New Privacy Preserving Aggregate Signcryption for Heterogeneous Systems
-
摘要: 异构聚合签密方案不仅可以保证异构密码系统之间数据的机密性和不可伪造性，而且可以提供多个密文批量验证。该文分析了一个具有隐私保护功能的异构聚合签密方案的安全性，指出该方案不能抵挡恶意密钥生成中心(KGC)攻击，恶意KGC可以伪造有效的单密文和聚合密文。为了提高原方案的安全性，该文提出一种新的具有隐私保护功能的异构聚合签密方案。该方案克服了原方案存在的安全性问题，实现了无证书密码环境到身份密码环境之间的数据安全传输，在随机预言机模型下证明新方案的安全性。效率分析表明新方案与原方案效率相当。Abstract: The privacy preserving aggregate signcryption for heterogeneous systems can ensure the confidentiality and unforgeability of the data between heterogeneous cryptosystems, it also can provide multi-ciphertext batch verification. This paper analyzes the security of a scheme with privacy-preserving aggregate signcryption heterogeneous, and points out that the scheme can not resist the attack of malicious Key Generating Center (KGC), it can forge a valid ciphertext. In order to improve the security of the original scheme, a new heterogeneous aggregation signature scheme with privacy protection function is proposed.The new scheme overcomes the security problems existing in the original scheme and ensures the data transmission between the certificateless public key cryptography and the identity-based public key cryptographic, and the security of the new scheme is proved under the random oracle model. Efficiency analysis shows that the new program is equivalent to the original one.
-
1. 引言
在数据传输过程中，不仅要保护数据的机密性，而且还要保证数据的不可伪造性。1997年，Zheng[1]提出签密的概念。签密可以同时完成“签名和加密”功能，该技术与传统的先加密后签名或者先签名后加密相比具有通信成本低、安全水平高等优点，在很多实际应用场景中受到青睐[2, 3]。2009年Selvi等人[4]结合了聚合签名和签密的优势，提出了聚合签密概念。
聚合签密可以把多个签密密文聚合为单个签密密文，验证者仅需验证聚合后的密文，就可以实现对多个消息的认证。聚合签密适合于多对一的用户环境，在无线传感器[5]等领域得到了广泛的使用。随后，Han等人[6]提出了基于身份的聚合签密的方案，Eslami等人[7]提出了基于无证书的聚合签密方案。在实际应用环境中，跨平台通信越来越普及，不同系统使用不同的密码系统，为了保证异构密码系统之间数据的机密性和完整性。2010年，Sun等人[8]首次提出了异构签密方案。随后，Huang等人[9]提出了一个从传统公钥密码体制(Traditional Public Key Cryptography, TPKC)到身份公钥密码体制(IDentity-based Public Key Cryptographic, IDPKC) TPKI→IDPKC异构签密方案，Li等人[10]提出了IDPKC→TPKI签密方案。自此，异构签密成为当前密码学研究的一个热点[11—15]。
2017年，Niu等人[16]提出了一个具有隐私保护功能的异构聚合签密方案，经过分析，发现该方案不满足签密密文的不可伪造性。恶意密钥生成中心(Key Generating Center, KGC)可以伪造签密密文。为了解决Niu方案[16]中存在的密文可伪造攻击，本文先提出了一种新的具有系统隐私功能的保护异构聚合签密方案，随后证明了本文方案的安全性。最后对比了本文方案与Niu方案。
2. Niu方案及安全性分析
限于篇幅，略去对Niu方案的描述，具体算法见文献[16]。
Niu方案是从无证书公钥密码体制到身份公钥密码体制(CLPKC→IDPKC)的异构签密方案。对于机密性，主要考虑IDPKC密码环境；对于不可伪造性，则是CLPKC密码环境。在CLPKC中，主要存在两类敌手A1和A2。A1为不诚实的用户，通过对用户原有公钥的替换实现公钥替换攻击；A2为恶意的KGC，可以获取系统的主密钥和用户的部分私钥，实现KGC攻击。通过分析，发现Niu方案不满足密文的不可伪造性，即KGC可以伪造单个签密密文和聚合签密密文。
2.1 单个签密密文伪造
KGC 通过以下过程实现单个密文的伪造：(1)KGC在系统初始化时，选择
¯w∈Z∗q ，计算Q=¯wP 作为G1 的一个生成元。随机选择s∈Z∗q 为系统的主密钥，计算Ppu=sP 为系统公开密钥。(2) KGC随机选择
r′j∈Z∗q ，计算r′jQ=R′j¯w 和h′j=H4(Cj,R′j,Psj,IDsj) ，可计算出Xsj¯wP=Psj¯w 。(3)伪造签密密文：
Sj=Dsj+h′jr′j¯wP+Psj¯w ，则伪造的密文为σj= (Rj,Cj,Sj,Γj) 。(4)验证伪造密文的正确性：由于
e(S′j,P)=e(Dsj+h′jr′j¯wP+Psj¯w,P)=e(Dsj,P)e(h′jr′j¯wP,P)e(Psj¯w,P)=e(s⋅Qsj,P)e(h′jr′jP,Q)e(Psj,Q)=e(Qsj,Ppu)e(h′jR′j+Psj,Q) 因此，KGC可以成功伪造单个签密密文。
2.2 聚合签密密文伪造
KGC通过以下过程实现聚合密文的伪造：
(1)按照2.1节步骤伪造单个密文。
(2)
S=∑mj=1Sj=∑mj=1(Dsj+XsjQ+h′jr′jQ) ，伪造聚合签密密文为σj=({Rj,Cj,Γj}mj=1,S) 。(3)验证伪造密文的正确性：由于
e(S,P)=e(m∑j=1(Dsj+XsjQ+h′jr′jQ),P)=e(m∑j=1Dsj,P)e(m∑j=1XsjQ,P)⋅e(m∑j=1h′jr′jQ,P)=e(m∑j=1Qsj⋅s,P)e(m∑j=1XsjQ,P)⋅e(m∑j=1h′jR′j,Q)=e(m∑j=1Qsj,Ppu)e(m∑j=1Psj,Q)⋅e(m∑j=1h′jr′j,Q)=e(m∑j=1Qsj,Ppu)e(m∑j=1(Psj+h′jr′j),Q) 因此，KGC可以成功伪造聚合签密密文。
3. 改进的异构签密方案
Niu方案的主要问题在于签密生成环节泄漏了签密者的秘密值信息，即KGC可以容易地得到
XsjQ 和r′jQ 。(1) 系统建立Setup：输入安全参数
k ,KGC 选择两个阶为q 的循环群G1 和G2 ,G1 为加法群，G2 为循环乘群。P 为G1 的生成元。e:G1×G1→G2 为一个双线性映射。KGC 随机地选择s∈Z∗q 作为系统的主密钥，保留s 。计算系统公钥为Ppu=sP 。KGC 选择4个哈希函数H1:{0,1}∗→G1 ,H2:G2→ {0,1}lm ,H3:{0,1}∗→Z∗q ,H4:{0,1}lm→G1 。系统参数params={q,G1,G2,e,P,Ppu,H1,H2,H3,H4} 。(2) 公/私钥生成CLPKC-KG: CLPKC系统中发送者
Si(i∈{1,2,···,n}) 的身份为Mj 。(3) 密钥提取IDPKC-KG: IDPKC系统中接收者的身份为
IDrj(j∈{1,2,···,n}) 。CLPKC-KG和IDPKC-KG里面包含的算法设置同2.1节。(4) 签密Signcrypt：输入消息
Mi 和接收者的身份列表L={IDri}ni=1 ，发送者Sj 执行如下步骤：(a)随机地选择
ri∈Z∗q ，计算Ri=riP ,ωi= e(Ppu,Pi)ri和Ci=H2(ωi)⊕Mi 。(b)对
j=1,2,···,m ，计算xrj=H3(IDrj) ,fj(x)= ∏1≤j≠i≤mx−xixj−xi=aj,1+aj,2x+aj,mxm−1 ,yji=ri(Pi+ Qrj) ，其中aj,1,aj,2,···,aj,m∈Z∗q 。(c)对于
j=1,2,···,m ，计算Tji=∑nk=1ak,jyk,i ，令Γ=(T1i,T2i,···,Tmi) 。(d)计算
hi=H3(Ci,Ri,Psi,IDsi) 和Si=Dsi+(Xsi+ hiri)H4(Ppu) 。(e)发送者
Si 把密文σi=(Ri,Ci,Si,Γi) 给接收者。(5) 单个解签密Individual De-signcrypt：收到密文
σi=(Ri,Ci,Si,Γi)}mi=1 ，接收者利用自己的身份IDrj(j∈{1,2,···,n}) 解密σi 步骤如下：(a)计算
Qsi=H1(IDsi) ,hi=H3(Ci,Ri,Pi,IDi) 。(b)检查
e(Si,P)=e(Qsi,Ppu)e(Psi+hi⋅Ri,H4(Q)) 是否成立。如果成立，密文有效；否则，拒绝该密文。(c)计算
xj=H3(IDrj) 和y′ij =T1i+xjT2i+··· +xm−1jTmi (i=1,2,···,n) 。(d)计算
ω′i=e(Ppu,y′ij)e(Ri,Drj)−1 。(e)恢复消息
Mi ,Mi=H2(ωi)⊕Ci(i=1,2,···,m) 。(6) 聚合签密Aggregate：由聚合者执行产生
m 个用户对M 个消息的聚合签密过程如下：(a)输入
{IDsi}mi=1 签密密文σi=(Ri,Ci,Si,Γi)mi=1 。(b)计算
S=m∑i=1Si 。(c)输出聚合密文为
σ=({Ri,Ci,Γi}mi=1,S) 。(7)聚合验证Aggregate de-signcrypt：验证聚合签密是否有效，步骤如下：
(a)计算
Qsi=H1(IDsi),hi=H3(Ci,Ri,Psi,IDsi) 。(b)检查等式
e(S,P)=e(m∑i=1Qsi,Ppu)e(m∑i=1(Psi+hi⋅Ri),H4(Q)) 是否成立。成立则接受；否则，退出算法。4. 新方案的安全性分析
新方案的机密性证明过程与原方案一致，以下对不可伪造性进行分析。
4.1 单个签密密文不可伪造性
定理 1 假定CDH问题困难，针对敌手A1，本文异构签密方案在随机预言模型下自适应选择消息攻击下不可伪造。
以下需要引理1和引理2来证明定理1。
引理 1 在随机预言模型下，假设一个敌手A1在t时间内能以不可忽略的优势
ε 攻破本文方案，则存在算法B，能以ε′≥(ε−qs/2k)(1−1/qpk)qPk 优势解决 CDH 问题，其中，H1-Query, H2-Query, H3-Query, H4-Query, Partial-Private-Key-query, Secret-Value-query, Public-key-replave-query, Signcryption-query的访问次数分别为{q_{_H_1}} ,{q_{_H_2}} ,{q_{_H_3}} ,{q_{_H_4}} ,qpk ,qSk ,qkr ,qs 。证明 A1为攻击者，B为CDH问题的挑战者。B给定
(P,aP,bP) , B的目标是使用A1解决 CDH问题，即计算abP 。(1) 系统建立Setup：挑战者B设
Ppu=aP 。返回系统参数params 给A1, B随机选择挑战的伪身份ID∗ai , A1执行以下询问：(2)H1-query: B维持列表
L1=(IDsi,Qsi,αi,ci) ，初始为空。当A1对H1 进行询问时，B首先检查L1 列表，若列表L1 中存在(IDsi,Qsi,αi) ，B就返回相应的Qsi ，否则：B随机选择αi∈Z∗q 和ci∈{0,1} (其中，ci=0 的概率为ζ=1/qH1 。ci=1 的概率为1−ζ )。当ci=0 时，计算Qsi=αiP 。当ci=1 时，计算Qsi=αibP 。返回Qsi 给A1，并增加(IDsi,Qsi,αi,ci) 到L1 列表。(3) H2-query: B维持
L2=(ωi,ω2i,H2(ωi)) ，当B收到对H2 的询问时，B随机选择ω2i∈Z∗q ，令H2(ωi)=ω2i ，发送给A1。(4) H3-query: B维持
L3={Ci,Ri,Psi,IDsi,hi,γi} ，初始为空。当A1询问L3 列表的元组时，B首先检查列表，若列表中有相应元组，则发送对应的hi ；否则B随机选择γi∈Z∗q ，令hi=γi ，增加(Ci,RiPsi, IDsi,hi,γi) 到列表L3 中，并返回hi 。(5) H4-query: A1对
H4(Ppu) 进行询问时，B随机选择t∈Z∗q ，令H4(Ppu)=tP 。(6) 部分私钥询问Partial-Private-Key-query: B保持列表
E={IDsi,Dsi,Qsi} ，初始为空。A1询问IDsi 的部分私钥时，若E 中已有相应记录，则直接返回Dsi 。否则，A1执行H1 询问，返回(IDsi,Qsi,αi,ci) 。若ci=1 ，则B终止；否则，计算Dsi=αiPpu=αiaP ，返回Dsi 给A1，并将(IDsi,Dsi,Qsi) 添加到表E 。(7) 公钥询问Public-key-query: B保持列表
F=(IDsi,Xi,Psi) ，初始为空。当A1询问IDsi 的公钥时，若F 包含询问内容，返回Psi 给A1。否则，选择任意Xi∈Z∗q ,Psi=XiP ，返回Psi 给A1将(IDsi, Xi,Psi) 加入到F 表中。(8) 秘密值询问Secret-Value-query：当A1询问
IDsi 的秘密值时，如果ci=1 , B终止。否则，B查F 表，若F 表中有对应的IDsi ，则返回相应秘密值；否则B随机选择Xi∈Z∗q ，作为相应的秘密值，更新列表并返回Xi 。(9) 公钥替换询问Public-key-replace-query: A1对
IDsi 公钥替代询问时，A1随机选择一个公钥P′si 代替原公钥Psi 。设置Psi=P′si ,Xi=⊥ 。(10) 签密询问Signcryption-query：当A1对
(Mi,IDsi,L) 里的L={IDR1,IDR2,···,IDRn} 进行签密询问时，若IDsi≠ID∗ai ，则运行签密算法得到密文σ 。若IDsi=ID∗ai , B模拟算法生成一个签密。(a)B随机选择
ri∈Z∗q ,hi∈Z∗q 。(b)计算
Ri=riP−h−1iPsi 和Si=Dsi+hiriH4(Q) , B把σi=(Ri,Ci,Si) 给A1。e(Si,P)=e(Dsi+hiriH4(Q),P)=e(Dsi,P)e(hiriH4(Q),P)=e(αiaP,P)e(hiriH4(Q),P)=e(αiP,Ppu)e(hiriP,H4(Q))=e(Qsi,Ppu)e(hi(Ri+h−1iPsi),H4(Q))=e(Qsi,Ppu)e(hiRi+Psi,H4(Q)) (11) 输出Output：最后，A1输出一个元组
(M∗i,σ∗i,ID∗si,P∗si) 。如果ID∗si≠ID∗ai , B终止；否则，通过使用分叉引理，在用相同的随机带重放A1之后的两个不同的h′i , B在多项式时间内获得两个有效签名σ∗i=(M∗i,h∗i,ID∗si,R∗i,S∗i) 和\sigma^{*}'\!\!_i = (M^{*}'\!\!_i, h^{*}'\!\!_i,{\rm{ID}}_{{\rm{si}}}^{*}'\!\!_i,R^{*}'\!\!_i,S^{*}'\!\!_i) 。S∗i=D∗si+(X∗si+h∗ir∗i)H4(Q)=D∗si+(X∗i+h∗ir∗i)abP$ (1) \begin{aligned}S_i^* {\rm{'}} &= D_{{\rm{si}}}^* + (X_{{\rm{si}}}^* + h_i^{*}'r_i^*){H_4}(Q) \\& = D_{\rm si}^* + (X_i^* + h_i^{*}'r_i^*)abP\end{aligned} (2) 根据式(1)和式(2), B通过计算输出
abP 作为CDH实例的解决方案abP = (S_i^* - S_i^{*}')/(h_{_i}^*r_{_i}^* - h'_{_i}^{*}r_{_i}^*) 。引理 2 在随机预言模型下，假设一个敌手A2在t时间内能以不可忽略的优势
ε 攻破本文方案，则存在算法B，能以{\varepsilon '} \ge (\varepsilon - {q^s}/{2^k}){(1 - 1/({q^{{\rm{pk}}}} + m))^{{q_{{\rm{P}}k}} + m - 1 优势解决 CDH 问题的一个实例。证明 A2为攻击者，B为CDH问题的挑战者。B给定
(P,aP,bP) , B 的目标是使用A2解决 CDH问题，即计算abP 。(1) 系统建立Setup: B运行Setup算法，随机选择
s∈Z∗q 作为系统的主密钥，计算Ppu=sP 。B随机选取ID∗ai 作为挑战身份，B将params 和s 一起传递给A2。A2执行以下询问：(2) H1-query: B维持列表
L1=(IDsi,Qi,) ，初始为空。当A2对IDsi 进行询问时，B首先检测L1 表，若L1 存在(IDsi,Qi) , B就返回相应Qi ，否则：B随机选择Qi∈G1 ，更新列表，把Qi 发送给A2。(3) H2-query: B维持列表
L2=(ωi,βi,H2(ωi)) , B收到对ωi 的H2 询问时：(a)如果
H2(ωi) 存在L2 列表中，就把H2(ωi) 返回给A2。(b)否则，随机选择
βi∈Z∗q ，计算H2(ωi)=βiaP ，输出H2(ωi) ，添加(ωi,βi,H2(ωi)) 到列表L2 中。(4) H3-query: B维持
L3={Ci,Ri,Psi,IDsi,hi,γi} ，初始为空。当A2询问L3 时，B首先检测L3 ，若L3 存在，则返回hi ；否则B随机选择γi∈Z∗q ，令hi=γi ，增加元组到列表L3 中，并返回hi 给A2。(5) H4-query: A2对
H4(Ppu) 进行询问时，B令H4(Ppu)=aP ，并返回给A2。(6) 公钥询问Public-key-query: B保持列表
F=(IDsi,Xi,Psi) ，初始为空。当A2询问IDsi 公钥时，若F 列表中包含Psi ，则返回Psi 给A2。否则，随机选择Xi∈Z∗q 。若ci=0 ，计算Psi=XiP 。否则计算Psi=XibP 。返回Psi 给A2同时更新元组(IDsi,Xi, Psi) 到F 表中。(7) 签密询问Signcryption-query：当A2对
(Mi,IDsi,L) 这里的L={IDR1,IDR2,···,IDRn} 签密询问时，首先B查表。若ci=0 , B随机选择hi∈Z∗q ，计算Ri=−h−1iPsi ,Si=Dsi 。最后，B把σi=(Ri, Ci,Si,Ti) 给A2。e(Qsi,Ppu)e(hiRi+Psi,H4(Q))=e(Qsi,Ppu)=e(Qsi,s⋅P)=e(s⋅Qsi,P)=e(Dsi,P)=e(Si,P)\vspace30pt (8) 输出Output: A2输出一个元组
(M∗i,σ∗i,ID∗si, P∗si) 。如果ID∗si≠ID∗ai , B终止；否则，利用分叉引理，在用同样的任意带重放A2之后得到两个不一样h′i , B在多项式时间内获得两个有用签名σ∗i= (M∗i,h∗i,ID∗si,R∗i,S∗i) 和\sigma^{*}'\!\!_i \!=\!(M^{*}'\!\!_i,h^{*}'\!\!_i,{\rm{ID}}_{{\rm{si}}}^{*}'\!\!_i,R_i^{*}'\!\!_i,S_i^{*}'\!\!_i) 。S∗i=D∗si+(X∗si+h∗ir∗i)H4(Q)=D∗si+(X∗i+h∗ir∗i)abP (3) \begin{aligned}S_i^*{\rm{'}} & = D_{{\rm{si}}}^* + (X_{{\rm{si}}}^* + h^{*}'\!\!_i r_i^*){H_4}(Q) \\& = D_{{\rm{si}}}^* + (X_i^* + h^{*}'\!\!_i r_i^*)abP$\end{aligned} (4) 根据式(3)和式(4), B 通过计算输出abP 作为CDH实例的解决方案 abP=(S∗i−S∗′i)/(h∗ir∗i−h′∗ir∗i)。证毕4.2 聚合签密密文不可伪造性
定理2 假定CDH问题困难，本文异构聚合签密方案在随机预言模型下自适应选择消息攻击下不可伪造。
这个定理是通过结合引理3和引理4得到的。
引理 3 在随机预言模型下，假设敌手A1在时间t内能以不可忽略的优势
ε 攻破本文方案，则存在算法B，能以ε′≥(ε−qs/2k)(1−1/qpk)qPk 优势解决 CDH 问题的一个实例。证明 算法B首先设置在引理1中描述的公共参数。注意，在设置阶段，B设置
Ppu=aP 。然后，A1执行在引理1中描述的模拟询问。挑战者B以与引理1相同的方式回答A1的查询。(1)聚合解签密询问Aggregate De-signcryption query: A1向B提交一个密文集合
σ ，发送者的伪身份{IDsi}mi=1 ，接收者的身份集L∗={IDrj}nj=1 , B使用IBC-KG算法计算接收者的私钥{IDrj}nj=1 。如果它是一个有效的密文，A1首先检查σ 的有效性。之后，A1返回对密文σ 运行Aggregate de-signcrypt算法的结果。(2)输出Output: A1输出
{IDsi}mi=1 和{IDrj}nj=1 且对应的公钥{P∗si}mi=1 和{IDrj}nj=1 , m个消息{Mi}mi=1 和他们的聚合密文σ∗=(R∗i,C∗i,S∗i) 。伪造的聚合密文必须使用聚合解密来验证，即e(S∗,P)=e(m∑i=1Q∗si,Ppu)⋅e(m∑i=1(D∗si+hi⋅riH4(Ppu)),Ppu)=e(m∑i=1Q∗si,Ppu)⋅e(m∑i=1(P∗si,+hi⋅Ri),H4(Ppu)) Ppu=aP,H4(Ppu)=tP,Q∗si=αibP 利用分叉引理我们得到
\quadabP=(S∗−tm∑i=1XiP+ h∗iR∗i)(m∑i=1αi)−1 引理 4 在随机预言模型下，假设敌手A2在时间t内能以不可忽略的优势
ε 攻破本文方案，则存在算法B，能以ε′≥(ε−qs/2k)(1−1/(qpk+m))qPk+m−1 优势解决CDH问题的一个实例。证明 B设置与引理2中描述的公共参数。挑战者B以与引理2相同的方式回答A2的查询。
输出Output: A2输出
{IDsi}mi=1 和{IDrj}nj=1 且对应的公钥{P∗si}mi=1 和{Q∗rj}nj=1 , m个消息{Mi}mi=1 和它们的聚合密文σ∗=(R∗i,C∗i,S∗i) 。伪造的聚合密文必须使用聚合解密来验证。利用分叉引理我们得到
abP=(S∗−tm∑i=1XiP+h∗iR∗i)(m∑i=1αi)−1 证毕5. 性能分析
将本文方案和Niu方案进行效率对比。用
Tadd 代表点加运算耗费的时间，Tpm 代表点乘运算耗费的时间，Tp 代表双线性对运算耗费的时间，TH 代表Hash函数映射到点耗费的时间，Th 代表一次普通Hash函数耗费的时间。|m| 代表消息的长度，|U| 代表用户身份的长度，|G1| 代表G1 群中元素长度。本文方案使用的基本运算耗费的时间如表1所示。实验环境为戴尔笔记本(I7-4700 CPU @3.20 GHz, 16 GB内存和Ubuntu Linux操作系统)。同时使用了密码函数库(Pairing-Based Cryptography, PBC)。
表 1 基本运算耗费的时间(ms)Tadd Tpm Tp TH Th 0.023 3.382 3.711 6.720 1.024 表2分析了两个方案的签密以及解签密效率。从表2可以看出，在签密阶段，本文方案效率略低于Niu[16]方案，是因为比Niu方案多了一个Hash函数，但是安全性因此略有提高。在解签密阶段，本文方案与Niu方案效率相当。
表 2 签密方案效率比较方案 签密 解签密 安全性 Niu方案 (2n+5)Tpm+Tp+2TH+Th +(n+3)Tadd≥41.849 nTpm+5Tp+3TH+Th +(n+1)Tadd≥42.143 低 本文方案 (2n+5)Tpm+Tp+3TH+Th +(n+3)Tadd≥48.569 nTpm+5Tp+3TH+Th +(n+1)Tadd≥42.143 高 以上性能分析表明，新方案在运算效率上与Niu方案相当，这是因为本文的主要工作是提高原方案的安全性，确保方案可以抵抗不可伪造性攻击。
6. 结束语
具有系统隐私保护功能的异构聚合签密方案不仅解决了不同密码系统之间多个签密密文验证困难的问题，同时还具有双重隐私保护功能。本文分析了Niu方案的安全性。指出了该方案存在KGC伪造攻击，并分析了产生KGC被动攻击的原因，描述了KGC伪造攻击的过程。随后对Niu方案进行了改造，给出了新的方案。证明了本文方案满足不可伪造性。本文方案具有较高安全性，未来会进一步地研究降低运算效率。
-
表 2 签密方案效率比较
方案 签密 解签密 安全性 Niu方案 (2n+5)Tpm+Tp+2TH+Th +(n+3)Tadd≥41.849 nTpm+5Tp+3TH+Th +(n+1)Tadd≥42.143 低 本文方案 (2n+5)Tpm+Tp+3TH+Th +(n+3)Tadd≥48.569 nTpm+5Tp+3TH+Th +(n+1)Tadd≥42.143 高 
下载: 导出CSV
-
ZHENG Yuliang. Digital signcryption or how to achieve cost(signature & encryption)<<cost(signature)+cost (encryption)[C]. Proceedings of the Cryptology-CRYPTO, 1997: 165–179. 杜庆灵. 基于身份的动态群通信签密方案[J]. 信息网络安全, 2017(9): 42–44 doi: 10.3969/j.issn.1671-1122.2017.09.010DU Qingling. Identity based dynamic group communication signcryption scheme[J]. Netinfo Security, 2017(9): 42–44 doi: 10.3969/j.issn.1671-1122.2017.09.010 刘明烨, 韩益亮, 杨晓元. 基于准循环低密度奇偶校验码的签密方案研究[J]. 信息网络安全, 2016(11): 66–72 doi: 10.3969/j.issn.1671-1122.2016.11.011LIU Mingye, HAN Yiliang, and YANG Xiaoyuan. Research of signcyption based on QC-LDC[J]. Netinfo Security, 2016(11): 66–72 doi: 10.3969/j.issn.1671-1122.2016.11.011 SELVI S, VIVEK S, SHRIRAM J, et al. Identity based aggregate signcryption schemes[C]. International Conference on Cryptology in India, New Delhi, India, 2009: 378–397. BABAMIR F S and EALAMI Z. Data security in unattended wireless sensor networks through aggregate signcryption[J].KSII Transactions on Internet&Information Systems, 2012, 6(11): 2940–2955 doi: 10.3837/tiis.2012.10.011 HAN Yiliang, LU Wanyi, and ZHANG Jian. Identity based aggregate signcryption scheme[J]. Lecture Notes in Electrical Engineering, 2014, 273(7): 383–389 doi: 10.1007/978-3-642-40640-9-48 EALAMI Z snd NASROLLAH P. Certificateless aggregate signcryption: Security model and a concrete construction secure in the random oracle model[J]. Journal of King Saud University Computer and Information Sciences, 2014, 26(3): 276–286 doi: 10.1016/j.jksuci.2014.03.006 SUN Yinxia and LI Hui. Efficient signcryption between TPKC and IDPKC and its multi-receiver construction[J]. Science China Information Sciences, 2010, 53(3): 557–566 doi: 10.1007/s11432-010-0061-5 HUANG Qiong, WONG D S, and YANG Guomin. Heterogeneous signcryption with key privacy[J]. The Computer Journal, 2011, 54(4): 525–536 doi: 10.1093/comjnl/bxq095 LI Fagen, ZHANG Hui, and TAKAGI T. Efficient signcryption for heterogeneous systems[J]. IEEE Systems Journal, 2013, 7(3): 420–429 doi: 10.1109/JSYST.2012.2221897 牛淑芬, 牛灵, 王彩芬, 等. 一种可证安全的异构聚合签密方案[J]. 电子与信息学报, 2017, 39(5): 1213–1218 doi: 10.11999/JEIT160829NIU Shufen, NIU Ling, WANG Caifen, et al. A provable aggregate signcryption for heterogeneous systems[J]. Journal of Electronics&Information Technology, 2017, 39(5): 1213–1218 doi: 10.11999/JEIT160829 王彩芬, 李亚红, 张玉磊, 等. 标准模型下高效的异构签密方案[J]. 电子与信息学报, 2017, 39(4): 881–886 doi: 10.11999/JEIT160662WANG Caifen, LI Yahong, ZHANG Yulei, et al. Efficient heterogeneous signcryption scheme in the standard model[J]. Journal of Electronics&Information Technology, 2017, 39(4): 881–886 doi: 10.11999/JEIT160662 张玉磊, 王欢, 刘文静, 等 . 异构双向签密方案的安全性分析和改进[J]. 电子与信息学报, 2017, 39(12): 3045–3050 doi: 10.11999/JEIT170203ZHANG Yulei, WANG Huan, LIU Wenjing, et al. Security analysis and improvement of mutual signcryption schemes under heterogeneous systems[J]. Journal of Electronics&Information Technology, 2017, 39(12): 3045–3050 doi: 10.11999/JEIT170203 张玉磊, 张灵刚, 王彩芬, 等. 可证安全的IDPKC-to-CLPKC异构签密方案[J]. 电子与信息学报, 2017, 39(9): 2127–2133 doi: 10.11999/JEIT170062ZHANG Yulei, ZHANG Linggang, WANG Caifen, et al. Provable secure IDPKC-to-CLPKC heterogeneous signcryption scheme[J]. Journal of Electronics&Information Technology, 2017, 39(9): 2127–2133 doi: 10.11999/JEIT170062 刘景伟, 张俐欢, 孙蓉. 异构系统下的双向签密方案[J]. 电子与信息学报, 2016, 38(11): 2948–2953 doi: 10.11999/JEIT160056LIU Jingwei, ZHANG Lihuan, and SUN Rong. Mutual signcryption schemes under heterogeneous systems[J]. Journal of Electronics&Information Technology, 2016, 38(11): 2948–2953 doi: 10.11999/JEIT160056 NIU Shufen, LI Zhenbin, and WANG Caifen. Privacy-Preserving Multi-party Aggregate Signcryption for Heterogeneous Systems[C]. International Conference on Cloud Computing and Security, Nanjing, China, 2017: 216–229. 期刊类型引用(2)
1. 冀会芳，刘连东，黄严严，程庆丰. 一类PKI-IBC的双向匿名异构签密方案. 电信科学. 2020(04): 91-98 . 
百度学术2. 张玉磊，刘祥震，郎晓丽，张永洁，王彩芬. 一种异构混合群组签密方案的安全性分析与改进. 电子与信息学报. 2019(11): 2708-2714 . 
本站查看其他类型引用(4)
-
下载:
百度学术
计量
- 文章访问数: 2083
- HTML全文浏览量: 646
- PDF下载量: 47
- 被引次数: 6
下载:
