專利名稱：基于證書的前向安全簽名方法及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明屬于通信技術(shù)領(lǐng)域，涉及網(wǎng)絡(luò)通信的安全問題，更確切地說是涉及一種能夠增加敵手竊取簽名密鑰難度并且能夠減輕簽名密鑰泄露影響的數(shù)字簽名方法及系統(tǒng)。
背景技術(shù)：
為了解決傳統(tǒng)公鑰密碼體制中的證書管理問題，基于身份公鑰密碼體制中的密鑰托管問題，以及無證書公鑰密碼體制中的公鑰替換攻擊問題，Gentry在2004年歐密會(huì)上提出了基于證書的密碼體制(Certificate-Based Cryptography, CBC)，并提出了第一個(gè)基于證書的加密方案(Certificate-Based Encryption, CBE)?；谧C書的密碼體制是將傳統(tǒng)的公鑰密碼體制和基于身份的密碼體制的優(yōu)點(diǎn)結(jié)合起來，消除了高代價(jià)的證書驗(yàn)證過程，并且不存在密鑰托管的隱患?；谧C書的密碼體制同傳統(tǒng)公鑰密碼體制一樣，也有一個(gè)證書中心(CA)為用戶提供證書，保證用戶身份和公鑰間的對(duì)應(yīng)，在解密或簽名過程中，用戶需要同時(shí)使用證書和私鑰，因而在加密或簽名驗(yàn)證過程中不存在對(duì)證書狀態(tài)的第三方詢問。由于用戶可以向CA請求一個(gè)長期證書，所以基于證書的密碼體制中不存在無證書密碼體制中的公鑰替換攻擊問題。因此，基于證書的密碼體制自從被提出后，受到了廣泛關(guān)注， 成為了密碼學(xué)研究的熱點(diǎn)方向，各種基于證書的加密或簽名方案相繼被提出。在現(xiàn)實(shí)中，對(duì)數(shù)字簽名方案最大的威脅來自于密鑰泄露，即一旦秘密密鑰丟失 (或被竊取)，以前由這個(gè)密鑰生成的所有簽名都變得無效。通?？紤]的解決密鑰泄露的方法是通過數(shù)個(gè)服務(wù)器經(jīng)由秘密共享實(shí)現(xiàn)密鑰分配，密鑰分配有許多實(shí)例化的方法比如門限簽名方法等。然而，使用密鑰分配的方式開銷相當(dāng)大，當(dāng)大企業(yè)或者證書權(quán)威組織能夠分配密鑰時(shí)，只擁有一臺(tái)機(jī)器的普通用戶卻沒有這樣的選擇，其他針對(duì)密鑰泄露的保護(hù)方法包括彈性密鑰泄露方法、受保護(hù)的硬件或者smartcard等，但這些方法也往往是昂貴或不切實(shí)際的。此外，密鑰分配方案不一定能夠提供想象中的安全性，比如，密鑰分配易受共模故障的影響因?yàn)樗袡C(jī)器使用相同的操作系統(tǒng)，如果找出一個(gè)系統(tǒng)的可能造成非法入侵的漏洞，所有的機(jī)器都會(huì)受到影響。于是，前向安全簽名的概念在1997年由Anderson弓丨入，用來解決普通數(shù)字簽名的密鑰泄露問題。為了解決密鑰泄露問題，Anderson提出把密碼系統(tǒng)的生命周期分成若干個(gè)時(shí)間周期，在每個(gè)周期的最后，簽名者以一個(gè)單向的模式，從當(dāng)前周期的秘密密鑰得到下一周期的新的秘密密鑰，并且安全地刪除當(dāng)前周期的秘密密鑰。而在整個(gè)密鑰的生命周期中， 公鑰始終保持不變，這個(gè)方法確保了密鑰被泄露的周期以前的所有簽名的有效性。1999年，Bellare和Miner第一次給出了前向安全簽名的形式化定義，并基于Fiat 和Siamir的簽名方案給出了兩個(gè)前向安全數(shù)字簽名方案一個(gè)是在普通數(shù)字簽名基礎(chǔ)上使用樹型結(jié)構(gòu)的證書鏈構(gòu)造的方案；另一個(gè)是修改Fiatlhamir簽名方案。其基本思想是公鑰一直保持不變，而私鑰卻是利用單向函數(shù)和前一時(shí)間段的私鑰產(chǎn)生的，這樣每一時(shí)間段的簽名和私鑰都互不相同，即使當(dāng)前周期的簽名密鑰被泄露，也不影響該周期前簽名的有效性，這樣就減少了密鑰泄露帶來的威脅。
本發(fā)明人即是在前述技術(shù)發(fā)展背景下，對(duì)前向安全簽名方法進(jìn)行深入研究，本案
由此產(chǎn)生。

發(fā)明內(nèi)容
本發(fā)明所要解決的技術(shù)問題，是針對(duì)前述背景技術(shù)中的缺陷和不足，提供一種基于證書的前向安全簽名方法及系統(tǒng)，其結(jié)合基于證書的簽名方法和前向安全簽名方法的優(yōu)勢，解決一部分基于證書密碼體制中的密鑰泄露問題，具有很高的實(shí)用價(jià)值。本發(fā)明為解決以上技術(shù)問題，所采用的技術(shù)方案是一種基于證書的前向安全簽名方法，包括如下步驟A.設(shè)定系統(tǒng)公開參數(shù)params，主公鑰mpk和主密鑰msk ； B.根據(jù)所述系統(tǒng)公開參數(shù)params，生成用戶的公鑰1 和初始私鑰SKtl ；C.根據(jù)所述系統(tǒng)公開參數(shù)params，系統(tǒng)主密鑰msk和用戶的公鑰Hi產(chǎn)生用戶的證書Certm ；D.根據(jù)當(dāng)前時(shí)間周期i和上一時(shí)間周期的用戶私鑰SIV1，生成當(dāng)前時(shí)間周期的用戶私鑰SKi ；E.根據(jù)所述系統(tǒng)公開參數(shù)params，用戶的當(dāng)前時(shí)間周期私鑰SKi和用戶的證書 Certm對(duì)消息M進(jìn)行簽名得到當(dāng)前時(shí)間周期的簽名ο ；F.根據(jù)所述系統(tǒng)公開參數(shù)params和用戶的公鑰1 ，對(duì)消息M在當(dāng)前時(shí)間周期的簽名σ進(jìn)行驗(yàn)證。上述步驟A包括Al.選定安全參數(shù)Ik和二叉樹深度1，則系統(tǒng)總的時(shí)間周期為N = 21+1-1 ；Α2.選擇兩個(gè)階為q的循環(huán)群G1, G2,其中，e =G1XG1 — ( 是群G1, G2上可計(jì)算的雙線性映射；A3.選擇隨機(jī)數(shù)·作為系統(tǒng)主密鑰msk，選擇任意的生成元P e G1,并計(jì)算mpk =sP作為系統(tǒng)主公鑰；A4.選擇四個(gè)雜湊哈希函數(shù)出1:{0，1}、61 — 61，巧{0,1}\01—^，氏{0，
1}*X IoaKXG1XG1 — G1, H4 :{0,1}*X {0,1}*X IoaKXG1XG1 — G1，則系統(tǒng)公開參數(shù)為 params = G2, e, q, P, 1, H1, H2, H3, H4> ；A5.系統(tǒng)公開params和mpk，安全保存msk。上述步驟A4中，所選的雜湊哈希函數(shù)選用哈希函數(shù)MD-5、SHA-I、SHA-2和SHA-3 中的任一種。上述步驟B具體包括Bi.選擇隨機(jī)數(shù)作為用戶初始私鑰SK。；B2.計(jì)算用戶公鑰PK = xP e G1 ；該初始私鑰為周期0的用戶私鑰，即二叉樹的根密鑰Se，由用戶自己產(chǎn)生并安全保存；用戶公鑰在方案的整個(gè)生命周期中公開并保持不變。上述步驟C具體包括Cl.計(jì)算 Qid = H1 (ID, PK) e G1 ；
C2.計(jì)算用戶證書 Certm = sQID e G10上述用戶私鑰由用戶安全地保存在密鑰棧ST-SK中，當(dāng)前時(shí)間周期i對(duì)應(yīng)的二叉樹結(jié)點(diǎn)為ω，結(jié)點(diǎn)密鑰為Su = u，Rm12，LRullri，Ru，SNJ，步驟D具體包括Dl.若ω為內(nèi)部結(jié)點(diǎn)，則選擇隨機(jī)數(shù)P _，凡一<，然后分別計(jì)算Rutl = ρ ω0Ρ, R.I = p .iP;SNm0 = SNJhutlP ω 和 SNul = SNJhulP ω1，其中 h。。= H2(coO，Ru。)，hul = Η2(ω1，Ι ω1) ； ω 左子結(jié)點(diǎn)密鑰為 Sco0 = u，L，Ru ，Ru，Rutl，SNj，右子結(jié)點(diǎn)密鑰為 Sul =OLll，L，Ru|n_l，Ru，Rul，SNJ ；然后，分別將Sul，Sco0依次壓入棧ST-SK，最后，用戶安全刪除Su ；D2.若ω是葉子結(jié)點(diǎn)，則用戶直接安全刪除Su。上述步驟E具體包括El.當(dāng)前時(shí)間周期為i e
驗(yàn)證模塊F 根據(jù)所述系統(tǒng)公開參數(shù)params和用戶的公鑰PK，對(duì)消息M在當(dāng)前時(shí)間周期的簽名σ進(jìn)行驗(yàn)證。其中，模塊A的具體實(shí)現(xiàn)步驟如下Al.選定安全參數(shù)Ik和二叉樹深度1 (則系統(tǒng)總的時(shí)間周期為N = 21+1-1)；Α2.選擇兩個(gè)階為q的循環(huán)群G1, &，其中，e =G1XG1 — ( 是群G1, ( 上可計(jì)算的雙線性映射；A3.選擇隨機(jī)數(shù)·作為系統(tǒng)主密鑰msk，選擇任意的生成元P e G1,并計(jì)算mpk =sP作為系統(tǒng)主公鑰；A4.選擇四個(gè)雜湊哈希函數(shù)H1=IOaKXG1^G1, /^{Ο, ΓχΟ,—Ζ^Η^ Ο， 1}*X IoaKXG1XG1 — G1, H4 :{0，1}*X {0，1}*X IoaKXG1XG1 — G1O 則系統(tǒng)公開參數(shù)為 params = G2, e, q, P, 1, H1, H2, H3, H4>。系統(tǒng)公開params和mpk，安全保存msk。其中，根據(jù)系統(tǒng)公開參數(shù)params，生成用戶的公鑰1 和初始私鑰SKtl,模塊B的具體實(shí)現(xiàn)步驟如下Bi.選擇隨機(jī)數(shù)作為用戶初始私鑰SK(1 ；B2.計(jì)算用戶公鑰 PK = xP e G115該初始私鑰為周期O的用戶私鑰，即二叉樹的根密鑰Se，由用戶自己產(chǎn)生并安全保存；用戶公鑰在方案的整個(gè)生命周期中公開并保持不變。其中，根據(jù)系統(tǒng)公開參數(shù)params，系統(tǒng)的主密鑰msk和用戶公鑰PK，生成用戶證書 Certm，模塊C的具體實(shí)現(xiàn)步驟如下Cl.計(jì)算 Qid = H1 (ID, PK) e G1 ；C2.計(jì)算用戶證書 Certm = sQID e G10其中，根據(jù)當(dāng)前時(shí)間周期i和上一時(shí)間周期的用戶私鑰SIV1，利用二叉密鑰進(jìn)化樹方法進(jìn)化用戶密鑰，生成當(dāng)前時(shí)間周期的用戶私鑰SKitj用戶私鑰由用戶安全地保存在密鑰棧ST-SK中，當(dāng)前周期i對(duì)應(yīng)的二叉樹結(jié)點(diǎn)為ω，結(jié)點(diǎn)密鑰為Su = (Rw |1； Rw |2, L, R I^1, R ，SNJ，模塊D的具體實(shí)現(xiàn)步驟如下Dl.若ω為內(nèi)部結(jié)點(diǎn)，則選擇隨機(jī)數(shù)P 。，凡一<，然后分別計(jì)算Rutl = ρ ω0Ρ, R.I = p .iP;SNm0 = SNJhutlP ω 和 SNul = SNJhulP ω1，其中 h。。= H2(coO，Ru。)，hul = Η2(ω1，Ι ω1)。所以ω左子結(jié)點(diǎn)密鑰為Sutl = u，L，Ru ，Ru，Rutl，SNj，右子結(jié)點(diǎn)密鑰為 Sul = (Ru u，L，Ru |n_1; Ru，Rul，SNJ。然后，分別將 Sul，Sutl 依次壓入棧 ST-SK，最后，用戶安全刪除Su ；D2.若ω是葉子結(jié)點(diǎn)，則用戶直接安全刪除Su。其中，根據(jù)系統(tǒng)公開參數(shù)params，用戶的當(dāng)前時(shí)間周期私鑰SKi和用戶的證書 Certm對(duì)消息M進(jìn)行簽名得到當(dāng)前時(shí)間周期的簽名σ，模塊E的具體實(shí)現(xiàn)步驟如下El.當(dāng)前時(shí)間周期為i e
E5. σ = (U，F(xiàn)S)即為 i 周期 M 的簽名，輸出 <i，σ = (U，F(xiàn)S) > 和 Ru ！ 0，其中 θ < n。其中，根據(jù)系統(tǒng)公開參數(shù)params和用戶的公鑰1 ，對(duì)消息M在當(dāng)前時(shí)間周期i的簽名ο進(jìn)行驗(yàn)證，模塊F的具體實(shí)現(xiàn)步驟如下Fl.計(jì)算 Qid = H1(IDJK) e G1, V = H3 (M, i,U,PK),ff = H4 (Μ, i, ID, U, PK), , θ = Η2(ω I θ，Ru|0)，其中 1 彡 θ 彡 η;F2.驗(yàn)證等式炒，將) =+玄/^入一隊(duì)㈧是否成立。如果成立，則
θ=\
<i，σ >為消息M在周期i的一個(gè)有效簽名，輸出true ；否則，簽名無效，輸出false。需要說明的是，針對(duì)不同的應(yīng)用需求，不同的安全性等級(jí)要求，可以采用不同規(guī)模的參數(shù)k，1等，所以說，本發(fā)明具有多種具體的實(shí)施方式，這里不再贅述。在電信網(wǎng)絡(luò)中，使用前向安全的數(shù)字簽名技術(shù)，保證數(shù)字簽名的前向安全，再結(jié)合具體證書管理技術(shù)，提出基于證書的前向安全簽名技術(shù)，不僅能支持現(xiàn)有的主流認(rèn)證與授權(quán)，還能夠考慮到安全穩(wěn)定快速的用戶體驗(yàn)。具體做法是把基于證書的前向安全簽名技術(shù)作為一個(gè)基本模塊，結(jié)合到相關(guān)的協(xié)議與密碼方案中。本領(lǐng)域普通技術(shù)人員可以理解實(shí)現(xiàn)上述實(shí)施例方法中的全部或部分流程，是可以通過計(jì)算機(jī)程序來指令相關(guān)的硬件完成，所述程序可存儲(chǔ)于計(jì)算機(jī)可讀取存儲(chǔ)介質(zhì)中，該程序在執(zhí)行時(shí)，可以包括上述各方法的實(shí)施例的流程。其中，所述的存儲(chǔ)介質(zhì)可以為磁碟、 光盤、只讀存儲(chǔ)記憶體等。以上實(shí)施例僅為說明本發(fā)明的技術(shù)思想，不能以此限定本發(fā)明的保護(hù)范圍，凡是按照本發(fā)明提出的技術(shù)思想，在技術(shù)方案基礎(chǔ)上所做的任何改動(dòng)，均落入本發(fā)明保護(hù)范圍之內(nèi)。
權(quán)利要求
1.一種基于證書的前向安全簽名方法，其特征在于包括如下步驟A.設(shè)定系統(tǒng)公開參數(shù)params，主公鑰mpk和主密鑰msk；B.根據(jù)所述系統(tǒng)公開參數(shù)params，生成用戶的公鑰1 和初始私鑰SKtl；C.根據(jù)所述系統(tǒng)公開參數(shù)params，系統(tǒng)主密鑰msk和用戶的公鑰1 產(chǎn)生用戶的證書 Certm ；D.根據(jù)當(dāng)前時(shí)間周期i和上一時(shí)間周期的用戶私鑰SIV1，生成當(dāng)前時(shí)間周期的用戶私鑰Ii ；E.根據(jù)所述系統(tǒng)公開參數(shù)params，用戶的當(dāng)前時(shí)間周期私鑰SKi和用戶的證書Certm 對(duì)消息M進(jìn)行簽名得到當(dāng)前時(shí)間周期的簽名σ ；F.根據(jù)所述系統(tǒng)公開參數(shù)params和用戶的公鑰PK，對(duì)消息M在當(dāng)前時(shí)間周期的簽名 σ進(jìn)行驗(yàn)證。
2.如權(quán)利要求1所述的基于證書的前向安全簽名方法，其特征在于所述步驟A包括 Al.選定安全參數(shù)Ik和二叉樹深度1，則系統(tǒng)總的時(shí)間周期為N = 21+1-1 ；Α2.選擇兩個(gè)階為q的循環(huán)群G1, (；2，其中，e =G1XG1 — G2是群G1, G2上可計(jì)算的雙線性映射；A3.選擇隨機(jī)數(shù)·作為系統(tǒng)主密鑰msk，選擇任意的生成元P e G1,并計(jì)算mpk = sP 作為系統(tǒng)主公鑰；A4.選擇四個(gè)雜湊哈希函數(shù)=H1 {0，IKXG1 — G1,巧RlfxG1 Wq，H3 : {0，1}*X {0， IKXG1XG1 — G1, H4 {0，1}*X {0，1}*X {0，IjiXG1XG1 — G1，則系統(tǒng)公開參數(shù)為 params = <G1 G2, e，q，P，1，H1, H2, H3, H4〉；Α5·系統(tǒng)公開params禾口 mpk,安全保存msk。
3.如權(quán)利要求2所述的基于證書的前向安全簽名方法，其特征在于，所述步驟A4中，所選的雜湊哈希函數(shù)選用哈希函數(shù)MD-5、SHA-U SHA-2和SHA-3中的任一種。
4.如權(quán)利要求1所述的基于證書的前向安全簽名方法，其特征在于所述步驟B具體包括Bi.選擇隨機(jī)數(shù)xe作為用戶初始私鑰SK(l ; B2.計(jì)算用戶公鑰1 = xP G G1 ；該初始私鑰為周期0的用戶私鑰，即二叉樹的根密鑰Se，由用戶自己產(chǎn)生并安全保存； 用戶公鑰在方案的整個(gè)生命周期中公開并保持不變。
5.如權(quán)利要求1所述的基于證書的前向安全簽名方法，其特征在于所述步驟C具體包括Cl.計(jì)算 Qid = H1(IDjPK) e G1 ； C2.計(jì)算用戶證書Certm = sQID e G10
6.如權(quán)利要求1所述的基于證書的前向安全簽名方法，其特征在于用戶私鑰由用戶安全地保存在密鑰棧ST-SK中，當(dāng)前時(shí)間周期i對(duì)應(yīng)的二叉樹結(jié)點(diǎn)為ω，結(jié)點(diǎn)密鑰為Su = (R u，R. |2，L, Rw I^1, Rw, SNJ,步驟 D 具體包括Dl.若ω為內(nèi)部結(jié)點(diǎn)，則選擇隨機(jī)數(shù)P 。，A81 e^，然后分別計(jì)算Rutl= Pm0PjRm1 =P ω1Ρ，SNutl = SNJhutlP ω 和 SNul = SNJhulP ω1，其中 1ιω。= H2 (ω 0，Rutl)，hul = H2 (ω 1， Rwl) ； ω 左子結(jié)點(diǎn)密鑰為 Suq= (Rm u，I^Rullri，Ru，Ruq，SNJ，右子結(jié)點(diǎn)密鑰為 Sul = (RwU, L, Rm1ih，Rwl, SNJ ；然后，分別將Sul，Sco0依次壓入棧ST-SK，最后，用戶安全刪除Sco ； D2.若ω是葉子結(jié)點(diǎn)，則用戶直接安全刪除Su。
7.如權(quán)利要求1所述的基于證書的前向安全簽名方法，其特征在于所述步驟E具體包括El.當(dāng)前時(shí)間周期為i e [0，N)，用戶首先將密鑰棧ST-SK的棧頂元素Su出棧；E2.隨機(jī)選擇“e Z；，計(jì)算υ = rp ；E3.計(jì)算 V = H3(M, i, U, PK), W = H4(M, i, ID, U, PK)；E4.計(jì)算 FS = CertID+SNM · V+rff ；E5. σ = (U,FS)即為i周期M的簽名，輸出<i，σ = (U，F(xiàn)S) >和Ru丨0，其中1彡θ彡η。
8.如權(quán)利要求1所述的基于證書的前向安全簽名方法，其特征在于所述步驟F具體包括Fl.計(jì)算 Qid = H1 (ID，PK) e G1, V = H3 (M，i，U，PK), W = H4 (Μ, i，ID, U，PK), hM,e = Η2(ω I θ，Ru|0)，其中 1 彡 θ ^n ；F2.驗(yàn)證等式炒,將)=_沐么)耽伙+ ；￡Zv^lXfZJ)是否成立，如果成立，則<i，θ=\σ >為消息M在周期i的一個(gè)有效簽名，輸出rtue ；否則，簽名無效，輸出false。
9.一種應(yīng)用如權(quán)利要求1所述的基于證書的前向安全簽名方法的簽名系統(tǒng)，其特征在于包括系統(tǒng)參數(shù)設(shè)置模塊用于生成系統(tǒng)主密鑰和系統(tǒng)公開參數(shù)，并將系統(tǒng)主密鑰發(fā)送給用戶證書認(rèn)證模塊，將系統(tǒng)公開參數(shù)發(fā)送給用戶初始公私鑰生成模塊、用戶證書認(rèn)證模塊、簽名模塊和驗(yàn)證模塊；用戶初始公私鑰生成模塊用于生成各個(gè)用戶的公鑰和初始私鑰，并將用戶的公鑰發(fā)送給用戶證書認(rèn)證模塊和驗(yàn)證模塊，將用戶的私鑰發(fā)送給用戶密鑰進(jìn)化模塊和簽名模塊； 用戶證書認(rèn)證模塊用于對(duì)合法用戶頒發(fā)證書，并將用戶的證書發(fā)送給簽名模塊； 用戶密鑰進(jìn)化模塊用于根據(jù)時(shí)間周期的更新而進(jìn)化用戶的私鑰，并將用戶的進(jìn)化后的私鑰發(fā)送給簽名模塊；簽名模塊用于在任意周期，對(duì)任意消息產(chǎn)生簽名，并將產(chǎn)生的簽名發(fā)送給驗(yàn)證模塊； 驗(yàn)證模塊用于對(duì)相應(yīng)周期的消息簽名的有效性進(jìn)行驗(yàn)證。
全文摘要
本發(fā)明公開一種基于證書的前向安全簽名系統(tǒng)，包括系統(tǒng)參數(shù)設(shè)置模塊、用戶初始公私鑰生成模塊、用戶證書認(rèn)證模塊、用戶密鑰進(jìn)化模塊、簽名模塊和驗(yàn)證模塊；系統(tǒng)參數(shù)設(shè)置模塊生成系統(tǒng)主密鑰和系統(tǒng)公開參數(shù)，并發(fā)送給其它模塊；用戶初始公私鑰生成模塊生成各個(gè)用戶的公鑰和初始私鑰；用戶證書認(rèn)證模塊對(duì)合法用戶頒發(fā)證書并發(fā)送給簽名模塊；用戶密鑰進(jìn)化模塊進(jìn)化用戶的私鑰并發(fā)送給簽名模塊；簽名模塊對(duì)任意消息產(chǎn)生簽名并發(fā)送給驗(yàn)證模塊；驗(yàn)證模塊對(duì)簽名的有效性進(jìn)行驗(yàn)證。此系統(tǒng)可解決一部分基于證書密碼體制中的密鑰泄露問題，具有很高的實(shí)用價(jià)值。本發(fā)明還公開一種基于證書的前向安全簽名方法。
文檔編號(hào)H04L9/32GK102420691SQ20111042555
公開日2012年4月18日 申請日期2011年12月16日 優(yōu)先權(quán)日2011年12月16日
發(fā)明者張亦辰, 李繼國, 滕薈蕓 申請人:河海大學(xué)