[物理]代密码学第十一讲：基于身份的密码体制.ppt

基于身份的密码体制 精品课程网站测试 用户名：student1,…,student9 密码111111 作业 5月31日之前，作业提交 作业提交名单查询 6月10日之前，作业补交，之后提交作业不再记录 上节主要内容 身份鉴别的定义 口令认证协议 挑战应答协议 对身份识别协议的攻击和对策 本讲主要内容 基于身份的密码系统（IBC）的提出 基于身份的加密体制（IBE）的定义 Boneh-Franklin IBE方案 基于身份的签名体制（IBS）的定义 Shamir IBS方案 基于身份的密钥协商（IBKA）的定义 Scott IBS方案 IBC的应用 公开问题 基于身份的密码体制 IBC是一种非对称密码体系，与以往公钥密码系统的不同在于任意的字符串可以作为用户的公钥，例如每个人的身份标识，email地址，电话号码等。 不需要CA系统将用户的身份和用户的公钥绑定。 基于IBC的安全电子邮件系统 基于身份的密码体制 私钥生成（PKG） 系统的PKG中心拥有一对主密钥（master key），它公布主密钥中的公钥，自己保存私钥； PKG中心输入自己的私钥和用户的公钥，得到用户的公钥，并安全传回给用户； 用户输入这个私钥和PKG中心的公钥，检查收到的私钥是否正确。 基于身份的加密体制 1984年以色列科学家Shamir提出了基于身份的密码系统的概念（IBC）。 2001年，D. Boneh和M. Franklin , R. Sakai, K. Ohgishi 和 M. Kasahara利用椭圆曲线上的双线性对设计了基于身份的加密算法。 2001年C. Cocks利用平方剩余难题设计了基于身份的加密算法。 D. Boneh和M. Franklin提出的IBC (BF-IBC)的安全性可以证明并且有较好的效率，所以引起了极大的反响。 基于身份的加密体制 初始化 输入: 安全参数 t 输出: 系统参数params和主密钥master-key  提取私钥 输入: 系统参数params和主密钥master-key 用户身份 ID∈{0,1}* 输出: 用户私钥dID 基于身份的加密体制 加密 输入: 系统参数params,明文M∈M， 明文接收者公钥（身份）ID∈{0,1}*, 输出: 密文C 解密 输入: 系统参数params,密文C ∈C ，接收者私钥dID, 输出: 明文M 双线性映射 e : G1× G1 → G2 G1 和 G2 是阶为p的循环群 双线性映射 任给 x, y ∈ G1 和任意整数 a, b ∈ Zp e(ax,by) = e(x,y)ab 非退化性（Non-Degenerate） 存在 x,y ∈ G1 使得 e(x,y) ≠ 1G2  可计算性（Computable） 对于任意给定的 x,y ∈ G1，计算 e(x,y)是容易的 安全性假设 Bilinear Diffie-Hellman 问题(BDHP) 阶为q的循环群G1, G2, 群上的双线性映射e 给定G1上的一个生成元 g 和其上的任意三个元素 ag, bg, cg ∈ G1 ，其中 a, b, c ∈ Zp, 计算 e(g,g)abc 安全性假设: BDHP 是困难的 Boneh-Franklin IBE Scheme 初始化 (t) 用 t 生成一个素数 q 生成阶为q的循环群 G1, G2, 及一个双线性映射e: G1×G1 → G2 任意选取一个生成元 g∈G1 选取一个随机数 s∈Zq* 令 P= sg 选取两个密码学hash函数: H1:{0,1}* →G1* 和 H2:G2 → {0,1}n Boneh-Franklin IBE Scheme 初始化(t) M = {0,1}n C = G1* × {0,1}n params = q, G1, G2, e, n, g, P, H1, H2 master-key = s 私钥生成(ID) dID=s H1(ID) Boneh-Franklin IBE Scheme 加密 (M) 选取随机数 r∈Zq* R=rg, M⊕H2(e(H1(ID),P)r) 解密(C=(U, V)) V ⊕ H2(e(dID,U)) 正确性证明 H2(e(dID,U)) =H2(e(sH1(ID), rg) )= H2(e(H1(ID), g)sr =H2(e(H1(ID), sg)r )= H2(e(H1(ID),P)r) Boneh-Franklin IBE Scheme 效率 加密： 1 scalar multiplication in G1 1 map-to-point hash operation, 1 pairin