CN1805334A - 高效的不可展的公钥加密系统 - Google Patents

Abstract

所提发明是一种在标准假设下能抵抗午餐时间攻击和适应性选择密文攻击的公钥密码系统，它不会泄漏私有密钥的任何信息。在这个公钥密码系统中，合法密文的不可伪造性仅仅基于标准假设。这个公钥密码系统的计算量小，生成的密文短，是一个高效的公钥密码系统。本发明可以广泛应用在数据加密、身份认证、安全通信、密钥交换等领域。

Description

高效的不可展的公钥加密系统

技术领域

本发明涉及一种通过对符号或符号组进行转换或者按照预订的系统用另外的符号来替代，将所给的符号序列变换成不可理解的符号序列的方法。特别是涉及一种提高数据处理系统安全性的保密通信系统和方法。所提的公钥密码系统对午餐时间攻击和适应性选择密文攻击都是安全的。

背景技术

保密和安全是当今网络社会的重要内容。为确保安全通信，加密方法是很有用的。一个密码系统中，发送者将发送的信息用某种方法处理后发送给接收者，这个信息仍然是安全的。也就是说，只有指定的接收者才能恢复这个信息。密码系统将信息也叫做明文，转换成一种加密的形式称为密文。加密是用一个密钥或多个密钥对信息作巧妙的处理和转换。接收者将密文转换为明文来解密信息。它是用一个密钥或多个密钥对密文作处理和转换，是加密的逆过程。如果只有发送者和接收者才知道密钥信息，这个加密传输就是安全的。过去，一些密码系统被提出来，比如公钥密码系统。一般来讲，算法用来加密和解密信息的数据叫做密钥。公钥密码系统有两个密钥，一个公有密钥和一个私有密钥，它们是相互关联的。

现有的大多数公钥密码系统对积极攻击都不是安全的。在积极攻击中，攻击者可以将选择的消息注入数据流中，观察结果状态。适应性选择密文攻击是这类攻击中已知的最强攻击形式。它被公认为是最具攻击性的攻击形式，每个密码系统都应该能抵挡这种攻击。在这种攻击中，攻击者可以接入一个“解密预言机”，也是一个服务器，它可以让攻击者解密自己选择的密文。“攻击者”普遍用来指一个密码系统中的一个敌手、一个敌人或者想危害别人安全的有危险性的人。这种攻击可分为一种称为午餐时间攻击的弱的攻击形式和称为适应性选择密文攻击的最强的攻击形式。在午餐时间攻击中，攻击者询问解密预言机许多次，然后攻击者获得他要分析的目标密文，之后，他不能再询问解密预言机。在适应性选择密文攻击中，攻击者在获得他想分析的目标密文以后还可以继续询问解密预言机。这样，攻击者重复下面的过程：他向实现了密码系统的软件或者硬件个体发送询问，观察返回的结果，基于返回结果发送更多的询问，目的就是要攻破这个密码系统。

Cramer-Shoup方案是第一个实用的、在标准假设下对午餐时间攻击和适应性选择密文攻击都是安全的公钥加密系统。合法密文的不可伪造性基于标准假设，即判定Diffie-Hellman问题的难度和哈希函数的无碰撞性。但是，这个系统为了能验证密文的合法性，公共密钥和私有密钥都扩展得较长，计算也较复杂，不是一个高效的方案。

接下来给出一些简略的定义，它将有助于所提方案的理解。

群：密码学意义上的群是一个代数系统(G，*)，它由一个元素或者数的集和一个群运算(*)，其中(*)是可以结合的，有一个单位元，而且G中的每个元素都有逆元。

符号(*)的选择是任意的。实际上，大多数的群运算都用+或者·表示，这样的群分别称为加群和乘法群。

有限群：一个群G如果包含有限多个元素，那么称它为有限的。有限群里的元素个数叫做它的阶。

例如，对任意一个正整数n，集Z_n包含整数0，…，n-1，它组成了一个模n加法群。另外，由与n互质的Z_n的子集构成了一个模n乘法群，用Z_n ^*表示。特别的，如果p是素数，Z_p ^*由{1，…，p-1}组成，它是个有p-1个元素的群。

抗碰撞哈希函数：一个哈希函数簇是抗碰撞的，如果给定这个簇中的一个随机哈希函数H，发现一个碰撞是不可行的，即发现两个串x≠y，使得H(x)＝H(y)。

发明内容

本发明的目的在于提供一种高效的、在标准假设下对午餐时间攻击和适应性选择密文攻击都是安全的公钥加密系统。合法密文的不可伪造性基于标准假设。

本发明采用的技术方案的具体实现步骤如下：

假设用户A向用户B发送信息m，A用B的公有密钥加密m，并将加密后的密文发送给B。B得到密文后用自己的私有密钥恢复出m。这种公钥加密系统的具体实现步骤如下：

步骤一  建立系统参数：

建立一个系统参数(G，q)，其中G是一个具有大素数阶q的群，比如模一个大素数的乘法群的大素数阶子群，或者一个定义在椭圆曲线上的有大素数阶的加群；

步骤二  生成密钥对：

在密码群G中选择一个基元g，在Z_q中随机选取第一个指数x，第二个指数y和第三个指数z，保留(x，y，z)作为私有密钥；用下面公式计算出来第一个群元c，第二个群元d，第三个群元h：

c＝g^x，

d＝g^y，

h＝g^z，

将(g，c，d，h)作为公共密钥并公开；

步骤三  加密：

用公有密钥(g，c，d，h)加密明文m如下：

(a)从Z_q中选择一个随机指数r；

(b)计算一个通用密文数据u，一个加密密文数据e，一个哈希值a和一个验证密文数据v：

u＝g^r，

e＝h^rm，

应用一个哈希函数H计算哈希值a。计算哈希值a时，哈希函数H至少输入通用密文数据u和加密密文数据e。还可以输入其它参数，比如公有密钥；

v＝c^rd^ra；

(c)输出加密的密文为(u，e，v)；

步骤四  验证和解密：

当收到密文(u，e，v)后，用私有密钥(x，y，z)验证和解密密文如下：

(a)应用哈希函数H计算哈希值a。计算哈希值a时，哈希函数H至少

输入通用密文数据u和加密密文数据e。还可以输入其它参数，比如公有密钥；

(b)验证是否有u^x+ay＝v成立，如果u^x+ay≠v，拒绝密文；如果u^x+ay＝v，则计算m＝e/u^z，恢复明文m。

在所提公钥密码系统中，合法密文的不可伪造性仅仅基于标准假设。因此，攻击者无法伪造一个合法密文。又由于在解密前，要密文的合法性。如果密文是不合法的，则被拒绝。这样，攻击者伪造的密文都将被拒绝。由于拒绝了所有伪造的密文，这个加密方案对午餐时间攻击，甚至是适应性选择密文攻击都是安全的。它不会泄漏私有密钥的任何信息。

所提公钥密码系统有以下优点：

1.所提公钥密码系统对午餐时间攻击和适应性选择密文攻击都是安全的。

2.适应性选择密文攻击安全同时意味者不可展性。不可展是所提公钥密码系统的另一个优点。

3.由于所提公钥密码系统对午餐时间攻击和适应性选择密文攻击都是安全的。因此，所提方案可以保证安全通信。

4.所提公钥加密系统是高效的。所提公钥加密系统与Cramer-Shoup方案相比，计算量更小，系统的效率更高，密文长度更短。

具体实施方式

当本发明用于安全通信时，假设用户A向用户B发送信息m。A用B的公有密钥加密m，并将加密后的密文发送给B。B得到密文后用自己的私有密钥恢复出m。在本实施例中，群G是一个定义在椭圆曲线上的大素数阶的加群。具体步骤如下：

步骤一  建立系统参数：

建立一个系统参数(G，q)。G是一个定义在椭圆曲线上的大素数阶的加群，用(F_p，E)表示。

其中F_p是一个有限域，它的阶为：

p＝77494639571290531462578212865140825277116269095458281

   742933794523316333051799；E是F_p上的椭圆曲线如下：

                E：y²＝x³+ax+b mod p

其中

    a＝77494639571290531462578212865140825277116269095458281

       742933794523316333051796；

    b＝49336367977963216130290588492811183123976575047168832

       523116113737331920217819；

椭圆曲线E的阶为：

    q＝77494639571290531462578212865140825276923921136834765

       6051813645155244266917；

它是一个素数。

系统参数(G，q)可以由一组用户公用；

步骤二  生成密钥对：

用户B在密码群G中选择一个基元g，在Z_q中随机选取第一个指数x，第二个指数y和第三个指数z，保留(x，y，z)作为私有密钥；用下面公式计算出来第一个群元c，第二个群元d，第三个群元h：

c＝g^x，

d＝g^y，

h＝g^z，

将(g，c，d，h)作为公共密钥并公开；

步骤三  加密：

用户A从可信目录中得到用户B的公有密钥(g，c，d，h)，然后用公有密钥(g，c，d，h)加密明文m如下：

(a)从Z_q中选择一个随机指数r；

(b)用下面公式计算一个通用密文数据u，一个加密密文数据e，一个哈希值a和一个验证密文数据v：

u＝g^r，

e＝h^rm，

a＝MD5(u，e)。

v＝c^rd^ra；

(c)输出加密的密文为(u，e，v)，并将密文发送给用户B；

步骤四  验证和解密：

当用户B收到用户A发送的密文(u，e，v)后，用私有密钥(x，y，z)验证和解密密文如下：

(a)用哈希函数H计算哈希值a＝MD5(u，e)；

(b)验证是否有u^x+ay＝v成立，如果u^x+ay≠v，拒绝密文；如果u^x+ay＝v，则计算m＝e/u^z，恢复明文m。

Claims (3)

1.一种高效的不可展的公钥加密系统，其特征在于这种公钥加密系统的具体实现步骤如下：

步骤一  建立系统参数：

建立一个系统参数(G，q)，其中G是一个具有大素数阶q的群；

步骤二  生成密钥对：

在密码群G中选择一个基元g，在Z_q中随机选取第一个指数x，第二个指数y和第三个指数z，保留(x，y，z)作为私有密钥；用下面公式计算出来第一个群元c，第二个群元d，第三个群元h：

c＝g^x，

d＝g^y，

h＝g^z，

将(g，c，d，h)作为公共密钥并公开；

步骤三  加密：

用公有密钥(g，c，d，h)加密明文m如下：

(a.)从Z_q中选择一个随机指数r；

(b.)计算一个通用密文数据u，一个加密密文数据e，一个哈希值a和一个验证密文数据v：

u＝g^r，

e＝h^rm，

应用一个哈希函数H计算哈希值a，

v＝c^rd^ra；

(c.)输出加密的密文为(u，e，v)；

步骤四  验证和解密：

当收到密文(u，e，v)后，用私有密钥(x，y，z)验证和解密密文如下：

(a.)应用哈希函数H计算哈希值a；

(b.)验证是否有u^x+ay＝v成立，如果u^x+ay≠v，拒绝密文；如果u^x+ay＝v，则计算m＝e/u^z，恢复明文m。

2.根据权利要求1所述的一种高效的不可展的公钥加密系统，其特征是x，y，z互不相同。

3.根据权利要求1所述的一种高效的不可展的公钥加密系统，其特征是应用哈希函数H计算哈希值a时，至少输入通用密文数据u和加密密文数据e。