專利名稱：加密通信系統(tǒng)、其密鑰分發(fā)服務器、終端設(shè)備和密鑰共亨方法
技術(shù)領(lǐng)域：
本發(fā)明涉及用于分發(fā)用來解密加密的信息的密鑰給用戶終端的密碼技術(shù)，具體地涉及用于以安全和快速方式更新密鑰的技術(shù)。
背景技術(shù)：
通常遇到許多情形，其中為了建立用于把信息提供給以前確定的組的系統(tǒng)，密鑰(組密鑰)只分發(fā)給登記為組成員的用戶，然后執(zhí)行通過密鑰的密碼通信。密碼技術(shù)在許多應用中是有用的，諸如把內(nèi)容分發(fā)到便攜式電話、DVD播放器的解密器/重現(xiàn)器、通過CD-ROM接口分發(fā)軟件、警察無線通信，和在P2P業(yè)務中在組之間的本地通信。
在上述的系統(tǒng)中，在終端設(shè)備的部件(譯碼器)被取走，例如被偷竊的情況下，存在有組密鑰泄漏給組成員以外的未授權(quán)的個人的危險。為此，使用的組密鑰必須被更新來創(chuàng)建新的密鑰，以及新的密鑰必須盡可能快地由組成員共享。
更新密鑰的技術(shù)在利用一次建立的、用于很長一段時間期間的基礎(chǔ)結(jié)構(gòu)的系統(tǒng)中起到極其重要的作用。
假設(shè)在這種包含多個用戶終端的系統(tǒng)(此后，稱為廣播型密碼通信系統(tǒng))中，消息被分發(fā)到排除單個用戶終端或多個用戶終端的所有的用戶終端。應當注意，術(shù)語“排除”是指從組中排除某個用戶終端(或某些用戶終端)的操作，以及被排除的用戶終端被稱為“要被排除的終端”(此后，稱為排除目標終端)。通常，當排除一個排除目標終端時，需要分發(fā)新的密鑰給除了該排除目標終端以外的每個單獨的用戶終端。為此，當組的規(guī)模增加時，對于完成使得所有的用戶終端共享新的組密鑰的操作所需要的通信量和時延量也增加。
傳統(tǒng)上，為了減小上述的對于更新組密鑰所需要的時延量，設(shè)想了各種各樣的技術(shù)。在日本專利申請2000-196581中公開的一種技術(shù)(第一傳統(tǒng)技術(shù))將作為上述的類型的傳統(tǒng)的技術(shù)被示例地說明。
在上述的公布中公開的第一傳統(tǒng)技術(shù)采用一種算法它使得在確定排除目標終端后的通信量與時延量不正比于作為組成員的用戶的數(shù)目”n”。當采用上述的算法和假設(shè)要被排除的終端的最大數(shù)目是”k”時，每個用戶終端必須執(zhí)行正比于”k”的次數(shù)的模指數(shù)運算，以計算組密鑰。因此，如果”k”遠小于”n”(k＜＜n)，則按照該技術(shù)的密鑰分發(fā)可以比起通常的組密鑰分發(fā)進行得有效得多。例如，當假設(shè)系統(tǒng)(n＝10000)包括10000個用戶終端以及要排除的終端的數(shù)目是100(k＝100)時，雖然通常的組密鑰分發(fā)需要執(zhí)行正比于數(shù)目”10000”的次數(shù)的處理，但按照在該公布中公開的第一傳統(tǒng)技術(shù)的密鑰分發(fā)需要執(zhí)行正比于數(shù)目”100”的次數(shù)的處理。
然而，在包括多達數(shù)百萬的用戶終端的系統(tǒng)(例如，如便攜式電話的用于提供業(yè)務給移動終端的系統(tǒng))和類似的系統(tǒng)中，需要使得代表要被排除的終端的最大數(shù)目的數(shù)目”k”放大(例如，幾千到幾萬)，以滿足組的規(guī)模。這使得其計算能力很差的終端上的計算負荷變?yōu)橄喈敶?，該負荷是由解密加上的，它正比于?shù)目”k”。所以，希望執(zhí)行組密鑰分發(fā)，該組密鑰分發(fā)需要執(zhí)行解密的次數(shù)不正比于數(shù)目”k”，或如果可能的話，是恒定的次數(shù)。
日本專利申請2001-203682將作為解決上述的問題的一種傳統(tǒng)技術(shù)(第二傳統(tǒng)技術(shù))被示例地說明。
在上述的公布中公開的第二傳統(tǒng)技術(shù)通過執(zhí)行模指數(shù)運算僅僅”2”次，而不取決于數(shù)目”n”和數(shù)目”k”來實現(xiàn)解密，數(shù)目”n”代表用戶終端的總數(shù)，以及數(shù)目”k”代表要被排除的終端的最大數(shù)目。因此，第二傳統(tǒng)技術(shù)允許包括非常大的數(shù)目的用戶終端的系統(tǒng)進行快速分發(fā)組密鑰。
在廣播型密碼通信系統(tǒng)中，協(xié)議的成員被定義為如下密鑰分發(fā)服務器用于在建立和分發(fā)個人密鑰到單獨的用戶終端時，確定系統(tǒng)參數(shù)的可靠的代理。當將要分發(fā)組密鑰時，服務器確定哪些用戶終端是要被排除的，然后通過廣播分發(fā)組密鑰。密鑰分發(fā)服務器用”S”表示。
用戶終端用于從密鑰分發(fā)服務器接收廣播材料的終端。用戶終端”i”在建立時間時從密鑰分發(fā)服務器接收個人密鑰”Si”。一組用戶終端被定義為一個集合Φ＝{1，...，n}(n＝|Φ|代表用戶終端的總數(shù))。
被排除的用戶終端被密鑰分發(fā)服務器排除的用戶終端。當密鑰分發(fā)服務器在第一輪分發(fā)組密鑰時要被排除的一組”d”(＜k)個用戶終端被定義為一個子集Λl(∈Φ)。一旦被排除，在終端被排除的該輪以后，用戶終端就不能解密組密鑰，在多輪中，它決不重復地被排除。也就是，兩個子集的交集為Λl∩Λl’＝{0}(l≠l’)。而且，假設(shè)代表被排除的用戶終端的總數(shù)的數(shù)目在所有的輪中決不超過數(shù)目”k”(即，|∪Λl|≤k)。
有效的用戶終端未被排除的用戶終端。假設(shè)在第一輪組密鑰分發(fā)中有效的一組用戶終端被定義為一個集合Ωl(＝Φ\Ulj＝lΛj)。
在這樣定義的廣播型密碼通信系統(tǒng)中，Ul在第一輪被分發(fā)到在整個用戶終端Φ中間的有效的用戶終端Ωl。使用Ul來加密消息允許這種類型的密碼通信被使用于組Ωl內(nèi)的廣播。也就是，密碼通信如下地執(zhí)行1.令Ω0＝Φ。密鑰分發(fā)服務器通過點對點和密鑰分發(fā)協(xié)議連接，把組密鑰”U0”個人密鑰keyi分發(fā)到每個用戶”i”(i∈Φ)。
2對于每個l≥1，重復執(zhí)行以下的處理(此后，執(zhí)行以下的處理一次，稱為“1輪”)(a)密鑰分發(fā)服務器確定A1CΩl-1。
(b)如果k≥∑lj＝1|Λj|，Φ＝Ωl-1，U0＝Ul-1，則返回到l。
(c)密鑰分發(fā)服務器把報頭Hl分發(fā)到Ωl，使得Ωl計算Ul。
(d)v∈Ωl通過使用Hl和keyv計算Ul。
(e)密鑰分發(fā)服務器和Ωl通過使用Ul執(zhí)行廣播型密碼通信。
而且，在此后闡述的說明中，利用以下的參數(shù)?！眕”和”q”是滿足q|p-1的大的質(zhì)數(shù)，以及”g”是在有限區(qū)Zp上階數(shù)”q”的單元?！眕”和”q”的大小被確定成使得關(guān)于組GF(q)的離散對數(shù)問題在計算上是很困難的，該組包含”g”作為生成單元。在以下的解釋中，除非另外提出，計算都是使用模p算術(shù)進行的。應當注意，雖然未詳細描述，除了不同于定義在組GF(q)上的質(zhì)數(shù)的階數(shù)”p”時使用的定義，階數(shù)“p”可以被定義在任何組GF(p)上，這樣，求解離散對數(shù)問題在計算上是很困難的。例如，通過(1)對于階數(shù)”p”的單元進行乘法運算相應于在諸如橢圓曲線的曲線上對于任意有限的區(qū)的加法運算，或(2)通過令質(zhì)數(shù)“p’”代替質(zhì)數(shù)”p”作為指數(shù)，然后對擴展區(qū)GF(p’)進行算術(shù)運算，代替使用質(zhì)數(shù)“p’”作為模數(shù)執(zhí)行剩余運算，而構(gòu)建組。
E(密鑰，消息)表示使用對稱密鑰加密的消息加密。“n”表示用戶終端的總數(shù)以及“k”(k＜n)表示要被排除的終端的最大數(shù)目。
在上述的假設(shè)下，在保密性和有效性方面，需要廣播型密碼通信系統(tǒng)滿足以下四項要求。
1.有效的用戶終端v∈Ωl能夠獨立地解密組密鑰(以多項式次數(shù))。
2.即使當使用“k”個排除的用戶終端的每一個擁有的個人密鑰時，任何個人在用戶終端被排除的輪以后也不能解密組密鑰(以概率多項式次數(shù))。
3.在分發(fā)組密鑰時使用的報頭的長度和每個用戶終端擁有的個人密鑰的尺寸不依賴于代表用戶終端的總數(shù)的數(shù)目。
4.當在接收報頭以計算組密鑰的時間間隔內(nèi)執(zhí)行多次模指數(shù)運算和完成組密鑰的解密(解密)時，該次數(shù)不取決于“n”和“k”。
要求1是需要用戶終端能夠有效地獨立地執(zhí)行解密的要求。在廣播型密碼通信系統(tǒng)中，當用戶終端在解密后不需要與其他終端通信時在網(wǎng)絡(luò)上不放置附加業(yè)務是重要的。
要求2是為阻止排除的用戶終端嘗試與其他排除的終端協(xié)同作用解密會話密鑰所必須滿足的要求。
要求3是為阻止在系統(tǒng)包括非常大量的用戶終端時處理量的重大的增加所必須滿足的要求。
要求4是必須滿足以解密需要處理量的組密鑰的要求，當“k”需要被確定為大小正比于大組的規(guī)模時，該處理量不取決于“n”和“k”。
所謂的“準備暗處攻擊”和“r公開攻擊”被包括在要求2中。使用時間閾值的協(xié)議實際上不能解決由“公開攻擊”引起的問題。應當注意，當假設(shè)揭示秘密的攻擊者的數(shù)目是“w”時，如果未授權(quán)的個人的數(shù)目不大于“k-w”，則秘密可被保持。因此，在與其他未授權(quán)的用戶終端協(xié)同作用的未授權(quán)的用戶終端的總數(shù)不大于“k”的條件下，評估協(xié)議的安全性允許討論在與要求2相同的領(lǐng)域內(nèi)的安全性。
上述的傳統(tǒng)技術(shù)1滿足上述的要求1，2和3。要被分發(fā)的加密消息的長度相應于恒定的時間間隔O(k)以及要被分發(fā)的個人密鑰的尺寸相應于O(l)，意味著這些因素產(chǎn)生極高的效率。然而，由于代表為解密組密鑰而要執(zhí)行的模指數(shù)運算次數(shù)的數(shù)目等于O(k)，以及另外，模指數(shù)運算不能在接收組密鑰之前施加到預計算，傳統(tǒng)技術(shù)1不滿足要求4。
傳統(tǒng)技術(shù)2注意力集中在要求4的必要性上，然后提供滿足要求4的算法。然而，傳統(tǒng)技術(shù)2并不滿足要求2，要求2是對于安全性最重要的，這是從以下的分析得出的理由。也就是，當組密鑰被分發(fā)有限的次數(shù)時，未被排除的用戶終端能夠要求關(guān)于整個系統(tǒng)的秘密信息以及在密鑰被分發(fā)有限次數(shù)后取消要執(zhí)行的排除的操作(例如，如果k≥5，則在組密鑰被分發(fā)三次后，對系統(tǒng)的攻擊是可能的)。
下面將顯示傳統(tǒng)技術(shù)2如何不滿足要求2。首先，將解釋對于廣播型密碼通信傳統(tǒng)技術(shù)2采用的算法。
1.建立密鑰分發(fā)服務器確定代表要被排除的終端的最大數(shù)目的數(shù)目“k”，以及隨機地選擇由以下的數(shù)字表示式1代表的k階多項式Zq。
F(x)=Σj=0kajxj]]>G(x)=Σj=0kbjxj]]>
F(0)＝S和G(0)＝T(mod q)是只有密鑰分發(fā)服務器知道的秘密密鑰。密鑰分發(fā)服務器把keyi＝(si，fi)＝(F(i)，gG(i)/F(i))(i＝1，...，n)經(jīng)由秘密通信路徑分發(fā)到每個用戶終端“i”。另外，密鑰分發(fā)服務器隨機地選擇單元U0∈GF(q)以及廣播它。
2.組密鑰的加密在第“l(fā)”(≥1)輪分發(fā)的組密鑰Ul以以下的方式被分發(fā)。隨機選擇單元rl∈Zq和確定Xl＝grl。然后，確定對于要被排除的“d”用戶終端的集Λl。從“n+k(R-1)”與“n+kR”中間選擇“(k-d)”個整數(shù)，以及確定包含“(k-d)”個整數(shù)的集Θl。密鑰分發(fā)服務器根據(jù)以下的數(shù)字表示式2確定Ml1，...，Mlk。
Mij＝rlF(j)+G(j) modq(j∈ΛlYΘl)最后，密鑰分發(fā)服務器確定E(Ul-1，Bl)＝E(Ul-1，Xl||[(j，Mlj)|j∈Λl∪Θl])，然后廣播它。在第“l(fā)”輪中被共享的組密鑰是Ul＝grlS+T。
3.組密鑰的解密由于在“l(fā)”輪中有效的用戶終端，即，單元v∈Ωl是單元v∈Ωl-1，用戶終端包含在“l(fā)-1”輪中的Ul-1。用戶終端“v”通過使用Ul-1解密在接收的加密的消息E(Ul-1，Bl)中的Bl。然后，通過使用有關(guān)Bl的信息，終端根據(jù)數(shù)字表示式3計算組密鑰Ul。
Ul=(Xlfv)Wl1gWl2]]>其中，[數(shù)字表示式4]Wl1＝svL(v) mod qWl2=Σj∈ΛlΘl(MljL(j))modq]]>而且，L(j)是由以下的數(shù)字表示式5代表的Lagrange多項式給出的插入系數(shù)。
L(j)=Πt∈ΛlYΘlY{v}\{j}t/(t-j)modq]]>隨后，將顯示在傳統(tǒng)技術(shù)2中利用的算法如何不滿足要求2。下面將詳細地顯示在“R”輪中有效的和任選的用戶終端∨v，即單元∨v∈ΩR如何計算和確定只有密鑰分發(fā)服務器應當知道的秘密信息“S”和“T”。終端“v”在輪1到R，得到(j，Mlj)(l＝1，...，R，j＝1，...，k)，以及所得到的(j，Mlj)滿足由以下的數(shù)字表示式6代表的關(guān)系。
Mlj=rlΣt=0katjt+Σt=0kbtjtmodq(l=1,K,R,j∈ΛlYΘl,|ΛlYΘl|=k)]]>應當注意，由于“j”是已知的，對于“2k+2+R”個變量，a0，...，ak，b0，...，bk，r1，...，rR，得到“kR”個方程。也就是，當“R”滿足以下的數(shù)字表示式7，可以計算密鑰分發(fā)服務器擁有的所有的秘密密鑰，即，“S”(＝a0)和“T”(＝bl0)。
2k+2+R≤kR⇔R≥2(k+1)k-1]]>例如，如果k≥5，所有的有效的用戶終端在第3輪可以計算密鑰分發(fā)服務器擁有的秘密密鑰(諸如“S”和“T”)。這表示傳統(tǒng)技術(shù)2不滿足要求2。

發(fā)明內(nèi)容
因此，本發(fā)明的目的是提供一種以高度安全和足夠快速的方式更新組密鑰而同時滿足上述的四個要求的方法。
而且，除了上述的目的以外，本發(fā)明設(shè)想提供高度安全和高度有效的廣播型密碼通信。
為了達到上述目的，本發(fā)明被實現(xiàn)為密碼通信系統(tǒng)，包括用于分發(fā)被使用來解密加密的信息的密鑰的密鑰分發(fā)服務器，和特定數(shù)目的、利用該信息的用戶終端。按照本發(fā)明的第一方面的密碼通信系統(tǒng)其特征在于，密鑰分發(fā)服務器被構(gòu)建成使得密鑰分發(fā)服務器分發(fā)被使用來解密信息的加密的第一組密鑰；相應于特定數(shù)目的用戶終端的、和被使用來執(zhí)行所述第一組密鑰的解密的各個解密信息；和相應于特定數(shù)目的用戶終端的、和被使用來執(zhí)行第二組密鑰的一部分解密的各個密鑰更新信息，該第二組密鑰是在組密鑰被更新后被更新的，以及特定數(shù)目的用戶終端被構(gòu)建成使得特定數(shù)目的用戶終端通過利用由根據(jù)以前得到的和被使用來解密第一組密鑰的密鑰更新信息執(zhí)行的處理操作得到的結(jié)果以及還利用從密鑰分發(fā)服務器分發(fā)的解密信息，而解密從密鑰分發(fā)服務器分發(fā)的第一組密鑰。在時域上用于解密組密鑰的分發(fā)操作減小了在更新組密鑰時的處理量。
特定數(shù)目的用戶終端在分發(fā)組密鑰之前，實施組密鑰的一部分解密。在用戶終端中在分發(fā)組密鑰之前預先實施組密鑰的一部分解密，使得有可能減小對于在更新組密鑰時不失去安全性的條件下分發(fā)新的組密鑰后執(zhí)行處理所需要的時間間隔。
優(yōu)選地，在密碼通信系統(tǒng)中，密鑰分發(fā)服務器把被使用來解密第一組密鑰的密鑰更新信息連同處在第三組密鑰被更新到第一組密鑰之前的狀態(tài)的第三組密鑰一起分發(fā)到特定數(shù)目的用戶終端。
而且，在密鑰分發(fā)服務器更新組密鑰的情況下，密鑰分發(fā)服務器確定在特定數(shù)目的用戶終端中間哪些用戶終端要被排除，以及把被除了排除目標用戶終端以外的其余的用戶終端使用的解密信息連同被更新的組密鑰一起分發(fā)到特定數(shù)目的用戶終端，以使得其余用戶終端能夠解密被更新的組密鑰。
為了達到上述目的，本發(fā)明還被實現(xiàn)為如下所述地構(gòu)成的、用于分發(fā)用來解密加密的信息的密鑰的密鑰分發(fā)服務器。密鑰分發(fā)服務器其特征在于包括用于生成用來解密信息的第一組密鑰和加密第一組密鑰的裝置；用于生成用來執(zhí)行第一組密鑰的解密的且相應于用戶終端的各個解密信息的裝置；用于生成用來執(zhí)行第二組密鑰的一部分解密的、和相應于用戶終端的各個解密更新信息的裝置，該第二組密鑰是在一個組密鑰更新后被更新的；以及用于分發(fā)第一組密鑰、解密信息、與密鑰更新信息給用戶終端的裝置。
為了達到上述目的，本發(fā)明還被實現(xiàn)為如下所述地構(gòu)成的終端設(shè)備。該終端設(shè)備其特征在于包括用于從特定的密鑰分發(fā)服務器檢索被加密以解密加密的信息的組密鑰和用來解密組密鑰的解密信息的裝置；用于在組密鑰分發(fā)之前執(zhí)行組密鑰的一部分解密的裝置；以及用于通過利用根據(jù)組密鑰的一部分解密執(zhí)行處理操作得到的結(jié)果和從密鑰分發(fā)服務器檢索的解密信息而解密組密鑰的裝置。
而且，本發(fā)明還被實現(xiàn)為用于控制計算機和然后使得計算機作為上述的密鑰分發(fā)服務器和/或終端設(shè)備運行的程序。該程序可被提供成使得程序被存儲在磁盤、光盤和/或其他存儲介質(zhì)，諸如半導體存儲器，然后，那些介質(zhì)通過網(wǎng)絡(luò)進行傳遞或分發(fā)。
此外，本發(fā)明被實現(xiàn)為如下所述地構(gòu)建的、用于使得使用信息的特定數(shù)目的終端共享被使用來解密加密的信息的密鑰的密鑰共享方法。也就是，密鑰共享方法其特征在于，該方法包括使得特定數(shù)目的終端在組密鑰分發(fā)之前執(zhí)行被使用來解密信息的加密的組密鑰的一部分解密的步驟；把組密鑰和被使用來執(zhí)行除了組密鑰的一部分解密以外的一部分其余解密的、和相應于特定數(shù)目的終端的各個解密密鑰分發(fā)到特定數(shù)目的終端的步驟；以及使得特定數(shù)目的終端使用被分發(fā)的解密信息和通過執(zhí)行組密鑰的一部分解密得到的結(jié)果——該一部分解密是以前執(zhí)行的——來執(zhí)行組密鑰的解密的步驟。


圖1是說明按照實施例的廣播型密碼通信系統(tǒng)的總體結(jié)構(gòu)的圖。
圖2是說明按照實施例如何執(zhí)行密碼通信的流程圖。
圖3是說明采用實施例的對等網(wǎng)絡(luò)系統(tǒng)的結(jié)構(gòu)的圖。
圖4是說明采用實施例的實時內(nèi)容分發(fā)系統(tǒng)的結(jié)構(gòu)的圖。
圖5是說明采用實施例的、用于為便攜式電話提供業(yè)務的系統(tǒng)的結(jié)構(gòu)的圖。
圖6是說明采用實施例的、用于分發(fā)多媒體內(nèi)容的系統(tǒng)的結(jié)構(gòu)的圖。
圖7是說明采用實施例的秘密廣播系統(tǒng)的結(jié)構(gòu)的圖。
具體實施例方式
下面根據(jù)附圖上顯示的實施例，詳細地說明本發(fā)明。
圖1是說明按照實施例的廣播型密碼通信系統(tǒng)的總體結(jié)構(gòu)的圖。
參照圖1，按照實施例的廣播型密碼通信系統(tǒng)包括密鑰分發(fā)服務器10，用于生成用來進行密碼通信的組密鑰和分發(fā)該密鑰；以及用戶終端20，用于得到從密鑰分發(fā)服務器10分發(fā)的組密鑰，以及使用該密鑰進行密碼通信。
密鑰分發(fā)服務器10是通過采用具有聯(lián)網(wǎng)功能的工作站、個人計算機或其他計算設(shè)備實現(xiàn)的，以及在建立時確定系統(tǒng)參數(shù)，然后把個人密鑰分發(fā)到每個用戶終端20。當分發(fā)組密鑰時，服務器確定哪些用戶終端20是要排除的，然后解密該組密鑰，此后，分發(fā)該密鑰作為廣播材料。諸如個人密鑰和組密鑰的生成、分發(fā)等等的處理，例如被實現(xiàn)為程序控制的CPU的功能。
用戶終端20是通過采用具有聯(lián)網(wǎng)功能的工作站、個人計算機、便攜式電話、個人數(shù)字助理(PDA)或其他信息終端設(shè)備實現(xiàn)的，以及接收來自密鑰分發(fā)服務器10的廣播材料。用戶終端“i”(第i個用戶終端20)在建立時接收來自密鑰分發(fā)服務器10的個人密鑰Si。然后，該終端使用個人密鑰Si解密加密的組密鑰，而且，使用組密鑰解密特定的消息，然后利用該消息。這些處理是通過采用例如程序控制的處理器實現(xiàn)的。假設(shè)一組用戶終端20被定義為一個集合Φ＝{1，...，n}(n＝|Φ|，代表用戶終端20的總數(shù))。
整個用戶終端20構(gòu)成一個組Φ，它使用由密鑰分發(fā)服務器10分發(fā)的組密鑰執(zhí)行密碼通信。雖然構(gòu)成該組的各個用戶終端20初始地是能夠參加密碼通信的“有效的用戶終端”，但在一個或多個用戶終端由于某種原因成為“被排除的用戶終端”后，被排除的終端決不能參加密碼通信。也就是，被排除的終端決不能使用個人密鑰來解密組密鑰。
在實施例中采用的通信配置可以是其中在密鑰分發(fā)服務器10或特定的服務器與用戶終端20之間傳送信息的是客戶機/服務器系統(tǒng)，或其中在用戶終端20之間傳送信息的對等系統(tǒng)。也就是，提供被用戶終端20使用的消息(內(nèi)容)的供應商可以存在于與密鑰分發(fā)服務器10分開的位置。
使用組密鑰和在廣播型密碼通信系統(tǒng)內(nèi)進行的密碼通信包括四個階段，即組密鑰建立，使用組密鑰的信息加密，使用組密鑰的信息解密，以及密鑰更新。
圖2是說明按照本發(fā)明的如何執(zhí)行密碼通信的流程圖。
在該實施例中，取決于代表排除目標終端的最大數(shù)目的數(shù)目“k”的一部分計算被分開，作為在加密的組密鑰的解密期間的預計算(密鑰更新)。這允許以鑒權(quán)的方式保持保密性，以及還許可除密鑰更新以外通過執(zhí)行模指數(shù)運算兩次以高速度執(zhí)行組密鑰的解密。下面將說明按照實施例如何構(gòu)建密碼通信協(xié)議。應當注意，在以下的說明中，接收機是指使用用戶終端20的用戶和用戶自己。
1.建立在由以下的數(shù)字表示式8表示的Zq中隨機選擇具有一個變量的”k”階多項式。
F(x)=S+Σj=1kajxj]]>G1(x)=T1+Σj=1kb1jxj]]>F(0)＝S和Gl(0)＝Tl被密鑰分發(fā)服務器10制成秘密密鑰。密鑰分發(fā)服務器10把keyi＝(si，fli)＝(F(i)，gGl(i)/F(i))作為在第一輪中用于接收機“i”的解密密鑰分發(fā)到每個用戶終端i∈(1，...，n)。并把組密鑰U0∈GF(q)分發(fā)到所有的用戶終端20(步驟201)。
2.在第l輪中組密鑰的加密密鑰分發(fā)服務器10隨機地選擇單元rl∈Zq和確定Xl＝grl。然后，服務器確定要被排除的“d”用戶終端的集合Λl(步驟202)。服務器從“n+k(R-1)”與“n+kR”中間選擇“(k-d)”個整數(shù)，以及確定包含“(k-d)”個整數(shù)的集合Θl。密鑰分發(fā)服務器10根據(jù)以下的數(shù)字表示式9確定Ml1，...，Mlk。
Mlj＝rlF(j)+Gl(j) modq(j∈ΛlYΘl)而且，作為有效的用戶終端20的Ωl(此后，稱為用戶終端Ωl)通過使用以下的數(shù)字表示式10計算對于在“l(fā)”輪中計算分發(fā)密鑰Ul所需要的報頭信息Hl(步驟203)。
Bl＝<Xl||{(j，Mlj)|j∈ΛlYΘl}>
Hl＝E(Ul-1，Bl)應當注意，在“l(fā)”輪中由有效的用戶終端“Ωl”共享的組密鑰被表示為Ul＝grS+Tl。
隨后，服務器生成密鑰更新信息，以便在”l+1”輪中分發(fā)組密鑰(也就是，用戶終端20在“1+1”輪中解密組密鑰后使用信息來更新密鑰)。密鑰分發(fā)服務器10隨機地選擇單元bl+1，j∈Zq(j＝0，...，k)和確定方程(ul0，...，ulk)＝(gb1+l，0，...，gb1+l，k)，以及根據(jù)以下的數(shù)字表示式11，使用組密鑰Ul加密該方程，以確定Cl(步驟204)。
Cl＝E(Ul，ul0||K||ulk)然后，密鑰分發(fā)服務器10把(Hl，Cl)作為廣播材料分發(fā)到所有的用戶終端20(即，Φ)(步驟205)。
3.在“l(fā)”輪中組密鑰的解密作為能夠在“l(fā)”輪中進行解密的用戶終端20的用戶終端“v”，即單元v(∈Ωl)，根據(jù)以下的數(shù)字表示式12在第“1”輪中進行解密(步驟206)。
U=(Xlflv)Wl1gWl2]]>Wl1＝svL(v) modqWl2=Σj∈ΛYΘMljL(j)modq]]>其中，
L(j)=Πt∈ΛYΘY{v}\{j}t/(t-j)modq]]>也就是，在這輪中，用戶終端“v”使用先前根據(jù)在“l(fā)-1”輪中分發(fā)的信息計算的flv和通過使用在步驟205分發(fā)的Hl被解密的“Bl”在”l”輪中解密組密鑰“Ul”。
4.對于“l(fā)+1”輪的密鑰更新(預計算)根據(jù)以下的數(shù)字表示式13，用戶終端“v”，即，單元v∈Ωl，通過使用被包含在從密鑰分發(fā)服務器10分發(fā)的Cl中的密鑰更新信息，執(zhí)行密鑰更新作為預計算(即，在“l(fā)+1”輪中分發(fā)組密鑰之前的處理)(步驟207)。
fl+1,v=(Πj=0kuljvj)1/sv]]>另外，密鑰分發(fā)服務器10在“l(fā)+1”輪中生成組密鑰之前，執(zhí)行以下數(shù)字表示式14的預計算。
Tl+1＝bl+1，0modqGl+1(x)=Σj=0kbl+1,jxjmodq]]>密鑰更新(預計算)應當由用戶終端20和密鑰分發(fā)服務器10在“l(fā)+1”輪中分發(fā)組密鑰之前通過使用在“l(fā)”輪中連同組密鑰一起分發(fā)的信息而被執(zhí)行。
下面將識別如上所述按照實施例構(gòu)建的廣播型密碼通信系統(tǒng)是否滿足在安全性和效率方面的四個要求。
首先，顯然，本實施例滿足要求1，因為它不需要用戶終端20之間進行通信。
而且，本實施例被構(gòu)建成使得要被分發(fā)的加密的消息的長度等于O(k)以及要被分發(fā)的個人密鑰的尺寸等于O(1)，還滿足要求3。
另外，本實施例被構(gòu)建成使得通過執(zhí)行模指數(shù)運算兩次而進行解密，還滿足要求4。
隨后，將說明本實施例如何還滿足剩余的要求2。
首先，建立在要求2中“使用“k”個排除的用戶終端擁有的個人密鑰”的攻擊者模型。攻擊者的行為被建模為算法M1，該算法根據(jù)由直至”R”輪之前被排除的“k”個成員擁有的解密密鑰和直至“R”輪之前接收的信息確定在多項式時間在“R”輪中的組密鑰。假設(shè)該(“k”)個排除的用戶終端20被規(guī)定為用戶終端“i”(i＝1，...，k)，而不失一般性。加到Ml的輸入是＜g，p，q，k，U0，(s1，...，sk)，(fl1，...，flk)，(H1，C1)，...，(HR，CR)＞。
當攻擊者的行為被如上所述地建模時，要求2可以替換地通過使用判決Diffie-Hellman(DDH)問題被描述為如下。
(命題)“只要不存在解決DDH問題的多項式時間算法，Ml就不存在?！盌DH問題是判斷問題，當隨機從集合GF(q)選擇單元g，h和單元a，b∈Zq時，D＝＜g，n，ga，ha＞(這種形式被稱為“Diffie-Hellman對”)和R＝＜g，h，ga，ha＞在GF(q)上以相當大的概率被鑒別。以多項式時間解決DDH問題的算法現(xiàn)在還不知道。也就是，這個問題是數(shù)學問題，可以認為求解這個問題在計算復雜性上是很困難的，以及根據(jù)上述的命題不存在Ml。因此，本實施例滿足要求2。
如上所述，通過使用按照本實施例的在廣播型密碼通信系統(tǒng)中共享組密鑰的方法，當組密鑰被更新時安全性可以以鑒權(quán)的方式被保持，以及通過在分發(fā)組密鑰之前對于實施組密鑰的一部分解密作為預計算和在更新的組密鑰分發(fā)后還執(zhí)行模指數(shù)運算僅僅兩次，而不取決于代表用戶終端數(shù)目的數(shù)目“n”和代表排除的終端的最大數(shù)目的數(shù)目“k”，可以執(zhí)行解密。因此，本方法在其中包括非常大數(shù)目的用戶終端20的網(wǎng)絡(luò)系統(tǒng)中是特別有效的。
隨后，下面說明通過把按照本實施例的廣播型密碼通信系統(tǒng)應用到各種各樣的網(wǎng)絡(luò)系統(tǒng)而構(gòu)成的例子。
在對等(P2P)網(wǎng)絡(luò)系統(tǒng)中可以采用本實施例，以安全方式和高速地執(zhí)行組內(nèi)的通信。也就是，在網(wǎng)絡(luò)系統(tǒng)中的組內(nèi)所有的對等成員共享一個密鑰(組密鑰)以及進行廣播型密碼通信。
圖3是說明采用本實施例的對等網(wǎng)絡(luò)系統(tǒng)的結(jié)構(gòu)的圖。如圖3所示，網(wǎng)絡(luò)系統(tǒng)問題中的組管理器構(gòu)成本實施例的密鑰分發(fā)服務器10，以及組內(nèi)的各個對等成員構(gòu)成用戶終端20。
在上述的網(wǎng)絡(luò)系統(tǒng)中，當特定的對等成員以與在成員通過使用“離開”命令離開“jxta”的情形下的相同的方式離開該組，以便在對等成員離開該組后執(zhí)行組內(nèi)的保密通信時，需要剩余的對等成員再次盡可能快速地共享新的組密鑰。同時，由于各種終端在對等網(wǎng)絡(luò)系統(tǒng)中能夠是對等的，系統(tǒng)需要被構(gòu)建成使得即使其計算能力是極其有限的終端也能夠容易地得到組密鑰。本實施例可以在這樣的對等網(wǎng)絡(luò)系統(tǒng)中被采用來管理組內(nèi)的成員。
當采用本實施例時，由于組密鑰的解密可以通過執(zhí)行模指數(shù)乘法兩次而被全部完成，在組內(nèi)的終端不需要具有大的計算能力。而且，即使當把本發(fā)明應用到大規(guī)模的網(wǎng)絡(luò)時，組密鑰仍可以高速地更新，而不失去可獲得的效率。
由于游戲機變得越來越復雜，出現(xiàn)通過配置對等網(wǎng)絡(luò)的先進的在線游戲，每個游戲機被定義為一個對等成員。也就是，相應于組管理器的服務器提供游戲內(nèi)容給各個游戲機，然后，用戶通過游戲機進行對等通信而玩游戲。
圖4是說明采用本實施例的實時內(nèi)容分發(fā)系統(tǒng)的結(jié)構(gòu)的圖。如圖4所示，用于分發(fā)游戲內(nèi)容的服務器構(gòu)成本實施例的密鑰分發(fā)服務器10，以及各個游戲機構(gòu)成用戶終端20。
在這樣的環(huán)境下，雖然預期需要經(jīng)常在組內(nèi)執(zhí)行廣播型密碼通信，但也預期經(jīng)常出現(xiàn)脫離組的成員關(guān)系。例如，拖欠他/她的會員費的用戶必須與該組分離開。因此，當成員離開該組時所需要的為了與其余成員共享組密鑰而執(zhí)行解密的時間的減小，確保應用的高的可用性。
按照本實施例的廣播型密碼通信系統(tǒng)達到高速解密能力，和可供使用于大規(guī)模網(wǎng)絡(luò)中，所以，可被應用來在圖4所示的系統(tǒng)中分發(fā)內(nèi)容。也就是，本實施例的系統(tǒng)允許高速地共享組密鑰，以及許可由組密鑰加密的內(nèi)容，在內(nèi)容接收的同時，即，實時地被解密。而且，費時的密鑰更新也可以在內(nèi)容接收后通過使用在執(zhí)行內(nèi)容時的過大的處理能力而被執(zhí)行。應當注意，雖然說明了其中進行通信以使得內(nèi)容被分發(fā)以執(zhí)行在線游戲的例子，但不用說，按照本實施例的廣播型密碼通信系統(tǒng)可被應用于其中分發(fā)要實時執(zhí)行的、不包括游戲內(nèi)容的各種內(nèi)容的情形。
近年來，便攜式電話大大地傳播，現(xiàn)在已被國內(nèi)一半以上的人口擁有和使用。然后，假設(shè)為幾百萬便攜式電話用戶提供密碼組通信業(yè)務的情形。例如，該情形包括其中把特定的業(yè)務提供給構(gòu)成一個組的終端的情形。
圖5是說明本實施例應用到的用于便攜式電話的業(yè)務提供系統(tǒng)的結(jié)構(gòu)的圖。如圖5所示，用于提供業(yè)務的服務器構(gòu)成密鑰分發(fā)服務器10，以及登記該業(yè)務的便攜式電話構(gòu)成用戶終端20。
在這樣構(gòu)建的網(wǎng)絡(luò)系統(tǒng)中，當用戶拖欠他/她的會員費或他/她的終端丟失或被盜竊時，必須破壞給予特定的終端的接入該組的許可。按照本實施例，即使具有很差的計算能力的便攜式電話也能夠通過應用本發(fā)明到該電話，而執(zhí)行廣播型密碼通信。
近年來，使用DVD的多媒體內(nèi)容分發(fā)系統(tǒng)爆發(fā)性地傳播。
圖6是說明按照本實施例構(gòu)建的多媒體內(nèi)容分發(fā)系統(tǒng)的結(jié)構(gòu)的圖。如圖6所示，提供多媒體內(nèi)容的內(nèi)容提供商構(gòu)成密鑰分發(fā)服務器10，以及用于重現(xiàn)多媒體內(nèi)容的重現(xiàn)機構(gòu)成用戶終端20。
在該系統(tǒng)中，其中存儲加密的數(shù)字內(nèi)容(例如，電影，音樂和軟件)的DVD媒體被分發(fā)。加密的內(nèi)容通過使用在重現(xiàn)機中包含的解密器/重現(xiàn)器中存儲的解密密鑰被解密。解密密鑰是隨各個制造者而不同的，以及被存儲在解密器/重現(xiàn)器的安全的存儲器區(qū)域。然而，有解密密鑰泄漏的危險，當闖入者分析加密密鑰或制造者無法正確地組成該密鑰時將觀察到這一點。在這種情形下，需要提供密碼算法，它使得某些加密密鑰是不可用的。
當利用本實施例時，可以以鑒權(quán)的方式保持安全性，以及可以進行解密密鑰更新，以使得某些加密密鑰是不可用的。[解決警察無線收發(fā)信機的丟失/偷竊問題的秘密廣播系統(tǒng)]警察無線電是在組內(nèi)保密通信的典型的例子。在這種情形下，被使用于保密通信的系統(tǒng)需要被構(gòu)建成使得即使當使用除了警官擁有的收發(fā)信機外的無線接收機時，通信不能被監(jiān)視。
圖7是說明采用本實施例的秘密廣播系統(tǒng)的結(jié)構(gòu)的圖。如圖7所示，用于秘密廣播的廣播站構(gòu)成密鑰分發(fā)服務器10，以及各個無線接收機構(gòu)成用戶終端20。
如上所述，秘密廣播，諸如警察無線通信，應當被執(zhí)行成使得即使當使用除了警官擁有的收發(fā)信機外無線接收機時，通信不能被監(jiān)視。然而，在警官的收發(fā)信機丟失或被盜竊的情況下，丟失的或被盜竊的收發(fā)信機從包含用戶終端20的組(Φ)中被排除，然后按照本實施例，新的組密鑰由其余用戶終端共享，由此，使得丟失的收發(fā)信機是不可用的。
工業(yè)應用性正如到此所描述的，按照本發(fā)明可以提供以高度安全的方式和高速地更新組密鑰的方法。
而且，按照本發(fā)明可以達到高度安全的和高度有效的廣播型密碼通信。
權(quán)利要求
1.一種密碼通信系統(tǒng)，包括用于分發(fā)用來解密加密的信息的密鑰的密鑰分發(fā)服務器；和使用所述信息的特定數(shù)目的用戶終端，其中所述密鑰分發(fā)服務器分發(fā)被使用來解密所述信息的加密的第一組密鑰；相應于所述特定數(shù)目的用戶終端的、并被使用來執(zhí)行所述第一組密鑰的解密的各個解密信息；以及相應于所述特定數(shù)目的用戶終端的、并被使用來執(zhí)行第二組密鑰的一部分解密的各個密鑰更新信息，所述第二組密鑰是在組密鑰被更新后被更新的，以及其中所述特定數(shù)目的用戶終端通過使用由根據(jù)以前得到的被并使用來解密所述第一組密鑰的所述密鑰更新信息執(zhí)行的處理操作得到的結(jié)果，以及還使用從所述密鑰分發(fā)服務器分發(fā)的所述解密信息，而解密從所述密鑰分發(fā)服務器分發(fā)的所述第一組密鑰。
2.按照權(quán)利要求1的密碼通信系統(tǒng)，其中所述特定數(shù)目的用戶終端實施所述組密鑰的一部分解密，所述解密是在所述組密鑰分發(fā)之前通過使用所述各個密鑰更新信息被執(zhí)行的。
3.按照權(quán)利要求1的密碼通信系統(tǒng)，其中所述密鑰分發(fā)服務器把被使用來解密所述第一組密鑰的密鑰更新信息連同第三組密鑰一起分發(fā)到所述特定數(shù)目的用戶終端，所述第三組密鑰處在所述第三組密鑰更新到所述第一組密鑰之前的狀態(tài)。
4.按照權(quán)利要求1的密碼通信系統(tǒng)，其中在所述密鑰分發(fā)服務器更新所述組密鑰的情況下，所述密鑰分發(fā)服務器確定在所述特定數(shù)目的用戶終端中間哪些用戶終端要被排除，以及把被除了所述要被排除的目標用戶終端以外的其余用戶終端使用的所述解密信息連同所述被更新的組密鑰一起分發(fā)到所述特定數(shù)目的用戶終端，以使得所述其余用戶終端能夠解密所述被更新的組密鑰。
5.一種密鑰分發(fā)服務器，用于分發(fā)用來解密加密的信息的密鑰，該密鑰分發(fā)服務器包括用于生成用來解密所述信息的第一組密鑰和加密所述第一組密鑰的裝置；用于生成用來執(zhí)行所述第一組密鑰的解密、并相應于用戶終端的各個解密信息的裝置；用于生成用來執(zhí)行第二組密鑰的一部分解密、并相應于所述用戶終端的各個密鑰更新信息的裝置，所述第二組密鑰是在組密鑰被更新后被更新的；以及用于分發(fā)所述第一組密鑰、所述解密信息與所述密鑰更新信息到所述用戶終端的裝置。
6.按照權(quán)利要求5的密鑰分發(fā)服務器，其中所述用于生成所述解密信息的裝置確定在所述用戶終端中間哪些終端要被排除，以及生成由除了所述要被排除的用戶終端以外的其余用戶終端使用的所述解密信息，以使得所述其余用戶終端能夠解密所述組密鑰。
7.一種終端設(shè)備，包括用于從特定的密鑰分發(fā)服務器檢索用來解密加密的信息的加密的組密鑰和用來解密所述組密鑰的解密信息的裝置；用于在所述組密鑰分發(fā)之前執(zhí)行所述組密鑰的一部分解密的裝置；以及用于通過利用由根據(jù)所述組密鑰的一部分解密執(zhí)行處理操作得到的結(jié)果，和從所述密鑰分發(fā)服務器檢索的所述解密信息而解密所述組密鑰的裝置。
8.一種用于控制計算機和然后分發(fā)被使用來解密加密的信息的密鑰的程序，所述程序使得所述計算機具有包括以下的能力生成用來解密所述信息的第一組密鑰和加密所述第一組密鑰的功能；生成用來執(zhí)行所述第一組密鑰的解密、并相應于用戶終端的各個解密信息的功能；生成用來執(zhí)行第二組密鑰的一部分解密、并相應于所述用戶終端的各個密鑰更新信息的功能，所述第二組密鑰是在組密鑰被更新后被更新的；以及通過特定通信裝置分發(fā)所述第一組密鑰、所述解密信息、與所述密鑰更新信息到所述用戶終端的功能。
9.按照權(quán)利要求8的程序，其中所述生成各個解密信息的功能確定在所述用戶終端中間哪些用戶終端要被排除，以及生成由除了所述要被排除的用戶終端以外的其余用戶終端使用的所述解密信息，以使得所述其余用戶終端能夠解密所述組密鑰。
10.一種用于控制計算機和然后實現(xiàn)特定的功能的程序，所述程序使得所述計算機具有包括以下的能力經(jīng)由特定的通信裝置從特定的密鑰分發(fā)服務器檢索用來解密加密的信息的加密的組密鑰和用來解密所述組密鑰的解密信息的功能；在所述組密鑰分發(fā)之前執(zhí)行所述組密鑰的一部分解密的功能；以及通過利用由根據(jù)所述組密鑰的一部分解密執(zhí)行處理操作得到的結(jié)果和從所述密鑰分發(fā)服務器檢索到的所述解密信息而解密所述組密鑰的功能。
11.一種記錄媒體，其上記錄用于控制計算機和然后分發(fā)被使用來解密加密的信息的密鑰的程序，使得所述程序由所述計算機可讀，以使得所述計算機具有通過使用所述程序?qū)崿F(xiàn)的能力，所述程序包括生成用來解密所述信息的第一組密鑰和加密所述第一組密鑰的功能；生成用來執(zhí)行所述第一組密鑰的解密、并相應于用戶終端的各個解密信息的功能；生成用來執(zhí)行第二組密鑰的一部分解密、并相應于所述用戶終端的各個密鑰更新信息的功能，所述第二組密鑰是在組密鑰被更新后被更新的；以及通過特定通信裝置分發(fā)所述第一組密鑰、所述解密信息與所述密鑰更新信息到所述用戶終端的功能。
12.一種記錄媒體，其上記錄用于控制計算機和然后實現(xiàn)特定的功能的程序，使得所述程序由所述計算機可讀，以使得所述計算機具有通過使用所述程序?qū)崿F(xiàn)的能力，所述程序包括經(jīng)由特定的通信裝置從特定的密鑰分發(fā)服務器檢索用來解密加密的信息的加密的組密鑰和用來解密所述組密鑰的解密信息的功能；在所述組密鑰分發(fā)之前執(zhí)行所述組密鑰的一部分解密的功能；以及通過利用由根據(jù)所述組密鑰的一部分解密執(zhí)行處理操作得到的結(jié)果和從所述密鑰分發(fā)服務器檢索到的所述解密信息而解密所述組密鑰的功能。
13.一種密鑰共享方法，用于使得特定數(shù)目的終端共享被使用來解密加密的信息的密鑰，所述特定數(shù)目的終端利用所述信息，所述方法包括使得所述特定數(shù)目的終端在所述組密鑰分發(fā)之前執(zhí)行被使用來解密所述信息的加密的組密鑰的一部分解密的步驟；把所述組密鑰和被使用來執(zhí)行除了所述組密鑰的所述一部分解密以外的一部分其余解密、并相應于所述特定數(shù)目的終端的各個解密信息分發(fā)到所述特定數(shù)目的終端的步驟；以及使得所述特定數(shù)目的終端使用被分發(fā)的所述解密信息和由執(zhí)行所述組密鑰的一部分解密得到的結(jié)果來執(zhí)行所述組密鑰的解密的步驟，所述一部分解密是先前執(zhí)行的。
14.按照權(quán)利要求13的密鑰共享方法，其中被使用來執(zhí)行所述一部分解密的信息在所述組密鑰分發(fā)之前連同所述組密鑰一起被分發(fā)到所述特定數(shù)目的終端，所述組密鑰處在被更新之前的狀態(tài)。
全文摘要
一種用于提供高度安全和高速度的組密鑰更新的方法。該方法包括在組密鑰分發(fā)之前在用戶終端執(zhí)行用于譯碼用于信息譯碼的加密的組密鑰的一部分譯碼處理的步驟；分發(fā)組密鑰和用于讓每個終端設(shè)備執(zhí)行組密鑰的譯碼處理的其余部分的一部分的各個譯碼信息的步驟；以及在用戶終端通過使用分發(fā)的譯碼信息和事先執(zhí)行的一部分譯碼處理的結(jié)果而執(zhí)行組密鑰譯碼處理的步驟。
文檔編號H04L9/08GK1650570SQ0380942
公開日2005年8月3日 申請日期2003年4月28日 優(yōu)先權(quán)日2002年4月30日
發(fā)明者渡邊裕治, 沼尾雅之 申請人:國際商業(yè)機器公司