现代密码学 第2讲身份证明技术.pptVIP

身份证明技术 身份证明技术 传统的身份证明： 一般是通过检验“物”的有效性来确认持该物的的身份。徽章、工作证、信用卡、驾驶执照、身份证、护照等，卡上含有个人照片(易于换成指纹、视网膜图样、牙齿的X适用的射像等)。 信息系统常用方式： 用户名和口令 交互式证明 两方参与 示证者P(Prover)，知道某一秘密，使V相信自己掌握这一秘密； 验证者V(Verifier)，验证P掌握秘密；每轮V向P发出一询问，P向V做应答。V检查P是否每一轮都能正确应答。 交互证明与数学证明的区别 数学证明的证明者可自己独立的完成证明 交互证明由P产生证明，V验证证明的有效性来实现，双方之间要有通信 交互系统应满足 完备性：如果P知道某一秘密，V将接收P的证明 正确性：如果P能以一定的概率使V相信P的证明，则P知道相应的秘密 零知识证明 最小泄露证明和零知识证明： 以一种有效的数学方法，使V可以检验每一步成立，最终确信P知道其秘密，而又能保证不泄露P所知道的信息。 如保证投票者的匿名性并对勾结免疫? 如何分离出获胜的标书,而不打开标书? 零知识证明的基本协议 例[Quisquater等1989] 。 零知识证明的基本协议 哈米尔顿回路 图论中有一个著名问题，对有n个顶点的全连通图G，若有一条通路可通过且仅通过各顶点一次，则称其为哈米尔顿回路。 Blum[1986] 最早将其用于零知识证明。 当n大时，要想找到一条Hamilton回路，用计算机做也要好多年，它是一种单向函数问题。 若A知道一条回路，如何使B相信他知道，且不告诉他具体回路？ (1) A将G进行随机置换，对其顶点进行移动，并改变其标号得到一个新的有限图H。因 ，故G上的Hamilton回路与H上的Hamilton回路一一对应。已知G上的Hamilton回路易于找出H上的相应回路； (2)A将H的复本给B； (3) B向A提出下述问题之一：(a) 出示证明G和H同构，(b) 出示H上的Hamilton回路； (4) A执行下述任务之一：(a) 证明G和H同构，但不出示H上的Hamilton回路，(b) 出示H上的Hamilton回路但不证明G和H同构； (5) A和B重复执行 (1)～(4)共n次。 简化Fiat-Shamir身份识别方案 参数： 选定一个随机模n=p×q。使y2=x，即x为模n的平方剩余。 n和x是公开的，y作为P的秘密 完备性 如果P和V遵守协议，且P知道y，V接收P的证明 正确性 当b=0时则V可通过检验而受骗，当b=1时，则V可发现P不知y，B受骗概率为1/2，但连续t次受骗的概率将仅为2-t V无法知道P的秘密，因为V没有机会产生(0,1）以外的信息，P送给V的消息中仅为P知道x的平方根这一事实。 Fiat-Shamir身份识别方案 1. 协议及原理 证明者的秘密:由随机选择的t个平方根构成的一个向量y=(y1,y2,…,yt)， 模数n和向量x=(y21,y22,…,y2t)是公开的，其中n仍是两个不相同的大素数的乘积。 协议如下： ① P随机选r(0rn)，计算a≡r2 mod n，将a发送给V。 ② V随机选e=(e1,e2,…,et)，其中ei∈{0,1}(i=1,2,…,t)，将e发送给P。 ③ P计算 ，将b发送给V。 ④ 若 ，V拒绝P的证明，协议停止。 ⑤ P和V重复以上过程k次。 其他密码协议 智力扑克 A和B通过网络进行智力扑克比赛，不用第三方做裁判，发牌者由任一方担任，要求发牌过程满足 任一副牌是等可能的 发给A，B的牌没有重复 每人知道自己手中的牌，不知道别人的牌 比赛结束后，每一方都能发现对方的欺骗行为 为满足要求，A,B方需要加密一些信息，比赛结束前，这些机密算法都是保密的。 智力扑克 A和B的加密解密算法记为EA，EB，DA，DB，满足EA( EB(m))= EB( EA(m)) A,B协商好用以表示52张牌的w1,…,w52 掷硬币协议 假定利害冲突的A，B双方远在两个城市，若要依靠掷硬币定胜负,可按以下协议: 采用平方根掷硬币 单向函数掷硬币协议 利用二次剩余掷硬币  ① A选择两个大素数p、q，将乘积n=pq发送给B。 ② B随机选择一个整数u，使 1un/2,计算z≡u2 mod n，并将z发送给A。 ③ A计算模n