[发明专利]可抵赖的互联网密钥交换协议

说明书

技术领域

本发明属于密码协议，具体涉及一种可以抵赖的密钥交换协议，可用于互联网协议安全(Internet Protocol Security IPsec)标准中核心部分：互联网密钥交换(InternetKey-Exchange IKE)的替代(兼容)协议或下一代IKE标准的部分基础。提供安全，高效且可抵赖的密钥交换服务，可成为保护互联网上信息安全并兼顾用户隐私的核心密码协议。该协议亦可用于广义的密钥交换，不仅仅局限于用于互联网密钥交换。

背景技术

IKE国际标准已经经历了两代标准，当前标准(即：IKEv2)基于SIGMA密钥交换协议，使用电子签名加认证码(MAC)的方式提供信息的认证和密钥交换协议的安全。(IKEv2和SIGMA都是基于Diffie-Hellman密钥交换的。)但是，由于电子签名是不可抵赖的，因此IKEv2及SIGMA不能很好地保护用户的隐私。在很多应用中，比如互联网上的电子商务中，从隐私保护的角度，用户不希望他们的商务交易信息可以被追查到他们。另外，由于IKE运行在互联网的第三层(IP层)且IP层信息的传递主要使用用户的IP地址来进行，如果密钥交换协议对于用户的IP地址是不可抵赖的，那么，用户使用密钥交换协议所产生的会话密钥在网络高层(比如，应用层)的所有行为是可以追查到该用户的IP地址，因而不利于用户隐私的保护。

Stinson-Wu密钥交换协议需要用户事先知道彼此的身份信息，不能完全抵赖，且有多处安全漏洞。详细来说，Stinson-Wu协议运行如下(协议的初始化信息及用户的公钥同我们的协议)：

第一轮(从A到B)：{X＝g^x，H(g^bx)}。

第二轮(从B到A)：{Y＝g^y，H(g^ay×g^xb)}。

第三轮(从A到B)：{H(g^ya)}。

Stinson-Wu协议存在如下不足：

(1).用户需要在协议执行之前事先知道对方的身份信息(比如公钥)。但是，当协议在互联网IP层运行时，用户的身份可能事先并不能知道或确定，因为IP层信息的处理是通过用户的IP地址来进行的。

(2).Stinson-Wu协议不能做到完全的可抵赖。考虑如下情形：如果(X，g^bx)或(X，H(g^bx))由某个机构给予A，或是由A在网上收集或从Sinson-Wu协议的以前的历史执行中收集而来，那么在这些情形下，B不能否认(抵赖)第二轮信息的发送；类似地，如果(Y，g^ay)由某个机构给予B，或由B在网上收集而来，那么在此种情形下，A不能否认(抵赖)第三轮信息的发送。

(3).Stinson-Wu的模指数计算效率：除去信息的验证运算外，在Stinson-Wu协议中，每个用户需要作3个模指数运算：A计算g^x，g^bx及g^ya，B计算g^y，g^ay×g^xb。

(4).Stinson-Wu协议存在若干安全漏洞：在Stinson-Wu协议中，用户发送的信息并没有与发送该信息的协议的执行(即：会话)进行绑定。另外，A的关于其DH密钥成分X的离散对数x的证明H(g^bx)与关于其私钥的证明H(g^ya)是分开进行的，没有绑定。这使得Stinson-WU协议存在(甚至严重)的安全漏洞。一方面，Sinson-Wu协议不能抵抗反射(reflection)攻击；另一方面，Sinson-Wu协议不能有效抵抗“不知道密钥共享(unknownkey share UKS)”攻击：具体来讲，一个恶意敌手M可以向CA注册一个与用户A同样的公钥(注意，在Stinson-WU协议以及我们发明的协议中，公钥注册并不要求关于相应私钥的证明)。那么，使用UKS攻击，M可以冒充B将所有B发送的信息发送给A从而与A完成一次协议执行(会话)，并使得A以为他与B完成了该会话；而同时M通过使用注册的与A的公钥相同的公钥并将A发送的信息发送给B，又与B完成一个会话使得这两个会话生成了相同的会话密钥。假设A为网上银行客户，B为网上银行服务器，那么所有A做出的关于金钱的交易请求都被银行认为是由M发出的。这显示此类UKS攻击在现实中可能导致危险的后果。