Схема Сакаи – Касахара - Википедия - Sakai–Kasahara scheme

В Схема Сакаи – Касахара, также известный как алгоритм шифрования ключа Сакаи – Касахара (САККЕ), является шифрование на основе личности (IBE) система, предложенная Рюичи Сакаи и Масао Касахара в 2003 году.^[1] Наряду с Схема Боне-Франклина, это одна из небольшого числа коммерчески реализуемых схем шифрования на основе идентификации. Это приложение пары над эллиптические кривые и конечные поля. Доказательство безопасности для алгоритма было создано в 2005 году Ченом и Ченгом.^[2] SAKKE описан в Internet Engineering Task Force (IETF ) RFC 6508.^[3]

В качестве особого метода для шифрования на основе идентичности основной вариант использования - позволить кому-либо зашифровать сообщение для пользователя, когда отправителю известен только общедоступный идентификатор (например, адрес электронной почты) пользователя. Таким образом, эта схема устраняет необходимость для пользователей обмениваться общедоступными сертификатами с целью шифрования.

Описание схемы

Схема Сакаи – Касахара позволяет зашифровать сообщение. ${ Displaystyle mathbb {M}}$ получателю с определенным именем, ${ displaystyle textstyle I_ {U}}$ . Только объект с закрытым ключом, ${ displaystyle textstyle K_ {U}}$ , связанный с личностью, ${ displaystyle textstyle I_ {U}}$ , сможет расшифровать сообщение.

В рамках схемы и отправитель, и получатель должны доверять генератору закрытых ключей (PKG), также известному как сервер управления ключами (KMS). Цель PKG - создать закрытый ключ получателя, ${ displaystyle textstyle K_ {U}}$ , связанный с идентификатором получателя, ${ displaystyle textstyle I_ {U}}$ . PKG должна безопасно доставить получателю закрытый ключ удостоверения личности и общедоступный параметр PKG, ${ displaystyle textstyle Z}$ , всем сторонам. Эти процессы распространения не рассматриваются как часть определения этой криптографической схемы.

Предварительные мероприятия

В схеме используются две мультипликативные группы ${ displaystyle textstyle E}$ и ${ displaystyle textstyle G}$ . Предполагается:

В Проблема Диффи-Хеллмана тяжело в ${ displaystyle textstyle E}$ . Это означает, что для двух членов группы ${ displaystyle textstyle P}$ и ${ displaystyle textstyle Q}$ , трудно найти ${ displaystyle textstyle x}$ такой, что ${ displaystyle textstyle [x] .P = Q}$ .
В Проблема Диффи-Хеллмана тяжело в ${ displaystyle textstyle G}$ . Это означает, что с учетом двух членов группа ${ displaystyle g}$ и ${ displaystyle t}$ , трудно найти ${ displaystyle textstyle x}$ такой, что ${ displaystyle textstyle g ^ {x} = t}$ .
Есть билинейная карта Тейт-Лихтенбаум. спаривание, ${ Displaystyle textstyle е (,)}$ от E до G. Это означает, что для ${ displaystyle textstyle P}$ членом ${ displaystyle textstyle E}$ и для ${ displaystyle textstyle g = e (P, P)}$ членом ${ displaystyle textstyle G}$ :

{ displaystyle textstyle e (P, [x] .P) = e ([x] .P, P) = e (P, P) ^ {x} = g ^ {x}}

Часто, ${ displaystyle textstyle E}$ суперсингулярный эллиптическая кривая, Такие как ${ displaystyle textstyle E: y ^ {2} = x ^ {3} -3x}$ (над конечным полем простого порядка ${ displaystyle textstyle p}$ ). Генератор ${ displaystyle textstyle P}$ высшего порядка ${ displaystyle textstyle q}$ выбран в ${ displaystyle textstyle E}$ . Группа ${ displaystyle textstyle G}$ - образ, образованный спариванием группы, порожденной ${ displaystyle textstyle P}$ (в поле расширения степени 2 конечного поля порядка p).

Два хэш-функции также требуются, ${ displaystyle textstyle H_ {1}}$ и ${ displaystyle textstyle H_ {2}}$ . ${ displaystyle textstyle H_ {1}}$ выводит положительное целое число, ${ displaystyle textstyle x}$ , так что ${ Displaystyle textstyle 1 <х$ . ${ displaystyle textstyle H_ {2}}$ выходы ${ displaystyle textstyle n}$ биты, где ${ displaystyle textstyle n}$ длина сообщения ${ Displaystyle mathbb {M}}$ .

Генерация ключей

У PKG есть главный секрет ${ displaystyle textstyle z}$ куда ${ Displaystyle 1 <г <д}$ , и открытый ключ ${ displaystyle textstyle Z = [z] .P}$ что является точкой на ${ displaystyle textstyle E}$ . PKG генерирует закрытый ключ, ${ displaystyle textstyle K_ {U}}$ , для пользователя с удостоверением ${ displaystyle textstyle ID_ {U}}$ следующее:

{ displaystyle textstyle K_ {U} = [{ frac {1} {z + H_ {1} (ID_ {U})}}]. P}

Шифрование

Чтобы зашифровать неповторяющееся сообщение ${ Displaystyle mathbb {M}}$ , отправителю требуется личность получателя, ${ displaystyle textstyle ID_ {U}}$ и публичная стоимость PGK ${ displaystyle textstyle Z}$ . Отправитель выполняет следующую операцию.

Создавать: ${ displaystyle textstyle id = H_ {1} (ID_ {U})}$
Отправитель генерирует ${ displaystyle textstyle r}$ с помощью ${ displaystyle textstyle r = H_ {1} ( mathbb {M} || id)}$
Создать точку ${ displaystyle textstyle R}$ в ${ displaystyle textstyle E}$ :
${ displaystyle textstyle R = [r]. ([id] .P + Z)}$
Создайте замаскированное сообщение:
${ displaystyle textstyle S = mathbb {M} oplus H_ {2} (g ^ {r})}$
Зашифрованный вывод: ${ displaystyle textstyle (R, S)}$

Обратите внимание, что сообщения могут не повторяться, так как повторение сообщения для одного и того же идентификатора приводит к повторному зашифрованному тексту. Протокол имеет расширение на случай возможного повторения сообщений.

Расшифровка

Чтобы расшифровать сообщение, зашифрованное в ${ displaystyle textstyle ID_ {U}}$ , получателю требуется закрытый ключ, ${ displaystyle textstyle K_ {U}}$ от PKG и общественной ценности ${ displaystyle textstyle Z}$ . Порядок расшифровки следующий:

Вычислить ${ displaystyle textstyle id = H_ {1} (ID_ {U})}$
Получите зашифрованное сообщение: ${ Displaystyle textstyle (R, S)}$ .
Вычислить:
${ Displaystyle textstyle ш = е (р, K_ {U})}$
Извлеките сообщение:
${ Displaystyle textstyle mathbb {M} = S oplus H_ {2} (ш)}$
Чтобы проверить сообщение, вычислите ${ displaystyle textstyle r = H_ {1} ( mathbb {M} || id)}$ , и принимайте сообщение, только если:
${ displaystyle textstyle [r]. ([id] .P + Z) Equiv R}$

Демонстрация алгоритмической корректности

Следующие уравнения демонстрируют правильность алгоритма:

{ displaystyle textstyle w = e (R, K_ {U}) = e ([r]. ([id] .P + Z), K_ {U}) = e ([r]. ([id]. P + [z] .P), K_ {U}) = e ([r (id + z)]. P, K_ {U})}

По билинейности карты:

{ displaystyle textstyle w = e ([r (id + z)]. P, K_ {U}) = e ([r (id + z)]. P, [{ frac {1} {(id + z)}}]. P) = e (P, P) ^ { frac {r (id + z)} {(id + z)}} = g ^ {r}}.

Как результат:

{ displaystyle textstyle S oplus H_ {2} (w) = ( mathbb {M} oplus H_ {2} (g ^ {r})) oplus H_ {2} (w) = mathbb {M }}

Стандартизация

К этому протоколу относятся четыре стандарта:

Первоначальная стандартизация схемы была начата IEEE в 2006 году.^[4]
Схема была стандартизирована IETF в 2012 г. RFC 6508.
Основанный на схеме алгоритм обмена ключами - это Майки -Протокол SAKKE, разработанный агентством национальной разведки и безопасности Великобритании, GCHQ, и определено в RFC 6509.
Sakai-Kasahara, как указано в MIKEY-SAKKE, является основным алгоритмом обмена ключами Безопасный хор зашифрованный Голос по IP стандарт.^[5]

Безопасность

Как и другие схемы шифрования на основе идентификации, Sakai-Kasahara требует, чтобы сервер управления ключами (KMS) хранил главный секрет, на основе которого могут быть сгенерированы закрытые ключи всех пользователей. Стивен Мердок раскритиковал MIKEY-SAKKE за создание уязвимости в системе безопасности, позволяя KMS расшифровывать сообщения каждого пользователя.^[6]^[7]^[8]. Мердок также отметил, что отсутствие прямая секретность в MIKEY-SAKKE увеличивает вред, который может возникнуть в результате компрометации главного секрета. GCHQ, создатель MIKEY-SAKKE, оспорил этот анализ, указав, что некоторые организации могут рассматривать такие возможности мониторинга как желательные для следственных или нормативных соображений.^[9], и что KMS должен быть защищен воздушный зазор^[10].

Криптографические библиотеки и реализации

Схема является частью криптографической библиотеки MIRACL.

Смотрите также

Шифрование на основе идентификатора
wolfSSL : Библиотека SSL / TLS, интегрированная с MIKEY SAKKE.