一个可公开验证和前向安全的签密方案

1引言1997年文献[1]提出了签密的概念，并给出了一个具体的签密方案。

由于签密比先签名再加密的常规消息传递的代价要小得多，所以非常适合大量数据的认证安全传递。

又因为签密的节省代价与方案中采用的安全参数的长度成正比，当取较大的安全参数时，签密方案的安全性能更佳[2]。

基于身份的密码体制最初是由文献[3]提出，但直到2001年才由文献[4]利用Weil Pairing和Tate Pairing给出了一个很好的实现方案。

2002年文献[5]定义了基于身份的签密方案的安全模型，利用双线性对构造了第一个基于身份的签密方案，该方案提供了消息的保密性和签名的不可伪造性。

文献[6]提出了3个新方案，然而在这3个方案中，没有一个方案能同时满足公开验证性和前向安全性。

文献[7]提供了公开验证性和前向安全性，然而方案同时也有一些不好的特性，如密文的无关联性和匿名性。

文献[8]设计了一个能同时满足公开验证性和前向安全性的签密方案，然而他们的方案需要两个私钥：一个用于签密，一个用于解签密。

该文利用双线性对提出了一个新的基于身份的签密方案，该方案可以在基于身份的密码体制中运行，能够将数字签名和加密有效地结合起来，可以使接受者在不作任何转换的情况下由任意第三方来验证密文消息的来源并可以独立进行签名验证和消息恢复，具有很好的应用前景。

此外，方案效率也非常高。

2基于身份的签密方案的形式化定义采用Malone-Lee定义的基于身份的签密方案的安全概念。

这些概念是语义安全的，即具有在适应性选择密文攻击下不可区分性和在适应性选择消息攻击下不可伪造性。

2.1基于身份的签密方案的组成一个基于身份的签密方案由以下几个算法组成：（1）系统初始化算法（Setup）：此算法由PKG完成，PKG输入安全参数k。

输出系统主密钥s和系统参数params，PKG保密s，公开系统参数params。

（2）密钥生成算法（Extract）：用户U将其身份信息ID U提交给PKG，PKG计算用户公钥Q U=H0（ID U）和私钥S U=sQ U并通过安全方式发送给这个用户。

（3）签密算法（Signcrypt）：输入系统参数params，明文消息m，接收者的身份ID B和发送者的私钥S A，输出秘文σ=signcrypt（m，S A，ID B）。

（4）解签密算法（Unsigncrypt）：输入秘文σ，系统参数params，接收者的私钥S B和发送者的身份ID A，输出明文消息m或“⊥”表示解签密失败。

这些算法必须满足基于身份的签密方案的一致性要求，即如果σ=signcrypt（m，S A，ID B），那么m=Unsigncrypt（σ，S B，ID A）。

一个可公开验证和前向安全的签密方案杨靖，余昭平YANG Jing，YU Zhao-ping解放军信息工程大学电子技术学院，郑州450004Institute of Electronic Technology，PLA Information Engineering University，Zhengzhou450004，ChinaE-mail：yangjing109@YANG Jing，YU Zhao-ping.Signcryption scheme with public verifiability and forward puter Engineering and Applications，2010，46（13）：108-111.Abstract：This paper proposes an identity based signcryption scheme with both public verifiability and forward security using bi－linear pairings.The scheme can separate the signature verification from message recovery.It can be applied in mobile E—business scenario，such as filtration of bad instant messages of mobile equipment．The proposed scheme is proved to be secure assuming the bilinear Diffie-Hellman problem is hard.This scheme is also very efficient regarding the computation costs and the communi－cation overheads after analyzing and being compared with other schemes．Key words：signcryption；ID-based；bilinear pairing；random oracle model摘要：利用双线性对提出一个满足公开验证性和前向安全的基于身份的签密方案，并且能够将签名的验证和消息的恢复分别独立进行，可以应用于为移动设备过滤垃圾信息等移动电子商务场合。

在BDH问题是困难的假设下用随机预言模型给出了安全性证明，经过分析比较，该方案具有很高的安全性和效率。

关键词：签密；基于身份；双线性对；随机预言模型DOI：10.3778/j.issn.1002-8331.2010.13.032文章编号：1002－8331（2010）13-0108-04文献标识码：A中图分类号：TN918基金项目：现代通信国家重点实验室基金（No.9140C1102060702）。

作者简介：杨靖（1981-），女，硕士生，主研方向：协议分析、密码理论；余昭平（1962-），男，教授，硕士导师，主研方向：密码理论、信息安全。

收稿日期：2008-10-31修回日期：2009-01-052.2基于身份的签密的安全概念Malone-Lee定义了基于身份的签密方案的安全概念，这些概念是在适应性选择密文攻击下具有不可区分性和在适应性选择消息攻击下能抗存在性伪造。

下面描述它们的定义：定义2.1（保密性）如果没有任何多项式有界的敌手以一个不可忽略的优势赢得以下游戏，则称一个基于身份的签密方案在适应性选择密文攻击下具有不可区分性（IND-IBSC-CCA2）。

（1）挑战者C输入安全参数k，运行系统建立算法，并将系统参数params发送给敌手A。

（2）在寻找阶段，敌手A执行以下的多项式有界次的下列询问：①Extract询问：A选择一个身份ID U，C计算S U=Extract（ID U），并将结果发送给A。

②Signcrypt询问：A选择两个身份ID i和ID j，一个明文消息m。

C计算密文σ=Signcrypt（m，S i，ID j），并将结果σ发送给A。

③Unsigncrypt询问：A选择两个身份ID i和ID j，一个密文σ。

C首先计算私钥S j=Extract（ID j），然后计算Unsigncrypt（σ，ID i，S j），最后发送结果明文m或符号⊥给A。

（3）A生成两个相同长度的明文m0，m1和希望挑战的两个身份ID A，ID B。

ID B不能是已经执行过密钥提取询问的身份。

C 随机选择u∈{0，1}，计算σ=signcrypt（m u，S A，ID B）并将结果σ发送给A。

（4）在猜测阶段，A像寻找阶段那样执行多项式有界次询问。

但是他不能对ID B执行Extract询问，也不能对密文σ执行Unsigncrypt询问。

（5）最后，A输出一个值u′作为对u的猜测。

如果u′=u，A 赢得游戏。

A的优势定义为Adv（A）=|2P[u′=u]-1|。

定义2.2（不可伪造性）如果没有任何多项式有界的敌手以一个不可忽略的优势赢得以下游戏，则称一个基于身份的签密方案在适应性选择消息攻击下能抗存在性伪造（EUF-IB－SC-CMA）。

（1）挑战者C输入安全参数k，运行Setup算法，并将系统参数params发送给敌手A。

（2）敌手A像定义3.1那样执行多项式有界次询问。

（3）最后，A输出一个新的三元组（σ*，ID A，ID B），且这个三元组不是由Signcrypt预言机产生的，也没有对ID A执行过Ex－tract询问。

如果Unsigncrypt（σ*，ID A，S B）的结果不是符号⊥，则A赢得游戏。

3一个新的签密方案提出一个新的基于身份的签密方案，具体过程如下：系统建立（Setup）：设G1为由P生成的循环加法群，阶为q，G2为具有相同阶q的循环乘法群，e∶G1×G1→G2为一个双线性映射。

定义3个安全的Hash函数H1∶{0，1}*→G1，H2∶{0，1}*×G2→Z q以及H3∶G2→{0，1}n。

PKG随机选择一个主密钥s∈Z*q，计算P pub=sP，选择一个密钥长度为n的安全对称加密算法（E，D）；PKG公开系统参数{G1，G2，k，n，p，e，P，P pub，H1，H2，H3，E，D}，保密主密钥s。

密钥提取（Extract）：给定一个用户U的身份ID U，PKG计算该用户的私钥S U=sQ U并把值安全地发送给U，其中Q U= H1（ID U）为该用户的公钥。

在这里，假设Alice的身份为ID A，公钥为Q A，私钥为S A，Bob的身份为ID B，公钥为Q B，私钥为S B。

签密（Signcrypt）：为了发送一个消息m∈{0，1}*给Bob，Alice 执行以下步骤：（1）随机选取r∈Z*q，计算R=rQ A；（2）计算w=e（S A，Q B）r，k=H3（w），c=E k（m）；（3）计算h=H2（c‖R）和U=（r+h）S A；（4）发送密文σ=（c，U，R）给Bob。

解签密（Unsigncrypt）：当收到密文σ时，Bob执行以下步骤：（1）计算h=H2（c‖R）。

验证等式e（P，U）=e（P pub，R+hQ A）是否成立，如果不成立，认为σ不合法，返回非法标识，算法结束；显然，由双线性对性质可知e（P，U）=e（P，（r+h）Q A）=e（Q A，R+hP pub）；（2）一旦Bob证实了签名（c，U，R）是有效的，那么他可以利用自己的私钥S B。

根据式（2）从签名中恢复明文消息。

计算w=e（R，S B）和k=H3（w），解密得到m=D k（c）。

这是因为：e（R，S B）= e（rQ A，sQ B）=e（S A，Q B）r=w。

由以上方案的构造过程可以看出，方案的密文解密与签名验证可以并行进行，换句话说，两项操作可以分别独立执行。

4安全性分析与性能评价4.1安全性分析（1）保密性定理1在随机预言模型中，若存在一个IND-IBSC-CCA2敌手A能够在t时间内，以ε的优势赢得定义3的游戏（他最多能进行q i次H i询问（i=1，2，3），q s次Signcrypt询问，q u次Un－signcrypt询问），则存在一个区分者C，能够在时间t′<t+（q s+ 3q u）t e内，以ε′>ε/（q1q3）的优势解决BDH问题，其中t e表示一次双线性对运算所需要的时间。