新的基于身份的匿名加密

1 2 2 a p 1 b p ap 1
， g 2 ） = e（ g， g）
bp
p p ab 1 2
=1
IND- IDCCA2［14］ 敌手在 定义于 ε 的优势赢得上述游戏， 则基于 经过 q 次询问后， q， INDIDCCA2 安全的。 ε） ANON身份的匿名加密方案是（ t， 在上述游 戏 中， 如 果 敌 手 不 能 进 行 解 密 询 问， 则被称为 ANONINDIDCPA 敌手。 INDIDCPA 敌手在经过 定义 2 如果所有 t 时间的 ANONq 次询问后， 都不能以大于 ε 的优势赢得上述游戏， 则基于身份 q， INDIDCPA 安全的。 的匿名加密方案是（ t， ε） ANON-
a b
b ∈ ZN ， 对 于 所 有 的 u，v ∈ G，a， 可以得
ab
。
映射不把 G × G 中的所有元素对映射到 G1
e （ g， g ） 是 G1 的一个生 中的单位元。即当 g 是 G 的生成元时， v∈G 有一个有效的算法来 对于所有的 u，
Phase2
A 继 续 适 应 性 地 询 问，但 是 不 能 对 ID0 、ID1 、
图1 邮件加解密过程
［1 ］
0
引
言
射点群构造， 并且证明了其安全性在随机预言机模型下达到了 适应性选择密文安全， 同时定义了 IBE 系统中的语义安全性。 Cocks［3］ 利用一种基于大合数的二次剩余问题构造了一个 IBE 方案， 其方案在随机预言机模型下构造， 安全性依赖于因子分解 困难问题。不过其效率比 Boneh 和 Franklin 的方案低很多， 所 以很少被人注意。 2002 年 Gentry 等［5］ 在标准模型下基于双线性 DH 假设构 建了第一个分层 HIBE （ Hierarchical Identity Base Encryption ） 方
收稿日期： 2013 － 07 － 17 。 国家自然科学基金项目（ 61070189 ） ； 国 家自然科学基金项目（ 61272435 ） 。杨坤伟， 硕士生， 主研领域： 密码学与 信息安全。李顺东， 教授。
尽管 Shamir 早在上世纪 80 年代就提出了 IBE 的思想， 但 based 他当时只构造了一个基于身份的签名方案 IBS （ identity-
［7 ］ 案， 解决了 PKG 工作负担过重的问题。2007 年 Abdalla 在前
人工作的基础上给出了一个密文大小和效率高低之间折中的 HIBE 方案， 并提出了具有固定密文大小的基于身份的广播加密 based broadcast encryption ） 。2005 年 Waters 方案 IBBE （ identityIDCPA （ indis提出了一个在标准模型下选择性明文安全 INDtinguishability - identitychosen plaintext attack ） 的 IBE 方 案［8］ ， 方案的效率很高， 但是公开的系统参数非常长 。在这之后， 大量 的 IBE 方案都是利用双线性映射构造的 。 本文结合 Waters IBE 方案， 在合数阶双线性群下， 基于双线
1
预备知识
本文使用合数阶双线性群
［9 ， 10 ］
。 G 和 G1 是两个阶为 N =
Phase1
A 适应性的进行下列询问：
Extract query ＜ ID ＞ ： B 对身份 ID 执行 Extract 算法， 并把对 应的私钥返还给敌手 A。 Decrypt query ＜ ID， C ＞ ： B 首先对身 份 ID 执 行 Extract 算 然后用生成私钥解密密文 C， 并把明文 M 或出错信息返还 法， 给 A。 Challenge： A 提交身份 ID0 、ID1 和消息 M0 、M1 给 B， 其中 ID0 、ID1 都没有在阶段 1 中执行过提取询问， B 随即选择 j， k∈
2
2． 1
基于身份的加密
基于身份的加密定义
一个基 于 身 份 的 加 密 机 制 由 Setup、Extract、Encrypt 和
Decrypt四个多项式时间概率算法组成 。 Setup 输入安全参数 k， 返回系统公开参数 params 和系统 key。系统公开参数包括： 有限的消息空间 M 的 主密钥 master有限的密文空间 C 的描述。系统的公开参数 params 对外 描述， key， 秘密保存系统主密钥 master仅由 PKG 所知。 公布， Extract 输入 params、masterkey 和一个任意的 c = Encrypt （ param， ID， m） ， 返回对应的私钥 d。这里 ID 为一个作为公钥的 d 为其对应的私有的解密私钥 。 Extract 算法生 任意长字符串， 成公钥的对应私钥。 Encrypt 输入 params， ID 和明文消息 m∈M， 输出密文 c∈ C。 Decrypt m∈ M 。 这些算法必须满足一致性条件， 即当 d 是由 Extract 算法生 成的公钥 ID 对应的私钥时， 有下述计算成立： 对于任意的 m ∈ M， Decrypt（ params， c， d） = m， c = Encrypt（ param， ID， m） 。 输入 params， 密文 c∈ C 和私钥 d， 返回明文消息
284
计算机应用与软件 2． 3 安全模型
2015 年
性 DH 假设构造了一个新的匿名 IBE 方案。 该方案中， 由密文 不能得到接收者的任何身份信息， 从而保护了用户的隐私 。 最 后对方案的效率和安全性进行了分析证明 。
Gentry［13］ 定义了选择密文攻击下匿名 IBE 方案的安全模 其中有两个参与者： A 为 型。安全性证明通过下述游戏进行， B 为挑战者。 敌手， Setup B 执行 Setup 算法并把系统参数 params 发送给 A。
* * ｛ 0， 1｝ ， ID j ， Mk ） ， 计算 C = Encrypt（ params， 并把 C 返还给 A。
p1 p2 的循环群。这里的 p1 、p2 是不同的素数， 一个双线性映射 e e 有以下性质： 为： G × G→G1 ， ( i) 双 线 性 v ） = e（ u， v） 到e（ u ， ( ii) 非退化性 成元。 ( iii) 可计算性 v） 。 计算 e（ u，
DOI： 10． 3969 / j． issn． 1000386x． 2015． 01． 071
A NEW ANONYMOUS IDENTITYBASED ENCＲYPTION
Yang Kunwei Li Shundong
（ School of Computer Science，Shaanxi Normal University，Xi’ an 710062 ，Shaanxi，China）
第 32 卷第 1 期 2015 年 1 月
计算机应用与软件 Computer Applications and Software
Vol. 32 No． 1 Jan． 2015
一种新的基于身份的匿名加密
杨坤伟 李顺东
（ 陕西师范大学计算机科学学院 陕西 西安 710062 ）
针对目前基于身份的加密方案大都不是匿名的， 结合合数阶双线性群的性质， 同时基于双线性 DH 假设构造了一个新的 基于身份的匿名加密方案 。结果表明， 方案的安全性不依赖于随机预言机， 密文和私钥均为固定长度 。最重要的一点是方案实现了 摘 要 匿名性， 由于密文不能得到接收者的任何身份信息， 从而保护了接收者的隐私 。最后分析了方案的效率， 并和类似方案进行了对比 。 关键词 中图分类号 基于身份的加密 TP309 合数阶双线性群 文献标识码 A 双线性 DH 假设 基于身份的匿名加密 身份信息
＜ ID0 ，C * ＞ 和 ＜ ID1 ，C * ＞ 进行提取和解密询问。
［11 ］
G1 ， 设 G p1 、G p2 分别代表 G 中阶为 p1 、p2 的子群， p 、G1 ， p 代 1 2 表 G1 中阶为 p1 、p2 的子群， 根据循环群的性质
k p p
： 如果 G 的阶
Guess： A 输出 j' ， k' ∈ ｛ 0 ， 1｝ ， k' = k 则 A 赢得 如果 j' = j， 游戏。 INDIDCCA2 （ a我们称 A 为匿名的选择性密文安 ANONnonymous- indistinguishabilityidentityadaptive chosen ciphertext j' = j∧k' = k］－ attack） 敌手， 其优势定义为 Adv = Pr［ 1 。 4
Abstract
Most of current identitybased encryption schemes are not anonymous，aiming at this，we construct a new anonymous IBE
scheme by combining the property of bilinear group of compositing order and based on bilinear DH assumption． Ｒesults show that the security of the scheme does not rely on random oracles，and the ciphertexts and private key are all in constant length． Most importantly，the scheme achieves anonymous property，none of recipient’ s identity information can be gotten from ciphertext，therefore receiver ’ s privacy is protected． In end of the paper，the efficiency of the scheme is analysed and compared with other similar schemes． Keywords Identitybased encryption（ IBE） Bilinear group of compositing order Bilinear DH assumption Anonymous IBE Identity information signature） ， 而没有提出一个确定的 IBE 方案。直到 2001 年才由 Boneh 以及 Cocks［3］ 等人用不同的方法独立提出了两个 IBE 方 案。其中 Boneh 和 Franklin 的方案基于有效的可计算双线性映 早在 1984 年 Shamir 就提出了基于身份加密 IBE（ Identitybased Encryption） 的 思 想。 在 IBE 方 案 中， 公 钥 基 础 设 施 PKI （ public key infrastructure） 无需分发公钥证书， 用户的身份转化 成 n 长字符串后可以直接作为公钥， 私钥生成中心 PKG （ private key generator） 为每个用户生成各自的私钥 。例如用户 Alice（ A） B 的邮 件 地 址 是“ Bob @ 给用户 Bob （ B ） 发加密的电子邮件， ， A 利用系统确定算法， “Bob@ 163． com ” 163． com” 根据 计算出 一个公开钥加密邮件即可 。当 B 收到由 A 发来的加密邮件后， B 与一个第三方 （ 密钥服务器） 联系， 向服务器证明自己的身 份， 并从密钥服务器 获 得 解 密 用 的 密 钥， 就 可 以 阅 读 邮 件 了。 该过 程 如 图 1 所 示。 由此可见基于身份的 加密简化了公钥管理 避免了传统公 过 程， 钥密码体制中因管理 公钥证书而带来的各 种弊端。