Схема Сакаи-Касахары

Схема Сакаи–Касахары , также известная как алгоритм шифрования ключей Сакаи–Касахары ( SAKKE ), представляет собой систему шифрования на основе идентификации (IBE), предложенную Рюити Сакаи и Масао Касахарой ​​в 2003 году. ^[1] Наряду со схемой Боне–Франклина , это одна из немногих коммерчески реализованных схем шифрования на основе идентификации. Это приложение пар над эллиптическими кривыми и конечными полями . Доказательство безопасности для алгоритма было создано в 2005 году Ченом и Ченгом. ^[2] SAKKE описан в документе RFC 6508 Инженерной группы Интернета ( IETF ). ^[3]

Как конкретный метод шифрования на основе личности, основной вариант использования — позволить любому человеку зашифровать сообщение пользователю, когда отправитель знает только публичную личность (например, адрес электронной почты) пользователя. Таким образом, эта схема устраняет необходимость для пользователей делиться публичными сертификатами для целей шифрования.

Схема Сакаи-Касахары позволяет шифровать сообщение для получателя с определенной идентификацией, . Только субъект с закрытым ключом, , связанным с идентификацией, , сможет расшифровать сообщение.${\displaystyle \mathbb {М} }$${\displaystyle \textstyle I_{U}}$${\displaystyle \textstyle K_{U}}$${\displaystyle \textstyle I_{U}}$

В рамках этой схемы и отправитель, и получатель должны доверять генератору закрытых ключей (PKG), также известному как сервер управления ключами (KMS). Целью PKG является создание закрытого ключа получателя, , связанного с личностью получателя, . PKG должен безопасно доставлять закрытый ключ, специфичный для личности, получателю, и открытый параметр, специфичный для PKG, , всем сторонам. Эти процессы распределения не рассматриваются как часть определения этой криптографической схемы.${\displaystyle \textstyle K_{U}}$${\displaystyle \textstyle I_{U}}$${\displaystyle \textstyle Z}$

В схеме используются две мультипликативные группы и . Предполагается:${\displaystyle \textstyle E}$${\displaystyle \textstyle G}$

• Задача Диффи -Хеллмана сложна в . Это означает, что если даны два члена группы и , то трудно найти такое, что .${\displaystyle \textstyle E}$${\displaystyle \textstyle П}$${\displaystyle \textstyle Q}$${\displaystyle \textstyle x}$${\displaystyle \textstyle [x].P=Q}$
• Задача Диффи -Хеллмана сложна в . Это означает, что если даны два члена группы и , то трудно найти такое, что .${\displaystyle \textstyle G}$ ${\displaystyle г}$${\displaystyle т}$${\displaystyle \textstyle x}$${\displaystyle \textstyle g^{x}=t}$
• Существует билинейное отображение, спаривание Тейта-Лихтенбаума , из E в G. Это означает, что для члена :${\displaystyle \textstyle е (,)}$${\displaystyle \textstyle П}$${\displaystyle \textstyle E}$

${\displaystyle \textstyle е(P,[x].P)=e([x].P,P)=e(P,P)^{x}}$

Часто, является суперсингулярной эллиптической кривой , например (над конечным полем простого порядка ). Генератор простого порядка выбирается в . Группа является образом, обусловленным спариванием группы, порожденной (в поле расширения степени 2 конечного поля порядка p).${\displaystyle \textstyle E}$${\displaystyle \textstyle E:y^{2}=x^{3}-3x}$${\displaystyle \textstyle p}$${\displaystyle \textstyle П}$${\displaystyle \textstyle д}$${\displaystyle \textstyle E}$${\displaystyle \textstyle G}$${\displaystyle \textstyle П}$

Также требуются две хэш-функции , и . выводит положительное целое число, , такое что . выводит биты, где — длина сообщения .${\displaystyle \textstyle H_{1}}$${\displaystyle \textstyle H_{2}}$${\displaystyle \textstyle H_{1}}$${\displaystyle \textstyle x}$${\displaystyle \textstyle 1<x<q}$${\displaystyle \textstyle H_{2}}$${\displaystyle \textstyle н}$${\displaystyle \textstyle н}$${\displaystyle \mathbb {М} }$

PKG имеет главный секрет, где , и открытый ключ , который является точкой на . PKG генерирует закрытый ключ, , для пользователя с идентификатором следующим образом:${\displaystyle \textstyle z}$${\displaystyle 1<z<q}$${\displaystyle \textstyle Z=[z].P}$${\displaystyle \textstyle E}$${\displaystyle \textstyle K_{U}}$${\displaystyle \textstyle ID_{U}}$

${\displaystyle \textstyle K_{U}=[{\frac {1}{z+H_{1}(ID_{U})}}].P}$

Чтобы зашифровать неповторяющееся сообщение , отправителю требуется идентификация получателя и публичное значение PGK . Отправитель выполняет следующую операцию.${\displaystyle \mathbb {М} }$${\displaystyle \textstyle ID_{U}}$${\displaystyle \textstyle Z}$

1. Создавать:${\displaystyle \textstyle id=H_{1}(ID_{U})}$
2. Отправитель генерирует с помощью${\displaystyle \textstyle р}$${\displaystyle \textstyle r=H_{1}(\mathbb {M} ||id)}$
3. Сгенерируйте точку в :${\displaystyle \textstyle Р}$${\displaystyle \textstyle E}$

   ${\displaystyle \textstyle R = [r].([id].P+Z)}$

4. Создайте замаскированное сообщение:

   ${\displaystyle \textstyle S=\mathbb {M} \oplus H_{2}(g^{r})}$

5. Зашифрованный вывод:${\displaystyle \textstyle (R,S)}$

Обратите внимание, что сообщения не могут повторяться, поскольку повторное сообщение одному и тому же идентификатору приводит к повторному шифротексту. Существует расширение протокола, если сообщения потенциально повторяются.

Чтобы расшифровать сообщение, зашифрованное в , получателю требуется закрытый ключ из PKG и открытое значение . Процедура расшифровки выглядит следующим образом:${\displaystyle \textstyle ID_{U}}$${\displaystyle \textstyle K_{U}}$${\displaystyle \textstyle Z}$

1. Вычислить${\displaystyle \textstyle id=H_{1}(ID_{U})}$
2. Получите зашифрованное сообщение: .${\displaystyle \textstyle (R,S)}$
3. Вычислить:

   ${\ displaystyle \ textstyle w = e (R, K_ {U})}$

4. Извлеките сообщение:

   ${\displaystyle \textstyle \mathbb {M} =S\oplus H_{2}(w)}$

5. Чтобы проверить сообщение, вычислите и примите сообщение только в том случае, если:${\displaystyle \textstyle r=H_{1}(\mathbb {M} ||id)}$

   ${\displaystyle \textstyle [r].([id].P+Z)\equiv R}$

Следующие уравнения демонстрируют правильность алгоритма:

${\displaystyle \textstyle w=e(R,K_{U})=e([r].([id].P+Z),K_{U})=e([r].([id]. P+[z].P),K_{U})=e([r(id+z)].P,K_{U})}$

По билинейному свойству отображения:

${\displaystyle \textstyle w=e([r(id+z)].P,K_{U})=e([r(id+z)].P,[{\frac {1}{(id+ z)}}].P)=e(P,P)^{\frac {r(id+z)}{(id+z)}}=g^{r}}$

Как результат:

${\displaystyle \textstyle S\oplus H_{2}(w)=(\mathbb {M} \oplus H_{2}(g^{r}))\oplus H_{2}(w)=\mathbb {M} }$

Существует четыре стандарта, касающихся этого протокола:

• Первоначальная стандартизация схемы была начата IEEE в 2006 году. ^[4]
• Схема была стандартизирована IETF в 2012 году в RFC 6508.
• Алгоритм обмена ключами, основанный на этой схеме, — протокол MIKEY -SAKKE, разработанный национальным агентством разведки и безопасности Великобритании GCHQ и определенный в RFC 6509.
• Сакаи-Касахара, как указано в MIKEY-SAKKE, является основным алгоритмом обмена ключами стандарта зашифрованной передачи голоса по IP Secure Chorus . ^[5]

Как и другие схемы шифрования на основе идентификации, Sakai-Kasahara требует, чтобы Key Management Server (KMS) хранил главный секрет, из которого могут быть сгенерированы все личные ключи пользователей. Стивен Мердок критиковал MIKEY-SAKKE за создание уязвимости безопасности, позволяя KMS расшифровывать каждое сообщение пользователя. ^{[6] [7] [8]} Мердок также отметил, что отсутствие прямой секретности в MIKEY-SAKKE увеличивает вред, который может быть нанесен в результате компрометации главного секрета. GCHQ, создатель MIKEY-SAKKE, оспорил этот анализ, указав, что некоторые организации могут посчитать такие возможности мониторинга желательными для следственных или нормативных целей, ^[9] и что KMS должен быть защищен воздушным зазором . ^[10]

Схема является частью криптографической библиотеки MIRACL.

• Шифрование на основе идентификатора
• wolfSSL  : библиотека SSL/TLS, интегрированная с MIKEY SAKKE