适于车载网安全通信的聚合签密算法

适于车载网安全通信的聚合签密算法杜红珍【摘要】As an efficient technology providing confidentiality and authentication for many users,aggregate signcryption can effectively solve the user privacy security issues in vehicular ad hoc network(VANET). This paper proposes an efficient ID-based aggregate signcryption based on vehicular networks and proves the scheme ’s confidentiality and unforgeability under the Computational Bilinear Diffie-Hellman assumption and Computational Diffie-Hellman assumption. And at the same time,the proposed scheme satisfies public verifiability,non-repudiation and forward security. Lastly,the author analyzes the scheme’s efficiency and points out it can achieve high security with lower computation cost and communication overhead and is suitable for the resource-constrained wireless networks,such as VANET and Internet of Things.%聚合签密作为一种可以同时为多个用户提供保密与认证的高效密码技术，能有效解决车载网中用户的隐私安全问题。

基于车载网提出了一个高效的基于身份的聚合签密方案，在Computational Bilinear Diffie-Hellman问题和Computational Diffie-Hellman困难假设下证明了方案的机密性和不可伪造性，同时方案满足可公开验证性、不可否认性和前向安全性。

最后分析了方案的执行效率，指出该方案能以更低的计算与通信代价实现较高的安全性，很适合用于车载网、物联网等资源受限的无线网络环境。

【期刊名称】《河南科学》【年(卷),期】2016(034)008【总页数】6页(P1226-1231)【关键词】车载网;签密;聚合签密;双线性对【作者】杜红珍【作者单位】宝鸡文理学院数学与信息科学学院，陕西宝鸡 721013【正文语种】中文【中图分类】TP309随着道路车辆数量的急增，道路交通安全问题日趋严重.为了解决此问题，人们开始研究一种驾驶辅助系统，车载自组织网络（Vehicular Ad hoc Network，VANET）在此基础上应运而生，VANET通过车与车、车与路边单元的通信构成一个无线通信网络，可以实现行驶安全预警、协助驾驶、分布式交通信息发布、基于通信的纵向车辆控制、Internet接入等多种服务，在未来智能交通中起着非常重要的作用.但是由于无线网络的开放性和自身的脆弱性，VANET中的安全问题，比如窃听、篡改、跟踪和用户的隐私泄露等问题严重阻碍了其发展，进一步还要考虑到无线网络环境中资源受限等因素，所以利用密码技术设计安全、高效的算法与协议是当前VANET研究的侧重点［1］.聚合签名的概念由Boneh等人［2］提出，这是一种带有特殊性质的多方参与的数字签名.它可以压缩任意多个用户的签名成一个签名来传输，把任意多个签名的验证简化成一次验证，从而大大降低了签名传输、验证的通信与计算代价.对聚合签名的研究已有一系列的成果［3-8］.签密的概念是Zheng［9］提出来的，它能够同时完成数字签名和加密两项功能，而且其计算量与通信代价远远小于传统的“先签名后加密”所需要的.该密码技术可以高效地同时提供机密性、认证性、完整性和不可否认性服务.基于身份的公钥密码体制（Identity-based Public Key Cryptosystem，ID-PKC）避免了维护和管理公钥证书带来的通信与计算开销，所以，签密与ID-PKC结合而成的基于身份的签密体制很适合用在VANET中来保证车辆信息的机密性和认证性［10-11］.目前对基于身份的签密已得到广泛研究，比如文献［12-16］.在文献［15］中，张串绒等人提出了一个适合Ad hoc网的基于身份的签密算法.但该方案不满足可公开验证性和前向安全性.2015年，张宇等人［16］构造了一个在VANET环境中基于身份的签密方案.然而，在城市交通拥堵的场景中，1个RSU需要管辖上百辆车辆，短时间内需要验证大量由这些车辆发送的消息，如果每辆车仅用签密技术来发信息给RSU，则需要RSU短时间内逐一验证大量的签密文，这对RSU硬件和成本挑战太高，所以需要一种快速高效的验证技术用于在很短时间内验证大量的隐私信息，所以本文将聚合签名技术与签密相结合，构成了一种具有“压缩”和“批处理”功能的特殊签密—聚合签密（Aggregate Signcryption），它可以实现信息的聚合和签名的批量验证，在大大降低计算与通信开销的同时保证车辆信息的机密性和认证性.目前对聚合签密研究较少，已有的成果如文献［17-20］，但［17-20］中，作者设计方案时都额外增加了用户的公、私钥，即每个用户必须持有2对公私钥，还有的方案［17，19］解签密时需要（2n+2）个双线性对的计算，这在资源受限的无线网络环境中都很难应用.本文在VANET环境中构造了一个高效的基于身份的聚合签密（ID-based Aggregate Signcryption，IBASC）方案，在Computational Bilinear Diffie-Hellman困难问题和Computational Diffie-Hellman困难假设下证明了方案的机密性和不可伪造性，同时方案满足可公开验证性、不可否认性和前向安全性.最后分析了方案的执行效率，指出该方案能以更低的计算与通信代价实现较高的安全性，很适合用于车载自组织网络、物联网等资源受限的无线网络环境.定义1 一个IBASC方案由私钥生成中心PKG，n个发送者Ui（i=1，2，…，n），1个聚合签密器和1个接收者Uv构成.方案由以下5个算法组成：-Setup 输入安全参数k，输出系统参数params和系统主密钥s.-Extract 输入发送者身份IDi（i=1，2，…，n），接收者身份IDv，params和系统主密钥s，输出相应的私钥Di和Dv.-Signcrypt 由发送者Ui（i=1，2，…，n）执行，输入消息mi，身份IDi，IDv 和params，私钥Di，输出签密文σi.-Aggregate 由聚合签密器执行（任何一个车载基础单元或可信第三方都可作为聚合签密器），输入n个有效的签密文σ（i1≤i≤n），输出聚合签密σ.-Unsigncrypt 输入params，聚合签密σ，接收者的私钥Dv，输出消息mi或⊥，后者表示σ无效.IBASC的安全模型一个IBASC方案满足：①机密性；②不可伪造性；③公开验证性；④不可否认性；⑤前向安全性.IBASC方案的机密性和不可伪造性的形式化定义详见文献［17-18］.一个VANET由服务中心、车载基础单元（On-Board Unit，OBU）和路边单元（Road Side Unit，RSU）构成，其中服务中心是诚实可信的，负责系统管理与维护，包括对OBU，RSU的登记，私钥分发等.服务中心与RSU之间通过有线信道通信，RSU与OBU，OBU与OBU之间为无线通信.2.1 基本方案该方案由5个算法｛Setup，Extract，Signcrypt，Aggregate，Unsigncrypt｝构成，具体如下：-Setup 服务中心选取1个安全参数k，G1和G2分别是阶为q＞2k的循环加法群和乘法群，P是群G1的1个生成元，双线性映射e:G1×G1→G2，服务中心再选取对称加密算法（E，D），接着选随机数作为系统主密钥，计算Ppub=sP.3个安全Hash函数H1:｛0，1｝*→G1，H2:G2×｛0，1｝*×G1→｛0，1｝（ll是所选对称加密算法的密钥长度），H3:｛0，1｝*×G1→.服务中心公开params：｛k，e，G1，G2，P，Ppub，E，D，H1，H2，H3｝，秘密保存系统主密钥s.-Extract 在接入网络前所有车载基础单元OBUi和路边单元RSU（i此处OBUi和RSUi都简称为通信单元）需要在服务中心登记.输入身份IDi∈｛0，1｝*，服务中心计算Di=sQi作为通信单元的私钥，其中Qi=H1（IDi），最后通过安全信道发送Di给通信单元.本文模拟的这样一个场景：有n个车载基础单元OBUi需要安全发消息给某个路边单元RSU，假设OBUi的身份为IDi，（1≤i≤n），私钥为Di，RSU的身份为IDR，私钥为DR.-Signcrypt 如果OBUi（1≤i≤n）要发送消息mi给路边单元RSU，需执行以下步骤：①选随机数ri∈，计算Ri=riP；②计算wi=e（Ppub，QR）ri，ki=H2（wi，IDR，Ri），ci=Eki（mi‖IDi）；③计算hi=H3（ci，IDi，Ri）；④计算Si=hiDi+riPpub；⑤输出密文σi=（Ri，ci，Si），即为OBUi对消息mi的签密文.-Aggregate 给定n个签密文签密聚合器计算，发送聚合签密文σ=（Ri，ci，S）（1≤i≤n）给路边单元RSU.-Unsigncrypt 收到聚合签密文σ=（Ri，ci，S），（1≤i≤n）后，RSU计算如下：①wi=e（Ri，DR），ki=H2（wi，IDR，Ri），恢复消息Dki（ci）= mi‖IDi，i=1，2，…，n；②计算hi=H3（ci，IDi，Ri），Qi=H1（IDi）；③验证等式是否成立，如果成立则接受消息及消息源mi‖IDi，否则认为σ无效. 方案的正确性证明①=e（riP，sQR）=e（Ri，DR）.②.2.2 方案安全性分析1）机密性本文方案是IND-IBASC-CCA2安全的，分析见下面定理1.补：计算双线性Diffie-Hellman问题（Computational Bilinear Diffie-Hellman Problem，CBDH问题）给定P，aP，bP，cP∈G1（a，b，c∈Zq*是未知的随机数），计算（eP，P）abc.定理1 在随机预言机模型下，假定IND-IBASC-CCA2敌手A在时间t内以优势ε攻破了本文方案，记A查询H1预言机，Extract预言机，Signcrypt预言机的次数分别为qH1，qE和qS，以的优势，在时间内解决CBDH难题，tsm是计算G1群上1个标量乘所用时间，tinv是计算Zq*上1个求逆的时间，texp是计算G2群上1个指数运算的时间.证明设X为挑战者，给定一个CBDH问题的任意实例（P，aP，bP，cP），X的目标是计算出e（P，P）abc.X将与敌手A进行以下Game：X定义系统公钥Ppub=aP，生成系统参数params：｛k，e，G1，G2，P，Ppub，E，D，H1，H2，H3｝，发送params给A，A执行以下查询：H1查询当A查询IDi（1≤i≤qH1）的Hash值时，X随机选取I∈｛1，2，…，qH1｝（本文假定A不重复查询）.当IDi≠IDI时，X选随机数，定义Qi=tiP，否则当IDi=IDI时，令Qi=ti（bP）.添加（IDi，Qi，ti）到列表L1中，返回Qi给A.H2查询当A输入数据（wi，IDR，Ri），X调出列表L2，若有记录则返回该定义的值，否则随机选ki∈｛0，1｝l，定义H2（wi，IDR，Ri）=ki，添加（wi，IDR，Ri，ki）到L2中，输出ki.H3查询当A输入时，X输出以前定义的值.否则选随机数并输出hi，添加（ci，IDi，Ri， hi）到列表L3中.-Extract查询给定IDi，X从L1中调出相应的记录（IDi，Qi，ti），若IDi=IDI，则终止模拟.否则，计算Di=ti（aP），添加（IDi，Di）到列表Elist中，返回Di. -Signcrypt查询A输入IDu是发送者的身份，IDv是接收者身份，X操作如下：①当IDu≠IDI时，X有发送者IDu的私钥Du，所以执行Signcrypt算法即可生成签密文σi=（Ri，ci，Si），最后返回σi.②当IDu=IDI时（显然IDv≠IDI），X选两个随机数，令调出列表Elist，找到接收者IDv的私钥Dv，计算wi=e（Ri，Dv），再通过H2查询获得ki，从而求得密文ci=Eki（mi‖IDu），返回σi=（Ri，ci，Si）给A.最后添加一条记录（ci，IDi，Ri，hi）到列表L3中.-Unsigncrypt查询A输入数据IDu，IDv，σi=（Ri，ci，Si），其中IDu是发送者的身份，IDv是接收者身份.X操作如下：①当IDv≠IDI时，X有接收者IDv的私钥，所以只需执行Unsigncrypt算法即可解密出消息mi.②当IDv=IDI时，X调出列表L3，如果L3中没有记录（ci，IDu，Ri，hi），则返回“⊥”.否则继续.验证e（Si，P）=e（hiQu+Ri，Ppub）是否成立，如果不成立，则返回“⊥”.如果成立，则调出列表L2，遍历L2中的记录（wi，IDR，Ri，ki），计算，返回消息mi.如果遍历完L2中所有记录还是不能求出mi‖IDu，则返回“⊥”.最后，A停止模拟，分成以下两种情况进行挑战：①输出两个挑战身份和两个等长的消息明文便与描述，不妨令），若则X停止模拟，输出“failure”.否则令随机选取λ表示密文的长度），返回签密文给A.②A输出（n+1）个挑战身份是n个发送者的身份，是接收者身份），2n个等长的消息明文｛若则X停止模拟，输出“failure”.否则选随机数r2，r3，…，rn∈，令返回聚合后签密文给A.A接着进行第二轮上述预言机查询，但不能对进行Extract查询，也不能提交或随机选取给Unsigncrypt预言机.游戏结束后，X查看列表L2，若没有记录则输出“failure”.否则就有作为对CBDH问题的答案.2）不可伪造性本文方案是EUF-IBASC-CMA2安全的，由以下定理2给出.补：计算Diffie-Hellman问题（Computational Diffie-Hellman Problem，CDH问题），给定P，aP，bP∈G（1a，b∈Zq*是未知的随机数），计算abP∈G1.定理2 在随机预言机模型下，假定EUF-IBASC-CMA2敌手A在时间t内以优势ε攻破了本文方案，记A查询H1预言机，Extract预言机，Signcrypt预言机的次数分别为以从而，X输出的优势，在时间内解决CDH难题，tsm是计算群上1个标量乘所用时间，tinv是计算Zq*上1个求逆的时间.证明设X为挑战者，给定一个CDH问题的任意实例（P，aP，bP），X的目标是计算出abP.X将与敌手A进行以下Game：X定义系统公钥Ppub=aP，生成系统参数params发送给A，A执行以下查询：H1，H2，H3查询，-Extract查询，-Signcrypt查询，Unsigncrypt查询：其应答与定理1中对应的预言机应答相同，此处不再赘述.最后，A停止模拟，输出1个在身份上的有效聚合签密文σ*=（Ri*，ci*，S*）（i=1，2，…，n），若，则X停止模拟.否则，本文不妨假设X调出列表L3，找到对应记录再由分叉引理存在某个算法，可在概率多项式时间内生成另1个有效聚合签密文σ′=，其中，且从而有X调出列表L1：（IDi，Qi，ti），列表Elist：（IDi，Di），计算则X输出abP值作为对CDH问题的解答.即X攻破了CDH难题，但是目前CDH问题是困难的，所以规约出本文方案在EUF-IBASC-CMA2敌手攻击下是安全的.3）公开验证性定理3 本文的IBASC方案满足公开验证性证明当通信单元之间有争议时，仅需要提交σ=（Ri，ci，S）给仲裁者，而不需要提交接收者的私钥或明文信息，仲裁者计算hi=H3（ci，IDi，Ri），Qi=H1（IDi），验证是否成立即可，所以本文方案是可以公开验证的.4）不可否认性定理4 本文的IBASC方案满足不可否认性.证明由定理2可知本文方案在适应性选择消息和身份攻击下是存在性不可伪造的，所以车载基础单元对自己签密过的消息就不能否认，即满足不可否认性.5）前向安全性定理5 本文的IBASC方案满足前向安全性.证明即使敌手获得了某个车载基础单元的私钥，但会话密钥，敌手还是推不出wi，除非知道随机数ri，所以方案满足前向安全性.2.3 方案效率分析用p表示1个双线性对运算，s表示群G1上标量乘运算，E表示群G2上的指数运算，|G1|表示群元素G1的长度，| M|表示明文消息的长度，L∈Z+是一个固定正整数.由表1可见，本文方案就计算量与通信量来说，其效率明显高于已有IBASC方案［17-20］，而且，本文方案中每个车载基础单元只需持有1对公私钥，且方案满足聚合签密所有的安全性.聚合签密因其机密、认证、压缩和批处理的特性在车载自组织网络环境中具有很大的应用价值.本文提出了一个适用于车载自组织网络安全通信的基于身份的聚合签密方案，经证明该方案满足机密性、不可伪造性、公开验证性、不可否认性和前向安全性.最后作者分析了方案的执行效率，指出该方案能以更低的计算与通信代价实现较高的安全性，很适合用于车载自组织网络、物联网等资源受限的无线网络环境.【相关文献】［1］ Mishra B，Mnayak P，Behera S，et al.Security in vehicular ad hoc networks：a survey［C］//Proceedings of the 2011 International Conference on Communication，Computing&Security.Odisha，India：ACM，2011.［2］ Boneh D，Gentry C，Lynn B，et al.Aggregate and verifiably encrypted signatures from bilinear maps［C］//22 th Annual International Conference on the Theory and Applications of Cryptographic Techniques（Eurocrypt'03），LNCS 2656.Heidelberg，Berlin：Springer-Verlag，2003.［3］ Lu S，Ostrovsky R，Sahai A，et al.Sequential aggregate signatures and multisignatures without random oracle［C］//Proceeding of the 25 th Theory and Applications of Cryptographic Technique（sEurocrypt'06）.Petersburg，Russia：Springer-Verlag，2006.［4］ Brogle K，Goldberg S，Reyzin L.Sequential aggregate signatures with lazy verification for S-BGP［C］//Proceedings of the Confer⁃ence on Computer and Communications Security.Los Angeles，USA：ACM，2011.［5］ Gentry C，Ramzan Z.Identity-based aggregate signature［sC］//Proceedings of PKC 2006，LNCS 3958.Heidelberg Berlin：Springer-Verlag，2006.［6］ Hohenberger S，Sahai A，Waters B.Full domain hash from（leveled）multilinear maps and identity-based aggregate signatures［C］// Proceedings of CRYPTO 2013（Crypto'13），Part I，LNCS 8042.Berlin：Springer-Verlag，2013.［7］杜红珍，黄梅娟，温巧燕.高效的可证明安全的无证书聚合签名方案［J］.电子学报，2013，41（1）：72-76.［8］ Cheng L，Wen Q，Zhang H，et al.Cryptanalysis and improvement of a certificateless aggregate signature scheme［J］.Information Sciences，2015，295：337-346.［9］ Zheng Y.Digital signcryption or how to achieve cost（signature&encryption）＜＜cost（signature）+cost（encryption）［C］//Ad⁃vances in Cryptology in Proceedings of Crypto'97.Berlin：Springer-Verlag，1997.［10］ Kamat P，Baliga A，Trappe W.An identity-based security framework for VANETs ［C］//Proceedings of the 3rd International Workshop on Vehicular Ad hoc Networks.Los Angeles，USA：ACM，2006.［11］ Zhang L，Wu Q，Solanas A，et al.A scalable robust authentication protocol for secure vehicular communications［J］.IEEE Transactions on Vehicular Technology，2010，59（4）：1606-1617.［12］张宇，杜瑞颖，陈晶，等.对一个基于身份签密方案的分析与改进［J］.通信学报，2015，36（11）：174-179.［13］ Libert B，Quisquater J J.A new identity based signcryption schemes from pairings ［C］//Proceedings of ITW′2003：Proceedings of the Information TheoryWorkshop.Piscataway，USA：IEEE，2003.［14］ Chen L，Malone-Lee J.Improved identity-based signcryption［C］//PKC 2005：Proceedings of the 8th International Workshop on Theory and Practice in Public Key Cryptography，LNCS 3386.Berlin：Springer-Verlag，2005.［15］张串绒，张玉清，李发根，等.适于ad hoc网络安全通信的新签密算法［J］.通信学报，2010，31（3）：19-24.［16］张宇，陈晶，杜瑞颖，等.适于车载网安全通信的高效签密方案［J］.电子学报，2015，43（3）：512-517.［17］ Qi Z，Ren X，Yang G.Provably secure general aggregate signcryption scheme in the random oracle mode［lJ］.China communications，2012（11）：107-116.［18］ Ren X，Qi Z，Geng Y.Provably secure aggregate signcryption scheme［J］.ETRI Journal，2012，34（3）：421-428.［19］ Chen J，Zhang Y.The scheme of identity-based aggregation signcryption in smart grid［J］.Advanced Materials Research，2014：960-961，832-835.［20］王大星，滕济凯.可证明安全的基于身份的聚合签密方案［J］.计算机应用，2015，35（2）：412-415.。