Схема Сакаи – Касахара - Sakai–Kasahara scheme

В Схема Сакаи – Касахара, также известный как алгоритм шифрования ключа Сакаи – Касахара (САККЕ), является шифрование на основе личности (IBE) система, предложенная Рюичи Сакаи и Масао Касахара в 2003 году.^[1] Наряду с Схема Боне-Франклина, это одна из небольшого числа коммерчески реализуемых схем шифрования на основе идентификации. Это приложение пары над эллиптические кривые и конечные поля. Доказательство безопасности для алгоритма было создано в 2005 году Ченом и Ченгом.^[2] SAKKE описан в Internet Engineering Task Force (IETF ) RFC 6508.^[3]

В качестве особого метода для шифрования на основе идентичности основной вариант использования - позволить кому-либо зашифровать сообщение для пользователя, когда отправителю известен только общедоступный идентификатор (например, адрес электронной почты) пользователя. Таким образом, эта схема устраняет необходимость для пользователей обмениваться общедоступными сертификатами с целью шифрования.

Описание схемы

Схема Сакаи – Касахара позволяет зашифровать сообщение. ${\displaystyle \mathbb {M} }$ получателю с определенным именем, ${\displaystyle \textstyle I_{U}}$. Только объект с закрытым ключом, ${\displaystyle \textstyle K_{U}}$, связанный с личностью, ${\displaystyle \textstyle I_{U}}$, сможет расшифровать сообщение.

В рамках схемы и отправитель, и получатель должны доверять генератору закрытых ключей (PKG), также известному как сервер управления ключами (KMS). Цель PKG - создать закрытый ключ получателя, ${\displaystyle \textstyle K_{U}}$, связанный с идентификатором получателя, ${\displaystyle \textstyle I_{U}}$. PKG должна безопасно доставить получателю закрытый ключ удостоверения личности и общедоступный параметр PKG, ${\displaystyle \textstyle Z}$, всем сторонам. Эти процессы распространения не рассматриваются как часть определения этой криптографической схемы.

Предварительные мероприятия

В схеме используются две мультипликативные группы ${\displaystyle \textstyle E}$ и ${\displaystyle \textstyle G}$. Предполагается:

• В Проблема Диффи-Хеллмана тяжело в ${\displaystyle \textstyle E}$. Это означает, что для двух членов группы ${\displaystyle \textstyle P}$ и ${\displaystyle \textstyle Q}$, трудно найти ${\displaystyle \textstyle x}$ такой, что ${\displaystyle \textstyle [x].P=Q}$.
• В Проблема Диффи-Хеллмана тяжело в ${\displaystyle \textstyle G}$. Это означает, что с учетом двух членов группа ${\displaystyle g}$ и ${\displaystyle t}$, трудно найти ${\displaystyle \textstyle x}$ такой, что ${\displaystyle \textstyle g^{x}=t}$.
• Есть билинейная карта Тейт-Лихтенбаум. спаривание, ${\displaystyle \textstyle e(,)}$ от E до G. Это означает, что для ${\displaystyle \textstyle P}$ членом ${\displaystyle \textstyle E}$ и для ${\displaystyle \textstyle g=e(P,P)}$ членом ${\displaystyle \textstyle G}$:

${\displaystyle \textstyle e(P,[x].P)=e([x].P,P)=e(P,P)^{x}=g^{x}}$

Часто, ${\displaystyle \textstyle E}$ суперсингулярный эллиптическая кривая, Такие как ${\displaystyle \textstyle E:y^{2}=x^{3}-3x}$ (над конечным полем простого порядка ${\displaystyle \textstyle p}$). Генератор ${\displaystyle \textstyle P}$ высшего порядка ${\displaystyle \textstyle q}$ выбран в ${\displaystyle \textstyle E}$. Группа ${\displaystyle \textstyle G}$ - образ, образованный спариванием группы, порожденной ${\displaystyle \textstyle P}$ (в поле расширения степени 2 конечного поля порядка p).

Два хэш-функции также требуются, ${\displaystyle \textstyle H_{1}}$ и ${\displaystyle \textstyle H_{2}}$. ${\displaystyle \textstyle H_{1}}$ выводит положительное целое число, ${\displaystyle \textstyle x}$, так что ${\displaystyle \textstyle 1<x<q}$. ${\displaystyle \textstyle H_{2}}$ выходы ${\displaystyle \textstyle n}$ биты, где ${\displaystyle \textstyle n}$ длина сообщения ${\displaystyle \mathbb {M} }$.

Генерация ключей

У PKG есть главный секрет ${\displaystyle \textstyle z}$ куда ${\displaystyle 1<z<q}$, и открытый ключ ${\displaystyle \textstyle Z=[z].P}$ что является точкой на ${\displaystyle \textstyle E}$. PKG генерирует закрытый ключ, ${\displaystyle \textstyle K_{U}}$, для пользователя с удостоверением ${\displaystyle \textstyle ID_{U}}$ следующее:

${\displaystyle \textstyle K_{U}=[{\frac {1}{z+H_{1}(ID_{U})}}].P}$

Шифрование

Чтобы зашифровать неповторяющееся сообщение ${\displaystyle \mathbb {M} }$, отправителю требуется личность получателя, ${\displaystyle \textstyle ID_{U}}$ и публичная стоимость PGK ${\displaystyle \textstyle Z}$. Отправитель выполняет следующую операцию.

1. Создавать: ${\displaystyle \textstyle id=H_{1}(ID_{U})}$
2. Отправитель генерирует ${\displaystyle \textstyle r}$ с помощью ${\displaystyle \textstyle r=H_{1}(\mathbb {M} ||id)}$
3. Создать точку ${\displaystyle \textstyle R}$ в ${\displaystyle \textstyle E}$:

   ${\displaystyle \textstyle R=[r].([id].P+Z)}$

4. Создайте замаскированное сообщение:

   ${\displaystyle \textstyle S=\mathbb {M} \oplus H_{2}(g^{r})}$

5. Зашифрованный вывод: ${\displaystyle \textstyle (R,S)}$

Обратите внимание, что сообщения могут не повторяться, так как повторение сообщения для одного и того же идентификатора приводит к повторному зашифрованному тексту. Протокол имеет расширение на случай возможного повторения сообщений.

Расшифровка

Чтобы расшифровать сообщение, зашифрованное в ${\displaystyle \textstyle ID_{U}}$, получателю требуется закрытый ключ, ${\displaystyle \textstyle K_{U}}$ от PKG и общественной ценности ${\displaystyle \textstyle Z}$. Порядок расшифровки следующий:

1. Вычислить ${\displaystyle \textstyle id=H_{1}(ID_{U})}$
2. Получите зашифрованное сообщение: ${\displaystyle \textstyle (R,S)}$.
3. Вычислить:

   ${\displaystyle \textstyle w=e(R,K_{U})}$

4. Извлеките сообщение:

   ${\displaystyle \textstyle \mathbb {M} =S\oplus H_{2}(w)}$

5. Чтобы проверить сообщение, вычислите ${\displaystyle \textstyle r=H_{1}(\mathbb {M} ||id)}$, и принимайте сообщение, только если:

   ${\displaystyle \textstyle [r].([id].P+Z)\equiv R}$

Демонстрация алгоритмической корректности

Следующие уравнения демонстрируют правильность алгоритма:

${\displaystyle \textstyle w=e(R,K_{U})=e([r].([id].P+Z),K_{U})=e([r].([id].P+[z].P),K_{U})=e([r(id+z)].P,K_{U})}$

По билинейности карты:

${\displaystyle \textstyle w=e([r(id+z)].P,K_{U})=e([r(id+z)].P,[{\frac {1}{(id+z)}}].P)=e(P,P)^{\frac {r(id+z)}{(id+z)}}=g^{r}}$

Как результат:

${\displaystyle \textstyle S\oplus H_{2}(w)=(\mathbb {M} \oplus H_{2}(g^{r}))\oplus H_{2}(w)=\mathbb {M} }$

Стандартизация

К этому протоколу относятся четыре стандарта:

• Первоначальная стандартизация схемы была начата IEEE в 2006 году.^[4]
• Схема была стандартизирована IETF в 2012 г. RFC 6508.
• Основанный на схеме алгоритм обмена ключами - это Майки -Протокол SAKKE, разработанный агентством национальной разведки и безопасности Великобритании, GCHQ, и определено в RFC 6509.
• Sakai-Kasahara, как указано в MIKEY-SAKKE, является основным алгоритмом обмена ключами Безопасный хор зашифрованный Голос по IP стандарт.^[5]

Безопасность

Как и другие схемы шифрования на основе идентификации, Sakai-Kasahara требует, чтобы сервер управления ключами (KMS) хранил главный секрет, на основе которого могут быть сгенерированы закрытые ключи всех пользователей. Стивен Мердок раскритиковал MIKEY-SAKKE за создание уязвимости в системе безопасности, позволяя KMS расшифровывать сообщения каждого пользователя.^[6][7][8]. Мердок также отметил, что отсутствие прямая секретность в MIKEY-SAKKE увеличивает вред, который может возникнуть в результате компрометации главного секрета. GCHQ, создатель MIKEY-SAKKE, оспорил этот анализ, указав, что некоторые организации могут рассматривать такие возможности мониторинга как желательные для следственных или нормативных соображений.^[9], и что KMS должен быть защищен воздушный зазор^[10].

Криптографические библиотеки и реализации

Схема является частью криптографической библиотеки MIRACL.

Смотрите также

• Шифрование на основе идентификатора
• wolfSSL : Библиотека SSL / TLS, интегрированная с MIKEY SAKKE.

Рекомендации

1. Сакаи, Рюичи; Касахара, Масао (2003). «Криптосистемы на основе ID с сопряжением по эллиптической кривой» (PDF). Криптография ePrint Archive. 2003/054.
2. Chen, L .; Ченг, З. «Доказательство безопасности схемы шифрования на основе личности Сакаи-Касахара» (PDF). Криптография ePrint Archive. 2005/226.
3. Гровс, М. (февраль 2012 г.). Шифрование ключа Сакаи-Касахара (SAKKE). IETF. Дои:10.17487 / RFC6508. RFC 6508.
4. Барбоза, М. (июнь 2006 г.). "SK-KEM: KEM на основе идентичности" (PDF). IEEE. P1363.3.
5. «Единые технологические стандарты». Безопасный хор. 2019. Архивировано с оригинал на 2020-02-04. Получено 4 февраля 2020.
6. Мердок, Стивен Дж. (Март 2016 г.). «Небезопасно по своей природе: протоколы для зашифрованных телефонных звонков». Компьютер. IEEE. 49 (3): 25–33. Дои:10.1109 / MC.2016.70. S2CID  10072519.
7. Мурджа, Мадхумита (22 января 2016 г.). "Разработанное GCHQ программное обеспечение для защищенных телефонных звонков, открытых для" подслушивания "'". Телеграф. В архиве из оригинала на 2019-07-09. Получено 2020-02-04.
8. Баранюк, Крис (23 января 2016 г.). "Безопасность телефона, разработанная GCHQ" открыта для наблюдения'". Новости BBC. Получено 2020-02-04.
9. Леви, Ян (26 января 2016 г.). «Развитие MIKEY-SAKKE». GCHQ. Получено 2020-02-04.
10. "MIKEY-SAKKE часто задаваемые вопросы". GCHQ. 7 августа 2016 г.. Получено 2020-02-04.