DE602004004029T2

DE602004004029T2 - Verfahren zur Verteilung von Konferenzschlüsseln, gemäss einem identitätsbasierten Verschlüsselungssystem

Info

Publication number: DE602004004029T2
Application number: DE602004004029T
Authority: DE
Inventors: Bae-Eun Jung; Dae-Youb Kim
Original assignee: Samsung Electronics Co Ltd
Current assignee: Samsung Electronics Co Ltd
Priority date: 2003-10-20
Filing date: 2004-10-19
Publication date: 2007-11-15
Anticipated expiration: 2024-10-20
Also published as: US20050084114A1; KR100571820B1; US7716482B2; EP1526676B1; KR20050037723A; DE602004004029D1; EP1526676A1

Description

Die vorliegende Erfindung betrifft ein Datenübertragungsverfahren, und insbesondere ein Verfahren zur Verteilung eines Konferenzschlüssels (Session-Keys), der gemeinsam verwendet wird, um Daten zwischen einer Mehrzahl von Parteien zu verschlüsseln.
Da Computer stark entwickelt sind, nehmen Netzwerke, die die Computer verbinden, an Bedeutung und Nutzen zu. Unlängst haben jedoch Missbrauch von Computern und Netzwerken zugenommen. Daher besteht ein Bedarf daran, Netzwerksicherheitstechniken zu implementieren.
Ein Protokoll zur gemeinsamen Nutzung von Schlüsseln zwischen Teilnehmern (Inter-party Key Sharing Protocol) ist ein Protokoll, das verwendet wird, um die Geheimhaltung bei durch die Netzwerke übertragenen Daten zu bewahren. Ein Standardprotokoll ist das Diffie-Hellman-Protokoll, das auf der Schwierigkeit beruht, ein Problem der diskreten Logarithmen mit Ellipsenkurvenkryptographie zu lösen. Das Diffie-Hellman-Protokoll basiert auf einer Verschlüsselung mit öffentlicher Schlüsselinfrastruktur (PKI, Public Key Infrastructure). Die PKI-Verschlüsselung weist jedoch Unzulänglichkeiten darin auf, dass es notwendigerweise die Beteiligung eines zuverlässigen Authentifizierungszentrums umfasst, da Integrität eines öffentlichen Schlüssels durch das Authentifizierungszentrum garantiert sein muss.
Wegen der Unzulänglichkeiten der PKI-Verschlüsselung wurde viel Forschungsarbeit auf ein Schlüsselnutzungsprotokoll auf ID-Basis verwendet, das nicht auf PKI-Verschlüsselung beruht. Leider haben herkömmliche Schlüsselnutzungsprotokolle auf ID-Basis Probleme damit, dass sie für versteckte Angriffe anfällig sind und keine fortgesetzte Geheimhaltung (Forward Secrecy) bereitstellen können.
EP 739105 beschreibt Verfahren zur Signatur- und Schlüsselerzeugung. In einer Ausführungsform erzeugt jedes Teilnehmerpaar ein Paar zufälliger Zahlen. Es wird ein Konferenzschlüssel aus einer Zufallszahl von jedem der Teilnehmerpaare ermittelt. In einer anderen Ausführungsform, wird ein Schlüsselaustauschprotokoll beschrieben.
Xu und Tilborg, ISIT Sorrento 2000, Juni 2000, Seite 269 beschrieben "a new identity-based conference key distribution scheme". Jeder Benutzer erzeugt eine Zufallszahl. Ein Benutzer initiiert den Austausch, sendet eine Nachricht an andere Benutzer und erhält Antworten. Der eine Benutzer errechnet einen Konferenzschlüssel und verwendet ihn zur Verschlüsselung der Benutzer-ID. Es wird eine Nachricht an alle anderen Benutzer gesendet, die den Konferenzschlüssel daraus errechnen und verwenden, um die ID zu überprüfen.
Gemäß einem Aspekt der vorliegenden Erfindung wird ein Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu einer Mehrzahl von Konferenzteilnehmerparteien in einer einzigen Konferenzsitzung auf einem ID-basierten kryptographischen System nach Anspruch 1 zur Verfügung gestellt.
Gemäß einem Aspekt der vorliegenden Erfindung wird ein Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu einer Mehrzahl von Konferenzteilnehmerparteien in einer einzigen Konferenzsitzung auf einem ID-basierten kryptographischen System nach Anspruch 6 zur Verfügung gestellt. Gemäß einem anderen Aspekt der vorliegenden Erfindung wird ein Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu Konferenzteilnehmerparteien in einer einzigen Konferenzsitzung auf einem ID-ba sierten kryptographischen System nach Anspruch 11 zur Verfügung gestellt.
Gemäß einem anderen Aspekt der vorliegenden Erfindung wird ein Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu Konferenzteilnehmerparteien in einer einzigen Konferenzsitzung auf einem ID-basierten kryptographischen System nach Anspruch 15 zur Verfügung gestellt.
Die vorliegende Erfindung stellt ein Verfahren zur Verteilung eines Konferenzsitzungsschlüssels zur Verfügung, das in der Lage ist, einem versteckten Angriff zu widerstehen und eine fortgesetzte Geheimhaltung bereitzustellen.
Die vorliegende Erfindung stellt auch ein computerlesbares Speichermedium zur Verfügung, das ein Programm enthält, mit dem ein Verfahren zur Verteilung eines Konferenzschlüssels auf einem Computer ausgeführt wird.
Die obigen und weitere Merkmale und Vorteile der vorliegenden Erfindung werden besser ersichtlich aus einer ausführlichen Beschreibung exemplarischer Ausführungsformen mit Bezug zu den begleitenden Zeichnungen, in denen:
1 ein Konzeptdiagramm ist, das ein kryptographisches System unter Verwendung eines Problems der diskreten Logarithmen in einem finiten Feld darstellt; und
2 ein Fließbild ist, das Schritte eines Verfahrens zur Verteilung eines Konferenzsitzungsschlüssels gemäß der vorliegenden Erfindung darstellt.
Die vorliegende Erfindung und ihre funktionellen Vorteile werden durch Bezugnahme zu den begleitenden Zeichnungen und die Erläuterungen vollkommen verständlich.
Nun wird ein Verfahren zur Verteilung eines Konferenzsitzungsschlüssels gemäß der vorliegenden Erfindung mit Bezug zu den begleitenden Zeichnungen ausführlich beschrieben.
1 ist ein Konzeptdiagramm, das ein kryptographisches System unter Verwendung eines Problems der diskreten Logarithmen in einem finiten Feld darstellt.
Das kryptographische System gemäß der vorliegenden Erfindung beruht auf der Schwierigkeit, ein Problem diskreter Logarithmen in einer Ellipsenkurvenkryptographiegruppe zu lösen. Der diskrete Logarithmus in der Ellipsenkurvenkryptographiegruppe ist ein Logarithmus, der eine Ellipsenkurvenadditionsgruppe verwendet, die in einem finiten Feld definiert ist, das heißt, der Definitionsdomäne. Es ist bekannt, dass ein Problem in der diskreten Logarithmenfunktion im finiten Feld statt im realen Zahlenfeld schwierig zu lösen ist, weil die Abschätzung unter Verwendung eines einfachen Größenvergleichs nicht verfügbar ist. Bei der vorliegenden Erfindung wird die Verschlüsselung von Daten unter Nutzung der Schwierigkeit beim Lösen des diskreten Logarithmenproblems durchgeführt.
Beim kryptographischen System unter Verwendung des diskreten Logarithmenproblems im finiten Feld verwenden Parteien, die an der Datenverschlüsselung teilnehmen, zwei Variablen p und g gemeinsam. Die Variable p ist eine ausreichend große Primzahl, die in Abhängigkeit von der Sicherheit des kryptographischen Systems bestimmt wird. Die Variable g ist eine Grundlage für die Multiplikationsgruppe des finiten Felds, die einen Divisor q in der Größenordnung von p-1 aufweist. Zwei Par teien A und B wählen ihre eigenen Geheimschlüssel x_a und x_b, ganze Zahlen zwischen 1 und q-1. Die Parteien errechnen ihre eigenen öffentlichen Schlüssel y_a und y_b unter Verwendung ihrer eigenen Geheimschlüssel, wie es in den folgenden Gleichungen 1 und 2 dargestellt ist.
[Gleichung 1]

ya = gxa mod p

[Gleichung 2]

yb = gxb mod p

Die beiden Parteien A und B tauschen die öffentlichen Schlüssel aus, und verwenden einen gemeinsamen Schlüssel K gemeinsam, der aus den öffentlichen Schlüsseln der Gegenparteien und ihren eigenen Geheimschlüsseln unter Verwendung der folgenden Gleichung 3 ermittelt sind.
[Gleichung 3]

K = gxaxb mod p

Die Partei A errechnet den gemeinsamen Schlüssel K unter Verwendung ihres eigenen Geheimschlüssels x_a und des öffentlichen Schlüssels x_b der Partei B, wie es in der folgenden Gleichung 4 dargestellt ist. Die Partei B errechnet den gemeinsamen Schlüssel K unter Verwendung ihres eigenen Geheimschlüssels x_b und des öffentlichen Schlüssels x_a der Partei A, wie es in der folgenden Gleichung 5 dargestellt ist.
[Gleichung 4]

K = yb xa = (gxb)xa = gxaxb mod p

[Gleichung 5]

K = ya xb = (gxa)xb = gxaxb mod p

Obwohl jeder Angreifer den öffentlichen Schlüssel kennt, muss er das diskrete Logarithmenproblem im kryptographischen System lösen. Deshalb ist der Geheimschlüssel des Benutzers nicht offenbart.
Beim Diffie-Hellman-Verfahren, das im Grund das in 1 dargestellte System verwendet, müssen bei einer praktischen Anwendung bei jedem Kommunikationsvorgang beide Nutzer temporär ihre eigenen Geheimschlüssel und öffentlichen Schlüssel erzeugen.
Harn und Yang haben ein kryptographisches System vorgeschlagen, um die Unzulänglichkeit bei gemeinsamer Verwendung eines temporären Schlüssels bei jeder Kommunikationssession unter Verwendung von Identifizierungs(ID)-Information zu lösen. Das System wird als ID-basiertes Kryptographiesystem bezeichnet.
Außerdem haben Xu und Tilborg ein Protokoll zur gemeinsamen Schlüsselbenutzung für mehrere Parteien unter Verwendung des Verfahrens von Harn und Yang vorgeschlagen. Das Mehrparteienschlüsselnutzungsprotokoll ist ein Protokoll, das gemeinsame Schlüsselnutzung bei mehr als drei Parteien implementiert und ein Schlüsselverteilungsprotokoll und ein Schlüsselvereinbarungsprotokoll (Key-Agreement Protocol) beinhaltet. Das Schlüsselverteilungsprotokoll ist ein Protokoll, bei dem eine Konferenzauslösepartei einen Schlüssel erzeugt und den Schlüssel sicher zu den anderen Parteien als gemeinsamen Schlüssel verteilt. Das Schlüsselvereinbarungsprotokoll ist ein Protokoll, bei dem ein allgemeiner Schlüssel für alle teilnehmenden Parteien gemeinsam verarbeitet wird, damit er als gemeinsamer Session-Key verwendet wird.
Das Verfahren von Xu und Tilborg ist ein Schlüsselverteilungsprotokoll, das einen ID-basiertes Kryptographiesystemimplementierungsschritt und einen Schlüsselnutzungsprotokollschritt umfasst. Das ID-basierte kryptographische System verwendet das Verfahren von Harn und Yang.
Die an jeder Konferenzsitzung teilnehmenden Parteien werden in eine Konferenzauslösepartei A und Konferenzteilnehmerparteien B und C klassifiziert.
Beim Implementierungsschritt des ID-basierten kryptographischen Systems stellt ein Schlüsselauthentifizierungszentrum (KAC, Key Authentification Center) seinen eigenen öffentlichen Schlüssel y zur Verfügung. Die Parteien i (i = A, B, C), die an der Sitzung teilnehmen, kennen öffentliche Schlüsselparameter G, p, α, y und f. Der Parameter G ist eine Multiplikationsgruppe GF(P)* eines finiten Felds umfassend ganze Zahlen des modulo p. Der Parameter p ist eine ausreichend große Primzahl. Der "modulo p" ist ein Operator, dessen Ergebnis ein Rest der Division von p ist. Die Gruppe G hat den Parameter α als Grundlage. Der Parameter f ist eine Hash-Funktion. Jede Partei i besitzt einen geheimen s_i und einen öffentlichen Schlüssel r_i, der vom KAC bereitgestellt ist.
Die Schritte des Schlüsselnutzungsprotokolls von Xu und Tilborg sind wie folgt.
Schritt 1). Die Partei A wählt eine ganze Zahl v₁, die wie p-1 Primzahl ist, zwischen den ganzen Zahlen 1 und p-1.
Schritt 2). Die Partei A erzeugt temporäre öffentliche Schlüssel w₁ und η₁, die jeweils in den folgenden Gleichungen 6 und 7 dargestellt sind.
[Gleichung 6]

w1 = yv1 (mod p)

[Gleichung 7]

η1 = (f(ID1, zeit) – v1w1)s1 –1 (mod p-1)

In Gleichung 7 bezeichnet ID₁ Information zur Partei A und zeit bezeichnet Zeitinformation zur Zeit der Erzeugung von Gleichung 7.
Schritt 3). Die Partei A erzeugt eine Mitteilung (ID₁, r₁, w₁, η₁, zeit) und transportiert die Mitteilung zu den Teilnehmerparteien B und C der Sitzung.
Schritt 4). Die Teilnehmerparteien B und C der Sitzung empfangen die Mitteilung (ID₁, r₁, w₁, η₁, zeit) und bestimmen, dass die Mitteilung die folgende Gleichung 8 erfüllt.
[Gleichung 8]

yf(ID1,zeit) = w1 w1 (αEID1r1 –r1)η1 (mod p)

In Gleichung 8 gilt EID₁ = f(ID₁).
Wenn die Mitteilung von einer zulässigen Konferenzauslösepartei gesendet ist, erfüllt sie die Gleichung 8. Deshalb kann die Gültigkeit der von der Partei A gesendeten Mitteilung unter Verwendung der Gleichung 8 vollständig bestimmt werden. Im Falle, wo die Gleichung 8 erfüllt ist, geht das Protokoll zum nächsten Schritt über. Ansonsten wird das Protokoll beendet.
Schritt 5). Die Teilnehmerparteien B und C der Sitzung wählen jeweils ganze Zahlen V_B und V_C, die wie p-1 Primzahlen sind, zwischen den ganzen Zahlen 1 und p-1.
Schritt 6). Die Teilnehmerparteien B und C der Sitzung erzeugen ihre eigenen Parameter w_j, n_j und η_j unter Verwendung der ausgewählten ganzen Zahl v_j (j = B, C) wie es in den folgenden Gleichungen 9 bis 11 dargestellt ist.
[Gleichung 9]

wj = yvj (mod p)

[Gleichung 10]

ηj = wj vj (mod p)

[Gleichung 11]

ηj = (nj – vjwj)sj –1 (mod p-1)

Schritt 7). Die Teilnehmerparteien B und C der Sitzung erzeugen ihre eigenen Mitteilungen (ID_j, r_j, w_j, n_j, η_j) und transportieren die Mitteilungen zur Konferenzauslösepartei A.
Schritt 8). Die Konferenzauslösepartei A bestimmt, dass die Miteilungen die folgende Gleichung 12 erfüllen, unter Verwendung der Variablen, die von den Teilnehmerparteien B und C empfangen wurden.
[Gleichung 12]

ynj= wj wj (αEIDjrj –rj)ηj (mod p)

In Gleichung 12 gilt EID_j = f(ID_j).
Wenn die Mitteilung von einer zulässigen Konferenzteilnehmerpartei gesendet ist, erfüllt sie die Gleichung 12. Wenn die Mitteilung von einer unzulässigen Konferenzteilnehmerpartei gesendet ist, erfüllt sie die Gleichung 12 nicht. Deshalb kann die Gültigkeit der von den Konferenzteilnehmerparteien B und C gesendeten Mitteilung unter Verwendung der Gleichung 12 vollständig bestimmt werden. Im Falle, wo die Gleichung 12 erfüllt ist, geht das Protokoll zum nächsten Schritt über. Ansonsten wird das Protokoll beendet.
Schritt 9). Die Konferenzauslösepartei A wählt eine ganze Zahl r zwischen 1 und p-1 und erzeugt einen gemeinsamen Schlüssel K_c und eine Variable z_j, die durch die folgenden Gleichungen 13 bzw. 14 dargestellt sind.
[Gleichung 13]

Kc = yr (mod p) [Gleichung 14)
Schritt 10). Die Konferenzauslösepartei A erzeugt E_KC(ID₁) durch Verschlüsseln ihrer eigenen ID-Information ID₁ mit dem gemeinsamen Schlüssel K_c. Hier bezeichnet das Symbol E einen Verschlüsselungsalgorithmus.

Schritt 11). Die Konferenzauslösepartei A transportiert eine Mitteilung (z,, E_KC(ID₁)) an die Parteien, die die Mitteilungen gesendet haben, die Gleichung 12 erfüllen.
Schritt 12). Die Partei j errechnet ein inverses Element v_j ^–1 der ganzen Zahl v_j im modulo p-1 und den gemeinsamen Schlüssel K_c unter Verwendung des inversen Elements v_j ^–1 wie es in den folgenden Gleichung 15 dargestellt ist. (Gleichung 15]
E_KC(ID₁) wird mit dem gemeinsamen Schlüssel K_c verschlüsselt, der aus Gleichung 15 erhalten ist, und es wird bestimmt, dass ID₁ gültig ist. Wenn ID₁ gültig ist, wird das Verschlüsselungsprotokoll unter Verwen dung des gemeinsamen Schlüssels K_c fortgesetzt. Wenn nicht, wird das Protokoll beendet.
Leider kann das durch die zuvor genannten Schritte ausgeführte Mehrparteienschlüsselnutzungsprotokoll von Xu und Tilborg keine Funktionen zur Verhinderung eines versteckten Angriffs und Gewährleistung fortgesetzter Sicherheit aufweisen, die für ein Mehrparteienschlüsselnutzungsprotokoll von Bedeutung sind.
Der versteckte Angriff wird von einem Angreifer ausgeführt, der ID-Information einer Partei verwendet, die an der Konferenz teilnimmt, um in das Protokoll einzugreifen. In diesem Fall ist es notwendig, den versteckten Angriff zu erkennen und zu verhindern. Das Protokoll von Xu und Tilborg kann jedoch den versteckten Angriff nicht erkennen. Dies liegt daran, dass die folgende Gleichung 16 mit den Parametern w_j und n_j mit der selben Variable v_j erfüllt wird, wie es in den Gleichungen 9 und 10 dargestellt ist.
[Gleichung 16]

nj = wj vj

Der Angreifer erzeugt einen gemeinsamen Schlüssel K_c' und eine Variable z_j', die durch die folgenden Gleichungen 17 bzw. 18 dargestellt sind, verschlüsselt in Schritt 9 ID-Information ID₁ unter Verwendung des gemeinsamen Schlüssels K_c' und der Variable z_j' und transportiert eine Mitteilung (z_j', E_KC'(ID₁)) an die Konferenzteilnehmerparteien.
[Gleichung 17]

Kc' = yr' (mod p)

[Gleichung 18]

zj' = wj r'(mod p)

Die Konferenzteilnehmerparteien führen das Protokoll durch, wobei sie die Mitteilung fälschlicherweise für eine gültige Mitteilung halten. Dies liegt daran, dass der gemeinsame Schlüssel K_c' unter Verwendung der folgenden Gleichung 19 errechnet wird und die ID-Information ID₁ durch Verschlüsseln von E_KC'(ID₁) unter Verwendung des gemeinsamen Schlüssels K_C' ermittelt wird. [Gleichung 19]
Außerdem berechnet der Angreifer den gemeinsamen Schlüssel K_c' und die Variable z_j', die durch die folgenden Gleichungen 20 bzw. 21 dargestellt sind, verschlüsselt in Schritt 9 ID-Information ID₁ unter Verwendung des gemeinsamen Schlüssels K_C' und der Variable z_j' und transportiert eine Mitteilung (z_j', E_KC'(ID₁)) an die Konferenzteilnehmerparteien.
[Gleichung 20]

Kc' = w1 r' (mod p)

[Gleichung 21]

zj' = nj r' (mod p)

Die Konferenzteilnehmerparteien führen das Protokoll durch, wobei sie die Mitteilung fälschlicherweise für eine gültige Mitteilung halten. Dies liegt daran, dass der gemeinsame Schlüssel K_C' unter Verwendung der folgenden Gleichung 22 errechnet wird und die ID-Information ID₁ durch Entschlüsseln von E_KC'(ID₁) unter Verwendung des gemeinsamen Schlüssels K_C' ermittelt wird. [Gleichung 22]
Der Grund, dass die Konferenzteilnehmerparteien den versteckten Angriff des Angreifers nicht erkennen können, liegt darin, dass die Parteien, die die Variablen z_j empfangen, die gemeinsamen Konferenzschlüssel unter Verwendung nur ihrer eigenen ausgewählten ganzen Zahl v_j erzeugen, ungeachtet der ausgewählten ganzen Zahl v₁ der Konferenzauslösepartei. Dementsprechend besteht eine Notwendigkeit, das Verfahren zum Erzeugen der Variablen z_j zu verbessern.
Die fortgesetzte Geheimhaltung ist eine Sicherheit, dass, wenn permanente Geheimschlüssel (Langzeitschlüssel) s_i (i = A, B, C) für mehr als eine Partei, die am Protokoll teilnimmt, offenbart werden, der Angreifer Information zu Schlüsseln der vergangenen Sitzungen unter Verwendung der offenbarten Langzeitschlüssel nicht erfahren kann. Wenn ein permanenter Geheimschlüssel in einem kryptographischen System offenbart wird, bei dem die fortgesetzte Geheimhaltung nicht gewährleistet ist, können alle Daten in der vergangenen Verschlüsselungssitzung offenbart werden, selbst im Falle der Ausbildung des Systems durch Erzeugen eines neuen Geheimschlüssels.
Beim Protokoll von Xu und Tilborg wird der Geheimwert v_j, der zum Ermitteln des gemeinsamen Schlüssels von Gleichung 15 verwendet wird, in Gleichung 11 so verwendet wie er ist. Im Falle, dass der Geheimschlüssel s_j der Teilnehmerpartei j offenbart wird, kann der Angreifer, wenn er in der vergangenen Sitzung transportierte Miteilungen erhält, den Geheimwert v_j unter Verwendung der Gleichung 11 mit den bekannten Werten der Parameter w_j, n_j und η_j und dem früheren gemeinsamen Schlüssel unter Verwendung der Gleichung 15 errechnen. Als Folge davon, kann die Geheimhaltung der in den früheren Sitzungen verschlüsselten Daten nicht gewährleistet werden.
Außerdem ist ein potentieller Schwachpunkt im Protokoll von Xu und Tilborg vorhanden, bei dem die Signatur für die Authentifizierung gefälscht werden kann. Beim Vergleich der Gleichungen 9 und 11 mit dem Signaturerzeugungsverfahren von Schnorr, entspricht der Parameter η_j einer Mitteilung und die Parameter w_j und n entsprechen Signaturwerten. Im Allgemeinen wird die Signaturwerterzeugung, die zum Zeitpunkt des Schreibens der Signatur durch Anwendung einer Hash-Funktion auf die Mitteilung durchgeführt wird, als unerlässliche Prozedur betrachtet, um Signaturfälschungen zu vermeiden.
Wenn hingegen der Angreifer die Werte der Parameter w_j, n_j und η_j kennt, können die Parameter w_j', n_j' und η_j', die die Gleichung 12 erfüllen, erzeugt werden, wie es in den Gleichungen 23 bis 25 dargestellt ist. In diesem Fall ist ein potentieller Schwachpunkt, dass ein Angreifer versteckt sein kann, obwohl er den Schlüssel nicht mitbenutzen kann.
(Gleichung 23]

wj' = (wj)t (mod p-1)

[Gleichung 24]

nj' = nj t wj

[Gleichung 25]

ηj' = ηj t wj

2 ist ein Fließbild, das Schritte eines Verfahrens zur Verteilung eines Konferenzsitzungsschlüssels gemäß der vorliegenden Erfindung darstellt. Die beim Schlüsselverteilungsverfahren beteiligten Parteien werden in eine Konferenzauslösepartei A und Konferenzteilnehmerparteien B, C, D ... klassifiziert. Im Protokoll wird die Konferenzauslösepartei manchmal Chairperson genannt, weil die Konferenzauslösepartei bei einer Konferenz den Vorsitz zu haben scheint.
Beim ID-basierten kryptographischen System umfasst ein Schlüsselvetteilungsprotokoll für eine Konferenzsitzung einen Implementierungsschritt für ein ID-basiertes kryptographisches System und einen Protokollschritt für gemeinsame Schlüssel. Das ID-basierte kryptographische System ist mit einem Signaturbereitstellungssystem konstruiert. Wenn im System ein öffentlicher Schlüssel aus persönlicher ID-Information abgeleitet werden kann oder zuvor bereitgestellt wurde, kann der Transport des öffentlichen Schlüssels übergangen werden. Hingegen im Fall, dass die Information des öffentlichen Schlüssels benötigt wird, wie im Fall, wo eine Signatur authentifiziert werden muss, wird der öffentliche Schlüssel transportiert.
Nun werden die exemplarischen Ausführungsformen des Protokolls für gemeinsame Schlüssel, das im von Harn und Yang vorgeschlagenen ID-basierten kryptographischen System verwendet wird, beschrieben.
Alle Parteien, die an der Sitzung teilnehmen, kennen öffentliche Schlüsselparameter G, p, q, α, y und f. Der Parameter G, der eine Teilgruppe einer Gruppe GF(P)* ist, ist eine finite Gruppe mit einer ausreichend großen Primzahl p als Größenordnung. Der Parameter q ist eine ausreichend große Primzahl und die zugeordnete ganze Zahl q-1 weist p als Faktor auf. In der Ausführungsform wird eine Operation bezüglich der Gruppe G durch eine Multiplikation dargestellt. Die Gruppe G hat den Parameter α als Grundlage. Der Parameter y ist ein öffentlicher Schlüssel vom KAC. Der Parameter f ist eine Hash-Funktion. Jede Partei i (i = A, B, C,...) besitzt einen Geheimschlüssel s₁ und einen öffentlichen Schlüssel r_i, der von KAC bereitgestellt wird.
Beim kryptographischen System von Harn und Yang erfüllen die ID-Information, der öffentliche Schlüssel und der Geheimschlüssel die folgende Gleichung 26.
[Gleichung 26]

ysi = αf(IDi)(ri ri)–1 mod q

Die Schritte des Verteilungsverfahrens für gemeinsame Schlüssel gemäß der vorliegenden Erfindung sind wie folgt.
Die Partei A wählt zwei Zufallszahlen u₁ und v₁ zwischen den ganzen Zahlen 1 und p-1 aus. Die beiden Zahlen u₁ und v₁ werden temporäre Geheimschlüssel für die Sitzung. In einem Fall, bei dem das Operationszeitintervall der Zufallsfunktion länger ist als das der Hash-Funktion, kann ein durch Hash-Funktion des temporären Geheimschlüssels u₁ ermittelter Wert als der temporäre Geheimschlüssel v₁ verwendet werden, um das Operationszeitintervall zu verringern.
Die temporären öffentlichen Schlüssel w₁ und n₁, die in den folgenden Gleichungen 27 bzw. 28 dargestellt sind, werden unter Verwendung der temporären Geheimschlüssel u₁ und v₁ erzeugt (S100). Diese sind temporäre öffentliche Schlüssel bei der Sitzung.
[Gleichung 27]

w1 = yv1 (mod q)

[Gleichung 28]

n1 = w1 u1 (mod q)

Der durch die folgende Gleichung 29 dargestellte Signaturwert η₁ wird unter Verwendung der temporären Geheimschlüssel, der temporären öffentlichen Schlüssel, einem permanenten Geheimschlüssel, der ID-Information ID₁ der Partei A und Zeitinformation zeit erzeugt (S110).
[Gleichung 29]

η1 = (f(n1, ID1, zeit)-v1w1)s1 –1(mod p)

Die Partei A erzeugt eine Mitteilung (ID₁, r₁, w₁, n₁, η₁, zeit) 5 und transportiert die Mitteilung 5 zu den Konferenzteilnehmerparteien (S120).
Die Konferenzteilnehmerparteien empfangen die Mitteilung (ID₁, r₁, w₁, n₁, η₁, zeit) 5 und bestimmen, dass die Mitteilung 5 die folgende Gleichung 30 erfüllt (S200).
[Gleichung 30]

yf(n1, ID1, zeit) = w1 w1 (aEID1r1 –r1)η1 (mod q)

In Gleichung 30 gilt EID₁ = f(ID₁).
Wenn die Mitteilung 5 von einer zulässigen Konferenzauslösepartei gesendet ist, erfüllt sie die Gleichung 30. Wenn die Mitteilung 5 von einer unzulässigen Konferenzauslösepartei gesendet ist, erfüllt sie die Gleichung 30 nicht. Deshalb kann die Gültigkeit der von der Partei A gesendeten Mitteilung unter Verwendung der Gleichung 30 vollständig bestimmt werden. Im Falle, dass die Gleichung 30 erfüllt ist, geht das Protokoll weiter zum nächsten Schritt. Ansonsten wird das Protokoll beendet (S210).
Jede Konferenzteilnehmerpartei wählt nach dem Zufallsprinzip zwei ganze Zahlen u_j und v_j (j = B, C, D,...) zwischen den ganzen Zahlen 1 und p-1 aus. Die beiden Zahlen werden temporäre Geheimschlüssel der entsprechenden Konferenzteilnehmerpartei. In einem Fall, bei dem das Operationszeitintervall der Zufallsfunktion länger ist als das der Hash-Funktion, kann ein durch Hash-Funktion des temporären Geheimschlüssels u_j ermittelter Wert als der temporäre Geheimschlüssel v_j verwendet werden, um das Operationszeitintervall zu verringern.
Die temporären öffentlichen Schlüssel w_j und n_j, die in den folgenden Gleichungen 31 bzw. 32 dargestellt sind, werden unter Verwendung der temporären Geheimschlüssel u_j und v_j jeder der Konferenzteilnehmerparteien erzeugt (S220). Diese temporären öffentlichen Schlüssel werden Parameter, die zum Erzeugen von Konferenzschlüssen verwendet werden.
[Gleichung 31]

wj = yvj (mod q)

[Gleichung 32]

nj = W1 uj (mod q)

Der durch die folgende Gleichung 33 dargestellte Signaturwert η_j wird unter Verwendung der temporären Geheimschlüssel, der temporären öffentlichen Schlüssel, einem permanenten Geheimschlüssel und der ID-Information ID_j der Partei j (j = B, C, D,...) in der Signaturfunktion erzeugt (S230).
[Gleichung 33]

ηj = (f(nj)-vjwj)sj –1(mod p)

Jede Konferenzteilnehmerpartei erzeugt ihre eigene Mitteilung (ID_j, r_j, w_j, n_j, η_j) 10 und transportiert die Mitteilung 10 zur Konferenzauslösepartei A (S240).
Die Konferenzauslösepartei A empfängt die Mitteilungen 10 und bestimmt, dass die Mitteilungen 10 die folgende Gleichung 34 erfüllen, wobei die empfangenen Variablen verwendet werden (S300).
[Gleichung 34]

yf(nj) = wj wj (aEIDjrj –rj)ηj (mod q)

In Gleichung 34 gilt EID_j = f(ID_j).
Wenn die Mitteilung 10 von einer zulässigen Konferenzteilnehmerpartei gesendet ist, erfüllt sie die Gleichung 34. Wenn die Mitteilung 10 von einer unzulässigen Konferenzteilnehmerpartei gesendet ist, erfüllt sie die Gleichung 34 nicht. Deshalb kann die Gültigkeit der von jeder Konferenzteilnehmerpartei gesendeten Miteilung unter Verwendung der Gleichung 34 vollständig bestimmt werden. Wenn die Gleichung 34 erfüllt ist, geht das Protokoll zum nächsten Schritt über. Ansonsten wird das Protokoll beendet (S310).
Die Konferenzauslösepartei A erzeugt einen gemeinsamen Schlüssel K_c und eine Variable z_j, die zum Erzeugen der gemeinsamen Schlüssel bei den Konferenzteilnehmerparteien verwendet werden, die in den folgenden Gleichungen 35 bzw. 36 dargestellt sind (S320). Die Konferenzauslösepartei A erzeugt E_Kc(ID₁) durch Verschlüsseln ihrer eigenen ID-Information ID₁ mit dem gemeinsamen Schlüssel K_C (S330). Hier bezeichnet das Symbol E einen Verschlüsselungsalgorithmus.
[Gleichung 35]

Kc = n1 u1 (mod q)

[Gleichung 36]

zj = (n1·nj)u1 (mod q)

Die Konferenzauslösepartei A transportiert die Mitteilung (z_j, Ek_KC(ID₁)) 15 zu den Konferenzteilnehmerparteien, die die Mitteilungen 10 gesendet haben, die in Schritt S310 als gültig bestimmt wurden (S340).
Die Konferenzteilnehmerparteien, die die Mitteilungen 15 empfangen haben, errechnen die gemeinsamen Schlüssel K_C, die in der folgenden Gleichung 37 dargestellt sind (S400).
[Gleichung 37]

Kc = zj·(n1 uj)–1 (mod q)

Die ID-Information wird durch Entschlüsseln von E_KC(ID₁) mit dem gemeinsamen Schlüssel K_C, der aus der Gleichung 37 erhalten ist (S410), ermittelt und es wird bestimmt, dass ID₁ zur ID-Information ID₁ identisch ist, die in der Mitteilung 15 erhalten ist (S240). Wenn die ID-Information der Konferenzauslösepartei A identisch ist, wird das Verschlüsselungsprotokoll unter Verwendung des gemeinsamen Schlüssels K_C fortgesetzt. Wenn nicht, wird das Protokoll beendet.
Nun werden exemplarische Ausführungsformen des Protokolls zur gemeinsamen Schlüsselnutzung gemäß der vorliegenden Erfindung beschrieben, das im ID-basierten kryptographischen System unter Verwendung einer Weil-Pairing-Funktion, die in einer Ellipsenkurven-Verschlüsselungsgruppe definiert ist, verwendet wird.
Alle Parteien, die an der Sitzung teilnehmen, kennen öffentliche Schlüsselparameter G, p, q, α, y, e, f₁, f₂ und f₃. Der Parameter G ist eine finite Gruppe mit einer ausreichend großen Primzahl p als Ordnung. Die Gruppe G hat den Parameter α als Grundlage. Der Parameter y ist ein öffentlicher Schlüssel vom KAC. Der Parameter e ist eine Weil-Pairing-Funktion, die in einer elliptischen Kurve definiert ist. Die Parameter f, und f₂ sind Hash-Funktionen, die im Feld ganzer Zahlen definiert sind. Der Parameter f₃ ist eine Hash-Funktion, die in der Gruppe G definiert ist. In der Ausführungsform ist eine Operation bezüglich der Gruppe G als Addition dargestellt. Der Ausdruck [x]y bezeichnet einen Wert der x-fachen Addition des Elements y der Gruppe G.
Jede Partei i (i = A, B, C,...) besitzt einen Geheimschlüssel s_i und einen öffentlichen Schlüssel r_i, der vom KAC bereitgestellt ist. Der öffentliche Schlüssel r_i ist ein Wert, der aus der ID-Information ID_i jeder Partei i ab geleitet ist. Der Geheimschlüssel s_i wird unter Verwendung der folgenden Gleichung 38 errechnet.
[Gleichung 38]

si = [s]·ri

Der Wert s in Gleichung 38 ist nur dem KAC bekannt und erfüllt die folgende Gleichung 39.
[Gleichung 39]

y = [s]α

Schritte des Verfahrens zur Verteilung eines gemeinsamen Konferenzschlüssels gemäß der vorliegenden Erfindung sind wie folgt.
Die Partei A wählt nach dem Zufallsprinzip zwei ganze Zahlen u₁ und v₁ zwischen 1 und p-1 aus. Die beiden Zahlen u₁ und v₁ werden temporäre Geheimschlüssel für die Sitzung. In einem Fall, bei dem das Operationszeitintervall der Zufallsfunktion länger ist als das der Hash-Funktion, kann ein durch Hash-Funktion des temporären Geheimschlüssels u₁ ermittelter Wert als der temporäre Geheimschlüssel v₁ verwendet werden, um das Operationszeitintervall zu verringern.
Die temporären öffentlichen Schlüssel w₁ und n₁, die in den folgenden Gleichungen 40 bzw. 41 dargestellt sind, werden unter Verwendung der temporären Geheimschlüssel u₁ und v₁ erzeugt (S100).
[Gleichung 40]

w1 = [v1]α

[Gleichung 41]

n1 = [u1] w1

Der in der folgenden Gleichung 42 dargestellte Signaturwert η₁ wird unter Verwendung der temporären Geheimschlüssel, der temporären öffentlichen Schlüssel, eines permanenten Geheimschlüssels, der ID-Information ID₁ der Partei A und Zeitinformation zeit (S110) erzeugt.
[Gleichung 42]

η1 = [v1 –1]([f2(f3(n1), ID1, zeit)]α + [f3(w1)]s1)

Die Partei A erzeugt eine Mitteilung (ID₁, w₁, n₁, η₁, zeit) 5 und transportiert die Mitteilung 5 zu den Konferenzteilnehmerparteien (120).
Die Konferenzteilnehmerparteien empfangen die Mitteilung (ID₁, w₁, n₁, η₁, zeit) 5 und bestimmen, dass die Mitteilung 5 die folgende Gleichung 43 erfüllt (5200).
[Gleichung 43]

e(w1, η1) = e(α, [f2(f3(n1), ID1, zeit)]α)·e(y, [f3(w1)]r1)

Wenn die Mitteilung 5 von einer zulässigen Konferenzauslösepartei gesendet ist, erfüllt sie die Gleichung 43. Wenn die Mitteilung 5 von einer unzulässigen Konferenzauslösepartei gesendet ist, erfüllt sie die Gleichung 43 nicht. Deshalb kann die Gültigkeit der von der Partei A gesendeten Mitteilung unter Verwendung der Gleichung 43 vollständig bestimmt werden. Im Falle, dass die Gleichung 43 erfüllt ist, geht das Protokoll weiter zum nächsten Schritt. Ansonsten wird das Protokoll beendet (S210).
Jede Konferenzteilnehmerpartei wählt nach dem Zufallsprinzip zwei ganze Zahlen u_j und v_j (j = B, C, D,...) zwischen 1 und p-1 als ihre temporären Geheimschlüssel aus und erzeugt ihre temporären öffentlichen Schlüssel w_j und n_j, die in den folgenden Gleichungen 44 bzw. 45 dar gestellt sind. Die temporären öffentlichen Schlüssel werden Parameter, die zum Erzeugen des Konferenzschlüssels verwendet werden. In einem Fall, bei dem das Operationszeitintervall der Zufallsfunktion länger ist als das der Hash-Funktion, kann ein durch Hash-Funktion des temporären Geheimschlüssels u_j ermittelter Wert als der temporäre Geheimschlüssel v_j verwendet werden, um das Operationszeitintervall zu verringern.
[Gleichung 44)

wj = [vj]α

[Gleichung 45]

nj = [uj]w1

Der in der folgenden Gleichung 46 dargestellte Signaturwert η_j wird unter Verwendung der temporären Geheimschlüssel, der temporären öffentlichen Schlüssel, eines permanenten Geheimschlüssels und der ID-Information ID_j der Partei j (j = B, C, D,...) in der Signaturfunktion erzeugt (S230).
[Gleichung 46)

ηj = [vj –1]([f3(nj)]α + [f3(w1)]sj)

Jede Konferenzteilnehmerpartei erzeugt ihre eigene Mitteilung (ID_j, w_j, n_j, η_j) 10 und transportiert die Mitteilung 10 zur Konferenzauslösepartei A (S240).
Die Konferenzauslösepartei A empfängt die Mitteilungen 10 und bestimmt, dass die Mitteilungen 10 die folgende Gleichung 47 erfüllen, wobei die empfangenen Variablen verwendet werden (S300).
[Gleichung 47]

e(wj, nj) = e(α, [f3(nj)]α·e(y, [f3(wj)]rj)

Wenn die Mitteilung 10 von einer zulässigen Konferenzteilnehmerpartei gesendet ist, erfüllt sie die Gleichung 47. Wenn die Mitteilung 10 von einer unzulässigen Konferenzteilnehmerpartei gesendet ist, erfüllt sie die Gleichung 47 nicht. Deshalb kann die Gültigkeit der von jeder Konferenzteilnehmerpartei gesendeten Mitteilung unter Verwendung der Gleichung 47 vollständig bestimmt werden. Wenn die Gleichung 47 erfüllt ist, geht das Protokoll zum nächsten Schritt über. Ansonsten wird das Protokoll beendet (S310).
Die Konferenzauslösepartei A erzeugt einen gemeinsamen Schlüssel K_c und eine Variable z_j, die zum Erzeugen der gemeinsamen Schlüssel bei den Konferenzteilnehmerparteien verwendet werden, die in den folgenden Gleichungen 48 bzw. 49 dargestellt sind (S320). Die Konferenzauslösepartei A erzeugt E_Kc(ID₁) durch Verschlüsseln ihrer eigenen ID-Information ID₁ mit dem gemeinsamen Schlüssel K_c(S330). Hier bezeichnet das Symbol E einen Verschlüsselungsalgorithmus.
[Gleichung 48]

Kc = [u1] n1

[Gleichung 49]

zj = [u1] (n1 + nj)

Die Konferenzauslösepartei A transportiert die Mitteilung (z_j, E_KC(ID₁)) 15 zu den Konferenzteilnehmerparteien, die die Mitteilungen gesendet haben, die in Schritt S310 als gültig bestimmt wurden (S340).
Die Konferenzteilnehmerparteien, die die Mitteilungen 15 empfangen haben, errechnen die gemeinsamen Schlüssel K_C, die in der folgenden Gleichung 50 dargestellt sind (S400).
[Gleichung 50]

Kc = zj – [uj] n1

Die ID-Information wird durch Entschlüsseln von E_KC(ID₁) mit dem gemeinsamen Schlüssel K_C, der aus der Gleichung 50 erhalten ist (S410), ermittelt und es wird bestimmt, dass ID₁ zur ID-Information ID₁ identisch ist, die in der Mitteilung 5 erhalten ist (S240). Wenn die ID-Information der Konferenzauslösepartei A identisch ist, wird das Verschlüsselungsprotokoll unter Verwendung des gemeinsamen Schlüssels K_C fortgesetzt. Wenn nicht, wird das Protokoll beendet.
Gemäß den exemplarischen Ausführungsformen des Verfahrens zur Verteilung eines gemeinsamen Konferenzschlüssels der vorliegenden Erfindung ist es möglich, einen versteckten Angriff zu verhindern, indem in den Schritten 100 und 220 zwei unterschiedliche temporäre Geheimschlüssel erzeugt werden, damit ein Angreifer die Werte der beiden temporären Geheimschlüssel nicht kennen kann, und die temporären Geheimschlüssel der Konferenzauslösepartei zum Zeitpunkt der Erzeugung der Konferenzschlüsselerzeugungsvariablen z_j verwendet werden. Außerdem ist es möglich, die fortgesetzte Geheimhaltung zu gewährleisten, indem ein Angreifer daran gehindert wird, die früheren gemeinsamen Schlüssel zu errechnen, selbst in einem Fall, wenn der Angreifer den permanenten Geheimschlüssel der an der Sitzung teilnehmenden Parteien kennt. Darüber hinaus ist es möglich, einen Angreifer daran zu hindern, dass er sich versteckt, ohne Schlüssel gemeinsam zu verwenden, indem der potentielle Schwachpunkt des Protokolls von Xu und Tilborg gelöst wird. Da es keinen erhöhten Rechenaufwand gibt, ist das Protokoll der vorliegenden Erfindung effektiver als das herkömmliche Protokoll.
Die vorliegende Erfindung kann mit Codes implementiert werden, die auf einem computerlesbaren Speichermedium aufgezeichnet sind. Der Computer beinhaltet alle Geräte mit Datenverarbeitungsfunktionen. Das computerlesbare Speichermedium beinhaltet alle Arten von Aufzeichnungsgeräten, die von den Computern gelesen werden können. Beispiele der computerlesbaren Geräte sind ROMs, RAMs, CD-ROMs, Magnetbänder, Floppy-Disks und optische Datenaufzeichnungsgeräte.
Während die vorliegende Erfindung insbesondere mit Bezug zu beispielhaften Ausführungsformen gezeigt und beschrieben wurde, versteht es sich für die Fachleute, dass verschiedene Veränderungen in Form und Details hierzu vorgenommen werden können, ohne den Rahmen der vorliegenden Erfindung zu verlassen, wie er durch die folgenden Ansprüche definiert ist.
Gemäß dem Verfahren zur Verteilung eines gemeinsamen Schlüssels der vorliegenden Erfindung ist es möglich, ein effektives ID-basiertes kryptographisches System zur Verfügung zu stellen, das in der Lage ist, einen versteckten Angriff zu verhindern und eine fortgesetzte Geheimhaltung zu gewährleisten, indem zwei unterschiedliche temporäre Geheimschlüssel ausgewählt werden, eine Mitteilung erzeugt wird und Variablen der Konferenzschlüsselerzeugung erzeugt werden, wobei temporäre Geheimschlüssel einer Konferenzauslösepartei verwendet werden.

Claims

Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu einer Mehrzahl von Konferenzteilnehmerparteien in einer einzigen Konferenzsitzung auf einem ID-basierten kryptographischen System über ein Computernetzwerk, wobei das Verfahren die Schritte umfasst, die bei der die Konferenzauslösepartei ausgeführt werden: (a) Erzeugen (s100) zweier temporärer Geheimschlüssel für die Konferenzauslösepartei, Erzeugen zweier temporärer öffentlicher Schlüssel für die Konferenzauslösepartei unter Verwendung der temporären Geheimschlüssel für die Konferenzauslösepartei und Erzeugen eines Signaturwerts, der durch Anwenden einer vorbestimmten Signaturfunktion auf die Schlüssel erhalten ist; (b) Transportieren einer Mitteilung (5) mit ID-Information der Konferenzauslösepartei, der temporären öffentlichen Schlüssel für die Konferenzauslösepartei und des Signaturwerts an die Konferenzteilnehmerparteien; (c) Empfangen von Mitteilungen (10) mit den temporären öffentlichen Schlüsseln für die Konferenzteilnehmerparteien von den Konferenzteilnehmerparteien und Bestimmen der Gültigkeit der Mitteilungen; (d) Erzeugen von Erzeugungsvariablen für die gemeinsamen Schlüssel für die Konferenzteilnehmerparteien, die gültige Mitteilungen gesendet haben; (e) Erzeugen des gemeinsamen Konferenzschlüssels (s320) unter Verwendung einer von zwei temporären Geheimschlüsseln für die Konferenzauslösepartei und des temporären öffentlichen Schlüssels für die Konferenzauslösepartei, der unter Verwendung des einen von zwei temporären Geheimschlüsseln erzeugt ist, und Verschlüsseln der ID-Information der Konferenzauslösepartei unter Verwendung des gemeinsamen Konferenzschlüssels; und (f) Transportieren einer Mitteilung (15) mit Erzeugungsvariablen für die gemeinsamen Schlüssel und der verschlüsselten ID-Information an die Konferenzteilnehmerparteien, die gültige Mitteilungen gesendet haben, worin das ID-basierte kryptographische System ein System ist, das eine Gleichung y^Si = a^f(IDi)(r_i ^ri)^–1 mod q bei einer finiten Gruppe G mit einer Ordnung p erfüllt, das heißt, eine Teilgruppe von GF(q)*, worin q eine ausreichend große Primzahl ist und die zugehörige ganze Zahl q-1 den Faktor p aufweist, und worin Parameter y, a, f, r_i, s_i und ID_i einen öffentlichen Schlüssel eines Schlüsselautentifizierungszentrums, eine Erzeugungsquelle der finiten Gruppe G, eine Hash-Funktion, einen öffentlichen Schlüssel für eine Partei i, einen Geheimschlüssel für die Partei i und ID-Information bezeichnen, worin der Schritt (a) die Schritte umfasst: (a1) statistisches Auswählen temporärer Geheimschlüssel u₁ und v₁ zwischen 1 und p-1; (a2) Erzeugen temporärer öffentlicher Schlüssel (s100) w₁ = y^v1 (mod q) und n₁ = w₁ ^u1 (mod q); und (a3) Erzeugen des Signaturwerts (s110) η₁ = (f(n₁, ID₁, zeit)-v₁w₁)s₁ ^–1(mod p), worin die Parameter ID₁ und zeit ID-Information der Konferenzauslösepartei und Zeitinformation bezeichnen.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu einer Mehrzahl von Konferenzteilnehmerparteien nach Anspruch 1, worin der Schritt (a1) die Schritte umfasst: (a11) statistisches Auswählen des ersten temporären Geheimschlüssels u₁ zwischen 1 und p-1; und (a12) Erzeugen des zweiten temporären Geheimschlüssels v₁ durch Anwenden der Hash-Funktion auf den ersten temporären Geheimschlüssel u₁.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu einer Mehrzahl von Konferenzteilnehmerparteien nach Anspruch 1 oder 2, worin der Schritt (c) die Schritte umfasst: (c1) Empfangen von Mitteilungen (ID_j, r_j, w_j, n_j, η_j) (10) von den Konferenzteilnehmerparteien, worin Parameter ID_j, r_j, w_j, n_j, und η_i ID-Information der Partei j, einen permanenten öffentlichen Schlüssel der Partei j, von der Partei j erzeugte temporäre öffentliche Schlüssel und einen von der Partei j erzeugten Signaturwert bezeichnen; und (c2) Bestimmen (s300), dass die von den Parteien j empfangenen Mitteilungen eine Gleichung y^f(nj) = w_j ^wj (a^EIDjr_j ^–ri)^nj (mod q) erfüllt, worin EID; = f(ID_j).
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu einer Mehrzahl von Konferenzteilnehmerparteien nach Anspruch 3, worin der Schritt (d) ein Schritt zum Erzeugen der Erzeugungsvariable für den öffentlichen Schlüssel z_j = (n₁·n_j)^u1 (mod q) für die Konferenzteilnehmerparteien ist, die die Gleichung in Schritt (c2) erfüllen.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu einer Mehrzahl von Konferenzteilnehmerparteien nach Anspruch 3 oder 4, worin der Schritt (e) die Schritte umfasst: (e1) Erzeugen des gemeinsamen Konferenzschlüssels K_c = n₁ ^u1 (mod q); (e2) Verschlüsseln der ID-Information der Konferenzauslösepartei unter Verwendung des gemeinsamen Konferenzschlüssels E_Kc(ID₁), worin E einen Verschlüsselungsalgorithmus bezeichnet.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu einer Mehrzahl von Konferenzteilnehmerparteien in einer einzigen Konferenzsitzung auf einem ID-basierten kryptographischen System über ein Computernetzwerk, wobei das Verfahren die Schritte umfasst, die bei der die Konferenzauslösepartei ausgeführt werden: (a) Erzeugen (s100) zweier temporärer Geheimschlüssel für die Konferenzauslösepartei, Erzeugen zweier temporärer öffentlicher Schlüssel für die Konferenzauslösepartei unter Verwendung der temporären Geheimschlüssel für die Konferenzauslösepartei und Erzeugen eines Signaturwerts, der durch Anwenden einer vorbestimmten Signaturfunktion auf die Schlüssel erhalten ist; (b) Transportieren einer Mitteilung (5) mit ID-Information der Konferenzauslösepartei, der temporären öffentlichen Schlüssel für die Konferenzauslösepartei und des Signaturwerts an die Konferenzteilnehmerparteien; (c) Empfangen von Mitteilungen (10) mit den temporären öffentlichen Schlüsseln für die Konferenzteilnehmerparteien von den Konferenzteilnehmerparteien und Bestimmen der Gültigkeit der Mitteilungen; (d) Erzeugen von Erzeugungsvariablen für die gemeinsamen Schlüssel für die Konferenzteilnehmerparteien, die gültige Mitteilungen gesendet haben; (e) Erzeugen des gemeinsamen Konferenzschlüssels (s320) unter Verwendung einer von zwei temporären Geheimschlüsseln für die Konferenzauslösepartei und des temporären öffentlichen Schlüssels für die Konferenzauslösepartei, der unter Verwendung des einen von zwei temporären Geheimschlüsseln erzeugt ist, und Verschlüsseln der ID-Information der Konferenzauslösepartei unter Verwendung des gemeinsamen Konferenzschlüssels; und (f) Transportieren einer Mitteilung (15) mit Erzeugungsvariablen für die gemeinsamen Schlüssel und der verschlüsselten ID-Information an die Konferenzteilnehmerparteien, die gültige Mitteilungen gesendet haben, worin das ID-basierte kryptographische System ein System ist, das eine Weil-Pairing-Funktion in einer finiten Ellipsenkurven-Verschlüsselungs gruppe G mit einer ausreichend großen Primzahl p als Ordnung verwendet, worin der Schritt (a) die Schritte umfasst: (a1) statistisches Auswählen temporärer Geheimschlüssel u₁ und v₁ zwischen 1 und p-1; (a2) Erzeugen (s100) temporärer öffentlicher Schlüssel w₁ = [v₁]a und n₁ = [u₁]w₁, worin der Parameter a eine Erzeugungsquelle für die finite Ellipsenkurven-Verschlüsselungsgruppe G ist; und (a3) Erzeugen des Signaturwerts (s110) n₁ = [v₁ ^–1]([f₂(f₃(n₁), ID₁, zeit)] a + [f₃(w₁)]s₁), worin f₂, f₃, ID₁, zeit und s₁ eine Hash-Funktion, die in einer ganzzahligen Domäne definiert ist, eine Hash-Funktion, die in der finiten Ellipsenkurven-Verschlüsselungsgruppe G definiert ist, ID-Information der Konferenzauslösepartei, Zeitinformation und einen permanenten Geheimschlüssel der Konferenzauslösepartei bezeichnen.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu einer Mehrzahl von Konferenzteilnehmerparteien nach Anspruch 6, worin der Schritt (a1) die Schritte umfasst: (a11) statistisches Auswählen des ersten temporären Geheimschlüssels u₁ zwischen 1 und p-1; und (a12) Erzeugen des zweiten temporären Geheimschlüssels v₁ durch Anwenden der Hash-Funktion auf den ersten temporären Geheimschlüssel u₁.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu einer Mehrzahl von Konferenzteilnehmerparteien nach Anspruch 6 oder 7, worin der Schritt (c) die Schritte umfasst: (c1) Empfangen von Mitteilungen (ID_j, w_j, n_j, η_j) von den Konferenzteilnehmerparteien, worin Parameter ID_j, w_j, n_j, und η_j ID-Information der Partei j, von der Partei j erzeugte temporäre öffentliche Schlüssel und einen von der Partei j erzeugten Signaturwert bezeichnen; und (c2) Bestimmen (s300), dass die Partei j eine Gleichung e(w_j, η_j) = e(a, [f₃ (n_j)]a)·e(y, [f₃(w_j)]r_j) erfüllt, worin e, y und r_j eine Weil-Pairing-Funktion bezeichnen, die auf einer Ellipsenkurve definiert ist, einen öffentlichen Schlüssel eines Schlüsselautentifizierungszentrums und einen permanenten öffentlichen Schlüssel der Konferenzteilnehmerpartei j.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu einer Mehrzahl von Konferenzteilnehmerparteien nach Anspruch 8, worin der Schritt (d) ein Schritt zum Erzeugen der Erzeugungsvariable für den öffentlichen Schlüssel z_j = [u₁] (n₁ + n_j) für die Konferenzteilnehmerparteien ist, die die Gleichung in Schritt (c2) erfüllen.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu einer Mehrzahl von Konferenzteilnehmerparteien nach Anspruch 8 oder 9, worin der Schritt (e) die Schritte umfasst: (e1) Erzeugen des gemeinsamen Konferenzschlüssels K_c = [u₁]n₁; und (e2) Verschlüsseln der ID-Information der Konferenzauslösepartei unter Verwendung des gemeinsamen Konferenzschlüssels zum Erzeugen von E_Kc(ID₁), worin E einen Verschlüsselungsalgorithmus bezeichnet.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu Konferenzteilnehmerparteien in einer einzigen Konferenzsitzung auf einem ID-basierten kryptographischen System über ein Computernetzwerk, wobei das Verfahren die Schritte umfasst, die bei den Konferenzteilnehmerparteien ausgeführt werden: (a) Empfangen einer Mitteilung mit ID-Information, zwei temporären öffentlichen Schlüsseln und einem bestimmten Signaturwert der Konfe renzauslösepartei von der Konferenzauslösepartei und Bestimmen der Gültigkeit der Mitteilung; (b) Erzeugen zweier temporärer Geheimschlüssel für die Konferenzteilnehmerparteien, Erzeugen zweier temporärer öffentlicher Schlüssel für die Konferenzteilnehmerparteien unter Verwendung der temporären Geheimschlüssel für die Konferenzteilnehmerparteien, und Erzeugen eines Signaturwerts, erhalten durch Anwenden einer bestimmten Signaturfunktion auf die Schlüssel; (c) Transportieren einer Mitteilung mit den temporären öffentlichen Schlüsseln für die Konferenzteilnehmerparteien und des Signaturwerts zur Konferenzauslösepartei; (d) Empfangen einer Mitteilung mit einer Erzeugungsvariable für den gemeinsamen Schlüssel und verschlüsselter ID-Information der Konferenzauslösepartei von der Konferenzauslösepartei; (e) Erzeugen der gemeinsamen Konferenzschlüssel unter Verwendung der Erzeugungsvariable für den gemeinsamen Schlüssel, eines von zwei temporären Geheimschlüsseln für die Konferenzteilnehmerpartei und des temporären öffentlichen Schlüssels für die Konferenzauslösepartei, der unter Verwendung des einen der zwei temporären Geheimschlüssel erzeugt ist; und (f) Entschlüsseln der verschlüsselten ID-Information der Konferenzauslösepartei unter Verwendung des gemeinsamen Konferenzschlüssels und Bestimmen, dass der gemeinsame Konferenzschlüssel gültig ist, worin das ID-basierte kryptographische System ein System ist, das eine Gleichung y^Si = a^f(IDi)(r_i ^ri)^–1 mod q bei einer finiten Gruppe G mit einer Ordnung p erfüllt, das heißt, eine Teilgruppe von GF(q)*, worin q eine ausreichend große Primzahl ist und die zugehörige ganze Zahl q-1 den Faktor p aufweist, und worin Parameter y, a, f, r_i, s_i und ID_i einen öffentlichen Schlüssel eines Schlüsselautentifizierungszentrums bezeichnen, eine Erzeugungsquelle der finiten Gruppe G, eine Hash-Funktion, einen öffentlichen Schlüssel für eine Partei i, einen Geheimschlüssel für die Partei i und ID-Information für die Partei i, worin der Schritt (b) die Schritte umfasst: (b1) statistisches Auswählen temporärer Geheimschlüssel u_j und v_j zwischen 1 und p-1; (b2) Erzeugen temporärer öffentlicher Schlüssel w_j = y^vj (mod q) und n_j = w₁ ^uj (mod q); und (b3) Erzeugen des Signaturwerts η_j = (f(n_j)-v_jw₁)s_j ^–1(mod p).
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu Konferenzteilnehmerparteien nach Anspruch 11, worin der Schritt (b1) die Schritte umfasst: (b11) statistisches Auswählen des ersten temporären Geheimschlüssels u_j zwischen 1 und p-1; und (b12) Erzeugen des zweiten temporären Geheimschlüssels v_j durch Anwenden der Hash-Funktion auf den ersten temporären Geheimschlüssel u_j.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu Konferenzteilnehmerparteien nach Anspruch 11 oder 12, worin der Schritt (a) die Schritte umfasst: (a1) Empfangen einer Mitteilung (ID₁, r₁, w₁, n₁, n₁, zeit) von der Konferenzauslösepartei, worin die Parameter ID₁, r₁, w₁, n₁, n₁ und zeit ID-Information der Konferenzauslösepartei, einen permanenten öffentlichen Schlüssel der Konferenzauslösepartei, von der Konferenzauslösepartei erzeugte temporäre öffentliche Schlüssel, einen von der Konferenzauslösepartei erzeugten Signaturwert und Zeitinformation bezeichnen; und (a2) Bestimmen, dass die Mitteilung eine Gleichung y^{f(n1, ID1,
zeit)} = w₁ ^w1(a^EID1r₁ ^–r1)^η1(mod q), worin EID₁ = f(ID₁) erfüllt.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu Konferenzteil nehmerparteien nach Anspruch 13, worin der Schritt (e) ein Schritt zum Erzeugen eines gemeinsamen Konferenzschlüssels K_c = z_j·(n₁ ^uj)^–1 (mod q) ist und worin z_j die Erzeugungsvariable für den gemeinsamen Schlüssel empfangen von der Konferenzauslösepartei bezeichnet.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu Konferenzteilnehmerparteien in einer einzigen Konferenzsitzung auf einem ID-basierten kryptographischen System über ein Computernetzwerk, wobei das Verfahren die Schritte umfasst, die bei den Konferenzteilnehmerparteien ausgeführt werden: (a) Empfangen einer Mitteilung mit ID-Information, zwei temporären öffentlichen Schlüsseln und einem bestimmten Signaturwert der Konferenzauslösepartei von der Konferenzauslösepartei und Bestimmen der Gültigkeit der Mitteilung; (b) Erzeugen zweier temporärer Geheimschlüssel für die Konferenzteilnehmerparteien, Erzeugen zweier temporärer öffentlicher Schlüssel für die Konferenzteilnehmerparteien unter Verwendung der temporären Geheimschlüssel für die Konferenzteilnehmerparteien und Erzeugen eines Signaturwerts, erhalten durch Anwenden einer bestimmten Signaturfunktion auf die Schlüssel; (c) Transportieren einer Mitteilung mit den temporären öffentlichen Schlüsseln für die Konferenzteilnehmerparteien und des Signaturwerts zur Konferenzauslösepartei; (d) Empfangen einer Mitteilung mit einer Erzeugungsvariable für den gemeinsamen Schlüssel und verschlüsselte ID-Information der Konferenzauslösepartei von der Konferenzauslösepartei; (e) Erzeugen der gemeinsamen Konferenzschlüssel unter Verwendung der Erzeugungsvariable für den gemeinsamen Schlüssel, eines von zwei temporären Geheimschlüsseln für die Konferenzteilnehmerpartei und des temporären öffentlichen Schlüssels für die Konferenzauslösepartei, der unter Verwendung des einen der zwei temporären Geheimschlüssel erzeugt ist; und (f) Entschlüsseln der verschlüsselten ID-Information der Konferenzauslösepartei unter Verwendung des gemeinsamen Konferenzschlüssels und Bestimmen, dass der gemeinsame Konferenzschlüssel gültig ist, worin das ID-basierte kryptographische System ein System ist, das eine Weil-Pairing-Funktion in einer finiten Ellipsenkurven-Verschlüsselungsgruppe G mit einer ausreichend großen Primzahl p als Ordnung verwendet, und worin der Schritt (b) die Schritte umfasst: (b1) statistisches Auswählen temporärer Geheimschlüssel u₁ und v₁ zwischen 1 und p-1; (b2) Erzeugen temporärer öffentlicher Schlüssel w_j = [v_j]a und n_j = [u_j]w₁, worin der Parameter a eine Erzeugungsquelle für die finite Ellipsenkurven-Verschlüsselungsgruppe G ist; und (b3) Erzeugen des Signaturwerts η_j = [v_j ^–1]([(f₃(n_j)] a + [f₃ (w_j)]s_j), worin f₃ und s_j eine Hash-Funktion, die in der finiten Ellipsenkurven-Verschlüsselungsgruppe G definiert ist, und einen permanenten Geheimschlüssel der Partei j bezeichnen.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu Konferenzteilnehmerparteien nach Anspruch 15, worin der Schritt (b1) die Schritte umfasst: (b11) statistisches Auswählen des ersten temporären Geheimschlüssels u_j zwischen 1 und p-1; und (b12) Erzeugen des zweiten temporären Geheimschlüssels v_j durch Anwenden der Hash-Funktion auf den ersten temporären Geheimschlüssel u_j.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu Konferenzteil nehmerparteien nach Anspruch 15 oder 16, worin der Schritt (a) die Schritte umfasst: (a1) Empfangen einer Mitteilung (ID₁, w₁, n₁, n₁, zeit) von der Konferenzauslösepartei, worin die Parameter ID₁, w₁, n₁, n₁ und zeit ID-Information der Konferenzauslösepartei, von der Konferenzauslösepartei erzeugte temporäre öffentliche Schlüssel, einen von der Konferenzauslösepartei erzeugten Signaturwert und Zeitinformation bezeichnen; und (a2) Bestimmen, dass die Mitteilung eine Gleichung e(w₁, η₁) = e(a, [f₂ (f₃ (n₁), ID₁, zeit)] a)·e(y, [f₃ (w₁)]r₁) erfüllt, worin e, f₂, f₃, y und r₁ eine Weil-Pairing-Funktion, die auf einer Ellipsenkurve definiert ist, eine Hash-Funktion, die in einer ganzzahligen Domäne definiert ist, eine Hash-Funktion, die in der finiten Ellipsenkurven-Verschlüsselungsgruppe G definiert ist, einen öffentlichen Schlüssel eines Schlüsselautentifizierungszentrums und einen permanenten öffentlichen Schlüssel der Konferenzauslösepartei bezeichnen.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu Konferenzteilnehmerparteien nach Anspruch 17, worin der Schritt (e) ein Schritt zum Erzeugen eines gemeinsamen Konferenzschlüssels K_c = z_j – [u_j]n₁ ist und worin z_j die Erzeugungsvariable für den gemeinsamen Schlüssel bezeichnet, die von der Konferenzauslösepartei empfangen ist.
Verfahren zur Verteilung eines gemeinsamen Konferenzschlüssels zum Verschlüsseln von einer Konferenzauslösepartei zu Konferenzteilnehmerparteien nach einem der Ansprüche 11 bis 18, worin der Schritt (f) die Schritte umfasst: (f1) Entschlüsseln der verschlüsselten ID-Information der Konferenzauslösepartei, die von der Konferenzteilnehmerpartei empfangen ist, unter Verwendung des gemeinsamen Konferenzschlüssels; und (f2) Bestimmen, dass die entschlüsselte ID-Information der Konferenzauslösepartei identisch ist zur ID-Information der Konferenzauslösepartei, die in Schritt (a) empfangen ist.
Computerlesbares Speichermedium, auf dem ein Programm aufgezeichnet ist, das geeignet ist, alle Schritte eines Verfahrens nach einem der vorhergehenden Ansprüche durchzuführen, wenn es auf einem Computer ausgeführt wird.