云计算下基于无证书的跨域认证密钥交换协议

doi:10.12677/CSA.2018.85067

期刊菜单

云计算下基于无证书的跨域认证密钥交换协议
Cross-Domain Authentication Key Exchange Protocol Based on Certificateless in Cloud Computing Environment

DOI: 10.12677/CSA.2018.85067, PDF, HTML, XML, 被引量国家自然科学基金支持
作者: 张兴兰, 黎丁玲^*：北京工业大学信息学部，北京
关键词: 云计算；无证书；跨域认证；密钥交换；eCK模型；Cloud Computing； Certificateless； Cross-Domain Authentication； Key Exchange； ECK Model

摘要: 基于椭圆曲线上的离散对数难题和双线性对运算，提出了一个云计算中基于无证书的跨域认证密钥交换协议，并且在eCK (extended Canetti-Krawczyk)模型下证明所提出协议的安全性。该协议满足了不同云之间的认证，一个云中用户的私钥由用户自己生成的秘密值和该云中的认证服务器生成的部分私钥两部分组成，充分保证了用户私钥的安全。用户身份认证的计算交由云认证服务器完成，用户认证和密钥协商经由一次交互完成，提高了协议执行效率。

Abstract: Based on the discrete logarithm problem and bilinear pairings on the elliptic curve, this paper proposed a certificateless cross-domain authentication key exchange protocol in cloud computing environment and was proved secure in extended eCK model. The protocol satisfied the authentication between the different clouds and the user’s private key in a cloud consisted of a secret value selected by the user and a partial private key generated by the authentication server in the cloud. It’s fully guaranteed the security of the user’s private key. The calculation in user identity authentication finished by the cloud authentication server and user authentication and key agreement were completed in an interaction. It has improved the execution efficiency of the agreement.

文章引用：张兴兰, 黎丁玲. 云计算下基于无证书的跨域认证密钥交换协议[J]. 计算机科学与应用, 2018, 8(5): 591-600. https://doi.org/10.12677/CSA.2018.85067

1. 引言

云计算作为一种新兴的资源共享模式，充分利用了分布式计算 [1] 和虚拟资源管理等一些技术，并且整合了网络中大量的资源，为用户提供了存储、计算、软件以及平台等服务 [2] 也给用户带来极大的便利条件，但云计算的不断发展和普及，随之而来的则是安全 [3] 方面的问题。

云计算依照部署模型可分为：公有云、私有云、社区云和混合云四种类型 [4] 。混合云一般由多个云组成，每个云都有自己的用户身份管理系统。每个云中，有云内用户信任的认证服务器，提供用户注册等请求。而云间的资源共享要求，用户在访问自己所属云之外的其它云时，要考虑与不同云用户的身份认证 [5] 和密钥协商 [6] 。

针对云计算中存在的跨域认证 [7] 问题，Xu C等 [8] 基于零知识证明和密钥托管的思想提出了一个认证方案，该方法实现了匿名性和用户真实信息的追踪。Castiglione A等 [9] 基于盲签名实现了一个跨域认证方案来支持用户身份验证，保护用户身份信息。这个方案满足了匿名性，可以避免中间人攻击，服务器的欺骗攻击等。解福 [10] 实现了基于验证元客户端到客户端的跨域认证协议，能够抵御主动和被动攻击，但该协议的交互复杂。现有的方案需要在认证服务器上保存用户的身份信息或者用来验证身份的信息，因此存在证书管理问题。2003年，Al-Riyami和Paterson [11] 提出无证书的公钥密码体制，这一体制解决了密钥托管问题。

本文提出了一个基于无证书的跨域认证方案，并且在eCK模型 [12] 下证明了所提出协议的安全性。在本文的协议中，私钥由两部分组成，不存在密钥托管问题。经过一次交互就完成了用户认证和密钥协商，提高了协议的效率，用户认证部分也充分利用了云服务器的计算能力，适合于云计算环境。

2. 预备知识

2.1. 椭圆曲线上的双线性映射

双线性对 [13] 是两个循环群间的线性映射关系。设 $G_{1}$ 和 $G_{2}$ 分别是阶为q的加法循环群和乘法循环群，q是大素数，且在 $G_{1}$ 和 $G_{2}$ 中离散对数问题都是难解的。e是 $G_{1} \times G_{1} \to G_{2}$ 的双线性映射，要满足以下性质：

1) 双线性：对于任意 $P, Q \in G_{1}, a, b \in Z_{q}^{*}$ ，满足 $e (a P, b Q) = e {(P, Q)}^{a b}$ ；对于任意 $P_{1}, P_{2}, Q \in G_{1}$ ，有 $e (P_{1} + P_{2}, Q) = e (P_{1}, Q) \times e (P_{2}, Q)$ 。

2) 非退化性：若P是 $G_{1}$ 的生成元，则 $e (P, P) \in G_{2}$ 是 $G_{2}$ 的生成元，即 $e (P, P) \neq 1$ 。

3) 可计算性：有多项式时间算法可计算映射e。

2.2. 相关困难问题及假设

CDH(Computational Diffie-Hellman)问题：G为q阶的循环加法群，P为G的生成元，给定 $P, a P, b P \in G$ (其中 $a, b \in Z_{q}^{*}$ )，计算。

定义1：在安全参数λ 下多项式时间算法A解决CDH问题的优势为 $A d v_{A}^{C D H} (λ) = \Pr [A (P, a P, b P) = a b P | P \in G, a, b \in Z_{q}^{*}]$

定义2：CDH假设：对于任意多项式时间算法A ， $A d v_{A}^{C D H} (λ)$ 是可忽略的。

2.3. 安全模型

针对无证书认证密钥交换协议，有两种类型的敌手 [14] 。敌手 $A_{1}$ 不知道系统主密钥，但是可以把任意协议参与者的公钥替换成自己所选的值。敌手 $A_{2}$ 知道系统所拥有的主密钥，但是不可以替换协议参与者的公钥。

$\prod_{i, j}^{s}$ 表示参与者i和j的第s个会话。

Lippold [15] 等将传统的eCK模型扩展成为无证书下的eCK模型，该模型是通过挑战者C和敌手 $A \in {A_{1}, A_{2}}$ 之间进行的游戏来定义的。该游戏分成两个阶段：

阶段1：敌手可以以任何顺序进行以下查询。

Create(i)：C为身份是 $I D_{i}$ 的协议参与者i生成公钥和私钥对。

RevealMasterKey：C 把系统主密钥返回给敌手A。

RevealSessionKey( $\prod_{i, j}^{s}$ )：如果该会话已计算出会话密钥，则把该会话密钥返回，否则返回 $⊥$ 。

RevealPartialPrivateKey(i)：C把参与者i的部分私钥返回给敌手A。

RevealSecretValue(i)：C把参与者i的秘密值返回给敌手A。

ReplacePublicKey(i,pk)：C把参与者i的公钥更换为A所选的值pk。

RevealEphemeralKey( $\prod_{i, j}^{s}$ )：C把参与者i的临时密钥返回给A。

Send( $\prod_{i, j}^{s}$ ,m)：A向会话发送消息m，然后依据协议的执行得到相应的响应信息。

如果A认为第一个阶段的查询结束了，则A选一个新鲜会话，然后进行游戏的第二阶段，执行Test()查询。

阶段2：Test()：第一阶段询问结束，A选一个新鲜会话 $\prod_{i, j}^{s}$ 执行Test查询。随机选 $b \in {0, 1}$ ，如果 $b = 0$ ，则返给A会话密钥，如果 $b = 1$ ，则在会话密钥空间里选一个随机的值返回给A。

在游戏的最后，A输出对b的猜测 $b^{'}$ ，如果 $b^{'} = b$ ，则A赢得游戏。A赢得该游戏的优势为，其中k为安全参数。

定义3：新鲜会话。为参与者i和j已经结束的会话。如果下面的条件都不成立，则称是新鲜的。

1) A查询了的会话密钥。

2) A查询了i拥有的部分私钥或秘密值和会话的临时密钥。

定义4：安全性。当认证密钥交换协议达到如下条件 [16] 时，则称该协议是安全的。

1) 若攻击者诚实的转发消息，且参与者接受该会话，则参与者能获得在会话密钥空间内均匀分布的密钥。

2) 对于任意的多项式时间敌手A，能够赢得游戏的概率是可忽略的。

3. 基于无证书的跨域认证方案

基于苏航等 [17] 的无证书方案设计和CDH假设，提出了本文的协议。

3.1. 方案设计

1) 系统初始化算法

选取满足安全常数λ的阶为q的椭圆曲线循环群 $G_{1}$ 和 $G_{2}$ ，即 $| q | = λ$ ， $G_{1}$ 的生成元为P。 $G_{1}$ 和 $G_{2}$ 分别是加法循环群和乘法循环群，e是 $G_{1} \times G_{1} \to G_{2}$ 的双线性映射。选取安全散列函数 $H_{1} : {0, 1}^{*} \times G_{1} \to Z_{q}^{*}$ ， $H_{2} : G_{1} \to K$ ，其中K是会话密钥空间。

域A和域B分别选取 $s_{A} \in Z_{q}^{*}$ ， $s_{B} \in Z_{q}^{*}$ 作为系统主私钥即 $m s k_{A} = s_{A}$ ， $m s k_{B} = s_{B}$ ，计算公钥 $P_{p u b_{A}} = s_{A} P$ ， $P_{p u b_{B}} = s_{B} P$ 。域A和域B在各自域内公开系统参数 $p a r a m s_{A} = {G_{1}, G_{2}, e, q, P, H_{1}, H_{2}, P_{p u b_{A}}}$ 和 $p a r a m s_{B} = {G_{1}, G_{2}, e, q, P, H_{1}, H_{2}, P_{p u b_{B}}}$ 。

2) 用户部分私钥生成算法

域A内用户user向域A发出注册请求并发送自己的身份信息 $I D_{U}$ ，域A随机选 $g \in Z_{q}^{*}$ ，计算 $k = s_{A} + g H_{1} (I D_{U} ∥ g P)$ 并把它作为用户的部分私钥，并把 ${g P, k}$ 发送给user。

user验证 $k P = P_{p u b_{A}} + g P H_{1} (I D_{U} ∥ g P)$ ，相等则接收k。若等式不成立，则拒绝此部分私钥。

3) 用户公私钥生成算法

用户user随机选，计算私钥 $d_{U} = k + x$ ，输出公钥 $p k_{U} : {g P, x P}$ 。

4) 密钥协商算法

用户user选择临时密钥 $t_{U} \in Z_{q}^{*}$ ，计算临时信息 $T_{U} = t_{U} d_{U} P$ ， ${T^{'}}_{U} = t_{U} P$ 。选随机数 $N_{r}$ ，同时用域B的公钥加密 $H_{1} (I D_{U} ∥ g P)$ 和随机数 $N_{r}$ ，得到 $e_{U} = {H_{1} (I D_{U} ∥ g P), N_{r}}_{P_{p u b_{B}}}$ ，把 $T_{U}, {T^{'}}_{U}, e_{U}, p k_{U}$ 发送给域B。

域B解密 $e_{U}$ 得到 $H_{1} (I D_{U} ∥ g P)$ 和 $N_{r}$ 验证等式 $e (T_{U}, P) = e ({T^{'}}_{U}, P_{p u b_{A}}) e (g P H_{1} (I D_{U} ∥ g P), {T^{'}}_{U}) e ({T^{'}}_{U}, x P)$ ，验证通过则选择临时密钥 $t_{B} \in Z_{q}^{*}$ ，计算临时信息 $T_{B} = t_{B} s_{B} P$ ，计算出会话密钥 $s k_{B}$ 后用该会话密钥加密 $N_{r}$ 得到 $e_{B} = {N_{r}}_{s k_{B}}$ ，把 ${T_{B}, e_{B}, P_{p u b_{B}}}$ 发送给用户user。

用户user解密 $e_{B}$ 得到 ${N^{'}}_{r}$ ，确认和 ${N^{'}}_{r}$ 是不是相等，若相等，则可确定域B的身份，进而双方可用计算得到的会话密钥进行安全的通信。

用户user计算：

$k_{U_{1}} = d_{U} T_{B} + d_{U} t_{U} s_{B} P$

$k_{U_{2}} = t_{U} d_{U} T_{B} = t_{U} t_{B} d_{U} s_{B} P$

会话密钥 $s k_{U} = H_{2} (T_{U} ∥ T_{B} ∥ k_{U_{1}} ∥ k_{U_{2}})$

域B计算：

$k_{B_{1}} = s_{B} T_{U} + t_{B} s_{B} (P_{p u b_{A}} + g P H_{1} (I D_{U} ∥ g P) + x P)$

$k_{B_{2}} = t_{B} s_{B} T_{U} = t_{B} t_{U} s_{B} d_{U} P$

会话密钥 $s k_{B} = H_{2} (T_{U} ∥ T_{B} ∥ k_{B_{1}} ∥ k_{B_{2}})$

3.2. 正确性分析

1) 域B验证用户的正确性

$\begin{matrix} e (T_{U}, P) = e (t_{U} d_{U} P, P) = e (t_{U} (k + x) P, P) \\ = e (t_{U} (s_{A} + g H_{1} (I D_{U} ∥ g P) + x) P, P) \\ = e ((t_{U} s_{A} + t_{U} g H_{1} (I D_{U} ∥ g P) + t_{U} x) P, P) \\ = e (t_{U} s_{A} P, P) e (t_{U} g H_{1} (I D_{U} ∥ g P) P, P) e (t_{U} x P, P) \\ = e {(P, P)}^{t_{U} s_{A}} e {(P, P)}^{t_{U} g H_{1} (I D_{U} ∥ g P)} e {(P, P)}^{t_{U} x} \end{matrix}$

$\begin{array}{l} e ({T^{'}}_{U}, P_{p u b_{A}}) e (g P H_{1} (I D_{U} ∥ g P), {T^{'}}_{U}) e ({T^{'}}_{U}, x P) \\ = e (t_{U} P, s_{A} P) e (g P H_{1} (I D_{U} ∥ g P), t_{U} P) e (t_{U} P, x P) \\ = e {(P, P)}^{t_{U} s_{A}} e {(P, P)}^{t_{U} g H_{1} (I D_{U} ∥ g P)} e {(P, P)}^{t_{U} x} \end{array}$

2) 协议的正确性

协议正确，则需证明用户user和域B计算得到了相同的会话密钥，即证明 $s k_{U} = s k_{B}$ 。

用户user的计算如下：

$k_{U_{1}} = d_{U} T_{B} + d_{U} t_{U} s_{B} P = d_{U} t_{B} s_{B} P + d_{U} t_{U} s_{B} P = (t_{B} + t_{U}) d_{U} s_{B} P$

域B的计算如下：

$\begin{matrix} k_{B_{1}} = s_{B} T_{U} + t_{B} s_{B} (P_{p u b_{A}} + g P H_{1} (I D_{U} ∥ g P) + x P) = s_{B} T_{U} + t_{B} s_{B} (k P + x P) \\ = s_{B} T_{U} + t_{B} s_{B} d_{U} P = s_{B} t_{U} d_{U} P + t_{B} s_{B} d_{U} P = (t_{U} + t_{B}) d_{U} s_{B} P \end{matrix}$

由计算结果可知，用户user和域B能得到一样的会话密钥。

3.3. 安全性证明

下面给出本文提出的协议在eCK模型下的安全性的证明， $H_{1}$ 和是随机预言机。

引理1：由于CDH问题是困难问题，则本文协议在 $A_{1}$ 的攻击下是安全的。

证明：假设 $A_{1}$ 能以不可忽略的优势赢得2.3节中定义的游戏。那么挑战者C可以利用 $A_{1}$ 的能力解决CDH问题。C随机选 $P_{0} \in G_{1}$ ，设置 $P_{0}$ 为协商用户所在域(域A)的公钥，并令 $P_{p u b_{A}} = P_{0}$ 。令域A内全局系统参数为 ${G_{1}, G_{2}, e, q, P, H_{1}, H_{2}, P_{0}}$ ，并把该参数发给 $A_{1}$ 。

令 $n_{0}$ 为参与方可拥有的最多会话数， $n_{1}$ 为最多激活的用户数， $n_{2}$ 为最多进行的哈希询问次数。令 $A d v_{C}^{C D H}$ 为C 解决CDH问题的优势。为了解决CDH问题，给定CDH挑战 $U = u P$ ， $V = v P (u, v \in Z_{q}^{*})$ 和一个预言机DDH(*,*,*)，C 的任务是计算 $C D H (U, V) = u v P$ 。C 模拟2.3节中定义的游戏，在游戏中C要回答 $A_{1}$ 的所有询问。

在游戏开始前，C 随机选 $u \in {1 \dots n_{1}}$ ，代表参与跨域认证的用户。随机选 $t \in {1 \dots n_{0}}$ ，选择作为Test会话。

将敌手攻击的情况 [18] 分为以下几种来讨论：

1) 不知道用户的部分私钥和域B的临时密钥。

Create(i)：C维护一个初始为空的列表 $L_{C}$ ，其中存储的元组格式为 $(I D_{i}, k_{i}, G_{i}, x_{i}, P_{i})$ ，如果 $i = u$ ，C随机选 $x_{i}, h_{i} \in Z_{q}^{*}$ ，计算 $G_{i} = (U - P_{0}) h_{i}^{- 1}$ ， $P_{i} = x_{i} P$ ，设置，并在 $L_{C}$ 中存储 $(I D_{i}, ⊥, G_{i}, x_{i}, P_{i})$ ，在 $L_{H_{1}}$ 中存储 $(I D_{i}, G_{i}, h_{i})$ 。如果 $i \neq u$ ，随机选 $k_{i}, x_{i}, h_{i} \in Z_{q}^{*}$ ，计算 $G_{i} = (k_{i} P - P_{0}) h_{i}^{- 1}$ ， $P_{i} = x_{i} P$ ，设置 $H_{1} (I D_{i} ∥ G_{i}) = h_{i}$ ，并在 $L_{C}$ 中存储 $(I D_{i}, k_{i}, G_{i}, x_{i}, P_{i})$ ，在 $L_{H_{1}}$ 中存储。

$H_{1} (I D_{i}, G_{i})$ 询问：C维护一个初始为空的列表 $L_{H_{1}}$ ，其中存储的元组格式为 $(I D_{i}, G_{i}, h_{i})$ 。如果 $(I D_{i}, G_{i})$ 在 $L_{H_{1}}$ 中，则返回 $h_{i}$ 给 $h_{i}$ 。否则随机选择 $h_{i} \in Z_{q}^{*}$ 返回给 $A_{1}$ ，并在 $L_{H_{1}}$ 中存储 $(I D_{i}, G_{i}, h_{i})$ 。

询问：C维护一个初始为空的列表 $L_{H_{2}}$ ，记录的元组格式为 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ 。如果查询的元组在 $L_{H_{2}}$ 中，则返回 $s k$ 给 $A_{1}$ 。否则按如下操作：

如果 $i = u$ ，C 在列表 $L_{S}$ 中找形如 $(I D_{i}, T_{i}, T_{B}, p k_{i}, s k)$ 的元祖，若找到，则计算

$\bar{Z_{1}} = Z_{1} - x_{i} (T_{B} + t_{i} P_{p u b_{B}})$

$\bar{Z_{2}} = Z_{2} - x_{i} t_{i} T_{B}$

C 检查分别输入， $(P_{0} + G_{i} H_{1} (I D_{i} ∥ G_{i}), t_{i} T_{B}, \bar{Z_{2}})$ ，DDH预言机是否输出1。如果 $Z_{1}$ 和 $Z_{2}$ 计算正确，在 $L_{H_{2}}$ 中存储 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ ， $s k$ 为 $L_{S}$ 中的值。如果计算错误，则随机选 $s k \in K$ ，在 $L_{H_{2}}$ 中存储 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ ，并返回给 $A_{1}$ 。

如果 $i \neq u$ ，在列表 $L_{S}$ 中找形如 $(I D_{i}, T_{i}, T_{B}, p k_{i}, s k)$ 的元祖，若找到，则在 $L_{H_{2}}$ 中存储 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ ， $s k$ 为 $L_{S}$ 中的值。否则随机选，在 $L_{H_{2}}$ 中存储 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ ，并返回 $s k$ 给 $A_{1}$ 。

RevealMasterKey：C 停止模拟。

RevealSessionKey( $\prod_{i, j}^{s}$ )：如果 $\prod_{i, j}^{s} = \prod_{u, B}^{t}$ ，则C 停止模拟，否则把会话密钥 $s k$ 返回给 $A_{1}$ 。

RevealPartialPrivateKey(i)：如果 $i = u$ ，则C停止模拟，否则把部分私钥 $k_{i}$ 返回给 $A_{1}$ 。

RevealSecretValue(i)：C查找 $L_{C}$ 列表，若找到形如 $(I D_{i}, *, *, *, *)$ 的元组，则返回 $x_{i}$ 给 $A_{1}$ 。否则执行Create(i)，返回 $x_{i}$ 给 $A_{1}$ 。

ReplacePublicKey(i,pk)：C查找 $L_{C}$ 列表，若找到形如 $(I D_{i}, *, *, *, *)$ 的元组，则替换 $x_{i}$ 和 $P_{i}$ 为和 ${P^{'}}_{i}$ ，其中 $p k = {P^{'}}_{i}$ ， ${P^{'}}_{i} = {x^{'}}_{i} P$ 。若没有找到，则执行Create(i)，再替换 $x_{i}$ 和 $P_{i}$ 为和 ${P^{'}}_{i}$ 。

RevealEphemeralKey(i)：如果 $\prod_{i, j}^{s} = \prod_{u, B}^{t}$ ，则C停止模拟，否则C发送临时密钥给。

Send( $\prod_{i, j}^{s}$ ,m)：C维护一个初始为空的列表 $L_{S}$ ，其中存储的元组格式为 $(I D_{i}, T_{i}, T_{B}, p k_{i}, s k)$ 。

如果 $\prod_{i, j}^{s} = \prod_{u, B}^{t}$ ，则返回 $T_{B} = V$ 给 $A_{1}$ 。

如果 $i = u$ ，C 随机选择 $t_{i} \in Z_{q}^{*}$ ，并计算

$\bar{Z_{1}} = Z_{1} - x_{i} (T_{B} + t_{i} P_{p u b_{B}})$

$\bar{Z_{2}} = Z_{2} - x_{i} t_{i} T_{B}$

C 检查分别输入， $(P_{0} + G_{i} H_{1} (I D_{i} ∥ G_{i}), t_{i} T_{B}, \bar{Z_{2}})$ ，DDH预言机是否输出1，如果 $Z_{1}$ 和 $Z_{2}$ 计算正确，则在 $L_{S}$ 中记录 $(I D_{i}, T_{i}, T_{B}, p k_{i}, s k)$ ， $s k$ 为 $L_{H_{2}}$ 中的值。否则，随机选，在 $L_{S}$ 中存储 $(I D_{i}, T_{i}, T_{B}, p k_{i}, s k)$ 。

如果 $i \neq u$ ，则按协议规则进行回答。

Test()：如果 $\prod_{i, j}^{s} = \prod_{u, B}^{t}$ ，则C停止模拟，否则，C随机选 $s k \in K$ ，并把 $s k$ 返回给 $A_{1}$ 。

假设 $A_{1}$ 能够赢该游戏，那么 $A_{1}$ 一定计算出了准确的 $Z_{1}$ 和 $Z_{2}$ 。C 有 $\frac{1}{n_{2}}$ 的概率在 $L_{H_{2}}$ 中找到正确的元组。 C 计算：

$\bar{Z_{2}} = Z_{2} - x_{i} t_{i} T_{B} = t_{i} C D H (U, V)$

$C D H (U, V) = t_{i}^{- 1} (Z_{2} - x_{i} t_{i} V)$

则 C 解决CDH问题的优势 $A d v_{C}^{C D H} \geq \frac{1}{n_{0} n_{1} n_{2}} A d v_{A_{1}}$ ，C以不可忽略的优势解决了CDH问题，这与CDH假设冲突。

2) 不知道用户的临时密钥和域B的临时密钥。

Create(i)：C 维护一个初始为空的列表 $L_{C}$ ，其中存储的元组格式为 $(I D_{i}, k_{i}, G_{i}, x_{i}, P_{i})$ ，C 随机选 $k_{i}, x_{i}, h_{i} \in Z_{q}^{*}$ ，计算 $G_{i} = (k_{i} P - P_{0}) h_{i}^{- 1}$ ，，设置 $H_{1} (I D_{i} ∥ G_{i}) = h_{i}$ ，并在 $L_{C}$ 中存储 $(I D_{i}, k_{i}, G_{i}, x_{i}, P_{i})$ ，在 $L_{H_{1}}$ 中存储 $(I D_{i}, G_{i}, h_{i})$ 。

$H_{2} (I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2})$ 询问：C 维护一个初始为空的列表 $L_{H_{2}}$ ，其中存储的元组格式为 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ 。如果查询的元组在 $L_{H_{2}}$ 中，则返回 $s k$ 给 $A_{1}$ 。否则按如下操作：

C 在列表 $L_{S}$ 中找形如 $(I D_{i}, T_{i}, T_{B}, p k_{i}, s k)$ 的元祖，若找到，则计算

$\bar{Z_{1}} = Z_{1} - (k_{i} + x_{i}) T_{B}$

C 检查分别输入， $(T_{i}, T_{B}, Z_{2})$ ，DDH预言机是否输出1。如果 $Z_{1}$ 和 $Z_{2}$ 计算正确，在 $L_{H_{2}}$ 中存储 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ ，为 $L_{S}$ 中的值。如果计算错误，则随机选 $s k \in K$ ，在 $L_{H_{2}}$ 中存储 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ ，并返回给 $A_{1}$ 。

若没有找到，则随机选 $s k \in K$ ，在 $L_{H_{2}}$ 中存储 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ ，并返回 $s k$ 给 $A_{1}$ 。

RevealPartialPrivateKey(i)：C 查找列表 $L_{C}$ ，把相应的部分私钥 $k_{i}$ 返回给 $A_{1}$ 。

RevealEphemeralKey()：如果 $\prod_{i, j}^{s} = \prod_{u, B}^{t}$ ，或者 $\prod_{i, j}^{s} = \prod_{B, u}^{t}$ ，则C 停止模拟，否则C 发送临时密钥给 $A_{1}$ 。

Send( $\prod_{i, j}^{s}$ ,m)：C维护一个初始为空的列表 $L_{S}$ ，其中存储的元组格式为 $(I D_{i}, T_{i}, T_{B}, p k_{i}, s k)$ 。

如果 $\prod_{i, j}^{s} = \prod_{u, B}^{t}$ ，C返回 $T_{i} = U$ 给 $A_{1}$ ，如果 $\prod_{i, j}^{s} = \prod_{B, u}^{t}$ ，则返回 $T_{B}$ 给 $A_{1}$ 。否则按协议规则进行回答。

除以上询问外，其它情况和1)中相同。

假设 $A_{1}$ 能够赢该游戏，则 $A_{1}$ 一定计算出了准确的 $Z_{1}$ 和 $Z_{2}$ 。C有 $\frac{1}{n_{2}}$ 的概率在 $L_{H_{2}}$ 中找到正确的元组。 $C D H (U, V) = Z_{2}$ 。

则 C 解决CDH问题的优势 $A d v_{C}^{C D H} \geq \frac{1}{n_{0} n_{1} n_{2}} A d v_{A_{1}}$ ，C以不可忽略的优势解决了CDH问题，这与CDH假设冲突。

引理2：由于CDH问题是困难问题，则本文协议在 $A_{2}$ 的攻击下是安全的。

证明：假设 $A_{2}$ 能以不可忽略的优势 $A d v_{A_{2}}$ 赢得2.3节中定义的游戏。那么挑战者C可以利用 $A_{2}$ 的能力解决CDH问题。

C随机选 $s \in Z_{q}^{*}$ ，设置 $s P$ 作为用户所在域(域A)的系统公钥，并发送s给 $A_{2}$ 。其它参数的设置和引理1的证明相同。

将敌手攻击的情况分为以下几种来讨论：

不知道用户的私有秘密值和域B的临时密钥。

Create(i)：C 维护一个初始为空的列表 $L_{C}$ ，其中存储的元组格式为，如果 $i = u$ ，C 随机选 $g_{i}, h_{i} \in Z_{q}^{*}$ ，计算 $G_{i} = g_{i} P$ ， $P_{i} = U$ ， $k_{i} = s + g_{i} h_{i}$ ，设置 $H_{1} (I D_{i} ∥ G_{i}) = h_{i}$ ，并在 $L_{C}$ 中存储 $(I D_{i}, k_{i}, G_{i}, ⊥, P_{i})$ ，在 $L_{H_{1}}$ 中存储 $(I D_{i}, G_{i}, h_{i})$ 。如果 $i \neq u$ ，随机选 $x_{i}, g_{i}, h_{i} \in Z_{q}^{*}$ ，计算 $G_{i} = g_{i} P$ ， $P_{i} = x_{i} P$ ， $k_{i} = s + g_{i} h_{i}$ ，设置 $H_{1} (I D_{i} ∥ G_{i}) = h_{i}$ ，并在 $L_{C}$ 中存储 $(I D_{i}, k_{i}, G_{i}, x_{i}, P_{i})$ ，在 $L_{H_{1}}$ 中存储 $(I D_{i}, G_{i}, h_{i})$ 。

$H_{2} (I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2})$ 询问：C 维护一个初始为空的列表 $L_{H_{2}}$ ，其中存储的元组格式为 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ 。如果查询的元组在 $L_{H_{2}}$ 中，则返回 $s k$ 给。否则按如下操作：

如果 $i = u$ ，C 在列表 $L_{S}$ 中找形如 $(I D_{i}, T_{i}, T_{B}, p k_{i}, s k)$ 的元祖，若找到，则计算

$\bar{Z_{1}} = Z_{1} - k_{i} (T_{B} + t_{i} P_{p u b_{B}})$

$\bar{Z_{2}} = Z_{2} - k_{i} t_{i} T_{B}$

C检查分别输入 $(P_{i}, T_{B} + t_{i} P_{p u b_{B}}, \bar{Z_{1}})$ ， $(P_{i}, t_{i} T_{B}, \bar{Z_{2}})$ ，DDH预言机是否输出1。如果 $Z_{1}$ 和 $Z_{2}$ 计算正确，在 $L_{H_{2}}$ 中存储 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ ， $s k$ 为 $L_{S}$ 中的值。如果计算错误，则随机选 $s k \in K$ ，在 $L_{H_{2}}$ 中存储 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ ，并返回 $s k$ 给 $A_{2}$ 。

如果 $i \neq u$ ，在列表 $L_{S}$ 中找形如 $(I D_{i}, T_{i}, T_{B}, p k_{i}, s k)$ 的元祖，若找到，则在 $L_{H_{2}}$ 中存储 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ ， $s k$ 为 $L_{S}$ 中的值。否则随机选 $s k \in K$ ，在 $L_{H_{2}}$ 中存储 $(I D_{i}, T_{i}, T_{B}, Z_{1}, Z_{2}, s k)$ ，并返回 $s k$ 给 $A_{2}$ 。

RevealMasterKey：C把主私钥返回给 $A_{2}$ 。

RevealPartialPrivateKey(i)：C把部分私钥 $k_{i}$ 返回给 $A_{2}$ 。

RevealSecretValue(i)：如果 $i = u$ ，则停止模拟，否则C查找 $L_{C}$ 列表，若找到形如 $(I D_{i}, *, *, *, *)$ 的元组，则返回 $x_{i}$ 给 $A_{2}$ 。否则执行Create(i)，返回 $x_{i}$ 给 $A_{2}$ 。

Send( $\prod_{i, j}^{s}$ ,m)：C维护一个初始为空的列表 $L_{S}$ ，记录的元组格式为 $(I D_{i}, T_{i}, T_{B}, p k_{i}, s k)$ 。

如果 $\prod_{i, j}^{s} = \prod_{u, B}^{t}$ ，则返回 $T_{B} = V$ 给 $A_{2}$ 。

如果 $i = u$ ，C随机选择 $t_{i} \in Z_{q}^{*}$ ，并计算

$\bar{Z_{1}} = Z_{1} - k_{i} (T_{B} + t_{i} P_{p u b_{B}})$

$\bar{Z_{2}} = Z_{2} - k_{i} t_{i} T_{B}$

C检查分别输入 $(P_{i}, T_{B} + t_{i} P_{p u b_{B}}, \bar{Z_{1}})$ ， $(P_{i}, t_{i} T_{B}, \bar{Z_{2}})$ ，DDH预言机是否输出1。如果 $Z_{1}$ 和 $Z_{2}$ 计算正确，则在 $L_{S}$ 中记录 $(I D_{i}, T_{i}, T_{B}, p k_{i}, s k)$ ， $s k$ 为 $L_{H_{2}}$ 中的值。否则，随机选 $s k \in K$ ，在 $L_{S}$ 中存储 $(I D_{i}, T_{i}, T_{B}, p k_{i}, s k)$ 。

如果 $i \neq u$ ，则按协议规则进行回答。

除以上询问外，其它情况和引理1的证明1)中相同。

假设 $A_{2}$ 能够赢得该游戏，则 $A_{2}$ 一定计算出了准确的 $Z_{1}$ 和 $Z_{2}$ 。C有 $\frac{1}{n_{2}}$ 的概率在 $L_{H_{2}}$ 中找到正确的元组。C计算：

$\bar{Z_{2}} = Z_{2} - k_{i} t_{i} T_{B} = t_{i} C D H (U, V)$

$C D H (U, V) = t_{i}^{- 1} (Z_{2} - k_{i} t_{i} V)$

则C解决CDH问题的优势 $A d v_{C}^{C D H} \geq \frac{1}{n_{0} n_{1} n_{2}} A d v_{A_{2}}$ ，C以不可忽略的优势解决了CDH问题，这与CDH假设冲突。

剩余情况和引理1类似。

由以上引理的证明，可知本文所提出的协议在eCK模型下是安全的。

4. 性能分析与比较

本文协议和文献 [8] [10] 的协议在构造上有差别，所以从方案的交互次数、加解密次数方面比较了这

Table 1. Performance comparison of different solutions

表1. 各方案性能比较

三个方案。

和文献 [8] 和文献 [10] 相比，本文解决了密钥托管问题，而且交互次数和加解密次数都相应的减少。文献 [8] 基于零知识证明实现了方案的匿名性和可追踪性，但是缺乏对所提出方案详细的安全性证明。文献 [10] 所提出协议的参与方有四方，交互过于复杂，且对于方案的安全性也是给出了相应的分析缺乏详尽的证明。分析说明，本文的方案保证了安全性的同时，还降低了开销。

5. 结语

本文基于无证书提出了一个云计算下的跨域认证密钥交换协议。实现了用户的跨域认证，降低了服务器的压力，充分保证了用户的密钥安全，与同类协议相比(表1)，提高了认证和密钥协商的效率。

基金项目

国家自然科学基金(10007016201201)。

参考文献

[1]	Buyya, R., Yeo, C.S. and Venugopal, S. (2008) Market-Oriented Cloud Computing: Vision, Hype, and Reality for Delivering IT Ser-vices as Computing Utilities. IEEE International Conference on High PERFORMANCE Computing and Communications, 10-1016.
[2]	吴吉义, 傅建庆, 平玲娣, 谢琪. 一种对等结构的云存储系统研究[J]. 电子学报, 2011, 39(5): 1100-1107.
[3]	房晶, 吴昊, 白松林. 云计算安全研究综述[J]. 电信科学, 2011, 27(4): 37-42.
[4]	段志强. 混合云安全策略研究[J]. 计算机安全, 2014(8): 33-37.
[5]	张建晓. 身份认证技术及其发展趋势[J]. 信息通信, 2015(2): 125-126.
[6]	李文敏. 认证密钥协商协议的设计与应用[D]: [博士学位论文]. 北京: 北京邮电大学, 2012.
[7]	李小标. 跨域认证关键技术研究[D]: [博士学位论文]. 北京: 北京邮电大学, 2011.
[8]	Xu, C. and He, J. (2015) A Cross-Domain Authentication Method for Cloud Computing. Interna-tional Journal of Security & Its Applications, 9, 285-292. https://doi.org/10.14257/ijsia.2015.9.3.22
[9]	Castiglione, A., Palmieri, F., Chen, C.L., et al. (2016) A Blind Signature-Based Approach for Cross-Domain Authentication in the Cloud Environment. Interna-tional Journal of Data Warehousing & Mining, 12, 34-48. https://doi.org/10.4018/IJDWM.2016010103
[10]	解福. 云计算环境中认证与密钥协商关键技术研究[D]: [博士学位论文]. 济南: 山东师范大学, 2014.
[11]	Al-Riyami, S.S. and Paterson, K.G. (2003) Certificateless Public Key Cryptography. In: Advances in Cryptology-ASIACRYPT 2003, Springer, Berlin, Heidelberg, 452-473.
[12]	田静. eCK模型下认证密钥交换协议及其证明[D]: [硕士学位论文]. 沈阳: 东北大学, 2011.
[13]	翁江. 椭圆曲线密码中双线性对与离散对数问题研究[D]: [硕士学位论文]. 郑州: 解放军信息工程大学, 2012.
[14]	李贵莹. 基于无证书的两方认证密钥协商协议的研究与分析[D]: [硕士学位论文]. 济南: 山东大学, 2014.
[15]	Lippold, G., Boyd, C. and Nieto, J.G. (2009) Strongly Secure Certificateless Key Agreement. In: Pairing-Based Cryptography—Pairing 2009, Springer, Berlin, Heidelberg, 206-230.
[16]	周彦伟, 杨波, 张文政. 一种改进的无证书两方认证密钥协商协议[J]. 计算机学报, 2017, 40(5): 1181-1191.
[17]	苏航, 刘建伟, 陶芮. 无证书的层次认证密钥协商协议[J]. 通信学报, 2016, 37(7): 161-171.
[18]	He, D., Padhye, S. and Chen, J. (2012) An Efficient Certificateless Two-Party Authenticated Key Agreement Protocol. Computers and Mathematics with Applications, 64, 1914-1926. https://doi.org/10.1016/j.camwa.2012.03.044

为你推荐

友情链接