新的基于身份认证的群密钥协商协议

2017，53（21）1引言密钥建立协议可以帮助一组参与者通过公开、不安全的网络交换信息来生成一个会话密钥。

该密钥能够用来实现参与者的安全目标，例如认证、保密和数据完整。

生成会话密钥的方法有两种：密钥分发和密钥协商。

密钥分发需要一个群控制者来持有群组中所有参与者的信息。

如果群控制者被攻击，那么群组密钥生成即告失败。

该方法的优势在于：由于群成员可以随时加入或者离开群组，群控制者在这种情况下有明显的存在价值。

相反的，密钥协商不需要群控制者，群中的所有参与者通过密钥协商生成会话密钥。

由于会话密钥包含了所有参与者的信息，因此任何一个参与者都无法控制或者预测会话密钥。

第一个密钥协商协议是由Diffie 与Hellman 在文献[1]中提出的。

Diffie-Hellman 协议能够保证两个参与者之间的通信安全。

但是没有对参与者身份进行认证，因此容易遭到“中间人攻击”。

1986年，Matsumoto 、Takahima 和Imai [2]扩展了Diffie-Hellman 协议，提出了三个双方认证密钥协商协议：MTI/A0、MTI/B0和MTI/C0。

这些协议能够通过巧妙的消息传递而不需要签名，为通信双方产生能够抵抗被动攻击者攻击的双向认证的会话密钥。

Joux [3]利用Weil 对实现了三方的密钥协商协议。

当有三个参与者想要协商一个公共的会话密钥时，协议中每个参与者只需要传送一条消息。

但是，Joux 提出新的基于身份认证的群密钥协商协议陈海红1，李军义2CHEN Haihong 1,LI Junyi 21.湖南永州职业技术学院计算机系，湖南永州4250002.湖南大学信息科学与工程学院，长沙4100821.Department of Computer,Yongzhou Vocational Technology College,Yongzhou,Hunan 425000,China2.College of Computer Science and Electronic Engineering,Hunan University,Changshan 410082,ChinaCHEN Haihong,LI Junyi.Novel ID-based group authenticated key agreement puter Engineering and Applications,2017,53（21）：103-109.Abstract:Group Key Agreement （GKA ）protocol plays a key role in the construction of secure multicast channels.Because of the simplicity and efficiency of public key management,the ID-based Authenticated Group Key Agreement Protocol （AGKA ）cryptosystem has become a hot research direction in recent years.This paper proposes a new Weil pairing and completely trigeminal tree based group key agreement protocol,designs the participants join-and-leave pre-protocol.Security analysis and performance analysis show that the new scheme satisfies all known security pared with the existing schemes,the new scheme has obvious advantages in terms of performance.Key words:Group Key Agreement （GKA ）;ID-based authentication;Weil pairing;trigeminal tree摘要：群密钥协商（GKA ）协议在构建安全多播信道中扮演着主要角色。

由于公钥管理的简洁性和高效性，基于身份的认证群密钥协商协议密码系统近年来成为热门研究方向。

提出了一个基于Weil 对和完全三叉树结构的群密钥协商协议，同时提出了成员加入和离开子协议。

对新方案的安全性进行了分析，结果显示，新方案可以抵抗常见的攻击。

在性能方面，新方案在参与者较多时有较明显的计算优势。

关键词：群密钥协商；基于身份的认证；Weil 对；三叉树文献标志码：A 中图分类号：TP309doi ：10.3778/j.issn.1002-8331.1605-0280基金项目：湖南省教育厅课题项目（No.13C971）。

作者简介：陈海红（1982—），女，讲师，主要研究领域为多媒体制作，安全协议设计，RFID 安全；李军义（1970—），男，博士，副教授，研究方向：软件工程，信息安全。

收稿日期：2016-05-19修回日期：2016-08-24文章编号：1002-8331（2017）21-0103-07CNKI 网络优先出版：2017-02-10,/kcms/detail/11.2127.TP.20170210.0810.014.htmlComputer Engineering and Applications 计算机工程与应用103Computer Engineering and Applications计算机工程与应用2017，53（21）的协议也无法认证参与者，而且同样容易遭到“中间人攻击”。

以上两种密钥协商技术都能够重复步骤为动态的群组建立会话密钥。

然而，如果群成员较多或者协议的通信代价非常昂贵，上述方法的效率则会降低。

因此，许多动态群密钥协商协议为增加和离开的群成员而设计高效的操作[4-6]。

例如，Sherman在文献[7]中首次提出了将单向的函数树（OFTs）用来计算密钥树。

在该方案中，密钥是从叶子节点到根节点来进行计算的。

另外，满足一些特殊性质的任意两个参与方的密钥协商协议都能够通过使用单向函数树扩展成为n个参与方的密钥协商协议。

Reddy和Nalla[8]利用单向函数树设计了首个基于身份的群密钥协商协议，同时将两方认证的密钥协商协议扩展为可认证的群密钥协商协议。

Shiau等人[9]的协议同样使用密钥树结构。

但是该方案使用完全二叉树结构，也就是说树中的每一个节点代表一个参与者。

Barua 等人[10]将Joux等人[3]提出的基础协议成为多方协议。

在他们的协议中树的叶子节点表示个体参与者并且每一个内部节点分别与以该节点为根节点的子树相对应的参与者集合匹配。

但是该协议同样没有认证。

Dutta等人在文献[11]中利用多方签名实现了该协议的认证性。

本文提出了一种新的基于Weil对的群密钥协商协议。

本协议利用基于身份的认证和完全三叉树结构，使得树中的每一个节点代表群中的一个参与者。

如果一些参与者想要加入或者离开群，不需要群中的所有参与者重新更新他们的计算来获取密钥，因此这适合于动态变化的环境。

本文组织如下：第2章介绍一些概念和假设。

第3章提出新协议。

随后的两章进行安全性分析和性能分析。

最后一章为本文结论。

2准备知识假设G1是一个阶为素数q的加法群，G2是一个阶为素数q的乘法群。

P是G1的生成元。

假设离散对数问题（DLP）在群G1和G2中是难解的。

e是两个群上的双线性映射e:G1×G1→G2，这一双线性映射满足下面的性质。

（1）双线性：对于所有P,Q∈G1和a,b∈Z*q，有e(aP,bQ)=e(P,Q)ab成立。

（2）非退化性：如果P是G1的生成元，那么e(P,P)≠1。

（3）可计算性：存在有效的算法计算e(P,Q)，其中P,Q∈G1。

为了使用双线性映射来实现协议，给出以下问题和假设[12]：（1）G1中的HDH（Hash Decisional Diffie-Hellman）问题：给定(P,aP,bP,c)和哈希函数H1:G1→Z*q，判定等式c=H1(abP)mod q是否成立。

HDH假设：不存在多项式时间算法解决G1中的HDH问题。

（2）BDH（Bilinear Diffie-Hellman）问题：给定(P,aP, bP,cP)，计算e(P,P)abc。

BDH假设：不存在多项式时间算法解决BDH问题。

（3）DHBDH（Decisional Hash Bilinear Diffie-Hellman）问题：给定(P,aP,bP,cP,d)和一个哈希函数H2:G2→Z*q，判定等式d=H2(e(P,P)abc)mod q是否成立。

DHBDH假设：不存在多项式时间算法解决DHBDH 问题。

3提出的协议新协议分为三个阶段：初始化阶段、密钥协商阶段和成员变更阶段。

为了实现基于身份的认证，初始化阶段时每名参与者需要在KGC（Key Generation Center，密钥生成中心）中注册。

3.1初始化阶段本小节描述每个参与者如何在KGC中注册。

在KGC中注册结束后每名成员能够执行下一阶段来计算群会话密钥。

为了达到这个目的，首先由KGC选择随机数s∈R Z*q，然后计算并公开P pub=sP作为公钥。

KGC秘密的保存s作为其主密钥。

每名参与者的身份和其长期公钥分别是ID i∈{0,1}*和Q i=H(ID i)。

每一个参与者将会使用Q i通过安全信道在KGC中进行注册：步骤1参与者U i发送Q i给KGC。

步骤2KGC计算参与者U i的长期私钥S i=sQ i，并将S i发送给U i。

协议的公共参数为：(G1,G2,e,q,P,P pub,H,H1,H2,H3)，其中H3:G1×G1→Z*q是安全Hash函数。

3.2密钥协商阶段本小节定义被授权的参与者如何共同合作来计算公共的会话密钥。

本协议中密钥协商过程保留了基于完全三叉树的结构。

树中的每一个节点都代表一个参与者，如图1所示的例子中有16个参与者。

11551614678910111213324图1由16个参与者组成的群表示的一个完全三叉树1042017，53（21）假设一个群中有n 名参与者，每一名参与者U i (i ∈{1,2,…,n })都有他们自己的长期公钥/私钥(Q i /S i )。

在每一轮新的协议中，参与者将会选择随机数a i 作为临时私钥。

在完全三叉树中有四类节点：叶子节点，只有一个左子节点的内部节点，有两个子节点（男孩和女孩）的内部节点以及第四类节点是有三个子节点的内部节点。