WO2015081505A1 - 建立抗量子计算攻击的公钥密码的方法 - Google Patents

建立抗量子计算攻击的公钥密码的方法 Download PDF

Info

Publication number
WO2015081505A1
WO2015081505A1 PCT/CN2013/088475 CN2013088475W WO2015081505A1 WO 2015081505 A1 WO2015081505 A1 WO 2015081505A1 CN 2013088475 W CN2013088475 W CN 2013088475W WO 2015081505 A1 WO2015081505 A1 WO 2015081505A1
Authority
WO
WIPO (PCT)
Prior art keywords
party
agreement
protocol
selects
public key
Prior art date
Application number
PCT/CN2013/088475
Other languages
English (en)
French (fr)
Inventor
王威鉴
王晓峰
林汉玲
王晓阳
Original Assignee
王威鉴
王晓峰
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 王威鉴, 王晓峰 filed Critical 王威鉴
Priority to PCT/CN2013/088475 priority Critical patent/WO2015081505A1/zh
Priority to CN201380001693.XA priority patent/CN105393488B/zh
Publication of WO2015081505A1 publication Critical patent/WO2015081505A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
    • H04L9/0844—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols with user authentication or key authentication, e.g. ElGamal, MTI, MQV-Menezes-Qu-Vanstone protocol or Diffie-Hellman protocols using implicitly-certified keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/72—Signcrypting, i.e. digital signing and encrypting simultaneously

Definitions

  • the present invention relates to the field of information security, and in particular to a cryptographic technique for establishing a public key cryptography against quantum computing attacks.
  • the public key cryptosystem has provided excellent answers to both of these issues and is continuing to produce many new ideas and solutions.
  • the encryption key is different from the decryption key. People make the encryption key public and anyone can use it; the decryption key is known only to the decryptor.
  • the security of modern public key cryptosystems is almost always based on two types of mathematical problems that are currently considered to be difficult to calculate; the first is a large prime decomposition problem, such as the RSA algorithm; the second is a discrete logarithm problem, such as Diffie-Hellman Key exchange algorithm, ElGamal algorithm, and elliptic curve public key cryptography algorithm (column is ECC).
  • the object of the present invention is to establish a public key cryptography technology capable of resisting various known attacks, and on the basis of Out of each application agreement.
  • One way to achieve the object of the present invention is: a method of establishing a public key cryptography against quantum computing attacks : a method of generating a shared key, and a method of generating a shared key is also referred to as generating a shared key protocol, and the generating The method of sharing a key includes the following steps:
  • the first party of the protocol selects an element g in G, where the first party of the protocol selects two elements bb 2 eA as the private key, and the second party of the protocol selects two elements dd 2 ⁇ B as the private key;
  • the second party of the agreement selects two elements ⁇ 4 ⁇ , calculates and sends (W, V) to the first party of the agreement;
  • a method for encrypting and decrypting information data is also included, and a method for encrypting and decrypting information data is also referred to as a public key encryption and decryption protocol, and the method for encrypting and decrypting the information data includes the following steps;
  • (21) Define the encoded plaintext information to be encrypted as e ⁇ 0, i , that is, the 0-1 number string of length; and define 0: G ⁇ ⁇ O, i is a group G to the plaintext space ⁇ 0, ⁇ ⁇ k anti-collision Hash function, the first party of the agreement selects (G, A, B, g, ⁇ ) as its public key;
  • ⁇ ( ⁇ (3 ⁇ 4) ⁇ ) ⁇ (3 ⁇ 4) ⁇ ( ⁇ (3 ⁇ 4) ⁇ )
  • ⁇ (3 ⁇ 4)) ⁇ .
  • the method of signature is also called a digital signature protocol, and the method of digital signature includes the following steps:
  • (31) Define the encoded plaintext information to be signed as p, and define ⁇ : G ⁇ , i is an anti-collision hash function, and the first party of the protocol selects (G, A, B, g, ⁇ ) as its Public key
  • the method further includes the method of identity authentication, where the first party of the protocol is a witness, and the second party of the protocol is a certifier; the method for identity authentication includes the following steps:
  • the first party of the agreement selects an anti-collision Hash function ⁇ : G ⁇ , 1 ⁇
  • the first party of the agreement selects (G, A, B, g, ⁇ ) as its public key;
  • the second party of the agreement calculates y Adg i ⁇ and w ⁇ dJC ⁇ , and sends Cy, w) as challenge one to the first party of the agreement;
  • the second party of the agreement calculates v ⁇ f ⁇ -b ?> a l c l gC2a 2 b A , and sends v as challenge two to the first party of the protocol;
  • Another way of achieving the object of the present invention is: a method of establishing a public key cryptography against quantum computing attacks, including a method of generating a shared key, the method of generating a shared key comprising the steps of:
  • the first party of the protocol selects an element g in G, where the first party of the protocol selects two elements b 10 GA and d 20 ⁇ B as the private key, and the second party of the protocol selects two elements b 20 ⁇ A and d w eB as a private key;
  • the second party of the agreement selects two elements i3 ⁇ 4. GA and dt ⁇ B, calculate ⁇ 1( ⁇ . ⁇ 2 . . . , and send y to the first party of the protocol;
  • the first party of the agreement calculates ⁇ 4 . — ⁇ fl dogfi ⁇ o, and the second party of the agreement
  • the infinite non-exchange group G is preferably a unitary group, and a generator element system of the Mihailova subgroup having an unsolvable subgroup member problem of the group 3 ⁇ 4 ( « ⁇ 12) is given, and the group 3 ⁇ 4 is given ( « ⁇ 12)
  • the generator element of the Mihailova subgroup with subgroup membership problem unsolvable, and proposed to be an anti-quantum computational attack, the private key of both parties is generated by the generator of the Mihailova subgroup;
  • the infinite non-exchange group G takes the index The group defined as " ⁇ 12" and represented by the following:
  • LA ( ⁇ 7 m -5 2 , ⁇ 7 m -4 2 , ⁇ 7 m -2 , (7 m - ⁇ ) ⁇ LB n and
  • RA ( ⁇ 7 m+ ⁇ , ⁇ 7 m+ 2 , O m+ , ⁇ m+5 2 ) ⁇ RBn ;
  • the invention first establishes an algebraic system with unsolvable problems from the theory, and secondly, establishes a public key cryptosystem with the insolvency of the problem as a security guarantee.
  • the security of the algorithm of the present invention is equivalent to the unsolvability problem, and proves its immunity to attacks such as quantum computing. Since the public key cryptography method established by the present invention is based on an unsolvable decision problem as a security guarantee, the method is theoretical. It is also a strong guarantee for practical applications. Compared with the prior art, it has the following advantages:
  • the public key cryptographic algorithm of the present invention is resistant to quantum computational attacks. detailed description
  • G is at least exponential growth, that is, the number of elements in which the word length in G is a positive integer ⁇ is an exponential function about n;
  • the infinite non-exchange group G is selected as the index " ⁇ 12 group B n , 3 ⁇ 4 has the above properties and is defined by the presentation of the group:
  • the group 3 ⁇ 4 contains the following two subgroups:
  • LA ⁇ ⁇ m -5 , c m -4 , ⁇ y m -i , ⁇ y m - ⁇ ) ⁇ LB n
  • RA ( (7 m+ ⁇ , (7 m+ 2 , (7 m+ 4 , (7 m+ 5> ⁇ RB n
  • the protocol X side is Alice and Bob, respectively.
  • step 4) of the above protocol since dd 2 ⁇ RB n , aa 2 , h, b 4 ⁇ LB n , A - 1 , d 2 ⁇ x are interchangeable with b 3 , and , ⁇ 3 ⁇ 4 respectively, so Get the last equation in this step. In the same way, the last equation in step 5) is obtained.
  • a preferred embodiment of a key exchange protocol is established:
  • the plaintext information (encoded) that needs to be encrypted be e ⁇ 0, i (that is, the 0-1 number string of length), and set: ⁇ : 3 ⁇ 4 ⁇ 0, i is a group from the 3 ⁇ 4 to the plaintext space ⁇ 0, ⁇ ⁇ k anti-collision hash function.
  • Alice's public key is ( , LB n , RB n , g, ⁇ ), and is selected, a 2 , bb 2 , h, b 4 e LB n , and the private key is b 2 .
  • Bob selects c 2 , dd 2 , d 3 , d 4 ⁇ RB n , and uses di 2 as the private key.
  • the plaintext information (encoded) that needs to be encrypted be m, and set: ⁇ : 3 ⁇ 4 ⁇ 0, i is an anti-collision hash function.
  • Alice's public key is ( , LB n , RB n , g, ⁇ ), and ⁇ 2 , bb 2 , h, b 4 e LB n private key is selected as bb 2 .
  • Bob selects c 2 , dd 2 , d 3 , d 4 e RB n , and uses dd 2 as the private key.
  • Alice's public key is ( , LB n , RB n , g, x, ⁇ )
  • the private key is b l b 2 .
  • Bob selects six elements ci, c 2 , d h d 2 , d 3 , d 4 ⁇ RB n , and the private key is dd 2 .
  • Bob meter
  • the parties to the agreement are Alice and Bob, respectively.
  • Alice and Bob jointly select an element g in B n , Alice selects two elements LB n and d 2 e RB n as private keys, and Bob selects two elements b 2 G LB AeR as private keys;
  • Bob selects two elements a 2 ⁇ LB n And send y to Alice;
  • Alice selects four elements b 4 e LB n and c 2 , d 4 e RB n , to calculate
  • step 4) of the above protocol since dd 2 ⁇ RB n , aa 2 , h, b 4 ⁇ LB n , A - 1 , d 2 ⁇ x are interchangeable with b 3 , and , ⁇ 3 ⁇ 4 respectively, so Get the last equation in this step. In the same way, the last equation in step 5) is obtained.
  • the plaintext information (encoded) that needs to be encrypted be e ⁇ 0, i (that is, the 0-1 number string of length), and set: ⁇ : 3 ⁇ 4 ⁇ 0, i is a group from the 3 ⁇ 4 to the plaintext space ⁇ 0, ⁇ ⁇ k anti-collision hash function.
  • Alice's public key is ( , LB n , RB n , g, ⁇ ), and select, b!, b 4 e LB Struktur and c 2 , d 2 , d 4 ⁇ RB n , and the private key is bd 2 .
  • a 2 , b 2 , he LB n and d x , d 3 ⁇ RB n , and b 2 is a private key.
  • the plaintext information (encoded) that needs to be encrypted be m, and set: ⁇ : 3 ⁇ 4 ⁇ 0, i is an anti-collision hash function.
  • Alice's public key is ( , LB n , RB n , g, ⁇ ), and b l5 b 4 e LB n and c 2 , d 2 , d 4 ⁇ RB n , and the private key is bd 2 .
  • Bob selects a 2 , b 2 , b 3 GLB d x , d 3 ⁇ RB n , and uses db 2 as the private key.
  • Bob selects six elements dd 3 ⁇ RB n ⁇ a 2 , b 2 , b 3 ⁇ LB n , private key b 2 , d Bob calculation
  • Subgroup membership problem or generalized word problem A subgroup H of a given group G whose generated metaset is X, determines whether any element g in G can be represented by a word on X. That is, it is determined whether g is a medium element.
  • the decidability of GDSP is uncertain.
  • the infinite non-exchange group G takes the index " ⁇ 12" Groups B n , ⁇ and subgroups LB n and RB n of ⁇ , respectively, and private keys b 2 and dd 2 are respectively in the Mihailova subgroup M M (H) of LB n and Mihailova subgroup M ⁇ H of R)
  • she solves the GDSP problem by solving bi, b2 LB n , and di , d 2 'eRB n , so that 'ub ⁇ u and d 2 , because bi, b 2 ⁇ M M (H), dd 2 ⁇ MRA(H), so she must first determine whether b, b ⁇ eM H), and whether d, d 2 f ⁇ MRA( ).
  • the infinite non-exchange group G takes the index " ⁇ 12" Groups B n , ⁇ and subgroups LB n and RB n of ⁇ , respectively, and private keys b 2 and dd 2 are respectively in the Mihailova subgroup M M (H) of LB n and Mihailova subgroup M ⁇ H of R)
  • she solves the GDSP problem by solving bi, b2 LB n , and di , d 2 'eRB n , so that 'ud ⁇ uh and d 2 , because bi, b 2 ⁇ M M (H), dd 2 ⁇ MRA(H), so she must first determine whether b, b ⁇ eM H), and whether d, d 2 f ⁇ MRA( ).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Optical Communication System (AREA)

Abstract

　本发明涉及信息安全领域，公开了一种建立抗量子计算攻击的公钥密码的方法，包括生成共享密钥的方法，所述生成共享密钥的方法包括如下步骤： (11) 建立一个无限非交换群 G； (12) 协议双方选取 G的两个元素作为私钥； (13) 协议第二方计算y，并将y发送给协议第一方； (14) 协议第一方计算x 和z，并将(x， z)发送给协议第二方； (15) 协议第二方计算w和v，并将(w， v) 发送给协议第一方； (16) 协议第一方计算u，并将u发给协议第二方； (17) 协议第一方计算 KA，而且协议第二方计算 KB；从而达成共享密钥 K=KA=KB 。本发明所建设的公钥密码算法的安全保障是依赖于问题的不可解性，具有抗量子计算攻击的优点。

Description

建立抗量子计算攻击的公钥密码的方法 技术领域
本发明涉及信息安全领域， 特别涉及一种建立抗量子计算攻击的公钥密码 的密码技术。
背景技术
对信息发送与接收人的真实身份的验证、 对所发出 /接收信息在事后的不可 抵赖以及保障数据的完整性是现代密码学主题的二个重要问题。
公开密钥密码体制对这两方面的问题都给出了出色的解答， 并正在继续产 生许多新的思想和方案。 在公钥体制中， 加密密钥不同于解密密钥。 人们将加密 密钥公之于众， 谁都可以使用； 而解密密钥只有解密人自己知道。 近代公钥密码 系统的安全性几乎都是基于目前被认为计算困难的两类数学问题； 第一类为大 素数分解问题， 例如 RSA算法； 第二类为离散对数问题， 例如 Diffie-Hellman的 密钥交换算法、 ElGamal算法、 和椭圆曲线公钥密码算法（筒记为 ECC)等。
近年来， 由于非交换的辫群自身的有限呈示特性、 清晰表达的代数关系式、 漂亮的几何结构、因属于自动机群类而其字问题在二次多项式时间内可解从而相 应的应用于编码的计算和贮存都可快速实现等优点， 辫群成为了人们试图建立 各种公开密钥密码协议的热门平台， 并涌现了诸多以辩群为平台， 并以辩群上的 判定难题作为安全保障的公钥密码系统。例如， Ko等人基于辫群中的元素共轭问 题建立的密钥交换协议。
在经典公钥密码算法中， 作为安全保障的实际计算困难问题， 随着计算机性 能的提高其难解性将大大降低。 特别地， Shor于 1997年提出的著名的 Shor量子 算法将分别在多项式时间内进行大整数的因数分解和离散对数的计算， 这意味 着基于 RSA, ECC, ElGamal算法等建立的公钥密码协议将不再安全， 而量子计 算机的设计正紧锣密鼓地进行中。
针对 Ko等人提出的基于辫群的元素的共轭问题建立公钥密码体制方案， 人 们陆续发现了诸如基于长度的攻击、 线性表示攻击、 Super-Summit-set攻击等攻 击方案。 从而， 对应的公钥密码体制也存在着安全隐患。
综上所述， 这样就使得上述公钥密码的身份的验证、数据保障的安全性存在 发明内容
为解决基于现有公钥密码的身份的验证、数据保障的安全性存在隐患的问题. 本发明的目的在于建立一个能抵抗各种已知的攻击的公钥密码技术， 和在此基 础上给出各应用协议。
实现本发明目的的一种方式为：一种建立抗量子计算攻击的公钥密码的方法: 包括生成共享密钥的方法,生成共享密钥的方法也称为生成共享密钥协议,所述生 成共享密钥的方法包括如下步骤：
(11) 建立一个无限非交换群 G及 G的两个子群 Α和^ 使得对任意 任意的 be B, 等式 ab=ba成立；
(12) 协议第一方选取 G 中一元素 g, 其中， 协议第一方选取两个元素 b b2eA作为私钥， 协议第二方选取两个元素 d d2≡B作为私钥；
(13) 协议第二方选取两个元素
Figure imgf000003_0001
并将 y发送给协议 x= biaiga2b2 ^ z=b3ai^a2^4=^3«i^iCigc2<i2«2^4,
并将 ( , 发送给协议第二方；
(15) 协议第二方选取两个元素 υ4Ε , 计算 和 并将 (W, V)发送给协议第一方；
(16) 协议第一方计算
u=bi~1wb2~1=bi~1d3Cibiaiga2b2C2d4b2~1=d3Ciaiga2C2d4,
并将 M发给协议第二方；
而且协议第二方计算
Figure imgf000004_0001
由于 , a2≡A, d, C2G B, 所以 与 Cl和 a2与 c2分别乘法可交换， 故协议第一 方和协议第二方达成共享密钥 K=KA=KB。 作为一种优选方式， 还包括信息数据加密解密的方法， 信息数据加密解密的 方法也称为公钥加密解密协议， 所述信息数据加密解密的方法包括如下步骤；
(21) 定义需要加密的已编码明文信息为 e { 0, i , 即长度为 的 0-1数串; 并定义 0: G→{ O, i 是一个由群 G到明文空间 { 0, \ }k抗碰撞的 Hash函数， 协议 第一方选取 (G, A, B, g, Θ )为其公钥；
(22) 加密： 协议第二方先计算
Figure imgf000004_0002
然后进行加密计算 t=Q(KB)@m, 并将 作为密文发送给协议第一方， 这里的 ©是异或运算；
(23) 解密： 协议第一方先计算 A=b3— b4— ^ dg , 然后进行解密计算 '=©C¾)㊉=Θ( Α)㊉ (Θ(¾)㊉ );
(24) 验证 m'=m: 由密钥交换协议知 = β , 所以
'=©C¾)㊉ (Θ(¾)㊉ )= Θ(¾)㊉ (Θ(¾)㊉ )„ ㊉ Θ(¾))㊉ = 。 作为一种优选方式， 还包括数字签名的方法， 数字签名的方法也称为数字签 名协议， 所述数字签名的方法包括如下步骤：
(31) 将需要签名的已编码明文信息定义为 p，并定义 Θ: G→{ , i 是一个抗 碰撞的 Hash函数， 协议第一方选取 (G, A, B, g, Θ )为其公钥；
(32)签名： 协议第一方计算 A=b3— b4— ^ a1c1gc2a2 ^ S= Θ(ρΚΑ), 协议第一 方将 S作为它对信息 ρ的签名并将 O , 发送给协议第二方；
(33) 验证： 协议第二方计算
Figure imgf000005_0001
Θ(ρΚΒ), 如果 S'=S, 协议第二方则认可 S是协议第一方对信息 p的签名， 否则， 协议第二方拒绝 接受 S是协议第一方对信息 p的签名。 作为一种优选方式， 还包括身份认证的方法， 所述协议第一方为示证人， 所 述协议第二方为验证人； 所述身份认证的方法包括如下步骤：
(41) 协议第一方选取一个抗碰撞的 Hash函数 Θ: G→{ , 1}\ 协议第一方选取 (G, A, B, g， Θ)为其公钥；
(42) 协议第二方计算 y Adg i^和 w^ dJC ^, 并将 Cy, w)作为挑战一发送给 协议第一方；
(43) 协议第一方计算
Figure imgf000005_0002
并将 (Z, M)作为响应发送给协议第二方；
(44) 协议第二方计算 v^f^^- b?>alclgC2a2bA, 并将 v作为挑战二发送给协 议第一方；
(45) 协议第一方计算
Figure imgf000006_0001
并将 作为承诺发送给协议
(46) 协议第二方计算 =Θ(¾— ^― ^= ©(di^gi^ ), 并验证是否 = ', 如果 = ', 协议第二方认可协议第一方的身份， 否则拒绝认可。
实现本发明目的的另一种方式为：一种建立抗量子计算攻击的公钥密码的方 法,包括生成共享密钥的方法， 所述生成共享密钥的方法包括如下步骤：
(11.1) 建立一个无限非交换群 G及 G的两个子群 Α和^ 使得对任意 A、 任意的 beB, 等式 ab=ba成立；
(12.1) 协议第一方选取 G 中一元素 g, 其中， 协议第一方选取两个元素 b10 GA和 d20≡B作为私钥， 协议第二方选取两个元素 b20≡A和 dweB作为私钥；
(13.1) 协议第二方选取两个元素 i¾。 GA和 dt^B,计算 ί1(Λ。^2。 。， 并将 y 发送给协议第一方；
(14.1) 协议第一方选取四个元素 fit10, b4。eA和 <¾。， ί4。ε , 计算
X=
Figure imgf000006_0002
并将 (X, 发送给协议第二方；
(15.1) 协议第二方选取两个元素 b3。eA和 d30eB, 计算
Figure imgf000006_0003
和
Figure imgf000007_0001
并将 (w, v)发送给协议第一方；
(16.1) 协议第一方计算
Figure imgf000007_0002
并将 M发给协议第二方；
(17.1) 协议第一方计算 \^4。— ^fl dogfi^ o, 而且协议第二方计算
Figure imgf000007_0003
由于 aw, a2o≡A, cw, c2o B, 所以 <210与 c10和 <¾)与 <¾o分别乘法可交换， 故十办 议第一方和协议第二方达成共享密钥 K=KA=KB。 其中， 所述无限非交换群 G优选为辫群， 给出辫群¾(«≥12)的具有不可解的 子群成员问题的 Mihailova子群的生成元系， 给出了辫群 ¾(«≥12)的具有子群 成员问题不可解的 Mihailova子群的生成元系， 并建议为抗量子计算攻击， 上述 协议双方的私钥由 Mihailova子群的生成元生成； 所述无限非交换群 G取指数为《^ 12的辫群 并由如下呈示所定义的群:
Βη=(σλ, σ2, ..., σ„_ιΙ = ， \i-j\>2, +1 = +1 +1, l≤i≤n-2 >, 辫群 Bfl含有如下两个子群： 令 w=L«/2」为不大于 ηΙ2的最大整数， 辫群 Bn的左辫子 LBn和右辫子 RBn分别 为
Figure imgf000007_0004
am+2, ..., σ„_ι >
^P, 分另 ll为由 CJi, O2, ...， m-l ^σηι+ ι, <7m+2, ...， (Jn-l生成的子群， 并且， 对于任意的 ae L 和任意的 be RBn, 有 ab=ba, 所述的 G的子群 A即取为 LBn，, 而 G的子 群 B即取为 RBn; 当 12时， LB ? 分别含有一个与 F2xF2同构的子群， 即两个秩为 2的 自由群的直积同构的子群：
LA=( <7 m-52, <7 m-42, <7 m-2 , (7m-\ )< LBn 和
RA=( <7 m+\ , <7 m+2 , O m+ , <^ m+52)≤ RBn ；
作为一种优选方式，所述辫群¾的指数《≥12； 子群为 A=L 和 B=R ；
"2, C\, C 2的选取满足其乘只 fitiCigfi^C^不小于 256比特或 flio, "20, Cio, C 20的选取满 足其乘积 。( 1(^ί¾。(¾。不小于 256比特； 私钥 b2, d d2或 b10, b20, dw, d20均不 小于 256比特； 保护层元素 , b4, d3, ί 4或 b30, b40, d30, d4。均不小于 128比特。
本发明首先从理论建立了一个存在不可解的问题的代数系统， 其次， 以这个 问题的不可解性作为安全保障建立公钥密码算法。本发明算法的安全性与不可解 问题的等价性， 证明了其对量子计算等攻击的免疫， 由于本发明建立的公钥密码 方法是以不可解的判定问题作为安全保障， 因此该方法无论从理论上还是实际应 用方面均得到了有力保障， 与现有技术相比， 具有以下优点：
1.所建设的公钥密码算法的安全保障是依赖于问题的不可解性， 而不是问题 的计算困难性， （经典公钥密码算法是基于计算的困难性 );
2.本发明的公钥密码算法的安全性等价于所依赖的问题的不可解性是得到数 学证明的；
3.本发明的公钥密码算法是抗量子计算攻击的。 具体实施方式
下面结合实施例对本发明一种建立抗量子计算攻击的公钥密码协议作进一步 详细说明。
一、 建立公钥密码协议的平台
建立所有公钥密码协议的平台是一个无限非交换群 (non-abelian group)G及 G 的两个子群 A和^ 使得对任意 ί^Α任意的 be B, 等式 ab=ba成立。 此外， 由于 编码和密钥生成的需要， G还必须满足以下条件：
1) 于 G的生成元集合上的代表 G的元素的字具有可计算的正规形式 (normal form);
2) G至少是呈指数增长 (exponential growth), 即 G中字长为正整数《的元素 个数下囿于一个关于 n的指数函数；
3) 基于正规形式的群的乘积运算和求逆运算是能行可计算的。
为此， 选取无限非交换群 G为指数《^ 12的辫群 Bn, ¾具有上述性质并由 口下呈示 (presentation)所定义的群：
Βη=(σι, ( , ..., σ„_ιΙ OiOj= OjOi , \i- \>2, +1 = +1 +1, \<ά<η-2 >,
辫群 ¾含有如下两个子群：
令 =L«/2」为不大于 nil的最大整数， 辫群 Bn的左辫子 LBn和右辫子 RBn分别 为
LBn=(a σ2, om-X > 和 RBn=(am+ i, am+2, ..., σ„_ι >
即， 分别由 σΐ σ2, ..., am am+！, am+2, ..., σ„_ι生成的子群， 并且， 对于任意的 LBn ^M ^) be RBn, ^ ab=ba。
当《^ 12时， 和 ？ 分别含有一个与 F2xF2, 即两个秩为 2的自由群的直 积同构的子群
LA={ σ m-5 , cm-4 , <ym-i , <ym-\ )≤ LBn
RA=( (7m+\ , (7 m+2 , (7 m+4 , (7 m+5〉≤ RBn
由一个两个元素生成的其字问题不可解的有限呈示群 H, 再构造 IA 的一个 Mihailova子群 MM(H)和 RA的一个 Mihailova子群 M^H); 下方即为 MM(H)的 56个生成元， 其中 i=m—5; 而当令 = +l, 便可得到 MRA(H)的 56个生成元：
«3, 4, ^, 7 , 7=1, 2, -, 27
而 27个 为 (将下述每一 中的所有 换成 σ+3, 所有 σ+1换成 σ+4便得到对应 的 27个 Τφ』=ί, 2, 27):
<τ:· 4σ；lσf f.
Figure imgf000011_0002
Figure imgf000011_0003
4TjT.I 1 i,(j J..t. ! ;≥ † ! a l σ , 1 J }： τ; 2 L (j 'j J ^】 .) ....1
^^ ：2^^/;'.1^ ,2^^)-:
σ · i « , 0「 σξσΙΙ , ff , σ|σ¾, s σ·: 'ισ ,Γ , 「 ^, er ft.il： (t^ff --l<T「j£5lrti iT lfT「2cr^ll7fc^.lff「4 ff^ ofir .1ff「2ff1 lK^ll £r「2fl^2 1fff<j ,)····1 ff^' fafat'+ , <τ「¾σ|〖 ff» , ff;½¾ erf*1 ff,½f+1 ίτΓ-*σ|+〖 σί
Figure imgf000011_0004
Figure imgf000011_0005
Figure imgf000012_0001
Figure imgf000013_0001
二， 建立公钥密码体制的 *心协议一的实施倒：
在本实施例中， 协议 X 方分别是 Alice和 Bob,
1 ) Alice和 Bob共同选取 ¾中一元素 g, Alice选取两个元素 b2eLBn作为私 钥， Bob选取两个元素 ， rf2e i? 作为私钥；
2) Bob选取两个元 2 iS
Figure imgf000013_0002
并将 j;发送给 Alice;
3) Alice选取四个元素 64e丄 „, 计算
x= biciig a2 b2 和
Figure imgf000013_0003
并将 (x, z)发送给 Bob;
4) Bob选取两个元素 i¾, i¾e≡i?¾, 计算
Figure imgf000014_0001
和
V= <ii~1Z<i2~1=^l~1^3«l^lClgC2<i2«2^4^2~1=^3«lClgC2a2^4
并将 (w, v)发送给 Alice;
5) Alice计算
u=bi~1wb2~1=bi~1d3Cibiaiga2b2C2d4b2~1=d3Ciaiga2C2d4,
并将 u发给 Bob,
上述协议中的第 4)步中， 由于 d d2≡RBn, a a2, h, b4≡LBn, 所以 A—1, d2~x分 别与 b3, 和 , ί¾乘法可交换， 故得该步骤中最后一个等式。 同理得到第 5)步 中最后一个等式。 在本实施例的基础上， 建立密钥交换协议的优选实施例：
在核心协议的五个步骤后继续进行如下进程：
6) Alice计算 KA=b3~1vb4~1=aiCigC2a2而且 Bob计算 KB=d^xud^x= Ciaiga2c
由于 a2 LBn, ci, c2 RBn, 所以 与 d和 a2与 c2分别乘法可交换， 故 Alice和 Bob达成共享密钥 K=KA=KB。 在本实施例的基础上， 建立数据加密协议的优选实施例：
设需要加密的明文信息（已编码)为 e {0, i (即长度为 的 0-1数串)， 并 设 Θ: ¾→{0, i 是一个由群¾到明文空间 {0, \ }k抗碰撞的 Hash函数。 Alice 的公钥是 ( ， LBn, RBn, g, Θ ), 并选取 , a2, b b2, h, b4e LBn, 私钥为 b2。 Bob选取 c2, d d2, d3, d4≡RBn, 并且以 d i 2为私钥。 在核心协议的五个步 骤后继续进行如下进程：
6)加密： Bob先计算 ^― ^ dfl!g^, 然后计算 (加密） =©C¾)® , 并 将 作为密文发送给 Alice。 这里的㊉是异或 (exclusive or)运算。
7)解密： Alice先计算 A=b3— b4— ^ a1c1gc2a2, 然后计算 (解密）
'=©C¾)㊉=Θ( Α)㊉ (Θ(¾)㊉ )
验证 m'=m 由密钥交换协议知 = β, 所以
'=©C¾)㊉ (Θ(¾)㊉ )=©C¾)㊉ (Θ(¾)㊉ )„ ㊉ Θ(¾))㊉ = 。 在本实施例的基础上， 建立数字签名协议的优选实施例：
设需要加密的明文信息（已编码)为 m, 并设 Θ: ¾→{0, i 是一个抗碰撞的 Hash函数。 Alice的公钥是 ( ， LBn, RBn, g, Θ ), 并选取 α2, b b2, h, b4e LBn 私钥为 b b2。 Bob选取 c2, d d2, d3, d4e RBn, 并且以 d d2为私钥。 在核 心协议的五个步骤后继续进行如下进程：
6) 签名： Alice计算 A=b3— b4— ^ a1c1gc2a2和 S= Q(mKA), Alice将 S作为她 对文件 m的签名并将 O , )发送给 Bob。
7) 验证： Bob计算 β=ί3— ^― ^c^gi^ 和 S'=Q(mKB 如果 Bob则 认可 S是 Alice对文件 m的签名， 否则， Bob拒绝接受 S是 Alice对文件 m 的签名。 在本实施例的基础上，一种在核心协议基础上的身份认证协议的优选实施例：
Alice选取 Bn中一元素 g, 四个元素 «1, θ,
Figure imgf000015_0001
b2 LBn, 一 才重 Hash函 数 Θ: Βη→{ , 1 } 并计算 JC= b1a1ga2b2. Alice的公钥是 ( ， LBn, RBn, g, x, Θ ), 私 钥为 bl b2。
认证过程：
设 Alice是示证人 (prover), Bob是验证人 (verifier)。 ) Bob选取六个元素 ci, c2, dh d2, d3, d4≡RBn, 私钥为 d d2。 Bob计
Figure imgf000016_0001
并将 (y, w)作为挑战 (challenge)—发送给 Alice;
) Alice选取两个元素 b3, b4e L ,, 计
z=b^a\ya2b4和
Figure imgf000016_0002
并将 (z, M)作为响应（response)发送给 Bob;
) Bob计算 将 v作为挑战二发送给 Alice;
) Alice计
Figure imgf000016_0003
并将 作为承诺 (commitment)发送给 Bob;
) Bob
Figure imgf000016_0004
并马全证是否 = '。
如果 t=t', Bob认可 Alice的身份， 否则拒绝认可。 建立公钥密码体制的核心协议二的实施例：
在本实施例中， 协议双方分别是 Alice和 Bob,
1.1) Alice和 Bob共同选取 Bn中一元素 g, Alice选取两个元素 LBn和 d2e RBn 作为私钥， Bob选取两个元素 b2G LB AeR 作为私钥；
.1) Bob选取两个元素 a2 ≡LBn
Figure imgf000016_0005
并将 y发送给 Alice;
3.1) Alice选取四个元素 b4e LBn和 c2, d4e RBn , 计算
x= biaigc2d2 和 z=b4ai^c2<i4=b4ai<iiCiga2¾C2^4
并将 ( , 发送给 Bob;
4.1) Bob选取两个元素 e LBn和 d3e RBn, 计 和 并将 (w, v)发送给 Alice;
5.1) Alice计算 并将 u发给 Bob;
上述协议中的第 4)步中， 由于 d d2≡RBn, a a2, h, b4≡LBn, 所以 A—1, d2~x分 别与 b3, 和 , ί¾乘法可交换， 故得该步骤中最后一个等式。 同理得到第 5)步 中最后一个等式。
3.3 应用协议
在核心协议的基础上建立如下的应用协议， 在本实施例的基础上， 建立密钥交换协议的优选实施例：
在核心协议的五个步骤后继续进行如下进程：
6.1) Alice计算 ^ =^4 ^^4~1=«1^1^02^2而且 Bob计算 KB=d^1ub^1= Ciaigc2
由于 a2 LBn, ci, c2 RBn, 所以 与 d和 a2与 c2分别乘法可交换， 故 Alice和 Bob达成共享密钥 K=KA=KB。 在本实施例的基础上， 建立数据加密协议的优选实施例：
设需要加密的明文信息（已编码)为 e {0, i (即长度为 的 0-1数串)， 并 设 Θ: ¾→{0, i 是一个由群¾到明文空间 {0, \ }k抗碰撞的 Hash函数。 Alice 的公钥是 ( ， LBn, RBn, g, Θ ), 并选取 , b!, b4e LB„和 c2, d2, d4≡RBn, 私钥 为 b d2。 Bob选取 a2, b2, he LBn和 dx, d3≡RBn, 并且以 , b2为私钥。 在 核 ' ^协议的五个步骤后继续进行如下进程：
6.1) 加密： Bob先计算 ^bs— ^ di^ i^, 然后计算 (加密） =©C¾)® , 并 将 作为密文发送给 Alice。 这里的㊉是异或 (exclusive or)运算。
7.1) 解密： Alice先计算 A=b4— ^— ^ a^g^^, 然后计算 (解密）
'=©C¾)㊉ =Θ( Α)㊉ (Θ(¾)㊉ )
验证 m'=m 由密钥交换协议知 = β, 所以
'=©C¾)㊉ (Θ(¾)㊉ )=©C¾)㊉ (Θ(¾)㊉ )„ ㊉ Θ(¾))㊉ = 。 在本实施例的基础上， 建立数字签名协议的优选实施例：
设需要加密的明文信息（已编码)为 m, 并设 Θ: ¾→{0, i 是一个抗碰撞的 Hash函数。 Alice的公钥是 ( ， LBn, RBn, g, Θ ), 并选取 bl5 b4 e LBn和 c2, d2, d4≡RBn, 私钥为 b d2。 Bob选取 a2, b2, b3GLB dx, d3≡RBn, 并且以 d b2 为私钥。 在核心协议的五个步骤后继续进行如下进程：
6.1) 签名： Alice计算 A=b4— ^— ^ αχ^^^和 S= Θ(ΜΚΑ), Alice将 S作为她对 文件 m的签名并将 O , )发送给 Bob。
6.2) 验证： Bob计算 Kj^d^u Sc^gc 和 S'=Q(mKB 如果 Bob则认 可 S是 Alice对文件 m的签名， 否则， Bob拒绝接受 S是 Alice对文件 m的 签名。 在本实施例的基础上，一种在核心协议基础上的身份认证协议的优选实施例：
Alice选取 中一元素 g, 四个元素 fid, ^ 3„和 <¾, d2≡RBn, 一个抗碰撞的 Hash函数 Θ: Bn→{0, 1 } 并计算 JC= I hgd Alice的公钥是 ( ， LBn, RBn, g, x, Θ), 私钥为 , d2。 认证过程：
设 Alice是示证人 (prover), Bob是验证人 (verifier)。
) Bob选取六个元素 d d3≡RBn ^ a2, b2, b3≡LBn, 私钥为 b2, d Bob计算
Figure imgf000019_0001
并将 (y, w)作为挑战 (challenge)—发送给 Alice;
) Alice选取两个元素 b4e
Figure imgf000019_0002
i 4e R , 计算
z=b4ai_yc2<i4和
Figure imgf000019_0003
并将 (z, M)作为响应（response)发送给 Bob;
) Bob计算 v=i r b2— 1= <3iCigi¾<¾i 4, 并将 v作为挑战二发送给 Alice;
) Alice计算
Figure imgf000019_0004
并将 作为承诺 (commitment)发送给 Bob;
) Bob
Figure imgf000019_0005
©{clalgc2a2), 并验证是否 = '。
如果 t=t', Bob认可 Alice的身份， 否则拒绝认可。 安全性分析
我们仅给出密钥交换协议的安全性即可。
首先， 给出群上的三个判定问题的定义。
子群成员问题 (subgroup membership problem or generalized word problem, 筒记为 GWP): 给定群 G的一个其生成元集为 X的子群 H, 判定 G中任 意元素 g是否可由 X上的字代表， 即判定 g是否为 中元素。
元素分解搜索问题 ( decomposition search problem, 筒记为 DSP ) ： 设 g和 h 是群 G两个元素。 已知存在 G的两个元素 c和 d, 使得 h=cgd。 求 G的两个元素 和 d', 使得 h=c'gd'。 扩展的元素分解搜索问题 (generalized decomposition search problem, 筒 己 为 GDSP ) ： 设 g和/ Ϊ 是群 G两个元素， 和 是 G的两个子群。 已 知存在 H元素 c和 的元素 d, 使得 h=cgd。 求 H的元素 和 K的元 素 d' , 使得 h=c' gd'。
DSP是十分容易求解的： 令 c^g—1, d'=h即可。 而 GDSP的可判定性则不确 定。 然而， 对于无限非交换群中分解方程式 /i=Cgi (C和 未知)， 要确定地解出 C 和 d是不可能的。 应为人们不知道 c和 d的值， 即使通过求解 GDSP问题计算 得到的所谓的 "解， 和 if, 使得 h=c'gd', 也无法确定是否 c'=c和 ίΤ=ί。 特别地， 如 果 c和 d分别取自于具有不可解的 GWP问题的子群 C和 D, 求解者不仅无法确 定是否 c'=c和 d'=d, 而且他根本不能确定 和 if是否分别是 C和/)的元素。
在核心协议一中， 攻击方 Eve通过公开信息和 Alice与 Bob的交互式过程能 获取的信息如下：
无限非交换群 G, G的两个子群 A和 B, 使得对任意 ί^Α任意的 be B, 有 ab=ba, G中一元素 g, 以及下列 G中元素：
Figure imgf000020_0001
注意， Eve只知道 x, y, z, w, u, v, 不知道对应的分解表达式。 Eve如果能够通过解 决 GDSP问题而菝得 c , C2'G B, 和 a , a2' A, αχ ga =axga2 Ci gC2 =C\gc2, 则由 A和 B的元素乘法可交换性得
Figure imgf000020_0002
所以， Eve需要先获得元素 ί^β(2和 ί¾ί¾。
由于 Eve不 口道 和 她无法从 Λ:剥离掉^和^去菝得 和 从 y剥离掉 di和 d2去菝得 Cigc 而 Eve 口道 w= biub2和 z= divd2 (但不 口 bi, b2 和 d d2 )。 现在即使 Eve能解决 GDSP问题， 解得 b ， b^eA, 和 di , ά2ΈΒ, 使 得
Figure imgf000021_0001
d2。 从而 Eve仍然不能从 JC剥离掉 ^和 b2去获得 alga2, 和从 y剥离掉 A和 d2去获得 特别地， 在具体实施方案中无限非交换群 G取指数《≥12的辫群 Bn, Α和 分别取 Βη的子群 LBn和 RBn, 而私钥 b2和 d d2分别在 LBn的 Mihailova子群 MM(H)和 R 的 Mihailova子群 M^H)中选取， 则在上述 Eve的攻击中， 她通过 解决 GDSP 问题解得 bi , b2 LBn, 和 di , d2'eRBn, 使得 'ub^ u 和
Figure imgf000021_0002
d2, 因为 bi, b2<≡ MM(H), d d2≡ MRA(H), 从而她必须先确定是否 b ， b^eM H), 以及是否 d , d2 f≡ MRA( )。 但是 MM(H)和 M^H)的 GWP问题不可解， 故 Eve即使借助量子计算系统也无法 进行攻击。
在核心协议二中， 攻击方 Eve通过公开信息和 Alice与 Bob的交互式过程能 获取的信息如下：
无限非交换群 G, G的两个子群 A和 B, 使得对任意 ί^Α任意的 beB, 有 ab=ba, G中一元素 g, 以及下列 G中元素：
Figure imgf000021_0003
注意， Eve只知道 x, y, z, w, u, v, 不知道对应的分解表达式。 Eve如果能够通过解 决 GDSP问题而菝得 c , C2'G B, 和 a , a2' A, αχ gc =axgc2 Ci ga2=Ciga2, 则由 A和 B的元素乘法可交换性得
Figure imgf000022_0001
所以， Eve需要先获得元素 和 dgfi^
由于 Eve不 口道 aigc2和 Ciga2, 她无法从 x剥离掉 bi和 d2去菝得 aigc2, 和 从 y剥离掉 di和 b2去菝得 Ciga 而 Eve 口道 w=biud2和 z= divb2 (但不 口 bi, b2 和 d d2 )。 现在即使 Eve能解决 GDSP问题， 解得 b ， b^eA, 和 di , ά2ΈΒ, 使 得 bi'ud2'=biud2和
Figure imgf000022_0002
d2。 从而 Eve仍然不能从 JC剥离掉 ^和 d2去获得 algc2, 和从 y剥离掉 A和 b2去获得 特别地， 在具体实施方案中无限非交换群 G取指数《≥12的辫群 Bn, Α和 分别取 Βη的子群 LBn和 RBn, 而私钥 b2和 d d2分别在 LBn的 Mihailova子群 MM(H)和 R 的 Mihailova子群 M^H)中选取， 则在上述 Eve的攻击中， 她通过 解决 GDSP 问题解得 bi , b2 LBn, 和 di , d2'eRBn, 使得 'ud^ uh和
Figure imgf000022_0003
d2, 因为 bi, b2<≡ MM(H), d d2≡ MRA(H), 从而她必须先确定是否 b ， b^eM H), 以及是否 d , d2 f≡ MRA( )。 但是 MM(H)和 M^H)的 GWP问题不可解， 故 Eve即使借助量子计算系统也无法 进行攻击。 五、 参数的选取
在一个优选实施例中， 辫群 ¾的指数《≥12, 各协议中的子群 Α=Ζ^„, = ^„, ύίι, Ci, C2的选取要满足其乘积 不小于 256比特， 私钥 b b2, d d2均不 小于 256比特， 保护层元素 b3, b4, d3, ί4均不小于 128比特。
特别指出， 为抗量子计算攻击， 建议私钥 b b2和 ch, ί2分别在辫群 Β„的 Mihailova子群 MM(H)和 M^H)中选取。 从而， 由于 MM(H)和 MRA(H)的 GWP 的不可解性， 正如在安全性分析中所述， 即使借助量子计算系统3 b b2和 , d: 也是不可被攻击的。
以上是对本发明一种建立抗量子计算攻击的公钥密码的方法进行了阐述 : 用于帮助理解本发明， 但本发明的实施方式并不受上述实施例的限制， 任何未背 离本发明原理下所作的改变、 修饰、 替代、 组合、 筒化， 均应为等效的置换方式. 都包含在本发明的保护范围之内。

Claims

权 利 要 求 书
1. 一种建立抗量子计算攻击的公钥密码的方法， 其特征在于： 包括生成 共享密钥的方法， 所述生成共享密钥的方法包括如下步骤：
(11) 建立一个无限非交换群 G及 G的两个子群 A和 B, 使得对任意 aeA . 任意的 bG B, 等式 <^=ki(成立；
(12) 协议第一方选取 G中一元素 g, 其中， 协议第一方选取两个元素 bl b2eA作为私钥， 协议第二方选取两个元素 d d2≡B作为私钥；
(13) 协议第二方选取两个元素
Figure imgf000024_0001
并将 y发送给 协议第一方；
(14) 协议第一方选取四个元素 i¾, b3, b4eA, 计算
x= biaiga2b2 ^ z=b3ai^a2^4=^3«i^iCigc2<i2«2^4, 并将 ( , 发送给协议第二方；
(15) 协议第二方选取两个元素 υ4Ε , 计算 和 并将 (W, V)发送给协议第一方；
(16) 协议第一方计算
u=bi~1wb2~1=bi~1d3Cibiaiga2b2C2d4b2~1=d3Ciaiga2C2d4,
并将 M发给协议第二方；
(17) 协议第一方计算 A=b3— b4— ^fiddg fi^, 而且协议第二方计算
Figure imgf000024_0002
C\a\ga2C2■ 由于 , a2≡A, d, c2≡B, 所以 与 Cl和 a2与 c2分别乘法可交换， 故协议 第一方和协议第二方达成共享密钥 K=KA=KB。
2. 根据权利要求 1所述的建立抗量子计算攻击的公钥密码的方法， 其特 征在于： 还包括信息数据加密解密的方法， 所述信息数据加密解密的方法包 括如下步骤；
(21) 定义需要加密的已编码明文信息为 e{0, \}k , 即长度为 k的 0-1 数串;并定义 Θ: G→{ , i 是一个由群 G到明文空间 {0, i 抗碰撞的 Hash 函数， 协议第一方选取 (G, A, B, g, Θ )为其公钥；
(22)加密： 协议第二方先计算
Figure imgf000025_0001
然后进行加密计 算 =0(^¾® ,并将 作为密文发送给协议第一方， 这里的 ©是异或运算；
(23) 解密： 协议第一方先计算 ^b^vb ^ dgc^z, 然后进行解密计 算 '=©C¾)㊉=Θ0¾)㊉ (Θ( β)㊉ );
(24) 验证 m'=m: 由密钥交换协议知 = β , 所以
'=©C¾)㊉ (Θ(¾)㊉ )= Θ(¾)㊉ (Θ(¾)㊉ )„ ㊉ Θ(¾))㊉ = 。
3. 根据权利要求 1所述的建立抗量子计算攻击的公钥密码的方法， 其特 征在于： 还包括数字签名的方法， 所述数字签名的方法包括如下步骤：
(31) 将需要签名的已编码明文信息定义为 p，并定义 Θ: G→{ , i 是一 个抗碰撞的 Hash函数， 协议第一方选取 (G, A, B, g, Θ )为其公钥；
(32)签名： 协议第一方计算 A=b3— b4— ^ a1c1gc2a2 ^ S= Θ(ρΚΑ), 协议 第一方将 S作为它对信息 ρ的签名并将 /?)发送给协议第二方；
(33)验证： 协议第二方计算
Figure imgf000025_0002
Θ(ρΚΒ), 如 果 协议第二方则认可 S是协议第一方对信息 p的签名， 否则， 协议第 二方拒绝接受 S是协议第一方对信息 p的签名。
4. 根据权利要求 1所述的建立抗量子计算攻击的公钥密码的方法， 其特 征在于： 还包括身份认证的方法， 所述协议第一方为示证人， 所述协议第二 方为验证人； 所述身份认证的方法包括如下步骤：
(41) 协议第一方选取一个抗碰撞的 Hash函数 Θ: G→{ , 1}\ 协议第一方 选取 （G, A, B, g, Θ )为其公钥；
(42) 协议第二方计算 3=ί1( (¾ί2和 w^ dJC ^, 并将（y, w)作为挑战一发 送给协议第一方；
(43) 协议第一方计算
Figure imgf000026_0001
并将 (Z, M)作为响应发送给协议第二方；
(44) 协议第二方计算v=ίΓ1¾2— ^fliCig i^^, 并将 V作为挑战二发送给 协议第一方；
(45) 协议第一方计算
Figure imgf000026_0002
并将 作为承诺发送给 协议第二方；
(46) 协议第二方计算 =Θ(¾— ^― 4= ©(dfl!g^), 并验证是否 t=t', 如 ^ t= , 协议第二方认可协议第一方的身份， 否则拒绝认可。
5. 一种建立抗量子计算攻击的公钥密码的方法， 其特征在于： 包括生成 共享密钥的方法， 所述生成共享密钥的方法包括如下步骤： (11.1) 建立一个无限非交换群 G G的两个子群 A和 8， 使得对任意 aeA, 任意的 bGB, 等式 <2^=/?<2成立；
(12.1) 协议第一方选取 G中一元素 g, 其中， 协议第一方选取两个元素 bio≡A^d20eB作为私钥， 协议第二方选取两个元素 b20 e A和 d1Qe 作为私 钥；
(13.1) 协议第二方选取两个元素 <¾0GA和 c10eB,计算
Figure imgf000027_0001
并 将）发送给协议第一方；
(14.1) 协议第一方选取四个元素 β(10, b40eA和 c20, ί40ε , 计算
x= bi0aiogC2od2o 和 z=b4oaio};C2o^4o=¾oaio<iioCioga2o?2oC2o<i4o, 并将 (x， 发送给协议第二方；
(15.1) 协议第二方选取两个元素 b30eA和 ί30Ε , 计算
w=d3oC1oxa2oho=d3oCWbwaiogC2od2oa2o o
和
Figure imgf000027_0002
?4o"ioCiog<¾o<¾o<¾o 并将 (w, v)发送给协议第一方；
(16.1) 协议第一方计算
u=bw~1wd2o~1=blo~1d3oCiobwaiogC2od2oa2ob3od2o~1=d3oCioaiogC2oa2ob3o, 并将 M发给协议第二方；
(17.1) 协议第一方计算
Figure imgf000027_0003
而且协议第二方计 算 KB=di0~1nb?>o~1= Cioa10gc2a2；
由于 <210， a20 A, cio, c20e B, 所以 <210与 c10和 <¾0与 c20分别乘法可交换， 故 协议第一方和协议第二方达成共享密钥 K=KA=KB。
6. 根据权利要求 5所述的建立抗量子计算攻击的公钥密码的方法， 其特 征在于： 还包括信息数据加密解密的方法， 所述信息数据加密解密的方法包 括如下步骤；
(21.1) 定义需要加密的已编码明文信息为 e{0, \}k, 即长度为 k的 0-1 数串;并定义 Θ: G→{ , i 是一个由群 G到明文空间 {0, i 抗碰撞的 Hash 函数， 协议第一方选取 (G, A, B, g, Θ )为其公钥；
(22.1)加密： 协议第二方先计算
Figure imgf000028_0001
cwawgc2oa2o, 然后进行 加密计算 =0(^¾® , 并将 作为密文发送给协议第一方， 这里的㊉是异或运
(23.1) 解密： 协议第一方先计算 A=b4。— w— ^iidodogi^^, 然后进行 解密计算 '=©C¾)㊉=Θ0¾)㊉ (0C¾)® );
(24.1) 验证 m'=m: 由密钥交换协议知 = β , 所以
'=©C¾)㊉ (Θ(¾)㊉ )= Θ(¾)㊉ (Θ(¾)㊉ )„ ㊉ Θ(¾))㊉ = 。
7. 根据权利要求 5所述的建立抗量子计算攻击的公钥密码的方法， 其特 征在于： 还包括数字签名的方法， 所述数字签名的方法包括如下步骤：
(31.1) 将需要签名的已编码明文信息定义为/? ，并定义 Θ: G→{ , i 是 一个抗碰撞的 Hash函数， 协议第一方选取 (G, A, B, g, Θ )为其公钥；
(32.1)签名： 协议第一方计算
Figure imgf000028_0002
ακ^κ^ί^^和^ Θ(ρΚΑ), 协议第一方将 S作为它对信息 ρ的签名并将 O , /?)发送给协议第二方；
(33.1) 验证： 协议第二方计算
Figure imgf000028_0003
Θ(ρΚΒ), 如果 协议第二方则认可 S是协议第一方对信息 p的签名， 否则 协议第二方拒绝接受 S是协议第一方对信息 p的签名。
8. 根据权利要求 5所述的建立抗量子计算攻击的公钥密码的方法， 其特 征在于： 还包括身份认证的方法， 所述协议第一方为示证人， 所述协议第二 方为验证人； 所述身份认证的方法包括如下步骤：
(41.1) 协议第一方选取一个抗碰撞的 Hash函数 Θ: G→{ , 1 }\ 协议第一 方选取 （G, A, B, g, Θ )为其公钥；
(42.1) 协议第二方计算 y=<i10c10gfi(20b20和 w=<¾0c1&ra20b30, 并将 (y, w)作为 挑战一发送给协议第一方；
(43.1) 协议第一方计算
Figure imgf000029_0001
并将 (z, M)作为响应发送给协议第二方；
(44.1) 协议第二方计算
Figure imgf000029_0002
b4oawcwga2oC2od4o, 并将 v作为挑战 二发送给协议第一方；
(45.1) 协议第一方计算
Figure imgf000029_0003
并将 t作为承诺 发送给协议第二方；
(46.1) 协议第二方计算
Figure imgf000029_0004
©(cl0al0gC2Qa2Q), 并验证是否 t=t 如果 = ', 协议第二方认可协议第一方的身份， 否则拒绝认可。
9.根据权利要求 1-8所述的任一建立抗量子计算攻击的公钥密码的方法， 其特征在于： 所述无限非交换群 f为辫群， 所述辫群为具有子群成员不可解的 Mihailova子群， 且私钥在 Mihailova 子群中选取； 所述无限非交换群 G取指数为《^12的辫群 并由如下呈示所定义 的群：
Βη=(σι, ( , ..., σ„_ιΙ OiOj=OjOi , \i-\>2, +1 = +1 +1, \<ά<η-2 >, 辫群 ¾含有如下两个子群： 令 =L«/2」为不大于 nil的最大整数， 辫群 Bn的左辫子 LBn和右辫子 RBn 分别为
Figure imgf000030_0001
am+2, ..., σ„_ι >
^P, 分另l为由 , O2, <m-\ ^Om+l, <7m+2, On-l生成的子群， 并且， 对于任 意的 LBn和任意的 be RBn, 有 ab=ba,所述的 G的子群 A即取为 LBn,, 而 G的子群 即取为 当《^12时， /^„和 ^„分别含有一个与 F2xF2同构的子群， 即两个秩为 2的自由群的直积同构的子群：
LA=( <7 m-52, <7 m-42, <7 m-2 , (7m-\ )< LBn
和
RA=( <7 m+\ , <7 m+2 , O m+ , <^ m+52)≤ RBn ； 再由两个元素生成的其字问题不可解的有限呈示群 H, 构造 M的一个 Mihailova子群 MM(H)和 RA的 Mihailova子群
Figure imgf000030_0002
下方即为 MM(H)的 56个生成元， 其中 i=m—5; 而当令 = +l, 便可得到 MRA(H)的 56个生成元: ， « ' i =1 2， ···， 27 而 27个&,为：
Figure imgf000031_0001
「 (r ' , a 1 ' -L ;~'j σ'-' * fff
Figure imgf000031_0002
^Μ^ : <^^; ^· ύ- s
Figure imgf000031_0003
u「c1. h二l〜〜」〜〜
Figure imgf000032_0001
Figure imgf000033_0001
将上述每一 Sy中的所有 σ,换成 σί+3, 所有 σ,+1换成 i†4便得到对应的 27个 7>,戶1'2, .."27。
10. 根据权利要求 9所述的建立抗量子计算攻击的公钥密码的方法， 其 特征在于：所述辫群 ?„的指数《≥12； 子群为 =/¾和 ^? ； au a2, c c2
6 选取 足其乘只 <¾6·^( 2¾■不小于 256 t匕特或 «10, "20, t'lo, C'20的选取满足其 乘积 au>cl0ga2Oc'20不小于 256比特； 私钥 b b2, dh d2或 bw, b2o, dnh d20均不 小于 256比特； 保护层元素 b3, b4, ck, rf4或 bM, b4Q, d30, d40均不小于 128比特。
PCT/CN2013/088475 2013-12-04 2013-12-04 建立抗量子计算攻击的公钥密码的方法 WO2015081505A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/CN2013/088475 WO2015081505A1 (zh) 2013-12-04 2013-12-04 建立抗量子计算攻击的公钥密码的方法
CN201380001693.XA CN105393488B (zh) 2013-12-04 2013-12-04 建立抗量子计算攻击的公钥密码的方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2013/088475 WO2015081505A1 (zh) 2013-12-04 2013-12-04 建立抗量子计算攻击的公钥密码的方法

Publications (1)

Publication Number Publication Date
WO2015081505A1 true WO2015081505A1 (zh) 2015-06-11

Family

ID=53272735

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/088475 WO2015081505A1 (zh) 2013-12-04 2013-12-04 建立抗量子计算攻击的公钥密码的方法

Country Status (2)

Country Link
CN (1) CN105393488B (zh)
WO (1) WO2015081505A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106411504A (zh) * 2015-07-31 2017-02-15 腾讯科技（深圳）有限公司 数据加密系统、方法及装置
WO2017063114A1 (zh) * 2015-10-12 2017-04-20 王晓峰 建立抗攻击的安全性公钥密码的方法
US11228432B2 (en) * 2019-03-04 2022-01-18 Siavash Bayat-Sarmadi Quantum-resistant cryptoprocessing

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019000231A1 (zh) * 2017-06-27 2019-01-03 王威鉴 建立抗攻击的公钥密码的方法
CN114640463B (zh) * 2022-02-25 2023-05-12 深圳大学 一种数字签名方法、计算机设备及介质

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103414569A (zh) * 2013-08-21 2013-11-27 王威鉴 一种建立抗攻击的公钥密码的方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101931528B (zh) * 2010-07-23 2011-12-07 北京邮电大学 一种对傅里叶变换量子秘密共享系统的攻击方法
CN101931527B (zh) * 2010-07-23 2011-12-07 北京邮电大学 对反直观量子密钥分配系统的单光子分束攻击方法
CN102164032A (zh) * 2011-05-19 2011-08-24 吉林大学 抗量子攻击的非确定的公钥密码构造方法

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103414569A (zh) * 2013-08-21 2013-11-27 王威鉴 一种建立抗攻击的公钥密码的方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
LI, HUIXIAN ET AL.: "Certificateless Multi-receiver Signcryption Scheme Based on Multivariate Public Key, Cryptography", CHINESE JOURNAL OF COMPUTERS, vol. 35, no. 09, 30 September 2012 (2012-09-30) *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106411504A (zh) * 2015-07-31 2017-02-15 腾讯科技（深圳）有限公司 数据加密系统、方法及装置
WO2017063114A1 (zh) * 2015-10-12 2017-04-20 王晓峰 建立抗攻击的安全性公钥密码的方法
CN106664199A (zh) * 2015-10-12 2017-05-10 王晓峰 建立抗攻击的安全性公钥密码的方法
US11228432B2 (en) * 2019-03-04 2022-01-18 Siavash Bayat-Sarmadi Quantum-resistant cryptoprocessing

Also Published As

Publication number Publication date
CN105393488B (zh) 2019-07-09
CN105393488A (zh) 2016-03-09

Similar Documents

Publication Publication Date Title
WO2015024149A1 (zh) 一种建立抗攻击的公钥密码的方法
He et al. A pairing‐free certificateless authenticated key agreement protocol
CN107911209B (zh) 建立抗量子计算攻击的安全性公钥密码的方法
Gupta et al. An ECC‐based authenticated group key exchange protocol in IBE framework
WO2017063114A1 (zh) 建立抗攻击的安全性公钥密码的方法
WO2015081505A1 (zh) 建立抗量子计算攻击的公钥密码的方法
CN112417489B (zh) 数字签名的生成方法、装置和服务器
TWI455555B (zh) Authentication device, authentication method, and program
TW202232913A (zh) 共享金鑰產生技術
Azarderakhsh et al. How not to create an isogeny-based PAKE
CN110086630B (zh) 基于爱德华兹曲线数字签名的生成方法
CN108964906B (zh) 协同ecc的数字签名方法
WO2022116175A1 (zh) 数字签名的生成方法、装置和服务器
Tsai et al. Multi‐document threshold signcryption scheme
Wen et al. Secret handshakes from ID-based message recovery signatures: A new generic approach
Terada et al. Password-based authenticated key exchange from standard isogeny assumptions
CN117240467A (zh) 一种实现门限签名的方法、系统和节点
US20190215148A1 (en) Method of establishing anti-attack public key cryptogram
Liao et al. Cryptanalysis of an identity-based encryption scheme with equality test and improvement
Tahat et al. A new digital signature scheme with message recovery using hybrid problems
Jarecki et al. On the insecurity of proactive RSA in the URSA mobile ad hoc network access control protocol
JP4612027B2 (ja) 署名システム
CN113330712A (zh) 采用基于排列群的加密技术的加密系统及方法
Wang Signer‐admissible strong designated verifier signature from bilinear pairings
WO2019000231A1 (zh) 建立抗攻击的公钥密码的方法

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201380001693.X

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13898822

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13898822

Country of ref document: EP

Kind code of ref document: A1