一种新的无双线性对的无证书安全签密方案

可证安全的基于身份的签密方案摘要对高键鑫等（高键鑫，吴晓平，秦艳琳.无双线性对的无证书安全签密方案.计算机应用研究，2014，31（4 1195-1198提出的基于无双线性对的签密方案进行了分析，发现其方案存在公钥替换攻击，在此基础上提出了一种新的无双线性对的基于身份的签密方案，并在随机预言机模型下证明了该方案存在第1类攻击者条件下的不可伪造性。

最后把新方案与其他签密方案作了效率分析对比，新方案仅使用了3次哈希运算和7次点乘运算，结果表明新方案具有较好的计算效率。

关键词数字签名；基于身份；双线性对；随机预言机；签密中图分类号TP309.2文献标志码 A0引言1984年，Shamir[1]首次提出了基于身份的密码体制，其思想就是将用户的身份作为公钥，简化传统的公钥基础设施中证书颁发结构（Certificate Authority，CA对用户公钥证书的管理。

1997年，Zheng [2]首次提出了签密的概念和签密方案。

与传统的数字签名相比，签密方案将对消息签名和加密同时进行，有计算量小、通信量少的优势。

Zheng [2]方案中仍存在证书管理繁琐和密钥托安全管问题，AlRiyami等[3]在此基础上提出了无证书签密机制，进一步提高了签密的效率。

随后其他研究者也参与对高效可证安全的签密方案的研究，2008年Barbosa等[4]提出了无证书签密方案，并给出了签密机制的第一个安全模型。

国内朱辉等[5]和刘文浩等[6]分别提出了基于无双线性配对的无证书签密机制，但二者均不能抵抗替换公钥攻击，文献[7-9]都对二者的方案进行了攻击分析并作出了改进。

2013年高键鑫等[10]提出的无双线性对的无证书安全签密方案，通过对其进行安全性分析研究发现该方案存在公钥替换攻击问题。

在此基础上结合国密SM2[11]标准签名算法设计和实现技巧，本文提出了一个新的无双线性对的基于身份的签密方案，并在随机预言机模型下证明了该方案。

ｄｏｉ:１０ １１９２０/ｘｎｍｄｚｋ ２０２３ ０３ ０１１一个无安全信道的无证书公钥可搜索加密方案孙莹莹１ꎬ２ꎬ刘晓光１ꎬ２ꎬ３ꎬ刁颖颖３ꎬ谯小康１(１.西南民族大学计算机科学与工程学院ꎬ四川成都㊀６１００４１ꎻ２.广西密码学与信息安全重点实验室ꎬ广西桂林㊀５４１００４ꎻ３.西南民族大学数学学院ꎬ四川成都㊀６１００４１)摘㊀要:数据通常被加密后存储至云服务器ꎬ尽管这样可以保证数据的安全ꎬ但限制了用户对密文的搜索ꎬ公钥可搜索加密技术(ＰＥＫＳ)应运而生.结合无证书公钥密码学体制ꎬ提出了一种无证书轻量级可认证的无安全信道ＰＥＫＳ方案.该方案在随机预言模型下被证明是安全的.分析结果表明ꎬ推出的方案在安全性㊁计算成本和通信成本方面具有更好的综合性能.关键词:无安全信道ꎻ无双线性对ꎻ无证书ꎻ公钥可搜索加密中图分类号:ＴＰ３０９.７㊀㊀㊀㊀㊀㊀㊀㊀㊀文献标志码:Ａ㊀㊀㊀㊀㊀㊀㊀㊀㊀文章编号:２０９５￣４２７１(２０２３)０３￣０３１２￣１１收稿日期:２０２２￣０９￣２２通信作者:刘晓光(１９８５￣)ꎬ男ꎬ甘肃定西人ꎬ副教授ꎬ博士ꎬ研究方向:密码学㊁信息安全.Ｅ￣ｍａｉｌ:２１７００１２８＠ｓｗｕｎ.ｅｄｕ.ｃｎ基金项目:四川省科技计划项目(２０２３ＮＳＦＳＣ０４７１)ꎻ广西密码与信息安全重点实验室基金(ＧＣＩＳ２０２１２１)ꎻ国家外专项目(ＤＬ２０２２１８６００１Ｌ)ꎻ西南民族大学中央高校基本科研业务费专项资金项目(２０２１ＮＹＹＸＳ６４)ＡｃｅｒｔｉｆｉｃａｔｅｌｅｓｓｐｕｂｌｉｃｋｅｙｓｅａｒｃｈａｂｌｅｅｎｃｒｙｐｔｉｏｎｓｃｈｅｍｅｗｉｔｈｏｕｔｓｅｃｕｒｅｃｈａｎｎｅｌＳＵＮＹｉｎｇ￣ｙｉｎｇ１ꎬ２ꎬＬＩＵＸｉａｏ￣ｇｕａｎｇ１ꎬ２ꎬ３ꎬＤＩＡＯＹｉｎｇ￣ｙｉｎｇ３ꎬＱＩＡＯＸｉａｏ￣ｋａｎｇ１(１.ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＥｎｇｉｎｅｅｒｉｎｇꎬＳｏｕｔｈｗｅｓｔＭｉｎｚｕＵｎｉｖｅｒｓｉｔｙꎬＣｈｅｎｇｄｕ６１００４１ꎬＣｈｉｎａꎻ２.ＧｕａｎｇｘｉＫｅｙＬａｂｏｒａｔｏｒｙｏｆＣｒｙｐｔｏｇｒａｐｈｙａｎｄＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙꎬＧｕａｎｇｘｉ５４１００４ꎬＣｈｉｎａꎻ３.ＳｃｈｏｏｌｏｆＭａｔｈｅｍａｔｉｃｓꎬＳｏｕｔｈｗｅｓｔＭｉｎｚｕＵｎｉｖｅｒｓｉｔｙꎬＣｈｅｎｇｄｕ６１００４１ꎬＣｈｉｎａ)Ａｂｓｔｒａｃｔ:Ｄａｔａｉｓｅｎｃｒｙｐｔｅｄａｎｄｓｔｏｒｅｄｏｎａｃｌｏｕｄｓｅｒｖｅｒꎻｉｔｃａｎｅｎｓｕｒｅｄａｔａｓｅｃｕｒｉｔｙꎬｂｕｔｌｉｍｉｔｓｕｓｅｒｓ ｓｅａｒｃｈｆｏｒｃｉｐｈｅｒｔｅｘｔ.Ｓｏｔｈｅｐｕｂｌｉｃｋｅｙｓｅａｒｃｈａｂｌｅｅｎｃｒｙｐｔｉｏｎｔｅｃｈｎｏｌｏｇｙ(ＰＥＫＳ)ｃａｍｅｉｎｔｏｂｅｉｎｇ.ＴｈｉｓｐａｐｅｒｐｒｏｐｏｓｅｄａｌｉｇｈｔｗｅｉｇｈｔａｎｄａｕｔｈｅｎｔｉｃａｔａｂｌｅＰＥＫＳｓｃｈｅｍｅｗｉｔｈｏｕｔｓｅｃｕｒｅｃｈａｎｎｅｌꎬｗｈｉｃｈｉｓｃｏｍｂｉｎｅｄｗｉｔｈｃｅｒｔｉｆｉｃａｔｅｌｅｓｓｐｕｂｌｉｃｋｅｙｃｒｙｐｔｏｇｒａｐｈｙ.Ｔｈｅｓｃｈｅｍｅｗａｓｐｒｏｖｅｄｔｏｂｅｓｅｃｕｒｅｕｎｄｅｒｔｈｅｒａｎｄｏｍｏｒａｃｌｅｍｏｄｅｌ.Ｔｈｅａｎａｌｙｓｉｓｒｅｓｕｌｔｓｓｈｏｗｅｄｔｈａｔｔｈｅｐｒｏｐｏｓｅｄｓｃｈｅｍｅｈａｄｂｅｔｔｅｒｃｏｍｐｒｅｈｅｎｓｉｖｅｐｅｒ￣ｆｏｒｍａｎｃｅｉｎｔｅｒｍｓｏｆｓｅｃｕｒｉｔｙꎬｃｏｍｐｕｔａｔｉｏｎｃｏｓｔａｎｄｃｏｍｍｕｎｉｃａｔｉｏｎｃｏｓｔ.Ｋｅｙｗｏｒｄｓ:ｆｒｅｅｓｅｃｕｒｅｃｈａｎｎｅｌꎻｆｒｅｅｐａｉｒｉｎｇꎻｃｅｒｔｉｆｉｃａｔｅｌｅｓｓꎻｐｕｂｌｉｃｋｅｙｓｅａｒｃｈａｂｌｅｅｎｃｒｙｐｔｉｏｎ㊀㊀众所周知ꎬ加密技术可以增强数据的安全性ꎬ却限制了用户对数据的高效搜索和共享.一个不理想的解决方案是用户首先下载所有加密数据ꎬ待全部解密后进行搜索操作.但随着数据规模的不断增大ꎬ计算和通信成本会呈指数级增加.为解决这个问题ꎬ基于对称加密的可搜索方案首先被提出[１].然而ꎬ一个棘手问题是如何秘密地将密钥分发给授权用户[２].此外ꎬ该类方案不可避免地会消耗大量的计算和通信成本.２００４年ꎬＢｏｎｅｈ等人[３]给出了第一个ＰＥＫＳ方案.此方案实现了Ｂｏｂ通过云服务器向Ａｌｉｃｅ发送文档ꎬ具体过程如下:Ｂｏｂ首先从文档中提取关键字ꎬ并用Ａｌｉｃｅ的公钥加密ꎬ生成关键字密文并上传至服务器.Ａｌｉｃｅ使用３１３㊀第３期孙莹莹ꎬ等:一个无安全信道的无证书公钥可搜索加密方案其私钥加密关键字生成陷门ꎬ并将生成的陷门发送至服务器.最后ꎬ服务器对接收到的关键字密文和陷门进行测试.如果二者包含的关键字相同ꎬ服务器将把包含该关键字的文档发送给Ａｌｉｃｅ.然而ꎬＢａｅｋ等人[４]指出方案[３]为了保证陷门的安全性ꎬ需要通过高消耗的安全信道将陷门传输至服务器.因此ꎬ他们提出了一个无安全信道的ＰＥＫＳ方案(ＳＣＦ－ＰＥＫＳ).该方案中ꎬ云服务器的公㊁私钥分别参与密文的生成与测试算法.Ｙａｕ等人[５]指出方案[４]容易受到离线关键字猜测攻击.这是因为用户通常使用常见的关键字来进行搜索操作ꎬ关键字是在一个很小的空间中选择的[６].Ｒｈｅｅ等人[７]设计了一个增强的ＳＣＦ－ＰＥＫＳ方案ꎬ但此方案只考虑了外部关键字猜测攻击(ＯＫＧＡ)ꎬ却不能抵抗内部关键字猜测攻击(ＩＫＧＡ).Ｘｕ等人[８]提出了模糊关键字ＰＥＫＳ方案.在该方案中ꎬ每个关键字对应一个精确的关键字搜索陷门和一个模糊的关键字搜索陷门ꎬ但该方案也只能抵抗ＯＫＧＡ.Ｌｕ等人[９]提出了一个基于证书的ＳＣＦ－ＰＥＫＳ方案.此方案可有效抵抗ＩＫＧＡꎬ却引入了繁琐的证书管理问题.Ｌｉ等人[１０]提出了一个基于身份的ＳＣＦ－ＰＥＫＳ方案.该方案解决了证书管理问题ꎬ却存在密钥托管问题.Ｐａ￣ｋｎｉａｔ[１１]提出了一个无证书的ＳＣＦ－ＰＥＫＳ方案ꎬ有效地解决了证书管理和密钥托管问题.然而ꎬＭｉａｏ等人[１２]指出ꎬ大多数现有的ＰＥＫＳ方案仍然容易受到ＩＫＧＡ攻击ꎬ这意味着内部敌手可以成功地猜测出候选关键字.２０１９年ꎬＺｈａｎｇ等人[１３]提出了无证书公钥认证的ＳＣＦ－ＰＥＫＳ方案.２０２１年ꎬＬｕ等人[１４]提出了轻量级公钥认证ＰＥＫＳ方案.此类基于认证的方案通过验证发送者的身份ꎬ可有效抵抗ＩＫＧＡ和ＯＫＧＡ.遗憾的是ꎬ现有的许多无安全通道ＰＥＫＳ方案都依赖于高消耗的双线性对.本文中ꎬ我们将提出一个无证书轻量级可认证的无安全信道ＰＥＫＳ方案(ＳＣＦ－ＰＡＥＫＳ)ꎬ主要贡献如下:１)方案基于无证书密码学ꎬ不存在证书管理和密钥托管问题ꎻ２)使用标量乘法代替高成本的双线性对ꎬ具有更高的效率ꎻ３)为了增强方案的安全性ꎬ我们在加密方案中不仅输入数据接受者的公钥ꎬ还输入数据拥有者的公钥ꎬ使得数据接收者可以验证数据拥有者的身份ꎻ４)对所推出的方案进行了性能分析ꎬ并在随机预言模型下证明了方案的安全性.１㊀预备知识㊀㊀下面将给出本文算法安全性所基于的困难问题和基本系统模型.图１㊀ＳＣＦ－ＰＡＥＫＳ系统模型Ｆｉｇ.１㊀ＳＣＦ－ＰＡＥＫＳｓｙｓｔｅｍｍｏｄｅｌ１.１㊀椭圆曲线Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ问题设Ｇ是椭圆曲线上的点组成的加法循环群ꎬ其阶数为素数ｑ.Ｐ是Ｇ的生成元.下面将分别给出椭圆曲线Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ(ＣＤＨ)问题和决策Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ(ＤＤＨ)问题的定义.定义１(ＣＤＨ):给出三元组(ＰꎬａＰꎬｂＰ)ɪＧꎬ其中ａꎬｂɪＺｐ∗ꎬ计算ａｂＰ是困难问题.定义２(ＤＤＨ):给出四元组(ＰꎬａＰꎬｂＰꎬｃＰ)ꎬ其中ａꎬｂꎬｃɪＺｐ∗ꎬ确定ｃ是否等于ａｂ是困难问题.４１３西南民族大学学报(自然科学版)第４９卷１.２㊀系统模型如图１所示ꎬＳＣＦ－ＰＡＥＫＳ方案的系统模型主要由四个实体组成:密钥生成中心(ＫＧＣ)㊁云服务器㊁数据拥有者和数据接收者.每个实体的工作方式如下:１)ＫＧＣ:它是一个半可信的第三方ꎬ可以生成系统主密钥以及数据拥有者㊁数据接收者和云服务器的部分私钥.同时ꎬＫＧＣ负责公布系统参数.２)数据拥有者:他/她的加密信息分为两部分.首先ꎬ他/她使用自己的私钥加密数据并生成密文ꎬ同时从数据中提取关键词.其次ꎬ数据拥有者使用提出的ＳＣＦ－ＰＡＥＫＳ方案对关键字进行加密ꎬ生成关键字密文ꎬ并将密文上传到云服器.３)数据接收者:他/她使用其私钥㊁数据拥有者的公钥和云服务器的公钥为他/她想要搜索的关键字生成陷门ꎬ并将陷门发送给云服务器.４)云服务器:存储和处理数据的半可信第三方.它利用自己的私钥测试数据所有者发送的关键字密文与数据接收者发送的陷门.如果二者包含相同的关键字ꎬ它会将相应的信息返回给数据接收者.２㊀ＳＣＦ－ＰＡＥＫＳ方案表１㊀符号定义Ｔａｂｌｅ１㊀Ｓｙｍｂｏｌｄｅｆｉｎｉｔｉｏｎ符号定义Ｇ加法循环群Ｇ１乘法循环群Ｇ２乘法循环群ｑ素数阶ｐ生成元λ安全参数ｓ系统主密钥ＩＤｉ身份Ｈｉ哈希映射ｄＩＤｉ部分私钥ＳＫＩＤｉ私钥ＰＫＩＤｉ公钥ｒＩＤｉꎬｘＩＤｉ随机值㊀㊀该方案由以下八个多项式时间算法组成.我们分别定义数据拥有者㊁数据接收者和云服务器的身份为ＩＤＯ㊁ＩＤＲ和ＩＤＳ.算法中所使用的符号见表１.２.１㊀初始化给定一个安全参数λꎬＫＧＣ选择一个阶为ｑ的加法循环群ＧꎬＰ是Ｇ的生成元.ＫＧＣ选择随机值ｓɪＺｑ∗作为系统主密钥ꎬ并计算Ｐｐｕｂ＝ｓＰ作为系统公钥.ＫＧＣ选择三个不同的哈希函数:Ｈ１:{０ꎬ１}∗ˑＧңＺｑ∗ꎬＨ２:ＧˑＧˑＧˑＧˑＧң{０ꎬ１}∗ꎬＨ３:{０ꎬ１}∗ˑ{０ꎬ１}∗ңＺｑ∗.ＫＧＣ保密系统主密钥ｓꎬ并公开系统参数ｐａｒａｍｓ＝{λꎬＧꎬｑꎬＰꎬＰｐｕｂꎬＨ１ꎬＨ２ꎬＨ３}.第３期孙莹莹ꎬ等:一个无安全信道的无证书公钥可搜索加密方案㊀２.２㊀设置部分私钥ＫＧＣ将执行以下步骤:１)输入数据拥有者的身份ＩＤＯɪ{０ꎬ１}∗.ＫＧＣ选择随机值ｒＩＤＯɪＺｑ∗计算ꎬ并计算ＱＩＤＯ＝ｒＩＤＯＰꎬμＩＤＯ＝Ｈ１(ＩＤＯꎬＱＩＤＯ)ꎬ和ｄＩＤＯ＝ｒＩＤＯ＋ｓμＩＤＯ(ｍｏｄｑ).ＫＧＣ返回ＱＩＤＯꎬμＩＤＯ和ｄＩＤＯ给数据拥有者.２)输入数据接收者的身份ＩＤＲɪ{０ꎬ１}∗.ＫＧＣ选择随机值ｒＩＤＲɪＺｑ∗ꎬ并计算ＱＩＤＲ＝ｒＩＤＲＰꎬμＩＤＲ＝Ｈ１(ＩＤＲꎬＱＩＤＲ)和ｄＩＤＲ＝ｒＩＤＲ＋ｓμＩＤＲ(ｍｏｄｑ).ＫＧＣ返回ＱＩＤＲꎬμＩＤＲ和ｄＩＤＲ给数据接收者.３)输入云服务器的身份ＩＤＳɪ{０ꎬ１}∗.ＫＧＣ选择随机值ｒＩＤＳɪＺｑ∗ꎬ并计算ＱＩＤＳ＝ｒＩＤＳＰꎬμＩＤＳ＝Ｈ１(ＩＤＳꎬＱＩＤＳ)和ｄＩＤＳ＝ｒＩＤＳ＋ｓμＩＤＳ(ｍｏｄｑ).ＫＧＣ返回ＱＩＤＳꎬμＩＤＳ和ｄＩＤＳ给云服务器.２.３㊀设置秘密值输入ＩＤＯɪ０ꎬ１{}∗ꎬＩＤＲɪ０ꎬ１{}∗和ＩＤＳɪ０ꎬ１{}∗.１)数据拥有者选择随机值ｘＩＤＯɪＺｑ∗作为自己的秘密值.２)数据接收者选择随机值ｘＩＤＲɪＺｑ∗作为自己的秘密值.３)云服务器选择随机值ｘＩＤＳɪＺｑ∗作为自己的秘密值.２.４㊀设置私钥１)数据拥有者设置ＳＫＩＤＯ＝(ＳＫＩＤＯ１ꎬＳＫＩＤＯ２)＝(ｘＩＤＯꎬｄＩＤＯ)作为自己的私钥.２)数据接收者设置ＳＫＩＤＲ＝(ＳＫＩＤＲ１ꎬＳＫＩＤＲ２)＝(ｘＩＤＲꎬｄＩＤＲ)作为自己的私钥.３)云服务器设置ＳＫＩＤＳ＝(ＳＫＩＤＳ１ꎬＳＫＩＤＳ２)＝(ｘＩＤＳꎬｄＩＤＳ)作为自己的私钥.２.５㊀设置公钥输入系统参数ｐａｒａｍｓꎬ并分别输入数据拥有者的秘密值ꎬ数据接收者的秘密值和云服务器的秘密值ｘＩＤＯꎬｘＩＤＲ和ｘＩＤＳ.１)数据拥有者计算ＹＩＤＯ＝ｘＩＤＯＰꎬ将ＰＫＩＤＯ＝(ＰＫＩＤＯ１ꎬＰＫＩＤＯ２)＝(ＹＩＤＯꎬＱＩＤＯ)设置为自己的公钥.２)数据接收者计算ＹＩＤＲ＝ｘＩＤＲＰꎬ将ＰＫＩＤＲ＝(ＰＫＩＤＲ１ꎬＰＫＩＤＲ２)＝(ＹＩＤＲꎬＱＩＤＲ)设置为自己的公钥.３)云服务器计算ＹＩＤＳ＝ｘＩＤＳＰꎬ将ＰＫＩＤＳ＝(ＰＫＩＤＳ１ꎬＰＫＩＤＳ２)＝(ＹＩＤＳꎬＱＩＤＳ)设置为自己的公钥.２.６㊀ＳＣＦ－ＰＡＥＫＳ方案输入ｐａｒａｍｓꎬＳＫＩＤＯꎬＰＫＩＤＲ和ＰＫＩＤＳ.数据拥有者按照下列步骤加密关键字ｗ:１)数据拥有者选择随机值ｒ１ɪＺｑ∗.２)数据拥有者计算:θ１＝Ｈ２(ＳＫＩＤＯ１ ＰＫＩＤＲ１ꎬＰＫＩＤＲꎬＰＫＩＤＯ)ꎬ(１)Ｋ１＝Ｈ３(ｗꎬθ１)ꎬＣ１＝ｒ１Ｐꎬ(２)Ｃ２＝Ｃ１＋Ｋ１ ＳＫＩＤＯ２－１(ＰＫＩＤＯ２＋μＩＤＯＰｐｕｂ)ꎬ(３)Ｃ３＝ｒ１(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).(４)数据拥有者返回Ｃ＝(Ｃ１ꎬＣ２ꎬＣ３).２.７㊀陷门输入ｐａｒａｍｓꎬＳＫＩＤＲꎬＰＫＩＤＯ和ＰＫＩＤＳ.数据接收者按照如下步骤生成陷门Ｔｗ:１)数据接收者选择随机值ｒ２ɪＺｑ∗.２)数据接收者计算:θ２＝Ｈ２(ＳＫＩＤＲ１ ＰＫＩＤＯ１ꎬＰＫＩＤＲꎬＰＫＩＤＯ)ꎬ(５)Ｋ２＝Ｈ３(ｗ'ꎬθ２)ꎬＴ１＝ｒ２Ｐꎬ(６)Ｔ２＝(Ｋ２＋ｒ２)ＳＫＩＤＲ２－１(ＰＫＩＤＲ２＋μＩＤＲＰｐｕｂ)ꎬ(７)５１３西南民族大学学报(自然科学版)第４９卷Ｔ３＝ｒ２(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).(８)数据接收者返回陷门Ｔｗ'＝(Ｔ１ꎬＴ２ꎬＴ３).２.８㊀测试输入ｐａｒａｍｓꎬＴｗ'ꎬＳＫＩＤＳ和关键字密文Ｃ.云服务器验证等式Ｃ２(ｘＩＤＳ＋ｄＩＤＳ)－Ｃ３＝Ｔ２(ｘＩＤＳ＋ｄＩＤＳ)＋Ｔ３((ｘＩＤＳ＋ｄＩＤＳ)－１－１)－Ｔ１是否成立.如果成立ꎬ输出１ꎬ否则ꎬ输出０.正确性验证:Ｔｗᶄ是关键字ｗᶄ的陷门ꎬｗ是密文Ｃ中的关键字.我们知道㊀㊀㊀㊀㊀θ１＝Ｈ２(ＳＫＩＤＯ１ ＰＫＩＤＲ１ꎬＰＫＩＤＲꎬＰＫＩＤＯ)＝Ｈ２(ｘＩＤＯ ＹＩＤＲꎬＰＫＩＤＲꎬＰＫＩＤＯ)＝Ｈ２(ｘＩＤＯ ｘＩＤＲ ＰꎬＰＫＩＤＲꎬＰＫＩＤＯ)＝Ｈ２(ＳＫＩＤＲ１ ＰＫＩＤＯ１ꎬＰＫＩＤＲꎬＰＫＩＤＯ)＝θ２.(９)㊀㊀㊀㊀㊀Ｃ２(ｘＩＤＳ＋ｄＩＤＳ)－Ｃ３㊀＝(Ｃ１＋Ｋ１ ＳＫＩＤＯ２－１(ＰＫＩＤＯ２＋μＩＤＯＰｐｕｂ))(ｘＩＤＳ＋ｄＩＤＳ)－Ｃ３＝ｒ１Ｐ(ｘＩＤＳ＋ｄＩＤＳ)＋Ｋ１Ｐ(ｘＩＤＳ＋ｄＩＤＳ)－Ｃ３＝Ｋ１(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).(１０)和㊀㊀Ｔ２(ｘＩＤＳ＋ｄＩＤＳ)＋Ｔ３((ｘＩＤＳ＋ｄＩＤＳ)－１－１)－Ｔ１＝(Ｋ２＋ｒ２)ＳＫＩＤＲ２－１(ＰＫＩＤＲ２＋μＩＤＲＰｐｕｂ)(ｘＩＤＳ＋ｄＩＤＳ)＋Ｔ３((ｘＩＤＳ＋ｄＩＤＳ)－１－１)－Ｔ１＝(Ｋ２＋ｒ２)Ｐ(ｘＩＤＳ＋ｄＩＤＳ)＋ｒ２(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ)((ｘＩＤＳ＋ｄＩＤＳ)－１－１)－Ｔ１＝(Ｋ２＋ｒ２)Ｐ(ｘＩＤＳ＋ｄＩＤＳ)＋ｒ２Ｐ－ｒ２(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ)－Ｔ１＝Ｋ２(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).(１１)由于θ１＝θ２ꎬ故若ｗ＝ｗᶄꎬ则Ｋ１＝Ｋ２.因此有:Ｃ２(ｘＩＤＳ＋ｄＩＤＳ)－Ｃ３＝Ｔ２(ｘＩＤＳ＋ｄＩＤＳ)＋Ｔ３((ｘＩＤＳ＋ｄＩＤＳ)－１－１)－Ｔ１.(１２)３㊀安全证明㊀㊀在本节中ꎬ我们首先给出ＳＣＦ－ＰＡＥＫＳ方案的安全模型.随后对所提出方案进行安全性分析.分析结果表明ꎬ在随机预言模型下ꎬ该方案可有效抵抗ＩＫＧＡ且此方案满足密文不可区分性.３.１㊀安全模型在无证书密码系统的自适应性选择密文攻击游戏中ꎬ我们定义了挑战者Ｃ分别与外部敌手Ａ１ꎬ内部敌手Ａ２之间的攻击博弈.外部敌手Ａ１可以任意替换用户的公钥ꎬ但不能获取系统主密钥.内部敌手Ａ２ꎬ通常指半可信云服务器.它可以获得系统主密钥ꎬ但不能替换用户的公钥.游戏１:这是一个挑战者Ｃ与外部敌手Ａ１之间的互动.初始化:给定安全参数λꎬＣ运行系统算法产生参数ｐａｒａｍｓ和系统主密钥ｓ.Ｃ保密ｓꎬ并把ｐａｒａｍｓ发送给Ａ１.哈希查询:Ｃ允许Ａ１查询哈希预言并返回哈希值.部分私钥查询:Ａ１对身份ＩＤ进行查询ꎬＣ计算该身份的部分私钥ｄＩＤ并将其返回给Ａ１.私钥查询:Ａ１对身份ＩＤ进行查询ꎬＣ计算相应的私钥ＳＫＩＤ返回给Ａ１.公钥查询:Ａ１对身份ＩＤ进行查询ꎬＣ将相应的公钥ＰＫＩＤ返回给Ａ１.替换公钥查询:Ａ１选择新的公钥ＰＫᶄＩＤ用于替换原始公钥ＰＫＩＤ.陷门查询:Ａ１对身份ＩＤＯ㊁ＩＤＳ及关键字ｗ进行查询ꎬＣ生成陷门Ｔｗ并返回给Ａ１.挑战:Ａ１选择未执行过陷门查询的ｗ０和ｗ１作为挑战关键字.Ｃ随机选择ｂᶄɪ{０ꎬ１}ꎬ然后通过执行算法生成关键字密文ｗｂ并发送给Ａ１.更多查询:Ａ１可继续执行以上阶段查询(ｗ０和ｗ１陷门查询除外).猜测:Ａ１给出猜测结果ｂᶄɪ{０ꎬ１}.若ｂᶄ＝ｂꎬ则Ａ１挑战成功.Ａ１挑战成功的优势定义为:６１３第３期孙莹莹ꎬ等:一个无安全信道的无证书公钥可搜索加密方案㊀Ａｄｖ(Ａ１)＝Ｐｒｂᶄ＝ｂ[]－１/２.(１３)游戏２:这是一个挑战者Ｃ与内部敌手Ａ２之间的互动.初始化:给定安全参数λꎬＣ运行系统算法产生参数ｐａｒａｍｓ和系统主密钥ｓꎬ并把它们发送给Ａ２.查询:除提取私钥查询和替换公钥查询外ꎬＡ２可执行与游戏１相同的查询.挑战:Ａ２选择未执行过陷门查询的ｗ０和ｗ１作为挑战关键字.Ｃ随机选择ｂᶄɪ{０ꎬ１}ꎬ然后通过执行算法生成关键字密文ｗｂ并发送给Ａ２.更多查询:Ａ２可继续执行以上阶段询问(ｗ０和ｗ１陷门查询除外).猜测:Ａ２给出猜测结果ｂᶄɪ{０ꎬ１}.若ｂᶄ＝ｂꎬ则Ａ２挑战成功.Ａ２挑战成功的优势定义为:Ａｄｖ(Ａ２)＝Ｐｒｂᶄ＝ｂ[]－１/２.(１４)定义３:如果没有敌手以不可忽略的优势Ａｄｖ(Ａ１)和Ａｄｖ(Ａ２)赢得游戏ꎬ说明所提出的ＳＣＦ－ＰＡＥＫＳ方案在抵抗ＩＫＧＡ时是语义安全的.３.２㊀证明定理１:假设ＣＤＨ是困难问题ꎬ则所提出的ＳＣＦ－ＰＡＥＫＳ方案在随机语言模型中是语义安全的.这个定理可由以下两个引理证明.引理１:假设有一个外部敌手Ａ１以不可忽略的优势ε赢得ＳＣＦ－ＰＡＥＫＳ方案.我们必须构造一个算法Ｃ以不可忽略优势:εᶄ⩾２εｑＨ１１－１ｑＨ１()ｑＥ＋ｑＳ＋ｑＴ.(１５)来解决ＣＤＨ问题ꎬ其中ｑＨ１ꎬｑＥꎬｑＳꎬｑＴ分别表示Ｈ１查询ꎬ部分私钥查询ꎬ秘密值查询ꎬ陷门查询的最大查询次数.证明:假设(ＰꎬａＰꎬｂＰ)是ＣＤＨ问题随机生成的一个实例ꎬ那么算法Ｃ通过与敌手Ａ１交互来模拟挑战者.初始化:Ｃ随机选择ＩＤＩ１£Ｉ£ｑＨ１()作为挑战者身份.然后Ｃ执行算法计算系统公钥Ｐｐｕｂ＝ａＰ和系统参ｐａｒａｍｓ＝λꎬＧꎬｑꎬＰꎬＰｐｕｂꎬＨ１ꎬＨ２ꎬＨ３{}.最后ꎬＣ返回ｐａｒａｍｓ给Ａ１.Ｈ１查询:Ｃ维护一张ＬＨ１列表(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)ꎬ当收到Ａ１关于(ＩＤｉꎬＱＩＤｉ)的查询时ꎬ若(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)已存在于ＬＨ１ꎬ则Ｃ返回μＩＤｉ.否则ꎬＣ选择随机值μＩＤｉɪＺｑ∗ꎬ将其返回给Ａ１ꎬ并将(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)加入ＬＨ１.Ｈ２查询:Ｃ维护一张ＬＨ２列表(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)ꎬ当收到Ａ１关于(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉ)的查询时ꎬ若(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)已经存在于ＬＨ２ꎬ则Ｃ返回θｉ.否则ꎬＣ随机选择θｉɪＺｑ∗ꎬ将其返回给Ａ１ꎬ并将(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)加入ＬＨ２.Ｈ３查询:Ｃ维护一张ＬＨ３列表(ｗｉꎬθｉꎬｋｉ)ꎬ当收到Ａ１关于(ｗｉꎬθｉ)的查询时ꎬ若(ｗｉꎬθｉꎬｋｉ)已经存在于ＬＨ３ꎬ则Ｃ返回ｋｉ.否则ꎬＣ随机选择ｋｉɪＺｑ∗将其返回给Ａ１ꎬ并将(ｗｉꎬθｉꎬｋｉ)加入ＬＨ３.部分私钥查询:Ｃ维护一张Ｌｐ１列表(ＩＤｉꎬＱＩＤｉꎬｄＩＤｉ).当收到Ａ１关于ＩＤｉ的查询时ꎬ若ＩＤｉ＝ＩＤＩꎬＣ终止算法(这个过程由Ｅ１表示).否则ꎬＣ随机选择ｄＩＤｉɪＺｑ∗ꎬ将其返回给Ａ１ꎬ并将(ＩＤｉꎬＱＩＤｉꎬｄＩＤｉ)加入Ｌｐ１.秘密值查询:Ｃ维护一张Ｌｐ２列表(ＩＤｉꎬｘＩＤｉ).当收到Ａ１关于ＩＤｉ的查询时ꎬ若ＩＤｉ＝ＩＤＩꎬＣ终止算法(这个过程由Ｅ２表示).否则ꎬＣ随机选择ｘＩＤｉɪＺｑ∗ꎬ并查询Ｌｐ１列表(ＩＤｉꎬＱＩＤｉꎬｄＩＤｉ).最后ꎬＣ将ＳＫＩＤｉ＝(ｘＩＤｉꎬｄＩＤｉ)返回给Ａ１ꎬ并将(ＩＤｉꎬｘＩＤｉ)加入Ｌｐ２.提取公钥查询:Ｃ维护一张Ｌｐ３列表(ＩＤｉꎬＱＩＤｉꎬＹＩＤｉ).当收到Ａ１关于ＩＤｉ的查询时ꎬ若(ＩＤｉꎬＱＩＤｉꎬＹＩＤｉ)已经存在于Ｌｐ３ꎬＣ返回ＰＫＩＤｉ＝(ＱＩＤｉꎬＹＩＤｉ).否则ꎬＣ分别查询ＬＨ１列表(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)和Ｌｐ２列表(ＩＤｉꎬｘＩＤｉ)ꎬ并计算ＹＩＤｉ＝ｘＩＤｉＰ.最后ꎬＣ返回ＰＫＩＤｉ＝(ＱＩＤｉꎬＹＩＤｉ)给Ａ１ꎬ并将(ＩＤｉꎬＱＩＤｉꎬＹＩＤｉ)加入Ｌｐ３.公钥替换查询:当收到Ａ１关于(ＩＤｉꎬＱＩＤｉꎬＹＩＤｉ)查询时ꎬＣ分别用ＱᶄＩＤｉ和ＹᶄＩＤｉ去替换ＱＩＤｉ和ＹＩＤｉꎬ并更新Ｌｐ３７１３西南民族大学学报(自然科学版)第４９卷列表(ＩＤｉꎬＱＩＤｉꎬＹＩＤｉ).陷门查询:当收到Ａ１关于ＩＤｉ的陷门查询时ꎬ若ＩＤｉ＝ＩＤＩꎬＣ终止算法(这个过程由Ｅ３表示).否则ꎬＣ随机选择ｒ２ɪＺｑ∗并计算Ｔ２＝ｒ２Ｐ.然后ꎬＣ查询ＬＨ３列表(ｗｉꎬθｉꎬｋｉ)和ＬＨ２列表(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)ꎬ计算Ｋ２＝Ｈ３(ｋｉꎬθｉ)㊁Ｔ２＝(Ｋ２＋ｒ２)ＳＫＩＤｉ２－１(ＰＫＩＤｉ２＋αＩＤｉＰｐｕｂ)和Ｔ３＝ｒ１(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).最后ꎬＣ返回Ｔｗ'＝(Ｔ１ꎬＴ２ꎬＴ３)给Ａ１.挑战:Ａ１给出身份为ＩＤ∗的挑战关键字ｗ０和ｗ１.若ＩＤ∗ʂＩＤＩꎬＣ终止算法(这个过程由Ｅ４表示).否则ꎬＣ首先选择随机值ｒ１ɪＺｑ∗并计算Ｃ１＝ｒ１Ｐ.然后ꎬＣ查询ＬＨ３列表(ｗｉꎬθｉꎬｋｉ)和ＬＨ２列表(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)ꎬ计算Ｋ１＝Ｈ３(ｋｉꎬθｉ)㊁Ｃ２＝Ｃ１＋Ｋ１ ＳＫＩＤＯ２－１(ＰＫＩＤＯ２＋μＩＤＯＰｐｕｂ)和Ｃ３＝ｒ２(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).最后ꎬＣ返回Ｃ＝(Ｃ１ꎬＣ２ꎬＣ３)给Ａ１.更多查询:Ａ１可继续执行以上阶段除挑战关键字ｗ０和ｗ１之外(这个过程由Ｅ５表示)的自适应查询.猜测:Ａ１给出猜测结果ｂᶄɪ{０ꎬ１}.Ｃ设置Ｃ１＝ｂＰꎬ如果ｂ((Ｃ２－Ｔ２＋Ｔ１)(ｘＩＤＳ＋ｄＩＤＳ)－Ｃ１(ｘＩＤＳ＋ｄＩＤＳ)＋Ｐｐｕｂ)＝ａｂＰ成立ꎬ则说明Ｃ可以解决ＣＤＨ问题.只有当Ｅ１ꎬＥ２ꎬＥ３ꎬＥ４ꎬＥ５事件之一发生时ꎬ游戏才会中止.下面将对Ｃ解决ＣＤＨ问题的优势εᶄ进行分析.首先:Ｐｒ┐Ｅ１ɡ┐Ｅ２┐Ｅ３┐Ｅ４[]＝１－１ｑＨ１()ｑＥ＋ｑＳ＋ｑＴ１ｑＨ１.(１６)接下来ꎬ证明:Ｐｒ[┐Ｅ５]⩾２ε.由于Ｐｒ[ｂᶄ＝ｂ]＝Ｐｒ[ｂᶄ＝ｂ｜Ｅ５]Ｐｒ[Ｅ５]＋Ｐｒ[ｂᶄ＝ｂ｜┐Ｅ５]Ｐｒ[┐Ｅ５]£Ｐｒ[ｂᶄ＝ｂ｜Ｅ５]Ｐｒ[Ｅ５]＋Ｐｒ[┐Ｅ５]＝１２＋１２Ｐｒ[┐Ｅ５]ꎬ(１７)和Ｐｒ[ｂᶄ＝ｂ]⩾Ｐｒ[ｂᶄ＝ｂ｜Ｅ５]Ｐｒ[Ｅ５]＝１２－１２Ｐｒ[┐Ｅ５]ꎬ(１８)故有Ｐｒ[┐Ｅ５]⩾２Ｐｒ[ｂᶄ＝ｂ｜－１⩾２εꎬ因此:㊀㊀εᶄ⩾Ｐｒ[┐Ｅ５] Ｐｒ[┐Ｅ１ɡ┐Ｅ２┐Ｅ３┐Ｅ４]＝２εｑＨ１１－１ｑＨ１()ｑＥ＋ｑＳ＋ｑＴ.(１９)引理２:假设有一个内部敌手Ａ２以不可忽略的优势ε赢得ＳＣＦ－ＰＡＥＫＳ方案.必须构造一个算法Ｃ以不可忽视优势:εᶄ⩾２εｑＨ１１－１ｑＨ１()ｑＴ.(２０)来解决ＣＤＨ问题ꎬ其中ｑＨ１ꎬｑＥꎬｑＳꎬｑＴ分别表示Ｈ１查询ꎬ部分私钥查询ꎬ秘密值查询ꎬ陷门查询的最大查询次数.证明:假设(ＰꎬａＰꎬｂＰ)是ＣＤＨ问题随机生成的一个实例ꎬ那么算法Ｃ通过与敌手Ａ２交互来模拟挑战者.初始化:Ｃ随机选择ＩＤＩ１£Ｉ£ｑＨ１()作为挑战身份.然后Ｃ执行算法ꎬ随机选择ｓɪＺｑ∗ꎬ并计算系统公钥Ｐｐｕｂ＝ｓＰ和系统参ｐａｒａｍｓ＝{λꎬＧꎬｑꎬＰꎬＰｐｕｂꎬＨ１ꎬＨ２ꎬＨ３}.最后ꎬＣ返回ｓ和ｐａｒａｍｓ给Ａ２.Ｈ１查询:Ｃ维护一张ＬＨ１列表(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)ꎬ当收到Ａ２关于(ＩＤｉꎬＱＩＤｉ)的查询时ꎬ若(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)已存在于ＬＨ１ꎬ则Ｃ返回μＩＤｉ.否则ꎬＣ选择随机值μＩＤｉɪＺｑ∗将其返回给Ａ２ꎬ并将(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)加入ＬＨ１.Ｈ２查询:Ｃ维护一张ＬＨ２列表(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)ꎬ当收到Ａ２关于(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉ)的查询时ꎬ若(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)已经存在于ＬＨ２ꎬ则Ｃ返回θｉ.否则ꎬＣ随机选择θｉɪＺｑ∗ꎬ将其返回给Ａ２ꎬ并将(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)加入ＬＨ２.８１３第３期孙莹莹ꎬ等:一个无安全信道的无证书公钥可搜索加密方案㊀Ｈ３查询:Ｃ维护一张ＬＨ３列表(ｗｉꎬθｉꎬｋｉ)ꎬ当收到Ａ２关于(ｗｉꎬθｉ)的查询时ꎬ若(ｗｉꎬθｉꎬｋｉ)已经存在于ＬＨ３ꎬ则Ｃ返回ｋｉ.否则ꎬＣ随机选择ｋｉɪＺｑ∗将其返回给Ａ２ꎬ并将(ｗｉꎬθｉꎬｋｉ)加入ＬＨ３.部分私钥查询:Ｃ维护一张Ｌｐ１列表(ＩＤｉꎬＹＩＤｉꎬｘＩＤｉ)ꎬ当收到Ａ２关于ＩＤｉ的查询时ꎬＣ随机选择ｘＩＤｉɪＺｑ∗并计算ＹＩＤｉ＝ｒＩＤｉＰ.然后ꎬＣ查询ＬＨ１列表(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)ꎬ计算ｄＩＤｉ＝ｒＩＤｉ＋ｓμＩＤｉꎬ并将ｒＩＤｉ和ｄＩＤｉ返回给Ａ２.最后ꎬＣ将(ＩＤｉꎬＱＩＤｉꎬｄＩＤｉ)加入Ｌｐ１.提取公钥查询:Ｃ维护一张Ｌｐ２列表(ＩＤｉꎬＱＩＤｉꎬＹＩＤｉ).当收到Ａ２关于ＩＤｉ的查询时.若(ＩＤｉꎬＱＩＤｉꎬＹＩＤｉ)已经存在于Ｌｐ２ꎬ则Ｃ返回ＰＫＩＤｉ＝(ＱＩＤｉꎬＹＩＤｉ).否则ꎬＣ查询ＬＨ１列表(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)和Ｌｐ１列表(ＩＤｉꎬＹＩＤｉꎬｘＩＤｉ).最后ꎬＣ返回ＰＫＩＤｉ＝(ＱＩＤｉꎬＹＩＤｉ)给Ａ２ꎬ并将(ＩＤｉꎬＱＩＤｉꎬＹＩＤｉ)加入Ｌｐ３.陷门查询:当收到Ａ２关于ＩＤｉ的陷门查询时ꎬ若ＩＤｉ＝ＩＤＩꎬＣ终止算法(这个过程由Ｅ１表示).否则ꎬＣ随机选择ｒ２ɪＺｑ∗并计算Ｔ２＝ｒ２Ｐ.然后ꎬＣ查询ＬＨ３列表(ｗꎬθꎬｋ)和ＬＨ２列表(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθ)ꎬ计算Ｋ２＝Ｈ３(ｋ'ꎬθ２)㊁Ｔ２＝(Ｋ２＋ｒ２)ＳＫＩＤｉ２－１(ＰＫＩＤｉ２＋αＩＤｉＰｐｕｂ)和Ｔ３＝ｒ１(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).最后ꎬＣ返回Ｔｗ'＝(Ｔ１ꎬＴ２ꎬＴ３)给Ａ２.挑战:Ａ２给出身份为ＩＤ∗的挑战关键字ｗ０和ｗ１.若ＩＤ∗ʂＩＤＩꎬＣ终止算法(这个过程由Ｅ２表示).否则ꎬＣ首先选择随机值ｒ１ɪＺｑ∗并计算Ｃ１＝ｒ１Ｐ.然后ꎬＣ查询ＬＨ３列表(ｗｉꎬθｉꎬｋｉ)和ＬＨ２列表(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθ)ꎬ计算Ｋ１＝Ｈ３(ｋｉꎬθｉ)㊁Ｃ２＝Ｃ１＋Ｋ１ ＳＫＩＤＯ２－１(ＰＫＩＤＯ２＋μＩＤＯＰｐｕｂ)和Ｃ３＝ｒ２(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).最后ꎬＣ返回Ｃ＝(Ｃ１ꎬＣ２ꎬＣ３)给Ａ２.更多查询:Ａ２可继续执行以上阶段除挑战关键字ｗ０和ｗ１之外(这个过程由Ｅ３表示)的自适应查询.猜测:Ａ２给出猜测结果ｂᶄɪ{０ꎬ１}.Ｃ设置ＱＩＤｉ＝ａＰꎬＣ１＝ｂＰ.如果(Ｃ２－Ｔ２＋Ｔ１)(ｘＩＤＳ＋ｄＩＤＳ)－ｂ(ＹＩＤＳ＋μＩＤＳＰｐｕｂ)＝ａｂＰ成立ꎬ则说明Ｃ可以解决ＣＤＨ问题.我们知道只有当Ｅ１ꎬＥ２ꎬＥ３事件之一发生时ꎬ游戏才会中止.下面我们将对Ｃ解决ＣＤＨ问题的优势εᶄ进行分析.首先:Ｐｒ┐Ｅ１ɡ┐Ｅ２[]＝１－１ｑＨ１()ｑＴ１ｑＨ１ꎬ(２１)接下来ꎬ我们将证明:Ｐｒ[┐Ｅ３]⩾２ε.由于Ｐｒ[ｂᶄ＝ｂ]＝Ｐｒ[ｂᶄ＝ｂ｜Ｅ３]Ｐｒ[Ｅ３]＋Ｐｒ[ｂᶄ＝ｂ｜┐Ｅ３]Ｐｒ[┐Ｅ３]£Ｐｒ[ｂᶄ＝ｂ｜Ｅ３]Ｐｒ[Ｅ３]＋Ｐｒ[┐Ｅ３]＝１２＋１２Ｐｒ[┐Ｅ３]ꎬ(２２)和Ｐｒ[ｂᶄ＝ｂ]⩾Ｐｒ[ｂᶄ＝ｂ｜Ｅ３]Ｐｒ[Ｅ３]＝１２－１２Ｐｒ[┐Ｅ３]ꎬ(２３)故有Ｐｒ[┐Ｅ３]⩾２Ｐｒ[ｂᶄ＝ｂ｜－１⩾２εꎬ因此:εᶄ⩾Ｐｒ[┐Ｅ３] Ｐｒ┐Ｅ１ɡ┐Ｅ２[]＝２εｑＨ１１－１ｑＨ１()ｑＴ.(２４)４㊀性能分析㊀㊀在本节中ꎬ我们将所提出的ＳＣＦ－ＰＡＥＫＳ方案分别与无安全通道的方案[９]ꎬ[１０]和[１１]在安全性ꎬ计算９１３西南民族大学学报(自然科学版)第４９卷成本和通信成本方面进行比较.４.１㊀安全性能表２㊀安全属性比较Ｔａｂｌｅ２㊀Ｃｏｍｐａｒｉｓｏｎｏｆｓｅｃｕｒｉｔｙａｔｔｒｉｂｕｔｅｓ方案ＣＬＡＵＯＫＩＫＢＰ[９]ˑɿɿɿˑ[１０]ˑɿɿɿˑ[１１]ɿˑˑˑˑＳＣＦ－ＰＡＥＫＳɿɿɿɿɿ㊀㊀在表２中ꎬ分别给出了四种方案安全性能的比较.我们分别使用ＣＬ㊁ＡＵ㊁ＯＫ㊁ＩＫ和ＢＰ表示无证书㊁认证㊁ＯＫＧＡ㊁ＩＫＧＡ和无双线性对.从表２中可以发现方案[９]是基于公钥基础设施的ꎬ存在证书管理问题.方案[１０]是基于身份的加密体制ꎬ存在密钥托管问题.方案[１１]没有对数据拥有者身份认证的功能ꎬ敌手可以冒充数据拥有者发起ＯＫＧＡ和ＩＫＧＡ.此外ꎬ方案[９]ꎬ[１０]和[１１]都依赖于高消耗的双线性对.４.２㊀计算成本在本节中ꎬ我们将使用方案[１４]中的测试结果来估计四种方案的计算成本.在方案[１４]中ꎬ性能的评估是在配备有Ｕｂｕｎｔｕ１６.０４操作系统的电脑上进行的ꎬ使用ＭＩＲＡＣＬ库ꎬ配备了Ｉ５－４２１０Ｕ１.７ＧＨｚ处理器和４Ｇ字节内存.这里ＴｈｍꎬＴｓａꎬＴｂꎬＴｓｐꎬＴｈ分别表示哈希映射到点的执行时间４.３６２ｍｓꎬ标量加法的执行时间０.０１３ｍｓꎬ双线性对的执行时间４.１５４ｍｓꎬ标量乘法的执行时间１.６３１ｍｓꎬ一般哈希函数的执行时间０.００４ｍｓ.表３㊀计算成本比较(ｍｓ)Ｔａｂｌｅ３㊀Ｔｈｅｃｏｍｐａｒｉｓｏｎｏｆｃｏｍｐｕｔａｔｉｏｎｃｏｓｔ(ｍｓ)方案秘钥加密陷门测试[９]３Ｔｈｍ＋Ｔｓｐ＝１４.７１７Ｔｈｍ＋２Ｔｂ＋Ｔｓａ＋４Ｔｈ＝１２.６９９２Ｔｈｍ＋Ｔｂ＋Ｔｓａ＋３Ｔｈ＝１２.９０３Ｔｂ＋Ｔｈ＝４.１５８[１０]４Ｔｈｍ＋５Ｔｓｐ＝２５.６０３２Ｔｈｍ＋２Ｔｂ＋３Ｔｓｐ＝２１.９２５２Ｔｈｍ＋Ｔｂ＋２Ｔｓｐ＝１６.１４２Ｔｂ＋２Ｔｓｐ＝１１.５７[１１]２Ｔｈｍ＋２Ｔｓｐ＝１１.９８６４Ｔｈｍ＋３Ｔｂ＋６Ｔｓｐ＋Ｔｈ＝３９.７３Ｔｈｍ＋２Ｔｓａ＋Ｔｂ＋６Ｔｓｐ＋３Ｔｈ＝２７.８７４４Ｔｂ＋３Ｔｓｐ＋２Ｔｈ＝２１.５１７ＳＣＦ－ＰＡＥＫＳ６Ｔｓｐ＋３Ｔｈ＝９.７９８４Ｔｓａ＋６Ｔｓｐ＋２Ｔｈ＝９.７９４４Ｔｓａ＋６Ｔｓｐ＋２Ｔｈ＝９.７９４３Ｔｓｐ＋３Ｔｈ＝４.９０５图２㊀计算成本比较Ｆｉｇ.２㊀Ｔｈｅｃｏｍｐａｒｉｓｏｎｏｆｃｏｍｐｕｔａｔｉｏｎｃｏｓｔ如表３和图２所示ꎬ我们分别从密钥算法㊁加密算法㊁陷门算法和测试算法给出了这四３个方案的计算成本.实验结果表明ꎬ在密钥算法中ꎬ所提出的ＳＣＦ－ＰＡＥＫＳ方案的计算成本比方案[９]ꎬ[１０]和[１１]分别降低了０２３第３期孙莹莹ꎬ等:一个无安全信道的无证书公钥可搜索加密方案㊀３３.４２％ꎬ６１.７３％和１８.２５％.在加密算法中ꎬ所提出的ＳＣＦ－ＰＡＥＫＳ方案的计算成本比方案[９]ꎬ[１０]和[１１]分别降低了２２.８８％ꎬ５５.３３％和７５.３３％.在陷门算法中ꎬ所提出的ＳＣＦ－ＰＡＥＫＳ方案的计算成本比方案[９]ꎬ[１０]和[１１]分别降低了２４.１％ꎬ３９.３２％和６４.８６％.在测试算法中ꎬ所提出的ＳＣＦ－ＰＡＥＫＳ方案的计算成本比方案[９]高出１７.９７％ꎬ与[１０]和[１１]相比分别降低了６４.８６％和７７.２％.可见所提出的ＳＣＦ－ＰＡＥＫＳ方案的计算成本在各算法中基本均为最低.这是因为我们的方案使用了标量乘法而不是高消耗的双线性对.因此ꎬ与其他方案相比ꎬ我们的方案具有更高的效率.４.３㊀通信成本下面ꎬ我们将分别从公钥㊁加密㊁陷门的大小(分别用ＰＫ㊁ＥＮ和ＴＤ表示)来比较四种方案的通信成本.另外ꎬ我们假设点Ｇ㊁Ｇ１㊁Ｇ２和Ｚｑ∗的大小分别为３２０位㊁５１２位㊁１０２４位㊁和１６０位.表４和图３显示ꎬ所提出的ＳＣＦ－ＰＡＥＫＳ方案中ＰＫ的通信成本比[９]ꎬ[１０]和[１１]均高出２５％.所提出的ＳＣＦ－ＰＡＥＫＳ方案中ＥＮ的通信成本与方案[９]ꎬ[１０]和[１１]相比分别降低了１９％㊁５３％和１９％.此外ꎬ所提出的ＳＣＦ－ＰＡＥＫＳ方案中ＴＤ的通信成本比方案[９]和[１０]略低ꎬ但与方案[１１]相比降低了３８％.表４㊀通信成本比较Ｔａｂｌｅ４㊀Ｔｈｅｃｏｍｐａｒｉｓｏｎｏｆｃｏｍｍｕｎｉｃａｔｉｏｎｃｏｓｔ方案ＰＫＥＮＴＤ[９]｜Ｇ１｜＝５１２２｜Ｇ１｜＋Ｚｑ∗＝１１８４２｜Ｇ１｜＝１０２４[１０]｜Ｇ１｜＝５１２２｜Ｇ１｜＋｜Ｇ２｜＝２０４８２｜Ｇ１｜＝１０２４[１１]｜Ｇ１｜＝５１２２｜Ｇ１｜＋Ｚｑ∗＝１１８４３｜Ｇ１｜＝１５３６ＳＣＦ－ＰＡＥＫＳ２｜Ｇ｜＝６４０３｜Ｇ｜＝９６０３｜Ｇ｜＝９６０图３㊀通信成本比较Ｆｉｇ.３㊀Ｔｈｅｃｏｍｐａｒｉｓｏｎｏｆｃｏｍｍｕｎｉｃａｔｉｏｎｃｏｓｔ㊀㊀由上述结果表明ꎬ所提出的ＳＣＦ－ＰＡＥＫＳ方案中公钥的通信成本相对其他方案略高.但方案[９]存在证书管理问题ꎬ方案[１０]是基于身份的加密ꎬ无法避免密钥托管问题.方案[１１]容易受到关键字猜测攻击.特别地ꎬ上述三个方案均不可避免双线性对ꎬ导致其计算和通信成本都较高.因此ꎬ本文推出的方案更安全㊁更高效.５㊀结论㊀㊀云服务的出现给数据隐私带来了一些挑战.为了确保数据安全和对加密数据的高效搜索ꎬ一些ＳＣＦ－ＰＥＫＳ１２３２２３西南民族大学学报(自然科学版)第４９卷方案被提出.然而ꎬ这些方案均存在一定的不足.在本文中ꎬ我们提出了一个无双线性对的ＳＣＦ－ＰＡＥＫＳ方案.它不仅解决了加密数据的安全存储和检索问题ꎬ而且不存在证书管理和密钥托管问题.新颖的是ꎬ该方案不依赖于高消耗的双线性对且可有效抵抗ＩＫＧＡ.分析结果表明ꎬＳＣＦ－ＰＡＥＫＳ具有较好的综合性能.参考文献[１]ＳＯＮＧＤＸꎬＷＡＧＮＥＲＤꎬＰＥＲＲＩＧＡ.Ｐｒａｃｔｉｃａｌｔｅｃｈｎｉｑｕｅｓｆｏｒｓｅａｒｃｈｅｓｏｎｅｎｃｒｙｐｔｅｄｄａｔａ[Ｃ]//Ｐｒｏｃｅｅｄｉｎｇｏｆｔｈｅ２０００ＩＥＥＥＳｙｍｐｏｓｉｕｍｏｎＳｅｃｕｒｉｔｙａｎｄＰｒｉｖａｃｙ.ＣＡꎬＵＳＡ:Ｂｅｒｋｅｌｅｙꎬ２０００:４４－５５.[２]ＺＨＡＮＧＱ.Ａｎｏｖｅｒｖｉｅｗａｎｄａｎａｌｙｓｉｓｏｆｈｙｂｒｉｄｅｎｃｒｙｐｔｉｏｎ:Ｔｈｅｃｏｍｂｉｎａｔｉｏｎｏｆｓｙｍｍｅｔｒｉｃｅｎｃｒｙｐｔｉｏｎａｎｄａｓｙｍｍｅｔｒｉｃｅｎｃｒｙｐｔｉｏｎ[Ｃ]//Ｐｒｏｃｅｅｄｉｎｇｏｆｔｈｅ２０２１２ｎｄＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔｉｎｇａｎｄＤａｔａＳｃｉｅｎｃｅ(ＣＤＳ).ＣＡꎬＵＳＡ:Ｓｔａｎｆｏｒｄꎬ２０２１:６１６－６２２.[３]ＢＯＮＥＨＤꎬＣＲＥＳＣＥＮＺＯＧＤꎬＯＳＴＲＯＶＳＫＹＲꎬｅｔａｌ.Ｐｕｂｌｉｃｋｅｙｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈ[Ｃ]//ＰｒｏｃｅｅｄｉｎｇｏｆｔｈｅＩｎｔｅｒｎａｔｉｏｎａｌｃｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｓｏｆＣｒｙｐｔｏｇｒａｐｈｉｃＴｅｃｈｎｉｑｕｅｓ.ＩｎｔｅｒｌａｋｅｎꎬＳｗｉｔｚｅｒｌａｎｄꎬ２００４:５０６－５２２.[４]ＢＡＥＫＪꎬＳＡＦＡＶＩ－ＮＡＩＮＩＲꎬＳＵＳＩＬＯＷ.Ｐｕｂｌｉｃｋｅｙｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈｒｅｖｉｓｉｔｅｄ[Ｃ]//ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔａｔｉｏｎａｌＳｃｉｅｎｃｅａｎｄＩｔｓＡｐｐｌｉｃａｔｉｏｎｓ(ＩＣＣＳＡ).ＰｅｒｕｇｉａꎬＩｔａｌｙꎬ２００８:１２４９－１２５９.[５]ＹＡＵＷ－ＣꎬＨＥＮＧＳ－ＨꎬＧＯＩＢ－Ｍ.Ｏｆｆ－ｌｉｎｅｋｅｙｗｏｒｄｇｕｅｓｓｉｎｇａｔｔａｃｋｓｏｎｒｅｃｅｎｔｐｕｂｌｉｃｋｅｙｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈｓｃｈｅｍｅｓ[Ｃ]//Ｐｒｏｃｅｅｄ￣ｉｎｇｏｆｔｈｅＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＡｕｔｏｎｏｍｉｃａｎｄＴｒｕｓｔｅｄＣｏｍｐｕｔｉｎｇ.ＯｓｌｏꎬＮｏｒｗａｙꎬ２００８:１００－１０５.[６]ＢＹＵＮＪＷꎬＲＨＥＥＨＳꎬＰＡＲＫＨ－Ａꎬｅｔａｌ.Ｏｆｆ－ｌｉｎｅｋｅｙｗｏｒｄｇｕｅｓｓｉｎｇａｔｔａｃｋｓｏｎｒｅｃｅｎｔｋｅｙｗｏｒｄｓｅａｒｃｈｓｃｈｅｍｅｓｏｖｅｒｅｎｃｒｙｐｔｅｄｄａｔａ[Ｃ]//ＰｒｏｃｅｅｄｉｎｇｏｆｔｈｅＷｏｒｋｓｈｏｐｏｎｓｅｃｕｒｅｄａｔａｍａｎａｇｅｍｅｎｔ.ＳｅｏｕｌꎬＫｏｒｅａꎬ２００６:７５－８３.[７]ＲＨＥＥＨＳꎬＰＡＲＫＲＨꎬＳＵＳＩＬＯＲꎬｅｔａｌ.Ｔｒａｐｄｏｏｒｓｅｃｕｒｉｔｙｉｎａｓｅａｒｃｈａｂｌｅｐｕｂｌｉｃ－ｋｅｙｅｎｃｒｙｐｔｉｏｎｓｃｈｅｍｅｗｉｔｈａｄｅｓｉｇｎａｔｅｄｔｅｓｔｅｒ[Ｊ].ＪｏｕｒｎａｌｏｆＳｙｓｔｅｍｓ＆Ｓｏｆｔｗａｒｅꎬ２０１０ꎬ８３(５):７６３－７７１.[８]ＸＵＰꎬＪＩＮＨꎬＷＵＱꎬｅｔａｌ.Ｐｕｂｌｉｃ－ｋｅｙｅｎｃｒｙｐｔｉｏｎｗｉｔｈｆｕｚｚｙｋｅｙｗｏｒｄｓｅａｒｃｈ:Ａｐｒｏｖａｂｌｙｓｅｃｕｒｅｓｃｈｅｍｅｕｎｄｅｒｋｅｙｗｏｒｄｇｕｅｓｓｉｎｇａｔｔａｃｋ[Ｊ].ＩＥＥＥＴｒａｎｓ￣ａｃｔｉｏｎｓｏｎＣｏｍｐｕｔｅｒｓꎬ２０１３ꎬ６２(１１):２２６６－２２７７.[９]ＬＵＹꎬＬＩＪꎬＺＨＡＮＧＹ.Ｓｅｃｕｒｅｃｈａｎｎｅｌｆｒｅｅｃｅｒｔｉｆｉｃａｔｅ－ｂａｓｅｄｓｅａｒｃｈａｂｌｅｅｎｃｒｙｐｔｉｏｎｗｉｔｈｓｔａｎｄｉｎｇｏｕｔｓｉｄｅａｎｄｉｎｓｉｄｅｋｅｙｗｏｒｄｇｕｅｓｓｉｎｇａｔｔａｃｋｓ[Ｊ].ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｓｏｎＳｅｒｖｉｃｅｓＣｏｍｐｕｔｉｎｇꎬ２０２１ꎬ１４(６)６:２０４１－２０５４.[１０]ＬＩＨＢꎬＨＵＡＮＧＱꎬＳＨＥＮＪꎬｅｔａｌ.Ｄｅｓｉｇｎａｔｅｄ－ｓｅｒｖｅｒｉｄｅｎｔｉｔｙ－ｂａｓｅｄａｕｔｈｅｎｔｉｃａｔｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈｆｏｒｅｎｃｒｙｐｔｅｄｅｍａｉｌｓ[Ｊ].ＩｎｆｏｒｍａｔｉｏｎＳｃｉｅｎｃｅｓꎬ２０１９ꎬ４８１:３３０－３４３.[１１]ＰＡＫＮＩＡＴＮ.Ｄｅｓｉｇｎａｔｅｄｔｅｓｔｅｒｃｅｒｔｉｆｉｃａｔｅｌｅｓｓｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈ[Ｊ].ＪｏｕｒｎａｌｏｆＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙａｎｄＡｐｐｌｉｃａｔｉｏｎｓ.２０１９ꎬ４９:１０２３９４. [１２]ＭＩＡＯＹＢꎬＴＯＮＧＱＹꎬＤＥＮＧＲＨꎬｅｔａｌ.Ｖｅｒｉｆｉａｂｌｅｓｅａｒｃｈａｂｌｅｅｎｃｒｙｐｔｉｏｎｆｒａｍｅｗｏｒｋａｇａｉｎｓｔｉｎｓｉｄｅｒｋｅｙｗｏｒｄ－ｇｕｅｓｓｉｎｇａｔｔａｃｋｉｎｃｌｏｕｄｓｔｏｒａｇｅ[Ｊ].ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｓｏｎＣｌｏｕｄＣｏｍｐｕｔｉｎｇꎬ２０２２ꎬ１０(２):８３５－８４８.[１３]ＺＨＡＮＧＹＩꎬＷＥＮＬꎬＺＨＡＮＧＹＪꎬｅｔａｌ.ＤｅｓｉｇｎａｔｅｄＳｅｒｖｅｒＣｅｒｔｉｆｉｃａｔｅｌｅｓｓｄｅｎｉａｂｌｙａｕｔｈｅｎｔｉｃａｔｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈ[Ｊ].ＩＥＥＥＡｃｃｅｓｓꎬ２０１９ꎬ７:１４６５４２－１４６５５１.[１４]ＬＵＹꎬＬＩＪ.Ｌｉｇｈｔｗｅｉｇｈｔｐｕｂｌｉｃｋｅｙａｕｔｈｅｎｔｉｃａｔｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈａｇａｉｎｓｔａｄａｐｔｉｖｅｌｙ－ｃｈｏｓｅｎ－ｔａｒｇｅｔｓａｄｖｅｒｓａｒｉｅｓｆｏｒｍｏｂｉｌｅｄｅｖｉｃｅｓ[Ｊ/ＯＬ].[２０２２－０９－０７].ｈｔｔｐｓ://ｉｅｅｅｘｐｌｏｒｅ.ｉｅｅｅ.ｏｒｇ/ｄｏｃｕｍｅｎｔ/９４２３６１８.(责任编辑:张阳ꎬ付强ꎬ和力新ꎬ肖丽ꎬ罗敏ꎻ英文编辑:周序林ꎬ郑玉才)Copyright©博看网. All Rights Reserved.。

一种新的无证书签密方案李会格;张建中【期刊名称】《计算机工程与应用》【年(卷),期】2014(000)005【摘要】对两种无证书签密方案进行了安全性分析，发现两种方案均是不安全的。

第一种无证书签密方案不满足不可伪造性，第二种无证书签密方案不能完全满足公开验证性。

针对这种情况，提出了一种新的无证书签密方案，同时对新方案进行了正确性分析和安全分析，结果表明新方案是安全的，真正做到了信息方面的保密性和认证性。

%This paper analyses the security of two certificateless signcryption schemes, which all can’t guarantee security. The first certificateless signcryption scheme exists forged attack, which can pass through the proving equation. In addi-tion, the second scheme doesn’t completely satisfy the public verification. Based on these problems, this paper proposes a new certificateless signcryption scheme and analyses the accuracy and safety of this new scheme, which is proved to be safe and guarantees the secrecy and authentication of information.【总页数】4页(P86-89)【作者】李会格;张建中【作者单位】陕西师范大学数学与信息科学学院，西安 710062;陕西师范大学数学与信息科学学院，西安 710062【正文语种】中文【中图分类】TP309.2【相关文献】1.一种新的无证书广播签密方案 [J], 孙瑾;胡予濮2.一种新的无双线性对的无证书安全签密方案 [J], XIA Ang;ZHANG Long-jun3.一种新的无证书签密方案 [J], 陈明;吴开贵;何盼4.一个新的无证书环签密方案 [J], 侯红霞;何业锋5.新的无证书签密方案 [J], 马陵勇;卓泽朋;廉玉忠因版权原因，仅展示原文概要，查看原文内容请购买。

无双线性对的无证书签名方案的分析及改进作者：王怡杜伟章来源：《计算机应用》2013年第08期摘要：对王圣宝等（王圣宝，刘文浩，谢琪.无双线性配对的无证书签名方案.通信学报，2012，33（4）：93-98）提出的不使用双线性配对运算的无证书签名方案进行安全性分析，指出该方案无法抵抗积极不诚实的恶意密钥生成中心（KGC）攻击，并给出了该攻击方式的具体攻击方法。

针对这种攻击方式，提出了改进方案，并对改进的方案进行了安全性分析。

分析结果表明，改进后的方案在保持原方案高效性的同时，能抵抗恶意KGC攻击，具有更高的安全性，并且改进后的方案不再需要使用安全通道，降低了通信复杂度。

关键词：无证书签名；椭圆曲线；离散对数问题；双线性对；密钥生成中心中图分类号： TP309.7文献标志码：A0 引言无证书公钥密码系统[1]是由AlRiyami等提出的，在该系统中，用户的私钥由密钥生成中心（Key Generation Centre，KGC）生成的部分私钥和用户自己选取的秘密值共同组成，恶意KGC由于不知道用户秘密值而无法获得用户的私钥。

由于无证书公钥系统具有非常突出的优势，基于无证书公钥系统的签名方案被相继提出[2-7]。

但是，这些方案大多都使用双线性对来完成签名及验证过程，存在计算效率不高的问题。

于是许多学者致力于提高无证书签名方案计算效率的研究，但是往往在提高了计算效率的同时忽略了方案的安全性。

如文献[8]提出了一个无证书签名方案，该方案没有进行双线性对的运算，提高了签名和验证效率。

然而该方案被杨波等[9]指出存在安全缺陷，任何敌手都能进行公钥替换攻击完成签名伪造。

另外，有的方案在安全性上满足了要求，效率却有待提高，没有做到在签名过程和签名验证过程均不使用双线性对运算，如张玉磊等[10]和李凤银等[11]分别于2010年和2011年提出的高效的无证书签名方案，虽然这两个方案在签名过程中都没有使用双线性对，但在签名验证过程中却进行了双线性对运算。

无双线性对的无证书签名方案的分析及改进王怡;杜伟章【期刊名称】《计算机应用》【年(卷),期】2013(33)8【摘要】对王圣宝等(王圣宝,刘文浩,谢琪.无双线性配对的无证书签名方案.通信学报,2012,33(4):93-98)提出的不使用双线性配对运算的无证书签名方案进行安全性分析,指出该方案无法抵抗积极不诚实的恶意密钥生成中心(KGC)攻击,并给出了该攻击方式的具体攻击方法.针对这种攻击方式,提出了改进方案,并对改进的方案进行了安全性分析.分析结果表明,改进后的方案在保持原方案高效性的同时,能抵抗恶意KGC攻击,具有更高的安全性,并且改进后的方案不再需要使用安全通道,降低了通信复杂度.%By analyzing the security of a certificateless signature scheme without bilinear pairing proposed by Wang Shengbao,et al.(WANG S B,LIU W H,XIE Q.Certificateless signature scheme without bilinearpairings.Journal on Communications,2012,33(4):93-98),it indicated that the scheme could not resist malicious attack of positive dishonest Key Generation Center(KGC).For this kind of attack,detailed attack method was given,and an improved scheme was proposed.Finally,the security of the improved scheme was analyzed.The result shows that the proved scheme can resist the malicious KGC attack,maintain efficiency of the original scheme and has higher security.Meanwhile,the communication complexity is reduced due to the elimination of the security channel.【总页数】3页(P2250-2252)【作者】王怡;杜伟章【作者单位】长沙理工大学计算机与通信工程学院,长沙410114;长沙理工大学计算机与通信工程学院,长沙410114【正文语种】中文【中图分类】TP309.7【相关文献】1.无双线性对的无证书签名方案的研究 [J], 刘高军;吴迪2.无双线性配对的无证书签名方案 [J], 王圣宝;刘文浩;谢琪3.无双线性对的无证书签名方案及其在配电网中的应用 [J], 刘帅;陈建华4.无双线性对的无证书签名方案的研究 [J], 刘高军吴迪5.安全高效的无双线性对的无证书签名方案 [J], 胡冰洁;周彦伟;杨波;张晶因版权原因，仅展示原文概要，查看原文内容请购买。