应用单向代理重加密方案的安全组密钥管理

应用单向代理重加密算法的安全组密钥管理引言组密钥管理就是组管理员经由公开渠道在一个动态成员组中维护一个组密钥。

组管理员使用组密钥加密信息并广播出去，使得只有组成员能够使用组密钥解密密文。

每个成员持有组密钥和一些辅助密钥，辅助密钥借助组管理员广播的重置信息更新成员密钥。

一个用户可以加入组得到组密钥和辅助密钥，也可以离开组成为非用户。

为保证组密钥只为当前合法用户所拥有，组密钥必须在成员加入和离开时更新。

当用户加入组得到组密钥时，组密钥必须是新的以防止新成员解密旧的密文，这是后向保密性。

当成员离开时，组密钥也必须更新以防止离开用户解密新的密文，这是前向安全性。

更新组密钥的重置信息和所有成员的辅助密钥都通过公开信道传播，是公开信息。

组密钥管理系统应用广泛。

例如，在付费电视广播系统中，组密钥保存在付费用户的机顶盒中，因此由组密钥加密的广播节目只能由付费用户收看。

设计好的组密钥管理方案很重要，需要考虑的因素包括每个组成员持有的辅助密钥数量，密钥重置信息的规模，等等。

我们不能假设所有成员总是在线并及时更新他们的密钥，因此，如何保证离线用户上线时得到最新的组密钥和辅助密钥是很重要的问题。

这方面的研究不少，在逻辑密钥分层方法中，O N，N是当前组每个组成员持有log N个秘密的辅助密钥，密钥重置信息的规模为(log)成员的数量。

这个方案很难让离线用户上线时得到最新的组密钥。

方案中，重置信息的完整记录存于布告栏，当离线用户上线时，他必须读取全部的密钥更新记录，并计算所有的过期组密钥和辅助密钥，一个接一个的，直到最新的组密钥和辅助密钥产生。

如果密钥更新频率很高，这将不是一个很好的方法。

A.本文工作本文提出了一个基于meta代理重加密算法的组密钥管理方案，构造的具体方案是第一个基于RSA的PRE的组密钥管理方案，具有单向性和多跳性。

在本文的组密钥管理方案中，每个组成员仅持有一个秘密的辅助密钥和O N。

本方案有三log N个公开的辅助密钥。

每个组密钥更新所需重置信息的规模为(log)O N。

第二，不个主要特征：第一，不管组密钥更新多少次，密钥更新记录的规模为常数()O N。

这就为管错过了多少次组密钥更新，从密钥更新记录计算最新组密钥的时间是(log)成员频繁变动的组密钥更新提供了一个实用的解决方法。

第三，方案可以抵抗其他成员的合谋攻击。

B.相关工作组密钥问题已有大量研究。

LKH方案以效率著称。

LKH方案基于密钥树，使用对称加密算法加密新密钥。

每个成员持有log N个秘密的辅助密钥，每个成员加入或离开时的重置信息规模为2log N。

对二叉树的一个改进是单向函数树（OFT），父节点密钥由他的子节点密钥产生。

OFT把重置信息从2log N减少为log N。

【10】提出了高效广群密钥方案（ELK ），进一步把重置信息从log N 减少为0。

但是，当成员加入时，管理员必须重新计算所有的辅助密钥。

【11】提出框架Iolus ，把大群分成小的子群。

每个子群都有子群管理员持有独立的子群密钥。

每个成员的加入和离开只是影响子群成员。

但是，群管理员的加密数据必须由子群管理员解密再加密，然后广播给子群成员。

【12】结合Iolus 框架和基于EIGamal 的代理加密方案，提出了SIM-KM 方案。

方案中，借助基于EIGamal 的代理加密方案，加密数据经由子群管理员直接传送，这适合大群的扩展管理。

随后有【6】，【7】，【8】，【9】，【12】，都使用代理加密，不暴露传输密钥。

因此，持有传输密钥的可信代理是必要的。

【15】考虑成批地重置密钥，以减少高频率的加入和离开导致的开销。

在批处理密钥中，管理员收集足够数量的加入和离开成员，然后再做重置操作。

这样许多重置信息就丢弃了。

代理加密和重加密方面也有不少工作，如。

大都基于乘法群或椭圆曲线群上的离散对数问题。

【16】提出了基于EIGamal 的代理重加密方案。

重加密密钥必须保密，因为他们显示了秘密信息。

单向、单跳重加密方案见。

【18】给出了单向、多跳代理重加密方案。

密文的规模随重加密操作成比例增长。

设计单向、多跳的代理重加密方案仍是一个公开问题。

二． THE LKH METHOD组成员辅助密钥的分配多采用密钥树。

LKH 方案就是一个使用对称加密的基于密钥树的组密钥管理方案，根节点赋以组密钥，其他节点赋以辅助密钥，每个组成员是一个叶子节点。

图1是一个度为2，有8个成员18,u u 的密钥树。

{}K M 表示密钥K 加密M 的密文。

每个组成员经从根节点到他的叶子节点的路径分配密钥。

例如，组成员8u 被配以组密钥GK ，辅助密钥14128,K K K 和。

假设8u 要离开，组密钥管理员更新组密钥GK 至'GK ，14k 和12k 到'14k 和'12k ，广播重置信息{}7'12k k ，{}11'14k k ，{}'12'14k k ，{}13'k GK 和{}'14'k GK 。

组成员127,,,u u u 可以随之更新他们的组密钥和辅助密钥。

假设新成员'8u 加入组，配以叶子节点8v ，组管理员通过安全信道单独传送一个新的辅助密钥''8k 给'8u ，更新组密钥'GK ，辅助密钥'14k ，'12k 到''GK ，''14k ，''12k ，广播重置信息{}'''GK GK ，{}'14''14k k ，{}'12''12k k ，{}''8''k GK {}''8''14k k {}''8''12k k 。

处理离线成员。

组成员需要持有最新的组密钥和辅助密钥以保证从接下来的重置信息中获得最新密钥。

但实际情况是，并不是所有的组成员都总是在线并及时更新他们的密钥。

例如，一个成员设备可能关机或者因为电池原因断开了网络。

解决离线成员的直接方法是把所有的重置信息记录公布在公告栏上。

当离线用户再次上线时，他可以读取错过的重置信息，一个接一个地计算过时密钥，直到最新密钥产生。

考虑图2的例子，假设8u 在时刻1t 离线，在他离线期间，7u 在时刻2t 离开，5u 在时刻3t 离开，9u 在时刻4t 加入，10u 在时刻5t 加入。

为了让8u 得到最新的组密钥和辅助密钥，公告栏必须保存重置信息的记录235(),(),,()C t C t C t ，其中()i C t 是时刻i t 的密钥重置信息。

令()Key i 为时刻i t 的密钥（组密钥或辅助密钥）。

当8u 在时刻6t （65t t >）上线时，他必须从2()C t 计算()122k ，()142k 和(2)GK ，从3()C t 计算()143k 和(3)GK ，从4()C t 计算(4)GK 和()144k ，从5()C t 计算(5)GK ，()145k 和()125k 。

可以看出布告栏的存储空间和组成员的计算时间和密钥更新的频率成比例增长。

三、构架我们的GKM 采用PRE 方案，PRE 需要多跳加密，单向性和公开重加密密钥。

通过公开重加密密钥，不仅是代理，每个人都可以作密文再加密操作。

A.代理重加密方案PRE 允许代理把Alice 密钥A ek 加密的密文通过从Alice 到Bob 的再加密密钥A B rk →再加密，使之成为Bob 密钥B ek 加密的密文，这中间不暴露明文。

具体方案如下：SETUP (1)sp λ→输入安全参数λ，输出系统参数的集合sp 。

KEYGEN ()(),sp ek dk →输入系统参数sp ，输出密钥对(),ek dk ，ek 是加密密钥，dk 是解密密钥。

ENC (),ek m c →输入加密密钥ek 和明文m ，输出密文c 。

DEC (),dk c m →输入解密密钥dk 和密文c ，输出明文m 。

REKEYGEN (),,,,i i j j i j sp ek dk ek dk rk →→输入系统参数,,,,i i j j sp ek dk ek dk ，输出再加密密钥i j rk →，用于把i ek 下的密文转化为j ek 下的密文。

REENC (,)i j i j rk c c →→输入再加密密钥i j rk →和密文i c ，输出密文j c 。

注意到在REKEYGEN ，,,,i i j j ek dk ek dk 并不都是必需的，只需要,,i i j ek dk ek 就可以计算i j rk →。

算法需要满足性质：1） 对KEYGEN ()sp 产生的每个密钥对(),ek dk 和明文m ，(,(,))DEC dk ENC ek m m =2）对REKEYGEN (),,,,i i j j sp ek dk ek dk 产生的再加密密钥i j rk →和明文m ， (,(,(,)))j i j i DEC dk REENC rk ENC ek m m →=在PRE 方案中，如果一个密文在一个序列中可以多次再加密，就称为多跳的，否则是单跳的。

如果i j rk →和j i rk →可以相互导出，就称为双向的，否则是单向的。

下面是一个基于EIGamal 加密方案的多跳，双向PRE 。

在EIGamal 加密方案中，加密密钥x ek g =，解密密钥是x ，这里g 是素数q 阶群G 的生成元，x 从*q Z 中随机选取。

加密计算：,,()r x r c g m g αβ==，解密计算：x m βα=，r 是从*q Z 中随机选取。

假设Alice 的密钥对是(),A x A g x ，Bob 的密钥对是(),B x B g x 。

从Alice 到Bob 的再加密密钥A B rk →是()mod A B x x q -。

再加密操作：()(,),A B rk B A B A A A A c REENC rk c αβα→→==，这里,A A A c αβ=。

因为()mod B A A B rk rk q →→=-，PRE 是双向的。

B 、 基于多跳、单向PRE 的GKM我们的GKM 使用密钥树。

H 是公开的单向Hash 函数，比如SHA-2。

1） 密钥分配密钥树的每个节点v 都有一个密钥对(,)v v ek dk ，每条有向边(),v w 有一个再加密密钥v w rk →，节点v 是节点w 的父节点。

再加密密钥是公开的辅助密钥。

图3是一个度为2，有8个成员的密钥树的密钥分配。

根节点标号0，叶子节点标号1到8，中间节点标号9，10，11，12，13，14。