下载文档原格式
“可公开验证的代理重加密签密方案”一想起这个方案，我的思绪就像打开了闸门的洪水，一股脑儿地涌出来。
这个方案啊，可是我磨砺了十年，一点一滴积累起来的智慧结晶。
咱们就从头开始捋一捋。
这个方案的核心是“可公开验证的代理重加密签密”。
这句话听起来有点复杂，但其实就是在保证安全性的基础上，实现加密信息的代理重加密和签名验证。
具体来说，就是让第三方可以在不需要原始密钥的情况下，对加密信息进行重加密，同时还能验证信息的签名是否真实有效。
1.设计目标（1）确保加密信息的安全性，防止信息泄露。
（2）实现代理重加密，让第三方能够在不泄露原始密钥的情况下对加密信息进行重加密。
（3）确保签名验证的准确性，防止恶意篡改。
2.技术路线（1）基于椭圆曲线密码体制，实现加密和签名。
（2）利用代理重加密技术，实现加密信息的转换。
（3）采用公开验证技术，确保签名的真实性和有效性。
3.具体方案下面，我就详细介绍一下这个方案的具体内容。
（1）加密与签名我们选择椭圆曲线密码体制进行加密和签名。
椭圆曲线密码体制具有安全性高、运算速度快等优点，非常适合用于加密和签名。
具体操作如下：选择一条安全的椭圆曲线，公钥和私钥。
对待加密信息进行椭圆曲线加密，密文。
对密文进行签名，签名。
（2）代理重加密代理重加密的核心是将加密信息转换成另一种加密形式，使得第三方可以在不泄露原始密钥的情况下对加密信息进行重加密。
具体操作如下：第三方自己的公钥和私钥。
将原始密文和第三方公钥一起发送给代理服务器。
代理服务器利用第三方公钥对原始密文进行重加密，新的密文。
将新的密文发送给第三方。
（3）签名验证签名验证的目的是确保加密信息的真实性和有效性。
具体操作如下：第三方收到新的密文后，验证签名。
如果签名验证通过，说明信息真实有效。
如果签名验证不通过，说明信息被篡改，拒绝接收。
4.安全性分析（1）椭圆曲线密码体制的安全性。
（2）代理重加密技术防止了原始密钥的泄露。
（3）公开验证技术确保了签名的真实性和有效性。
可公开验证的代理重加密签密方案可公开验证的代理重加密签密是一种新的加密方案，可以同时支持代理重加密和签名，能够更好地解决现有的安全问题。
本文将结合相关研究成果，详细地介绍这种加密方案的原理、特点和应用，并探讨其未来的发展。
一、可公开验证的代理重加密签密方案的原理可公开验证的代理重加密签密方案的原理是基于代理重加密和签名技术的结合。
其中代理重加密是指，发送方在发送消息之前将消息加密，然后通过一个代理服务器将密文重新加密，最终将消息传送给接收方。
接收方只能通过密文进行解密，代理服务器无法获知消息内容。
而签名技术则是利用数字签名算法，对消息进行签名，确保接收方能够验证消息发送者的身份。
为了实现可公开验证的代理重加密签密，需要引入一个公钥加密机制，以及一个签名算法。
发送者需要先通过公钥加密机制，将消息加密，并将加密后的消息发送给接收者。
接收者在获得加密消息后，可以使用公钥加密机制解密出消息，并使用密文和签名进行验证发送者的身份，以确保消息的完整性和真实性。
二、可公开验证的代理重加密签密方案的特点1. 更加安全可靠可公开验证的代理重加密签密方案结合了代理重加密和签名技术，能够更好地解决现有加密方案中的安全问题。
由于消息被加密后通过代理服务器传送，因此代理服务器无法获知消息的内容，从而保证消息传输的安全。
同时，在使用签名技术进行验证时，接收方能够验证发送者的身份，保证消息的可靠性和完整性。
2. 具有可公开验证性与传统的加密方案不同，可公开验证的代理重加密签密方案具有可公开验证性。
这意味着接收方可以以公开的方式验证消息的真实性，而不需要向发送方请求任何密钥或其他信息。
这种设计有助于促进不同用户和组织之间的信任和合作。
3. 支持消息临时撤回可公开验证的代理重加密签密方案支持消息临时撤回。
发送者可以通过撤回密钥，使接收方无法解密消息，从而有效地阻止未经授权访问消息的发生。
这是一个非常实用的功能，可以在某些情况下避免消息的泄露或不必要的损失。
可公开验证的代理重加密签密方案李海峰;蓝才会【期刊名称】《计算机应用》【年(卷),期】2013(33)4【摘要】已有的代理重加密签密的方案仅仅提供了不可否认性,其安全强度弱于适应选择选择消息下不可伪造性.因此,定义了在适应选择消息下不可伪造的安全模型,同时提出了一个新的代理重加密签密方案,新方案的授权人和受理人的签密文本都具有公开可验证性,并且新方案在随机预言模型下可证明安全,且该方案安全高效,适用于安全级别要求较高的实际应用领域.%The existing SignCryption with Proxy Re-Encryption (SCPRE) only provides non-repudiation and its security is weaker than that of the adaptive chosen message attack. Since there are two kinds of signcryption texts, the authors respectively provided two definitions for unforgeability: one was first-level signcryption text's unforgeability produced by the delegator and the other was second-level signcryption text's unforgeability produced by the delegatee. A new signcryption with proxy re-encryption scheme was also proposed, of which the first-level signcryption text and the second-level signcryption text all meet the publicly verifiable requirements, and its security can be proved under random oracle model. And the proposed new scheme is secure and effective. Therefore, this scheme is suitable for high security level requirements of the practical application areas.【总页数】6页(P1055-1060)【作者】李海峰;蓝才会【作者单位】西北师范大学数学与信息科学学院,兰州730070;兰州城市学院信息工程学院,兰州730070【正文语种】中文【中图分类】TP309.7【相关文献】1.标准模型下基于身份的可公开验证签密方案 [J], 白寅城;韩益亮;杨晓元;卢万宜2.具有前向安全性的可公开验证的签密方案 [J], 戚明平;陈建华;何德彪3.可公开验证的无证书混合签密方案 [J], 徐鹏;薛伟4.公开验证和前向安全数字签密方案的分析与改进 [J], 周克元5.可公开验证无证书的多接收者匿名签密方案 [J], 陈虹;朱亚囡;肖成龙;金海波;张子浩因版权原因，仅展示原文概要，查看原文内容请购买。
1引言1997年文献[1]提出了签密的概念，并给出了一个具体的签密方案。
由于签密比先签名再加密的常规消息传递的代价要小得多，所以非常适合大量数据的认证安全传递。
又因为签密的节省代价与方案中采用的安全参数的长度成正比，当取较大的安全参数时，签密方案的安全性能更佳[2]。
基于身份的密码体制最初是由文献[3]提出，但直到2001年才由文献[4]利用Weil Pairing和Tate Pairing给出了一个很好的实现方案。
2002年文献[5]定义了基于身份的签密方案的安全模型，利用双线性对构造了第一个基于身份的签密方案，该方案提供了消息的保密性和签名的不可伪造性。
文献[6]提出了3个新方案，然而在这3个方案中，没有一个方案能同时满足公开验证性和前向安全性。
文献[7]提供了公开验证性和前向安全性，然而方案同时也有一些不好的特性，如密文的无关联性和匿名性。
文献[8]设计了一个能同时满足公开验证性和前向安全性的签密方案，然而他们的方案需要两个私钥：一个用于签密，一个用于解签密。
该文利用双线性对提出了一个新的基于身份的签密方案，该方案可以在基于身份的密码体制中运行，能够将数字签名和加密有效地结合起来，可以使接受者在不作任何转换的情况下由任意第三方来验证密文消息的来源并可以独立进行签名验证和消息恢复，具有很好的应用前景。
此外，方案效率也非常高。
2基于身份的签密方案的形式化定义采用Malone-Lee定义的基于身份的签密方案的安全概念。
这些概念是语义安全的，即具有在适应性选择密文攻击下不可区分性和在适应性选择消息攻击下不可伪造性。
2.1基于身份的签密方案的组成一个基于身份的签密方案由以下几个算法组成：（1）系统初始化算法（Setup）：此算法由PKG完成，PKG输入安全参数k。
输出系统主密钥s和系统参数params，PKG保密s，公开系统参数params。
（2）密钥生成算法（Extract）：用户U将其身份信息ID U提交给PKG，PKG计算用户公钥Q U=H0（ID U）和私钥S U=sQ U并通过安全方式发送给这个用户。
（3）签密算法（Signcrypt）：输入系统参数params，明文消息m，接收者的身份ID B和发送者的私钥S A，输出秘文σ=signcrypt（m，S A，ID B）。
（4）解签密算法（Unsigncrypt）：输入秘文σ，系统参数params，接收者的私钥S B和发送者的身份ID A，输出明文消息m或“⊥”表示解签密失败。
这些算法必须满足基于身份的签密方案的一致性要求，即如果σ=signcrypt（m，S A，ID B），那么m=Unsigncrypt（σ，S B，ID A）。
一个可公开验证和前向安全的签密方案杨靖，余昭平YANG Jing，YU Zhao-ping解放军信息工程大学电子技术学院，郑州450004Institute of Electronic Technology，PLA Information Engineering University，Zhengzhou450004，ChinaE-mail：yangjing109@YANG Jing，YU Zhao-ping.Signcryption scheme with public verifiability and forward puter Engineering and Applications，2010，46（13）：108-111.Abstract：This paper proposes an identity based signcryption scheme with both public verifiability and forward security using bi－linear pairings.The scheme can separate the signature verification from message recovery.It can be applied in mobile E—business scenario，such as filtration of bad instant messages of mobile equipment．The proposed scheme is proved to be secure assuming the bilinear Diffie-Hellman problem is hard.This scheme is also very efficient regarding the computation costs and the communi－cation overheads after analyzing and being compared with other schemes．Key words：signcryption；ID-based；bilinear pairing；random oracle model摘要：利用双线性对提出一个满足公开验证性和前向安全的基于身份的签密方案，并且能够将签名的验证和消息的恢复分别独立进行，可以应用于为移动设备过滤垃圾信息等移动电子商务场合。
在BDH问题是困难的假设下用随机预言模型给出了安全性证明，经过分析比较，该方案具有很高的安全性和效率。
关键词：签密；基于身份；双线性对；随机预言模型DOI：10.3778/j.issn.1002-8331.2010.13.032文章编号：1002－8331（2010）13-0108-04文献标识码：A中图分类号：TN918基金项目：现代通信国家重点实验室基金（No.9140C1102060702）。
作者简介：杨靖（1981-），女，硕士生，主研方向：协议分析、密码理论；余昭平（1962-），男，教授，硕士导师，主研方向：密码理论、信息安全。
收稿日期：2008-10-31修回日期：2009-01-052.2基于身份的签密的安全概念Malone-Lee定义了基于身份的签密方案的安全概念，这些概念是在适应性选择密文攻击下具有不可区分性和在适应性选择消息攻击下能抗存在性伪造。
下面描述它们的定义：定义2.1（保密性）如果没有任何多项式有界的敌手以一个不可忽略的优势赢得以下游戏，则称一个基于身份的签密方案在适应性选择密文攻击下具有不可区分性（IND-IBSC-CCA2）。
（1）挑战者C输入安全参数k，运行系统建立算法，并将系统参数params发送给敌手A。
（2）在寻找阶段，敌手A执行以下的多项式有界次的下列询问：①Extract询问：A选择一个身份ID U，C计算S U=Extract（ID U），并将结果发送给A。
②Signcrypt询问：A选择两个身份ID i和ID j，一个明文消息m。
C计算密文σ=Signcrypt（m，S i，ID j），并将结果σ发送给A。
③Unsigncrypt询问：A选择两个身份ID i和ID j，一个密文σ。
C首先计算私钥S j=Extract（ID j），然后计算Unsigncrypt（σ，ID i，S j），最后发送结果明文m或符号⊥给A。
（3）A生成两个相同长度的明文m0，m1和希望挑战的两个身份ID A，ID B。
ID B不能是已经执行过密钥提取询问的身份。
C 随机选择u∈{0，1}，计算σ=signcrypt（m u，S A，ID B）并将结果σ发送给A。
（4）在猜测阶段，A像寻找阶段那样执行多项式有界次询问。
但是他不能对ID B执行Extract询问，也不能对密文σ执行Unsigncrypt询问。
（5）最后，A输出一个值u′作为对u的猜测。
如果u′=u，A 赢得游戏。
A的优势定义为Adv（A）=|2P[u′=u]-1|。
定义2.2（不可伪造性）如果没有任何多项式有界的敌手以一个不可忽略的优势赢得以下游戏，则称一个基于身份的签密方案在适应性选择消息攻击下能抗存在性伪造（EUF-IB－SC-CMA）。
（1）挑战者C输入安全参数k，运行Setup算法，并将系统参数params发送给敌手A。
（2）敌手A像定义3.1那样执行多项式有界次询问。
（3）最后，A输出一个新的三元组（σ*，ID A，ID B），且这个三元组不是由Signcrypt预言机产生的，也没有对ID A执行过Ex－tract询问。
如果Unsigncrypt（σ*，ID A，S B）的结果不是符号⊥，则A赢得游戏。
3一个新的签密方案提出一个新的基于身份的签密方案，具体过程如下：系统建立（Setup）：设G1为由P生成的循环加法群，阶为q，G2为具有相同阶q的循环乘法群，e∶G1×G1→G2为一个双线性映射。
定义3个安全的Hash函数H1∶{0，1}*→G1，H2∶{0，1}*×G2→Z q以及H3∶G2→{0，1}n。
PKG随机选择一个主密钥s∈Z*q，计算P pub=sP，选择一个密钥长度为n的安全对称加密算法（E，D）；PKG公开系统参数{G1，G2，k，n，p，e，P，P pub，H1，H2，H3，E，D}，保密主密钥s。
密钥提取（Extract）：给定一个用户U的身份ID U，PKG计算该用户的私钥S U=sQ U并把值安全地发送给U，其中Q U= H1（ID U）为该用户的公钥。
在这里，假设Alice的身份为ID A，公钥为Q A，私钥为S A，Bob的身份为ID B，公钥为Q B，私钥为S B。
签密（Signcrypt）：为了发送一个消息m∈{0，1}*给Bob，Alice 执行以下步骤：（1）随机选取r∈Z*q，计算R=rQ A；（2）计算w=e（S A，Q B）r，k=H3（w），c=E k（m）；（3）计算h=H2（c‖R）和U=（r+h）S A；（4）发送密文σ=（c，U，R）给Bob。
解签密（Unsigncrypt）：当收到密文σ时，Bob执行以下步骤：（1）计算h=H2（c‖R）。
验证等式e（P，U）=e（P pub，R+hQ A）是否成立，如果不成立，认为σ不合法，返回非法标识，算法结束；显然，由双线性对性质可知e（P，U）=e（P，（r+h）Q A）=e（Q A，R+hP pub）；（2）一旦Bob证实了签名（c，U，R）是有效的，那么他可以利用自己的私钥S B。
根据式（2）从签名中恢复明文消息。
计算w=e（R，S B）和k=H3（w），解密得到m=D k（c）。
这是因为：e（R，S B）= e（rQ A，sQ B）=e（S A，Q B）r=w。
由以上方案的构造过程可以看出，方案的密文解密与签名验证可以并行进行，换句话说，两项操作可以分别独立执行。
4安全性分析与性能评价4.1安全性分析（1）保密性定理1在随机预言模型中，若存在一个IND-IBSC-CCA2敌手A能够在t时间内，以ε的优势赢得定义3的游戏（他最多能进行q i次H i询问（i=1，2，3），q s次Signcrypt询问，q u次Un－signcrypt询问），则存在一个区分者C，能够在时间t′<t+（q s+ 3q u）t e内，以ε′>ε/（q1q3）的优势解决BDH问题，其中t e表示一次双线性对运算所需要的时间。
