![点击分享此内容可以赚币 分享](/master/images/share_but.png)
基于NTRU密钥协商协议设计.pdf
《基于NTRU密钥协商协议设计.pdf》由会员分享,可在线阅读,更多相关《基于NTRU密钥协商协议设计.pdf(8页珍藏版)》请在咨信网上搜索。
1、信息安全研究第10 卷第1期2 0 2 4年1月Journalot information Security ResearchVol.10No.1Jan.2024DOl:10.12379/j.issn.2096-1057.2024.01.03基于NTRU密钥协商协议设计郑鉴学张道法徐松艳宋苏鸣(北京遥测技术研究所北京10 0 0 9 4)()The Design of a Key Agreement Protocol Based on NTRUZheng Jianxue,Zhang Daofa,Xu Songyan,and Song Suming(Beijing Research Instit
2、ute of Telemetry,Beijing 100094)Abstract NTRU is the earliest public-key cryptosystem that reduces the difficulty of thecryptosystem to the lattice-hard problem.The features of NTRU are simple,and the storage spacerequired is small.Therefore,NTRU is more simple and efficient algorithm for establishi
3、ng acryptosystem based on lattice-hard problems.However,there are few relevant references to designNTRU-based key agreement protocols.The existing NTRU-based key agreement protocols do notprotect the keys sufficiently,which is easy to leave convenience for adversary attacks.The proof isnot sufficien
4、t and incomplete.In order to solve this problem,this paper proposes two keyagreement protocols based on NTRU lattice,adding temporary secret information,so that thescheme has strong forward security,and proposes a detailed security proof.The proof is based onthe unforgeability of the session key und
5、er the SVP assumption on the lattice.The security proof isbased on the eCK model.Compared with traditional key agreement schemes such as DH andECDH,this NTRU scheme is based on polynomial rings,and has higher computational efficiency.Its security can be reduced to solving difficult problems on latti
6、ces,and it can resist quantumattacks.Key words lattice;NTRU;key agreement protocol;provable security;eCK model摘要NTRU是最早将密码系统困难性规约到格上困难问题的公钥密码体制.NTRU的特征简洁,密钥生成不复杂,运算速度快并且需要的存储空间小,所以目前基于格上困难问题建立密码体制的算法中,NTRU更加简便高效.然而基于NTRU的密钥协商协议相关研究较少,现存的基于NTRU的密钥协商协议消息传递过程中密钥的保护不充分,易为敌手攻击留下后门,且协议的安全性论证不充分不完备.鉴于此,提出了
7、2 个基于NTRU格上的密钥协商协议,增加临时秘密信息,使方案具有强前向安全性,并且提出了详细的安全证明,在不泄露响应方密钥和要伪造的会话密钥的情况下,该证明是基于格上最短向量计算困难性SVP假设下会话密钥的不可伪造性.该安全证明在收稿日期:2 0 2 3-0 4-2 5引用格式:郑鉴学,张道法,徐松艳,等。基于NTRU密钥协商协议设计J.信息安全研究,2 0 2 4,10(1):12-1912学术论文.ResearchPaperseCK模型下可证明安全的.相较于DH,ECDH等传统的密钥协商方案,NTRU方案是基于多项式环上的,运算效率更高,其安全性可以归约到求解格上的困难问题,可以抵御量子
8、攻击。关键词格;NTRU;密钥协商协议;可证明安全;eCK模型中图法分类号TP309.2如今,网络通信已经成为人们生活中交流通信的重要渠道.然而,在开放的网络通信环境下信息很容易遭到攻击者的攻击.相较于对称密码,公钥密码可以在不安全的信道上传输加密的信息.然而公钥密码的加解密计算复杂,速度比对称密码加解密慢得多,所以加密大量的数据还需使用对称密码.因此公钥密码用于解决在开放网络通信环境中建立双方通信会话密钥的安全性问题.密钥协商(key agreement,K A)就是在不安全的信道下让2 个或多个用户计算共同的会话密钥进行安全通信。1998年,Hoffstein等人提出了NTRU格的概念,设
9、计了一个基于多项式环上的公钥密码体制,通常被称为NTRU加密体制.随后几年,这种签名、加密方案不断出现,但一直没有提出可证明安全的方案,直到2 0 0 8 年,Lyubashevsky等人2 、Gentry等人3先后提出了2 个可证明安全性的格基数字签名方案.因此,基于格基上的公钥加密和数字签名技术取得了巨大的进步4,然而基于格的KA(lattice-based KA,LBK A)协议目前仍然没有很好的发展.由于KA协议在不安全的网络环境中运行,因此,设计出能够抵御各种攻击的认证KA协商协议就显得尤为重要.目前,BR,m BR,C K,e C K,seCK5-81都是密钥协商协议常用的安全模型
10、,基于安全模型的密钥协商方案也在不断地发展9-10。在文献11中,将dA=(f A 十prACB),d B=(f B十prBCA)作为协商双方交互的信息,其中fA,fB分别为Alice和Bob的私钥,属于固定数据.该方案并没有对用户的私钥进行伪随机性保护,这给敌手攻击预留了方便.受此启发,本文对文献11进行改进,提出了2 个基于NTRU格上的密钥协商协议.方案1中,本文在双方协商交互的过程中增加了2 个随机化因子(r1A,r 2 A)和(r1B,r 2 B),使得参与密钥协商过程的发起方和响应方每次生成的会话密钥和协商的信息都不相同,保证了在密钥协商中会话密钥与随机序列的不可区分性.方案2中,
11、本文利用NTRU加密方法,把双方随机选取的多项式(r1A,r 2 A)和(r1B,r 2 B)进行加密,得到dA=(r2A十pr1ACB)和dB=(r 2 B十priBCA)发送给对方,双方收到dA和dB后再对消息用自已的私钥进行解密.该方案密钥协商的过程中双方交互的消息都不包含各自的秘密信息(私钥),安全性完全依赖于NTRU加密方案的安全性,如果NTRU加密方案是安全的,那么该密钥协商方案在基于格上最短向量计算困难性SVP假设下会话密钥也同样具有不可区分性和不可伪造性.1相关知识描述本节将介绍后续需要用到的关于格和NTRU格的一些基本知识,包括格的基本的定义、NTRU密码体制的基本思想及其困
12、难性.1.1NTRU算法描述NTRU加密系统取决于3个整数参数(N,p,q)和4个阶为N-1的系数是整数的多项式集合Cf,Lg,L,Cm.注意p和q不需要是素数,但是本文假设gcd(p,q=1),并且设qp.本文的运算在多项式环R=ZJ/(XN一1)上进行.1个元素fER可以写成多项式或者向量:N-1f=Zfiai=fo,fi,fn-i,i-0取2 个元素f,g ER,将符号定义为环R上的加法运算符号,加法运算定义为fOg=h,hk=fk十gk,其中hER,hk为多项式h的k阶系数.将符号?定义为环R上的乘法运算符号.乘法运算定义为f?g=h,N-1hk-2figk-i+2figN+-=i0其
13、中hk为多项式h的k阶系数.容易验证R在以网址http:/ 1 13i=k+1i+j=k(mod N)Zfigi.信息安全研究第10 卷第1期2 0 2 4年1月Journalotinformatien Security ResearchVol.10No.1Jan.2024上定义的加法运算和乘法运算下构成1个环.进行1次模的乘法运算,这意味着将多项式中的系数约简在模q下。1.2格定义1.NTRU格.令q为大于5的素数,n为2的幂次,多项式f,gER(且f模q是可逆的).令h=g/f(m o d g),则由多项式h和q确定的NTRU格定义为Ah.=(u,)ER u+Xh=0(mod q).由定义
14、1可知NTRU格L,可以通过下面的2NX2N阶矩阵生成:10010 0Lh=0000LO0由生成矩阵可知,NTRU格为满秩格,NTRU格的行列式由素数q和2 N维数唯一确定,即det(L,)=qN,Ah.是Z2N上的一个满秩格,n中的元素通过(,r)Lh的行向量生成,其中rER.25方案设计和安全性分析结合文献12,本文对文献11的工作进行修改,提出2 个密钥协商方案.2.1方案1描述2.1.1大方案的参数选取公开参数(N,p,q),其中选取N=251,=3,q一般为2 的幂次,可以取q=128或者q=256;多项式Q/(N-1)和Z/(N1),其中:Q和Z分别代表有理数环和整数环;商环Z,J
15、/(XN-1)和Z,J(XN-1),其中模q运算的结果在一q/2,q/2 内,而模p运算的结果在 一1,0,1)中.L(a,b)代表多项式环Z/(XN一1)中的特定多项式的全体,这些特定的多项式有a个系数为1,6 个系数为一1,其他系数为0.2.1.2密钥生成阶段Alice分别随机选取fAEL(df,df-1)和gAEL(dg,d g-1),并将fA和gA作为自己的私钥,其141公钥为CA=fgAmodq.Bob分别随机选取fBEL(df,df-1)和gBEL(dg,d g-i),并将fB和gB作为自己的私钥,其公钥为 cB=fzgBmodq.不妨取dj=dg=d,=36,p=3.2.1.3密
16、钥协商阶段1)Bo b 随机选择2 个多项式r1B,r 2 BEL(d r,dr-1),计算dB=fBr2B十pr1BCA,并把dB发给Alice.2)A l i c e 随机选择2 个多项式r1A,r 2 A EL(d,dr-1),计算dA=fAr2A+priACB,并把dA0ho0-hN-1hohN-2:1一h1一h2000000hihN-1ho000发给Bob.同时计算mA=r2AfAdg(mod q)(mod p),SK=H(Key,dA,dB,IDA,IDB),其中Key=r2Ar2BfAdB(modq).3)Bo b 收到dA后,计算mB=r2BfBdA(modq)(modp),S
17、K=H(Key,dA,dB,IDA,IDB),SK作为Alice和Bob的协商密钥.2.1.4密钥协商的正确性q取值为2 56 时,p=3,而d,和dg皆为36,故q2pXmax(drdg).mA=r2AfAdg(modq)(mod p)=r2AfA(fBr2B+priBCA)(mod q)(mod p)=(r2AfAfer2B+pr2Ari1BgA)(modq)(mod p)=(r2AfAfer2B+pr2ArIBgA)(mod p)=fAfBr2Ar2B,同理mB=fAfBr2Ar2B,mA=mB=Key.值得注意的是,由于r2A和r2B分别由用户随机选择,在线路上不传输,故第三方无法获取
18、r2A和r2B,进而第三方也就无法得到mA和mB以及Key,进而提升了密钥协商数据的安全性。2.1.5对文献11的分析文献11提出的NTRU-AKA协议中以下2点值得注意:1)文献11的密钥协商过程中:dA=(fA+prACB),dg=(fB+prBCA),Key=mA=fAd(modq)(mod p)=fBdA(modq)(mod p)=mB=Key.而fA,f B分别为Alice和Bob的私钥,属于固定数据.在双方交互的过程中,Alice和Bob分别发送了dA和dB,而dA和dB这2 个消息中,文献11并没有对用户的私钥进行伪随机性保护,学术论文.ResearchPapers这给敌手攻击预
19、留了方便,因此文献11 只具有弱前向安全性,不能达到完美的前向安全性.本文提出的方案1在密钥协商过程对发送的消息进行改进:dA=(fAr2A+r1AC),dB=(fBr2B+pr1BCA),其中(r1A,r2A),(r1B,r2B)EL(d,dr-1)是 Alice和Bob分别选择的随机多项式.因此在每次的密钥协商中dA和dB中都没有直接使用Alice和Bob的私钥固定值.即使双方的长期私钥泄露也不能破解会话密钥.2)在文献11中并没有对其设计的NTRU密钥协商方案进行详细的安全证明.在2.2 节中本文给出了在eCK模型下的安全方案及安全性证明.2.2方案1的安全性证明2.2.1eCK模型协议
20、参与者:定义协议参与用户为i,定义其身份为IDi其私钥为(fi,g;),公钥为hi.参与者i可以与其他多个用户同时进行密钥协商协议.令II;表示参与者i(发起方)与参与者i(响应方)之间的第次会话.如果会话I,协商了会话密钥SK,那么该会话可以被接受.tran,表示在会话I;中发起方i和响应方j之间传递的信息集,每个成功协商的会话I,都含有会话标识sid.sid定义为此会话中协商双方的身份和消息的串联标识,即sid;=(ID;,IDj,X,X,),其中X;是II,发出的消息,X,是II,收到的消息.敌手模型:A是拥有概率多项式计算能力的预言机,它能够全面监控网络,并且能够实现窃听、延迟、重放和
21、篡改信息,同时还能够执行多项式数量界的询问.包括:EphemeralKeyReveal(I,).A获取II,的临时私钥。SessionKeyReveal(II,).如果II,没有被接受,返回工.否则,输出I ,的会话密钥.StaticKeyReveal(I D,).敌手获取身份为ID;的参与方i的私钥(fi,g;).EstablishParty(I D,).敌手能模拟参与者i注册1个合法用户的身份ID;,并且可以获取其长期私钥.Send(IIj,M).可以通过身份为ID;发送消息M参与会话II j,并且按照协议相关操作返回身份为ID;的参与者所做的响应给敌手A.如果II,收到的第1个信息是入,
22、那么i是发起者;否则i是响应者.在进行安全实验中,必须保证ii.匹配会话:如果会话II ,和II ,拥有相同的会话标识,则称这2 个会话为匹配会话。新鲜会话:身份分别为ID,和ID,的参与者接受会话II;,定义I 为II,的匹配会话.下列条件都不满足,那么I,是新鲜的:如果A查询了II,或II(存在匹配会话)的会话密钥.匹配会话I,存在时,敌手同时询问了StaticKeyReveal(ID,),EphemeralKeyReveal(II,),或者同时询问了EphemeralKeyReveal(Ij),StaticKeyReveal(ID,);匹配会话II 不存在时,敌手同时询问了StaticK
23、eyReveal(ID,),EphemeralKeyReveal(II,),或者询问了 StaticKeyReveal(ID,).Test(II,):该询问测试了敌手是否有能力判断会话密钥和相同长度的随机比特串的不可区分性.某一时刻,A选择1个新鲜会话II,进行唯一的Test查询.挑战者抛1枚公平硬币b=(0,1),如果6=0,返回,真实的会话密钥;如果b=1,返回随机比特串。在敌手完成Test询问之后,敌手还可以反复进行敌手模型中所有的查询.游戏结束时,A对6的猜测值为6 .当I ,是新鲜的并且6=b,则A赢得游戏.A获胜的优势被定义为AduAKE(A)=2PrA 成功11.eCK安全性:1
24、个2 方认证密钥交换协议是安全的,如果它满足如下条件:在按照协议执行的诚实敌手面前,会话I;和I.总是协商相同的会话密钥.对任何概率多项式敌手,AduAKE(A)可忽略不计.2.2.25安全性证明令k表示安全参数,A定义为1个关于k的poly(k)敌手.假设游戏中,A最多能够让n。(N)个不同的诚实参与方进行安全实验(敌手A可进行np(N)次StaticKeyReveal询问),每个参与方最多能参与n(N)个会话(敌手A可进行np(N)次EphemeralKeyReveal 和SessionKeyReveal 询问),A至多进行n次H询问.如果A能够以网址http:/1 15信息安全研究第10
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 基于 NTRU 密钥 协商 协议 设计
![提示](https://www.zixin.com.cn/images/bang_tan.gif)
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【自信****多点】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【自信****多点】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。