一种可相互认证的盲签名方案

盲签名主要用于安全电子现金及电子投票等协议中,用以保护消费者及投票人的隐私。该文利用双线性映射的特性,提出了一种新的可相互认证的盲签名方案,该方案可应用于基于身份的密码体制中,满足强盲签名的安全要求,而且用户和签名者之间可以相互认证,有效的避免了盲签名在应用中的一些潜在的不安全问题。     

基于区块链技术的高效跨域认证方案

为解决现有公钥基础设施（PKI）跨域认证方案的效率问题,利用具有分布式多中心、集体维护和不易篡改优点的区块链技术,提出基于区块链技术的高效跨域认证方案,设计了区块链证书授权中心（BCCA）的信任模型和系统架构,给出了区块链证书格式,描述了用户跨域认证协议,并进行了安全性和效率分析。结果表明,在安全性方面,该方案具有双向实体认证等安全属性;在效率方面,与已有跨域认证方案相比,利用区块链不可篡改机制,使用哈希算法验证证书,能减少公钥算法签名与验证的次数、提升跨域认证效率。     

基于报文哈希链的签名认证方法

针对TCP/IP协议缺乏内生安全机制引起的网络安全问题,以及IPSec等附加的安全增强技术存在效率低的问题,提出了一种基于报文哈希链的签名认证方法。该方法将所传输报文的哈希值通过迭代哈希形成一个关于报文序列的哈希链,通信双方通过报文哈希链确保报文序列的完整性;在进行报文签名认证时,通信双方只需按一定间隔对数据报文进行签名认证就能确保多个报文的完整性和不可抵赖性,并能显著提高报文安全传输的效率。通过实验证明,在相同网络环境以及通用软件实现方式下,基于报文哈希链的签名认证方法的平均比特率比IPSec逐包签名方法的平均比特率有显著提高,且这种签名认证方法能有效防范中间人攻击。     

基于SM9盲签名的OpenID协议

OpenID是一个以用户为中心的数字身份识别框架,同时又是一个去中心化的网上身份认证系统,它具有开放、分散、自由等特性。但是,当前已有的一些OpenID协议在有效保护用户隐私方面仍存在诸多不足,如身份提供商可以通过每次使用了解用户登录的依赖方信息。针对上述问题,本文提出一种基于盲签名的OpenID协议设计思路,将OpenID依赖方的网站标识符进行盲化。首先基于国密算法SM9设计一个身份基盲签名方案,并证明该方案的安全性依赖于SM9签名方案;随后基于上述盲签名方案,设计一个OpenID协议;最后通过仿真实验和理论分析论证所提出的OpenID协议的高效性和安全性。     

基于加密传输的标识解析模型研究

标识解析系统是互联网稳定运行和发展的基石,其隐私保护和数据安全问题日益引起关注。基于签名技术的DNSSEC和基于加密技术的DoT等机制解决了部分安全问题,但无法实现标识解析全流程的用户隐私保护。结合当前技术研究现状,提出一种新的基于加密传输的标识解析信任模型,建立信任链实现标识解析系统各节点的信任传递,通过全流程加密通信,保护标识解析过程中用户隐私和数据安全。首先简要介绍域名领域安全技术的研究现状,然后详细描述模型的整体架构、信任链模型和工作流程,最后通过5组实验,对模型在不同加密方法和传输协议下的时延、性能、安全性进行测试和分析,并结合现网DNS测试结果对模型的现实可行性进行验证。     

基于SM2的两方协作盲签名协议

SM2是我国于2010年发布的椭圆曲线公钥密码标准,由于其具有比RSA签验速度快、存储空间小和运算复杂度低的特点被广泛应用于金融、社保等领域。随着国密算法的推广应用,密钥安全和数据隐私问题备受关注。单密钥签名模式的签名权力过于集中,无法满足分布式环境的应用需求,密钥泄露将威胁整个密码系统的安全,密钥的安全存储和合理利用问题亟待解决。此外,标准 SM2 数字签名算法无法实现消息内容的隐私保护功能,国密算法的签名消息的隐私保护有待进一步探究。针对签名算法的密钥安全和数据隐私问题,已有对SM2的协作签名研究和盲签名研究,然而,没有对SM2盲签名的协作设计,提出一种两方协作的盲签名协议,允许除用户以外的两方执行签名操作,签名过程无须恢复完整私钥,不会泄露部分私钥和秘密数的信息,密钥分散存储提升密钥安全性,盲签名性质保护消息隐私。在安全性方面,协议满足不可伪造性和不可链接性;在效率方面,使用C语言进行仿真测试,系统中各个参与者在本地的运行耗时均在可承受范围内,在签名者诚实执行协议的情况下,协作签名阶段中各个实体的时间损耗与执行一次轻量级的 SM2 盲签名的时间损耗基本一致。因此,该协议在功能和效率上具备一定的实用前景。     

云计算中基于可转换代理签密的可证安全的认证协议

云用户与公有云之间的双向认证是云计算中用户访问公有云的重要前提.2011年,Juang等首次提出了云计算环境下采用代理签名的认证协议,其优点是用户只需到私有云中注册,然后在私有云的帮助下通过公有云的认证.但是,该方案存在3个缺陷:1)为保护用户的隐私,每次会话都需更新用户公钥;2)当私有云中的许多用户同时登录不同的公有云时,私有云会遭遇网络拥堵;3)用户的私有云与访问的公有云之间需要预先共享秘密.为弥补上述不足,提出了一种保护用户隐私的可证安全的可转换代理签密方案,基于该方案设计了一种一轮云计算认证协议.新方案的优点在于用户向私有云注册后,就能通过公有云的认证,而不需要私有云的帮助,并且它还能保护用户的隐私性、抗抵赖性.协议不需要在每次会话开始前更新用户公钥,同时私有云与访问的公有云之间不再需要预先共享秘密.在随机谕言机模型下证明了新协议的安全性,并且比较说明新协议在效率方面优于Juang等的协议.     

基于群盲签名的智能电网隐私保护方案研究

为保证电力用户隐私及数据安全,提出了一种基于群盲签名的智能电网隐私保护方案。该方案包含三层结构：控制中心、智能变电站和智能电表。三层协同交互,共同完成电力数据传输过程。为保护用户隐私,提出了一种基于Schnorr身份认证协议的高效匿名认证方法。在仿真阶段,将所提方法与同态加密、属性基群签名(ABGS)、数据聚合等方法对比,所提方法的计算量和时间消耗均有所下降。此外,时间成本随用户和变电站的数量线性增加,但增加速度比略低于其他方法。仿真验证了所提方法能够应用于大规模用户。     

基于联盟区块链的V2G网络跨域认证技术研究

针对车辆到电网（Vehicle-to-Grid,V2G）网络所面临的安全威胁,分析了V2G多域网络架构,给出了一个适用于该架构的网络信任模型。基于联盟区块链提出一种V2G网络跨管理域认证方案,通过本域用户与外地域服务器以及外地域服务器与其域内用户的认证实现域间用户双向认证。该方案利用区块链所具有的不易篡改特性,在数字身份验证环节采用哈希算法减少方案中的签名与验证次数,提高了方案的效率和可扩展性。该认证方案中的签名采用基于身份的密码算法SM9,在适应性选择消息攻击下具有存在性不可伪造安全。     

基于半盲签名的无线安全协议的分析与实现*

讨论了一种基于半盲签名的匿名安全协议,用户以通行证的方式与服务提供商建立安全连接,这样既保证了用户的安全性,也保护了用户隐私。同时,由于用户的通行证是向服务提供商信任的CA申请得到的,服务提供商的安全也得到了保证。     

A temporal-credential-based mutual authentication and key agreement scheme for wireless sensor networks

Wireless sensor network (WSN) can be deployed in any unattended environment. With the new developed IoT (Internet of Things) technology, remote authorized users are allowed to access reliable sensor nodes to obtain data and even are allowed to send commands to the nodes in the WSN. Because of the resource constrained nature of sensor nodes, it is important to design a secure, effective and lightweight authentication and key agreement scheme. The gateway node (GWN) plays a crucial role in the WSN as all data transmitted to the outside network must pass through it. We propose a temporal-credential-based mutual authentication scheme among the user, GWN and the sensor node. With the help of the password-based authentication, GWN can issue a temporal credential to each user and sensor node. For a user, his/her temporal credential can be securely protected and stored openly in a smart card. For a sensor node, its temporal credential is related to its identity and must privately stored in its storage medium. Furthermore, with the help of GWN, a lightweight key agreement scheme is proposed to embed into our protocol. The protocol only needs hash and XOR computations. The results of security and performance analysis demonstrate that the proposed scheme provides relatively more security features and high security level without increasing too much overhead of communication, computation and storage. It is realistic and well adapted for resource-constrained wireless sensor networks.     

网格环境中证书和策略的隐私保护机制研究

网格访问控制机制中网格实体的访问控制策略和证书的隐私保护是网格安全的一个重要方面,其重要性随着网格技术的进一步广泛应用而日益突出.利用安全函数计算和同态加密理论来解决访问控制过程中策略和证书的隐私保护问题.首先提出了适应于复合策略表达的电路组成方法,并基于无记忆传递机制和"混乱电路"计算协议提出了策略计算协议;然后提出了基于同态加密理论的属性相等测试协议;最后基于策略计算协议和属性相等测试协议提出了策略和证书的隐私保护协议.分析表明,本方案可以对策略和证书的属性进行完全的隐私保护,并且可以避免传统方法所引起的循环依赖问题.     

Random oracle-based anonymous credential system for efficient attributes proof on smart devices

Attributes proof in anonymous credential systems is an effective way to balance security and privacy in user authentication; however, the linear complexity of attributes proof causes the existing anonymous credential systems far away from being practical, especially on resource-limited smart devices. For efficiency considerations, we present a novel pairing-based anonymous credential system which solves the linear complexity of attributes proof based on aggregate signature scheme. We propose two extended signature schemes, BLS+ and BGLS+, to be cryptographical building blocks for constructing anonymous credentials in the random oracle model. Identity-like information of message holder is encoded in a signature in order that the message holder can prove the possession of the input message along with the validity of a signature. We present issuance protocol for anonymous credentials embedding weak attributes which are referred to what cannot identify a user in a population. Users can prove any combination of attributes all at once by aggregating the corresponding individual credentials into one. The attributes proof protocols on AND and OR relation over multiple attributes are also given. The performance analysis shows that the aggregation-based anonymous credential system outperforms both the conventional Camenisch–Lysyanskaya pairing-based system and the accumulator-based system when prove AND and OR relation over multiple attributes, and the size of credential and public parameters are shorter as well.     

5G异构网络中基于群组的切换认证方案

随着5G网络的发展,各类网络服务质量极大提升的同时网络环境也愈加复杂,从而带来了一系列安全挑战。切换认证可以解决用户在不同类型网络间的接入认证问题,但现存方案仍存在一些不足,还需要解决如全局切换认证、密钥协商、隐私保护、抵抗伪装攻击、抵抗中间人攻击、抵抗重放攻击以及群组用户切换效率等问题。针对这些问题,提出了一个5G异构网络中基于群组的切换认证方案。在所提出的方案中,注册域服务器在区块链上为每个用户存入一个通行证,任何实体都可以利用该通行证对用户进行认证,从而实现全局切换认证。对于群组用户,各用户分别设置可聚合的认证参数,验证者通过验证聚合签名实现对群组用户的批量验证。新方案不仅提升了群组用户切换时的效率,同时还满足上述安全性要求。基于形式化分析软件AVISPA的分析结果表明,所提出的方案是安全的。性能分析表明,所提出的方案执行批量验证时的效率比现存方案至少提升了89.8％。     

移动网络可信匿名认证协议

针对终端接入移动网络缺乏可信性验证问题,提出一种移动网络可信匿名认证协议,移动终端在接入网络时进行身份验证和平台完整性认证。在可信网络连接架构下,给出了可信漫游认证和可信切换认证的具体步骤,在认证时利用移动终端中预存的假名和对应公私钥对实现了用户匿名隐私的保护。安全性分析表明,协议满足双向认证、强用户匿名性、不可追踪性和有条件隐私保护。协议中首次漫游认证需要2轮交互,切换认证需1轮即可完成,消息交换轮数和终端计算代价优于同类可信认证协议。     

标准模型下隐私保护的多因素密钥交换协议

多因素认证密钥交换协议融合多种不同的认证因素来实现强安全的身份认证和访问控制,在具有高级别安全应用需求的移动泛在服务中具有巨大的应用潜力.现阶段多因素协议的研究成果还不丰富,并且已有协议都是在随机预言模型下可证明安全的.以两方口令认证密钥交换协议、鲁棒的模糊提取器以及签名方案为基本组件提出了一个标准模型下可证明安全的多因素协议.本文的协议中服务器不知道用户的生物模板,因此实现了对生物信息的隐私保护.与已有的随机预言模型下的多因素协议相比,本文的协议在满足更高安全性的同时具有更高的计算效率和通信效率,因此更满足高级别安全的移动泛在服务的应用需求.     

PEACE: A Novel Privacy-Enhanced Yet Accountable Security Framework for Metropolitan Wireless Mesh Networks

Recently, multihop wireless mesh networks (WMNs) have attracted increasing attention and deployment as a low-cost approach to provide broadband Internet access at metropolitan scale. Security and privacy issues are of most concern in pushing the success of WMNs for their wide deployment and for supporting service-oriented applications. Despite the necessity, limited security research has been conducted toward privacy preservation in WMNs. This motivates us to develop PEACE, a novel Privacy-Enhanced yet Accountable seCurity framEwork, tailored for WMNs. On one hand, PEACE enforces strict user access control to cope with both free riders and malicious users. On the other hand, PEACE offers sophisticated user privacy protection against both adversaries and various other network entities. PEACE is presented as a suite of authentication and key agreement protocols built upon our proposed short group signature variation. Our analysis shows that PEACE is resilient to a number of security and privacy related attacks. Additional techniques were also discussed to further enhance scheme efficiency.     

一种高效的门限部分盲签名方案

现有的门限签名方案使用一些低效的MapToPoint哈希函数,难以避免因多次使用哈希函数而带来的安全性危害。为此,将门限签名和部分盲签名相结合,提出一种新的基于双线性对的门限部分盲签名方案。分析结果表明,该方案使用高效的普通哈希函数,可提高执行效率,具有满足门限签名和部分盲签名的优点。