178 计算机科学 2018 年异构域之间的密钥协商协议, 其可以安全高效地实现 PK 域与 BC 域之间的认证. 在基于身份的认证系统中, 实体身份的即时撤销是一个难题, 而上述方案并未考虑身份的撤销. 为了保障用户访问的信息服务资源是合法的, 需要设计一种可撤销的签名方案来实现基于身份

Size: px

Start display at page:

Download "178 计算机科学 2018 年异构域之间的密钥协商协议, 其可以安全高效地实现 PK 域与 BC 域之间的认证. 在基于身份的认证系统中, 实体身份的即时撤销是一个难题, 而上述方案并未考虑身份的撤销. 为了保障用户访问的信息服务资源是合法的, 需要设计一种可撤销的签名方案来实现基于身份"

秃瓦岩姜
5 years ago
Views:

1 第４５卷第９期２０１８年９月计算机科学 COMPUTER SCENCE V ４５N ９ Sp ２０１８一种新的信息服务实体跨域认证模型谢艳容马文平罗维 (西安电子科技大学综合业务网国家重点实验室西安７１００７１) 摘要为解决基于身份的信息服务多信任域认证系统不能实现身份即时撤销的问题,提出了一种可撤销的身份签名方案.在 SM９(国产标识密码)签名算法的基础上,引进一个安全仲裁来保管实体的部分私钥,通过终止安全仲裁给实体发送签名信令来撤销实体的签名能力,从而实现身份的即时撤销.在该方案的基础上,利用基于证书的公钥基础设施( PK)与基于身份的密码体制( BC)的组合应用优点,提出了一种新的信息服务实体跨域认证模型. 该模型不仅具有灵活高效的认证特点,而且适合构建大规模信息服务实体的应用环境.同时,设计了一种跨域认证协议,实现了跨信任域的双向实体认证和密钥协商.分析结果表明,该协议具有较高的安全性及较少的通信量和计算量. 关键词信息服务,认证, SM９,安全仲裁,身份撤销,密钥协商中图法分类号 TP３０９文献标识码 ADO１０１１８９６/ １００２１３７X ２０１８０９０２９ j NwC dm A h Md m S E XE Y gma W p gluo W ( S KLb g ds N w k, X d U X ７１００７１, Ch ), Ab T hp b m h h d m SE) b kdmmd ( h dm h m, b d b d hmw p p d B d hsm９ g hm, ( SEM)w d d k pp hp k h SE B m g g md g hsem d h k SE k pb h d SE b kdmmd g, B d h hm, w dm h md SEw p p db k g h mb gd b dpb k ( PK)d d b d g ph( BC) Thp p d md g p x b d, b b g pp m SE M wh, g dm h p w d z hm h w hkg m b w gd dm A hw h hp p dp h h w mm d mp gh d K d m, A h, SM９, S, d, Kg m md w 使用方便易于维护等优点.目前,基于身份的多信任域认证１引言针对大规模异构网络环境下不同种类信息服务实体( m S E SE)之间存在多业态交互复杂的, 结构模式,研究信息服务可信标识的签发更新撤销和跨域认证机制具有重要意义. [ １] 在分布式网络环境中,跨信任域的认证方案主要基于３个框架 : １)基于对称密钥的认证框架; ２)基于 X ５０９数字证 [ ２] 模型 [２４]成为主流,较传统 PK 认证框架在通信和计算成本上更具优势.文献[ ２]的模型在实现 BC 域间认证的同时保证了实体的匿名性,但是该协议被证明容易受到假冒攻击. 文献[ ５]提出了一种安全的匿名认证方案,其可以抵抗假冒攻击.文献[ ６]于２０１３年提出了两种适用于移动设备的基于身份的认证方案,但是这两种方案都存在安全漏洞,容易受到假冒攻击和密钥泄露假冒攻击. 文献 [ ７]提出了一种改进的书的公钥基础设施 ( Pb K, PK)认证框２PAKE 方案,该改进方案可以弥补上述缺点,保证了客户端应用环境; ３)基于身份的密码体制( d B dc g p 算 D H m 问题提出了基于身份的双方认证密钥协商架,该框架避开了复杂的对称密钥管理难题,适合构建大型的 BC)认证框架,该框架简化了证书的管理,具有无目录 ph, 与服务器间的通信安全.为了降低通信成本,文献[ ８]基于计协议,消除了双线性对运算. 文献 [ ９]于２０１７年提出了两种到稿日期: ２０１７０８０５返修日期: ２０１７１１１３本文受国家自然科学基金( ６１３７３１７１),高等学校创新引智计划项目 ( B０８０３８),国家重点研发计划重点专项( ２０１７YFB０８０２４００)资助. 谢艳容( １９９２ ),女,硕士生,主要研究方向为信息安全和通信理论, Em : x g１２２６１６３ m;马文平 ( １９６６ ),男,教授,博士生导师, 主要研究方向为密码学和信息安全, Em : wp_m m x d d (通信作者 );罗维 ( １９８７ ),男,博士生,主要研究方向为密码学和云计算安全.

2 178 计算机科学 2018 年异构域之间的密钥协商协议, 其可以安全高效地实现 PK 域与 BC 域之间的认证. 在基于身份的认证系统中, 实体身份的即时撤销是一个难题, 而上述方案并未考虑身份的撤销. 为了保障用户访问的信息服务资源是合法的, 需要设计一种可撤销的签名方案来实现基于身份的信息服务多信任域的跨域认证. 现有的基于身份的认证方案通常是由私钥生成中心 (PKGG,PKG) 停止为实体更新私钥来达到密钥撤销的目的, 这就要求 PKG 必须保持在线, 并且该方法不能立即撤销实体身份. 文献 [10] 提出将实体的标识和时间有效期附加到实体公钥中, 但它需要事先知道何时撤销, 不够灵活. 文献 [11] 提出了第一个基于仲裁的身份签名 (MdddGBd Sg,mBS) 方案. 该方案引入了一个安全仲裁 (SG Md,SEM),PKG 将实体的私钥分割成两部分, 分别由 SEM 和实体保管, 通过命令 SEM 停止为实体生成签名信令来实现身份的快速撤销. 但是, 该方案将明文消息发送给 SEM 验证也是不安全的. 文献 [12G13] 利用此思想解决了多媒体互联网中用户的立即撤销和密钥更新问题. 由于政府部门高度重视国产密码算法的推广,SM9 密码算法作为一种基于双线性对的标识密码体制 (BC) 得到了迅速的发展. 本文基于仲裁的身份撤销机制对 SM9 数字签名算法进行改进, 设计了一种可撤销的身份签名方案 (SM9_mBS). 通过分析现有的认证框架可知,BC 不适合在大型的网络环境中使用, 因此结合 PK 和 BC 的互补性优点, 提出了针对信息服务实体的跨域认证模型来实现大规模异构网络环境下信息服务实体与用户的交互 ; 并且基于 SM9_mBS 方案设计了跨域双向实体认证协议, 通过与现有协议对比得出该协议是安全的, 其通信量和计算量的增幅较小, 因此该协议不仅具有可撤销性, 而且符合国家对国产密码的推广需求. 2 基于仲裁的 SM9 签名方案 2.1 SM9_mBS 方案为了实现基于身份的信息服务实体的跨域认证, 本文给出了一种可撤销的身份签名方案 (SM9_mBS). 该方案包括 4 个算法 : 参数生成算法 (Sp) 密钥生成算法 (KG) 签名算法 (Sg) 和验证算法 (V). (1)Sp 设 (G1,+),(G2,+),(GT, ) 是 3 个阶为素数 N(N> 2 λ ) 的循环群,P1 是 G1 的生成元,P2 是 G2 的生成元, 存在 G2 到 G1 的同态映射 ψ, 使 ψ ( P2)=P1; 双线性对是 G1 G2 GT 的映射, 满足双线性性非退化性可计算性 [10]. 与 SM9 数字签名算法 (SM9_BS) 相同, 使用两类辅助函数 : 密码杂凑函数和随机数发生器. 选取密码函数 H1(Z, ) 和 H2(Z,), 输入为比特串 Z 和整数, 输出分别为整数 h1 [1,-1] 和整数 h2 [1,-1]. 其中,H1 (Z,) 和 H2(Z,) 都调用 SM3 密码杂凑函数 Hν(). PKG 产生随机数 [1,N-1] 作为系统主密钥, 计算 G2 中的元素 P pb = []P2 作为系统公钥, 则主密钥对为 (, P pb ).PKG 秘密地保存主密钥, 系统公开参数为 (N,P1, P2,G1,G2,P pb,h1,h2). (2)KG 1)SE 密钥生成符 hd. PKG 选择并公开用一个字节表示的私钥生成函数识别设 SE 的标识为 D, 公私钥分别为 QD 和 dd.pkg 首先计算 1=H1(D hd,n)+, 若 1=0 则重新产生主密钥和系统公钥, 并更新已有的 SE 私钥 ; 否则计算 2= -1 1, dd =[2]P1. dd =[2]P1=[/(H1(D hd,n)+)]p1 (1) QD =[H1(D hd,n)]p2+p pb (2) 2) 密钥分割 PKG 随机选择 1 [1,N-1], 计算 d SE D =[1/(H1(D hd,n)+)]p1=[ 1 1 ]P1, 则 d m D =dd -d SE D =[(-1)md N/1]P1, 并将 d SE D 发送给 SE,d m D 交给 SEM 秘密保存. (3)Sg 设待签名消息为比特串 M, 为了获取 M 的数字签名 (h, S),SE 和 SEM 应执行以下步骤. 1)SE 对消息 M 签名前 1 随机选择点 P1 G1, 整数 [1,N-1]; 2 计算群 GT 中的元素 w =(P1,P pb ), 将 w 的数据类型转换为比特串 ; 3 计算整数 h=h2(m w,n),l= (-h)mdn; 若 L=0 则返回 1; 4 将请求 R=(D,L) 发送到 SEM 以申请签名信令. 2)SEM 收到签名请求后 1 检查 SE 的 D 是否被撤销, 如果 D 已被撤销, 则返回 D 已撤销, 否则进入 2; 2SEM 计算签名信令 Sm = [L] d m D = [L][(-1) mdn/1]p1, 并将 Sm 发送给 SE. 3)SE 签名 1 计算签名 SSE=[L] d SE D =[L][1/1]P1; 2 收到 SEM 的信令 Sm 后, 计算签名 S=Sm+SSE ; 3 计算 P=[H1(D hd,n)]p2+p pb,w =(S,P) (P1,P pb ; 4 验证 :w =w, 检验信令 Sm 是否为本次签名请求的有效信令. 当且仅当 w =w, 将 h 和 S 的数据类型转换为字节串, 输出消息 M 的数字签名 (h,s). 下验证. (4)V 验证者收到消息 M 及其数字签名 (h,s ) 后对其进行如 1) 将 h 的数据类型转换为整数, 检验 h [1,N-1] 是否成立, 若不成立则验证不通过 ; 2) 将 S 的数据类型转换为椭圆曲线上的点, 检验 S G1 是否成立, 若不成立则验证不通过 ; 3) 计算整数 h1=h1(d hd,n), 群 G2 中的元素 P= [h1]p2+p pb ; 4) 计算群 GT 的元素 g=(p1,p pb,=(s,p),w =

3 第 9 期谢艳容, 等 : 一种新的信息服务实体跨域认证模型 179 g, 将 w 的数据类型转换为比特串 ; 5) 计算整数 h2=h2(m w,n), 当且仅当 h2=h, 接受 SE 对消息 M 的签名 (h,s ). 2.2 方案正确性 SE 通过计算验证因子 w =w 来检验签名信令 Sm 是否为本次请求的有效信令, 只有正确的签名响应才能通过 SE 验证. 此外, 当 w =w 时, 显然有 h2=h, 验证签名通过. w = g=(s,p) (P1,P pb =([L] (d m D +d SE D ),P) (P1,P pb =([L][2]P1,[h1]P2+P pb ) (P1,P pb =([L][2]P1,[h1]P pb /) ([L][2]P1,P pb ) (P1,P pb =(P1,P pb ) [L][ 2 ] [h 1 ]/ (P1,P pb ) [L][ 2 ] (P1, P pb (-h)mdn+h mdn =(P1,P pb ) =(P1,P pb ) =w 2.3 不可伪造性 qgsdhp(qgsgdghmpbm) 问题描述为 : 在阶为素数 p 的群 (G1,G2) 中, 给定一个 q+2 元组 (P,Q, αq ἀ 2 Q, ἀ q Q), 寻找一个对 (, α +α P ) 是困难的, 这里 Z p. 定义 1 如果没有概率多项式时间的敌手 A 以不可忽略的优势赢得下面的游戏, 则称 SM9_ mbs 是 EUFGmBSG CMA(ExUgg AdpCh MG gddakhmdddbdsgg ) 安全的. 敌手 A 和挑战者 C 分别是一个多项式时间算法, 它们之间的游戏如下 : 1) 挑战者 C 运行 p 算法生成系统参数并将其发送给敌手 A,C 保存主密钥. 2) 敌手 A 对以下预言进行一系列的询问. 1 私钥询问. 给定标识 D, 挑战者 C 生成 D 的部分私钥 d SE D 和由 SEM 保管的部分私钥 d m D, 并将 d SE D 和 d m D 发送给敌手 A. 2 签名询问. 给定标识 D 和明文信息 m, 挑战者 C 生成 SEM 的签名信令 k, 并对 m 签名, 将 k 和签名发送给敌手 A. 3) 挑战. 敌手 A 输出 (D,m, ), 其中标识 D 和待签名消息 m 未进行 2) 中的一系列询问. 若是 D 对 m 的有效签名, 则 A 赢得该游戏. 定理 1 在随机预言模型中, 若存在敌手 A 能够在时间内以 ε 10(q +1)(q +qh 2 )/2 λ 的优势赢得 EUFGmBSG CMA 游戏, 那么存在算法 B 能够在 qH 1 qh 2 +O(q) ε(1-q/2 λ ) +O (q 2 M ) 时间内解决 qgsdhp 问题 (q=qh 1 ). 其中,qH 表示随机预言 H(=1,2) 的询问次数,q 分别表示签名询问次数, 表示一个双线性对的运算时间,M 表示一个点乘运算 Z N-1 G 1 的时间. [15] 证明 : 本文利用分叉引理来证明 SM9_mBS 方案. 下面证明 B 可以给 A 提供一个完美的模拟并通过与 A 的交互来解决 qgsdhp 问题. 算法 B 输入 (P1,P2 ἀp2 ἀ 2 P2,, α q P2), 尝试求得 (ω, α ω+α P1 ). 算法 B 在定义 1 中扮演 A 的挑战者并控制着 SEM, 敌手 A 可以进行一系列的询问. 在准备阶段,B 建立一个生成元 G G1, 得到 q-1 对 (ω,v= α ω+α G ), {1,,q-1}. 为了得到这样的二元组,B 进行以下操作. 1) 随机选择 ω1, ὠ q-1 Z N-1, 并展开 : q-1 q-1 (z)= (z+ω)= jz j =1 其中, Z N-1. q-1 2) 设生成元 H = j (α j P2)=(α)P2 G2, 则生成元 G=ψ ( q H)=(α)P1 G1, 公钥为 H pb = j-1 (α j P2 )= j=1 α(α)p2=αh G2. q-2 3) 二元组 (w,v) 可以通过扩展 (z)=(z)/(z+ω)= q-2 d jz j, 并计算 V= d j (α j+1 P2)=α(α)P1 = α (α) αg 而得到. α+ω P1 = α+ω 系统公钥为 H pb, 对应的私钥为 α.b 将系统参数 (H, G,H pb ) 发送给敌手 A. 算法 B 随机选择一个挑战身份 D 并发送给 A. 攻击阶段 : 算法 B 模拟定义 1 中 A 的挑战者, 同时维护 L1 和 L2 两张列表, 分别用于追踪 A 对预言机 H1 和 H2 的询问. 这里假设 H1 的询问是不同的, 并且身份 D 在被使用到其他询问之前先进行 H1 询问. H1 询问 : 这里用一个计数器 μ 来标记询问, 其初始值为 1. 对于一个 H1(D μ hd,n) 询问, 如果 D μ =D, 则 B 返回一个随机值 ω Z N-1 作为回答 ; 否则 B 返回 ω μ 作为回答并增加计数器 μ. 两种情况下,B 都将询问和回答存入列表 L1. H2 询问 : 当 A 询问 H2(M w,n) 时,B 首先检查列表 L2 中是否已经存在这个询问的条目, 如果存在, 则 B 返回系统的回答 ; 否则 B 返回一个随机值 h2, Z N-1 作为回答, 将元组 (M,h2,) 存入列表 L2. 密钥询问 : 当 A 询问标识 D 的私钥时, 如果 D = D, 那么 B 失败并停止 ; 否则 B 知道 H1(D hd,n)=ω 和 V= αg, 计算并返回 d SE 和 D d m D =V-d SE α+ω D. 签名询问 :A 提交一个身份 D 和一个消息 M 给 B.B 首先随机选择 h Z N-1 和 S G1, 然后计算 : w=(s,q)(g,h pb ) -h 其中,Q=H1(D hd,n)h +H pb. 最后, 将 H2(M w, N) 的值设为 h. 如果 H2(M w,n) 的值已经存在, 那么 B 将失败 ; 否则,B 返回签名结果 σ=(h,s). 挑战阶段 : 将身份标识 D 和消息 M 结合在一起, 变成一个推广的伪造消息 (D,M), 这样就可以用无身份的分叉引理来证明. 由交叉引理可知, 如果敌手 A 在上述交互中是一个有效

4 180 计算机科学 2018 年的伪造者, 那么可以构造一个算法 A.A 可以输出两个有效的签名 ((D,M),h1,S1) 和 ((D,M),h2,S2), 这里 h1 h2. 在这个阶段,B 从列表 L1 中找到 (D ὠ ). 可知, ω ω1, ὠ q-1 的概率至少为 1-q/2 λ. 如果伪造是合法的, 那么等式 (S1,Q )(G,H pb ) -h 1 = (S2,Q )(G, H pb ) -h 2 成立, 其中 Q = H1 (D hd,n)h + H pb = (ω +α)h. 由于 ((h1-h2) -1 (S1-S2),Q )=(G,H pb ), 因此 D =(h1-h2) -1 (S1-S2)= α G= α (α) P1.B 使 α+ω α+ω 用长除法将多项式写为 (z)=ψ(z)(z+ω)+ψ-1, 其中 Ψ(z)= q-2 Ψ jz j,ψ-1 Z N-1. 因此 : (z) =Ψ(z)+ Ψ-1 = q-2 Ψ jz j + Ψ-1 z+ω z+ω z+ω B 可以计算 α P1= 1 (D - q-2 Ψ α+ω j (α j P1)), 并输出 Ψ-1 (ω, α ω +α P1 ) 作为 qgsdhp 问题的解. 因此, 如果敌手 A 能够在时间内以 ε 10(q+1)(q+ qh 2 )/2 λ 的优势赢得 EUFGmBSGCMA 游戏, 那么存在算法 B 能够在 qH 1 qh 2 +O(q) ε(1-q/2 λ ) +O (q 2 M ) 时间内解决 qgsdhp 问题. 该模型中, 用户和信息服务实体 SE( 提供资源的信息服务商 ) 分布在多个 BC 信任域 ( 即信息服务信任域 ) 中. 域内实体采用基于身份的认证方式, 实体 SE 标识本身就是其公钥,PKG 将 SE 的私钥 dd 分割成两部分 d m D 和 d SE D, 将 d m D 发送给 SEM,d SE D 发送给 SE. 本域验证服务器 (AhG S,AS) 管理着域内实体信息, 验证访问者的身份. 同时, 每一个 BC 信任域由域代理 (DmAg,DA) 采用交换数字证书的方式进行域间认证, 并辅助域内实体进行跨域认证. 用户 U 想要申请本域的某个信息服务时, 需要先向 SE 申请认证.SE 收到认证请求后, 由于它的私钥不完整, 因此先从 SEM 处获得一个签名信令 k 后才能完成签名操作, 并将签名结果发送给 AS 进行验证.U 根据 AS 返回的认证响应接受或拒绝 SE 的服务. 当 SE 的服务无效或过期时, 管理员通过命令 SEM 停止给 SE 发送 k 来撤销其签名权力, 从而实现身份的即时撤销. 3.2 不同信任域间的双向实体认证跨域协议模型如图 2 所示. 3 信息服务实体的跨域认证模型为了实现大规模异构网络环境下不同种类的 SE 与用户之间的频繁交互, 本文利用 PK 与 BC 的组合应用优点设计了一种新的信息服务实体跨域认证模型. 由于域代理的数量有限, 采用 PK 实现域间身份的相互认证 ; 而信任域内用户和 SE 数目的数量级可能很大, 因此采用 BC 来实现高效灵活的身份认证. 同时, 利用 SM9_mBS 方案设计了一种跨域认证协议, 其提高了认证效率, 并且可以实现身份的即时撤销. 3.1 系统结构该认证模型的系统结构如图 1 所示. 图 2 跨域协议模型 Fg.2 CGdmhpmd 本模型能够支持不同信任域间的双向认证和密钥协商, 所有域的 PKG 使用相同的公开参数 (N,P1,P2,G1,G2,, H1,H2), 仅有主密钥和公钥 P pb 不同. 设 PKG1 和 PKG2 分别为信息服务实体 SE1 和用户 U2 所信任的 PKG, 其选定的主密钥分别为 1,2 [1,N-1], 对应公钥为 P pb1 =[1]P2 和 P pb2 =[2]P2. 当信任域 BC2 的用户 U2 试图访问另一个信任域 BC1 的信息服务实体 SE1 时, 需经过以下流程. 1) 用户 U2 分别向 DA2 和 SE1 发送认证请求, 其中 U2 选取时间戳 T1, 用私钥 du 2 对消息 DSE 1 DU 2 T1 进行基于身份的签名 ( 本文侧重于信息服务实体认证的研究, 用户采用 SM9 数字签名算法进行签名 ), 用 du 2 签名是向 DA2 证明自己是合法的用户. U2 DA2: {DSE 1,DU 2,T1,BS{DSE 1 DU 2 T1}dU 2 } U2 SE1:{DU 2,q} 2)DA2 验证 U2 的签名, 验证通过后,DA2 通过数字证书对 DA1 进行认证, 并获得 DA1 的公钥 PKDA 1 ; 使用 PKDA 1 对认证请求和系统公钥进行非对称加密, 将密文发送给 DA1: 图 1 信息服务实体的跨域认证模型 Fg.1 CGdmhmdm DA2 DA1:{DSE 1,DU 2,P pb2,t2}pkda 1 3)DA1 解密后, 通过数字证书对 DA2 进行认证获得 DA2 的公钥 PKDA 2, 再将 P pb1 返回给 DA2. DA1 DA2:{P pb1,t3}pkda 2

5 第 9 期谢艳容, 等 : 一种新的信息服务实体跨域认证模型 181 4) 完成域间认证后,DA2 计算 V =H1(DU 2 DSE 1 ), K=V [2] P pb1, 采用基于身份的加密方式 ( 这里采用 SM9 中的加密算法 ) 将会话密钥 K 通过公钥 QAS 2 发送给 AS2, 只有 AS2 才能解密 ; 同样,DA1 计算 K =V [1] P pb2 ( 显然 K =K), 将 K 发送给 SE1. 击者不知道 1 和 2 的值, 虽然可以得到 P pb1 =[1]P2 和 P pb2 = [2]P2, 但仍无法计算 [1][2]P2 ( 该问题属于计算 DG Hm 难题 ), 不能获得会话密钥, 因此该协议还具有前向安全性. 表 1 列出了本文方案与文献 [2,5G9] 在安全性方面的比较, 由表 1 可知本文方案具有更高的安全性. DA2 AS2:BE{DSE 1,DU 2,P pb1,k,t4}qas 2 表 1 跨域认证协议的安全性比较 DA1 SE1:BE{K,T5}QSE 1 5)SE1 根据 SM9_mBS 签名算法, 将消息 M 的签名请求 R=(DSE 1,L) 发送给 SEM1 以申请签名信令. 6)SEM1 计算签名信令 Sm 1 = [L] d m1 SE 1, 并将 Sm 1 发送给实体 SE1. 7)SE1 生成消息 M 的完整数字签名 (h,s), 并计算 C= M K, 将 {C,(h,S)} 发送给 AS2. 8)AS2 利用会话密钥 K 解密 C 得到消息 M, 利用 SM9_ mbs 的验证算法对签名 (h,s) 进行验证, 验证通过后 AS2 相信 AS2 和 SE1 之间共享了会话密钥 K =K, 发送 BE {,K,T6}QU 2 给用户 U2; 否则, 返回 {}. 跨域认证完成, 信息服务实体 SE1 与用户 U2 协商了会话密钥 K, 后续 U2 可通过 K 来接受或拒绝 SE1 的服务. 4 安全与性能 4.1 安全分析该信息服务实体跨域认证协议的安全性是基于已有的可撤销的 SM9_mBS 签名方案的安全性, 已在第 2.3 节进行了讨论. 进行认证的双方只有签名验证通过后才能认证对方的身份, 攻击者不能伪造有效的签名消息, 因此不能进行假冒攻击. 基于 SM9_mBS 方案的可撤销性, 该认证协议可以有效地防止已撤销的信息服务实体进行欺骗攻击. 在认证过程中加入了随机数和时间戳, 能够有效地抵抗重放攻击. 此外, 攻 Tb1 SmpGdm hp 文献 [2] 文献 [5] 文献 [6] 文献 [7] 文献 [8] 文献 [9] 本文方法方法方法方法方法方法方案会话密钥相互认证抗重放攻击抗假冒攻击身份可撤销性 4.2 性能分析假设消息大小为 80Gb, 时间戳长度为 16Gb,SM9_mBS 方案中使用的群的大小为 160Gb, 对称 (AES) 和非对称 (ECC) 加密 / 解密的密文大小分别为 128Gb 和 160Gb, 基于 ECC 构造的数字证书密文大小为 160Gb, 散列函数 (SHAG1) 或消息认证码 (MAC) 的摘要消息大小为 160Gb, 身份大小为 80Gb [6]. 表 2 列出了本文方案与文献 [2,6,9] 在跨域认证协议性能方面的比较. 由于文献 [2,6,9] 中未指明协议中的具体算法, 本文假设其与本文方案采用同类型的算法. 其中,TPM 表示计算群上点乘运算的时间 ;TH 表示计算散列函数的时间 ; T 表示计算对运算的时间 ;TE 表示计算指数操作的时间 ; TSE 表示计算对称加密 / 解密的时间 ;TE 和 TS 分别表示计算基于身份的加 / 解密和签名的时间 ;TAE 和 TAS 分别表示计算非对称加 / 解密和签名的时间. 表 2 跨域认证协议的性能比较 Tb2 PmmpGdmhp 通信量 / b 计算量用户 ( 请求方 ) SE( 响应方 ) 第三方 ( 其他参与方 ) 文献 [2] 中的方案 TPM +3TH+4T+8TSE 1TPM +3TH+4T+8TSE+TE 2TPM +2TH+4T+6TSE 3PAKE [6] TPM +2TH 3TPM +2TH 2TPM +8TH EMAKPG [9] TH+2TAS+2TAE+TSE+TE 2TE+TE+2TSE 4TAE+3TAS+TE+2TS 本文方案 1936 TS 2TPM +2TH+2T+2TE 3TPM +3TH+T+TE+TS+4TE+ 4TAE+(TPM +TH+T) 基于身份的签名和加解密算法采用双线性对群构造, 基结束语本文提出的 SM9_mBS 签名方案可以解决基于 ECC 的数字签名和加解密算法采用椭圆曲线上的点乘操作和哈希函数构造. 因此,TS/TE 和 TAS/TAE 的计算时间较长. 由表 2 可知, 文献 [9] 中的协议的通信量最低, 但用户和服务器的计算复杂度较高 ; 文献 [6] 的计算复杂度最低, 但所有消息都是以明文发送, 容易受到假冒攻击和密钥泄露假冒攻击, 这是以牺牲保密性为代价的. 本文方案采用域代理验证服务器和 SEM 构成第三方, 辅助完成实体的双向认证. 通过将验证过程转移到第三方, 缓解了用户和 SE 的计算压力, 使其可以被应用于资源受限的移动设备. 此外, 表 2 中括号内的计算式采用了预计算, 减少了方案整体的计算量. 于身份的认证系统中固有的身份即时撤销难题, 且被证明是 EUFGmBSGCMA 安全的 ; 提出的基于身份的信息服务实体跨域认证模型具有安全高效灵活应用范围广等特点. 与传统 PK 或 BC 认证框架相比, 本文模型简化了系统结构, 节约了成本 ; 并且本文设计了一种具有前向安全性和可撤销性的跨域认证协议, 其可以实现跨信任域的双向实体认证和密钥协商, 提高了认证效率. 分析结果表明, 用户和 SE 的计算复杂度较低, 且在保证较高安全性的条件下通信量的增幅较小. 因此, 本文方案对指导大规模异构网络环境下的信息服务实体跨域认证提供了参考价值.

6 182 计算机科学 2018 年参考文献 [1] CASTGLONE A,PALMERF,CHEN C L,.A bd ggbdpphgdmhh dm[j].jd WhG gd Mg,2016,12(1):34G48. [2] PENG H X.AdGbdh mdmg dm[j].chjcmp,2006,29(8):1271g 1281.(Ch) 彭华熹. 一种基于身份的多信任域认证模型 [J]. 计算机学报, 2006,29(8):1271G1281. [3] LU X M,FENG DG.AdGbdmGdmgd hmd[j].je,2006,34(4): 577G582.(Ch) 路晓明, 冯登国. 一种基于身份的多信任域网格认证模型 [J]. 电子学报,2006,34(4):577G582. [4] ZHANG W B,ZHANG H Q,ZHANG B,.AdG bdh md mgdmgdg m[c] 2008CCmpS dswegg.pw,nj:eee P,2008: 165G169. [5] HED,ZEADALLYS,KUMAR N,.AmhG wbdwk whpb [J].EEESmJ,2016(99):1G12. [6] CHOU C H,TSAK Y,LU CF.TwDGbdhd hmwhkgmmbm[j].th JSpmpg,2013,66(2):973G988. [7] FARASH M S,ATTARM A.AddG bdhd kxhgp mbg wk[j].th J Spmpg,2014, 69(1):395G411. [8] NL,CHEN G L,LJH,.SgdGbd hdkgmpwhbpg [J].mS,2016,367:176G193. [9] YUAN C,ZHANG W F,WANG X M.EMAKP:HgG Gdmhd kgmp hem m [J/OL].Ab J S d EgGg(2017G02G23)[2017G08G02].hp://k.pg. m// /13369g017g2447g9. [10]BONEH D,FRANKLN M.dGbdpmh wpg[c] ACpgC. B:SpgGVg,2001:213G229. [11]CHENGXG,GUOLF,WANGX M.AdGbdmdG dghmm bpg[j]. JNwkS,2006,2(1):29G33. [12]MARTNS P,SOUSA L,CHAWAN P.Fg mmd MkGSkk(FRM)[C] 2015EEEG Smpm Mmd(SM).Pw,NJ:EEE, 2015:501G506. [13]CHEN Y,JANGZL,YUS M,.FphxG pbbdp wh md[c] Cmd Cmm S.Chm:SpgGVg,2014:274G289. YUANF,CHENGZ H.OwSM9dGbdpG gphghm[j].ms Rh,2016, 2(11):1008G1027.(Ch) 袁峰, 程朝辉.SM9 标识密码算法综述 [J]. 信息安全研究, 2016,2(11):1008G1027. [15]PONTCHEVAL D,STERN J.Sgmdg gdbdg[j].jpg,2000, 13(3):361G396. ( 上接第 170 页 ) [5] ZHANGXJ,LU Y,TANF,.Db-hhdpG pmggdbd[j].a PhS,2014,63(7):362G372.(Ch) 张学军, 鲁友, 田峰, 等. 基于信任度的双门限协作频谱感知算法 [J]. 物理学报,2014,63(7):362G372. [6] JANGXL.DbhhdbpmgG ghm bd gg[j].d d J HG gjgusd Thg,2016,26(1): 75G79.(Ch) 江晓林. 基于能量检测的双门限协作频谱感知算法 [J]. 黑龙江科技大学学报,2016,26(1):75G79. [7] L M Y,LO,SUN W J.DbGhhdCpSpG msgaghmbd NU[J].CmG pegg,2014,40(4):81g86.(ch) 李明源, 李鸥, 孙武剑. 基于噪声不确定性的双门限协作频谱感知算法 [J]. 计算机工程,2014,40(4):81G86. [8] ZENG Y H,LANGYC.Mxmm MmmgdG gd[c] Th18hAEEEG SmpmP,ddMbRdCmmG.Ah,G,2007:1G5. [9] WANG Y X,LU G Y.DMM BdSpm Sg Mhd CgRdSm[J].D dje & mthg,2010,32(11):2572g2574.(ch) 王颖喜, 卢光跃. 基于最大最小特征值之差的频谱感知技术研究 [J]. 电子与信息学报,2010,32(11):2572G2574. [10]TSNOSC G,BERBERDS K.Dzd Adp EgG GBdSpmSgMCgRd Sm[J].EEE T WCmm, 2013,14(3):1703G1715. [11]LZ,WANG D,QP,.MxmmGEgGBd SG gdpwrg MCgRd Sm[J].EEETVhThg,2016, 65(10):8218G8229. [12]ZOU W X,DNG Q,ZHOUZ,.Dbhhdpm gghmbdmggdb[j]. SmEggdE,2012,34(3):588G591.( Ch) 邹卫霞, 丁奇, 周正, 等. 基于特征值极限分布的双门限频谱感知算法 [J]. 系统工程与电子技术,2012,34(3):588G591. [13]HAREESH K,SNGH P.AghbdGpG pm ghqcrsn[c] MGC Am,Cmpg,Cmm, CdCmpdSg.EEE,2013:438G442. PENG Y,CUZR.CHENCK.STggdCpG SpmSg WCgNwk[J].CmG pegg,2017,43(3):89g93.(ch) 彭艺, 崔自如, 陈昌凯. 无线认知网络中的选择触发协作频谱感知 [J]. 计算机工程,2017,43(3):89G93.

Microsoft Word - 第2部分.doc

Microsoft Word - 第2部分.doc SM9 标识密码算法第 2 部分 : 数字签名算法目次 1 术语和定义... 2 2 符号... 2 3 算法参数与辅助函数... 3 3.1 总则... 3 3.2 系统参数组... 3 3.3 系统签名主密钥和用户签名密钥的产生... 4 3.4 辅助函数... 4 3.4.1 概述... 4 3.4.2 密码杂凑函数... 4 3.4.2.1 密码杂凑函数 Hv( )... 4 3.4.2.2