（信号与信息处理专业论文）基于pki的ca相关技术研究.pdf

关志峰：基于p 的c a 相关技术研究 8 1 扬州大学学位论文原创性声明和版权使用授权书 学位论文原创性声明 本人声明：所呈交的学位论文是在导师指导下独立进行研究工作所取得的研 究成果。除文中已经标明引用的内容外，本论文不包含其他个人或集体已经发表 的研究成果。对本文的研究做出贡献的个人和集体，均已在文中以明确方式标 明。本声明的法律结果由本人承担。 学位论文作者签名： 羡恚、踵 f 签字日期：加宕年占月1 日 学位论文版权使用授权书 本人完全了解学校有关保留、使用学位论文的规定，即：学校有权保留并向 国家有关部门或机构送交学位论文的复印件和电子文档，允许论文被查阅和借 阅。本人授权扬州大学可以将学位论文的全部或部分内容编入有关数据库进行检 索，可以采用影印、缩印或扫描等复制手段保存、汇编学位论文。同时授权中国 科学技术信息研究所将本学位论文收录到中国学位论文全文数据库，并通过网 络向社会公众提供信息服务。 学位论文作者签名：表名珲 签字日期：孑年莎月7 日 导师签名： 签字日期加 日 关志峰：基于p k i 的c a 相关技术研究 摘要 在网络得到快速发展的现代社会，人们越来越重视网络上信息的安全问题。 p ( p u b l i ck e yi n 纳s t r i l m l r e 公钥基础设施) 是目前解决信息安全问题最有效的技 术。p 中最基本的元素是数字证书，所有安全的操作主要通过数字证书来实现。 这就要求必须有一个网络上各证书持有方都信任的机构，专门负责数字证书的发放 和管理，这个机构就是证书认证中心( c e r t i f i c a l ea u m o r i 妫。 论文基于椭圆曲线密码体制对无可信中心的c a 方案进行研究，主要完成了以 下几个方面的工作： ( 1 ) 基于门限秘密共享的签名方案一般分为需要可信中心和不需要可信中心 两类。由于在许多特定的应用环境下，一个可被所有成员信任的中心并不存在。因 此，不需要可信中心的门限签名方案就显得尤为必要。论文在已有方案【1 4 1 5 l 基础 上，对一种无需可信中心的化n ) 门限签名方案进行了改进，实现了在签名过程中不 会被外部攻击者欺诈，同时也防止了内部恶意组成员的欺诈。 ( 2 ) 传统的c a 方案中，各影子服务器的子密钥是由一个可信中心产生，而 在许多特定情况下，一个可被所有成员信任的可信中心并不存在。因此论文结合文 献1 2 l 】的系统结构，提出了一种基于e c c 的无可信中心化n ) 门限签名方案，并应用 到认证中心c a 中，保证入侵者入侵部分部件并不能得到c a 系统的私钥，这样使 得c a 能够容忍入侵，从而设计了具备分布式和冗余结构的p c a 系统。 ( 3 ) 容侵的密钥分发服务器的设计避免了传统集中式密钥分发方法中所存在 的单点故障问题，并且在相同安全强度下，e c c 协议具有通讯量小，计算效率高 等特点，论文提出了一种基于e c c 的分布式的会议密钥分发方案。 ( 4 ) 利用j a v a 构建实验平台，设计了一种变形的椭圆曲线数字签名算法 丁及勿蜊的数字签名系统。分析表明该数字签名算法丁承删是有效的。 关键词：公钥基础设施，椭圆曲线密码体制，认证中心，门限签名，可验证的秘密 共享，入侵容忍 关志峰：基于p k i 的c a 相关技术研究 3 a bs t r a c t n o w a d a y s ，n e 觚o r kt c c h l l i q u e sa r ea p p l i o di n o f e 觚dm o r e ，孤l dp e o p l ep a ym o r c a _ t t e 血0 nt 0 血ei s s l l eo f n e t w o r ks e c u r i 够p 口u b l i ck 巧h l = c t u r e ) c 觚b eu s e dt 0 r e s o l v c 位幽肌撕o ns e c u r i t y 印b l 锄s d i g 黼c e n i f i c 咖i s 血eb a s i ce l 锄e n to fp ， a n da l ls e c 面够o p e r a ：c i o n sa r e 肿n i l e dw i 廿l 豫s p e c tt 0d i 酉t a lc e r t i f i c a l e t h e r e f o r e ，i t 似l u 硫s 锄o r g 捌0 n 缸恻硝b ya uc e n i f i c 蹴- h o l d i 懿，c a l mc e 】晒咖a u 吐赋峨 w l l i c hi sr e s l ) 0 邶i b l ef o ri s s u i i l g 觚dm 锄a g i i l go fd i g i t a lc e n i f i c a t e s t l l i sd i s r t a ：c i o nm 础l l yf o c u s e so nd e s i g l l i n g c u r ec as c h e m 锱、：砒l o u t 仃i 矧 e d c e m e rb ym e a 璐o fe l l i p t i c a lc u r y ec 聊t 0 铲a p h yt h em a i l lc o n 伍b u ：t i o 璐o fn l i s d i s 默删o nc a nb e 双l n n a d z e da sf 0 u o w s ： ( 1 ) s i 驴孤鹏s c h e i n e sb 勰e d0 n t l l l e s h o l ds e c r e t 蛐gc o u l db ec l 嬲s i 矗e di i l t 0 咖 c a t e g o r i e s ：( 1 ) s o l 砸。馏w i _ t h 吐l e 器s i s t m c eo fa 仃i 删p a r 眵；( 2 ) s o l 埘。璐w i t l l o l i tt 1 屺 锻i 蜘o f a 删p a 啊g e 眦m 1 1 ys p 蛐，嬲a n 删够w h i c h c a nb e 删b y a l lm 既n b e r sd o e s n t 商s t at l l r e 叠h o l ds i 罂擒 c u r es c h e i l l e sw i t l l o u tat 1 1 l s t e dp a r 眵邳i p e 鹕 m o 坨a t l 鞠娟v e t k sd i s s e r t a l i o ni l p 】嗍ap r e v i j o u s l y 呻p o s e d 代n ) 也r e s _ h o l d s i 掣l a t u r c h 即舱谢t h o u ta 协l s t o dp a r t ys u c ht 1 1 a ta ne ) 【t e 锄脚拙k 盯c 雒tc h e a lw h e n g e n e m 血gs i 乎咖m e 锄 w m l e ，“f o i l si i l 】ra l _ 【a l ：k e r sd 屺咖k i h a v i o t ( 2 ) i i l 仃a d i t i o n a jc as c h e m e s ，e v e 巧s 1 1 a r es e r v e r ss d b - s e c r 既k e yi sg 锄c r 砷e db y a t r i l s t e dc e n 航h o w c 峨i nm 锄yp 枷c i l l 甜c a s ，趾a u 1 0 r n yw t l i c hc 趾b e 仇l s t c db ya l l m e i ：n b e 稻d o e s n te 】【i s t ht l l i sd i s 删i o n ，b 嬲e do nas y s t e ma r c l l i 钯妇【2 1 1 ，w ep 坨渤t a n ) t h r e s h o l ds i 朗a n 聆s c h e i i l cw i m o u ta 删咖b 鹤c d 0 ne c c ，觚d 印p l yi tt 0 也ec as c l 煳et 0e i ：l s u r et l l a 土i i l v a d 盯咖t 彤i i n 恤c 鲇sp r i v a 钯c r e tk e y 弱l o l 培弱圮 m 姗b e ro fc ( 肛i p | 伽l i s e d e r si sl e s st 1 1 a na 西w mm r e s h o l d t h e r e 向r e ，w ea c l l i e 、r e i i l ：嗽l s i o n 幻l c 姗c ei i lo u rc as c h e m e h 即l c e ，w ed e s i g nap k i c as y 蜘w k c hi s d i 妤b u t e d 觚dh a sl 司u n ( ta r c h i t e c 眦 ( 3 ) 1 kd e s i 萨o f 蠡砌t - t o l 蚴td i s t r i b u t e dk e yd i s t r i b u t i o ns e r v e ra v o i d ss i i l 酉ep o i n t 4 扬州大学硕士学位论文 0 f 黼l u r ei i 岫r e n ti nm e 缸砸i t i 伽l a lc e 蛐融i z e dk e yd i s t r i b 砸p r o t o c 0 1 a sk c y 楚胛组n 曲ti sc k 响赡r i z o db yl e s sc 0 哪删洲o n 觚d m o r ee 伍c i e n tc o m p u t 撕o n a lc o 瓯 ad i s t r i l ，u t i e dc 0 蜘c ek e yd i s t r i b 嘶妯e i i 圮b 嬲e d0 ne c ci sp m p o s e di nt h i s d i 磷圮r t a t i o n ( 4 ) w r ed e s i 印锄i i i l p r 0 v e de c cb a dd i g i t a ls i g n a n 北砧9 0 枷1 驰c a l l e d z 毋刃删，b y 瑚砸gj a v ap l a ：响珊p e m 衄瑚鹏a r l a l y s i ss 1 1 0 粥蚍t h ed i g 妇ls i 印孤鹏 a 1 9 0 r i t h mte c d s a i se 伍c i e m 毒 k 呵w o r d s ：p ，e c c ，c 气，n l r e s h o l ds i 驴撒玳，懈f i a b l es e c r e ts h 疵培，m r 吣i o n t b l e r a 皿c e 关志峰：基于p k l 的c a 相关技术研究 5 1 绪论 1 1 课题背景和研究意义 随着信息技术产业的迅速发展，互联网技术( 特别是电子商务) 正以前所未有 的速度迅猛发展，它打破了传统的时间和空间的局限性，极大的改变了人们的工作 方式和生活方式。信息技术产业发展水平已成为衡量一个国家现代化和综合国力的 重要标志。 作为电子商务的基础，近年来p 技术在我国获得了快速发展，已经成为信息 安全产业的亮点。随着因特网应用的不断普及和推广，不仅政府部门的管理需要 p 技术的支持，而且企业内部、企业与企业之间，都需要p 技术的支持。要真 正做到保证网络信息安全【l 刀应用所包含的数据真实性、保密性、完整性、不可否 认性、可审查性，只有p ( p u b l i c1 0 e yh 1 助s 帆l c n l 陀，公钥基础设施) 才能全面解决 这些安全问题。p 中最基本的元素是数字证书，所有安全的操作主要通过数字证 书来实现。数字证书将一个公开密钥和身份信息绑在一起，是各实体在网上信息交 流活动中的身份证明，类似于现实生活中的个人身份证，它的来源必须是可靠的。 这就要求必须有一个网络上各证书持有方都信任的机构，专门负责数字证书的发放 和管理，确保网络上信息的安全，这个机构就是证书认证中心( c e 施c a ：t ea l i d l 硎劬 简称为c a ) 。 认证中心c a ( c e l t i 丘c 撕0 na 删：1 0 r i 妫在公钥密码技术基础上对证书的产生、管 理、存档、发放以及撤销进行管理，它作为具有权威的、可信赖的、公正的第三方 服务机构，承担着网上安全电子交易中重要的认证服务，c a 通过其私钥签发数字 证书，使参与网上活动的各方都拥有合法的身份，从而解决相互信任问题，因此保 护c a 私钥不泄露是整个c a 安全的基础。 一般来说，c a 必须是一个在线的网络机构，特别是直接面向用户的c a ，以 便自动地提供相应的证书服务。现在，很多方案中已将根c a 和子c a 设计为离线 方式，以保证p 结构的安全。但用户c a ( 给用户颁发数字证书的子c a ) 基本上无 6 扬州大学硕士学位论文 法离线工作。因此，遭遇网络攻击在所难免。当一个黑客攻破一台c a 服务器时， 攻击者就有可能获得该服务器内的资源，从而找到该c a 的私钥。这对于p 系统 来说是非常致命的。同样，一个内部的雇员对系统的攻击也是应该预防的。当一个 雇员完全控制其中一台c a 服务器时，也应该保证他不能获得c a 的私钥。由于硬 件错误或其他原因，包括恶意攻击，使一台或多台c a 服务器瘫痪时，也应该保证 整体p 的基本运作的正常。因此，对c a 系统安全性的技术研究具有非常重要的 意义。 门限密码学能够灵活地产生和分发密钥，进而使系统在部分组件被攻击的情况 下仍能保护系统中用于加密、签名等的秘密信息，为开发入侵容忍系统汀s ) 提供 了有效的技术手段。基于门限密码学的入侵容忍研究主要集中在基于秘密共享的门 限加密和门限签名的实现，一般要求所使用的密码算法具有同态的属性，其原因在 于：同态的密码算法1 3 】可以很方便地将多个密文分片组合成整个消息的密文，而非 同态密码算法则很难实现这一点。 使用门限签名方案，数字签名能够由一个群体产生而不是由个体产生。在门限 签名方案中，私钥由刀个用户的群体共享，而不像普通签名中，私钥仅有单个用户 持有。为了对给定的消息产生一个有效的签名，每个用户对消息产生部分签名，然 后再组合以产生整体签名。 门限签名方案的研究一直以来主要集中在怎样共享i 塔a 【4 】和e l c 妇n a l l 5 】的签名 函数：1 9 9 1 年，d 和眦l 提出了基于硒a 的也n ) 门限签名方案【6 】； c 硼斑。等人设计了基于离散对数的门限签名的第一个方案，他们给出了抵抗选择 消息攻击的门限签名的不可伪造性的形式定义，并且提出了基于e i g a m a l 的签名 方案和数字签名标准的门限方案【7 1 ；q 脚l a m 等人研究了门限d s s 签名方案的构造 嗍，他们设计了各种各样的分布式可验证秘密共享方案来构造一个健壮的且安全的 门限d s s 签名方案。在s 血s o n 等人【9 】基于s c h n 0 i r 签名方案【1 0 j 提出的门限签名方 案中，他们使用的技巧能够应用到其它基于离散对数的门限签名方案。文献【l l 1 2 】也 给出了一种基于离散对数的门限群签名方案。不过，所有这些方案都需要有一个可 信中心来决定群( 组) 私钥和小组成员的私钥。 h a m l l 3 】提出了一种基于e l g a n l a l 签名的、不需要可信中心的门限群签名方 案。由于在许多特定的应用环境下，一个可被所有小组成员信任的可信任中心并不 存在，所以不需要可信中心的门限群签名方案就显得很具有吸引力。文献【1 4 】贝u 利用 关志峰：基于p 的c a 相关技术研究 7 联合秘密共享技术，克服了方案【1 3 】中超过门限值的小组成员联合起来，利用他们手 中所掌握的秘密份额就能恢复某个成员的私钥的缺陷。文献1 5 】贝i j 分析了文献【1 4 1 所 提出的无可信中心的门限签名方案的安全性，提出了一种伪造签名攻击，组内恶意 签名者和群签名生成者可以合谋伪造一个“有效 的整体签名。 文献1 6 17 1 羽则提出了基于椭圆曲线的门限签名方案，和基于r s a 、有限域离散 对数的门限签名方案相比，椭圆曲线离散对数还没有一般的亚指数时间的算法，这 就意味着椭圆曲线实现的密码算法可以用一些较小位长的数达到使用更大的有限域 所获得的安全性。 论文主要研究的方向是基于门限密码体制和入侵容忍技术来实现对c a 系统的 高安全性要求。内容主要涉及基于门限的签名方案、以及基于门限入侵容忍的 c a 【1 唧，2 1 】应用等。 1 2 国内外研究现状 1 2 1 国外及国内眦a 技术研究及发展现状趋势 2 0 0 0 年6 月3 日是个值得关注的日子，这一天，美国总统克林顿正式签署了 全球及全国商业电子签名法，这是美国历史上第一部联邦级的电子签名法。这 一法律的签署，将极大地促进全美乃至全球电子商务的发展。此后，网上炒股、网 上购物、政府网上采购等大宗交易都可以通过电子签名迅速安全地完成，而不再需 要传统的纸笔签名。欧盟、德国、日本、新加坡、韩国、中国等国家也相继通过了 电子( 数字) 签名法等p 相关法律。 目前，p 技术已经由理论研究进入到商业化应用阶段。正t f ( 互联网工程任 务组) 、i s o ( 国际标准化组织) 等机构陆续颁布了x 5 0 9 、p l ( 、p k c s 、s m m 伍、 口s e c 、i d a p 等p 应用相关标准，美国r s a 、s i 鲷、加拿大的e n t l l l s t 融h n o l o g i e s 、爱尔兰的b a l t i i n 0 砖t c 曲n o l o 百e s 等机构或企业纷纷推出了自己的 p 产品和服务。一些大的厂商，如m i c r o s o f i 、n 呶a p e 、s m 等，都开始在自己 的网络基础设施产品中增加了p 功能。 8 扬州大学硕士学位论文 加拿大、美国、欧盟等国家和地区也相继建立起了自己的p 体系，银行、 证券、保险、电信等行业的用户开始接受并使用p 技术。另外亚洲的中国、韩 国、日本等，以及大洋洲、非洲的一些国家和地区都开始了p 技术的应用，涌 现出了众多的认证中心对外提供p 服务，促进了整个p c a 行业的发展，并且 已在各行各业都取得了成效。 p 技术经过十多年的发展已日趋成熟，许多新技术还在不断涌现，c a 之间 的信任模型、使用的加解密算法、密钥管理的方案等也在不断变化之中。例如，为 了确保电子交易的不可否认性，基于第三方的时间戳( r 蚰e 咖) 服务正在引起人 们极大的兴趣。在c a 网络模型方面，除了传统的严格层次结构模型( h i 蹦c h y ) 、 对等结构模型( p e e rt 0p e 神、w 曲模型等以外，还出现了桥c a ( b r i d g ec a ) 的概 念。总的来看，p 具有非常广阔的市场应用前景。 我国的p 行业起步较晚，p 行业的建立还只有五年多的时间。然而，中国 p 行业的发展还是非常迅速的。据不完全统计，在不到一年的时间里，全国各地 就出现了数十家认证中心和p 产品开发商，还有许多认证中心正在筹建中，全 国c a 认证系统的建设资金已超过7 亿元人民币，从事c a 运营人员己达2 0 0 0 多 人。 国内的认证中心主要有：中国金融认证中心( c f c a ) 、中国电信认证中心 ( c t c a 、上海市数字证书认证中心( s h e c a ) 、北京数字证书认证中心( b j c a ) 、江 苏省电子商务证书认证中心( j s c a ) 、广东省电子商务认证中心( c n c a ) 、重庆数字 证书认证中心( c q c a ) 、福建省数字安全证书管理有限公司( f j c a ) 以及北京天威诚 信电子商务服务有限公司( i t r 吣c a ) 等。 国内的这些认证中心可分为三种类型：行业性认证中心、区域性认证中心和纯 商业性认证中心。其中c f c a 和c t c a 属于行业性认证中心，主要为行业内的 p l ( i 应用提供服务：s h e c a 、b j c a 、j s c a 、c n c a 、c q c a 、f j c a 等属于区域 性认证中心，主要为当地及周边的用户提供p l i 服务，这两类认证中心大多有行 业或地方政府背景。除了前两类认证中心以外，国内还有少数纯商业性认证中心， 比如：i t r u s c a 。 ：中华人民共和国电子签名法( 简称电子签名法) 于2 0 0 5 年4 月1 日正 式实施。这是一部业界期盼已久的法律，是“中国首部真正意义上的信息化法 律一，它的实施将对我国的电子商务的发展产生非常重要的推动作用，对提高我国 关志峰：基于p k i 的c a 相关技术研究 9 信息化水平、提高金融业的经营效益和质量，将起到非常重要的促进作用。实现电 子签名的技术手段目前有多种，比如：基于公钥密码技术的数字签名；用一个独一 无二的以生物特征统计学为基础的识别标识，例如指纹、声音、人脸或视网膜扫描 的识别；手写签名和图章的电子图像的模式识别等等。 目前，世界各国普遍使用的电子签名技术还是基于p 的数字签名技术。出 于制定法律的技术中立性原则，电子签名法未对电子签名做太多规定。 作为电子商务安全管理中极其重要的一个环节，要在我国建立起一个权威的根 c a ，实现国内所有c a 的交叉认证，需要政府以及各个c a 的密切配合，更需要 借鉴国外的成功经验，在实践中找到适合我国现状的解决方案。只有加快和深入对 c i a 的研究工作，搞好c a 建设，才能更加高效地为电子商务等网上应用提供安全 保障，为我国的p 建设保驾护航。 1 2 2 入侵容忍技术 入侵容忍技术是一门包含了容错技术的新型网络安全技术。它与以往的网络安 全技术相比，最大的不同在于以往的网络安全技术更强调使系统免受入侵，而入侵 容忍技术除此之外还包括：当系统的某些部分已经受到破坏，或者某些部分已经受 到攻击者的控制时，整个系统仍然能够保证系统的可用性和数据的秘密性，完整 性。由此可知，入侵容忍技术当之无愧地成为了网络安全保护的最终防线。 国外方面：美国国防部目前关于入侵容忍的资助项目有r r t c ( i n 劬s i o n t 0 l e 舳c ev i an 础o l d c r y l ) t 0 萨l p h y ) 、s i t a r ( s c a l a b l e h n 坞i o nt 0 l e 瑚c e 加出) 、i r r u 吣h l 觚i o nt 0 l e 跏嘴b ) ru 印川i c t a b i l 毋锄da d a p 切l i o n ) 等，欧洲 的项目有m a f l r i a ( m a l i c i o u sa n da c c i d 舳_ t a lf a u nt o l e 啪c e 向ri n ：t e l n e ta p p l i c 撕o n s ) 等。这些项目主要从容错理论和密码技术等方面出发，研究入侵容忍技术和入侵容 忍系统的体系结构。在这些项目的支持下，西方国家在入侵容忍技术相关的领域内 取得了许多显著的进展硎。 另外在国内，如中科院信息安全国家重点实验室、西安电子科技大学网络与 信息安全重点实验室和武汉大学软件工程国家重点实验室等几家单位也已丌始研 究，主要针对入侵容忍在分布式网络中的应用，入侵容忍在保护机密信息( 如w 曲 服务器的密钥或c a 私钥等) 中的应用等瞄，2 5 ，2 6 捌，因此入侵容忍的研究和应用是有 1 0 扬州大学硕士学位论文 现实意义的。 1 3 论文的主要工作 论文主要研究在开放网络环境下保证关键信息服务得以安全稳定进行的入侵容 忍技术。通过分析目前p 中的关键设施c a 在证书签发服务中存在的安全隐 患，应用入侵容忍的方法，结合门限密码技术，阐述了一种基于无可信中心的容侵 c a 的模型，并且设计了具备分布式和冗余结构的p 系统。 论文的具体工作分为以下几个方面： ( 1 )由于在许多特定的应用环境下，一个可被所有成员信任的中心并不存 在，并且一个可信中心的使用容易产生单点故障。因此，不需要可信中心的门限签 名方案就显得尤为必要。论文在已有的方案【1 4 1 5 】基础上，对一种无需可信中心的化 n ) 门限签名方案进行了改进，实现了在签名过程中不会被外部攻击者欺诈，同时也 防止了内部恶意组成员的欺诈。 ( 2 ) 传统的c a 方案中，各影子服务器的子密钥是由一个可信中心产生，而 在许多特定情况下，一个可被所有成员信任的可信中心并不存在，因此论文中结合 文献【2 1 】的系统结构，提出了一种基于e c c 的无可信中心 n ) 门限签名方案，并应 用到认证中心c a 中，保证入侵者入侵部分部件并不能得到c a 系统的私钥，这样 使得c a 能够容忍入侵，并且设计了具备分布式和冗余结构的p 伦a 系统结构。 ( 3 ) 容侵的密钥分发服务器的设计避免了传统集中式密钥分发方法中所存在 的单点故障问题，并且在相同安全强度下，e c c 协议具有通讯量小，计算效率高 等特点，论文提出了一种基于e c c 的分布式的会议密钥分发方案。 ( 4 ) 利用j a v a 构建实验平台，设计了一种变形的椭圆曲线数字签名算法 r 且劂的数字签名系统。 1 4 论文的组织结构 论文共分为六章，后续内容的安排如下： 关志峰：基于p 的c a 相关技术研究 1 1 第二章：p 的理论基础和相关概念。介绍了如e c c 等密码技术以及数字签 名，散列函数，数字信封等相关概念；p 的一些信任模型以及p 的相关应用； 并对觑如刚数字签名算法进行了变形，变形后的算法消除了有限域上的逆元计 算，提高了算法的效率。 第三章：基于门限秘密共享的签名方案一般分为需要可信中心和不需要可信中 心两类。由于在许多特定的应用环境下，一个可被所有成员信任的中心并不存在。 因此，不需要可信中心的门限签名方案就显得尤为必要。本章在已有方案【1 4 ，1 5 】基础 上，对一种无需可信中心的化n ) 门限签名方案进行了改进，实现了在签名过程中不 会被外部攻击者欺诈，同时也防止了内部恶意组成员的欺诈。 第四章：无可信认证中心c a 的设计。论文结合文献【2 l 】的系统结构，提出了一 种基于e c c 的无可信中心门限签名方案以应用到认证中心c a 中，保证入侵 者入侵部分部件并不能得到c a 系统的私钥，这样使得c a 能够容忍入侵。并且对 比文献f 2 l 】的方案，从可用性、效率性、冗余性、安全性等方面来分析了本方案的 性能。分析表明论文方案的可用性、冗余性与文献【2 l 】的方案等价，但安全性、效 率性比文献【2 l 】的方案更优。 第五章：容侵的密钥分发服务器的设计避免了传统集中式密钥分发方法中所存 在的单点故障问题。基于椭圆曲线实现的密码系统具有所用的密钥长度相对较小的 特点，因此论文提出了一种基于e c c 的会议密钥分发方案。 第六章：基于论文2 1 2 2 3 章节中的变形的椭圆曲线数字签名方案r 且：腿d 设计了一个数字签名系统，并进行了编程实现。该签名系统主要由签名模块、验证 模块、密钥生成模块、椭圆曲线模块组成，分析表明变形的椭圆曲线数字签名方案 r 歇删是有效的。 第七章：本章是论文的最后一章，对论文进行了总结，指出了进一步的研究方 向。 1 2 扬州大学硕士学位论文 2p 的体系结构和相关概念 为解决阴1 e t 的安全问题，世界各国对其进行了多年的研究，初步形成了一 套完整的砌舢n e t 安全解决方案，即目前被广泛采用的p ( m l i ck e y h l 舾s t f l l c t l l r e ，公钥基础设施) 技术。p 技术采用证书管理公钥，通过第三方的信 任机构一认证中心，把用户的公钥和用户的其它标识信息( 如身份证号、e m a i l 等) 捆绑在一起，在网上验证用户的身份。p 是一个用公钥密码学理论和技术来实施 并提供安全服务的具有普适性的安全基础设施，其核心是解决网络空间的信任问 题。按照x 5 0 9 标准中定义，p 是一个包括硬件、软件、人员、策略和规程的集 合，用来实现基于公钥密码体制的密钥和证书的产生、管理、存储、分发和撤销等 功能。 2 1p 理论基础 信息的保密性是信息安全的一个重要方面。保密的目的是防止第三方通过监 听、非法截取等手段非法获取机密信息，而加密是保护机密信息的一个重要手段。 所谓加密，就是用数学方法重新组织数据，使得除了合法的接受者外，任何其他人 要想恢复原先的“消息 ( 将原先的消息，称作“明文 ) 或读懂变化后的“消息 ( 将变化后的消息称为“密文一) 都是非常困难的。通常，我们把将密文恢复成明文 的过程称作解密。加密和解密操作分别是在一组密钥控制下进行的，它们被分别称 为加密密钥和解密密钥。 下面主要介绍p 中常用的几种密码技术郾l ： 2 1 1 对称密码技术 2 1 1 1 概念介绍 对称密码技术又称为传统密码技术，对称密码技术要求加解密双方拥有相同的 密钥。系统的保密性主要取决于密钥的安全性，必须通过安全可靠的途径将密钥送 至接收端。通常情况下，有两个相关的函数分别用作加密和解密。如果明文用m 表示，密文用c 表示，参数七为密钥，则加密函数e 作用于m 得到密文c ，可以 关志峰：基于p k i 的c a 相关技术研究 1 3 表示为最( 肘) = c 。相反，解密函数d 作用于c 产生肘可以表示为b ( c ) = m 。 此类密码系统的优点是加解密速度极快，远高于非对称密钥密码系统，尤其在实施 过程中，加密和解密算法互为逆运算，给硬件的设计带来了很大的方便。 尽管对称密码术有一些很好的特性，但它也存在着明显的缺陷，包括： ( 1 ) 通信双方在进行安全通信前必需以安全方式进行密钥交换。 ( 2 ) 规模复杂，力个用户的团体进行通信需要丹幸伽一1 ) 2 个不同的密钥。 通过应用基于对称密码的中心服务结构，上述问题有所缓解。在这个体系中， 团体中的任何一个用户与中心服务器( 通常称作密钥分配中心) 共享一个密钥。因 而，需要存储的密钥数量基本上和团体的人数差不多，而且中心服务器也可以为以 前互相不认识的用户充当“介绍人 。但是，这个与安全密切相关的中心服务器必 须随时都是在线的，因为只要服务器被攻击以致瘫痪，用户间的通信将不可能进 行。这就意味着中心服务器是整个通信成败的关键，也意味着它还是一个通信服务 的“瓶颈 。 2 1 1 2 常用对称加密算法 ( 1 ) d e s 算法 d e s 是d a 土ae n c 帅t i o ns t a i 地面( 数据加密标准) 的缩写。它是由m m 公司研制 的一种加密算法，美国国家标准局于1 9 7 7 年公布把它作为非机要部门使用的数据 加密标准，二十年来，它一直活跃在国际保密通信的舞台上，扮演了十分重要的角 色。 d e s 是一个分组加密算法，它以6 4 位为分组对数据加密。同时d e s 也是一 个对称算法：加密和解密用的是同一个算法。它的密钥长度是5 6 位( 因为每个第8 位都用作奇偶校验) ，密钥可以是任意的5 6 位的数，而且可以任意时候改变。其中 有极少量的数被认为是弱密钥，但是很容易避开它们。所以保密性依赖于密钥。 ( 2 ) ，m e s 算法 ) e s 算法是d e s 的替代物，n ) e s 使用3 个密钥，并3 次执行d e s 算法。 加密函数遵循加密一解密一加密的次序。 ( 3 ) a e s 算法 a e s 是a d v a n c e de n c 聊t i o ns t a i k l a r d s 的缩写，即高级数据加密标准，2 0 0 0 年 1 0 月2 日，n i s t ( 美国国家标准技术研究所) 正式公布由比利时的j 0 趾d a e m 和 c e m 躺m e i l 设计的算法剐n d l 成为a e s 算法。无论使用反馈模式还是无反馈 1 4 扬州大学硕士学位论文 模式，躺n d l 在广泛的计算环境的硬件和软件实现性能都有优秀的表现，它的密 钥建立时间很短，并且极低的内存需求使它非常适合在存储器受到限制的环境中使 用。 a e s 采用的是替换置换网络，即s p 结构。每一轮由三层组成：线性混合 层、非线性层、密钥加层。其中s 盒选取的是有限域g f ( 2 8 ) 中的乘法逆运算，差 分均匀性和线性偏差性都达到了最佳。 a e s 自问世以来，已经经历了大量的详细审查，对密码分析具有很强的抵抗 能力，并且已在多种商业产品中被使用。 2 1 2 非对称密码技术 非对称密码技术也被称作公钥密码技术，其思想是由wd i 伍e 和d h e l l ! n 肌例 在1 9 7 6 年提出的。公钥密码技术在加密和解密时采用不同的密钥，把加密过程和 解密过程设计成不同的途径。私钥为用户专用，公钥可以在网络上公开。要从公钥 中分析出私钥在计算上是不可能的。任何人欲传送信息给接收方时，可将信息使用 该接收方公布的公钥加密后传送给接收方。当接收方收到此加密后的信息，利用自 己与此公钥对应的私钥解密密文。 与对称密钥密码技术相比较，利用非对称密码密钥技术进行安全通信，有以下 优点： ( 1 ) 通信双方事先不需要通过保密信道交换密钥。 ( 2 ) 密钥持有量大大减少。刀个用户的团体进行通信需要，l 对不同的密钥。 ( 3 ) 非对称密钥密码技术还提供了对称密钥密码技术无法或很难提供的服务： 如数字签名，可证明安全的伪随机数发生器，零知识证明等。 p 技术虽然主要是基于非对称密钥密码技术的，即公钥密码技术，但同时也 交叉使用了对称密码技术，二者取长补短，使得p 成为能够方便灵活地提供安 全服务的安全基础设施。 下面介绍的两种算法属于非对称加密算法： 2 1 2 1r s a 算法 r s a 算法是融v e s t ，a s h 加：l i r 和l a d l e m 锄【4 】于1 9 7 7 年在美国麻省理工学 院开发，于1 9 7 8 年首次公布，其算法如下： 关志峰：基于p k i 的c a 相关技术研究 1 5 ( 1 ) 选择两质数p 、留。 ( 2 ) 计算疗= p g 。 ( 3 ) 计算甩的欧拉函数：如) = ( p 一1 ) 国一1 ) 。 ( 4 ) 选择整数p ，使p 与( 疗) 互质，且1 4 p ； 厅o 为单向h a s h 函数， ：( o ，1 专z g ，g 是乞中的一个生成元； 3 2 2 密钥生成阶段 ( 1 ) 组u 中每个成员配o = 1 ，2 ，刀) 随机地并且秘密地选择= z ，z c ， 嘞u = 1 ，2 ，f 一1 ) 来构造一个f 一1 次多项式z ( x ) z ( 力= 口f o + q l j + + 口膏- l 石卜1 m o d go = l ，2 ， ，) ( 1 ) 计算4 ，= p ( ，= 0 ，l ，| l 一1 ) ，然后用自己的签名私钥豚；和前面2 1 2 2 3 章节中的变形的椭圆曲线数字签名方案对点以u = o ，1 ，”彳一1 ) 的横坐标( 4 ) ，和纵 坐标( 鸣) y 进行签名仃= 丁一戤二嬲4 鼠( ( 以) ，0 ( 以) ，) ，“旷为位串的连接操作，并 广播4 ( j f = 0 ，1 ，一f 1 ) ，以及对应的签名结果仃给组内其他成员 u ，( j f ，= 1 ，2 ，打) ，然后u ，可用的验证公钥肷。对签名结果进行验证，即 r 一及二d 翱脒，( 矿) ，以检验签名结果盯是否正确。 ( 2 ) 为其他撑一1 个成员和自己分别计算e ，= z ( f ) i n o d g ，通过广播方 式将发送给u ，1 ，刀，j f ，而将，豇自己保留。 ( 3 ) 所有成员完成上述步骤后，u ，然后计算u = 1 ，m o d g ，即 z l 哆= 乃( 以) m o d g ，所有成员都将h 保存好。 定义新函数 f o ) = 乃( x ) m o d g 。虽然阢不知道f ( x ) ，但不难知道，。= f ( 以) 。，( x ) 即为 = l 该系统中所需用的拉格朗日插值多项式。最后，u 在【1 ，g l 】中随机选取整数t ， 关志峰：基于p l ( i 的c a 相关技术研究 3 3 计算而= 毛1 ，m o d g 作为组成员“的密钥，而r = t p 作为组成员玑的公钥。令 置= 毛p ，【，。把置通过广播的方式发给其它组成员。 ( 4 ) 每个“计算尺= r = 置，y r ) ，由于门限值为r ，则组u 中f 个成员利 l = l 用多项式插值f ( o ) = f ( 皿) 兀哆( 哆一皿) 1 可以恢复f ( o ) 。即 4 2 l 。i 州 f ( o ) = 盔，然后就把】，= ( f ( o ) ) p 作为组的公钥，相应的组密钥石为 x = f ( o ) 屯m o 劬。 f 暑l 3 2 3 密钥份额验证阶段 要对组成员阢o = 1 ，2 ，坍) 收到的密钥份额 ，进行验证，则q 把得到的密钥份 额通过下式来验证其正确性： f l 1 ，尸= ( d 1 ) 彳业 ( 2 ) 七；o 若上式成立，即1 ，打满足上式，则表示组成员收到的密钥份额v 一正确；否则组成 员收到的密钥份额v 不正确，拒绝接受v ，要求u ，u f ) 重新发送密钥份 额，直到满足上式为止。 3 2 4 组成员部分签名生成阶段 首先确定u = u ，u ：，以 中的f 个签名者( 不妨设这些成员构成的集合为 j = u 。，u 2 ，配) ) 。然后，中的每个成员玑在【1 ，g l 】上选一个新随机数，接下 来阢计算下面的等式： 五= g 与m o d g ，i ；= ( 匆- 1 丑) 尸，z i = “丑) 尸， 其中屯为组成员玑在密钥生成阶段选择的随机数。阢把z 和互通过广播的方式发 送给参与签名的其它成员u ，。 扬州大学硕士学位论文 f “在收到其它成员q ，发送过来的乃和乙后，计算z = 乙= z ，y z ) ， 毒l f 丁= 乃= ( 坼，所) 后计算部分签名： 户l 墨= v f c f | l ( ，l ix z0 彳黝0 x r ) 一石z 屯一1 以m o d g ，( 3 ) 其中q = 兀哆( 哆一皿) 1 为插值系数，a s i d 表示参与此次签名的所有组成员 ，互l j 身份标识号的集合，h 为密钥生成阶段第三步组成员u 。所计算出的数值。 然后玑把( j ，m ，而，屯，墨，墨，i ，z j ) 发送给指定的签名合成者册6 姚，。其中 唧，屯为点丁，z 的横坐标，互，互，丁，z ，墨由在部分签名生成阶段计算所得，置由 阢在密钥生成阶段计算所得。 3 2 5 部分签名验证阶段 签名的合成者c b m 6 加仃收到，个部分签名后，对每个收到的部分签名分别验 证下式是否成立： 墨置+ x z 乙= ( q 办( mi ix z04 舳i ix r ) ) 影 ( 4 ) 如成立则计算： s = 墨m o d g 。一 1 l = l 否则认为u 。是恶意的组成员，从而把他列为恶意组成员集合c 中，并在排除恶意 组成员集合c 之外重新选取f 个组成员以。，以：，巩对消息m 进行签名，重复前面 的步骤，直到所选的，个成员所返回的j ，都通过验证为止。 式( 4 ) 可证明如下： q 办( mi i 屯i i 彳脚d i l 而) 鬈一屯互 = q 屯q 办( m0 x z0 彳肋l ix r ) p 一( x z ，f 丑) 尸 墨忍= ( 墨屯) p = q 屯匕 ( m0 x z0 彳& 砂0 x r ) 尸一( x z 丑) p 证毕 关志峰：基于p k i 的c a 相关技术研究 3 5 其中q = 兀哆( 哆一以) - 1 为插值系数，t 为组成员玑在密钥生成阶段选择的 ，= l ，垂f 随机数，a s i d 表示参与此次签名的所有组成员身份标识号的集合， ，为在密钥生 成阶段第三步组成员u ，所计算出的数值，为组成员u ，在部分签名生成阶段选择 的新随机数。最后，合成者c d 聊易讹，将签名( 只m ，z ，r ，r ) 发送给用户进行验证。 其中，s 为整体签名，z ，丁由以在部分签名生成阶段计算所得，足由u ，在密钥生 成阶段计算所得。 3 2 6 组签名验证阶段 验证者验证下式是否成立- s p + 工z r = i 震- l 乃( 膨0 x zl i 彳册0 x 7 ) 】， ( 5 ) 其中，屯，_ ，分别是z ，丁，r 的横坐标，若等式成立，则说明信息m 的门限签名 ( j ，m ，z ，丁，r ) 是有效的。 式( 5 ) 可证明如下： ff 左边= s p + 屯霉= s p + 屯( ，f 屯- 1 以) ， f = ( v ，q j l l ( mox z04 肋i i 而) ) p 扛= l = f ( 0 ) 办( m0 x z0 彳i i 矗) p 右边= f ( 0 ) - 1 办( m0 屯8 彳册i i 坼) p = f ( o ) 厅( ，0 x zl l 彳肋0 x r ) p 证毕 p 、， 丑 一 毛 f ，埘 z x+s l = 3 6 扬州大学硕士学位论文 3 3 安全性分析 攻击l 根据成员组u = u ，以 公钥】，和各个成员的公钥z 来分别推 导出组