Схема Боне-Франклина

Схема Боне-Франклина — это система шифрования на основе идентичности , предложенная Дэном Боне и Мэтью К. Франклином в 2001 году. ^[1] В этой статье рассматривается версия протокола под названием BasicIdent . Это применение пар ( пар Вейля ) над эллиптическими кривыми и конечными полями .

Поскольку схема основана на парном подходе , все вычисления выполняются в двух группах :${\displaystyle \textstyle G_{1}}$${\displaystyle \textstyle G_ {2}}$

Для пусть будет простым числом, и рассмотрим эллиптическую кривую над . Обратите внимание, что эта кривая не является особой, поскольку равна только для случая , который исключается дополнительным ограничением.${\displaystyle \textstyle G_{1}}$${\displaystyle \textstyle p}$${\displaystyle \textstyle p\equiv 2\mod 3}$ ${\displaystyle \textstyle E:y^{2}=x^{3}+1}$${\displaystyle \textstyle \mathbb {Z} /p\mathbb {Z} }$${\displaystyle \textstyle 4a^{3}+27b^{2}=27=3^{3}}$${\displaystyle \textstyle 0}$${\displaystyle \textstyle p=3}$

Пусть будет простым множителем (который является порядком ) и найдем точку порядка . — это множество точек, порожденных :${\displaystyle \textstyle q>3}$${\displaystyle \textstyle p+1}$${\displaystyle \textstyle E}$${\displaystyle \textstyle P\in E}$${\displaystyle \textstyle д}$${\displaystyle \textstyle G_{1}}$${\displaystyle \textstyle П}$${\displaystyle \textstyle \left\{nP\|n\in \left\{0,\ldots ,q-1\right\}\right\}}$

${\displaystyle \textstyle G_ {2}}$является подгруппой порядка . Нам не нужно явно строить эту группу (это делается с помощью спаривания) и, следовательно, не нужно искать генератор.${\displaystyle \textstyle д}$${\displaystyle \textstyle GF\left(p^{2}\right)^{*}}$

${\displaystyle \textstyle G_{1}}$считается аддитивной группой , являясь подгруппой аддитивной группы точек , в то время как считается мультипликативной группой , являясь подгруппой мультипликативной группы конечного поля .${\displaystyle \textstyle E}$${\displaystyle \textstyle G_ {2}}$${\displaystyle \textstyle GF(p^{2})^{*}}$

Генератор открытого ключа (PKG) выбирает:

1. публичные группы (с генератором ) и как указано выше, с размером в зависимости от параметра безопасности ,${\displaystyle \textstyle G_{1}}$${\displaystyle \textstyle П}$${\displaystyle \textstyle G_ {2}}$${\displaystyle \textstyle д}$${\displaystyle \textstyle к}$
2. соответствующее сопряжение ,${\displaystyle \textstyle е}$
3. случайный закрытый мастер-ключ ,${\displaystyle \textstyle K_{m}=s\in \mathbb {Z} _{q}^{*}}$
4. открытый ключ ,${\displaystyle \textstyle K_{pub}=sP}$
5. публичная хэш-функция ,${\displaystyle \textstyle H_{1}:\left\{0,1\right\}^{*}\rightarrow G_{1}^{*}}$
6. публичная хэш-функция для некоторых фиксированных и${\displaystyle \textstyle H_{2}:G_{2}\rightarrow \left\{0,1\right\}^{n}}$${\displaystyle \textstyle n}$
7. пространство сообщений и пространство шифров${\displaystyle \textstyle {\mathcal {M}}=\left\{0,1\right\}^{n},{\mathcal {C}}=G_{1}^{*}\times \left\{0,1\right\}^{n}}$

Чтобы создать открытый ключ для , PKG вычисляет ${\displaystyle \textstyle ID\in \left\{0,1\right\}^{*}}$

1. ${\displaystyle \textstyle Q_{ID}=H_{1}\left(ID\right)}$и
2. закрытый ключ , который предоставляется пользователю.${\displaystyle \textstyle d_{ID}=sQ_{ID}}$

Учитывая , что , шифротекст получается следующим образом: ${\displaystyle \textstyle м\in {\mathcal {M}}}$${\displaystyle \textstyle с}$

1. ${\displaystyle \textstyle Q_{ID}=H_{1}\left(ID\right)\in G_{1}^{*}}$,
2. выбрать случайный ,${\displaystyle \textstyle r\in \mathbb {Z} _{q}^{*}}$
3. вычислить и${\displaystyle \textstyle g_{ID}=e\left(Q_{ID},K_{pub}\right)\in G_{2}}$
4. набор .${\displaystyle \textstyle c=\left(rP,m\oplus H_{2}\left(g_{ID}^{r}\right)\right)}$

Обратите внимание, что это открытый ключ PKG, поэтому он не зависит от идентификатора получателя.${\displaystyle \textstyle K_{паб}}$

Учитывая , что открытый текст может быть получен с помощью закрытого ключа:${\displaystyle \textstyle c=\left(u,v\right)\in {\mathcal {C}}}$

${\displaystyle \textstyle m=v\oplus H_{2}\left(e\left(d_{ID},u\right)\right)}$

Первичный шаг как в шифровании, так и в дешифровании — это использование сопряжения и генерация маски (например, симметричного ключа), которая выполняется с помощью операции xor с открытым текстом. Поэтому для проверки правильности протокола необходимо убедиться, что честный отправитель и получатель в конечном итоге получают одинаковые значения.${\displaystyle \textstyle H_{2}}$

Шифрующая сущность использует , а для расшифровки применяется . Из свойств пар следует, что:${\displaystyle \textstyle H_{2}\left(g_{ID}^{r}\right)}$${\displaystyle \textstyle H_{2}\left(e\left(d_{ID},u\right)\right)}$

${\displaystyle {\begin{align}H_{2}\left(e\left(d_{ID},u\right)\right)&=H_{2}\left(e\left(sQ_{ID},rP\right)\right)\\&=H_{2}\left(e\left(Q_{ID},P\right)^{rs}\right)\\&=H_{2}\left(e\left(Q_{ID},sP\right)^{r}\right)\\&=H_{2}\left(e\left(Q_{ID},K_{pub}\right)^{r}\right)\\&=H_{2}\left(g_{ID}^{r}\right)\\\end{align}}}$

Безопасность схемы зависит от сложности билинейной задачи Диффи-Хеллмана (BDH) для используемых групп. Было доказано, что в модели случайного оракула протокол семантически безопасен при предположении BDH.

BasicIdent не выбран ciphertext secure . Однако существует универсальный метод преобразования, предложенный Фудзисаки и Окамото ^[2] , который позволяет преобразовать схему, имеющую это свойство, называемое FullIdent .

• Семинар «Криптография и безопасность в банковском деле»/«Альтернативная криптология», Рурский университет в Бохуме ^{[ постоянная неработающая ссылка ‍ ]}
• Библиотека P(airing) B(ased) C(cryptography), разработанная Беном Линном и др.