CN1543725A - 使用离散对数函数产生不对称加密系统的加密单元的方法 - Google Patents

Abstract

本发明涉及一组公开密钥加密方案，它们为了降低研发、生成并维护加密单元的成本而使用离散对数问题。实体(10)之一执行一计算，该计算最多包括少量的整数加法、加法和乘法，所述计算是组中所有方案所共有的。上述计算最好是要被所述实体执行的主要计算，而大多数其它计算可以预先被执行。特别是，所述计算属于y＝ar+bs类型，其中r是随机数，s是对于实体(10)特定的保密密钥。所述计算是用于实体验证、消息验证、数字签名和密钥交换的一组方案所共有的。

Description

使用离散对数函数产生不对称加密系统的加密单元的方法

本发明涉及加密的技术领域，尤其涉及所谓不对称的或公开密钥的加密。

在这种加密类型中，每个用户为了给定的用途而保留一对密钥，包括保密密钥和相关的公开密钥。

例如，如果正在处理专用于机密性的密钥对，则使用公开密钥对数据进行加密，而使用保密密钥对它们解密，即对这些数据进行译码。如果正在处理专用于数据真实性的密钥对，则使用保密密钥对数据进行数字签名，而使用公开密钥来校验数字签名。其他用途(实体验证、密钥交换等等)也是可行的。

与保密密钥加密不同，公开密钥加密非常有用，因为它不要求涉及的用户分享秘密，以便建立安全的通信。然而，这种安全性的优点伴随以性能的缺点，因为对于相等的资源，公开密钥加密方法(也称为“公开密钥方案”)通常比所谓的保密密钥加密方法(也称为“保密密钥方案”)慢一百或一千倍。因此，为了获得合理的计算次数，实现这些算法的电路成本通常很高。

这对于所谓RSA数字加密和签名方案(见R.L.Rivest，A.Shamir和L.M.Adleman撰写的“A Method for Obtaining Digital Signatures and Public-KeyCryptosystems”，登载于“Communications of the ACM”，第21册，第2号，120-126页，1978年2月)来说尤其成立。该方案依赖于整数因式分解问题的难点：假定一个大整数(一般在以2为基数的表示中大于1000比特)等于两个或多个大小可比的质因数的乘积，不存在用于重现这些质因数的有效过程。因此，这个方案中执行的计算涉及很大的数字。它们不能在芯片卡上少于1秒的时间内被执行，除非后者配备了专用加密协处理器，这大大增加了它的成本。此外，由于因式分解过程的效率随时间相当快速地增长，因此需要向上修改密钥长度，损害了性能。

因此产生降低实现公开密钥方案的芯片成本的问题。

对付这个问题主要有两种方法。第一种方法在于最好(但不必要)根据因式分解以外的其他问题指定新的加密方案，这可能大大加速计算时间。该途径已被多次探索，且产生了多种结果。然而，在绝大部分情况下，或者与RSA相比的改进不足以设想其中的替代，或者尚未充分好地建立安全性。

第二种方法在于以大量制造芯片使得其成本能大大降低。如果国际银行组织确认该方案用于将来基于芯片的银行卡，这就是可能发生在RSA上的情况。然而，起初RSA芯片的成本太高，无论制造多少芯片，其费用仍会是可观的。

应该注意的是，许多公开密钥加密方案共同地把整数运算用作基本运算，比如模数乘法(ab(模n))、模数除法(a/b(模n))或者模数取幂(a^b(模n))，其中a、b和n是整数。然而，这些运算不会完全相同。因而，每次修改加密方案时，都有必要改变执行加密计算的安全装置的程序或电路。

本发明的一个目的是通过结合上述两种方法而降低公开密钥加密单元的成本。

因此，本发明提出了一种在不对称加密系统中用于产生与整数保密密钥s相关联的加密单元的方法，其中所述加密单元配备了一个组件，该组件独立于加密系统而产生，并且适用于在几个整数运算数之间的组合来给出整数y，所述几个整数运算数包括随机数r、保密密钥s和至少一个进一步的运算数(a，b)。通过把一公开密钥与保密密钥s相关联而选择了加密系统以后，加密单元配备了加密数据序列的发生器，其中所述公开密钥包括进行乘法运算的集合G的第一元素g，每个加密数据序列都包括作为所述组件的运算数的随机数r、以及取决于集合G的元素g^r的值x，由单元与整数y一起给出。

组件可以由一个或多个电路部分或一个或多个软件模块所组成，该组件应用非常快速执行的基本加密项，这对于大量不同的加密方案都是共同有利的：验证、签名、密钥交换机制等等，它们使用了分集数学对象(可能定义多种离散对数函数的集合G和乘法运算)。

因为该组件对于大量机制是共同的，因此能更好地降低工业研发和制造成本。适用于该组件的基本单元(例如芯片卡)可以大量有利地生产，只要这些单元适用于有关族的所有方案，并且它们通常能实现这些或这种应用所需求的性能。

更具体地说，公开密钥还包括集合G的元素v，使得v＝g^s或v＝g^-s。该方法使加密单元能根据广义的离散对数问题而应用整个方案族。这个问题广义上如下规定：令G是进行乘法运算(即根据两个元素a和b，联系成表示为“a.b”的元素，或简单为“ab”的函数，称为a和b的乘积)的集合，g是G的一个元素，u是一个(大)整数，而w是G的元素，定义为w＝g^u(即根据g的出现u次的乘积gg…g)；在实践中不可能从g和w中重现u。

欧洲专利号0666664描述了这种类型的一个示例性电子签名方案，其中G是大于等于0且小于n的一组整数，乘法元素是整数的普通乘积，模n。

根据本发明的方法，如果它发生，则对于给定的集合G和某一乘法运算而言，发现了比已知算法更为有效的离散对数计算算法，它足以改变其中执行计算的集合以及/或者乘法运算，以便重现期望的安全性级别。

离散对数问题可以在进行运算的任何集合内先验地规定。然而，为了使它能在短时间内执行指数计算并且提供小尺寸的结果，需要某些属性，譬如目前最适合的集合是组。除了其它属性以外，组总是包含一个中性元素，即表示为ε(或简单为1)的元素，使得乘积ε.a和a.ε都等于a，对于任何元素a都一样。此外，每个元素在组中有一个倒数，表示为a^-1，即使乘积a^-1.a和a.a^-1都等于ε的元素。加密中所使用的组的一般示例为整数和椭圆曲线的圈或范围。

因此可能定义一个加密组件，该组件不以任何方式依赖于有关的组，或者依赖于考虑中的集合G。这首先意味着这个组件不作用于集合自身的元素。这还意味着它不依赖于组的特性，也不依赖于考虑中的元素g，尤其是在G内g的数量级上，即满足g^q＝ε的最小非零整数q(如果存在)。

在本发明的优选实施例中，组件所作用的组合仅由少量的整数间加法、减法和乘法所组成，没有一个与G和g的特性有任何联系。特别是，这个组合的形式可以是y＝ar+bs的形式，其中a和b是两个进一步的整数运算数。进一步的简化使得a＝1或b＝1。

选择这个组件的一个优点是它的速度：如果仅仅要执行少量乘法(1或2)，则组件会有高速度(几微秒)，并且可以被结合在任何环境中，尤其结合在低成本的微处理器卡中。

通过把一随机数与一模数相关联来计算集合G上的指数，可以构造加密数据序列的发生器。

然而，在本方法的优选实施例中，加密数据序列的发生器包括一可编程存储器，用于接收预先计算的对{r，x}或{r，g^r}。这样，加密单元可以完全独立于集合G以及所采用的乘法元素而被完整地制造。仅仅需要把保密密钥s和预先计算的对{r，x}或{r，g^r}的某些数写入可编程存储器。在运算中，共同的组件会执行在加密单元级所需的唯一计算。

可以自主地使用该单元能进一步改进研发和制造成本的降低，这是由于在各种目标应用中可以使用相同的电路(而不仅仅是电路的相同部分)。此外，组件执行得很快能将其安装在非常低成本的电路中，因此在自主模式中，被接触或不接触地安装在非常廉价的单元中，比如常规的微处理器卡。

这种自主性的还有一个优点是也许能够改变加密方案，例如由于后者已经损坏(即由于已经发现大大降低它所提供的安全性级别的攻击)，而无须研发并制造另一电路，从而节约了生产力。

此外，如果单元使用值x，其长度不会随时间而改变(例如由于它从g^r的计算因此涉及预定义的哈希函数)，则在保留相同的方案时，可能无须研发并制造另一电路而改变所使用的其他密钥的长度。

此外，在最后两种情况下，不仅没有理由研发并制造另一电路，但如果适当地设计了后者，则甚至无须改变包含它们的安全性装置(例如芯片卡)，即使在采用了这些装置以后。由于在已经运转的安全性装置(或安全性装置自身)中改变电路或电路的程序总是非常昂贵的操作，因此这个优点是非常显著的。

本发明可被以下组织有利地使用：生产安全芯片的半导体制造商、从这些芯片制造安全性装置的工业，比如芯片嵌入(有接触或无接触的芯片卡)、以及采用这种设备的组织(银行、电信业、货车司机等)，对这些组织而言，加密单元的替换会造成高研发、制造、管理或维护成本。

总之，本发明用离散对数问题产生了一族公开密钥加密方案，其中一个实体执行最多由少量整数加法、减法和乘法组成的计算，该计算对于该族的所有方案是共同的。该计算最好表示出要由该实体执行的大多数计算，由于大多数其他计算可以预先执行。

从参照附图的非限制性示例性实施例的下列描述中，本发明的其他特性和优点将变得更为明显，附图中图1和4是按照本发明生产的加密单元的示意图。

下面考虑实体验证协议族，扩展为消息验证和消息的数字签名，以及用于交换密钥的协议族，全部实现一共同的组件。假定由另一实体B所使用的实体A的公开密钥真实性已经在前面由该实体B所确认。

令G是进行乘法运算的集合，g是G的一个元素。实体A的保密密钥是整数s。应该注意到，这个整数s的大小(它的基2分解的比特数)独立于G和g。与实体A的s相关联的公开密钥是对{g，v}，其中v＝g^s。

在本发明的示例性实施例中，实体B对实体A的验证如下进行：

1.A随机地选取一整数r，计算x＝g^r，并把x发送至B；

2.B随机地选取两个整数运算数a和b，并把它们发送至A；

3.A计算y＝ar+bs，并把y发送至B；

4.B校验g^y＝x^av^b。

这个基本协议的许多变体是可行的，由于它适用于消息验证和数字消息签名：

-a或b可以预先固定在一非零值(例如a＝1)，该情况中这个运算数无须被发送，且组合y＝ar+bs现在仅涉及乘法；

-y＝ar+bs可以用y＝ar-bs代替，校验公式为：g^yv^b＝x^a；

-y＝ar+bs可以用y＝bs-ar代替，校验公式为：g^yx^a＝v^b；

-y＝ar+bs可以用y＝-ar-bs代替，校验公式为：g^yx^av^b＝1

-如果G是一个组，则保密密钥s的符号可以被反转，即取v＝g^-s＝(g^s)^-1，其中校验公式变为：g^yv^b＝x^a；这个选择当然可以与任一上述变化相结合；

-在校验公式形式为g^yv^b＝x的每种情况下，假定a＝1，x＝g^r可以用x＝f(g^r)来代替，其中f是函数，例如等于(或包括)加密哈希函数；校验公式于是变为：f(g^yv^b)＝x；

-同样在校验公式形式为g^yv^b＝x的每种情况下，假定a＝1，如果M是要由A证实的消息，则x＝g^r可以用x＝f(g^r，M)来代替，其中f是函数，例如等于(或包括)加密哈希函数；校验公式于是变为：f(g^yv^b，M)＝x；所获得的协议为消息验证协议；

-同样在校验公式形式为g^yv^b＝x的每种情况下，假定a＝1，如果M是要由A证实的消息，则x＝g^r可以用x＝f(g^r，M)来代替，其中f是函数，例如等于(或包括)加密哈希函数，于是计算b＝h(x)，其中h是没有特殊加密属性的函数，例如恒等式；在这种情况下，步骤2不再涉及实体A；校验公式变为：f(g^yv^h(x)，M)＝x；所获得的协议为数字消息签名协议(在G是小于n的非负整数集合且运算为乘法模n的特定情况下，再现欧洲专利号0666664中描述的获得电子签名方案)。

注意到在步骤3中，实体A仅需执行一次整数加法以及一次或两次整数乘法。还注意到该组合独立于所选的集合G。最后注意到，可以预先执行A需要执行的其它计算(x＝g^r或f(g^r))。因此可能预先计算某些数量的g^r值(应用或不应用函数f)，然后把它们与相应的随机数r一起存储在可编程存储器中。

根据相同的参数，补充实体B的私有密钥s’和相关的公开密钥g’，v’，按照与实体A相同的规则获得，g’＝g：v’＝g^s’，密钥交换协议可以定义如下：

1.A随机地选取整数r，计算x＝g^r并把x发送至B；A计算共有密钥K＝v’r(＝g^s’r)；

2.B随机地选取两个整数运算数a和b并把它们发送至A；

3.A计算y＝ar+bs并把y发送至B。

4.B校验g^y＝x^av^b。B计算共有密钥：K＝x^s’(＝g^rs’)

该协议一方面能按照Diffie-Hellman方案交换密钥，另一方面密钥交换在任一侧被验证。共有密钥K也可以被计算为v’^r的预定函数。

又注意到在步骤3中，实体A仅需执行一次整数加法以及一次或两次整数乘法。还注意到，该组合独立于所选的集合G。最后注意到，必须预先执行A需执行的其他计算。因此可能预先计算某些数量的x值和K值，然后把它们存储在可编程存储器中。

因此，通过开发实现单独函数y＝ar+bs(或者上述替代之一)的程序或电路，获得了基本的软件或硬件程序块，它们可用于不同的加密方案中，实现诸如验证、密钥交换等不同的任务。实现给定任务的方案甚至可以在安全性设备的寿命期间被修改，所述安全性装置包括该程序或者该电路。例如，可能用另一个方案来代替该验证方案，或者保持相同的方案但改变其中执行计算的集合或组G。实际上，这些修改仅会影响预先计算的值，而不影响组件自身。

图1图解地示出按照本发明生产的示例性加密单元A。该单元由具有区域10的芯片所组成，到区域10的访问受到本领域技术人员公知的技术所保护。

被保护的区域10包括可编程存储器11，用于一方面接收单元A的保密密钥s(区域12)，另一方面一旦定义了集合G及其乘法运算(区域13)，接收独立于s确定的对{r，g^r}。被保护的区域10还包括组件15，用于计算整数y＝ar+bs，作为以下几者的函数：从存储器区域13接收的随机数r、从存储器区域12接收的保密密钥s以及由控制模块16提供的两个进一步运算数a、b。

在区域13内存储几个对{r，g^r}的各种方式是可行的。每个r值和每个g^r值都可以被全部存储在一表格中，该表在相同对的r值和g^r值之间相关匹配。在具有受限存储器尺寸的微型电路中有利的是，一个简单的索引与每个g^r值相关联，以便节约存储几个r值所需的存储器空间，该空间一般很大。各个r值是通过伪随机发生器从初始值r₀以及从相应的索引而被预先计算的，以便预先计算并存储该索引的g^r值。于是，可编程存储器11包括伪随机发生器和最初的初始值r₀，以便通过激活伪随机发生器而无须全部存储每个r值而从相应的索引接收每个r值，以便通过索引的优点而使它与g^r值相关联。

响应于远程实体B所发布的验证请求，控制模块16命令存储器区域13给出被定址到组件15的整数r、以及集合G的相关元素g^r，后者构成被发送到实体B的值x。此外由控制模块16向组件15给出从实体B接收到的进一步运算数a、b，然后由控制模块16把组件所返回的整数y传递给实体B。获悉公开密钥g、v的实体B将能够通过校验公式g^y＝x^av^b的帮助来验证A。

在图2的变体中，单元A用于验证消息M。被保护的区域10和控制模块16基本上与图1的示例相同，固定a＝1。被保护的区域10增补一哈希模块18，该模块应用了预定的加密哈希函数f。该函数f的变元是来自存储器区域13的元素g^r以及由控制模块16提供的要被验证的消息M。结果x被定址到控制模块16，控制模块16将其传递至实体B。

哈希模块18也可以存在于按照图1的实施例中，而没有变元M(或者有该变元的缺省值)，以便产生一密钥值x，该值具有独立于集合G而规定的大小。

因此可见，相同的电路适用于两种应用。

对于按照图3的单元是相同的，该单元用于对消息M的签名，即独立于可能检查该签名的实体。如果哈希模块18给出的结果x采用整数形式，则它可以被提供给组件15作为运算数b。还可能预先对其应用函数h，如前所述。

在按照图4的实施例中，存储器区域13还把保密会话密钥K与每个随机数r相关联，保密会话密钥K被确定为实体B的公开密钥g、v’(因此必须预先知道)的函数：K＝v’r。这个会话密钥K被定址到一保密密钥加密单元20，该单元20按照对称加密算法以常规方式工作，以便可用于与实体B通信。后者通过校验公式g^y＝x^av^b或者前述变体之一的帮助确保了保密密钥K的完整性。

Claims (12)

1.不对称加密系统中一种产生与整数保密密钥s相关联的加密单元的方法，其特征在于，所述加密单元带有一组件(15)，该组件(15)独立于加密系统被生成并且适用于通过几个整数运算数间的组合而给出整数y，几个整数运算数包括：随机数r、保密密钥s以及至少一个进一步的运算数(a，b)，其中在通过把一公开密钥与保密密钥s相关联而选择了加密系统以后，加密单元配备了加密数据序列的发生器(13)，其中所述公开密钥包括进行乘法运算的集合G的第一元素g，每个加密数据序列都包括作为所述组件的运算数的随机数r、以及取决于集合G的元素g^r的值x，由单元与整数y一起给出。

2.如权利要求1所述的方法，其特征在于，所述公开密钥包括集合G的第二元素v，使得v＝g^s或v＝g^-s。

3.如权利要求1或2所述的方法，其特征在于，所述加密数据序列发生器包括一可编程存储器(13)，用于接收预先计算的对{r，x}或{r，g^r}。

4.如任一前述权利要求所述的方法，其特征在于，由所述组件(15)执行的组合的形式为y＝ar+bs，其中a和b是两个进一步的运算数。

5.如权利要求4所述的方法，其特征在于，所述进一步的运算数a和b是从核实单元接收的，所述值x和整数y被发送到该校验单元。

6.如权利要求4所述的方法，其特征在于，所述进一步运算数之一(a)等于1。

7.如权利要求6所述的方法，其特征在于，所述进行乘法元素的集合G拥有一个组结构。

8.如权利要求7所述的方法，其特征在于，所述组件(15)这样安排，使得从值x和整数y被发送至的校验单元接收另一个进一步运算数(b)，且其中获得值x作为元素g^r的函数包括应用哈希函数。

9.如权利要求7或8所述的方法，用于生产实现消息验证协议的加密单元，其中所述组件(15)这样安排，使得从值x和整数y被发送至的校验单元接收另一个进一步运算数(b)，且其中值x是元素g^r以及消息(M)的内容的函数，消息(M)要被结合加密单元的装置所验证。

10.如任一权利要求7到9所述的方法，用于生产实现数字消息签名协议的加密单元，其中进一步的运算数b作为值x的函数被计算，且值x是元素g^r以及消息(M)的内容的函数，消息(M)要被结合加密单元的装置所验证。

11.如任一前述权利要求所述的方法，用于生产实现密钥交换协议的加密单元，其中所述加密单元带有与另一加密单元进行通信的装置，值x和整数y被发送至所述另一加密单元，所述另一加密单元与另一整数保密密钥s’相关联，且加密系统的选择包括：把一公开密钥与保密密钥s’相关联，所述公开密钥包括元素g和集合G的另一元素v’，使v’＝g^s’，其中由所述发生器(13)产生的每个加密数据序列包括：除了随机数r和所述值x以外，还包括依赖于集合G的元素v^’r的共有密钥K，该密钥未被发送至所述另一加密单元。

12.如权利要求11所述的方法，其特征在于，所述加密数据序列的发生器包括一可编程存储器(13)，用于接收预先计算的三元组{r，x，K}或{r，g^r，v^’r}。

Images