基于身份密码体制的安全电子邮件系统

—179—基于身份密码体制的安全电子邮件系统徐 剑1，李 晶2，张 钊2，周福才2(1. 东北大学软件学院，沈阳 110004；2. 东北大学信息科学与工程学院，沈阳 110004)摘 要：针对当前BF-IBE 方案中的密钥分发问题，设计基于Merkle 简单密钥分配协议和Diffie-Hellman 密码交换的密钥分发协议，实现对BF-IBE 方案的改进。

将改进方案与GDH 群身份签名技术、密钥交换协议相结合，提出一种基于身份密码体制(IBC)的安全电子邮件解决方案，可保证邮件的机密性、完整性和可认证性。

由于对PKG 功能的扩展，还能实现邮件的不可抵赖性和可追踪性。

新方案与现有的邮件协议/系统兼容，具有一定实用性和应用前景。

关键词：基于身份的密码体制；安全电子邮件；基于身份加密；GDH 群签名Identity-Based Cryptosystem Secure E-mail SystemXU Jian 1, LI Jing 2, ZHANG Zhao 2, ZHOU Fu-cai 2(1. Software College, Northeastern University, Shenyang 110004;2. College of Information Science and Engineering, Northeastern University, Shenyang 110004)【Abstract 】To solve the key distribution problems in the BF-IBE scheme, this paper proposes a new key distribution protocol based on Merkle simple key distribution protocol and Diffie-Hellman key exchange, which improves the BF-IBE scheme. A new secure E-mail scheme based on Identity-Based Cryptosystems(IBC) is designed with the combination of the improved BF-IBE scheme, GDH group signatures and key exchange protocols. It ensures not only the confidentiality, integrity and authenticity, but also the non-repudiation and tracing of the e-mail owing to the improved PKG . The new scheme is compatible with the existing mail protocols and has some practicability as well as application prospects. 【Key words 】Identity-Based Cryptosystem(IBC); secure E-mail; Identity-Based Encryption(IBE); GDH group signature计 算 机 工 程 Computer Engineering 第35卷 第9期Vol.35 No.9 2009年5月May 2009·安全技术·文章编号：1000—3428(2009)09—0179—03文献标识码：A中图分类号：TP393.081 概述当前的电子邮件系统大多采用简单邮件传输协议(SMTP)。

SMTP 是一个简化的邮件传输协议，缺乏有效的安全保护机制。

因此，电子邮件的发展面临着窃听、假冒和垃圾邮件等安全问题的困扰。

目前典型的安全电子邮件解决方案或标准[1]主要有PGP, PEM 和S/MIME 等。

而这些方案都是基于公钥基础设施PKI 的，存在实现成本高和效率低下等问题。

基于身份加密(Identity-Based Encryption, IBE)是一种新型的公钥密码体制[2]，它不需要公钥证书及相关操作，公钥的使用与管理也很方便，正被逐渐应用于安全电子邮件解决方案中。

但基于IBE 的邮件系统仅解决了邮件机密性问题，对邮件的可认证性和不可抵赖性缺乏有效的安全保证。

2 基于身份的密码体制基于身份的加密方案、基于身份的签名方案与密钥交换方案等构成了基于身份的密码体制(Identity-Based Cryptosystems, IBC)，该体制在多个领域得到广泛应用[3]。

2.1 BF-IBE 方案BF-IBE 方案是第一个可行的基于身份的加密方案[4]。

该方案原始模型如图1所示。

其中，A 和B 分别是消息发送方和接收方，PKG 是可信第三方。

在加密过程开始前，须对PKG 进行初始化，即密钥服务器通过随机数产生器，生成一个椭圆曲线，一个保密数据s 和椭圆曲线上一个点P 。

加密发送邮件过程为：(1)A 向PKG 请求共公参数。

(2)PKG 返回公共参数P , s ·P 。

(3)A 根据公共参数，将B 的身份ID B 转换为椭圆曲线上的一个点B θ，生成一个随机数r ，并计算(,)B K Pair r s P θ=⋅⋅，同时使用K 加密邮件，发送给B 。

(4)B 收到邮件后，向PKG 请求私钥。

(5)PKG 验证B 的身份，将ID B 转换为椭圆曲线上的点B θ，用主密钥s 计算出B s θ⋅，即为B 的私钥。

PKG 将B s θ⋅发送给B 。

(6)B 得到B s θ⋅后，计算(,)B K Pair s r P θ=⋅⋅，由双线性映射的性质可知，(,)(,)B B K Pair s r P Pair r s P θθ=⋅⋅=⋅⋅。

B 得到K 后，使用K 解密邮件，得到邮件明文。

Sender APKG(6)B 用私钥解密邮件，得到明文Receiver B,s ·P使用公共参数计算出加密邮件，并发送给图1 BF-IBE 方案模型基金项目：国家“863”计划基金资助项目(2001AA115300)；辽宁省自然科学基金资助项目(20031018, 20062027)作者简介：徐 剑(1978－)，男，助教、硕士，主研方向：网络与信息安全；李 晶、张 钊，硕士研究生；周福才，教授、博士 收稿日期：2008-08-17 E-mail ：xj_xujian@—180— 由上述过程可知，(4)和(5)存在安全隐患，如PKG 发送给B 私钥可能被非法获取。

2.2 基于GDH 群的身份签名方案基于GDH 群的身份签名方案是文献[5]提出的基于双线性映射的身份签名方案。

它包括4个过程：系统初始化，密钥提取，签名和验证。

(1)系统初始化：设G 是一个素数阶p 的GDH 群，选择G 的一个生成元P ，随机选择s ∈Z /p ，计算P pub =sP ；选择Hash 函数H 1, H 2，满足H 1:{0, 1}*×G →Z /p , H 2:{0, 1}*→G ，则系统参数为<P , P pub , H 1, H 2>，s 为系统主密钥，系统中的所有私钥均由它生成。

(2)密钥提取：当用户需要与他的身份对应的私钥时，向可信中心(TA)提出申请，TA 验证用户身份后给出用户身份所对应的私钥。

ID 为用户身份，则其公钥为Q ID =H 2(ID )，私钥为d ID =sQ ID 。

接下来通过安全信道将d ID 送给用户。

(3)签名：对任意消息m 随机选择r ∈Z /p ，计算U =rQ ID ，h =H 1(m , U ), V =(r +h)d ID ，输出签名(U , V )。

(4)验证：对消息M ，身份ID 以及签名(U , V )，验证(P , P pub , U +hQ ID , V )是否为一个有效的Diffie-Hellman 元组。

若验证成功，则(U , V )是一个合法的基于身份ID 的签名。

3 基于IBC 的安全电子邮件方案目前基于IBE 的安全电子邮件方案仅解决了邮件机密性问题，而缺乏对完整性和可认证性的保证，并且在用户私钥分发过程中也存在安全隐患。

针对此问题，本文设计一种新的基于IBC 的安全电子邮件解决方案——IBC-SecEmail 。

3.1 安全电子邮件系统方案设计 3.1.1 安全密钥分发协议对于基于IBE 的电子邮件系统，PKG 如何生成和安全的分发用户私钥是一个难点问题。

本文对BF-IBE 方案进行改进，采用Merkle 简单密钥分配方案和Diffie-Hellman 密码交换，设计一个新的安全密钥分发协议，其实现过程如下：Step1 B 在申请私钥时，首先向PKG 提出申请，PKG 临时生成一对公私钥，并将公钥发给B 。

Step2 B 获得公钥后，生成一个临时密钥，用临时密钥加密自己的身份发给PKG ，同时使用PKG 的公钥加密这个临时密钥发给PKG 。

Step3 PKG 得到B 发来的消息后，用私钥解密出临时密钥，验证B 的身份，验证通过后，将B 的私钥采用临时密钥加密，发送给B 。

Step4 B 得到邮件后向PKG 请求自己的私钥并发送Y a =g α(p 是一个大素数；g 是*p Z 的本原根；02p α−≤≤，α是随机数)。

Step5 PKG 计算出Y b =g β(02p β−≤≤，β是随机数)和K =g αβ,并将Y b 发给B 。

Step6 B 使用已计算出的K ，加密自己的身份信息发给PKG 。

Step7 PKG 用K 加密公共参数和B 的私钥，并发给B 。

3.1.2 基于身份的签名方案为保证邮件源的可认证性以及邮件的完整性，本文采用基于GDH 群的身份签名方案对邮件系统进行改进。

具体实现过程如下：应用Diffie-Hellman 密钥交换协议，完成A 和PKG 之间会话密钥协商；用会话密钥加密身份信息和口令，请求PKG 验证身份；PKG 验证A 的身份后将A 的私钥用会话密钥加密传给A ；A 对邮件签名，并用B 的公钥加密邮件，同时生成邮件正文的摘要，连同邮件头、邮件正文密文和签名一起发给B ；B 以同样方式完成与PKG 之间会话密钥协商并获取B 的私钥；B 验证A 的签名，并重新计算邮件正文的摘要，同邮件附带的原始摘要比较，若相同，说明邮件没有被篡改，否则说明邮件已被篡改。

3.1.3 邮件不可抵赖方案在IBC-SecEmail 中，PKG 作为可信第三方，充当邮件收发双方仲裁角色，即一封邮件的发件人发出证明和收件人阅读证明都保存在PKG 中，以防止任何一方否认曾经发出/阅读过某一封邮件。