Схема Сакаи — Касахары

Схема Сакаи — Касахары (SAKKE) — личностная криптографическая система, предложенная Раучи Сакаи и Масао Касахара в 2003 году. Вместе со схемой Боне — Франклина^[en], данный алгоритм является одной из немногих личностных схем, применяемых в индустрии. Является криптографическим приложением спаривания^[en] на эллиптических кривых и конечных полях. Доказательство безопасности схемы было изложено в 2005 году Ченом и Ченгом. Схема описана в Инженерном совете Интернета (RFC) RFC 6508.

В связи с тем, что данная схема является специфичным случаем личностной криптографии, основным вариантом её использования является возможность кому угодно зашифровать сообщение, зная только публичный идентификатор (например, e-mail) получателя. В данном ключе, алгоритм позволяет избавиться от необходимости пользователям обмениваться публичными сертификатами для шифрования.

Описание схемыПравить

Схема Сакаи — Касахара позволяет зашифровать сообщение $\mathbb{M}$${\mathbb {M}}$  для получателя с конкретным идентификатором $I_U$$\textstyle I_{U}$ . Таким образом, только пользователь с закрытым ключом $K_U$$\textstyle K_{U}$ , соответствующим $I_U$$\textstyle I_{U}$ , сможет расшифровать переданное сообщение.

Для реализации схемы необходимо, чтобы отправитель и получатель доверяли одному и тому же генератору закрытых ключей (ГЗК), который так же может называться системой управления ключами (KMS^[en]). Целью ГЗК является генерация приватного ключа $K_U$$\textstyle K_{U}$ , соответствующего публичному идентификатору $I_U$$\textstyle I_{U}$ . ГЗК должен сохранно и безопасно доставить закрытый ключ получателю, а также свой (зависящий от ГЗК) открытый параметр $Z$$\textstyle Z$  всем участникам схемы. Данные действия не рассматриваются в определении самой схемы.

Предварительные замечанияПравить

Схема использует две мультипликативные группы $E$$\textstyle E$  и $G$$\textstyle G$ . Предполагается, что:

• Задача Диффи — Хелмана^[en], также известная как задача дискретного логарифмирования, тяжело решаема в $E$$\textstyle E$ . Это означает, что при данных элементах группы $P$$\textstyle P$  и $Q$$\textstyle Q$ , вычислительно тяжело найти такой $x$$\textstyle x$ , что $Q=xP$$\textstyle Q=xP$ .
• Задача дискретного логарифмирования, тяжело решаема в $G$$\textstyle G$ . Это означает, что для двух элементов группы $g$$g$  и $t$$t$ , вычислительно сложно найти такой $x$$\textstyle x$ , что $g^x=t$$\textstyle g^{x}=t$ .
• Существует билинейное отображение — спаривание Тейта — Лихтенбаума $e(,)$$\textstyle e(,)$  из $E$$\textstyle E$  в $G$$\textstyle G$ . Это означает, что для члена $P$$\textstyle P$  группы $E$$\textstyle E$  и для $g=e(P,P)$$\textstyle g=e(P,P)$  из группы $G$$\textstyle G$  выполняется:

$e(P,xP)=e(xP,P)=e(P,P{)}^x=g^x$$\textstyle e(P,xP)=e(xP,P)=e(P,P)^{x}=g^{x}$ 

Зачастую $E$$\textstyle E$  является суперсингулярной эллиптической кривой, как, например, $E:y^2=x^3-<!--\; -\; -->3x$$\textstyle E:y^{2}=x^{3}-3x$  (над конечным полем простого порядка $p$$\textstyle p$ ). Генератор $P$$\textstyle P$  простого порядка $q$$\textstyle q$  выбирается из $E$$\textstyle E$ . Группа $G$$\textstyle G$  является образом группы, сгенерированной $P$$\textstyle P$ , с помощью спаривания (над расширением второй степени конечного поля с простым порядком $p$$\textstyle p$ ).

Также необходимо наличие двух хэш-функций: $H_1$$\textstyle H_{1}$  и $H_2$$\textstyle H_{2}$ , таких, что:

• $H_1$$\textstyle H_{1}$  возвращает положительное целое число $x$$\textstyle x$ , удовлетворяющее $\textstyle 1<x<q$ .
• $H_2$$\textstyle H_{2}$  возвращает $n$$\textstyle n$  битов, где $n$$\textstyle n$  является длиной сообщения $\mathbb{M}$${\mathbb {M}}$ .

Генерация ключейПравить

На вход ГЗК подаётся главный ключ $z$$\textstyle z$ , удовлетворяющий $\textstyle 1<z<q$ , а также открытый ключ $Z=zP$$\textstyle Z=zP$ , являющимся элементом группы $E$$\textstyle E$ . Алгоритм вычисляет закрытый ключ $K_U$$\textstyle K_{U}$ , соответствующий $I{D}_U$$\textstyle ID_{U}$  следующим образом:

$K_U=(\frac{1}{z+H_1(I{D}_U)})P$$\textstyle K_{U}=({\frac {1}{z+H_{1}(ID_{U})}})P$ 

ШифрованиеПравить

Чтобы зашифровать неповторяющееся сообщение $\mathbb{M}$${\mathbb {M}}$ , отправителю необходимо знать идентификатор получателя $I{D}_U$$\textstyle ID_{U}$  и открытый ключ генератора закрытых ключей $Z$$\textstyle Z$ . Далее отправителю необходимо произвести следующие операции:

1. Вычилить $id=H_1(I{D}_U)$$\textstyle id=H_{1}(ID_{U})$ 
2. Сгенерировать $r$$\textstyle r$ : $r=H_1(\mathbb{M}||id)$$\textstyle r=H_{1}(\mathbb {M} ||id)$ , где операция $||$$\textstyle ||$  является побитовым «или».
3. Сгенерировать точку $R$$\textstyle R$  в группе $E$$\textstyle E$ :

   $R=r((id)P+Z)$$\textstyle R=r((id)P+Z)$ 

4. Создать зашифрованное сообщение с помощью битовой маски:

   $S=\mathbb{M}\oplus <!--\; \oplus \; -->H_2(g^r)$$\textstyle S=\mathbb {M} \oplus H_{2}(g^{r})$ 

5. Зашифрованным сообщением является пара: $(R,S)$$\textstyle (R,S)$ 

Обратите внимание на то, что сообщение не должно повторяться, так как при неизменном идентификаторе получателя алгоритм выдаст тот же шифротекст. Существует расширение протокола для случая, если сообщения потенциально могут повторяться.

ДешифрованиеПравить

Для того чтобы расшифровать сообщение, адресованное $I{D}_U$$\textstyle ID_{U}$ , получателю необходимо знать закрытый ключ $K_U$$\textstyle K_{U}$ , сгенерированный ГЗК и открытое значение $Z$$\textstyle Z$ . Процедура расшифровки сообщения состоит из следующих действий:

1. Вычислить $id=H_1(I{D}_U)$$\textstyle id=H_{1}(ID_{U})$ 
2. Получить зашифрованное сообщение: $(R,S)$$\textstyle (R,S)$ .
3. Вычислить:

   $w=e(R,K_U)$$\textstyle w=e(R,K_{U})$ 

4. Выделить сообщение:

   $\mathbb{M}=S\oplus <!--\; \oplus \; -->H_2(w)$$\textstyle \mathbb {M} =S\oplus H_{2}(w)$ 

5. Чтобы проверить полученное сообщение, нужно вычислить $r=H_1(\mathbb{M}||id)$$\textstyle r=H_{1}(\mathbb {M} ||id)$ . Сообщение достоверно тогда и только тогда, когда:

   $r((id)P+Z)\equiv <!--\; \equiv \; -->R$$\textstyle r((id)P+Z)\equiv R$ 

Демонстрация корректности алгоритмаПравить

Данные равенства показывают корректность приведённого алгоритма:

$w=e(R,K_U)=e(r((id)P+Z),K_U)=e(r((id)P+zP),K_U)=e((r(id+z))P,K_U)$$\textstyle w=e(R,K_{U})=e(r((id)P+Z),K_{U})=e(r((id)P+zP),K_{U})=e((r(id+z))P,K_{U})$ 

Благодаря билинейности отображения:

$w=e((r(id+z))P,K_U)=e((r(id+z))P,(\frac{1}{(id+z)})P)=e(P,P{)}^{\frac{r(id+z)}{(id+z)}}=g^r$$\textstyle w=e((r(id+z))P,K_{U})=e((r(id+z))P,({\frac {1}{(id+z)}})P)=e(P,P)^{\frac {r(id+z)}{(id+z)}}=g^{r}$ 

В результате получаем:

$S\oplus <!--\; \oplus \; -->H_2(w)=(\mathbb{M}\oplus <!--\; \oplus \; -->H_2(g^r))\oplus <!--\; \oplus \; -->H_2(w)=\mathbb{M}$$\textstyle S\oplus H_{2}(w)=(\mathbb {M} \oplus H_{2}(g^{r}))\oplus H_{2}(w)=\mathbb {M}$ 

СтандартизацияПравить

С данным протоколом связаны два стандарта:

• Первоначальная стандартизация была произведена IEEE в 2006.
• Схема была стандартизована IETF в 2012 году по RFC 6508. Алгоритм используется как часть протокола MIKEY_SAKKE, описанного в RFC 6509.