签密阶段需要更大的计算开销，由于执行双线性对运算要比点乘运算慢得多，因此计算开销大。2015年，Li等提出了一种基于无证书的在线离线签密方案，并在随机预言机模型下证明了该方案的安全性，该方案解决了密钥托管问题，但由于在线签密阶段生成了较多密文从而导致该方案存在通信开销过多的问题，且该方案后来被证明存在密钥泄露问题。2017年，Lai等提出了一种基于身份的在线离线签密方案，该方案在离线签密阶段使用了一个对运算，在线签密阶段只有几轻量级的运算，但是由于该方案是基于身份的，因此具有密钥托管的问题，而且该方案是同构的，与实际应用需求不符。2019年，张玉磊等提出了一种基于无证书到基于身份的在线离线签密方案，该方案基于q-BDHI(q-Bilinear Diffie-Hellman Inverse)困难问题，具有较高的安全级别且满足了异构系统的要求，但该方案在线签密阶段使用了点乘运算，增加了计算开销，因此不算严格意义上的在线离线签密方案。2021年Vankamamidi等提出了一种基于身份的在线离线签密方案，并将该方案应用到了物联网环境，但该方案存在密钥托管问题，且该方案是同构的，不满足异构的要求。

上述在线离线签密方案均存在通信开销和异构系统的问题。

发明内容

发明目的：针对现有技术中提到的问题，本发明提供一种从无证书到公钥基础设施的在线离线签密方法，在离线签密阶段进行一些耗时的运算，在线签密阶段只进行一些轻量级的运算，使得通信双方能够在异构的系统下进行安全通信。

技术方案：本发明提供一种从无证书到公钥基础设施的在线离线签密方法，包括以下步骤：

S1：系统初始化：给定安全参数良，设定加法群G₁、乘法群G₂，两个群有相同的阶q且q为素数，P是群G₁生成元，e：G₁×G₁→G₂为一个双线性映射；定义四个安全的密码哈希函数H₃：G₂→{0，1}ⁿ，/> 其中，n表示消息m的长度；密钥生成中心KGC随机选择一个主密钥/>并计算其相应的主公钥P_pub＝sP，KGC公开系统参数params＝{G₁，G₂，P，P_pub，g，H₁，H₂，H₃，H₄}并且保密主私钥s，其中g＝e(P，P)；

S2：生成无证书环境的发送端公钥和完全私钥：在生成公钥和完全私钥过程中，先利用身份生成部分私钥其中ID_s为发送端身份，利用部分私钥生成发送端公钥PK_IDs，最终利用发送端部分私钥和公钥生成发送端完全私钥S_IDs；

S3：生成基于公钥基础设施环境的密钥：接收端选择随机数计算公钥PK_r＝d_rP，私钥/>然后接收端向PKI发送相应的身份ID_r和公钥PK_r，PKI利用相应的签名算法为接收端公钥生成数字证书，最后PKI将数字证书发送给接收端；

S4：无证书环境的发送端向基于公钥基础设施环境的接收端发送消息m，并进行离线签密：无证书环境的发送端选择随机数计算双线性对值r，r＝g^x，利用接收端公钥PKr计算承诺值T，T＝xPK_r，利用发送端私钥S_IDs得到签名S，S＝αS_IDs，最后无证书环境的发送端生成离线签密密文η＝(x，α，r，S，T)；

S5：无证书环境的发送端根据离线签密密文η＝(x，α，r，S，T)向基于公钥基础设施环境的接收端发送消息m，并进行在线签密，生成在线签密密文δ；

S6：基于公钥基础设施环境的接收端根据系统参数、发送端的身份ID_s、公钥PK_IDs、接收端的私钥SK_r和在线签密密文δ，输出消息m或拒绝该密文。

进一步地，所述步骤S2中的生成无证书环境的发送端公钥和完全私钥的具体步骤为：

S2.1：部分私钥生成：发送端向KGC发送身份ID_s，KGC计算其对应的部分私钥并将D_IDs发送给发送端；

S2.2：公钥生成：具有身份ID_s的发送端随机选择作为秘密值，并设置公钥PK_IDs＝x_IDs(H₁(ID_s)P+P_pub)；

S2.3：完全私钥生成：发送端根据秘密值x_IDs，再结合部分私钥D_IDs、公钥Pk_IDs，计算完整

进一步地，所述步骤S5中无证书环境的发送端生成在线签密密文δ具体包括有以下步骤：

S5.1：无证书环境的发送端使用H₃(r)作为加密密钥，利用对称加密体制加密消息m，得到密文c，其中，/>是异或运；

S5.2：无证书环境的发送端计算m、ID_s、r、PK_IDs、S、T的哈希值h，h＝H₄(m，ID_s，r，PK_IDs，S，T)；

S5.3：无证书环境的发送端根据随机值x、α和哈希值h计算承诺值θ，θ＝(x+h)α^{- 1}mod q；

S5.4：最后无证书环境的发送端生成在线签密密文δ＝(c，θ，S，T)。

进一步地，所述S6中输出消息m或拒绝该密文的具体步骤如下：

S6.1：基于公钥基础设施环境的接收端根据私钥SK_r、承诺值T计算双线性对值r，r＝e(T，SK_r)；

S6.2：基于公钥基础设施环境的接收端将H₃(r)作为解密密钥，利用对称加密体制解密密文c，得到消息m，其中，/>是异或运；

S6.3：基于公钥基础设施环境的接收端计算m，ID_s、r、PK_IDs、S、T的哈希值h，h＝H₄(m，ID_s，r，PK_IDs，S，T)；

S6.4：基于公钥基础设施环境的接收端已知信息验证r＝e(θS，PK_IDs+H₂(PK_IDs)(H₁(ID_s)P+P_pub)g^-h是否成立，如果等式成立，则输出明文消息m，否则，拒绝该密文。

进一步地，所述表示不包括0的整数群。

进一步地，所述主公钥P_pub、发送端公钥PK_IDs、接收端公钥PK_r和数字证书在初始化阶段全部公开。

进一步地，所选择消息m∈{0，1}ⁿ，表示消息m的长度为n。

有益效果：

本发明公开的从无证书到公钥基础设施的在线离线签密方法，使得通信双方不必处于同一种密码体制中也可安全的通信。允许发送端处于CLC密码体制下，接收端处于PKI密码体制下进行安全的在线离线通信。该方案离线签密阶段没有使用双线性对预算，只需要2个点乘运算和一个指数运算，在线签密阶段只有几个轻量级的运算，其中包括一个异或预算，两个哈希运算，一个加法运算和一个数乘预算。由于在线阶段运算均为轻量级运算，因此在实际运用中，可以良好的结合在许多计算能力受限的网络节点中，比如传感器网络，车载自组网络等。解签密阶段的双线性对运算一般在功能强大的服务器中进行，因此不用过多考虑计算开销问题。与已有的基于双线性对的异构方案相比，我们的方案在离线签密和在线签密阶段都具有较低的计算开销，因此本文所提出的方案更加适用于实际应用环境中。

附图说明：

图1为本发明公私钥注册图；

图2为本发明发送端离线阶段签密流程图；

图3为本发明发送端在线阶段签密流程图；

图4为本发明接收端解签密流程图。

具体实施方式

下面结合附图对本发明作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。

本发明公开了一种从无证书到公钥基础设施的在线离线签密方法，由于本方法在线签密阶段只有几个轻量级运算，因此在穿戴设备的无线体域网中尤为适用，因为体域网中的传感器往往不具有较强的计算能力，利用本方案可以良好的保护穿戴设备中传感器收集的数据信息。穿戴设备中的传感器将所收集到的人体数据信息进行签密，再将密文发送到功能强大的服务器中进行解签密后分析。该实施方式包括以下步骤：

步骤1：系统初始化：给定安全参数良，设定加法群G₁、乘法群G₂，两个群有相同的阶q且q为素数，P是群G₁生成元，e：G₁×G₁→G₂为一个双线性映射；定义四个安全的密码哈希函数H₃：G₂→{0，1}ⁿ，/> 其中，n表示消息m的长度。密钥生成中心KGC随机选择一个主密钥/>并计算其相应的主公钥P_pub＝sP，KGC公开系统参数params＝{G₁，G₂，P，P_pub，g，H₁，H₂，H₃，H₄}并且保密主私钥s，其中g＝e(P，P)。

步骤2：基于CLC环境的发送端向KGC提供一个身份ID_s∈{0，1}^*，KGC计算发送端部分私钥并以一种安全的方式将部分私钥D_IDs发送给发送端。具有身份ID_s的发送端随机选择/>作为秘密值，并设置公钥PK_IDs＝x_IDs(H₁(ID_s)P+P_pub)，然后再计算完全私钥/>

步骤3：基于PKI环境的接收端选择随机数计算公钥PK_r＝d_rP，私钥然后接收端向PKI发送相应的身份ID_r和公钥PK_r，PKI利用相应的签名算法为接收端公钥生成数字证书，最后PKI将数字证书发送给接收端。

当发送端和接收端相互通信并签密消息和解签密密文时，执行以下步骤：

步骤4：发送端与接收端通信之前，先通过数字证书验证接收端公钥的合法性，验证通过后发送端选择随机数计算r＝g^x，承诺值T＝xPK_r，签名S＝αS_IDs，最后输出离线签密密文η＝(x，α，r，S，T)。

步骤5：发送端根据离线签密密文η＝(x，α，r，S，T)和接收端公钥计算密文哈希值h＝H₄(m，ID_s，r，PK_IDs，S，T)，承诺值θ＝(x+h)α^-1mod q，最后输出在线签密密文δ＝(c，θ，S，T)。

步骤6：接收端收到在线签密密文δ＝(c，θ，S，T)后，利用接收端私钥恢复r值，r＝e(T，SKr)，然后解密密文c，恢复消息m，计算哈希值h＝H₄(m，ID_s，r，PK_IDs，S，T)，验证等式r＝e(θS，PK_IDs+H₂(PK_IDs)(H₁(ID_s)P+P_pub)g^-h是否成立，如果等式成立，则输出明文消息m，否则，拒绝该密文。

至此，发送端和接收端成功的完成了一次安全通信。该算法保证了通信过程中消息m的机密性和不可伪造性，因为等式r＝e(θS，PK_IDs+H₂(PK_IDs)(H₁(ID_s)P+P_pub)g^-h如果不成立，证明验证失败，密文可能被篡改或者说明密文不是发送端所发，接收端拒绝该密文。

对于本发明实施过程中主要使用的主要符号总结在下表1中：

表1符号说明

本发明允许发送端处于CLC密码体制下，接收端处于PKI密码体制下进行安全的在线离线通信。离线签密阶段不需要配对运算；只需要2个点乘运算和一个指数运算，而在线签密阶段只需要简单的异或、哈希函数和加法运算。与已有的基于双线性对的异构方案相比，我们的方案在离线签密和在线签密阶段都具有较低的计算开销，因此本文所提出的方案更加适用于实际应用环境中。

上述实施方式只为说明本发明的技术构思及特点，其目的在于让熟悉此项技术的人能够了解本发明的内容并据以实施，并不能以此限制本发明的保护范围。凡根据本发明精神实质所做的等效变换或修饰，都应涵盖在本发明的保护范围之内。

Claims (3)

1.一种从无证书到公钥基础设施的在线离线签密方法，其特征在于，包括以下步骤：

S1：系统初始化：给定安全参数k，设定加法群G₁、乘法群G₂，两个群有相同的阶q且q为素数，P是群G₁生成元，e：G₁×G₁→G₂为一个双线性映射；定义四个安全的密码哈希函数H₃：G₂→{0，1}ⁿ，/> 其中，n表示消息m的长度，/>表示不包括0的整数群；密钥生成中心KGC随机选择一个主密钥/>并计算其相应的主公钥P_pub＝sP，KGC公开系统参数params＝{G₁，G₂，P，P_pub，g，H₁，H₂，H₃，H₄}并且保密主私钥s，其中g＝e(P，P)；

S2：生成无证书环境的发送端公钥和完全私钥：在生成公钥和完全私钥过程中，先利用身份生成部分私钥其中ID_s为发送端身份，利用部分私钥生成发送端公钥PK_IDs，最终利用发送端部分私钥和公钥生成发送端完全私钥S_IDs，具体如下：

S2.1：部分私钥生成：发送端向KGC发送身份ID_s，KGC计算其对应的部分私钥并将D_IDs发送给发送端；

S2.2：公钥生成：具有身份ID_s的发送端随机选择作为秘密值，并设置公钥PK_IDs＝x_IDs(H₁(ID_s)P+P_pub)；

S2.3：完全私钥生成：发送端根据秘密值x_IDs，再结合部分私钥D_IDs、公钥Pk_IDs，计算完全私钥

S3：生成基于公钥基础设施环境的密钥：接收端选择随机数计算公钥PK_r＝d_rP，私钥/>然后接收端向PKI发送相应的身份ID_r和公钥PK_r，PKI利用相应的签名算法为接收端公钥生成数字证书，最后PKI将数字证书发送给接收端；

S4：无证书环境的发送端向基于公钥基础设施环境的接收端发送消息m，并进行离线签密：无证书环境的发送端选择随机数计算双线性对值r，r＝g^x，利用接收端公钥PK_r计算承诺值T，T＝xPK_r，利用发送端完全私钥S_IDs得到签名S，S＝αS_IDs，最后无证书环境的发送端生成离线签密密文η＝(x，α，r，S，T)；

S5：无证书环境的发送端根据离线签密密文η＝(x，α，r，S，T)向基于公钥基础设施环境的接收端发送消息m，并进行在线签密，生成在线签密密文δ；

S5.1：无证书环境的发送端使用H₃(r)作为加密密钥，利用对称加密体制加密消息m，得到密文c，其中，/>是异或运算；

S5.2：无证书环境的发送端计算m、ID_s、r、PK_IDs、S、T的哈希值h，h＝H₄(m，ID_s，r，PK_IDs，S，T)；

S5.3：无证书环境的发送端根据随机值x、α和哈希值h计算承诺值θ，θ＝(x+h)α^-1mod q；

S5.4：最后无证书环境的发送端生成在线签密密文δ＝(c，θ，S，T)；

S6：基于公钥基础设施环境的接收端根据系统参数、发送端的身份ID_s、公钥PK_IDs、接收端的私钥SK_r和在线签密密文δ，输出消息m或拒绝该密文；

S6.1：基于公钥基础设施环境的接收端根据私钥SK_r、承诺值T计算双线性对值r，r＝e(T，SK_r)；

S6.2：基于公钥基础设施环境的接收端将H₃(r)作为解密密钥，利用对称加密体制解密密文c，得到消息m，其中，/>是异或运算；

S6.3：基于公钥基础设施环境的接收端计算m，ID_s、r、PK_IDs、S、T的哈希值h，h＝H₄(m，ID_s，r，PK_IDs，S，T)；

S6.4：基于公钥基础设施环境的接收端已知信息验证r＝e(θS，PK_IDs+H₂(PK_IDs)(H₁(ID_s)P+P_pub)g^-h是否成立，如果等式成立，则输出明文消息m，否则，拒绝该密文。

2.根据权利要求1所述的从无证书到公钥基础设施的在线离线签密方法，其特征在于，所述主公钥P_pub、发送端公钥PK_IDs、接收端公钥PK_r和数字证书在初始化阶段全部公开。

3.根据权利要求1所述的从无证书到公钥基础设施的在线离线签密方法，其特征在于，所选择消息m∈{0，1}ⁿ，表示消息m的长度为n。