[發明專利]一種改進的密鑰交換協議

無效

• 申請號: 200810032508.4
• 申請日: 2008-01-10
• 公開（公告）號: CN101247394A
• 公開（公告）日: 2008-08-20
• 發明（設計）人: 趙運磊;姚期智;儲楓
• 申請（專利權）人: 趙運磊;姚期智;儲楓
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32;H04L9/30
• 代理公司: 上海正旦專利代理有限公司
• 代理人: 陸飛;盛志范

1.一種改進的密鑰交換協議，其特征在于：

系統工作環境為：

(1).系統參數：(p，q，H，H_K，MAC)，其中p和q為大素數，并且q能整除p-1，g是一個Z^*_p中階為q的元素，使得在Z^*_p中由g定義的子群上離散對數DL及計算Diffie-Hellman?CDH問題是難的；MAC是一個消息認證碼算法；所有的指數運算及不在指數上的乘法運算是mod?p運算，加法及指數上的乘法為mod?q運算；這里，Z^*_p＝{1，2，…，p-1}；H是從{0，1}^*→{0，1，2，…，(q-1)/2}的哈西函數，H_K是從{0，1}^*→{0，1}^k的哈西函數，k是會話密鑰的長度；對于字符串s₁，…，s_m，m＞1，(s₁，s₂，…，s_m)表示的是：將s₁，…，s_m用二進制0-1串來表示，然后將所有的0-1串順序連接串聯起來，最后將串聯后得到的0-1串作為H的輸入；

(2).除非有特別說明，具有身份ID?I_A的用戶“A”有一個公鑰A＝g^a，其中a由用戶“A”在Z_q中隨機選取；相應地，具有ID?I_B的用戶“B”的公鑰記為B＝g^b，以此類推；這里，Z_q＝{0，1，2，…，q-1}；

(3).協議基于Diffie-Hellman密鑰交換協議；記X＝g^x?mod?p為用戶“A”的DH密鑰成分，x為DH密鑰成分X的離散對數，x由用戶“A”從Z_q＝{0，1，…，q-1}中隨機選取；記Y＝g^y?mod?p為用戶“B”的DH密鑰成分，y為DH密鑰成分Y的離散對數，y由用戶“B”從Z_q＝{0，1，…，q-1}中隨機選取；

(4).有一個可信的證書權威機構CA，頒發證書CERT，用于將用戶的身份及其相應公鑰進行可公開驗證的綁定；綁定用CA的電子簽名實現；綁定時CA驗證公鑰為Z^*_p中階為q且非1的元素；用戶“A”的證書記為CERT_A；

(5).假定協議的每一次執行有一個標示號：sid；sid是一個字符串，用于標記并發運行的協議執行；sid的制定和協商可隨協議的運行環境不同而有所變化；一般而言，sid包含在協議運行之前用戶交換的信息或交換信息的哈西值；

(6).與協議執行相關的其它信息pub：除了sid，I_A，A＝g^a，I_B，B＝g^b，X＝g^x，Y＝g^y外，其它與協議執行相關的信息用pub來表示；pub是一個字符串，是用戶的IP地址、公鑰證書、其它需要認證的信息、時間戳的串聯；

協議實現方法為：用戶“A”及“B”相互交換它們各自的DH密鑰成分X＝g^x和Y＝g^y以及公鑰證書；假設用戶“A”為協議的發起者，用戶“B”為協議的響應者；即：用戶“A”在第一輪發送X；在收到X后用戶“B”檢查X為Z^*_p中的非1元素并在第二輪發送Y；收到Y后，用戶“A”檢查Y為Z^*_p中的非1元素；

用戶“A”計算K_A＝B^ea+tcxY^(da+fx)t，檢查K_A≠1并計算會話密鑰K＝H_K(f，K_A)；用戶“B”計算K_B＝A^eb+tdyX^(cb+fy)t，檢查K_B≠1并計算會話密鑰K＝H_K(f，K_B)；其中，t＝(p-1)/q，c＝H(X，I_A，A，I_B，B)，d＝H(I_A，A，I_B，B，Y)，e＝0或1，f＝H(I_A，A，I_B，B，X，Y)或H(c，d)或H(c，d，e)；函數c、d、e、f設置的關鍵之處為：c和e的輸入不包含Y，d和e的輸入不包含X；用戶“A”事先離線計算X、c和B^ea+tcx，用戶“B”事先離線計算Y、d和A^eb+tdy，從而提高在線計算的效率；K_A與K_B計算的關鍵之處為：利用對B^cxY^da+fx及A^dyX^cb+fy進行t＝(p-1)/q次冪運算從而保證Y^(da+fx)t及X^(cb+fy)t為Z^*_p中階為q的元素，并進而保證K_A和K_B為Z^*_p中階為q的元素；對B^cxY^da+fx及A^dyX^cb+fy進行t次冪運算的好處為可以省去對DH密鑰成分X和Y的階q檢查，提高計算效率；

為了進一步相互確認身份及會話密鑰，用戶“A”計算MAC-密鑰K_m＝H_K(K_A，f)，“B”計算K_m＝H_K(K_B，f)；協議響應者“B”在第二輪發送MAC_Km(d)，協議初始者“A”在另加的第三輪發送MAC_K(c)。