基于口令的單輪密鑰交換協(xié)議的制作方法
【專利摘要】一種使用公共參考串和共享口令初始化加密通信的方法，包括使用第一消息（106a）、第二消息（106b）以及公共參考串（100）確定對(duì)等方的秘密密鑰（108a），其中所述第一消息和所述第二消息各包括素?cái)?shù)階p的循環(huán)群G的元素的元組、所述共享口令的盲加密、以及散列投影密鑰。
【專利說明】基于口令的單輪密鑰交換協(xié)議
[0001]本發(fā)明根據(jù)內(nèi)政部授予的編號(hào)為FA8750-08-2-0091的合同在美國(guó)政府的支持下做出。美國(guó)政府對(duì)本發(fā)明擁有特定的權(quán)利。
【技術(shù)領(lǐng)域】
[0002]本發(fā)明涉及安全通信。更具體地說，本發(fā)明涉及實(shí)現(xiàn)安全通信的基于口令的單輪(single round)密鑰交換。
【背景技術(shù)】
[0003]基于口令的認(rèn)證是重要的安全范式(paradigm)。此場(chǎng)景中的安全性是一項(xiàng)富有挑戰(zhàn)性的問題，因?yàn)榭诹钔ǔ碜噪S機(jī)性不足以生成密碼安全密鑰的低熵域(low-entiOpydomain)。
[0004]已經(jīng)開發(fā)出其中口令由對(duì)等方(peer)共享的模型來使安全通信免受攻擊。所有當(dāng)前基于口令的密鑰交換協(xié)議遵循不可延展的承諾范式，例如，所選的密文對(duì)手模型CCA2-加密范式，以及相關(guān)的散列證明系統(tǒng)。這些協(xié)議還采用類似于CCA2加密方案中的平滑投影散列函數(shù)(smooth projective hash function)。在此,用于獲取散列證明的方法通常包括對(duì)等方之間的多輪交換以及模擬可靠零知識(shí)證明(simulation sound zeroknowledge proof)。

【發(fā)明內(nèi)容】

[0005]根據(jù)本公開的示例性實(shí)施例，一種方法包括確定廣義Diffie-Hellman元組；生成一次性模擬可靠零知識(shí)證明，其用于證明所述廣義Diffie-Hellman元組的一致性；以及根據(jù)所述廣義Diffie-Hellman元組加密消息。
[0006]根據(jù)本公開的示例性實(shí)施例，一種使用公共參考串和共享口令進(jìn)行加密通信的方法包括使用被發(fā)送到對(duì)等方的第一消息、從所述對(duì)等方接收的第二消息以及公共參考串確定秘密密鑰，其中所述第一消息和所述第二消息各包括素?cái)?shù)階P的循環(huán)群G的元素的元組、所述共享口令的盲加密、以及散列投影密鑰。
[0007]根據(jù)本公開的示例性實(shí)施例，一種使用公共參考串和共享口令初始化安全通信的方法包括使用第一消息、第二消息以及公共參考串確定對(duì)等方的秘密密鑰，其中所述第一消息和所述第二消息各包括素?cái)?shù)階P的循環(huán)群G的元素的元組、所述共享口令的盲加密，以及散列投影密鑰。
[0008]根據(jù)本公開的示例性實(shí)施例，一種使用公共參考串和共享口令初始化安全通信的方法包括將第一消息發(fā)送到對(duì)等方，從所述對(duì)等方接收第二消息，以及使用所述第一消息、所述第二消息以及所述公共參考串確定所述對(duì)等方的安全密鑰，其中所述第一消息和所述第二消息各包括廣義DifTie-Hellman元組、所述共享口令的盲加密、散列投影密鑰、以及用于證明所述廣義Diffie-Hellman元組的一致性的一次性模擬可靠零知識(shí)證明。【專利附圖】

【附圖說明】
[0009]下面參考附圖更詳細(xì)地描述本公開的優(yōu)選實(shí)施例:
[0010]圖1是根據(jù)本公開的實(shí)施例的基于口令的密鑰交換協(xié)議的圖；
[0011]圖2是示出根據(jù)本公開的實(shí)施例的消息生成的圖；
[0012]圖3是根據(jù)本公開的實(shí)施例的已接收的消息的圖；
[0013]圖4是根據(jù)本公開的實(shí)施例生成共享密鑰的示例性方法的流程圖；
[0014]圖5是根據(jù)本公開的實(shí)施例的公共參考串的圖；
[0015]圖6是根據(jù)本公開的實(shí)施例的Diffie-Hellman元組的圖；
[0016]圖7是根據(jù)本公開的實(shí)施例的加密口令的圖；
[0017]圖8是根據(jù)本公開的實(shí)施例的散列投影密鑰的圖；以及
[0018]圖9是用于執(zhí)行根據(jù)本公開的實(shí)施例的方法的示例性系統(tǒng)。
【具體實(shí)施方式】
[0019]根據(jù)本公開的實(shí)施例，一種基于口令的單輪口令交換實(shí)現(xiàn)了安全通信?；诳诹畹膯屋喢荑€交換可用于不同的安全通信模型。例如，基于口令的單輪密鑰交換可用于口令認(rèn)證密鑰(PAK)安全模型或通用可組合(UC)模型。基于口令的單輪密鑰交換繞過了構(gòu)建傳統(tǒng)的基于口令的密鑰交換協(xié)議所依據(jù)的不可延展的承諾范式。通過避免CCA-2加密范式的不可延展的承諾范式，可使得方法在通信成本和最終密鑰計(jì)算這兩方面高效。
[0020]根據(jù)本公開的實(shí)施例，散列證明系統(tǒng)可被實(shí)現(xiàn)并集成在基于口令的密鑰交換協(xié)議中。更具體地說，共享的秘密密鑰可被確定為兩個(gè)投影散列函數(shù)的乘積，其中第一投影散列函數(shù)對(duì)應(yīng)于與有效的口令加密關(guān)聯(lián)的語言，并且第二投影散列函數(shù)對(duì)應(yīng)于加密方案中的密文完整性。第二投影散列函數(shù)不需要是在CC2A加密方案中使用的通用2投影散列函數(shù)。為了僅基于決定性Diffie - Heilman (DDH)假設(shè)證明安全性，在公共參考串陷門中需要進(jìn)一步的(成對(duì)獨(dú)立的)冗余。
[0021]基于口令的單輪密鑰交換是高效的，其中NIZK (模擬可靠非交互式零知識(shí))用于散列密鑰的知識(shí)證明，但不一定用于構(gòu)建CC2A安全加密?；诳诹畹膯屋喢荑€交換使用一個(gè)多定理(mu 11 1-theorem )NI ZK證明系統(tǒng)?；诳诹畹膯屋喢荑€交換可以使用多個(gè)多定理NIZK證明系統(tǒng)。
[0022]此處使用的術(shù)語只是為了描述特定的實(shí)施例并且并非旨在作為本公開的限制。如在此使用的那樣，單數(shù)形式“一”、“一個(gè)”和“該”旨在也包括復(fù)數(shù)形式，除非上下文明確地另有所指。還將理解，當(dāng)在此說明書中使用時(shí)，術(shù)語“包括”和/或“包含”指定存在所述的特征、整數(shù)、步驟、操作、元素和/或組件，但是并不排除存在或添加一個(gè)或多個(gè)其它特征、整數(shù)、步驟、操作、元素、組件和/或它們構(gòu)成的組。
[0023]以下的權(quán)利要求中的所有裝置或步驟加功能要素的對(duì)應(yīng)結(jié)構(gòu)、材料、操作和等價(jià)物，旨在包括任何用于與在權(quán)利要求中具體指出的其它要素相組合地執(zhí)行該功能的結(jié)構(gòu)、材料或操作。所給出的對(duì)本公開的描述是示例性和描述性的，并非窮盡性的，并且也不限于所披露形式的發(fā)明。在對(duì)于本【技術(shù)領(lǐng)域】的普通技術(shù)人員來說許多修改和變更都是顯而易見的，而不偏離本公開的范圍和精神。實(shí)施例的選擇和描述，旨在最好地解釋本公開的原理和實(shí)際應(yīng)用，并使本【技術(shù)領(lǐng)域】的普通人員理解適合于所構(gòu)想的特定應(yīng)用的、本公開帶有各種修改的各種實(shí)施例。
[0024]根據(jù)本公開的實(shí)施例，使用散列證明系統(tǒng)，其中對(duì)等方共享口令。如果所共享的口令錯(cuò)誤，對(duì)等方會(huì)得出無關(guān)的秘密密鑰。進(jìn)一步地，無論是主動(dòng)的還是被動(dòng)的竊聽者在猜想合法的對(duì)等方協(xié)商一致的最終密鑰方面沒有任何優(yōu)勢(shì)，以致于開始的口令可以很弱。例如，對(duì)于4個(gè)數(shù)位長(zhǎng)的口令，竊聽者在一次嘗試中可以猜對(duì)口令的概率是1/9999，這與隨機(jī)猜想相同。即，與隨機(jī)猜想相比，竊聽者沒有額外的優(yōu)勢(shì)。
[0025]根據(jù)本公開的實(shí)施例，公共參考串(CRS)是全局發(fā)布的隨機(jī)值，其可以被所有對(duì)等方訪問，例如，任何特定日期上道瓊斯平均指數(shù)(DJIA)的最后一位數(shù)。另一示例是諸如NIST (國(guó)家標(biāo)準(zhǔn)技術(shù)研究所)之類的組織公布的隨機(jī)字符串。
[0026]現(xiàn)在參考圖1，給定兩個(gè)對(duì)等方A和B (IOla和IOlb)和對(duì)等方已選擇的獨(dú)立隨機(jī)值r_A和r_B (104a和104b)，然后通過使用這些隨機(jī)值，對(duì)等方A和B可以確定其相應(yīng)隨機(jī)值的函數(shù)F、公共的CRS105以及它們的口令(103a和103b)。函數(shù)F可以由協(xié)議指定。結(jié)果值(106a和106b)被發(fā)送到另一對(duì)等方。然后當(dāng)在方框107a和107b接收到來自另一對(duì)等方的相應(yīng)值時(shí)，這兩個(gè)對(duì)等方基于它們從另一對(duì)等方接收的東西、它們的口令、CRS及其隨機(jī)值確定最終密鑰，以便生成相應(yīng)消息(108a和108b)。
[0027]當(dāng)且僅當(dāng)這兩個(gè)對(duì)等方使用相同的口令(103a和103b)時(shí)，它們才會(huì)確定相同的密鑰。而且，如果口令不同，即使有一位不同，兩個(gè)值也是隨機(jī)的并且相互獨(dú)立。如果具有不正確的口令知識(shí)的第三方(例如“中間人”(man in the middle))嘗試發(fā)起主動(dòng)或被動(dòng)竊聽攻擊，則情況依然如此，即，所生成的值是隨機(jī)的并且獨(dú)立于對(duì)等方所獲取的值。
[0028]在說明書和附圖中，使用循環(huán)群Gl和G2 (都是素?cái)?shù)階P的循環(huán)群)，以便它們滿足SXDH (對(duì)稱外部 Diffie-Hellman)假設(shè)。
[0029]SXDH假設(shè)包括使用兩個(gè)不同的循環(huán)群Gl和G2的基礎(chǔ)代數(shù)結(jié)構(gòu)，每個(gè)循環(huán)群都是素?cái)?shù)階P的循環(huán)群。雙線性映射從Gl和G2分別獲得一對(duì)元素，并將它們映射到被稱為目標(biāo)群G3的第三群。SXDH假設(shè)聲稱，兩個(gè)群Gl和G2是如此不兼容，以致于Diffie-Hellman假設(shè)在這兩個(gè)群中都單獨(dú)成立。這樣，給定循環(huán)群Gl的生成器g、以及兩個(gè)元素g的a次冪以及g的b次冪(其中a和b是隨機(jī)選擇的),沒有任何多項(xiàng)式時(shí)間對(duì)手(polynomial timeadversary)可以區(qū)分g的a乘b次冪與群Gl的隨機(jī)元素。類似的假設(shè)被規(guī)定對(duì)群G2適用。
[0030]圖1中的協(xié)議假設(shè)固定的CRS100是所有對(duì)等方公知的。該協(xié)議是對(duì)稱且異步的，其中每方確定要被發(fā)送的消息、接收對(duì)應(yīng)的消息和確定密鑰。因此，下面的描述從一方的角度進(jìn)行的；另一方是對(duì)稱的。
[0031]CRS(請(qǐng)參閱圖5)包括從群G中均勻隨機(jī)地選擇的三個(gè)群元素g、A和K(301_303);以及用于NIZK證明的CRS (304)。
[0032]考慮共享公共口令pw的協(xié)議中涉及的兩方Pi和P」。在圖2中，一方PiW I到P均勻隨機(jī)地生成隨機(jī)數(shù)X、η i和η /并確定消息組件106，包括=Diffie-Hellman元組:= (gx，Ax) (201和圖6)、口令加密:=Kxssid* Pw (202、圖7)(其中ssid是子會(huì)話標(biāo)識(shí))、散列
投影密鑰:gn-1kn-1( ^03和圖8)以及存在X的NIZK證明，從而圖6中的Diffie-Hellman
元組的形式確實(shí)是(gx，Ax)204。[0033]Diffie-Hellman元組一致性〈P P / >的NIZK證明滿足以下性質(zhì):
[0034]存在X,使得 P !=gx 且 P ^ =Ax。
[0035]NIZK證明可使用已知的技術(shù)構(gòu)建。例如，零知識(shí)協(xié)議(例如，驗(yàn)證方從證明獲取的知識(shí)不多于陳述的真實(shí)性)可被視為一次性模擬可靠，如果即使給定的假陳述的副本(transcript)在協(xié)議中通過采用基礎(chǔ)的難解性假設(shè)通過替換無法區(qū)別的字符串被證明，也沒有任何多項(xiàng)式時(shí)間對(duì)手可以證明假陳述。這可以通過雙線性對(duì)和SXDH假設(shè)實(shí)現(xiàn)。證明是一次性模擬可靠，從而在一次性模擬可靠零知識(shí)證明協(xié)議中，沒有任何對(duì)手可以修改給定的陳述證明以獲取另一陳述的有效證明。
[0036]考慮對(duì)于證人關(guān)系為R的語言L e NP, (ΝΙΖΚ[1,2]> Π = (1,Ρ, V, 8) = (8^ S2)可以是多定理NIZK證明系統(tǒng)(相應(yīng)參數(shù))，如果:1是多項(xiàng)式，并且P，V, S1, S2都是概率性多時(shí)間機(jī)器，從而存在可忽略的函數(shù)α，以便對(duì)于所有k:
[0037]完備性:對(duì)于長(zhǎng)度為k的所有X e L，以及所有W，從而R(x，w)=true，對(duì)于長(zhǎng)度為I1(k)的所有字符串 σ，具有 V(x，P(x，w, σ), o)=true。
[0038]可靠性:對(duì)于所有無界(相應(yīng)多項(xiàng)式時(shí)間)對(duì)手A，如果ο e {O, l}1(k)是隨機(jī)選擇的，則Α(σ)將輸出(x，p)以便
【權(quán)利要求】
1.一種方法，包括: 確定廣義 Diffie-Hellman 元組(201)； 生成一次性模擬可靠零知識(shí)證明，其用于證明所述廣義Diffie-Hellman元組的一致性(204);以及 根據(jù)所述廣義Diffie-Hellman元組加密消息(108a), 其中所述方法由處理器執(zhí)行。
2.一種用于使用公共參考串和共享口令執(zhí)行加密通信的方法，包括: 使用被發(fā)送到對(duì)等方的第一消息(106a)、從所述對(duì)等方接收的第二消息(106b)以及公共參考串(100)確定秘密密鑰(107a), 其中所述第一消息和所述第二消息各包括素?cái)?shù)階P的循環(huán)群G的元素的元組(201)、所述共享口令(202)的盲加密、以及散列投影密鑰(203)。
3.根據(jù)權(quán)利要求2的方法，進(jìn)一步包括由處理器使用所述秘密密鑰(108a)的解碼形式對(duì)有效負(fù)載進(jìn)行解碼。
4.根據(jù)權(quán)利要求2的方法，進(jìn)一步包括使用對(duì)稱密鑰加密方案和所述秘密密鑰(106a)對(duì)有效負(fù)載進(jìn)行加密。
5.根據(jù)權(quán)利要求2的 方法，其中所述元素的元組是廣義DifTie-Hellman元組。
6.根據(jù)權(quán)利要求2的方法，其中所述第一消息和所述第二消息各進(jìn)一步包括一次性模擬可靠零知識(shí)證明。
7.根據(jù)權(quán)利要求6的方法，進(jìn)一步包括由所述處理器根據(jù)對(duì)稱外部Diffie-Hellman假設(shè)證明所述元組的一致性(304 )。
8.根據(jù)權(quán)利要求6的方法，進(jìn)一步包括由所述處理器根據(jù)決定性線性假設(shè)證明所述元組的一致性。
9.一種計(jì)算機(jī)程序產(chǎn)品，用于使用公共參考串和共享口令初始化加密通信，所述計(jì)算機(jī)程序產(chǎn)品包括: 計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其中包含計(jì)算機(jī)可讀程序代碼，所述計(jì)算機(jī)可讀程序代碼包括: 被配置為使用第一消息、第二消息以及公共參考串確定對(duì)等方(406)的秘密密鑰的計(jì)算機(jī)可讀程序代碼， 其中所述第一消息和所述第二消息各包括素?cái)?shù)階P的循環(huán)群G的元素的元組(201)、所述共享口令(202)的盲加密，以及散列投影密鑰(203)。
10.根據(jù)權(quán)利要求9的計(jì)算機(jī)程序產(chǎn)品，其中所述元素的元組是廣義Diffie-Hellman元組。
11.根據(jù)權(quán)利要求9的計(jì)算機(jī)程序產(chǎn)品，其中所述第一消息和所述第二消息各進(jìn)一步包括一次性模擬可靠零知識(shí)證明。
12.根據(jù)權(quán)利要求11的計(jì)算機(jī)程序產(chǎn)品，進(jìn)一步包括根據(jù)對(duì)稱外部Diffie-Hellman假設(shè)證明所述元組的一致性(304 )。
13.根據(jù)權(quán)利要求11的計(jì)算機(jī)程序產(chǎn)品，進(jìn)一步包括根據(jù)決定性線性假設(shè)證明所述元組的一致性。
14.一種用于使用公共參考串和共享口令初始化加密通信的計(jì)算機(jī)程序產(chǎn)品，所述計(jì)算機(jī)程序產(chǎn)品包括: 計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其中包含計(jì)算機(jī)可讀程序代碼，所述計(jì)算機(jī)可讀程序代碼包括: 被配置為將第一消息(106a)發(fā)送到對(duì)等方的計(jì)算機(jī)可讀程序代碼； 被配置為從所述對(duì)等方接收第 二消息(107a)的計(jì)算機(jī)可讀程序代碼；以及 被配置為使用所述第一消息、所述第二消息以及所述公共參考串確定所述對(duì)等方的秘密密鑰(108a)的計(jì)算機(jī)可讀程序代碼， 其中所述第一消息和所述第二消息各包括廣義DifTie-Hellman元組、所述共享口令的盲加密、散列投影密鑰、以及證明所述廣義Diffie-Hellman元組的一致性的一次性模擬可靠零知識(shí)證明。
15.根據(jù)權(quán)利要求14的計(jì)算機(jī)程序產(chǎn)品，其中所述公共參考串包括從循環(huán)群G中選擇的元素g、A和K，并且其中所述廣義Diffie-Hellman元組包括所述循環(huán)群G中的元素S和S’，所述計(jì)算機(jī)可讀程序代碼包括: 被配置為通過選取隨機(jī)整數(shù)X，并且以所述隨機(jī)整數(shù)X為指數(shù)對(duì)所述元素g取冪確定元素S，來獲取所述元素S和S’的計(jì)算機(jī)可讀程序代碼；以及 被配置為通過以所述隨機(jī)整數(shù)X為指數(shù)對(duì)所述元素A取冪，來獲取所述元素S’的計(jì)算機(jī)可讀程序代碼。
16.根據(jù)權(quán)利要求15的計(jì)算機(jī)程序產(chǎn)品，進(jìn)一步包括被配置為通過選取兩個(gè)或更多個(gè)隨機(jī)整數(shù)，并且使用所述兩個(gè)或更多個(gè)隨機(jī)整數(shù)和所述元素g、A和K確定所述散列投影密鑰(203)來獲得所述散列投影密鑰的計(jì)算機(jī)可讀程序代碼。
17.根據(jù)權(quán)利要求15的計(jì)算機(jī)程序產(chǎn)品，進(jìn)一步包括被配置為通過以所述隨機(jī)整數(shù)X為指數(shù)對(duì)所述元素K取冪并且用所述循環(huán)群G中的所述共享口令(202 )乘以結(jié)果，來獲取所述共享口令的加密的計(jì)算機(jī)可讀程序代碼。
18.根據(jù)權(quán)利要求15的計(jì)算機(jī)程序產(chǎn)品，進(jìn)一步包括被配置為通過以所述隨機(jī)整數(shù)X為指數(shù)對(duì)所述元素K取冪，并且通過根據(jù)所述散列投影密鑰和預(yù)定協(xié)議會(huì)話標(biāo)識(shí)符確定的函數(shù)取冪，以及用所述循環(huán)群G中的所述共享口令乘以結(jié)果，來獲取所述共享口令的加密的計(jì)算機(jī)可讀程序代碼。
19.根據(jù)權(quán)利要求14的計(jì)算機(jī)程序產(chǎn)品，其中所述公共參考串包括從循環(huán)群G選擇的元素g、A、B、K和Kl，并且其中所述廣義Diffie-Hellman元組包括所述循環(huán)群G中的元素S、T和U，所述計(jì)算機(jī)可讀程序代碼包括: 包括被配置為通過選取隨機(jī)整數(shù)X和I獲取所述元素S、T和U的計(jì)算機(jī)可讀程序代碼，包括， 通過以所述隨機(jī)整數(shù)X為指數(shù)對(duì)所述元素g取冪確定元素S， 通過以所述隨機(jī)整數(shù)I為指數(shù)對(duì)所述元素A取冪確定元素T，以及 通過以所述隨機(jī)整數(shù)X加所述隨機(jī)整數(shù)I為指數(shù)對(duì)所述B取冪確定元素U。
20.根據(jù)權(quán)利要求19的計(jì)算機(jī)程序產(chǎn)品，進(jìn)一步包括被配置為使用所述循環(huán)群G中的所述隨機(jī)整數(shù)X和I以及所述元素g、A、B、Kl和K2獲取所述散列投影密鑰的計(jì)算機(jī)可讀程序代碼。
21.根據(jù)權(quán)利要求19的計(jì)算機(jī)程序產(chǎn)品，進(jìn)一步包括被配置為通過以所述隨機(jī)整數(shù)X為指數(shù)對(duì)所述元素Kl取冪，并且以所述隨機(jī)整數(shù)I為指數(shù)對(duì)所述元素K2取冪，乘以所述隨機(jī)整數(shù)X和y，以及用所述共享口令乘以結(jié)果來獲取所述共享口令的所述加密的計(jì)算機(jī)可讀程序代碼。
22.根據(jù)權(quán)利要求19的計(jì)算機(jī)程序產(chǎn)品，進(jìn)一步包括被配置為通過以所述隨機(jī)整數(shù)X為指數(shù)對(duì)所述元素Kl取冪，并且以所述隨機(jī)整數(shù)I為指數(shù)對(duì)所述元素K2取冪，乘以所述隨機(jī)整數(shù)X和y，將結(jié)果提高到通過散列投影密鑰確定的函數(shù)的冪，以及用所述共享口令乘以結(jié)果來獲取所述共享口令 的所述加密的計(jì)算機(jī)可讀程序代碼。
【文檔編號(hào)】H04L9/00GK103563288SQ201280024883
【公開日】2014年2月5日 申請(qǐng)日期:2012年5月3日 優(yōu)先權(quán)日:2011年5月25日
【發(fā)明者】C·S·朱莉塔, A·羅伊 申請(qǐng)人:國(guó)際商業(yè)機(jī)器公司