第１４卷第５期 ２０１３年１Ｏ月 信息工程大学学报 Ｊｏｕｒｎａｌ ｏｆ Ｉｎｆｏｒｍａｔｉｏｎ Ｅｎｇｉｎｅｅｒｉｎｇ Ｕｎｉｖｅｒｓｉｔｙ Ｖｏ１．１４ Ｎｏ．５ ０ｃｔ．２０ｌ３ ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．１６７１－０６７３．２０１３．０５．００３ 机载无线移动自组网签名认证方案研究 黄后彪，罗长远，宋玉龙 （信息工程大学，河南郑州４５０００１） 摘要：针对机载无线移动自组网中无可信中心以及公钥证书维护开销过大问题，提出了一种无 密钥托管的基于身份的签名认证方案。在随机预言机模型下证明了该方案的签名不可伪造 性，并且在签名认证过程中避免了复杂的双线性对运算、指数运算和求逆运算，具有很高的执 行效率。 关键词：机载无线移动自组网；无密钥托管；基于身份的；签名认证 中图分类号：ＴＮ９ｌ８．１ 文献标识码：Ａ 文章编号：１６７ｌ－０６７３（２０１３）０５－０５２４－０７ Ｓｉｇｎａｔｕｒｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｓｃｈｅｍｅ ｉｎ Ａｉｒｂｏｒｎｅ Ｗｉｒｅｌｅｓｓ Ｍｏｂｉｌｅ Ａｄ Ｈｏｃ Ｎｅｔｗｏｒｋ ＨＵＡＮＧ Ｈｏｕ—ｂｉａｏ，ＬＵＯ Ｃｈａｎｇ—ｙｕａｎ，ＳＯＮＧ Ｙｕ・ｌｏｎｇ （Ｉｎｆｏｒｍａｔｉｏｎ Ｅｎｇｉｎｅｅｒｉｎｇ Ｕｎｉｖｅｒｓｉｔｙ，Ｚｈｅｎｇｚｈｏｕ ４５０００１，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ａ ｉｄｅｎｔｉｔｙ—ｂａｓｅｄ ｓｉｇｎａｔｕｒｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｓｃｈｅｍｅ ｗｉｔｈｏｕｔ ｋｅｙ ｅｓｃｒｏｗ ｉｓ ｐｒｏｐｏｓｅｄ ｔｏ ｓｏ］ｖｅ ｔｈｅ ｐｒｏｂｌｅｍ ｔｈａｔ ｔｈｅｒｅ ｉｓ ｎｏ ｔｒｕｓｔｅｄ ｐａｒｔｙ ａｎｄ ｃｅｒｔｉｆｉｃａｔｅ ｍａｉｎｔｅｎａｎｃｅ ｉｓ ｔｏｏ ｃｏｓｔｙ ｉｎ ａｅｒｏｎａｕｔｉｃａｌ ｍｏ— ｂｉｌｅ Ａｄ Ｈｏｃ ｎｅｔｗｏｒｋｓ．Ｔｈｅ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ ｐｒｏｖｅｓ ｔｏ ｂｅ ｓｅｃｕｒｅ，ａｎｄ ｅｌｉｍｉｎａｔｅｓ ｔｈｅ ｂｉｌｉｎｅａｒ ｐａｉｒｉｎｇ ｃｏｍｐｕｔａｔｉｏｎ，ｉｎｄｅｘ ｃｏｍｐｕｔａｔｉｏｎ，ｉｎｖｅｒｓｅ ｃｏｍｐｕｔａｔｉｏｎ，ＳＯ ｉｔ ｈａｓ ａ ｈｉｇｈ ｏｐｅｒａｔｉｏｎ ｅｆｉｃｉｅｎｃｙ．ｆ Ｋｅｙ ｗｏｒｄｓ：ａｉｒｂｏｒｎｅ ｗｉｒｅｌｅｓｓ ｍｏｂｉｌｅ Ａｄ Ｈｏｃ ｎｅｔｗｏｒｋ；ｗｉｔｈｏｕｔ ｋｅｙ ｅｓｃｒｏｗ；ｉｄｅｎｔｉｔｙ—ｂａｓｅｄ；ｓｉｇｎａ— ｔｕｒｅ ａｌｌｔｈｅｎｔｉｅａｔｉ０ｎ ０ 引言 机载无线移动自组网，又称航空自组网 ，是指一定空域范围内的飞机节点之间可以根据需要，自动 连接，建立起一个ＭＡＮＥＴ（ｍｏｂｉｌｅ Ａｄ．ｈｏｃ ｎｅｔｗｏｒｋｓ），飞机之间可以互相转发地面空中交通管制中心的控 制指令信息、交换飞行状态、感知信息等数据。在机载无线移动自组网中，飞机节点之间在通信的过程面 临着身份合法性确认问题，例如，恶意节点可能会伪装身份与合法节点进行通信，并试图篡改、删除或窃取 合法节点信息以及占用网络资源。使用身份认证技术可以鉴别网络中的非法节点，确认所接收消息的真 实性和完整性，保证在密钥协商以及其它信息交互过程中各方身份的合法性，防止恶意节点的假冒行为。 １９８４年Ｓｈａｍｉｒ提出了基于身份的密码体制ＩＢ—ＰＫＣ（ｉｄｅｎｔｉｔｙ・ｂａｓｅｄ ｐｕｂｌｉｃ ｋｅｙ Ｃｒｙｐｔｏｇｒａｐｈｙ） ，将用户 独有的、公开的身份信息（如邮箱地址、身份证号、手机号等）用作用户的公钥，然后由可信第三方私钥生 成器ＰＫＧ（ｐｒｉｖａｔｅ ｋｅｙ ｇｅｎｅｒａｔｏｒ）为其生成私钥，基于身份的密码体制其中一个重要的应用就是基于身份的 数字签名。２００１年，Ｂｏｎｅｈ和Ｆｒａｎｋｌｉｎ提出了第１个基于身份的加密方案，之后大量的基于身份的加密和 签名方案被提出。ＩＢ．ＰＫＣ有许多优点：无需公钥证书和证书机构；避免了复杂的公钥证书生成、维护、更 收穑日期：２０１３－０３－３１：修回日期：２０１３－０５－１４ 基金项目：科研基金资助项目 作者简介：黄后彪（１９８０一），男，硕士生，主要研究方向为移动通信安全。 第５期 黄后彪等：机载无线移动自组网签名认证方案研究 ５２５ 新和撤销等。但是基于身份的密码体制存在一个很大的缺陷，就是密钥托管的问题。文献［３］在２００３年 的亚密会上首次提出了无证书密码体制的概念，它可以有效解决基于身份的密码体制中用户密钥托管的 问题，但是将其用于签名认证时却不能抵抗签名伪造攻击 ，随后许多学者对以上两种方案提出了许多 改进方案。２０１１年，文献［５］提出一种无证书代理盲签名方案，但是文献［６］指出该方案无法抵抗公钥替 换攻击和恶意的可信第三方ＫＧＣ（ｋｅｙ ｇｅｎｅｒａｔｉｎｇ ｃｅｎｔｒｅ）的攻击，并对文献［５］进行了改进。文献［７］使用 了无证书的签名方案，虽然方案满足了安全性方面的要求，但是这些方案签名和验证过程需要多次用到指 数运算和双线性对运算，计算效率太低。文献［８］提出了一种签名方案，解决了密钥托管问题和签名伪造 问题，满足安全性方面要求，而且在签名与验证过程中没有使用复杂的指数运算和双线性对运算，但是，该 方案在签名过程中使用了求逆运算，在计算开销方面仍然过大，效率不高，不适用于机载无线移动自组网。 本文提出了一种无密钥托管的基于身份的签名认证方案，将ＰＫＧ为节点生成的私钥作为节点的部分私 钥，节点基于部分私钥与自身选取的秘密值生成完整私钥。 １ 方案设计 １．１安全模型 根据ＰＫＧ的特殊行为，在本方案中定义以下两种类型的攻击者： Ｉ类攻击者 ， 攻击者没有获得节点部分私钥或系统主密钥，而且也没有获得节点的秘密值； Ⅱ类攻击者 攻击者已经获得节点的部分私钥或系统主密钥，但是没有获得节点的秘密值。 定义１ 如果攻击者 ，不能在概率多项式时间内以不可忽略的概率 赢得仿真游戏，则称本方案在 适应性选择消息和固定ＩＤ攻击下是抗存在性伪造的。 以上提到的仿真游戏： ①仿真者 运行Ｓｅｔｕｐ算法，生成系统参数和主密钥，将系统参数发送给 。。 ② 进行以下查询： ①部分私钥查询 输入身份信息 ，对其进行部分私钥查询， 随机选择一数值作为 的秘密 值，生成对应的部分私钥，并将其返回给Ｕ．； ①秘密值查询 输入身份信息 ，对其进行秘密值查询。 返回选取的秘密值给Ｕ ； ①签名查询 输入身份信息，Ｄ 和任意的消息Ｙ ，对其进行签名查询。 运行签名算法，生成对应 的签名，并将其返回给Ｕ ； ③经过查询，攻击者 ，生成（／Ｄ ，Ｙ ， ），其中， 表示身份信息为，ｚ） 的节点对消息Ｙ 的签名。 若 是一个合法的有效签名，且满足以下条件，则称Ｕ。在游戏中获胜： ①对于 ．来说， 机进行秘密值查询； 从未提交过给部分私钥预言机进行部分私钥查询，也从未提交过给秘密值预言 ⑧对于 ，来说，（Ｙ ，ｏｒ ）从未提交过给签名预言机进行过签名查询。 定义２ 如果攻击者 不能在概率多项式时间内以不可忽略的概率 赢得仿真游戏，则称本方案在 适应性选择消息和固定ＩＤ攻击下是抗存在性伪造的。 以上提到的仿真游戏： ①仿真者 运行Ｓｅｔｕｐ算法，生成系统参数和主密钥，将系统参数和主密钥发送给ｕ：。 ② ：进行以下查询： ①部分私钥查询 输入身份信息 ，对其进行部分私钥查询， 随机选择一数值作为，Ｄ。的秘密 值，生成对应的部分私钥，并将其返回给Ｕ２； ⑨秘密值查询 输入身份信息，Ｄ ，对其进行秘密值查询。 返回选取的秘密值给Ｕ：； ①签名查询 输入身份信息 的签名，并将其返回给 。 和任意的消息Ｙ ，对其进行签名查询。 运行签名算法，生成对应 第５期 黄后彪等：机载无线移动自组网签名认证方案研究 ５２７ 若等式成立，说明ＰＫＧ为其生成的部分私钥是正确的，节点ｉ安全地保存Ｒ 和ｄ ，节点ｉ完整的私钥为（ｄ ＋ｍ ）。若不成立，则丢弃该值。 ③生成签名 节点Ａ随机选择Ｙ ∈ｚ ，获取当前时问戳 ，计算ｒａ：ＹＡＰ。节点Ａ对时间戳 进行签名： ①计算ｅ ＝ｔｔ２（ＩＤ ， ，Ｒ ，ｒａ）； ⑨计算 ＝ＹＡ＋ｅ （ｄＡ＋ｍ ）。 节点Ａ对时间戳 的签名为 ＝（Ｒ ，ｒａ， ）。Ａ发送消息＜ ，Ｔａ，ＩＤ ＞给节点曰。 节点Ｂ随机选择Ｙ ∈ｚ ，获取当前时间戳 ，计算 ＝Ｙ８Ｐ。节点Ｂ对时间戳 进行签名： ①计算ｅ ＝Ｈ （ ， ， ，Ｙ８）； ②计算 口＝Ｙ日＋ｅ （ｄＢ＋ Ｂ）。 节点 对时间戳 的签名为 ＝（Ｒ ， ， ）。Ｂ发送消息＜ ， ，ＩＤ ＞给节点４。 ④签名验证 节点Ｂ收到４发送的消息后，首先检查时间戳 是否新鲜，若 新鲜，则 ①计算 ＝ 。（ＩＤ ，Ｒ ）和 ＝Ｈ （ Ａ， ， ， ）； ①验证等式 ＺＡＰ—ｒａ＝ｅｄ（尺＾＋ｓ＾Ｐ川）， 若等式成立则输出“真”，节点 通过对节点 的身份认证。 节点Ａ收到曰发送的消息后，首先检查时间戳 是否新鲜，若 新鲜，则 ①计算ｓＢ＝Ｈ （，Ｄ日，ＲＢ）和ｅＢ＝日 （ 口， 口， ， ）； ⑨验证等式 ＢＰ—Ｙ８＝ｅＢ（Ｒ口＋ＳＢＰ ）， 若等式成立则输出“真”，节点Ａ通过对节点曰的身份认证。 该方案满足以下特点： ①抗重放攻击 在签名认证过程中，采用了对时间戳进行签名的方式，可以有效防止恶意节点通过网 络监听或其它方式盗取合法节点的签名信息，在一段时间后重新发送。 ②无密钥托管 在本方案中，通信节点ｉ完整的私钥为（ｄ ＋ｍ ）。其中，ｄ 是ＰＫＧ为其生成的部分 私钥，ｍ 是飞机节点本身选择的秘密数。ｍ 是保密的，只有飞机节点本身知道，而ＰＫＧ和其它任何飞机 节点都无法获得。因此，即使遇到恶意的ＰＫＧ或ＰＫＧ受到攻击，导致系统主密钥ｋ泄露，攻击者也只能 伪造节点的部分私钥ｄ ，无法伪造秘密数ｍ ，所以仍然无法得到飞机节点完整的私钥。因此本方案不存 在密钥托管问题。 ③运行效率高 本方案只需要进行椭圆曲线上的点乘和点加运算，而不需要双线性对运算和求逆运 算，同现有其它方案相比，具有很高的运行效率。 ２安全性证明 本方案的安全性是基于椭圆曲线密码体制的，它的安全性建立在有限域上椭圆曲线离散对数问题 ＥＣＤＬＰ（ｅｌｌｉｐｔｉｃ ｃＨｒｖｅ ｄｉｓｃｒｅｔｅ ｌｏｇａｒｉｔｈｍ ｐｒｏｂｌｅｍ）的难解性上。从目前的研究结果来看，相比于建立在一般 有限域上离散对数问题难解性来说，建立在椭圆曲线上的离散对数问题更难处理。到目前为止，效率最高 的解决椭圆曲线上的离散对数困难问题的算法是Ｐｏｌｌａｒｄ—Ｐ算法和Ｐｏｈｌｉｇ—Ｈｅｌｌｍａｎ算法。但是当椭圆曲线 上群的阶是大于１６０位的素数时，这些算法就会失效。 ２．１ 不可伪造性 定理１ 在椭圆曲线离散对数问题难解性假设和随机预言机模型下，本方案对于Ｉ类攻击者ｕ 在适 应性选择消息和ＩＤ攻击下是存在性不可伪造的。 证明 设 是仿真者，攻击者 。可以在一个概率多项式时间（ｐｒｏｂａｂｉｌｉｓｔｉｃ ｐｏｌｙｎｏｍｉａｌ ｔｉｍｅ，ＰＰＴ）内以 ５２８ 信息工程大学学报 不可忽略的概率 解决ＥＣＤＬＰ问题。设（Ｐ，ａＰ）是群Ｇ上的一个任意公私钥对，进行以下仿真游戏： 运行Ｓｔｅｐ算法，定义系统公钥Ｐ ＝ａＰ，Ｐ是椭圆曲线上阶为ｑ（ｑ＞２ ，ｋ是一个安全参数）的一个 点，生成系统参数ｐａｒａｍｓ＝｛ｑ，Ｇ，Ｐ，Ｐ ， ，Ｈ：｝， 随机选取ＩＤ，（１≤，≤ｑＨ．，ｑＨ 是 进行日 查询的最大 次数）当作此次游戏仿真者的身份。随机选取ｓ，∈Ｚｑ，令 ，：ａＰ一 ，ｏＰ，定义ｓ，＝Ｈ。（ＩＤ，，Ｒ，），将（ ，， Ｒ，，ｓ，）存入列表 中。 将系统参数发送给攻击者ｕ 。ｕ。进行如下查询： 日。查询 输入（ 。，尺 ）， 查询列表 。如果列表 中存有对应的记录（，Ｄ ，Ｒ ，ｓ ），就将ｓ 返回 给 。。如果没有，则 随机选择ｓ ∈Ｚｑ，将（ＩＤ ，Ｒ ，ｓ ）加入到列表￡ 中，并将ｓ 返回给【，。。 日：查询 ．以（ ， ， ，Ｒ ）作为输入， 查询列表Ｌ：。如果列表，Ｊ：中存有对应的记录，就返回已 维护一个列表，Ｊ 。 以 作为输入： 有值给 。如果没有，则Ｗ随机选择ｅ ∈ｚ ，将（Ｔ ，ＩＤ ，ｌ， ，Ｒ ，ｅ ）加入到列表 中，并返回ｅ 给 。 部分私钥查询 ①如果ＩＤ ＝ＩＤ，，则 终止模拟，并输出“失败”； ②如果ＩＤ ≠ＩＤ，，则 随机选取ｍ ∈ｚ 作为，Ｄ 的秘密值，然后随机选取ｄ ，ｓ ∈ｚ ，令ｓ ＝Ｈ。（，Ｄ ， 尺 ）（倘若日。（ＩＤ ，Ｒ ）已经存在，则Ｗ终止模拟。但是这种情况发生的概率最大为（ｇ ．＋ｑ ）／２¨ ，其中， ｑ 表示查询部分私钥解析预言机的最多次数），计算Ｒ ＝ｄｉＰ＋ｍ Ｐ—ｓ ａＰ。将（，Ｄ ，Ｒ ，ｓ ）加入到列表 中，（ＩＤ ，Ｒ ，ｄ ，ｍ ）加入到列表 中，并将（ｄ ，Ｒ ）返回给 ．。 秘密值查询 若ＩＤ；＝１１），，则Ｗ终止模拟，并输出“失败”。否则返回ｍ 给ｕ。。 签名查询 ｕ 以（ ，ＩＤ ）作为输入： ①如果ＩＤ ＝ＩＤ，，则 随机选取ｚ，，ｅ，∈ｚ ，令Ｒ，＝ａＰ—ｓ，ａＰ，定义ｅ，：Ｈ：（ＩＤ，，Ｔ ，Ｒ，，Ｙ，）（倘若 日 （ＩＤ，，Ｔ ，Ｒ，，】，，）已经被定义，则 终止模拟，但是出现这种情况的概率最大为（ｑ ＋ｑ ）／２ ，其中，ｇ 是 查询签名解析预言机的最多次数），计算ｌ，，＝ ，Ｐ—ｅ （Ｒ ＋ｓｉＰ ），并将（Ｒ，，ｌ， ，ｚ，）返回给 。 ②若 ≠ ，，由于 拥有 的部分私钥和秘密值，所以签名是平凡的。 ≠ ，且尺 ≠Ｒ，，则 终止模拟（Ｗ不会 伪造签名 Ｕ，对消息ｍ 关于身份，Ｄ 的签名为（Ｒ ，，ｙ ，，ｚ ），，Ｄ 并没有提交过给部分私钥预言机和 秘密值预言机进行查询，而（Ｔ ，ＩＤ ）也未进行过签名查询。若 终止模拟的概率≥１／ｑ ．）。否则根据分叉引理规约方法 可知，在概率多项式时间内，存在算法ｃ可以生 成两个有效签名（Ｔ ，ＩＤ，，Ｒ，， ，ｅ ， 。）和（Ｔ ，ＩＤ，，Ｒ，，Ｙｒ，ｅ：， ）且ｅ。≠ｅ 。因为在最开始就定义了ｓ，＝ 日 （ ，，Ｒ，），这里ｓ，不变。有以下等式成立： Ｙ，＝ １Ｐ—ｅ１（Ｒ，＋ｓ，Ｐ ） ＹＩ＝Ｚ２Ｐ—ｅ２（ＲＪ＋ｓ，Ｐ ） （１） （２） 由（１）、（２）式可得 （ Ｉ— ２）Ｐ＝（ｅ１一ｅ２）ａＰ 由（３）式可得 （ １一 ２） 一 （３） 所以，仿真者 解决了椭圆曲线上的离散对数困难问题。 定理２ 在椭圆曲线离散对数问题难解性假设和随机预言机模型下，本方案对于Ⅱ类攻击者 ：在适 应性选择消息和ＩＤ攻击下是存在性不可伪造的。 证明设 是仿真者，攻击者 可以在一个概率多项式时间（ｐｒｏｂａｂｉｌｉｓｔｉｃ ｐｏｌｙｎｏｍｉａｌ ｔｉｍｅ，ＰＰＴ）内 以不可忽略的概率 解决ＥＣＤＬＰ问题。设（Ｐ，ａＰ）是群Ｇ上的一个任意公私钥对，进行以下仿真游戏： Ｗ运行Ｓｔｅｐ算法，随机选取 ｚ 作为系统主密钥，定义系统公钥Ｐ ＝ｘＰ，Ｐ是椭圆曲线上阶为ｑ （ｑ＞２ ，ｋ是一个安全参数）的一个点，生成系统参数ｐａｒａｍｓ：｛ｑ，Ｇ，Ｐ，Ｐ ，Ｈ。，Ｈ ｝， 随机选取 ，（１≤， ≤ｑ ．，ｑ ，是 ：进行日 查询的最大次数）当作此次仿真游戏的仿真者身份。 将系统参数ｐａｒａｍｓ和系统 进行如下查询： 主密钥 发送给攻击者 ，。 日 查询 ：输入（ ，Ｒ ）， 查询列表，Ｊ。。如果列表 中存有对应的记录（ ，Ｒ ，ｓ ），就将ｓ 返回 给 ：。如果没有，则Ｗ随机选择ｓ ∈ｚ ，将（ＩＤ ，Ｒ ，ｓ ）加入到列表 中，并将ｓ 返回给 ：。 第５期 黄后彪等：机载无线移动自组网签名认证方案研究 ５２９ 查询 以（ ，ＩＤ ， ，Ｒ ）作为输入， 查询列表￡ 。如果列表￡ 中存有对应的记录，就返回已 维护一个列表 。 ：以 作为输入。 有值给 。如果没有，则 随机选择ｅ ∈ｚ ，将（ ， ，ｙ ， ，ｅ ）加入到列表 中，并返回ｅ 给ｕ 。 部分私钥查询 ①如果ＩＤ ＝ＩＤ，，则 令Ｒ ＝ａＰ，查询列表￡。，找到表中相对应的记录（，Ｄ ，Ｒ ，ｓ ）。然后，随机选取 ｒ ∈ｚ ，求得ｄ ＝ ＋ ｓ 。将（ ，Ｒ ，ｄ ，上）加入到列表 中（其中，上表示未知的秘密值），将Ｒ ，ｄ 返回 给 。 ②若ＩＤ ≠ＩＤ，，则Ｗ随机选取ｒＩ，ｍ ∈Ｚｑ，求得Ｒ ＝（ｒ ＋ｍ ）Ｐ，ｄ ＝ｒ ＋ ｓｉ，将（ ，Ｒ ，ｄ ，ｍ ）加入到 列表 中，将Ｒｉ，ｄ 返回给Ｕ 。 秘密值查询 如果ＩＤ ＝ＩＤ，，则 终止模拟，并输出“失败”。否则，Ｗ返回ｍ 给 。 签名查询 ｕ 以（ ，ＩＤ ）作为输入： ①如果ＩＤ ＝ＩＤ，，则 随机选取ｚ，，ｅ，∈Ｚｑ，令Ｒ ＝ａＰ，从列表￡ 中调出对应的记录（ ，Ｒ ，ｓ ），定义 ｅ ＝日 （ ， ，Ｒ ，Ｙｉ）（倘若Ｈｚ（１１９，，Ｔ ，Ｒ，，Ｙ１）已经被定义，则Ｗ终止模拟，但是出现这种情况的概率最大 为（ｑ ，＋ｑ ）／２ ，其中，ｑ 是查询签名解析预言机的最多次数），计算Ｙｉ＝ｚｉＰ—ｅ （Ｒ ＋ｓｉＰⅢ），并将（Ｒ ，Ｙ ， ）返回给 。 ②若，Ｄ ≠ ，，由于 拥有 伪造签名 １／ｑ ．的部分私钥和秘密值，所以签名是平凡的。 ≠ ，且 ≠Ｒ，，则 终止模拟（ 不会终止模拟的概率≥ ：对消息 关于身份 的签名为（Ｒｊ，Ｙ；， ），ＩＤ 并没有提交过给秘密值预言机进行查 询，而（ ， ）也未进行过签名查询。若 ）。否则根据分叉引理规约方法 可知，在概率多项式时间内，存在算法ｃ可以生成两个有效签名 Ｙｉ＝ １Ｐ—ｅｌ（Ｒ，＋ｓｉＰ。曲） （４） （ ，，Ｄ，， ，， ，ｅ。， 。）和（ ， ，，Ｒ，， ，ｅ：， ：）且ｅ，≠ｅ 。因此有以下等式成立： ｙ，＝ ２Ｐ—ｅ２（Ｒ，＋ｓ，ＰⅢ） 由（４）、（５）式可得 （ ｔ—ｚ２）Ｐ＝（ｅｌ—ｅ２）（ａ＋８１ｘ）Ｐ 由（６）式可得 （ １一 ２） 。 （５） （６） 所以， 解决了椭圆曲线上的离散对数困难问题。 由以上证明可知，用本文提出的方案，对于Ｉ类攻击者和Ⅱ类攻击者在适应性选择消息攻击和ＩＤ攻 击下是存在性不可伪造的。 ２．２ 保密性 在本方案中，任意飞机节点ｉ的完整私钥由部分私钥ｄ 和秘密数ｍ 构成，即使遇到恶意的私钥生成 中心或私钥生成中心受到攻击，导致系统主密钥ｋ被攻击者获得，攻击者也只能伪造出飞机节点的部分私 钥ｄ ，无法伪造秘密数ｍ 。而在信息传递过程中，任何通信实体若想得到ｍ ，面临着解决椭圆曲线离散对 数问题，所以在签名与认证过程中ｍ 只有飞机节点本身才知道，而ＰＫＧ和其它任何飞机节点都无法获 得，因此完整私钥（ｄ ＋ｍ ）是安全、保密的。 ２．３不可否认性 在本方案中，任意飞机节点完整的私钥为（ｄ ＋ｒａ ）。其中，ｍ 是飞机节点本身选择的秘密数，不同飞 机节点的ｍ 是各不相同的，所以每个飞机节点的签名私钥是各不相同的，验证公钥也各不相同。当签名 者使用不同签名私钥对同一消息进行签名时，产生的签名结果必然是不同的，而签名者的签名私钥又是安 全、保密的，因此只要签名验证者使用签名者的公钥对签名的验证通过后，则能够证明该签名一定是山该 签名者发出。 ２．４效率比较 本节将对提出的方案进行效率分析，并将其与文献［７］和文献［８］进行对比。在分析计算开销时，主 要考虑的运算类型为：椭圆曲线加法群上的点乘运算，双线性对运算，指数运算，求逆运算。相对于以上几 种运算，其它运算开销（如普通的哈希运算，椭圆曲线上的点加运算等）可以忽略不计。运行一个５１２位 ５３０ 信息工程大学学报 ２０１３正 双线性对运算需要花费２０ｍｓ，进行一个１０２４位素数指数操作只需要８．８ｍｓ¨。。。运行一次双线性对操作 的时间至少是椭圆曲线上点乘运算时间的２１倍… 。一次求逆运算相当于８０次的域乘法运算¨ 。如表 １所示，本算法与文献［７—８］提出的方案都满足安全性要求。在计算开销方面，本文提出的方案并没有使 用复杂、费时的双线性对运算，指数运算和求逆运算，在签名生成阶段，签名节点只需要进行１次椭圆曲线 上的点乘运算；在签名验证阶段，验证节点只需要进行３次椭圆曲线上的点乘运算。因此本方案计算开销 非常小，性能优于文献［７—８］，能够很好地适应高动态机载无线移动自组网对效率的要求。 表１效率比较 ３ 小结 本文针对机载无线移动自组网中飞机节点之间身份合法性确认问题进行了研究，提出了一种基于身 份的签名认证方案，经过分析，本方案不存在密钥托管问题，生成的签名是不可伪造的，而且避免了复杂的 运算，因此本方案具有很高的安全性和效率，能够适用于机载无线移动自组网的特殊环境。 参考文献： ［１］郑博，张衡阳，黄国策，等．航空自组网的现状与发展［Ｊ］．电信科学，２０１１（５）：３８－４７． ［２］Ｓｈａｍｉｒ Ａ．Ｉｄｅｎｔｉｔｙ—ｂａｓｅｄ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ ａｎｄ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅｓ［ｃ］／／ＣＲＹＰＴＯ １９８４．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ・Ｖｅｒｌａｇ，１９８５：４７－５３． ［３］Ａ１一Ｒｉｙａｍｉ Ｓ Ｓ，Ｐａｔｅｒｓｏｎ Ｋ Ｇ．Ｃｅｒｔｉｉｆｅａｔｅｌｅｓｓ ｐｕｂｌｉｃ ｋｅｙ ｃｒｙｐｔｏｇｒａｐｈｙ［ｃ］／／Ａｓｉａｅｒｙｐｔ ２００３．Ｂｅｄｉｎ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，２００３： ４５２－４７３． ［４］Ｘｉａ Ｌ Ｑ，Ｗａｎｇ Ｓ Ｂ，Ｓｈｅｎ Ｊ Ｊ，ｅｔ ａ１．Ｂｒｅａｋｉｎｇ ａｎｄ ｒｅｐａｉｉｒｎｇ ｔｈｅ ｅｅｔｒｉｉｆｃａｔｅｌｅｓｓ ｋｅｙ ａｇｒｅｅｍｅｎｔ ｐｒｏｔｏｃｏｌ ｆｒｏｍ ＡＳＩＡＮ ２００６［Ｊ］． Ｗｕｈａｎ Ｕｎｉｖｅｒｓｉｔｙ Ｊｏｕｎｒａｌ ｏｆ Ｎａｔｕｒａｌ Ｓｃｉｅｎｃｅｓ，２００８，１３（５）：５６２—５６６． ［５］黄隽，杜伟章．无证书代理盲签名方案［Ｊ］．计算机工程与应用，２０１１，４７（３１）：７３．７５． ［６］张建中，杨丽．无证书代理盲签名方案的密码学分析与改进［ＥＢ／ＯＬ］．［２０１２．１１－０６］．ｈｔｔｐ：／／ｗｗｗ．ｃｎｋｉ．ｎｅｔ／ｋｅｍｓ／ｄｅ－ ｔａｉｌ／１ １．２１２７．ＴＰ．２０１２０８０６．１４４１．Ｏ１４．ｈｔｍ１． ［７］Ｊｉｎ Ｚ，Ｗｅｎ Ｑ．Ｃｅｒｔｉｉｆｃａｔｅｌｅｓｓ ｍｕｌｔｉ—ｐｒｏｘｙ ｓｉｇｎａｔｕｒｅ［Ｊ］．Ｃｏｍｐｕｔｅｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ，２０１１，３４（３）：３４４・３５２． ［８］王圣宝，刘文浩，谢琪．无双线性配对的无证书签名方案［Ｊ］．通信学报，２０１２，３３（４）：９３－９８． ［９］Ｗａｎｇ Ｚ Ｗ，Ｗａｎｇ Ｌ Ｃ．Ｐｒｏｖａｂｌｙ ｓｅｃｕｒｅ ａｎｄ ｅｆｆｉｃｉｅｎｔ ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ ｂａｓｅｄ ｏｎ ｃｕｂｉｃ ｒｅｓｉｄｕｅｓ［Ｊ］．１ｎｔｅｒｎａ－ ｔｉｏｎａｌ Ｊｏｕｒｎａｌ ｏｆ Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ，２０１２，１４（１）：１０４—１０９． ［１０］Ｇａｏ Ｍｅｎｇ，Ｚｈａｎｇ Ｆｕ－ｔａｉ．Ｋｅｙ－ｃｏｍｐｒｏｍｉｓｅ ｉｍｐｅｒｓｏｎａｔｉｏｎ ａｔｔａｃｋｓ ｏｎ ｓｏｍｅ ｅｅｒｔｉｉｆｅａｔｅｌｅｓｓ ｋｅｙ ａｇｒｅｅｍｅｎｔ ｐｒｏｔｏｃｏｌｓ ａｎｄ ｔｗｏ ｉｍ・ ｐｒｏｖｅｄ ｐｒｏｔｏｃｏｌｓ［Ｃ］／／Ｐｒｏｃ ｏｆ ｔｈｅ １ｓｔ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｗｏｒｋｓｈｏｐ ｏｎ Ｅｄｕｃａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ ａｎｄ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ．２００９：６２－６６． ［１ １］Ｍｉｒａｃ１．Ｍｕｈｉｐｒｅｃｉｓｉｏｎ ｉｎｔｅｇｅｒ ａｎｄ ｒａｔｉｏｎａｌ ａｒｉｔｈｍｅｔｉｃ Ｃ／Ｃ＋＋ｌｉｂｒａｒｙ［ＥＢ／ＯＬ］．［２０１３－０３－０１］．ｈｔｔｐ：／／ｉｎｄｉｇｏ．ｉｅ／ｍｓｃｏｔｔ／． ［１２］Ｄａｒｒｅｌ Ｈａｎｋｅｒｓｏｎ，ＡＩＬｅｄ Ｍｅｎｅｚｅｓ，Ｓｃｏｔｔ Ｖａｎｓｔｏｎｅ．椭圆曲线密码学导论［Ｍ］．张焕国，等译．北京：电子工业出版社， ２００５．