群密钥协商协议的分析与设计

论文摘要

密钥协商协议是密码学中一个重要的基本组成部分,它是指两方或多方间在不安全的公共数据网上通过一定的方法产生一个共享的会话密钥,以实现相互间的安全通信。因此,安全的密钥协商协议是构建安全、复杂的高层协议或系统的基础。自从两方认证密钥协商协议MQV和HMQV被建议为相关标准的草案以来,而认证群密钥协商协议（AGKA:Authentiacated Group Key Agreement）方面的标准仍在进一步讨论中,因此,AGKA协议已成为国内外同行研究的热点。本论文首先介绍了群密钥协商协议的应用背景,接着对主要的一些密钥协商协议安全模型进行了分析和比较。根据认证密钥协商协议认证方式的不同,一般可分为三类:1)基于传统公钥密码体制（PKI/CA）的群密钥协商协议;2)基于身份（ID-Based）的群密钥协商协议;3)基于口令（Password）的群密钥协商协议。最后,对上述三类协议从两个方面进行研究,一是对已有的AGKA协议进行分析;另一个设计新的AGKA协议。具体创新工作如下:在基于传统公钥密码体制（PKI/CA）的群密钥协商协议方面,由于抵抗临时秘密信息泄露攻击是AGKA协议的一个重要的安全属性,旨在AGKA协议的某次运行中,如果某用户的临时秘密信息（如消息对（x,X=gx）中用于计算会话密钥的Diffie-Hellman指数x）被泄露,则攻击者不但可以计算出本次会话密钥,而且只要在用户的签名私钥有效期内,攻击者就可能利用该临时秘密信息以及与之相应的签名假冒该用户与其他用户运行AGKA协议.为克服现有的认证群密钥协商（AGKA）协议的不足,在Krawczyk新提出的双指数挑战-应答数字签名（DCR签名）和Burmester等提出的群密钥协商（GKA）协议（BD方案）的基础上,提出了具有常数轮的高效AGKA协议.新协议除具有现有AGKA协议的安全性外,还具有抗临时秘密指数泄露攻击能力,效率也有所提高。在分析现有的基于传统公钥密码体制（PKI/CA）的AGKA协议的安全性、效率中,指出了Abdalla等在TCC2007中提出的群密钥协商协议编译器不能抵抗假冒攻击,进行了相应的改进。在基于身份（ID）的群密钥协商协议方面,现有的大部分基于公钥的AGKA协议可分两类:第一类,认证部分是基于PKI/CA,会话密钥协商部分主要用模指数（或点乘）实现;第二类,认证部分是基于身份（ID）的公钥体制,会话密钥协商部分主要是用Weil对或Tate对实现。而第一类AGKA协议存在一个较显著问题一公钥管理问题;第二类AGKA协议虽然有效地解决了公钥管理问题,但由于其会话密钥协商部分主要是用双线性对（即Weil对或Tate对）实现,故相对前者其计算量较大,效率较低。针对这些不足,设计了一个静态的AGKA协议,该协议的认证部分是基于身份（ID）的公钥体制,会话密钥协商部分的运算主要用模指数（或点乘）实现;并在相应假设下证明了该AGKA协议的安全性。指出了Choi等在PKC2004中的AGKA协议不能抗外部攻击,并给出了相应的改进方案。指出了刘等在ChinaCrypt2007中提出的基于身份的多安全群组群密钥协商协议攻击者能使得群中用户在运行完该协议后所产生的会话密钥不一致,而且不会被群中成员发现;进一步指出只要攻击者能获得相应协议复本,便能计算出会话密钥:并在此基础上,给出了相应的改进方案。与基于PKI/CA、基于身份的密钥协商协议需要参与者验证相关证书和存储高品质的秘密钥（主密钥）相比,基于口令的三方密钥协商协议仅需要参与者记住一个共享的口令,就能构造出较高品质的会话密钥。该类协议的实现成本较低,更具有应用前景。我们前后分别提出了两个用pairing实现的基于口令的三方密钥协商协议:3-PAKE-1和3-PAKE-2,并在标准模型下对其安全性进行了证明,效率也比相关协议有一定提高。该协议比较适合应用于那些不支持PKI/CA或用户不方便保存长期私钥的情况。

论文目录

• 摘要
• Abstract
• 符号说明
• 第1章 绪论
• 1.1 论文的研究意义
• 1.2 群应用案例
• 1.2.1 远程电话会议或数字会议
• 1.2.2 安全的网格计算
• 1.2.3 基于文本的群通讯系统
• 1.2.4 文件和数据共享
• 1.2.5 计算机支持的协同工作和群件
• 1.2.6 计算机支持的协作学习
• 1.2.7 群体决策支持系统
• 1.3 群应用中的安全目标
• 1.3.1 机密性或私密性
• 1.3.2 认证
• 1.3.3 数据完整性
• 1.4 群密钥建立的分类
• 1.4.1 分类
• 1.4.2 群密钥传输/分布
• 1.4.3 群密钥交换/协商
• 1.4.4 会话密钥
• 1.4.5 群密钥建立协议的环境
• 1.5 论文的主要内容和结构
• 第2章 密钥协商协议的安全模型分析与比较
• 2.1 可证安全理论概述
• 2.2 密钥协商协议中的可证安全理论
• 2.2.1 密钥建立协议的信息论安全
• 2.2.2 密钥建立协议的符号安全
• 2.2.3 密钥建立协议的计算复杂度安全
• 2.3 密钥协商协议中安全性的基本概念
• 2.3.1 语义安全与已知密钥攻击
• 2.3.2 假冒攻击
• 2.3.3 密钥确认和互认证
• 2.3.4 前向安全性
• 2.3.5 密钥控制
• 2.4 密钥协商协议中安全模型的比较与分析
• 2.4.1 BR模型
• 2.4.2 BCK模型
• 2.4.3 CK模型
• 2.4.4 Shoup模型
• 2.4.5 BCPQ模型
• 2.4.6 KY模型
• 2.4.7 KS模型
• 2.5 本章小结
• 第3章 基于传统公钥密码体制的群密钥协商协议
• 3.1 预备知识
• 3.1.1 数论假设
• 3.1.2 ROM模型
• 3.1.3 伪随机函数
• 3.1.4 安全的数字签名方案
• 3.1.5 双指数挑战-应答数字签名方案
• 3.1.6 BD方案
• 3.2 安全模型
• 3.2.1 预言机询问
• 3.2.2 AGKA协议的AKA安全性
• 3.2.3 AGKA协议的前向安全性
• 3.2.4 AGKA协议的抗临时秘密信息泄露安全性
• 3.2.5 AGKA协议的安全性定义
• 3.3 一个抗临时秘密信息泄露攻击的认证群密钥协商协议
• 3.3.1 协议描述
• 3.3.2 协议的安全性分析
• 3.3.3 IDB协议效率分析与比较
• 3.4 一个密钥协商协议编译器的安全性分析与改进
• 3.4.1 协议编译器
• 3.4.2 假冒攻击
• 3.4.3 安全性分析与改进
• 3.5 小结
• 第4章 基于身份的群密钥协商协议
• 4.1 预备知识
• 4.1.1 椭圆曲线DH问题和双线性DH问题
• 4.1.2 安全模型
• 4.2 新的基于身份的AGKA
• 4.2.1 协议描述
• 4.2.2 安全性分析
• 4.2.3 效率分析
• 4.3 一个基于身份的群密钥协商协议的分析与改进
• 4.3.1 ID-AGKA方案
• 4.3.2 ID-AGKA协议的安全性分析
• 4.3.3 ID-AGKA方案的改进
• 4.3.4 改进协议的安全性分析
• 4.4 一个多安全群组密钥协商协议的安全性分析与改进
• 4.4.1 基于身份的多安全群组密钥协商协议
• 4.4.2 安全性分析
• 4.4.3 改进协议
• 4.5 小结
• 第5章 基于口令的三方密钥协商协议
• 5.1 预备知识
• 5.1.1 判定性双线Diffie-Hellman问题（DBDH）
• 5.1.2 安全模型
• 5.2 基于口令的三方密钥协商协议（3-PAKE-1）
• 5.2.1 协议（3-PAKE-1）描述
• 5.2.2 协议的安全性分析
• 5.3 一个高效的基于口令的三方认证密钥协商协议（3-PAKE-2）
• 5.3.1 协议3-PAKE-2描述
• 5.3.2 效率分析
• 5.4 小结
• 结论
• 致谢
• 参考文献
• 攻读博士学位期间发表的论文及科研成果