一种改进的k_匿名消息传输协议

在 基于 Internet 的 通信中 , 尽管传输内容可以
收稿日期 : 2006 - 08 - 31 基金项目 : 国家自然科学基金资助项目 ( 60473028) 作者简介 : 李龙海 ( 1976 - ) , 男 , 讲师 , 博士生 . 研究方向 : 密码 学 ; 计算机安全 .
被加密 , 但通信双方的标识信息 (如 IP 地址 ) 却必 须以明文形式出现 。这些信息的暴露会对用户的隐 私造成损害 。例如 ,监听者通过分析报文的源 IP 和 目标 IP地址发现某用户的主机频频与一电子商务 网站通信 ,由此可以很容易地推断出该用户的行为 目的 。匿名消息传输协议正是为解决此类问题而提
定义 2 对于匿名通信协议 P, 如果存在关于 H 的一个划分 { V1 , …, V l } 满足 : 1 ) 对任意 s ∈ { 1, …, l} 都有 | V s | ≥ k ( k ≥ 2) ; 2 ) 对任意 s ∈ { 1, …, l} , 任意 Pi , Pi ∈ V s 和任 意二元组 ( m sg, p) ∈ M ×{ 1, …, n} , P ( P i ( m sg, p) , 3 ) 和 P ( P j ( m sg, p) , 3 ) 对于攻击者来说具 有多项式时间不可区分性 。 则称协议 P 具有发送者 k - 匿名性 。 定义 3 对于匿名通信协议 P, 如果存在关于 H 的一个划分 { V1 , …, V l } 满足 : 1 ) 对任意 s ∈ { 1, …, l} 都有 | V s | ≥ k ( k ≥ 2) ; 2 ) 对任意 s ∈ { 1, …, l} , 任意 P i , Pi ∈V s , P ∈ H 和 任 意 消 息 m sg ∈ M , P ( P ( m sg, P i ) , 3 ) 和 P ( P ( m sg, Pj ) , 3 ) 对于攻击者来说具有多项式时 间不可区分性 。 则称协议 P 具有接收者 k - 匿名性 。 定义 4 设 α ∈ [ 0, 1 ], 如果匿名通信协议 P 至少满足下列条件之一 : 公平性 : 对 任 意 成 员 P ∈ H 和 任 意 二 元 组 ( m sg, i) ∈M × { 1, …, n} , 当 P的输入为 ( m sg, i) 时 , 成员 Pi 成功接收消息 m sg 的概率至少为 α ; 可觉察性 : 设 S 表示主动背叛协议 P 的成员的 集合 , 如果 S 非空 , 则必存在一个 Pi ∈ S 会被 H中的 所有成员发现 。 则称协议 P 具有 α - 鲁棒性 。
3
→ G1 。
第 2期
李龙海 ,等 : 一种改进的 k - 匿名消息传输协议
2 改进协议
2. 1 条件与符号
1 基本定义
定义 1 关于消息空间 M 的匿名通信协议 P是 n个参与者 P1 , …, Pn 之间的一种运算 。 如果开始时 任意参与者 P i 的输入为二元组 ( m sgi , pi ) ∈ M × { 1, …, n} , 则协议的输出表示为 P ( P1 ( m sg1 , p1 ) , …, Pn ( m sgn , pn ) ) 。 pi = j表示消息 m sgi 的接收者 为 Pj。 设 H < { P1 , …, Pn } 为诚实参与者的集合 , P ( Pi ( m sgi , pi ) , 3 ) 表示成员 Pi 的输入为 ( m sgi , pi ) 而其它成员输入任意值时协议的输出 。
第 39 卷 第 2 期
2007 年 3 月
四 川 大 学 学 报 (工 程 科 学 版 )
JOURNAL OF SI CHUAN UN I V ERSITY ( ENGI N EER I N G SC IENCE ED ITI ON )
Vol . 39 No. 2 Mar . 2007
文章编号 : 1009 2 3087 ( 2007 ) 02 2 0145 2 05
假设 n 个参与者被分成若干个大小为 M 的群 , 每个群中至少包含 k 个诚实的成员 。 每个群都需要 执行下面的协议 。 为了方便描述 , 下面只针对某个特 定的群 。 假设此群中的成员为 P1 , …, PM , 分别拥有 公钥 PK1 , …, PKM , 且采用具有语义安全性的非对 称加密算法 。 另外假设存在可靠的广播信道 , 并且假 定攻击者的计算能力限于多项式时间 。 如果基础网 络无法在物理上保证可靠广播 , 则采用可靠的基于 W eb 的 BB S系统或利用拜占庭协定技术在点对点 [ 9 - 10 ] 网络上实现 。 设 p、 q为两个大素数 , 且满足 p = 2 q + 1、 在群 3 3 Z p 上离散对数问题难解 。 在 Z p 中随机选取 q阶元 素 g、 h, 并设由 g 生成的子群为 G1 。 选取强密码杂凑 函数 H: { 0, 1 }
一种改进的 k - 匿名消息传输协议
李龙海
1 , 2
,付少锋 ,肖国镇
1
2பைடு நூலகம்
( 1. 西安电子科技大学 计算机学院 ,陕西 西安 710071; 2. 西安电子科技大学 综合业务网理论与关键技术国家重点实验室 ,陕西 西安 710071)
摘 要 : 为了在网络通信中更有效地保护用户的隐私 ,基于 Ahn的工作提出了一种改进的 k - 匿名消息传输协议 。 首先利用秘密共享技术为群内每个用户建立会话密钥 , 并使这些密钥之和为 0。 然后每个用户在一轮通信中只需广 播一个用其会话密钥加密的消息 , 最后将所有广播数据乘到一起就可以获得真正的匿名消息 。 为保障系统公平性 , 利用秘密输入不可区分的知识证明技术构建了一种具有常数级轮复杂度的子协议 。 改进后传输子协议的计算和通 λ (λ为安全参数 ) , 并 信复杂度降低为原来的 1 /M (M 为群内用户数 ) , 而公平性子协议的复杂度降低为原来的 1 / 且可以证明改进协议的匿名性建立在判定性 D iffie 2 Hellm an假设基础之上 。 关键词 : 匿名通信 ; k - 匿名性 ; 知识证明 ; 判定性 D iffie 2 Hell m an假设 中图分类号 : TN918; TP309 文献标识码 : A
An I m proved k 2 anonym ous M essage Tran sm ission Protocol
L I L ong 2ha i
1, 2
, FU S hao2feng , X IAO Guo2zhen
1
2
( 1. School of Computer Sci . , Xidian Univ . , Xi’ an 710071, China; 2. State Key Lab. of Integrated Services Networks, Xidian Univ . , Xi’ an 710071, China )
146
四川大学学报 (工程科学版 )
第 39 卷
出的 ,并且已经成为密码学中的一个研究热点 。利 用该类协议可以实现消息的发送者匿名性 、 接收者 匿名性以及通信双方的不可链接性 。它们已被广泛 [1] [2] 应用于匿名电子邮件 、 匿名 W eb 浏览 、 电子选 [1 - 3] [4] 举 、 电子支付 等需要保护用户隐私的互联网 应用系统中 。 [1] 一般的 匿 名 通 信 协 议 , 例 如 M ixnet 和 DC 2 [5 - 6] net ,都将设计目标定位于提供完全匿名性 , 即 监听者只能将追踪范围缩小为系统的整个用户群 。 这些系统一般随着用户人数的增加工作效率都会降 低 。Ahn等在文献 [ 7 ]中提出了一种 k 匿名性通信 协议 , 它能保证监听者只能将追踪范围缩小为由 k 个用户所组成的集合 , 但无法进一步确定 k 个人中 谁才是真正的发送者或接收者 。 因为 k 为常数 , 所以 此类协议的工作效率和匿名性不会随着用户人数的 增加而改变 , 因而具有更好的可扩展性 。 文献 [ 7 ] 的 k 匿名性通信协议利用了安全多方 计算理论中的相关思想 , 使每个参与者所获得的匿 名消息 m 本质上为 k 个人的秘密输入值之和 , 并且 通过 m 无法确定任意参与者的具体输入值 , 以此来 实现发送者 k 匿名性 。 因为每个消息都会被大于等 于 k个人接收到 , 所以第 3者无法确定谁才是真正的 接收者 , 这样就实现了接收者 k 匿名性 。 作者在此协 议基础上做了如下改进 : 1 ) 将秘密共享方法用于会 话密钥的生成 , 在组内消息发送阶段每个用户只需 广播一个用其会话密钥加密的消息 。 这样就降低了 协议的计算复杂度和通信复杂度 , 并且可以证明其 [ 8, 14 ] 匿名性等价于 判定性 D iffie 2 Hellm an 问 题 ; 2) 设计了具有秘密输入不可区分特性的公平性证明子 协议代替原有的基于分割 - 选择方法的证明协议 。 新的证明协议运行一次就可以达到原证明协议必须 重复运行几十次才能达到的安全级别 , 因而大大提 高了效率 ,降低了通信复杂度 。
Abstract: To p rovide effective p rivacy p rotection for participants in network communication, an imp roved k 2anony2 mous message transm ission p rotocol was p roposed based on Ahn ’ s work. Some secret sharing techniques were em 2 p loyed to set up session keys for every user w ithin a group and the sum of these keys was kep t equal to zero. Each user was required to broadcast a single m essage encryp ted by his secret session key in a communication round. The meaningful anonymous messages could be recovered by multip lying all the broadcast data together . A sub 2 p rotocol w ith constant round comp lexity was also constructed based on the w itness indistinguishable p roof techniques to guar2 antee fairness . The computation and comm unication comp lexity of the im p roved trans m ission sub 2 p rotocol was re2 duced by a factor ofM ( the number of users w ithin a group ) , and that of the sub 2 p rotocol w ith fairness by a factor ofλ ( the security parameter) . It can be p roved that the anonym ity of the imp roved p rotocol is based on the Deci2 sional D iffie 2 Hellm an assump tion. Key words: anonymous comm unication; k 2anonym ity; p roof of know ledge; Decisional D iffie 2 Hellm an assump tion