1、 分类号： 密级： UDC： 学号： 南 昌 大 学 硕 士 研 究 生 学 位 论 文 可证明安全的无证书签密及其应用研究 培养单位（院、系）： 软件学院 软件工程 指导教师姓名、职称： 指导教师姓名、职称： 申请学位的学科门类 ： 工 学 学科专业名称： 软件工程 论文答辩日期 ： 年 月 日 答辩委员会主席： 评阅人： 年 月 日标准模型下的无证书签密算法及其应用研究 I 摘要 标准模型下的无证书签密算法及其应用研究 II ABSTRACT 标准模型下的无证书签密算法及其应用研究 III 目录 摘要 . I ABSTRACT . II 目录 . III 第 1 章 绪论 .1 1.1 研
2、究背景与意义 .1 1.1.1 信息安全概述 .1 1.1.2 公钥密码体制发展综述 .2 1.1.3 签密的重要意义 .3 1.2 无证书密码体制的发展和研究现状 .4 1.2.1 标准模型下的无证书签密体制的研究现状 .4 1.2.2 即时通讯系统中无证书签密体制发展研究现状 .4 1.2.3 其他签密应用的研究现状 .5 1.3 论文的主要内容和结构安排 .6 1.3.1 主要工作 .6 1.3.2 论文结构 .6 第 2 章 预备知识 .7 2.1 双线性对的基本知识 .7 2.2 数学困难问题 .7 2.3 公钥密码体制和相关签名算法 .8 2.3.1 公钥密码体制概述 . 错误 !
3、未定义书签。 2.3.2 Cramer-Shoup 公钥密码体制 .8 2.3.3 BLS 短签名方案 .9 2.4 可证明安全理论概述 .9 2.4.1 Dolev-Yao 威胁模型 .10 2.4.2 随机预言模型 . 11 2.4.3 标准模型 .12 第 3 章 基于标准模型的短签密方案研究 .13 标准模型下的无证书签密算法及其应用研究 IV 3.1 通用模型 .13 3.2 安全模型 .13 3.3 方案描述 .16 3.4 安全证明 .18 3.4.1 正确性 .18 3.4.2 机密性 .18 3.4.3 不可伪造性 .23 3.5 性能分析 .26 3.6 本章小结 .27
4、第 4 章 基于无证书的即时消息签密方案 .28 4.1 通用模型 .28 4.2 方案描述 .28 4.3 安全证明 .29 4.3.1 正确性 .30 4.3.2 机密性 .30 4.3.3 不可 伪造性 .32 4.3.4 抵抗临时密钥攻击 .32 4.4 性能分析 .33 4.5 基于无证书的即时通信系统签密方案 .33 4.5.1 方案描述 .33 4.5.2 模拟结果 .34 4.6 本章小结 .35 第 5 章 总结与展望 .36 5.1 总结 .36 5.2 后续研究展望 .36 致谢 .38 参考文献 .39 攻读学位期间的研究成果 .42 标准模型下的无证书签密算法及其应用
5、研究 1 第 1 章 绪论 1.1 研究背景 与 意义 随着 信息科技的发展， 信息 网络已经涉及到了当今社会的方方面面， 大到国家的 国防安全， 小 至人民生活。 21 世纪 就是一个信息的时代。信息 科技 的发展 给人们 生活 带来 了 很大 的便利，但同时我们也为网络的不安全 感到 担忧。 网络 是一个大的环境，其中有很多 存在 着众多不安全的因素。 2013 年 ，斯诺登事件曝光了美国政府的棱镜计划，更能看出网络其实是很不安全 的， 但是我们每个人又都已经参与到了其中，所以安全问题 是 我们必须关心的重大问题。 在 信息安全中，密码学是一个基础， 这几年 ，密码学 的 知识得到了很大的
6、发展，信息安全技术也越来越丰富，国家对网络安全的投入也越来越大，对民众的安全宣传也越来越多。 他 不 再 仅仅是一种 科学 技术，而已经上升到了一种 国家 策略 ，成为 各国 政府和机构的重点研究内容。 1.1.1 信息安全 概述 电子 信息 技术发展以来 ， 信息安全也 逐渐得到了很大的发展 ， 主要 经历 了三个阶段： （ 1） 在 20 世纪 60 年代 以前 ， 电子信息技术 还不是 那么普及，人们对信息安全的定义只是保证信息在 交换过程中不被 泄漏，即 信息 保密 。所依赖的也是密码学最初 时 的安全 理论 和技术 。 （ 2） 20 世纪 60 年代 后， 计算机的 软硬件都 得到
7、 快速 发展 ，网络技术也开始 普及 ，传统的信息安全定义已完全不能满足 科技 的 快速 发展 。 此时 的 信息安全包含了 三个 要素 ： 机密 性 （ Confidentiality） 、完整性（ Integrity） 和 可用性（ Availability） ， 即 CIA-Triad。机密性 即确保信息在存储、使用和传输过程中不会泄露给非授权的用户或实体；完整性即确保信息在存储、使用和传输过程中不会被非授权用户篡改，同时还要防止授权用户对系统及信息进行不切当的篡改，保持信息内、外部表示的一致性；可用性即确保授权用户或实体对信息及资源的正常使用不会被异常拒绝，允许其可靠而及时地访问信息及
8、资源。 （ 3） 20 世纪 80 年代 以后， 互联网技术 快速发展，信息量无论是 已有的基数，还是增加的速度都达到了空前的状态。 尤其 是 当前大数标准模型下的无证书签密算法及其应用研究 2 据时代的到来，信息安全的 需求 已经完全超过 机密性、 完整性 和 可用性 三个特性 所 定义 的范畴， 由此更多 的安全 定义 被提了出来 ， 其中包括不可伪造性（ Unforgeability） 、可认证 性（ Authenticity） 、 前向安全性（ Forward Secrecy） 、过去恢复性（ Past Recovery） 和临时 密钥安全性 （ Known session-speci
9、fic temporary information security） 等 1。 1.1.2 无证书 密码体制发展综述 1976 年， Diffie 和 Hellman2发表了 New directions in cryptography一文，提出了公钥密码学发展的 新方向 ，奠定了公钥密码 体制 的基础 ，具有 划时代 的意义 。 公钥 密码学的发展 经历 了三个主要阶段： 传统 的基于 证书 的公钥密码体制、基于身份的公钥密码体制和无证书公钥密码体制。 在 无证书公钥 系统中 ， 用户的私钥不由 密钥 生成中心（ Key Generate Center，简称 KGC）直接分发，而是分成 两
10、部分 ，一部分用户自己 生成 ，另一部分则 由 KGC 生成。这样 做 有两个好处，一是减少了证书 生成 、更新、吊销和管理等 复杂 的运营操作 ， 二是 KGC 不 拥有用户的完成的私钥，避免了密钥管理的安全缺陷。而 这两者 恰恰 分别是 传统基于证书的公钥密码体制和基于身份的公钥密码体制的弊端。 无证书密码 的概 念 提出 以来 ，有众多的优秀的无证书方案提出 。在 这些 方案中，有基于 椭圆 曲线上的双 线性对 运算 的 3-6，也有不依赖双 线性对 的 方案 7-9提出 ， 还有 其他 各种 形式的扩充。 总之 ，无证书密码的提出，为公钥密码体制的发展开辟了一个全新的方向， 将 公钥密
11、码体制的发展上升了一个新的台阶，为更多的应用场景提供了更佳的解决方案，是未来密码学发展的一个热门的方向。 无证书公钥密码体制在 2003 年被 Al-Riyami 和 Paterson10提出，在其中将用户私钥划分成两部分，一部分由 KGC 生成，一部分用户自身生成。由此克服了密钥托管的问题。机密性和可认证性是密码学的两个重要特性，传统的方法是先签名后加密。签密是在一个逻辑步中同时实现对明文的签名和加密，该密码原语既精简了计算量，又能够节约通讯成本。 2008 年， Barbosa 和 Farshim11提出了第一个无证书签密方案，并且在随机标准模型下的无证书签密算法及其应用研究 3 预言模型
12、下是可证安全的。在此之上，又陆 续有很多基于无证书签密的方案 12-14提出。但是此类方案大部分均是在随机预言模型下可证安全。随机预言模型下的可证安全，在现实的使用中是存在不安全因素的。当执行一个在随机预言模型下可证安全的方案时，方案中的随机预言机将会由具体的哈希函数来代替，由此会引发安全性问题。近年来，在签密方案的可证安全过程中，标准模型得到了广泛关注。在标 准模型的安全证明环节中不存在任何假想，仅依靠一些已被广泛接受的假设进行证明，因此其签密方案的安全系数更高，在现实使用中的安全性更有保障。 1.1.3 签密的 重要意义 在 密码学发展的过程中， 为了 实现保密性和可认证 性 ， 几乎 所
13、有的加密方案都采取了先 签名后 加密的方式 ， 而对加密和签名的研究都是分开的。 但是，随着应用 越来越 丰富，对安全 性 的需求也不一样。很多 的应用场景 中 要求 同时实现信息的加密和签名。传统 的先签名 后 加密 的方式虽然能够实现这种需求，但是效率不是很 高 ，方案的 计算量 和 通信 成本 往往 都 是 签名和加密的叠加。 由此 ，签密 （ Sigcryption） 的概念在 1997 年被 Zheng15提出 ， 由此 开辟了密码算法研究的一个新方向。 签密 较传统 “先签名 后加密 ”的理念设计 有一些独到的 优点 ：（ 1） 精简了密码 算法的设计 ，将加密 和签名的两部分操作
14、集成在一 个 操作 步 上 ； （ 2） 算法的计算量更少，可以 减去 一些复杂的密码操作，在实际应用中就可以 降低 通信的成本 和 资源；（ 3） 设计 的签密方案安全性更高，能 够抵抗 更 复杂 的 不安全 攻击 。 签密技术的 发展，已经得到了很多学者的注意 ，也由此发展的越来 越 迅速 。近年来 ，签密方案 的 安全性保障已经得到了 公认 ， 理论研究 和应用设计越来越多，应用的场景也越来越丰富， 其中 包括电子支付 16-17、 MANET网络 18-19、防火墙 20等 标准模型下的无证书签密算法及其应用研究 4 1.2 无证书 密码体制 的 发展和 研究 现状 1.2.1 标准模
15、型下 的 无证书 签密 体制的研究 现状 在 2009 年， Yu 等人 21首次提出标准模型下的基于身份的签密方案，但其在密文的不可区分性上有缺陷。 Li等人 22在 Yu 的方案的基础上进 行修改，提出了一个新的基于身份的签密方案，在减小计算量的同时保证了安全性。 2010 年，Liu 等人 3提出了第一个标准模型下的无证书签密方案，但后来 Miao 等人 23指出， Liu 的方案不符合机密性和不可抵赖性的要求，同时 Weng24中也指出了 Liu的方案不能抵抗恶意的 KGC 攻击。 2014 年， Lin等人 25通过对 Liu的方案进行修改，使之能抵抗两类敌手的攻击，同时具有更少的计
16、算量。同样对 Liu的方案进行优化和提升还有 Jin 等人 26，但后来 Hu27指出 Jin 的方案既不能抵抗适应性选择密文的攻击，也不能抵抗恶意的 KGC 攻击，并给出了证明过程。同时，Hu基于 Li的签密方案，借助于 Bellare 和 Shoup 的一次性签名方法，提出了一个标准模型下的无证书签密方案，并证明了方案的机密性和不可伪造性。 1.2.2 即时通讯 系统中无证书签密体制发展研究 现状 即时通讯 技术是近年来发展最迅速的网络应用之一 ， 在网络上实时对话 ，发送文字、语音、视频和图片 等 信息 。 近年来 ， 即时通讯技术 已经得到了很快的发展。但 同时 ， 由于 网络环境的复
17、杂性，即时通讯系统也面临 着 很严峻的安全问题 ， 而且安全 事件 频频发生。 即时 通讯系统所面临的主要安全问题包括 不安全 的 连接 、数据交换、网络蠕虫等。 Liu等人 使用 组播树 28和衍生 法 29的对 不同 时期的 恶意 即时通讯 应用 进行了建模分析 。 Yan等人 30基于变点 检测的 知识 ，提出了两种 算法 用于 快速 检测 恶意 的即时通讯应用。在 2012 年 ， Xie 等人 31基于 蜜罐技术提出了一种框架模型， 实现 恶 意即时 通讯 应用的自动化检测， 在 企业化的网络中降低危害。最近 ， Wang等人 32使用 基于身份的公钥密码体制的知识 提出了一种新的
18、即时通讯系统 ， 并声称能够 提供强壮的 可验证性 ， 保证通信安全。 然而， 在这些方案中，几乎所有的方案都没有提供消息 可认证性 和 机密性，并且依然使用传统的先签名后加密的 方法， 大大增加了 算法 的消息长度和标准模型下的无证书签密算法及其应用研究 5 运算成本。 自 2008 年 ， Barbosa 和 Farshim11提出 了第一个无证书签密方案后，越来 越多 的方案 相继 被提出。 Barbosa 他们 的方案需要 六次 线性对运算，计算量很大，对计算机的 资源 要求很高。后来 ， Li 等人 33提出 了一个 效率 更高的可证安全的无证书签密方案，计算过程中 只 含有 两次
19、线性对运算。但是 他们 的方案不能抵抗临时密钥攻击 （ Known session-specific temporary information attack，简称KSSTI）。在 2013 年 ， Li 等人 34在无证书 的 基础上 ，提出了一个混合签密的概念 ； 后来 Luo 等人 35也 在无证书的基础上， 拓展 实现了 基于 生物特征的无证书签密方案。 随着 发展 ， 无证书签密 应用 的领域越来越广泛，在很多场景中都得到了应用，比如 电子货币 36、 物联网 14。 1.2.3 其他 签密应用的研究 现状 自 Diffie 和 Hellman提出公钥 密码的 思想后 ， 国内外 的
20、 学者和 专家们 设计 了很多优秀且 有名的 其他公钥密码 体制 。其中常见 的公钥密码体制按设计理念的不同 主要 包括 以下几类 ：（ 1） 基于 大整数因数分解困难问题，著名的包括 RSA公钥体制 37；（ 2）基于离散对数困难 问题 ，著名 的 设计 有 ElGamal公钥 体制 38、椭圆曲线密码公钥 体制 39； （ 3） 基于背包 问题的 MH 背包 体制 40等。 这些著名的 密码 思想 已经影响了近几十年 密码学的发展 ，奠定了密码学发展 坚实 的基础。另外 ， 近几年 来 ， 伴随 着量子 计算机的研究和发展， 也 已有 学者 开始研究量子密码体制的 方案 。 从应用 领域的角度来看， 基于椭圆曲线上 的 离散 对数 困难的困难 问题 的签密 方案，相较而言 所需要 的计算量更少、计算模长更短，在 移动通信 、 无线传感网络、智能卡等网络资源相对受限的应用场景中，得到了关注度更 高 【】 。 伴随着互联网 的 迅速 发展 ，密码学 应用的场景 越来越 多样 ， 产生的 思想 和设计 也就 越多 ，其中 包括 一些特殊 性质 的方案。 Wang等人 41提出 了无证书的门限签名方案，创新之处在于对 方案 中系统主密钥、用户私钥 等 参数和变量都使用 门限 ， 但是 没有给出安全性证明的过程。
