可证明安全的基于身份的聚合签密方案

可证明安全的基于身份的聚合签密方案摘要：为了更有效地保护网络信息的安全，需要同时实现消息的机密性和认证性。

签密方案能够在一个逻辑步骤内同时实现对消息的签名和加密。

为了提高当前已存在的签密方案的安全性和算法效率，结合聚合签名的思想，提出一种基于身份的聚合签密方案。

在随机语言模型中证明了该方案具有适应性选择密文攻击下的不可区分性，在适应性选择消息攻击下是存在性不可伪造的，其安全性归约为计算椭圆曲线离散对数问题和双线性DiffieHellman问题的困难性。

与目前效率较高、密文长度较短的几个方案进行比较的结果表明，新方案的签密和解签密过程分别仅需1次双线性对运算，具有计算成本低、密文长度短的优良特性。

关键词：双线性对；签密；聚合签密；随机预言模型；可证明安全中图分类号：TP309.7 文献标志码：AAbstract：In order to more effectively protect the security of network information，confidentiality and authentication of message need to be realized at the same time. Signcryption performs signature and encryption simultaneously in one logical step. In order to improve safety and efficiency of existing signcryption，an identitybased aggregate signcryption schemewas proposed by combining the ideas of aggregate signature. Under the random oracle model，the scheme was proved to be indistinguishable against adaptive chosen ciphertext attacks，and existentially unforgeable against adaptive chosen messages attacks. The security could be reduced to the elliptic curve discrete logarithm problem and computational bilinear paring DiffeHellman problem. Compared with serveral schemes with high efficiency and short key length，the analysis of results shows that the new schemes signcryption and unsigncryption has only one pairing operation，thus has the excellent features with low computational cost and short length of ciphertext.Key words：blinear pairing；signcryption；aggregate signcryption；random oracle model；provable security0 引言加密和数字签名是公钥密码体制中分别保证消息的机密性和认证功能的最基本的密码构件。

在诸多实际应用中，为了同时达到认证和机密性要求，通常的做法是先签名后加密。

1997年，Zheng[1]首次提出了一个新的密码原语――签密（Signcryption）。

所谓签密就是在单一逻辑步骤中同时实现数字签名和公钥加密所具有的全部功能，而且它所需要的计算和通信代价应该远小于传统的先签名后加密所需要的代价。

早期的签密方案仅偏向于直观的安全性分析，后来签密得到较深入的研究[2-4]。

An等[2]和Baek等[3]独立地提出了签密的形式化定义，并给出了详细的安全性考虑和具体的安全概念。

MaloneLee等[4]巧妙地运用陷门置换构造签密方案，并给出了基于大整数分解难题的RSA加密和数字签名组合的签密方案。

MaloneLee[5]首次提出基于身份的签密（Identity Based SignCryption，IBSC）方案，但Libert等[6]指出MaloneLee方案并不具有语义安全性，因为该签密方案中对消息的签名可以直接从签密密文“看到”；而且Libert等在文献[6]中提出了三种不同的基于身份签密方案，它们要么满足公开可验证性，要么满足前向安全性。

后来，许多安全高效的IBSC方案被相继提出[7-10]。

其中，Boyen[8]设计出了一个满足许多安全性要求的基于身份的签密方案，诸如机密性、不可否认性等；文献[9-10]对Boyen的方案在效率上进行了提高；据笔者了解，Barreto等[10]提出的改进方案是目前效率最高的基于身份签密方案。

另外，Yu等[11]提出了第一个在标准模型下可证明安全的基于身份的签名方案，也就是说，在判定性双线性对DiffieHellman困难问题假设下证明该方案具有语义安全性；但是Wang等[12]指出该方案并不能完全满足所声称的语义安全性。

聚合签名[13]是近年被关注的一个热点，是一种有广阔前景的关键签名密码部件，对许多应用都有良好的支撑作用。

将聚合签名和签密结合起来形成的聚合签密[14-15]在网络选举和银行系统等方面有着重要的应用。

从提高算法的效率和方案的安全性角度，本文提出了一种可证明安全的基于身份的聚合签密方案。

通过表1可以看出，新方案IBASC的签密过程和解密过程中的计算量比已有文献的计算量要小。

表2则反映了新方案IBASC的密文长度比目前密文长度较短的两种方案的密文还要短一些。

以上的性能分析，表明了新方案在计算效率和密文长度方面具有明显的优势。

5 结语在分布式系统中经常需要处理多个不同用户对不同信息的签名。

聚合签名可有效地用于分级公钥基础设施（Public Key Infrastructure，PKI）中的证书链、无线传感网安全路由等领域。

本文将聚合签名的原理和签密方案相结合，提出了一种在随机语言模型下可证明安全的聚合签密方案。

本文基于密码学困难问题假设证明了该方案满足机密性和签名的不可伪造性，然后从计算代价和密文长度方面与目前效率较高的几种方案作了比较，结果表明本文方案的计算成本更低，并且密文长度更短。

因此，本文方案适合于计算代价有限、存储空间小的移动装置如PDA、智能卡以及手机等，也适合于无线传感器网络的环境。

参考文献：[1]ZHENG Y. Digital signcryption or how to achieve cost （signature & encryption）cost （signature）+ cost（encryption）[C] // CRYPTO 97：Proceedings of the 17th Annual International Cryptology Conference，LNCS 1294. Berlin：SpringerVerlag，1997：165-179.[2]AN J H，DODIS Y，RABIN T. On the security of joint signature and encryption [C]// EUROCRYPT 2002：Proceedings of the International Conference on the Theory and Applications of Cryptographic Techniques，LNCS 2332. Berlin：SpringerVerlag，2002：83-107.[3]BAEK J，STEINFELD R，ZHENG Y. Formal proofs for the security of signcryption [C]// PKC 2002：Proceedings of the 5th International Workshop on Practice and Theory in Public Key Cryptosystems，LNCS 2274. Berlin：SpringerVerlag，2002：80-98.Journal of Cryptology，2007，20（2）：203-235.http：///yzheng/publications/files/BaekSteifeldZhe ng-fsps-joc-bsz-261206.pdf[4]MALONELEE J，MAO W. Two birds one stone：signcryption using RSA [C]// CTRSA 2003：Proceedings of the 2003 Cryptographers Track at the RSA Conference，LNCS 2612. Berlin：SpringerVerlag，2003：211-226.[5]MALONELEE J. Identitybased signcryption，Report2002/098 [R/OL]. （20020719）[20140602]. http：///2002/098.[6]LIBERT B，QUISQUATER JJ. A new identity based signcryption schemes from pairings [C]// ITW2003：Proceedings of the 2003 IEEE Information Theory Workshop. Piscataway：IEEE，2003：155-158.http：///2003/023.pdf按作者页码信息应该是这个页面的文章：http：///xpl/login.jsp？tp=&arnumber=1216718&url=http%3A%2F%2Fieeexplore.ieee .org%2Fxpls%2Fabs_all.jsp%3Farnumber%3D1216718[7]CHOW S S M，YIU S M，HUI L C K，et al. Efficient forward and provably secure IDbased signcryption scheme with public verifiability and public ciphertext authenticity [M]// ICISC 2003：Proceedings of the 6th International Conference on Information Security and Cryptology，LNCS 2971. Berlin：SpringerVerlag，2004：352-369.[8]BOYEN X. Multipurpose identitybased signcryption[C]// CRYPTO 2003：Proceedings of the 23rd Annual International Cryptology Conference，LNCS 2729. Berlin：SpringerVerlag，2003：383-399. [9]CHEN L，MALONELEE J. Improved identitybased signcryption [C]//PKC 2005：Proceedings of the 8th International Workshop on Theory and Practice in Public Key Cryptography，LNCS 3386. Berlin：SpringerVerlag，2005：362-379.[10]BARRETO P，LIBERT B，MCCULLAGH N，et al. Efficient and provablysecure identitybased signatures and signcryption from bilinear maps [C]// ASIACRYPT 2005：Proceedings of the 11th International Conference on the Theory and Application of Cryptology and Information Security，LNCS 3788. Berlin：SpringerVerlag，2005：515-532.[11]YU Y，YANG B，SUN Y，et al. Identity based signcryption scheme without random oracles [J]. Computer Standards & Interfaces，2009，31（1）：56-62.[12]WANG X，QIAN H. Attacks against two identitybased signcryption schemes [C]// Proceedings of the Second International Conference on Networks Security Wireless Communications and Trusted Computing. Piscataway：IEEE，2010，1：24-27.[13]BONEH D，GENTRY C，LYNN B，et al. Aggregate and verifiably encrypted signatures from bilinear maps [C]// EUROCRPYT 2003：Proceedings of the 2003 International Conference on the Theory and Applications of Cryptographic Techniques，LNCS 2656. Berlin：SpringerVerlag，2003：416-432.[14]REN X，QI Z，GENG Y. Provably secure aggregate signcryption scheme [J]. ETRI Journal，2012，34（3）：421-428.[15]SELVI S S D，VIVEK S S，SHRIRAM J，et al. Security analysis of aggregate signature and batch verification signature schemes，Report 2009/290 [R/OL]. [20140624]. http：///2009/290.。