Java密码学原型算法实现双线性对

Java 密码学原型算法实现——双线性对1、背景介绍如何使用jPBC 库进行双线性群初始化，包括：(1)质数阶双线性群（Prime-Order Bilinear Groups ）；(2)合数阶双线性群（Composite-Order Bilinear Groups ）；如何使用jPBC 库执行双线性群运算，包括：(1) 指数群Z 的加法和乘法；(2) 双线性群G 的乘法和指数幂；(3) 目标群GT 的乘法和指数幂(4) 双线性群G 映射到目标群GT 的对（Pairing ）运算；(5) 使用jPBC 库的一些注意事项。

jPBC 2.0.0实际上提供了DPVS 的实现，也是正确的。

有兴趣的朋友们可以自己研究一下，我在这里就不详述了。

如何使用jPBC 2.0.0的多线性对（Multilinear Maps ）函数库；这方面我自己一直没找时间测试一下多线性对函数库，实际上近期我也不太想测试这个库，主要有两方面的原因。

现在所构造出来的多线性对并非密码学中的理想多线性对（Ideal Multilinear Maps ），而是候选多线性对（Candidate Multilinear Maps ），后者在使用上有很多的限制。

jPBC 2.0.0实现的多线性对是[CLT-14]的方案，但这个方案已经被证明是不安全的了。

2、双线性群简介这里我直接引用自己的二篇水文来介绍（都是凑数用的…）选择密文安全的身份及广播加密方案，密码学报，Experimental performance comparisons between (H) IBE schemes over composite-order and prime-order bilinear groups ，IBCAST 2014。

3、质数阶双线性群（Prime-Order Bilinear Groups ） 质数双线性群可以由五元组()12,,,,T p G G G e 来描述。

五元组中p 是一个与安全常数λ相关的大质数，12,,T G G G 是阶为p 的乘法循环群，e 为双线性映射12:T e G G G ⨯→，它满足以下3个条件：(1) 双线性（Bilinear ）：对任意的12,,,p g G h G a b Z ∈∈∈，有()(),,aba b e g h e g h =； (2)非退化性（Non-degeneracy ）至少存在元素1122,g G g G ∈∈，满足()12,1e g g ≠；(3)可计算性（Efficiency ）：对于任意的12,u G v G ∈∈，存在一个与给定安全常数λ相关的多项式时间算法，可以高效地计算(),e u v ；现在的密码学相关论文中，习惯将12,G G 设置为乘法循环群。

但是，基于椭圆曲线的双线性群构造中，12,G G 是加法群。

所以在大约2005年以前的论文中，双线性群一般写成加法群形式。

jPBC 中将12,G G 表示称为了乘法循环群，因此在实现写成加法群形式的方案时，要注意将加法群改成乘法群的写法再进行实现。

如何修改呢？很简单，把加法群中的加法运算写成乘法运算、把加法群中的乘法运算写成幂指数运算即可。

4、合数阶双线性群（Composite-Order Bilinear Groups ）合数阶双线性群和质数阶双线性群很类似，区别是12,,T G G G 的阶数是合数N ，其中N 是一些大质数的乘积，如12...n N p p p =。

同样，e 为双线性映射12:T e G G G ⨯→，它满足双线性性、非退化性以及可计算性。

与质数阶双线性群不同，合数阶双线性群中，N G 有阶数分别为12,,...,n p p p 的子群1,...,n p p G G 。

这些子群进一步满足正交特性。

对于所有的i i p h G ∈和j j p h G ∈，如果i j ≠，那么(),1i j e h h =，简单地说就是，子群之间进行双线性运算的结果必为1。

5、一些说明首先，由于双线性群现在的构造是基于椭圆曲线的，而椭圆曲线上的元素是由坐标(),x y 表示的，所以如果我们将12,G G 的结果输出到，Java 的控制台，我们得到的是一个坐标。

不过，T G 是一个普通的Z 群，所以其元素的表示是一个数。

其次，在密码学中，如果12G G =，我们称这个双线性群是对称双线性群（Symmetric Bilinear Group ），否则称之为非对称双线性群（Asymmetric Bilinear Group ）。

是否为对称双线性群由选取的椭圆曲线种类决定。

一般认为，非对称双线性群要比对称双线性群更安全。

特别地，现在已经证明一些特定的对称双线性群是不安全的了。

现在jPBC 可以使用的曲线为如下几类：Type A ， Type A1， Type D ， Type E ， Type F ， Type G现在密码学实现基本只使用Type A 和Type A1的。

前者为对称质数阶双线性群，后者为合数阶对称双线性群。

本博客也只在这两类曲线上实验。

其他类曲线的实现类似。

由于是对称双线性群，本文中12,G G 统一写为G 。

6、双线性群初始化在jPBC中，双线性群的使用都是通过叫做Pairing的对象来实现的。

双线性群的初始化在jPBC中就是对Pairing对象的初始化。

双线性群有两种初始化的方法。

第一种是通过代码动态产生一个双线性群，第二种是从文件中读取参数而产生群。

7、通过代码动态产生动态产生的方法非常简单，大概有如下步骤：指定椭圆曲线的种类、产生椭圆曲线参数、初始化Pairing。

Type A曲线需要两个参数：rBit是Zp中阶数p的比特长度；qBit 是G中阶数的比特长度。

代码为：<code class="language-java hljs ">TypeACurveGenerator pg = new TypeACurveGenerator(rBit, qBit);PairingParameters typeAParams = pg.generate();Pairing pairing = PairingFactory.getPairing(typeAParams);</code> Type A1曲线需要二个参数：numPrime是阶数N中有几个质数因子；qBit是每个质数因子的比特长度。

注意，Type A1涉及到的阶数很大，其参数产生的时间也比较长。

代码为：<code class="language-java hljs ">TypeA1CurveGenerator pg = new TypeA1CurveGenerator(numPrime, qBit);PairingParameters typeA1Params = pg.generate();Pairing pairing = PairingFactory.getPairing(typeA1Params);</code> 8、通过文件读取产生我们也可以选择事先产生好参数，存放在文件中。

以后再初始化的时候，直接从文件中读取参数，就可以非常快速的初始化双线性群。

PairingParameters支持toString()函数。

实际上，我们可以直接将PairingParametersd的toString()存放在文件中。

读取的时候，通过读取文件就可以直接初始化双线性群了。

Type A曲线从文件中读取参数初始化的代码为：<code class="language-java hljs ">TypeACurveGenerator pg = new TypeACurveGenerator(rBit, qBit); PairingParameters typeAParams = pg.generate();//将参数写入文件a.properties中，我用了Princeton大学封装的文件输出库Out out = new Out("a.properties");out.println(typeAParams);//从文件a.properties中读取参数初始化双线性群Pairing pairing = PairingFactory.getPairing("a.properties"); </code>Type A1曲线从文件中读取参数初始化的代码为：<code class="language-java hljs ">TypeA1CurveGenerator pg = new TypeA1CurveGenerator(numPrimes, qBit); PairingParameters typeA1Params = pg.generate();//将参数写入文件a1.properties中，同样使用了Princeton大学封装的文件输出库Out out = new Out("a1.properties");out.println(typeA1Params);//从文件a1.properties中读取参数初始化双线性群Pairing pairing = PairingFactory.getPairing("a1.properties");</code>9、产生双线性群中的随机数Type A中产生随机数的方法很简单，代码为：<code class="language-java hljs ">//随机产生一个Z_p群的元素Element Z_p = pairing.getZr().newRandomElement().getImmutable();//随机产生一个G_1群的元素Element G_1 = pairing.getG1().newRandomElement().getImmutable();//随机产生一个G_2群的元素Element G_2 = pairing.getG2().newRandomElement().getImmutable();//随机产生一个G_T群的元素Element G_T = pairing.getGT().newRandomElement().getImmutable();</code> Type A1中产生随机数的方法稍微有点麻烦。

对于ZN和GT方法和Type A一样。

代码为：<code class="language-java hljs ">//随机产生一个Z_N群的元素Element Z_N = pairing.getZr().newRandomElement().getImmutable();//随机产生一个G_T群的元素Element G_T =pairing.getGT().newRandomElement().getImmutable();</code>但是对于G就不同了。