代密码学第十一讲：基于身份的密码体制

8
基于身份的加密体制


1984年以色列科学家Shamir提出了基于身份的密 码系统的概念（IBC）。 2001年，D. Boneh和M. Franklin , R. Sakai, K. Ohgishi 和 M. Kasahara利用椭圆曲线上的双线性 对设计了基于身份的加密算法。 2001年C. Cocks利用平方剩余难题设计了基于身 份的加密算法。 D. Boneh和M. Franklin提出的IBC (BF-IBC)的安全 性可以证明并且有较好的效率，所以引起了极大 的反响。

21
Shamir IBS Scheme
效率 签名和验证分别需要 2 integer exponentiations, 1 integer multiplication and 1 hash operation. 安全性：分解因子问题困难Integer Factorization Problem (IFP).

Boneh和Franklin的团队的努力, IBE 被应用 于 Debian GNU/Linux.
source code is available at http : ///ibe/download.html

Shamus Software 也开发了包含 BF-IBE 的 密码，称为 “MIRACL”24
Scott IB Key Agreement
密钥协商: 1. A 选取一个随机数 a < r, 计算 TA = e(sA,QB)^a; 把 TA发送给 B. 2. B选取一个随机数 b < r,计算 TB = e(sB,QA)^b; 把 TB发送给 A. 3. A 计算 KAB = TB^a，同样地，B计算KBA = TA^b 如果A和B正确执行协议，他们将计算出共享的密钥： KAB = KBA = e(QA,QB)^{sab}
19

验证（ Verify ）


Shamir IBS Scheme
Shamir提出了一个采用RSA算法的IBS算法。 初始化: 1. 选取两个大素数p，q，计算它们的乘积n；选 取与Φ(n)互素的整数 e ; 选取一个单向函数h. 参数: n, e, h； 主密钥: n 的因子. 提取私钥: 给定用户的 ID, PKG计算用户的私钥 g ，满足 g^e =ID mod n.
M
27
Scott IB Key Agreement
A e(g,QB)sma e(sA,QB)a B
e(sB,QA)b
e(P,QB)m
M发送其它值 是否可行？
e(QA,QB)asm
M
28
Scott IB Key Agreement
A QA,P sA 求e(sA,QB) QA,QB,P B QB,P sB 求e(sB,QA) 求e(QA,QB)s
14
Boneh-Franklin IBE Scheme

初始化(t)

M = {0,1}n C = G1* × {0,1}n
params = q, G1, G2, e, n, g, P, H1, H2 master-key = s



私钥生成(ID)

dID=s H1(ID)
15
Boneh-Franklin IBE Scheme
30
一轮通信的3方密钥协商协议
多方密钥协商 1轮3方密钥协商: A: 发送 aQ，计算e(bQ,cQ)^a； B: 发送 bQ，计算e(aQ,cQ)^b； C: 发送 cQ，计算e(aQ,bQ)^c； 共享密钥：e(Q,Q)^{abc}

猜想：若存在n次线性对，则存在1轮n方密钥协商
31
IBC的应用


身份鉴别的定义 口令认证协议 挑战应答协议 对身份识别协议的攻击和对策
4
本讲主要内容

基于身份的密码系统（IBC）的提出 基于身份的加密体制（IBE）的定义

Boneh-Franklin IBE方案 Shamir IBS方案

基于身份的签名体制（IBS）的定义


基于身份的密钥协商（IBKA）的定义
9
基于身份的加密体制

初始化

输入: 安全参数 t 输出: 系统参数params和主密钥master-key

提取私钥


输入: 系统参数params和主密钥master-key 用户身份 ID∈{0,1}* 输出: 用户私钥dID
10
基于身份的加密体制

加密


输入: 系统参数params,明文M∈M， 明文接收者公钥（身份）ID∈{0,1}*, 输出: 密文C 输入: 系统参数params,密文C ∈C ，接收者私 钥dID, 输出: 明文M
11

解密


双线性映射
e : G1× G1 → G2

G1 和 G2 是阶为p的循环群
任给 x, y ∈ G1 和任意整数 a, b ∈ Zp e(ax,by) = e(x,y)ab

双线性映射


非退化性（Non-Degenerate）

存在 x,y ∈ G1 使得 e(x,y) ≠ 1G2

33
IBC的应用


IEEE P1363.3的基于标识的密码技术工作组正在 进行相关算法的标准化工作 。 ISO/IEC已经标准化了两个基于身份的签名算法。 2007年，国家密码局组织了国家标识密码体系IBC 标准规范( Identity-Based Cryptograph)的编写和 评审工作。由五位院士和来自党政军、科研院所 的密码专家组成了评审组，对该标准规范在安全 性、可靠性、实用性和创新性等方面进行了多次 严格审查, 2007年12月16日国家IBC标准正式通过 了评审。
Stanford 和Shamus图书馆开发使用 C/C++. 似乎还没有Java implementation of IBE
32
IBC的应用


现实应用中，Voltage Security 开发了包含 IBE的 email 系统，它为Outlook, pine, hotmail, and Yahoo提供插件. Hewlett Packard Lab (布里斯托尔Bristol,UK) 的研究员开发健康保健信息系统使用了IBE 系统.
23

密钥协商（ Key Agreement ）

Scott IB Key Agreement
（基于Weil对 和Tate 对） 初始化: PKG 选取一个满足 p = 3 mod 4且 p + 1=c*r， 其中c, r亦为素数；选取一个将0-1数据映射到椭 圆曲线上点的hash函数H : {0, 1}∗ → G1.；选取 一个随机数 s ∈ Fq 作为主密钥. params: <G1,G2, e, P, q,H>； master-key: s 提取私钥: 设用户 A 的身份是 IDA, PKG 计算他的私钥 QA = H(IDA).；SA = sQA.
是否可以像PKI系统， 由用户自己生成私钥？ 基于IBC的安全电子邮件系统
CA/PKG
master-key
7
基于身份的密码体制
私钥生成（PKG） 系统的PKG中心拥有一对主密钥（master key），它公布主密钥中的公钥，自己保存 私钥； PKG中心输入自己的私钥和用户的公钥，得到 用户的公钥，并安全传回给用户； 用户输入这个私钥和PKG中心的公钥，检查收 到的私钥是否正确。

22
基于身份的密钥协商体制

初始化（Setup）


输入: 安全参数 t 输出: 系统参数params和主密钥master-key

提取私钥（ Extract ）

输入: 系统参数params和主密钥master-key 用户身份 ID∈{0,1}* 输出: 用户私钥dID 输入: 系统参数params和用户私钥dID 输出：会话密钥K
《现代密码学》第十一章
基于身份的密码体制
1
精品课程网站测试

用户名：student1,…,student9 密码111111
2
作业


5月31日之前，作业提交 作业提交名单查询 6月10日之前，作业补交，之后提交作业不 再记录
3
上节主要内容
20
Shamir IBS Scheme
签名: A 用私钥 g 签署消息 m: 1. 选取随机整数 r，计算t = r^e mod n 2. 计算s = g*r^h(t,m) mod n Signature: σ = <s, t>∈ Zn × Zn. 验证: 验证者收到签名 σ = <s’, t’> ，消息m’和签名者 的公钥(身份ID),验证下式是否成立 s’^e= ID*t’ ^h(t’,m’) mod n.

是否存在 中间人攻击
25
Scott IB Key Agreement
A e(sA,QB)a B e(sB,QA)b
e(QA,QB)abs
e(QA,QB)abs
26
Scott IB Key Agreement
A e(QA,QB)ma e(sA,QB)a B
e(sB,QA)b
e(QA,QB)m
e(QA,QB)asm

加密 (M)

选取随机数 r∈Zq* R=rg, M⊕H2(e(H1(ID),P)r)

解密(C=(U, V))

V ⊕ H2(e(dID,U))
正确性证明 H2(e(dID,U)) =H2(e(sH1(ID), rg) )= H2(e(H1(ID), g)sr =H2(e(H1(ID), sg)r )= H2(e(H1(ID),P)r)