标准模型下一种基于身份的面向群组签密方案的安全性分析

Size: px

Start display at page:

Download "标准模型下一种基于身份的面向群组签密方案的安全性分析"

苍依尔觉罗
5 years ago
Views:

1 Software Engneerng and lcaton 软件工程与应用 htt://dx.do.org/.677/ea.3.3 Publhed Onlne June 3 (htt:// Crytanaly of an Identty-aed Grou-Orented Sgncryton Scheme n the Standard Model Lequn Mo Guoxang Yao 3 Feng L Deartment of Comuter Scence Guangdong Communcaton Polytechnc Guangzhou Management School Jnan Unverty Guangzhou 3 College of Informaton Scence Jnan Unverty Guangzhou Emal: jaon.mok.gz@gmal.com Receved: r. t 3 reved: r. 5 th 3; acceted: r. 4 th 3 Coyrght 3 Lequn Mo et al. Th an oen acce artcle dtrbuted under the Creatve Common ttrbuton Lcene whch ermt unretrcted ue dtrbuton and reroducton n any medum rovded the orgnal work roerly cted. btract: Grou-orented gncryton a very ueful rmtve n the network communcaton feld whch multaneouly rovde the functonalte of encryton and gnature. Recently Zhang Xu et al. [] rooed an dentty-baed grou-orented gncryton cheme and clamed that ther cheme rovably ecure n a trengthened ecurty model. Unfortunately by gvng concrete attack we ndcate that th gncryton cheme not ecure under ether chooe chertext attack or chooe meage attack n th trengthened ecurty model. Keyword: Identty-aed; Grou-Orented; Sgncryton; Chooe Meage ttack; CC 标准模型下一种基于身份的面向群组签密方案的安全性分析莫乐群姚国祥 3 李锋广东交通职业技术学院计算机工程学院广州暨南大学管理学院广州 3 暨南大学信息科学技术学院广州 Emal: jaon.mok.gz@gmal.com 收稿日期 :3 年 4 月日 ; 修回日期 :3 年 4 月 5 日 ; 录用日期 :3 年 4 月 4 日摘要 : 面向群组的签密方法在现今的网络通信中是一种很有效的数据安全保护手段它可以在对信息进行个 [] 人数字签名的同时对数据进行加密本文针对 Zhang 和 Xu 等人提出的一种基于身份的面向群组签密方案进行了安全分析指出该方案存在严重的安全漏洞并在标准模型下证明该方案无法抵抗择密文攻击以及选择消息攻击的攻击关键词 : 基于身份 ; 面向群组 ; 签密 ; 抗择密文攻击 ; 选择消息攻击. 引言在现今的网络通信中经常会出现将同一份信息向多个实体发送的情况如何保证群体中一对多的数据传输安全是一个很重要的研究课题一种简单的方式就是发送者分别使用各个接受者的公钥进行加密然后进行点对点传送显然这种方法在接收群组规模较大时效率是非常低的而且发送端的计算压力相当大 997 年 Zheng [] 等人首次提出了签密的概念它指的是在同一个逻辑步骤内同时实现签名和加密 Coyrght 3 Hanub 55

2 两项功能是一种同时实现数据保密及信息认证的理想方法在年 oneh 和 Frankln 等人利用双线 [3] 性对的特点提出了基于身份加密方案之后基于身份的密码体制得到了迅速的发展和应用将基于身份 [4] 密码学与签密进行结合的构造是其中的一个发展方向 7 年 Duan 等人提出了首个多接收者的基于身份签密方案 [5] 他结合 Zheng 等人提出的多接收者 [6] 签密方案与 ellare 等人提出的多接收者公钥加密方 [7] 案相结合实现仅通过一个对运算就可向多个接收者发送消息随后出现了大量的基于身份的广播签密方案 [8-] Zhang 等人为了改善上述方案中出现的一些问题例如 : 签密前必须建立专门的接受群体组 ; 必须知道群体各成员的私钥 ; 必须知道接受成员的身份等等利用双线性映射特点提出了一种基于身份的面向群组签密方案 [] 在该方案中签密者只需对群身份进行信息签密即可让所有接受成员通过各自的私钥进行独立的解签密另外其参数选择及加密长度可以有效提高计算效率是一种高效便捷的安全通信方案然而尽管 Zhang 等人对所提出方案在基于 Gentry [] 等人提出的标准模型下可证安全性进行了论证但我们发现该方案依然存在严重的安全漏洞它在基于身份选择密文攻击以及选择消息攻击下是不安全的并在标准模型下给出了具体的攻击方案本文组织如下 : 第节介绍作为基础知识的双线性对和方案涉及的模型定义 ; 第 3 节是对基于身份的面向群组签密方案的回顾 ; 第 4 节在安全模型下分别给出基于身份选择密文攻击的安全性分析以及基于选择消息攻击安全性分析 ; 第 5 节是结束语 ; 第 6 节是致谢. 预备知识.. 双线性映射 (lnear Mang) 设 G 和 G 为个大素数阶的循环群存在一个双线性映射 e: G G G 满足以下特性 : 双线性 : g g G a b Z 有 a b e g g eg g ab ; 非退化性 : 存在 g g G使得 eg g G 其中 G 为群组 G 的标识 ; 可计算性 : 存在一个有效算法计算 e g g 其中 g g G.. 困难问题及其假设定义 :q-dhe (augmented blnear Dffe-Hell manexonent aumton) 困难问题 [] : 设 G 和 G 为个大素数阶的循环群存在一个双线性映射 e: G G G 给定生成元 g gg 及 q 个 q q q q 元素 g g g g g g g g G q 则计算 e g g 困难 q 定义 :q-sdh (q-strong Dffe-Hellmanaumton) 困难问题 [3] : 设和 G 为个大素数阶的循环群 G 存在一个双线性映射 e: G G G 给定生成元 g g G 及 q 个元素 q q 其中 g g g g g g g G 则计算元组间 M rg r 困难其中 r Z [].3. 基于身份的面向群组签密方案的标准模型在本章节我们对基于身份的面向群组签密方案 [] ( 以下简称 IGSC 方案 ) 的签密模型及安全模型的定义进行说明.3.. 签密模型的定义 IGSC 方案由以下四个模块组成 : Setu (k): 系统建立输入一个安全参数 k 生成系统的运行参数 aram 及系统密钥 mater-key 算法由 PKG 运行所生成的系统参数 aram 包含消息空统保存 G 被公开而系统密钥 mater-key 则被系 KeyGen (aram mater-key G ): 私钥提取输入系统参数 aram 系统密钥 mater-key 群组身份中 G 以及该群组的成员身份其以及均为任意的字符串算法由 PKG 运行并计算返回群组成员对应的私钥 d Sgncryt (aram m d G j ): 签密输入系统参数 aram 消息原文 m M 消息接受者所在的群组身份 G 及发送者私钥 j Sgnacryt md G 成员 d j 算法计算密文并广播给接收群组中的所有 56 Coyrght 3 Hanub

3 Ungncryt (aram m G d ): 解签密输入系统参数 aram 密文及密文接受者所在的群组身份 G 及私钥 d 计算得到原文 m Ungncryt d G 若满足正确性约束条件返回 m M 否则输出.3.. 安全模型 IGSC 方案的安全模型由以下两个模型组成 : ) 基于身份选择密文匿名不可区分安全模型 (NON-IND-IGSC-CC) 选择密文匿名不可区分是指敌手不能区分同一密文加密者的身份即敌手不能判断同一个密文是由所选择的特定身份加密还是由某一随机选择的身份加密的也就是说密文不会泄露接受者的身份 Game : 一个 IGSC 方案在以下挑战者 C 和敌手的游戏中若敌手不能在多项式时间内以一个不可忽略的概率赢得游戏则该方案满足基于身份选择密文匿名不可区分安全 Setu: 挑战者 C 输入一个特定安全参数 k 运行算法并将所产生的系统参数 aram 给敌手同时保密系统密钥 mater-key Phae : 在该阶段敌手发起询问 q qm 其中 q 为以下询问 : KeyGen 询问敌手发送群组消息 G 及成员消息给挑战者 CC 运行 KeyGen 算法并将产生的对应 G 的私钥 d 返回给这些询问是适应性的即每个询问 q 都可以依赖于 C 对在此之前询问 q q 的响应 Ungcryt 询问敌手将用私钥 d 签密的密文及接受群组信息 G 发送给挑战者 CC 选择身份计算 d KeyGen GI D 并将解密结果 Ungncry t d G 返回给如果是一个不合法的密文输出结果为符号 Challenge: 敌手结束询问后发送所要挑战的个等长的明文 M M M 身份 G 及 G 并且 G 及 G 不能在任何 KeyGen 询问中出现过挑战者 C 随机选择比特值 bc 并计算密文 Sgnacryt mc d Gb 并将返回给敌手 Gue: 继续重复 Phae 但不能做关于 G 及 G 的私钥提取询问及签密密文的解签密询问最 b c 如果 b bc c 则敌手赢得游戏 ) 自适应选择消息存在性不可伪造安全模型 (EUF-IGSC-CM) 自适应选择消息存在性不可伪造是指抵抗适应性选择消息攻击下的存在性伪造安全即若除了签名之外的任何消息的都是伪造的则不会有任何有效的输出 Game : 一个 IGSC 方案在以下挑战者 C 和敌手的游戏中若敌手不能在多项式时间内以一个不可忽略的概率赢得游戏则该方案是满足自适应选择消息攻击下存在性不可伪造的 Setu: 挑战者 C 输入一个特定安全参数 k 运行算法并将所产生的系统参数 aram 给敌手同时保密系统密钥 mater-key Phae : 在该阶段敌手发起询问 q qm 其中 q 为以下询问 : KeyGen 询问敌手发送群组消息 G 及成员消息给挑战者 CC 运行 KeyGen 算法并将产生的对应 G 的私钥 d 返回给. 这些询问是适应性的即每个询问 q 都可以依赖于 C 对在此之前询问 q q 的响应 Sgcryt 询问敌手发送签密者身份与明文信息 m 给挑战者 CC 运行 Sgcryt 计算 d KeyGen G 及 Sgnacryt md G 并将签密结果返回给 Fake: 继续重复 Phae 至询问结束最后敌手后敌手猜测结果发送签密 ( 签密者密钥 d 没有被询问过密文也没有在签密询问中出现过 ) 给挑战者 C 如果解签密结果 Ungncryt d G 不为符号则称敌手赢得游戏 3. 基于身份的面向群组签密方案介绍本章节我们将回顾基于身份的面向群组签密方案的各个算法 3.. 各算法回顾基于身份的面向群组签密方案的具体实现主要包含以下 4 个算法 : Coyrght 3 Hanub 57

4 Setu (k): 系统建立设 G 和 G 为个大素数阶的循环群并存在一个双线性映射 e: G G G PKG 随机选择生成元 g hg 令无碰撞的散列函数 H 满足 H : maker-key Z 计算 g 参数 aram Z g g h T 然后 PKG 随机选择系统密钥 g G 并公布系统 KeyGen (aram mater-key G ): 私钥提取 PKG 接收群组身份 G 和成员个体身份随机选择 r Z 并计算 R rh 然后输出个体私钥 HG R d r h 其中 h hg 该算法可以在任何时间执行以适应发送 / 接收群组成员的动态变化不失一般性设群组 G 成员为消息发送者成员 n 为接收者他们的私钥分别为 : R R r HG HG r H d r h r hg r hg d HG HG r H h r hg r hg Sgncryt (aram md G ): 签密签密者为将明文消息 m M 发送给接收群组 G 中的所有成员 Z 并如下计算签密密文 uvw : 随机选择 H G H m u g r g v e g g wme g h h 受群组 Ungncryt (aram m G d ): 解签密信息接成员要解密签密密文 G n r H mw e u h v 即 uvw 只需计算 H mh Hm Hm eu v w m 成立输出信息 m 否则输出 [] 3. 算法正确性可若约束条件验证等式通过下面的推导可以得出签密方案是正确的 : Hm H G H m H G R H eu egg h e g hg Hm RHm Hm RH m e g h g e g h e g g H m R H m H m H mr H e g h e g g e g h e g g H mrh H m H m H H m H m eu egg m egh m H m eu v w 4. 对 Zhang 和 Xu 等人方案的安全性分析 Zhang 和 Xu 等人认为他们所提出的方案对于身份选择密文攻击以及选择消息攻击下是可证安全的但在本章节中我们将会在标准模型下证明这两种攻击依然可行 4.. 基于身份选择密文攻击的安全性分析 Zhang 和 Xu 等人认为他们所提出的方案在基于身份选择密文匿名不可区分安全模型 (NONIND- IGSC-CC) 下是语义安全的但实际上却存在敌手可以通过以下方式一直赢得 Game : Setu: 挑战者 C 输入一个特定安全参数 k 运行算法将所产生的系统参数 aram 给敌手同时保密系统密钥 mater-key Phae : 敌手不做任何询问 Challenge: 敌手结束询问后发送所要挑战的个等长的明文 M M M 身份 G 及 G 并且 G 及 G 不能在任何 KeyGen 询问中出现过挑战者 C 随机选择比特值 bc 并计算密文 58 Coyrght 3 Hanub

5 Sgnacryt m d G 并将 uvw c b 返回给敌手其中 H G Gue : 敌手随机选择 Z H m u g g ve g g wme g h h r 构造密文 u v w H G HG u u g g g 及 u v w vv e g g w w M m e g h M 其中 : Hm w w M m e g h M h r. 构造完成后敌手发出关于及的 Ungcryt 询问由于且所以挑战者 C r H 首先根据公式 m w e u h v 进行解签密可得的解签密明文为 : mwe u h v r H m M e eg hg e g g HG R r H H g h g h r H rh m M e e g h e g g e g g m M 同理的解签密明文为 : m r H w e u h v m M 然后挑战者 C 会根据约束条件 H m H Hm Hm eu v w m 进行检验检验结果如下 : H m ) 若 m M 则 mm h 并且 m 可以通过下面约束条件的检验 : ) 若 m M 则 m m Hm H Hm eu v w e u e g g m e g h m m H m h H mrh H m H m Hm Hm 并且 m 可以通过下面约束条件的检验 : Hm H Hm Hm H m r H H m Hm H m e u e g g m e g h m m eu v w 所以对于敌手的两个解签密请求挑然后敌手再次构造签密密文 u v w m 或者 m 则敌手可及 u v w 其中 : 战者 C 将会返回结果以根据解签密结果猜测出 c 使得 m m c c H G H G HG u ug g g g g Hm v vegg egg egg eggg egg w we g h me g h e g h me g h h r H G H G HG u ug g g g g 构造完成后敌手再次发出关于及的解 Coyrght 3 Hanub 59

6 签密询问由于且所以挑战者 C 首 r H 先根据公式 m we u h v 进行解签密 : ) 若 G G 则 HG HG u g g g 并且可得的解签密明文 : m w e u h v r H H G R rh megh e g hg H egg m 这里显然 eu v w m ) 若 G G 则 H m H Hm Hm u g g 解签密明文 : HG HG g 并且可得的 m w e u h v r H H G R r H h e g hg H meg egg m 这里显然 H H m H m eu v w m H m 所以对于敌手的两个解签密请求挑战者 C 将会返回结果 m 或者 m 则敌手可以根据解签密结果猜测出 b 使得 Gb Gb 综上敌手将赢得 Game 4.. 选择消息攻击的安全性分析 Zhang 和 Xu 等人认为他们所提出的方案在自适应选择消息存在性不可伪造安全模型 (EUF-IG- SC-CM) 下是语义安全的但实际上却存在敌手可以通过以下方式一直赢得 Game : Setu: 挑战者 C 输入一个特定安全参数 k 运行算法并将所产生的系统参数 aram 给敌手同时保密系统密钥 mater-key Phae : 敌手做一次 KeyGen 询问及关于明文信息 m M 的 Sgcryt 询问得到私钥 d R r h r hg H G 及签密密文 uv w 其中 : R H G H m u g g ve g g wme g h h r Gue: 敌手进行 KeyGen 询问得到并随机选择构造密文 u v w HG d r h r hg r v v e g g r r w w m e g h Hm 中 : r r rh G r HG u u g g g r r h r r Z 其构造完成后敌手发出关于的解签密询问由于所以挑战者 C 首先根据公式 r H m we u h v 进行解签密可得的解签密明文为 : mwe u h v r H r r m eg h eg hg e g g m r HG R r H r G H r 6 Coyrght 3 Hanub

7 对于约束条件 eu v H m H w Hm H Hm eu v w Hm Hm m 检验显然有 : rh mrh Hm rh m e u e g g m e g h Hm r H G R rr H m r Hm Hm H G m e g hg e g g m e g h r m 所以挑战者 C 将返回明文 r m 给敌手并且综上根据安全模型敌手将会赢得 Game 综合上述在标准模型下对两个安全模型进行挑战的结果敌手可以轻易赢得 Game 该面向群组的签密方案是不安全的并由于安全模型已经被攻破所以也已没有改进方案的必要了除非是提出一个完全全新的方案 5. 结束语本文中我们指出了 Zhang 和 Xu 等人所提出的基于身份的面向群组签密方案存在严重的安全隐患他们对于基于身份选择密文攻击以及选择消息攻击是不安全的根据该方案的所提出的安全模型我们还给出了具体的攻击方案 6. 致谢这里我们要感谢各位审稿专家认真的审阅及各种帮助性的建议本文获得了国家自然科学基金项目 ( ) 广东省自然科学基金项目 (S78) 广东省科技计划项目 (389434) 广东省工程研究中心专项 (GCZX-3) 广州市科技计划项目 (J4347) 的资助 9 3(): 3-8. [] Y. L. Zheng. Dgtal gncryton or how to acheve cot (gnature & encryton) << cot (gnature) + cot (encryton). Lecture Note n Comuter Scence 94 erln: Srnger- Verlag 997: [3] D. oneh M. Frankln. Identty baed encryton from the welarng. Lecture Note n Comuter Scence 39 erln: Srnger-Verlag : 3-9. [4] J. Malone. Identty baed Sgncryton Crytology eprnt rchve. Reort /98. [5] S. S. Duan Z. F. Cao. Effcent and rovably ecure multreceverdentty-baed gncryton. CISP 6. Lecture Note n Comuter Scence 458 erln: Srnger-Verlag 6: [6] Y. L. Zheng. Sgncryton and t alcaton n effcent ublc keyoluton. ISW 997. Lecture Note n Comuter Scence 396 erln: Srnger-Verlag 998: 9-3. [7] M. ellare. oldyreva and S. Mcal. Publc-key encryton na mult-uer ettng: Securty roof and mrovement. dvancen Crytology-EUROCRYPT. Lecture Note n Comuter Scence 87 erln: Srnger-Verlag : [8] Y. Yu. Yang X. Y. Huang et al. Effcent dentty-baed gncrytoncheme for multle recever. TC 7. Lecture Note n Comuter Scence 46. erln: Srnger-Verlag 7: 3-. [9] M. J. oho. Mr. n authentcated broadcatng cheme for wrelead hoc network. nd nnual Conference on Communcaton Network and Servce Reearch (CNSR). 4: [] Y. Mu W. Sulo and Y. X. Ln. Identty-baed authentcated broadcat encryton and dtrbuted authentcated encryton. dvance n Comuter Scence SIN 4: Proceedng of the 9th an Comutng Scence Conference. Lecture Note n Comuter Scence 33. erln: Srnger-Verlag 4: [] F. G. L X. G. Xn and Y. P. Hu. Identty baed broadcat gncryton. Comuter Standard and Interface 8 3(-): 参考文献 (Reference) [] 张波徐秋亮. 基于身份的面向群组签密方案 [J]. 通信学报 Coyrght 3 Hanub 6

<4D6963726F736F667420576F7264202D2036312DC1F5BDA8CEB0A3A836362D3736B8BDC1BFD7D3D5F7CEC4CDA8D6AAA3A92E646F6378>

<4D6963726F736F667420576F7264202D2036312DC1F5BDA8CEB0A3A836362D3736B8BDC1BFD7D3D5F7CEC4CDA8D6AAA3A92E646F6378> 密码学报 ISSN 95-75 CN -95/TN E-mal: jcr@cacrnet.org.cn Journal of Crytologc Reearch5():66 76 htt://www.jcr.cacrnet.org.cn 密码学报编辑部版权所有. Tel/Fa: +86--833 选择密文安全的基于身份的广播加密方案刘潇