Seurityanalysisfanientitybasestrnglyunfrgeable(基于身份的强不可伪造..docVIP

基于身份的强不可伪造签名方案的安全性分析 基于身份的签名（TBS ）是其中任何标识字符串TD可用于一个用户的公共 密钥的公共密钥签名（PKS）的特定类型.尽管IBS方案可以从任何PKS方案通 过使用证书范式构建，但在不依赖于随机预言的标准假设下，构造一个短签名的 高效的IBS方案是很重要的。近日，Kwon提出了 IBS方案，并声称其在计算的 Diffie-Hellman （ CDH ）假设下的强不可伪造性.在木文中，我们证明了 Kwon 的安全性证明存在严重缺陷。为了证明这一缺陷，我们首先表明，存在一个识别 器，可以区分模拟签名与真实签名的分布位置。接下来，我们还表明，即使是存 在伪造签名的对手，Kwon的安全性论证模拟器也不能得到CDH问题的解决办法. 因此，Kwon的IBS的安全方案与CDH假设的硬度是不相关的. 关键词：密码学基于身份的签名强不可伪造性安全性分析双线性映射 绪论 基于身份的签名（IBS）是公钥签名（PKS ）的特定类型，使得一个标识字 符串ID可用于为一个用户的公共密钥。Shamir［8］提出了 IBS和第一 IBS方案 的概念.TBS的主要优点是，PKS的证书管理问题可通过用一个标识字符串替换 公钥来解决.虽然基于身份的加密（IBE）方案需要一个强有力的像双线性映射的 本原，一个IBS方案可以通过使用证书范例［1，4］轻易地从任何PKS方案得到衍 生.然而，从PKS方案派生出来的这个一般的IBS方案的签名长度是冗长的，因此 签名应该包含一个公幵密钥和公开密钥的证书以及一个标识字符串.Gentry和 Silverberg［5］表明，TBS方案（短签名）可以从两级分层IBE方案中得到。虽 然提出了许多的不依赖于随机预言［7,3］的IBS方案，但是在不依赖于随机预言 的标准假设下构建一个高效的短签名IBS方案仍然是很重要的工作.近 日，Kwon［6］提出了在不依赖于随机预言的计算的Diffie-Hellman （ CDH ）假 设下的强不可伪造的IBS方案.Kwon的IBS方案是Waters ［11］的PKS方案与 Boneh和B0yen［2］的弱安全（修订）PKS方案的一个分层组合.Kwem还设计了一 个新的机制来规定强不可伪造性.与以往在不依赖于随机预言的CD11假设不安全 的IBS方案相比，Kwon的IBS方案具有更短的公共参数，并规定了强大的不可伪 造性. 在木文中，我们证明Kwon的安全性论证是错误的。在一个正确的安全参数 中，模拟私钥和模拟签名的分布从原始的参数中应该是无法辨别的，并且模拟器 可以从对手的伪造签名屮提取CD11问题的解决方案.我们首先表明，如果算法请 求签名奔询多项式项数数，则存在一种算法，可以区分签名是否是从真正的签名 算法或非高概率签名中产生的.接下来，我们表明Kwon的模拟器不能提取CDH问 题的解决方案，即使存在一个对手输出一个伪造的签名.因此，Kwon的安全性论 证是无效的，因为模拟游戏的分布是可区分的,而安全参不与CDH假设的硬度无 关.本文的结构安排如下：我们首先在第2节回顾Kwon的IBS方案及其安全性论 证，之后我们在第3节提出我们的安全性分析. 对Kwon的基于身份的签名的回顾 在木节中，我们将回顾Kwon的IBS方案及其在CDH假设下的安全性证明. 2.1.双线性群体和复杂性的假设 让G和0,成为同一个素数阶p的两个乘法循环群，g为G的生成.双线性映 射e: G x G GT具有如下的性质： 双线件?件?: Vw,vg G且Zp,e(ua,v/?) = . 非退化性：3g,如6^4)有一个阶数/，换言之，6^4)是由(^生成的. 我们说如果在0和0,屮群运算符也和双线性映射一样都是有效可计算的, 则G是一个双线性群.此外，我们假设0和07 的描述分别包括G和0了的生成器. 假设2.1 Diffie - Heilman的计算，CDH).设(p，G，G,.，e)是素数阶p的双线性 群，g是由子组G生成的.如果挑战元组门二^刀刀^:^广^是给出的^川 CDH假设可以是这样的，非PH算法A可以输出多于一个可忽略优势的 ^eG. A的优越性被定义为= = 其中的概率是被 ，的随机选择所接管. 2. 2最初的IBS方案 IBS 方案由 Setup, GenKey, Sign,和 Verify 算法组成.Kwon [6]的 IBS 方 案与Waters [11]的有相同的私钥结构.它采用Boneh和[2]Boyen改进的结构用丁? 生成签名?设/(d)是从元素de G到元素｛0，1｝的一个映射，其中/是J的％坐 标的最右边的点.设H : ｛0,lfxGxG^Zp是一个散列函数.IBS方案的描述如卜*: Setup(1^):该算法需要输入一个安全参数1A.它生成一个素数阶