现代密码学 学习心得

《现代密码学 学习心得》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、混合离散对数及安全认证摘要：近二十年来，电子认证成为一个重要的研究领域。其第一个应用就是对数字文档进行数字签名，其后Chaum希望利用银行认证和用户的匿名性这一性质产生电子货币，于是他提出盲签名的概念。对于所有的这些问题以及其他的在线认证，零知识证明理论成为一个非常强有力的工具。虽然其具有很高的安全性，却导致高负荷运算。最近发现信息不可分辨性是一个可以兼顾安全和效率的性质。本文研究混合系数的离散对数问题，也即信息不可识别性。我们提供一种新的认证，这种认证比因式分解有更好的安全性，而且从证明者角度看来有更高的效率。我们也降低了对Sc

2、hnorr方案变形的实际安全参数的Girault的证明的花销。最后，基于信息不可识别性，我们得到一个安全性与因式分解相同的盲签名。1．概述在密码学中，可证明为安全的方案是一直以来都在追求的一个重要目标。然而，效率一直就是一个难以实现的属性。即使在现在对于认证已经进行了广泛的研究，还是很少有方案能兼顾效率和安全性。其原因就是零知识协议的广泛应用。身份识别：关于识别方案的第一篇理论性的论文就是关于零知识的，零知识理论使得不用泄漏关于消息的任何信息，就可以证明自己知道这个消息。然而这样一种能够抵抗主动攻击的属性，通常需要许多次迭代来得到

3、较高的安全性，从而使得协议或者在计算方面，或者在通信量方面或者在两个方面效率都十分低下。最近，poupard和stern提出了一个比较高效的方案，其安全性等价于离散对数问题。然而，其约减的代价太高，使得其不适用于现实中的问题。几年以前，fiege和shamir就定义了比零知识更弱的属性，即“信息隐藏”和“信息不可分辨”属性，它们对于安全的识别协议来说已经够用了。说它们比零知识更弱是指它们可能会泄漏秘密消息的某些信息，但是还不足以找到消息。具体一点来说，对于“信息隐藏”属性，如果一个攻击者能够通过一个一次主动攻击发现秘密消息，她不是

4、通过与证明者的交互来发现它的。而对于“信息不可分辨”属性，则意味着在攻击者方面看来，证据所用的私钥是不受约束的。也就是说有许多的私钥对应于一个公钥，证据仅仅传递了有这样一个私钥被使用了这样一个信息，但是用的是哪个私钥，并没有在证据传递的信息中出现。下面，我们集中考虑后一种属性，它能够提供一种三次传递识别方案并且对抗主动攻击。Okamoto描述了一些schnorr和guillou-quisquater识别方案的变种，是基于RSA假设和离散对数子群中的素数阶的。随机oracle模型：第8页共8页最近几年，随机oracle模型极大的推动

5、了研究的发展，它能够用来证明高效方案的安全性，为设计者提供了一个有价值的工具。这个模型中理想化了一些具体的密码学模型，例如哈希函数被假设为真正的随机函数，有助于给某些加密方案和数字签名等提供安全性的证据。尽管在最近的报告中对于随机oracle模型采取了谨慎的态度，但是它仍然被普遍认为非常的有效被广泛的应用着。例如，在这个模型中被证明安全的OAPE加密方案就被集成进VISA和Master信用卡系统的模块中。有许多其他的方案在这个模型中的安全性也是有效的。1．1相关的工作：前几年，Schnorr提出了一个高效的基于素数阶子群离散对数问

6、题的识别方案和签名方案的变种，这个著名的方案我们就不再介绍了。这个以零知识闻名的方案为了抵抗主动攻击获得较高的安全性，使用了许多次固定长度的挑战应答交互。这样，高的安全性就需要很大的通信量和很大的存储空间存储预计算量。虽然没有提出安全的预处理方案，还是有许多应用中假定如果使用较大规模的挑战应答它的安全性与基本的三次通过协议相当。其安全性依赖于未经证明的假设，即假设这个方案是“信息隐藏”的。在定义了信息隐藏和信息不可分辨属性以后，brickell和mccuely提出了使用信息隐藏属性的schnorr方案的一个变种。接着，okamot

7、o提出了一个基于信息不可分辨属性的三次通过协议，可以证明其安全性可以抵挡主动攻击。这些协议中有些是基于素数阶子群的离散对数问题，有的是基于RSA假设。但是所以这些方案都并不比原来的schnorr方案更加有效。在1991年，Grault利用合数作为模代替素数，提出了schnorr的一个变种，从证明者的角度来说提高了效率。Poupard和stern给出了这个方案的统计意义上的零知识属性的证明，证实了这个方案的安全性等价于合数的离散对数问题。然而，这个方案，对于高的安全性要求也需要许多次交互，而大的简化只能适用于大的不实用的数据。最近他

8、们改进了他们的简化，使其安全性仅仅等价于因数分解。这是仍在进行的一项工作。至于签名方案，由于在pointcheval-stern和ohta-ocamoto的论文中已经能够有效的将任何三次通过协议转化成签名方案，这样，对于识别协议的有效解决，对于签名