一种应用于可信移动终端平台的直接匿名证明方法

摘要

一种应用于可信移动终端平台的直接匿名证明方法，它采用基于身份签名和零知识证明签名方法，实现平台签注密钥对的产生、平台身份建立与撤销，以及移动终端身份认证。它分为系统初始化、身份建立和身份验证三个阶段共9个步骤：阶段1：系统初始化：步骤1：生产厂商系统初始化：步骤2：身份权威机构系统初始化：步骤3：设备EK密钥对初始化：阶段2：身份建立：步骤4：发送挑战数：步骤5：终端设备做出响应：步骤6：验证与颁发身份证书：阶段3：身份验证：步骤7：发送挑战数：步骤8：终端设备应答：步骤9：验证身份证书的合法性：本发明满足匿名认证的正确性、不可伪造性、不可追踪性要求，适用于计算资源有限且嵌有TPM的移动终端平台。

主权项

一种应用于可信移动终端平台的直接匿名证明方法，其特征在于：按照执行阶段分为系统初始化、身份建立和身份验证三个阶段共9个步骤：阶段1：系统初始化：包括第（1）~（3）步，系统初始化分生产厂商系统初始化和身份权威机构系统初始化两部分，两者独立存在，互不干扰；生产厂商系统初始化完成自身的公私密钥对的生成，网络域身份权威机构系统初始化完成自身的公私密钥对的生成；身份权威机构初始化完成后建立身份撤销列表并保持该列表的更新；步骤1：生产厂商系统初始化：通过使用PBC库，即Paring‑Based Library选取A类型双线性对，并使用PBC库中随机数生成函数生成随机数，生成公私钥对并发布公钥；步骤2：身份权威机构系统初始化：通过使用PBC库选取D类型双线性对，并使用PBC库中随机数生成函数生成随机数，杂凑函数及生产厂商公钥，生成公私钥对并初始化身份撤销列表；步骤3：设备EK密钥对初始化：生产厂商对每一个出厂的设备根据厂商名、设备标识号以及出厂日期，并使用Cha‑Cheon提出的基于身份的签名方案生成唯一的EK密钥对并写入TPM芯片中，并由其提供硬件级保护；阶段2：身份建立过程：包括第（4）~（6）步，当终端设备欲加入某网络域时，首先要由该网络域中的身份权威机构I为该设备S、H建立身份，该过程在安全信道中通信；步骤4：发送挑战数：当终端设备请求该网络域内的身份建立过程时，身份权威机构向其发送挑战数，以验证该终端身份可信；步骤5：终端设备做出响应：终端接收挑战数，使用自身EK私钥对其签名，将签名后的结果发给身份权威机构；步骤6：验证与颁发身份证书：身份权威机构首先验证其身份是否在身份撤销列表中，若其身份可信，则为其颁发身份证书，并发送给终端设备，终端设备保存该证书；阶段3：身份验证过程：包括第（7）~（9）步，当终端在网络域内请求服务时，服务提供者首先验证其平台的身份证书的是否真实有效且未被撤销，若验证通过，则为其提供服务，否则拒绝提供服务；步骤7：发送挑战数：服务提供者即验证者通过无线网络连接向请求服务的终端发送挑战数；步骤8：终端设备应答：终端设备将身份权威颁发的证书通过与随机数相乘进行一次盲变换，得到临时身份证书Cert′，并将结果发送给验证者；步骤9：验证身份证书的合法性：验证者通过查询身份撤销列表及相应计算验证终端的临时身份证书，若验证通过，则为其提供服务，否则拒绝服务。