簇間非對稱群組密鑰協商協議

張啟坤 甘 勇 王銳芳 鄭家民 譚毓安

1(鄭州輕工業學院計算機與通信工程學院 鄭州 450002) 2(北京理工大學計算機學院 北京 100081)

傳感器網絡中節點共同收集信息、協同處理數據是傳感器網絡群組通信的應用體現,如何保障傳感器網絡群組通信的安全是當前研究的一個重要問題.群組密鑰協商是為群組成員之間建立一條安全的通信信道.多年來無線傳感器網絡密鑰協商機制一直是傳感網絡安全研究的重點技術,典型的研究有潘耘等人[1]融合了基于CA 的公鑰認證框架和基于身份的公鑰認證框架二者的優點,提出了適合于無線傳感器網絡環境的輕量級的、高效的密鑰預分配方案;夏戈明等人[2]提出基于對稱平衡不完全區組設計的密鑰預分配方案,安全強度有所提高,并在能量消耗方面進行了優化;黃海平等人[3]提出基于邏輯網格的密鑰預分配方案,傳感器節點間通過求解網格矩陣系數,計算共同的密鑰參數,進而實現共享對稱加密密鑰;Walid等人[4]提出一個高度可擴展性密鑰預分配方案,有效地提高了共享密鑰節點的連通性,提高節點存儲共享密鑰的性能;Monjul等人[5]通過擴展圖論的方法設計一個密鑰預分配方案,密鑰預分配方案有其固有的缺陷.

傳感器節點之間通過在線計算生成它們之間的共享密鑰,是傳感網密鑰協商的另一種可行技術.近年來典型的方案有Tseng 等人[6]提出一種非平衡環境下群組密鑰協商協議,但其不具有可認證性和動態性;張啟坤等人[7]對Tseng等人[6]的群組密鑰協商協議進行了改進,提出一種新的動態可認證群組密鑰協商協議,具有可認證性和動態性;Cheng等人[8]采用雙線映射技術對Tseng 等人[6]的協議進行改進,使之能夠抵抗密鑰臨時泄露攻擊;張啟坤等人[9-10]采用組合密鑰技術實現密鑰協商,但其容易遭受密鑰信息共謀攻擊;Teng等人[11]提出無線網絡環境下可認證的群組密鑰協商協議,協議具有動態靈活性,能抵御積極攻擊;Thomas等人[12]提出無線傳感網絡中一種節約資源的群組密鑰協商,其主要是針對特定的無線網絡環境下在計算量盡可能少、信息傳播輪數盡可能少的節能性群組密鑰協商;Walid等人[13]提出無線傳感網絡中一種可擴展的密鑰管理機制,該方案針對傳感器存儲資源受限及傳感網節點易變性提出的密鑰管理機制,適用于傳感網特定的應用環境.

非對稱群組密鑰協商的主要特點是群組成員協商一對公/私密鑰對,分別用于群組交換信息的加密與解密.伍前紅等人[14]在2009年EUROCRYPT 會議上提出非對稱群組密鑰協商(asymmetric group key agreement, AGKA)協議,由于群組加密密鑰和解密密鑰不相同,加密密鑰可以對外公開,這使得消息發送者不局限于群組內部人員,該方案具有較高的安全性,但在效率方面沒有優勢,該方案只適用于靜態群組;2011年伍前紅等人[15]對其EUROCRYPT 會議提出的AGKA進行了擴展與改進,使其具有動態性,增強了方案的靈活性和實用性;張磊等人[16-17]提出可認證的非對稱群組密鑰協商,提高了非對稱群組密鑰協商的安全性;Zhao等人[18]提出一種應用于ad hoc 網絡的動態ASGKA,該方案的群組間認證采用多方簽名技術來實現,增加了較大的計算量.在移動設備資源受限的環境下,該方案有待于進一步簡化計算量與通信量;徐暢等人[19]提出具有隱藏特性的可認證非對稱群組密鑰協商協議,對參與群組密鑰協商的成員隱私信息具有一定的保護能力;Lü等人[20]提出基于無證書密碼系統的可認證非對稱群組密鑰協商方案,避免了基于身份密碼系統中密鑰托管問題,在Diffie-Hellman困難假設下可證明安全的;2014年張啟坤等人[21]利用短簽名技術實現動態可認證非對稱群組密鑰協商,進一步提高了群組密鑰協商的安全性及效率,但群組密鑰協商的計算量及通信消耗比較大,不適用于移動網絡環境中.

綜上分析,無線傳感網中基于預置的密鑰分配方案,由于傳感器節點存儲能力的限制,使其在大規模的無線網絡中的應用受到限制；基于在線計算的對稱群組密鑰協商,其安全度不高,且靈活性較差,不適用于網絡易受攻擊及節點易被捕獲的傳感網絡；當前非對稱群組密鑰協商,其計算量及通信量較大,有待進一步優化以適用節點資源受限的無線傳感網.

本文提出可認證非對稱群組密鑰協商具有3項優勢：

1) 可跨簇性.參與群組密鑰協商的傳感器節點可分布在不同的簇,在傳感器節點通信能力受限的情況下通過橋接技術實現跨簇非對稱群組密鑰協商,完成傳感器節點遠距離信息安全交換與信息安全傳輸；

2) 輕量級計算.由于非對稱群組密鑰涉及的通信與計算較對稱群組密鑰協商要大,通過不對等計算技術,將傳感器節點的計算與通信負載遷移簇頭節點來完成,彌補傳感器節點資源受限的限制問題,達到非對稱群組密鑰協商的性能,具有對稱群組密鑰協商的輕量級計算和非對稱群組密鑰協商的安全性及靈活性；

3) 群組密鑰自證實性.群組成員計算完群組密鑰后,不需要經過額外的通信廣播輪數,只需通過簡單函數映射關系,自己能夠驗證其所計算的群組密鑰的正確性.

1 基礎知識

1.1 雙線性映射

首先給出雙線性映射的定義[15-16],假設G1為加法群,G2為乘法循環群,其具有共同的大素數階q,q≥2k+1,k是安全參數,且G1和G2上的離散對數是困難的.群G1和G2是一對雙線性群,設G1=g1,e是可高效計算的雙線性映射,e:G1×G1→G2，有關雙線性映射性質如下[17,19-20]：

性質1. 雙線性.對所有的g1,g2∈G1,及a,b∈有e(ag1,bg2)=e(g1,g2)ab.

性質2. 非退化性.即e(g1,g2)≠1.

性質3. 可高效計算性.存在有效的算法,對于g1,g2∈G1可高效計算e(g1,g2).

1.2 計算復雜性問題

假設2. DCDH(divisible computational Diffie-Hellman)問題[17,19-20].假設一個三元組(g1,ag1,bg1)∈G1,對于未知數a,b∈計算(ab)g1是困難的.

1.2.1 安全模型與安全假設

本節參考了文獻[18,21]，在其基礎上給出了非對稱群組密鑰協商協議參與者安全模型屬性,然后給出安全模型的形式化定義及要實現的安全目標.

1) 安全模型屬性及相關符號

假設U是參與密鑰協商協議的傳感器節點組成的集合,該集合的大小為多項式有界,U中每個傳感器節點都有自己的身份信息及對應的公私密鑰對,U的任意子集Usub={u1,u2,…,un}中的節點可以隨時執行密鑰協商協議Π,用表示節點ui與其伙伴節點{u1,u2,…,ui-1,ui+1,…,un}執行非對稱密鑰協商的第π個實例,π∈每個參與節點實例擁有多個屬性,定義如下:

2) 他們成功的完成群組會話密鑰協商；

1.2.2 敵手模型

本文所設計的跨簇非對稱密鑰協商協議方案中,參與群組密鑰協商的傳感器節點所計算的公開群組密鑰是群組加密密鑰,而群組解密密鑰是由各不相同的傳感器節點自身的密鑰參數計算的.本文把保密性定義為任意概率多項式時間的敵手區分用群組加密密鑰加密的2個等長消息的優勢是可忽略的.通過一個挑戰者C與一個敵手A之間的游戲規則來定義該群組密鑰協商協議的安全性,安全模型中包括一個主動攻擊者和一個協議參與者集合,每個參與者被模擬成一個隨機預言機,該游戲分為3個步驟:

1) 初始化階段.該階段挑戰者C運行系統函數Setup()(是一個安全參數),輸出相關的系統參數及主密鑰.然后將系統參數發給敵手A,并保留主密鑰.

2) 訓練階段.敵手A通過以下詢問與挑戰者C進行交互:

3) 輸出.游戲結束后,敵手A輸出一個對比特b的猜測值(記為b′).若b′=b,則稱敵手A贏得了此游戲.定義敵手A成功贏得游戲的概率為AdvA()=|2Pr[b′=b]-1|(為安全參數).

3) 未對參與實體集合Pj做過Corrupt查詢.

定義3. 安全性.稱該非對稱群組密鑰協商協議具有 適應性選擇挑戰ID和選擇明文攻擊下的語義不可區分性(indistinguishability against identity-based chosen plaintext attack, IND-ID-CPA),如果沒有概率多項式時間(probabilistic polynomial time, PPT)內敵手A以不可忽略的優勢贏得以上游戲,或者任意概率多項式時間IND-ID-CPA敵手A贏得該游戲的優勢AdvA()=|2Pr[b′=b]-1|可以忽略.

2 簇間非對稱群組密鑰協商過程

在無線傳感網中簇間非對稱群組密鑰協商協議分為2個部分：1)簇頭之間的聯盟密鑰建立；2)簇間傳感器節點非對稱群組密鑰協商協議.

2.1 初始化

假設G1和G2分別是具有相同大素數階q的加法群和乘法群,q≥2+1,是安全參數,且G1和G2上的離散對數是困難的,設G1=g1.e是可高效計算的雙線性映射,e:G1×G1→G2,H1,H2:G2→為2個散列函數.系統的參數為params=(q,G1,G2,g1,e,H1,H2).

2.2 簇頭間聯盟密鑰的計算

設N個簇的簇頭集合為φ={U1,U2,…,UN},任意簇頭Ui(1≤i≤N)隨機選擇SKi∈并計算PKi=SKig1,則Ui(1≤i≤N)的公私密鑰對為(PKi,SKi),SKi由簇頭秘密保存,PKi廣播出去并對外公開.

將N個簇的簇頭Ui(1≤i≤N)作為三叉樹的葉子節點,構建一個完全三叉樹,如圖1所示.其中Th,l表示非葉子節點,h為分枝節點Th,l在樹中的高度(層數)，l為該分枝節點Th,l在h層中的第l個節點，且

Fig. 1 The logical structure of key agreement for cluster heads圖1 簇頭聯盟密鑰建立的邏輯結構

為簡述方便,以9個簇頭的傳感網為例,由9個簇頭組建的三叉樹分3層,假設簇頭分別為U0,U1,U2,U3,U4,U5,U6,U7,U8其對應的公私密鑰對分別為(SK0,PK0),(SK1,PK1),(SK2,PK2),(SK3,PK3),(SK4,PK4),(SK5,PK5),(SK6,PK6),(SK7,PK7),(SK8,PK8),則簇頭間聯盟密鑰生成過程如下：

1)U0,U1,U2通過各自自己的私鑰和其兄弟節點的公鑰可計算出其父節點T1,0的私鑰TX1,0.如U0計算TX1,0=H1(e(PK1,PK2)SK0)=H1(e(g1,g1)SK0SK1SK2)及對應公鑰TY1,0=H1(e(g1,g1)SK0SK1SK2)g1,并廣播TY1,0.U1計算TX1,0=H1(e(PK0,PK2)SK1)=H1(e(g1,g1)SK1SK0SK2)；U2計算TX1,0=H1(e(PK0,PK1)SK2)=H1(e(g1,g1)SK2SK0SK1).

2) 同理,U3,U4,U5各自計算出其父節點私鑰TX1,1=H1(e(PK4,PK5)SK3)=H1(e(PK3,PK5)SK4)=H1(e(PK3,PK4)SK5)=H1(e(g1,g1)SK3SK4SK5),U3計算對應的公鑰TY1,1=TX1,1g1,并廣播出去.

3) 同理,U6,U7,U8,U5各自計算出其父節點私鑰TX1,2=H1(e(PK7,PK8)SK6)=H1(e(PK6,PK8)SK7)=H1(e(PK6,PK7)SK8)=H1(e(g1,g1)SK6SK7SK8),U6計算對應的公鑰TY1,2=TX1,2g1,并廣播出去.

4) 所有葉子節點收到U0,U3和U6的廣播后,可計算出根節點T0,0的私鑰

TX0,0=H1(e(TY1,1,TY1,2)H1(e(g1,g1)SK2SK0SK1))=
H1(e(TY1,0,TY1,2)H1(e(g1,g1)SK3SK4SK5))=
H1(e(TY1,0,TY1,1)H1(e(g1,g1)SK6SK7SK8)),

則傳感器網絡中每個簇頭可協商出一個共同的聯盟密鑰TX0,0.

2.3 跨簇傳感器節點間非對稱群組密鑰協商

本節提出一種輕量級的關于無線傳感器節點之間的跨簇可認證的非對稱群組密鑰協商協議,以一個簇的傳感器節點的群組密鑰協商為例,有2種假設需要考慮：

1) 每個簇有一個簇頭和n個傳感器節點組成.簇頭Ui內的低能量節點集合表示為u={ui,1,ui,2,…,ui,n},其對應的身份集合表示為I={idui,1,idui,2,…,idui,n},任意節點ui,j(1≤j

2) 每個節點在執行協議之前都能知道其他成員的身份信息.

定義4. 非對稱群組密鑰協商(asymmetric group key agreement, AGKA)[21].一個群組密鑰協商Σ是非對稱的,如果該協議成功終止,有等式ekui,t=ekui,k,ekui,t≠dkui,t或ekui,t=ekuj,k,ekuj,k≠dkuj,k,其中ekui,tdkui,t,ekuj,kdkuj,k分別是ui,t和ui,k及ui,t和uj,k分別是同簇和不同簇的2個不同的節點,其計算出的群組加密解密密鑰(t,k,i,j∈+,1≤t≤n,1≤k≤n,t≠n,1≤i≤N,1≤j≤N,i≠j).

2.3.1 跨簇傳感器節點間群組密鑰計算

如果參與群組密鑰協商的傳感器節點分布在不同的簇,則跨簇群組密鑰協商過程如下：

1) 每個傳感器節點ui,t(1≤i≤N,1≤t≤n)隨機選擇2個數mi,t,qi,t∈然后計算Qi,t=qi,tg1,Ti,t=((mi,t+ski,t)qi,t)g1,Mi,t=mi,tPKi.并將(idui,t,Qi,t,Ti,t,Mi,t)發送給簇頭Ui(注：(idui,t,Qi,t,Ti,t,Mi,t)提前存儲在對應傳感器內存卡上,以減少在線計算量,延長傳感器使用壽命).

3) 各簇頭Ui(1≤i≤N)之間,將各簇內參與群組密鑰協商的傳感器節點信息fi,t相互傳遞共享.為描述方便,假設有2個簇的傳感器節點參與群組密鑰協商,分別是以簇頭Ui和簇頭Uj為首的跨簇群組密鑰協商.則Ui將其內部參與密鑰協商的節點信息(fi,t,Qi,t,Ti,t,pki,t)(1≤t≤n)發送給Uj,Uj將其內部參與密鑰協商的節點信息(fj,t,Qj,t,Tj,t,pkj,t)(1≤t≤n)發送給Ui.

Fig. 2 Cross-cluster sensor node group key agreement圖2 簇間傳感器節點群組密鑰協商

2.4 無線傳感器節點間群組安全通信

對任意明文信息m∈M*(M*：明文空間),任意成員ui,t擁有群組加密密鑰ekui,t和群組解密密鑰dkui,t作如下操作.

加密:消息發送者ui,t隨機選擇整數γi,t∈算δi,t=γi,tg1,ηi,t=m⊕H2(e(g1,(H2(Re(P,φi,t)-1)g1)γi,t).然后廣播密文c=δi,t,ηi,t,簇間傳感器節點的通信,可由簇頭進行轉發廣播.

解密:當收到消息發送者廣播的密文c=δi,t,ηi,t,群組內任意成員uj,t可用計算的群組私鑰dkuj,t計算出明文m=ηi,t⊕H2(e(δi,t,H2(dkuj,t)g1)).

3 安全性及性能分析

本節首先給出相關等式的正確性證明,其次對提出的協議進行安全性分析,最后給出協議的性能比較與分析.

3.1 關鍵技術的正確性證明

定理1. 正確性.群組密鑰協商階段,如果參與群組密鑰協商的任意傳感器節點ui,t計算無誤,則都可計算出一致的群組解密密鑰dkui,t,即:

證明.

觀察上述公式,群組解密密鑰dkui,t是一個固定量,與具體成員自身的固定參數有關.只要每個成員計算無誤,則群組解密密鑰dkui,t是一個定值.

證畢.

定理2. 貢獻性.該群組密鑰協商是貢獻性群組密鑰協商.

證畢.

定理3. 一致性自證實.如果等式e(P,φi,t)dkui,t=R(1≤t≤n)成立,因為參數P和R是公開的,φi,t是通過公開參數fi,t和成員自身的保留參數簡單計算的.因此,如果φi,t計算無誤,則只要等式成立,簇內每個群組成員ui,t就可以驗證群組解密密鑰dkui,t計算的正確性.

所以,等式e(P,φi,t)dkui,t=R.

證畢.

證畢.

3.2 安全性分析

證明. 設挑戰者C是一個挑戰者,A是一個能破譯該協議的敵手.給定C一個實例(G1,G2,q,g1,ag1,bg1,e,h,H1,H2),未知數a,b∈是公開的散列函數,H1和H2是C所控制的2個隨機預言機.C利用A來求解DCDH問題.定義一個新的會話,他將有一個唯一的會話ID.挑戰者C隨機選擇一個會話,該會話的ID用符號sidt表示.對應的模擬會話的ID用Csidt表示,則該會話被選中的概率設為Pr[Csidt=0]=σ,對應的Pr[Csidt=1]=1-σ.同時該挑戰者C記下二元組(sidt,Csidt).

1) 初始化階段.游戲開始,C選擇系統參數params=(G1,G2,q,g1,ag1,bg1,e,h,H1,H2),C將參數發送給敵手A.

2) 訓練階段.挑戰者C與敵手A交互如下:

① C選擇系統參數pC=bg1作為公鑰返回給A,并保留參數b;

② A隨機選擇ai,ri∈并根據查詢列表CL1獲得的私鑰計算并將發送給C;

② A隨機選擇ai,ri∈并根據查詢列表CL1獲得的私鑰計算并將發送給C;

4) 返回c*=δ*,η*給A.

證畢.

引理1. 如果C沒有終止上述模擬游戲,則敵手A無法區分模擬世界和真實世界環境.

證明.

在上述的模擬游戲中的所有輸出都符合協議CL-AGKG的規則要求,同時實體輸出的消息符合消息空間上的均勻分布.因此,敵手A無法覺察到模擬世界和真實世界的不一致性.

證畢.

C成果的概率為

3.3 性能分析

由于傳感器節點資源受限,協議設計過程中除安全性外,協議的計算量、通信量及能量消耗是衡量協議性能的重要指標.本文就近年來可以進行量化計算的文獻進行對比分析.這些協議都適用于無線傳器網絡,具有可比性及代表性.依據這些協議所提供的數據,分別從計算與通信復雜度及協議消耗的總能量進行對比分析.表1列舉了本文協議與這些具有可比性和代表性的4個群組密鑰協商協議在計算復雜度及通信量方面進行比較分析.

Table 1 Complexity Analysis of Authenticated Protocols表1 可認證協議的復雜度分析

從表1可以看出計算復雜度較小的是Tsai[23]及本文方案,其計算復雜度不隨節點的數量變化而變化.Chen等人[24]及張磊等人[25]計算復雜度最高,通信復雜度Chen等人[24]最高.

從協議執行時間上看,我們通過文獻[26]提供的數據進行分析,該文獻通過PBC實驗室提供的實驗程序pbc-0.5.12版本,在硬件Intel?CoreTM2 Duo E8400 CPU(3.00 GHz),操作系統ubuntu-10.04上運行相關算法,結果顯示在G1上的乘法平均運行時間為0.016 ms,在G1和G2上的指數平均運算時間分別是3.886 ms和0.489 ms,雙線對的平均運行時間為4.354 ms.總結如表2所示:

Table 2 Cost Time of Some Algorithms表2 運算消耗時間

無線傳感器網絡中根據以上計算復雜度和相關算法運行的時間分析,我們的方案和前期4種研究成果的時間消耗對比分析如圖3所示.

Fig. 3 The time cost of the five protocols圖3 5種協議運行時間對比

從圖3可以看出協議運行時間最長為張磊等人[25]提出的方案.其次是Chen等人[24]方案這2種方案的運行時間遠遠比其他3種方案消耗時間長.運行時間最短的是Lee等人[22]和本文提出的協議,這2種協議運行時間相當.

從協議的能量消耗上分析,本文把群組密鑰協商所消耗的總能量簡單地量化成群組成員在協商過程中的計算量消耗和通信量消耗的總和.不失一般性,根據文獻[21]提供的資料,一個133 MHz“Strong ARM”微處理器執行一個模冪運算需要消耗9.1 mJ能量,執行一個純標量乘法運算需要消耗8.8 mJ能量,執行一個Tate對運算需要消耗47 mJ能量.一個IEEE 802.11頻譜24 WLAN卡發送1 b信息需要消耗0.66 μm能量,其接收1 b信息需要消耗0.31 μm能量,如表3所示:

Table 3 Energy Costs for Computation and Communication表3 計算與通信能量消耗

假設群組密鑰協商協議在有限域Fp上交換一個單位信息的信息長度為1 024 b.由于傳統加密方法用1 024 b長度的密鑰加密信息的安全度等同于橢圓曲線加密方法采用160 b長度的密鑰加密的安全性.假設基于橢圓曲線加密方案的群組密鑰協商協議的單個信息量為160 b.由于這5個有效的協議均為160 b的加密密鑰.設每個信息量的大小為160 b,則這5個協議的計算消耗如圖4所示:

Fig. 4 Computation cost of the unauthenticated protocols圖4 協議計算所消耗能量

Fig. 5 Communication cost of the unauthenticated protocols圖5 協議通信所消耗能量

由圖4可以看出，計算消耗能量最大的為張磊等人[25]提出的協議,計算消耗能量最低的為Tsai 等人[23]及本文提出的協議,兩者的計算能量消耗線幾乎重疊.Chen等人[24]和張磊等人[25]計算量消耗的原因是因為其計算量隨著參與群組密鑰協商的成員數量的增加而增加,且冪指數計算消耗能量較大.

通信能量消耗如圖5所示,Lee等人[22],Tsai[23]與本文這3種方案的通信能量消耗相當,通信消耗曲線幾乎重合,通信消耗較少,具有明顯的優勢.Chen等人[24]方案通信消耗較大.

總能量消耗分析如圖6所示,Chen等人[24]及張磊等人[25]這2種方案的總能耗隨著群組成員的規模增大上升較快,因此不適用于大規模的群組密鑰協商協議.Tsai[23]及本文協議總能量消耗處于明顯優勢,該方案適用于大規模的大規模群組密鑰協商協議,如網格計算及云計算等大型分布式協同計算.但本文方案與Tsai[23]具有較大性能的優勢體現在,本文方案是可認證的非對稱群組密鑰協商，與對稱群組密鑰協商相比具有加大的靈活性和較高的安全性.

Fig. 6 Total energy cost of the authenticated protocols圖6 總能量消耗

4 總 結

分析了現有的群組密鑰協商協議的方案,為適用新型網絡應用需求，如移動云計算網絡、無線傳感器網絡等,其網絡終端易受攻擊、網絡節點資源受限、計算能力和通信范圍有限等特性,提出跨簇非對稱群組密鑰協商協議,即傳感器節點的信息交換采用非對稱密碼體制，具有更高的安全性和靈活性; 跨簇群組密鑰協商使得通信范圍有限的資源節點更容易擴展簇間協同計算的范圍；采用了非對稱計算,使得傳感器節點承擔輕量級的計算及通信量.經證明和分析驗證了協議的安全性及能耗性能具有較好的優勢.