基于身份的多方认证组密钥协商协议

第10期2008年10月电 子 学 报ACTAELECTRONICASINICAVol.36 No.10

Oct. 2008

基于身份的多方认证组密钥协商协议

钟 欢,许春香

(电子科技大学计算机学院,四川成都610054)

摘 要: 2002年,Boneh和Silverberg提出了多线性表理论和基于多线性表的多方Diffe-Hellman密钥交换协议,H.K.Lee等人在该协议基础上利用证书对参与者进行身份认证,解决了该协议容易遭受中间人攻击的问题,H.M.Lee等人进一步引入基于身份的公钥密码技术替代数字证书,提高了密钥协商的效率,形成了ID-MAK协议.在本文中,我们对ID-MAK协议进行了安全性分析,发现ID-MAK协议没有真正实现它所宣称的身份认证,不能抵御主动攻击,敌手可冒充任意合法成员参与到密钥协商中获取组密钥.本文在计算多线性D-H问题假设下提出了两个ID-MAK协议改进方案,两个改进协议只需一轮即可协商一个组密钥,本文还给出了相应的成员动态变化和组密钥更新协议.本文最后对我们改进的协议进行了安全性分析.

关键词: 多方密钥协商;认证;基于身份的公钥;多线性表

中图分类号: TN914 文献标识码: A 文章编号: 0372-2112(2008)10-1869-04

ID-basedMult-iPartyAuthenticatedKeyAgreementProtocols

UsingMultilinearForms

ZHONGHuan,XUChun-xiang

(SchoolofComputerScienceandEngineering,UniversityofElectronicScienceandTechnologyofChina,Chengdu,Sichuan610054,China)

Abstract: In2002,BonehandSilverbergpresentedtheoryofmultilinearformsandamult-ipartyDiffe-Hellmankeyagree-mentprotocolusingmultilinearforms.H.K.Leeetaladoptedcertificatestoauthenticategroupmembersandprotectagainstmiddle-manattacksinthisprotocol.Subsequently,H.M.LeeetaldeployedID-basepublickeysotherthancertificatesintheMAKproto-col,andpresentedtheID-MAKprotocol.OwingtosimplicityofID-basepublickeys,theID-MAKProtocolismoreefficient.Inthis

paper,weanalyzethesecurityoftheID-MAKprotocol,andhavefoundthattheID-MAKprotocoldoesn.treallyauthenticategroupmembersasclaimed.Thusitcannotresistactiveattacks,andanadversarycanpretendtobealegalmembertoobtainthegroupkey.BasedonthecomputationalmultilinearDiffe-Hellmanassumption,wepresenttwoimprovedschemestotheID-MAKprotocoltoremovethissecuritydefect.Bothourimprovedprotocolsneedonlyoneroundagreement.Theysupportdynamicmemberchangeandkeyrefresh.Oursecurityanalysisshowsthattheyaresecure.

Keywords: mult-ipartykeyagreement;authentication;ID-basepublickeys;multilinearforms

1 引言

随着诸如视频会议,网络游戏等面向群组的应用的

兴起,与之紧密相关的安全性便成为了人们关注的问题,组密钥协商协议是解决其安全问题的一个很重要的基本工具.

目前大多数组密钥协商协议都是基于多方Diffie-Hellamn密钥交换协议[1~4]以及Weil双线性对[5~7].最初组密钥协商协议为实现认证性通常采用PKI机制,为了解决该机制带来的证书认证需要的大量计算和存储

收稿日期:2007-05-28;修回日期:2008-07-23

空间,BonehandFranklin[8]和Cocks[9]分别提出了基于身

份的加密体制,接着文献[6]和[10]在双线性DH问题假设下提出了基于身份的认证三方密钥协商协议.

2002年,Boneh和Silverberg提出了多线性表的概念,并利用此概念提出了一轮多方D-H密钥交换协议[11],然而由于该协议缺乏对参与者的身份认证,因此容易遭受中间人攻击.文献[12]克服了该问题,并提出了MAK协议,该协议将MTI协议[14]和MQV协议[15]扩展到多线性表的应用中来,然而它需要结合证书提供对参与者的身份认证.文献[13]在此基础上提出ID-MAK

基金项目:现代通信国家重点实验室基金(No.9140C1107010604);华为公司科技基金(No.YJCB2006053DC);计算机网络与信息安全教育部重点实

1870

电 子 学 报2008年

协议,旨在通过引入基于身份的公钥密码体制来撤消对数字证书的使用,以及提供隐、显式密钥认证,然而该协议并未达到预期的目的,它仍存在明显不足.本文对其缺陷进行分析后,在多线性D-H问题假设下提出了两个基于身份的组密钥协商协议,并给出了对应的成员动态变化和组密钥更新的相关协议,弥补了ID-MAK协议的不足,同时对协议进行了安全性分析.

员;

(1)ID-MAK-1协议:

¹成员Ai计算并广播gkiSAIG1给网络内其它成

i

º成员Ai收到其他成员发来的消息后,计算密钥如下:

KAi=en-1(g

k1S1

,,,g

ki-1Si-1

,g

ki+1Si+1

,,,g

knSnkiSi

)

=en-1(g,g,,g)k1,knS1,Sn.

(2)ID-MAK-2协议:

ki

¹成员Ai计算并广播PIG1给网络内其它成KGC

员;

º成员Ai收到其他成员发来的消息后,计算密钥如下:

KAi=en-1(SAi,g,,,g)ki

#=

j=1,jXi,n

2 多线性表及难解假设

211 多线性表

Boneh和Silverberg在文献[11]中提出了多线性表的概念,本文在此使用与该文献相同的定义.如果映射en:Gn1yG2满足如下性质,那么我们说它是一个n线性映射:

(1)G1和G2是阶同为素数p的有限循环群;

(2)如果a1,a2,,,anIZp,且x1,x2,,,xnIG1,则有

,,en(x1,,,xn);

(3)映射en是非退化的,如果它有下面的特性:即

aen(x11,

a

xnn)=

a1,an

Fen-1(QA,Pk,g,

j

jKGC

i

n

,,g)

i=1

Fen-1(QA,g,

,,g)i.

ks

如果gIG1是G1的一个生成元,则en(g,,,g)是G2的生成元.

212 计算多线性D-H假设(CMDH假设)

计算多线性D-H问题(CMDH问题):对于n线性映射en:G1yG2,给定G1中的元素(g,g1,,,ga1,,,an+1IZp,计算G2中的en(g,,,g)

n

a

an+1

(3)ID-MAK-3协议:

¹成员Ai计算并广播gki、gSAIG1给网络内其它

i

成员;

º成员Ai收到其他成员发来的消息后,计算密钥如下:KAi=en-1g g

k1+H(g1+gA)#SA

ki+

1

),其中.

k

si

,,,g

k

S1

ki-1+H(gi-1+gA)#SA

kn

SAn

k

S-1

i-1

,

ki

SAa1,an+1

ki+1+H(g

+g

SA+1

可计算多线性D-H假设(CMDH假设):一般认为

CMDH问题是难解的,也就是不存在多项式时间算法以不可忽略的优势在3G1,G2,en4中求解出CMDH问题.

本文提出的协议的安全性正是基于CMDH假设.

)#SAi+1

,,,g

kn+H(g+g)#SAn

k

ki+H(g+g)#SAi

Sn

=en-1(g,,,g)

因此所有成员可以得到共享密钥V(K).312 协议缺陷

(k1+H(g1+gA)#SAi),(kn+H(gn+gA)#SAn)

。

3 ID-MAK协议及其缺陷

本文首先回顾ID-MAK协议[13],然后指出该协议的缺陷,并详细分析缺陷存在的原因.

311 ID-MAK协议

初始化阶段:设G1和G2是阶同为素数p的有限

-1

循环群,g是G1的生成元,en-1:GnyG2为n-1线性1

ID-MAK协议虽然能共享会话密钥并能抵抗被动攻

击,但是它并没有象文献[13]所描述的实现在真正的身份认证,不能抵抗主动攻击.

对于ID …… 此处隐藏：11045字，全部文档内容请下载后查看。喜欢就下载吧 ……