2009年4月26日陕西省公务员考试行测真题及答案解析(天津、陕西、(3)

可能有人会注意到Ｓａｋａｉ等人的ＮＩＫＤＳ方案“ｓ４１，Ｊｏｕｘ协议【１２３１和Ｂｏｎｅｈ和Ｆｒａｎｋｌｉｎ的］ＢＥ方案在会话密钥生成机制方面非常相似。然而，认为Ｂｏｎｅｈ和Ｆｒａｎｋｌｉｎ的方案只是早期思想的一个简单发展可能也有失偏颇。在Ｂｏｎｅｈ和Ｆｒａｎｋｌｉｎ的方案之前，Ｊｏｕｘ协议只是让人觉得好奇，『１８４］的工作更是不为人知，正是Ｂｏｎｅｈ和Ｆｒａｎｋｌｉｎ的工作，使得大家很快意识到到双线性对可能是一个非常有用的密码学工具，推动了基于双线性对的密码学的迅速发展。它们之间的关系多少类似于Ｄｉｆｆｉｅ．Ｈｅｌｌｍａｎ协议与Ｅ１Ｇａｍａｌ加密之间的关系，后者在技术上的发展并不大，但体现了一种很不相同的思想。

Ｂｏｎｅｈ和Ｆｒａｎｋｌｉｎ在［２７】中又提出了一种变型称为Ｆｕｌｌｌｄｅｎｔ，它提供更强的安全保证。尤其是，Ｆｕｌｌｌｄｅｎｔ的安全性与ＢＤＨ的困难性有关，所用的安全模型是公钥加密中广泛接受的ＩＮＤ—ＣＣＡ２模型在基于身份环境下的自然推广。实际上，他们的Ｆｕｌｌｌｄｅｎｔ方案是将Ｆｕｊｉｓａｋｉ—Ｏｋａｍｏｔｏ的混合加密技术【蚓应用到他们的基本方案上得到的，也正是这个技术确保了Ｆｕｌｌｌｄｅｎｔ方案在Ｂｏｎｅｈ和Ｆｒａｎｋｌｉｎ给出的模型［２７】中能满足强的安全性定义。在［２７１中证明Ｆｕｌｌｌｄｅｎｔ方案是随机预言机模型下

网上分享。

ＩＮＤ．ＩＤ．ＣＣＡ安全的，前提是不存在多项式时间算法以不可忽略的概率解决ＢＤＨ问题。

在［１ｓｓｙ９，Ｖｅｒｈｅｕｌ给出了如何将双线性对用来构造只使用一个公钥，支持不可否认签字和可托管公钥加密的方案。Ｌｙｎｎ［１４５］也证明了如何将［２７】中ＩＢＥ方案和ｆ１８４］的ＮＩＫＤＳ的思想组合起来得到可认证的基于身份加密方案，接收者Ａ可以检验是哪一个实体发送了任何特定的密文。这种方法不能实现不可否认服务，因为Ａ自己也可以生成他声称是来自于Ｂ的任意认证密文。

在【２６】之后的所有ＩＢＥ方案中，最值得一提的可能是Ｗａｔｅｒｓ在［１９０】中的工作，他进一步修改【２６】中方案并在标准模型下证明了改进方案的安全性，只需基于标准的ＢＤＨ假设。在技术上，他主要是将１２６］ｑｂ的杂凑函数用了一个非常巧妙的函数来代替，使得在安全证明的时候不需要将该函数模型化为随机预言机。这个函数后来被许多密码学家私下里称之为Ｗａｔｅｒｓｈａｓｈｆｕｎｃｔｉｏｎ，广泛用于修改一些原来需要随机预言机假设的方案，完成在标准模型下的证明。然而几乎没有人注意到，这个函数并不是Ｗａｔｅｒｓ原创的，早在１９９６年Ｃｒａｍｅｒ和Ｓｈｏｕｐ就提出用该函数代替基本Ｃｒａｍｅｒ－Ｓｈｏｕｐ体制［ＣＳ９６］中的杂凑函数。尽管如此，Ｗａｔｅｒｓ的贡献仍然是巨大的，因为在Ｃｒａｍｅｒ－Ｓｈｏｕｐ体制中的杂凑函数本身就不需要模型化为随机预言机，从而该函数的价值并不特别，而当Ｗａｔｅｒｓ用它来代替［２７】中的杂凑函数时，它起到了消除随机预言机假设的独特作用，为此Ｗａｔｅｒｓ构造了一个巧妙的安全证明。Ｗａｔｅｒｓ方案在ＩＢＥ中的地位也正如Ｃｒａｍｅｒ－Ｓｈｏｕｐ体制在Ｅ１Ｇａｍａｌ加密系列中的地位，由于其精致的安全证明和相应的方案设计，他们都是标准模型下可证明安全密码学方案的经典。

１．２．２分级ＩＢＥ

到目前为止所述的基于身份的密码体制只涉及到一个可信机构ＰＫＧ，它完成注册用户和分发密钥的所有工作。但是，支持“经典”公钥密码体制的公钥基础设施０＇ＫＩ）在证书和证书链的使用中可以有多级的可信证书机构（ｃＡ）。顶部有一个根ＣＡ的分级ＣＡ将这个工作进行了分散，简化了公钥密码体制基础系统的开发。

在基于身份的环境下Ｈｏｒｏｗｉｔｚ和Ｌｙｎｎ［“６】最早尝试效仿传统分级ＰＫＩ，他们的方案仅限于分两级，抗勾结能力也有限。Ｇｅｎｔｒｙ和Ｓｉｌｖｅｒｂｅｒｇ［”ｏ】做了更成功的尝试，他们的方案很自然地扩展了Ｂｏｎｅｈ和Ｆｒａｎｋｌｉｎ的ＩＢＥ方案，引起其他研究人员进一步研究，开发了一些很有意思的密码方案。在【１１０】基本的基于身份的分级加密方案中，每个实体都与一个分级数联系，根实体处于第０级。第ｔ级的实体由它的身份元组＜ＩＤｌ，ＩＤ２，…，ＩＤ，＞定义，该实体的上级实体为根实体（或根ＰＫＧ）和身份为＜ＩＤｌ，ＩＤ２…．，ＩＤａ＞（１＝ｉ＜０的卜１个实体。第ｔ级的实体有一个和Ｂｏｎｅｈ—Ｆｒａｎｋｌｉｎ

网上分享。

§堑塞蜜王坠垫奎耋堡圭鎏查；董垂塑墼垂篁型堑垄皇＝＝皇＝＝＝＝＝！！！＝：＝

ＩＢＥ方案中的ＰＫＧ一样的密钥，第ｔ级的实体用它来为它的第ｔ＋ｌ级子实体生成密钥。在［１１０］中，Ｇｅｎｔｒｙ和Ｓｉｌｖｃｒｂｃｒｇ还解释了如何用Ｆｕｊｉｓａｋｉ－Ｏｋａｍｏｔｏ技术１９９１强化加密方案，只要ＢＤＨ问题是困难的就可达到在随机预言机模型下的选择密文安全性。【１１０】中的安全模型是很强的，其中可以定义试图使上级实体密钥泄漏的实体勾结，这是因为它允许攻击者提取任何一级实体的私钥并适应性地选择它将攻击的实体身份。

【７０】中的方案则利用了一种称为二叉树加密（ＢＴＥ）的密码元型。一个ＢＴＥ方案有一个主公钥、一个私钥二叉树、一个加解密算法和一个密钥计算程序，根据一个节点的私钥计算其子节点的私钥。Ｃａｎｅｔｔｉ、Ｈａｌｅｖｉ和Ｋａｔｚ建议了一种如何从［１１０】中ＨｍＥ方案的一个简化版本构造一个抗ＳＮ－ＣｃＡ攻击的ＢＴＥ方案的方法，然后他们给出了如何用任何ＳＮ．ＣＣＡ安全的ＢＴＥ方案很简单地获得一个加密方案的方法，在一种类似于公钥加密的标准ＩＮＤ．ＣＣＡ２模型下是前向安全的，其技巧是用前序遍历法遍历二叉树，在遍历中的第ｔ个节点的密钥决定在ｔ时段时前向安全方案的密钥如何生成，这样ＢＴＥ方案的安全定义很快就转化成了希望的前向安全性。在［７０】中作者组合他们的构造得到了一个高效的前向安全加密方案，其安全性在随机预言机模型下依赖于ＢＤＨ问题的困难性。在［７０】中还给出了不需要随机预言机的ＳＮ．ＣＣＡ意义上安全的ＢＴＥ方案，其中用到了Ｄ（，）个两两独立的杂凑函数，所得ＢＴＥ方案的安全性基于ＤＢＤＨ的困难性而不是ＢＤＨ的困难性。不过该构造给出的方案完全不实用，因为它依赖于非交互式零知识证明。Ｃａｎｅｔｔｉ、Ｈａｌｅｖｉ和Ｋａｔｚ继续给出了如何从一个ＢＴＥ方案得到一个ＨＩＢＥ方案，尽管所用的是ｆ１１０］中所考虑的弱安全模型。该结果的一个推论即构造标准模型（不需要随机预言机）下安全的ＩＢＥ和ＨＩＢＥ方案，不过这里的攻击者事先得说明它将要攻击的实体身份。同样如果想要在选择密文攻击下安全的话，这样得到的方案也是不实用的。和［２７】、【１１０】以及密码学领域中许多文章一样，在［７０１中安全证明的一个问题是它的安全归约并不特别紧，要让方案的安全性紧密相关于所依赖的困难假设看来是一个很有挑战性的问题。

Ｃａｎｅｔｔｉ、Ｈａｌｅｖｉ和Ｋａｔｚ的工作【６９ｌ显示出ＩＢＥ和选择密文安全的普通公钥加密之间一个令人意外的联系，他们从一个弱安全的ＩＢＥ方案和一个强不可伪造的一次性签字方案构造出了一种ＩＮＤ－ＣＣＡ２安全的普通公钥加密方案。这里的ＩＢＥ方案只需要是在选择Ｄ攻击者的选择明文攻击下 …… 此处隐藏：2375字，全部文档内容请下载后查看。喜欢就下载吧 ……