[发明专利]一种身份隐藏且非延展安全的认证密钥协商方法

摘要

本发明提供了一种身份隐藏且非延展安全的认证密钥协商方法，包括：第一设备将确定出的X′＝AX^d发送给第二设备，其中A＝g^a为第一设备公钥和X＝g^x和d＝h_d(X，aux_d)；第二设备确定Y′＝BY^e，其中B＝g^b为第二设备公钥和Y＝g^y和e＝h_e(Y，aux_e)，并根据DH‑指数y、私钥b以及X′确定S，并基于S确定K_A和K_B，根据K_B和认证加密函数AE确定C_B＝AE(K_B，(I_B，B，CERT_B，Y，Data_B))，并将Y′和C_B发送给第一设备；第一设备根据DH‑指数x、私钥a以及Y′确定S，并基于S确定K_A和K_B，第一设备根据K_A确定C_A＝AE(K_A，(I_A，A，CERT_A，X，Data_A))，并将C_A发送给第二设备。在本会话密钥协商方法中，经合理的参数设置，每个设备运行2.5个模指数运算。这极大地减少了各个设备的数据计算量，提高了会话密钥的生成效率，并具有更优良的的应用灵活。

主权项

1.一种身份隐藏且非延展安全的认证密钥协商方法，其特征在于，所述方法包括：第一设备根据其生成的DH‑指数和第一设备的公钥A＝g^a∈G，第一辅助信息aux_A其可为空的数据集合，以及第一设备需加密传输的可为空数据集合Data_A，确定第一参数X′＝AX^d∈G或X′＝A^dX∈G，其中X＝g^x∈G，d＝h(X，aux_d)，是一个转换函数，L_d是一个正整数满足1≤L_d≤|q|，|q|表示q的二进制长度，并将所述第一参数X′以及第一辅助信息aux_A发送给第二设备，其中，g表示有限群G′的循环子群G的阶为q的生成元，a∈Z_q是第一设备的私钥，I_A表示第一设备的身份，CERT_A是第一设备的公钥证书，CERT_B是第二设备的公钥证书，I_B表示第二设备的身份，B＝g^b∈G是第二设备的公钥，b∈Z_q是第二设备的私钥；第二设备根据其生成的DH‑指数y∈Z_q和第二设备的公钥B＝g^b∈G以及第二辅助信息aux_B其可为空的数据集合，以及第二设备需加密传输的可为空数据集合Data_B，其中b∈Z_q是第二设备的私钥，以及接受到所述第一参数X′及第一辅助信息aux_A确定第二参数Y′＝BY^e∈G或Y′＝B^eY∈G，其中Y＝g^y∈G，e＝h_e(Y，aux_e)，是一个转换函数，L_e是一个正整数满足1≤L_e≤|q|，h_e和h_d可相同或不同，所述第二设备根据(b，y)以及第二辅助信息aux_B以及接收到的所述第一参数X′及所述第一辅助信息aux_A，确定预先共享密钥S，根据S以及{X′，Y′，aux_A，aux_B}的一个子集利用密钥导出函数KDF确定第一设备和第二设备的认证加密密钥K_A和K_B，其中K_A和K_B相等或不等，第二设备利用一个对称加密算法AE计算C_B＝AE(K_B，(I_B，B，CERT_B，Y，Data_B))，其中Data_B是第二设备其它需加密传输的可为空的数据集合，所述第二设备将第二参数Y′和C_B和aux_B发送给所述第一设备，并导出会话密钥；所述第一设备根据(a，x)以及所述第一辅助信息auxA和auxe以及接受到的所述第二参数Y′以及第二辅助信息auxB确定S，根据S以及{X′，Y′，auxA，auxB}的一个子集利用密钥导出函数KDF确定第一设备和第二设备的认证加密密钥KA和KB，然后利用KB解密接收到的所述CB得到(IB，B，CERTB，Y)；所述第一设备验证公钥证书CERTB和第二参数Y′的有效性，若验证结果不正确则终止运行，若验证结果正确则计算CA＝AE(KA，(IA，A，CERTA，X，DataA))，其中DataA是第一设备其它需加密传输的可为空的数据集合；第一设备将CA发送给第二设备，并导出会话密钥；所述第二设备利用KA解密接收到的所述CA得到(IA，A，CERTA，X)，验证公钥证书CERTA和第一参数X′的有效性，若验证结果不正确则终止运行，若验证结果正确则导出会话密钥。