一个有效的无证书门限签密方案

2016-08-09崔金玲

信阳师范学院学报（自然科学版） 2016年2期

崔金玲, 孙华

(安阳师范学院计算机与信息工程学院, 河南安阳 455000)

0 引言

无证书密码的概念由AL-RIYAMI等[1]于2003提出，由于其不需使用证书，同时又克服了基于身份密码体制中的密钥托管问题，因而对无证书密码的研究引起了不少学者的兴趣，并取得了一系列的研究成果.

签密能够同时实现机密性和认证性这两个安全目标.无证书签密概念由BARBOSA等[2]于2008年提出，并且在随机预言模型下提出了一个无证书的签密方案.ARANHA等[3]提出一个仅需两个双线性对运算的无证书签密方案，然而其没有对方案的安全性进行证明.同年，WU等[4]也提出一个新的无证书签密方案，该方案在签密和解签密阶段需要4个双线性对运算，不幸的是，文献[5]指出该方案是不安全的.首个无证书多接收者签密方案由SELVI等[6]提出，然而该方案在第一类攻击者面前是不安全的.在标准模型方面，第一个无须借助随机预言机可证安全的无证书签密方案由LIU等[7]提出，然而WENG等[8]通过分析指出方案的语义安全性和不可伪造性这两个安全目标在第二类攻击者攻击下无法实现.文献[9]和文献[10]同样给出了两个标准模型下的无证书签密方案，然而它们同样是不安全的.

在面向群体的通信中，需要同时具有保密性和认证性的应用场合越来越多，而面向群体的签密体制可以较好地满足这种安全需求.门限签密不仅能够实现这一安全目标，并且能够有效防止单点失效.目前，已有的门限签密方案[11-13]大都是在身份密码体制下基于随机预言模型提出的.在该模型中，Hash函数被看成是完全随机的函数.然而在该模型下被证明是安全的方案并不代表是真正的安全，因此本文在标准模型下提出的无证书门限签密方案更有实际意义.

1 预备知识

1.1 双线性对

设G、GT是两个阶为素数p的循环群，g是群G的生成元，双线性对是具有如下性质的映射e:G×G→GT：

1. 双线性：对于任意的P,Q∈G和a,b∈Zp，都有e(aP,bQ)=e(P,Q)ab；

2. 非退化性：e(g,g)≠1；

3. 可计算性：对于任意的P,Q∈G，存在一个有效的算法计算e(P,Q).

1.2 困难问题

3.q-ABDHE问题：给定群G中一个含有(q+3)个元素组成的向量(g′,g′aq+2,g,ga,ga2,…,gaq)及Z∈GT，判定等式Z=e(gaq+1,g′)是否成立.

2 本文的无证书门限签密方案

方案描述：设{ID1,…,IDn}是用于产生门限签密的身份为US的n个成员集合，不妨设ID1,…,IDt是代表US对消息M进行签密的t个成员，IDR为签密接收者.给定阶为素数p的循环群G和GT，双线性映射e:G×G→GT，对于任意长度的消息M，哈希函数H:{0,1}*→{0，1}nm输出长度为nm的位串.

1)系统参数产生算法

2)部分私钥产生算法

对于身份为ID∈Zp的用户，KGC任意选取rID∈Zp，计算d1=(h1g-rID)1/α-ID.如果ID=α，那么KGC将重新选择并计算；否则，令d2=rID，并将DID=(d1,d2)作为用户的部分私钥.

3)秘密值分享算法

①对于产生门限签密的各成员IDi，其首先随机选取秘密值xIDi∈Zp及系数在Zp、次数为t-1的多项式hi(x)=ci,0+ci,1x+…+ci,t-1xt-1，其中ci,0=xIDi.然后IDi向其他成员IDj(j≠i)广播参数Ei,d=gci,d(d=0,1,…,t-1)，计算秘密分享xi,j=hi(j)，并将它们发送给其他各成员.

4)用户公钥产生算法

5)用户私钥产生算法

6)签密

给定用来产生门限签密的n个成员的集合US，身份为IDR的门限签密接收者，待签密消息M∈GT.各成员IDi首先产生其部分签密，然后将其发送给US中任一用以生成门限签密的集成者dealer，该过程执行如下：

为拉格朗日系数.

③该dealer计算

则最终的无证书门限签密为C=(C1,C2,C3,C4,C5,C6,T).

7)解签密

设签密产生者的身份为IDS，签密接收者IDR的私钥为SKIDR，其在收到无证书门限签密C=(C1,C2,C3,C4,C5,C6,T)后，进行如下计算：

②如果上式成立，则C是一个有效的密文，那么签密接收者IDR能够利用其私钥SKIDR通过下式恢复出消息

3 安全性分析

3.1 方案正确性

方案的正确性很容易得到验证，限于篇幅原因这里省略.

3.2 不可区分性

定理1 如若q-ABDHE是困难问题，对于第一类攻击者AI，本方案满足适应性选择密文攻击下的不可区分性.

证明设敌手AI能够成功攻破本方案，则可以构造算法B，其可利用敌手AI解决q-ABDHE问题，而这与q-ABDHE是一个困难问题相矛盾.

输入算法B的q-ABDHE问题实例(g′,g′aq+2,g,ga,ga2,…,gaq,Z)，其目标是判定等式

Z=e(g,g′)aq+1

是否满足.这里算法B模拟AI的挑战者C与其交互如下：

Phase1：敌手AI可发起如下7种形式的询问，同时算法B需使用4个初始为空的列表L1、L2、L3和L4.

然后在列表L1中添加(M,T).

②部分私钥询问：当对身份IDi的部分私钥DIDi进行询问时，如果IDi=a，算法B可以利用a解决q-ABDHE问题；否则，令q-1阶多项式为fq-1(x)=fq(x)-f(IDi)/x-IDi，算法B计算d1=gfq-1(a)，d2=fq(a)，并把(IDi,DIDi)添加到列表L2中，这里DIDi=(d1,d2)，最后将DIDi作为结果返回.

④用户私钥询问：当询问身份IDi的私钥SKIDi时，如果(IDi,SKIDi)存在于列表L4，则返回SKIDi；否则，算法B分别从列表L2、L3中查询(IDi,DIDi)和(IDi,PKIDi,xIDi,c)，令SKIDi=(DIDi,xIDi)，然后把(IDi,SKIDi)添加到列表L4中，最后将SKIDi作为结果返回.