非对称密码体制

非对称密码体制学习要点：1.非对称密码体制的概念、思想和工作方式2.Diffie-Hellman密钥交换算法3.RSA 算法4.EIgamal公钥算法5.ECC算法背景在拥有大量用户的通信网络，若想让两两用户都能进行保密通信，即要求(1)任意一对用户共享一个会话密钥(2)不同的用户对共享的会话密钥不相同2个对于密钥分配中心，N个用户则需要分配CN会话密钥，大量的数据存储和分配是一件很麻烦的事，在计算机网络环境下显的尤为突出。

另外传统密码不易实现数字签名，也进一步限制了其发展。

一、概述问题的提出—对称密码体制的缺陷：•密钥管理困难–传统密钥管理两两分别用一对密钥时，则n 个用户需要C( n, 2)= n( n-1)/ 2 个密钥，当用户量增大时密钥空间急剧增大。

如:–n= 100 时C( 100,2)= 4,995–n= 5000 时C( 5000,2)= 12,497,500•密钥分配问题•数字签名的问题–传统加密算法无法实现抗抵赖的需求，当主体A收到主体B的电子文挡（电子数据）时，无法向第三方证明此电子文档确实来源于B。

起源•公钥密码又称为双钥密码和非对称密码，是1976年由Diffie和Hellman在其“密码学新方向”一文中提出的，见划时代的文献：W.Diffie and M.E.Hellman, New Directrionsin Cryptography, IEEE Transaction on Information Theory, V.IT-22.No.6, Nov 1976, PP.644-654•RSA公钥算法是由Rivest,Shamir和Adleman在1978年提出来的, 见Communitions of the ACM. Vol.21.No.2. Feb. 1978, PP.120-126公钥密码体制的基本概念•由私钥及其他密码信息容易计算出公开密钥(a polynomial time (P-time) problem)•由公钥及算法描述,计算私钥是难的(an NP-time problem)•因此,公钥可以发布给其他人(wishing to communicate securely with its owner )•密钥分配问题(the key distribution problem )基本思想和要求•涉及到各方：发送方、接收方、攻击者•涉及到数据：公钥、私钥、明文、密文•公钥算法的条件：–产生一对密钥是计算可行的–已知公钥和明文，产生密文是计算可行的–接收方利用私钥来解密密文是计算可行的–对于攻击者，利用公钥来推断私钥是计算不可行的–已知公钥和密文，恢复明文是计算不可行的–(可选)加密和解密的顺序可交换密码学的起源和发展三个阶段：•1949年之前密码学是一门艺术•1949～1975年密码学成为科学•1976年以后密码学的新方向——公钥密码学公钥密码算法应满足以下要求:①接收方B 产生密钥对（公开钥PK B 和秘密钥SK B ）在计算上是容易的。

②发方A 用收方的公开钥对消息m 加密以产生密文C ，即在计算上是容易的。

③收方B 用自己的秘密钥对C 解密，即在计算上是容易的。

公钥密码算法应满足的要求[].B PKC E m =[]B SK mD C =④敌手由B 的公开钥PK B 求秘密钥SK B 在计算上是不可行的。

⑤敌手由密文C 和B 的公开钥PK B 恢复明文m 在计算上是不可行的。

⑥加、解密次序可换，即其中最后一条虽然非常有用，但不是对所有的算法都作要求。

公钥密码算法应满足的要求[()][()]B B B B PK SK SK PK E D m D E m =公钥密码算法应满足的要求以上要求的本质之处在于要求一个陷门单向函数。

单向函数是两个集合X、Y之间的一个映射，使得Y 中每一元素y都有惟一的一个原像x∈X，且由x易于计算它的像y，由y计算它的原像x是不可行的。

这里所说的易于计算是指函数值能在其输入长度的多项式时间内求出，即如果输入长n比特，则求函数值的计算时间是n a的某个倍数，其中a是一固定的常数。

这时称求函数值的算法属于多项式类P，否则就是不可行的。

例如，函数的输入是n比特，如果求函数值所用的时间是2n的某个倍数，则认为求函数值是不可行的。

公钥密码系统特点：采用了一对密钥——加密密钥和解密密钥(且从解密密钥推出加密密钥是不可行的)，一个可以公开(称之为公钥)，另一个为用户专用(私钥)。

数学原理：公钥密码系统是基于陷门单向函数的概念。

对比单向函数：单向函数易于计算但求逆困难的函数；陷门单向函数:在不知道陷门信息情况下求逆困难，在知道陷门信息时易于求逆的函数。

陷门单向函数单向陷门函数是满足下列条件的函数f：(1) 给定x，计算y=f k(x)是容易的；(2) 给定y, 计算x 使x= f k-1(y)是不可行的。

(3) 存在k，已知k时,对给定的任何y，若相应的x-1(x)是容易的。

存在，则计算x 使fk单向陷门函数说明仅满足(1)、(2)两条的称为单向函数；第(3)条称为陷门性，k 称为陷门信息当用陷门函数f 作为加密函数时，可将f 公开，这相当于公开加密密钥，此时加密密钥便称为公开密钥，记为PKf 函数的设计者将k 保密，用作解密密钥，此时k 称为秘密钥匙，记为SK 。

由于设计者拥有SK ，他自然可以解出 单向陷门函数的第(2)条性质表明窃听者由截获的密文y = f (x )推测x 是不可行的.1().k x f y −=Joy 公钥环Ted Alice MikeJoy 明文输入加密算法，如解密算法明文输出Bob 公钥环Ted BobMike(3) 密钥交换：通信双方交换会话密钥，以加密通信双方后续连接所传输的信息。

每次逻辑连接使用一把新的会话密钥，用完就丢弃。

•公钥密码基于的数学难题：–背包问题；–大整数分解问题（The Integer Factorization Problem, RSA体制）；–离散对数问题；–Diffie-Hellman问题。

–离散对数问题：–有限域的乘法群上的离散对数问题（The Discrete Logarithm Problem, ELGamal体制）–定义在有限域的椭圆曲线上的离散对数问题（The Elliptic Curve Discrete LogarithmProblem，类比的ELGamal体制）。

二、Diffie-Hellman密钥交换算法Diffie和Hellman在其里程碑意义的文章中，虽然给出了密码的思想，但是没有给出真正意义上的公钥密码实例，也既没能找出一个真正带陷门的单向函数然而，他们给出单向函数的实例，并且基于此提出Diffie-Hellman密钥交换算法D-H密钥交换协议背景密钥分配•人工手动分配密钥: 问题–效率低–成本高–每个用户要存储与所有用户通信的密钥–安全性差•机器自动分配密钥: 要求–任何两个用户能独立计算他们之间的秘密密钥–传输量小–存储量小–任何一个(或多个)用户不能计算出其他用户之间的秘密密钥二、Diffie-Hellman密钥交换Diffie-Hellman算法Diffie-Hellman算法是第一个公开密钥算法，发明于1976年。

Diffie-Hellman算法能够用于密钥分配，但不能用于加密或解密信息。

安全性：在于在有限域上计算离散对数非常困难。

Diffie-Hellman密钥交换算法的原理 基于有限域中计算离散对数的困难性问题之上：设F为有限域，g∈F是F的乘法群F*=F\{0}=<g>，并且对任意正整数x，计算g x是容易的；但是已知g 和y 求x 使y= g x mod n计算上几乎不可能的，称指数x 为以g为底模n 的离散对数。

如果Alice和Bob在不安全的信道上交换密钥，步骤：(1) Alice和Bob协商一个大素数n及n的本原根g，g和n可以公开；(2) Alice秘密产生一个随机数x，X=g x mod n，然后把X发送给Bob；(3) Bob秘密产生一个随机数y，Y= g y mod n，然后把Y发送给Alice；(4) Alice计算k=Y x mod n；(5) Bob计算k'=X y mod n。

k和k'是恒等的，因为k = Y x mod n=(g y)x mod n=(g x)y mod n= X y mod n= k'线路上的搭线窃听者只能得到g、n、X和Y的值，除非能计算离散对数恢复出x和y，否则就无法得到k （秘密密钥）。

Diffie-Hellman密钥交換的过程•n 与g 为公开值•双方各选一个较大的数x与y •计算出『秘密密钥』：g xy mod n例子：●二者协商后决定采用素数n=353及其本原根g=3。

●Alice 选择随机数x=97，计算X=397mod 353＝40，并发送40 给Bob 。

●Bob 选择随机数y=233，计算Y=3233mod 353＝248，并发送248 给Alice 。

●Alice 计算：k=Y x mod n ＝24897mod 353=160。

●Bob 计算：k'=X y mod n ＝40233mod 353=160。

 即为共享秘密密钥。

mod xyk k g n′==造成中间人攻击的原因是Diffie-Hellman密钥交换不认证对方，利用数字签名可以挫败中间人攻击。

防止中間人攻击认证的Diffie-Hellman參數认证的Diffie-Hellman密钥交换通过数字签名和公钥证书相互认证可以挫败中间人攻击：(1)双方各自拥有公钥/私钥对和公开密钥证书：(2) Alice产生随机数x并发送给Bob。

(3) Bob产生随机数y并计算出共享秘密密钥k, 对x、y签名并用k加密签名；加密的签名和y一起发送给Alice。

(4) Alice计算出k，用k解密Bob的消息并验证Bob的签名。

验证后对x、y签名并用k加密签名后发送给Bob。

(5) Bob解密消息并验证Alice的签名。

Carol。