认证技术(下)精要.pptVIP

* G0:A, G1:PA,H:TA.G0_H:X=T;G1_H:TP^(-1)P G0:A, G1:PA,H:TPA.G0_H:X=TP;G1_H:T Guillo-Quisquater身份鉴别方案 单轮（t = 1）GQ协议三次传输的消息为： (1) A → B： IA，x = r e mod n，其中r是A选择的秘密随机数； (2) B → A：B选随机数u，u ≥ 1； (3) A → B：y = r · SA u mod n。 具体协议描述如下： (1) A选择随机数r，1 ≤ r ≤ n – 1，计算x = r e mod n，A将(IA, x)送给B； (2) B选择随机数u，1≤ u ≤ e，将u送给A； (3) A计算y = r · SA u mod n，送给B； (4) B收到y后，从IA计算JA = H(IA)，并计算JA u · y e mod n。 若结果不为0且等于x，则可确认A的身份；否则拒绝A。 Guillo-Quisquater身份鉴别方案 B A Schnorr身份鉴别方案 以上方案有一定的缺陷：实时计算量、消息交换量和所需存储量较大，Schnorr提出的一种安全性基于计算离散对数的困难性的鉴别方案，可以做预计算来降低实时计算量，所需传送的数据量亦减少许多，特别适用于计算能力有限的情况。 Claus Schnorr的认证方案的安全性建立在计算离散对数的难度上。 为了产生密钥对，首先选定系统的参数：素数p及素数q，q是p – 1的素数因子。p 21024，q 2160，元素g为q阶元素，l ≤ g ≤ p – 1。令a为GF(p)的生成元，则得到g = a(p – 1) / q mod q。由可信赖的第三方T向各用户分发系统参数(p, q, g)和验证函数（即T的公钥），用此验证T对消息的签字。 Schnorr身份鉴别方案 对每个用户给定惟一身份I，用户A选定秘密密钥s，0 ≤ s ≤ q – 1，并计算v = g–s mod p；A将IA和v可靠地送给T，并从T获得证书，CA = (IA, v, ST (IA, v))。 协议如下： （1）选定随机数r，1 ≤ r ≤ q – 1，计算x = g r mod p，这是预处理步骤，可在B出现之前完成； （2）A将(CA, x)送给B； （3）B以T的公钥解ST (IA, v)，实现对A的身份IA和公钥v认证，并传送一个介于0到2 t – 1之间的随机数e给A； （4）A验证1 ≤ e ≤ 2 t，计算y = (s e + r) mod q，并将y送给B； （5）B验证x = gy ve mod p，若该等式成立，则认可A的身份合法。 安全性基于参数t，t要选得足够大以使正确猜对e的概率2–t足够小。Schnorr建议t为72位，p大约为512位，q为140位。 此协议是一种对s的零知识证明，在认证过程中没有暴露有关s的任何有用信息。 Schnorr身份鉴别方案 B A 复杂性理论 在计算机学科中，存在多项式时间的算法的一类问题，称之为P类问题；而向旅行商问题、命题表达式可满足问题这类，至今没有找到多项式时间算法解的一类问题，称之为NP类问题。 NP问题中最难的称之为NP完全问题 （1）旅行商问题 （2）三方匹配问题 （3）三方满足问题 NP与零知识证明 每一个NP问题都存在一个零知识证明 GMR(Goldwasser, Micali, Rackoff) “The knowledge complexity of interactive-proof systems”, Proc. of 17th ACM Sym. on Theory of Computation, pp.291-304, 1985 “The knowledge complexity of interactive-proof systems”, Siam J. on Computation, Vol. 18, pp.186-208, 1989 (revised version) 图同构 G0 P G1 P G0 G1 P G0 G1 P G0 G1 P G0 G1 G0 G1 0 T G0 G1 H C=0 G0 G1 H X=T or X=T*P ( X=T*P) -1 G0 G1 X=??? G0 t轮 Kerberos X.509 公钥基础设施PKI 认证的实际应用 * 项目背景 Kerberos是MIT1985年开始的Athena计划中的一部分，是为UNIX TCP/IP网络设计的三方认证协议。 网络上的Kerberos服务设施作为信赖的仲裁者。Kerberos提供安全的网络认证，允许一个用户访问网络上的不同机器。 Kerber