群组密钥协商协议允许群组用户在不受信任的公开网络中生成相同的会话密钥，并由该会话密钥为之后的通信提供机密性和完整性保护。一般情况下，基于公钥可设计出具有前向安全性、防篡改、不可否认等特性的密钥协商协议。当前，公钥多依托于公钥基础设施(public key infrastructure, PKI)，通过证书来保证公钥的真实性，但对证书的管理和支持是一个比较复杂的问题，并随着用户规模的扩大而增加。Shamir^[1]提出了基于身份的公钥密码(identity-based public key cryptography, ID-PKC)机制，用户的公钥可直接从用户身份获取，用户的私钥由可信的私钥生成中心(key generation center, KGC)生成，有效实现了用户公钥与其身份的绑定。但该机制无法克服私钥托管问题，当出现恶意KGC或KGC被攻破时，整个系统的安全性也就被破坏。Sattam等^[2]提出了无证书公钥密码体制(certificateless public key cryptography, CL-PKC)，其用户私钥由KGC和用户自身分别生成，分散了密钥的泄漏风险，具有ID-PKC的无证书管理优点，同时又克服其安全性完全依赖于KGC的弱点。无证书群组密钥协商(certificateless authenticated group key agreement, CL-AGKA)协议多基于线性对^[3]生成^[4-11]，由于线性对的计算比椭圆曲线群上的点乘运算耗费更多时间^[12]，因此无线性对的无证书群组密钥协商协议在相同条件^[13-15]下更具计算效率的优势。

由于无证书群组密钥协商协议尚无完备的可证明安全模型，多个协议存在着弱点。文[5]指出文[4]中的协议不具备前向安全性；文[7]认为文[6]的协议存在无法保证选取的多项式级数为n，采用的签名算法无法抗Type Ⅱ型敌手的攻击且协议本身无法抗已知临时秘密值攻击等弱点；文[8]认为敌手通过监听网络中的数据即可计算得到文[16]协议的会话密钥，不满足隐式密钥认证的安全属性。本文对文[13]的协议进行了分析，认为其不具有抗重放仿冒攻击。针对这些问题或弱点，本文提出一种无线性对操作的固定轮数无证书群组密钥协商协议，适用于具有广播功能的网络。

椭圆曲线离散对数难题(ECDLP)：令E为定义在有限域$\mathbb{F}_q$上的椭圆曲线，P∈E($\mathbb{F}_q$)为E上一个阶为大素数n的点，Q为P的某个点乘结果，当给定攻击者{E, P, Q}时，求解某个整数d使得其满足Q=dP是困难的。

椭圆曲线Diffie-Hellman难题(ECDHP)：令E为定义在有限域$\mathbb{F}_q$上的椭圆曲线，P∈E($\mathbb{F}_q$)为E上一个阶为大素数n的点，Q₁=aP和Q₂=bP为P的2个点乘结果，当给定攻击者{E, P, Q₁, Q₂}时，计算或判定abP是困难的。

由n个用户U₁, U₂, …, U_n组成一个环状结构的集合，U_i-1和U_i+1在逻辑上分别为U_i的左右用户，且U_n+1=U₁，U₀=U_n。集合要建立起一个共同的群组会话密钥，则需要运行的6个概率多项式时间算法如下。

1) Setup:用于生成全局系统参数，由KGC执行。算法输入为一个安全参数k，其操作如下：

a) KGC选取一个长为k比特的大素数p，定义$\mathbb{F}_q$上的合法椭圆曲线E，在椭圆曲线E上选取一个阶为大素数q的公开点P，由P生成一个循环加法群$\mathbb{G}$；

b)随机选择一个数s∈_R$\mathbb{Z}_q^*$作为主秘密密钥，计算P_pub=sP，将P_pub作为系统公钥；

c)选择2个密码学意义上安全的Hash函数：H₁: {0, 1}^*→$\mathbb{Z}_q^*$和H₂: $\mathbb{G}\times \mathbb{G}\to {{\{0, 1\}}^{k}}$；

d) KGC秘密保存主秘密密钥s，发布系统参数params={F_q, E/$\mathbb{F}_q$, $\mathbb{G}$, P, P_pub, H₁, H₂}。

2) Partial-Private-Key-Extract:由KGC生成用户的部分私钥，其当前输入为用户U_i的身份信息ID_i。KGC选择一个随机数r_i∈_R$\mathbb{Z}_q^*$，计算

其中：R_i为U_i的部分公钥，s_i为U_i的部分私钥。KGC通过安全通道将(R_i, s_i)传给用户U_i。用户可以通过s_iP=R_i+H₁(ID_i)P_pub验证该部分私钥的有效性。

3) Set-Secret-Value:本算法用于设置用户的长期私有秘密值。身份信息为ID_i的用户U_i随机选择一个x_i∈$\mathbb{Z}_q^*$，并将作为其自身的长期私有秘密值。

4) Set-Private-Key:本算法用于设置用户的长期私钥。用户U_i将sk_i=(x_i, s_i)作为其全部长期私钥。

5) Set-Public-Key:本函数用于设置用户的长期公钥。用户U_i将P_i=x_iP作为其公钥。

6) Key-Agreement:

第1轮 每一个用户U_i随机选取t_i∈_R$\mathbb{Z}_q^*$，计算T_i=t_iP，U_i向邻居节点U_i-1和U_i+1发送 < ID_i, R_i, T_i, sig_i>，其中sig_i为消息签名；

第2轮 U_i收到来自U_i+1和U_i-1的消息后，验证sig_i-1和sig_i+1的正确性。如果通过验证，则U_i计算:

a) K_{i, i+1}=(x_i+s_i)T_i+1+t_i·(P_i+1+R_i+1+h_i+1·P_pub),

b) K′_{i, i+1}=t_iT_i+1,

c) K_i^R=H₂(K_{i, i+1}, K′_{i, i+1}),

d) K_{i, i-1}=(x_i+s_i)T_i-1+t_i·(P_i-1+R_i-1+h_i-1·P_pub),

e) K′_{i, i-1}=t_iT_i-1,

f) K_i^L=H₂(K_{i, i-1}, K′_{i, i-1}),

g) X_i=K_i^L⊕K_i^R.

U_i向群组中的其他用户广播X_i。

在获得群组中所有其他用户的X_j(j≠i)后，U_i通过X₁⊕X₂⊕…⊕X_n=0验证接收到的消息。通过验证后，U_i计算：

群组的会话密钥为

从CL-AGKA描述可知，该协议仅在第一轮中对消息进行了签名，而第二轮的消息中没有体现当前协议的新鲜性，无法抗恶意参与者发起的重放仿冒攻击。令U_i和U_j为2个恶意用户，且j>i+1。他们参与群组中某次正常的协商，并记录了协商过程中所有的消息，这样U_i和U_j可以合谋重放消息以仿冒U_i和U_j间的所有用户U_k(i < k < j)。

首先描述某次正常的协议执行中U_i和U_j的操作：

第1轮 U_i和U_j间按照协议说明执行。除此之外，分别保存各自的临时秘密值T_i和T_j，以及第一轮各自发送的消息 < ID_i, R_i, T_i, sig_i>和 < ID_j, R_j, T_j, sig_j>。

第2轮 U_i和U_j间按照协议说明执行。除此之外，U_i保存X_i+1，U_j保存X_j-1。指定U_i保存所有的X_k(i < k < j)。

本协议会话执行完后，U_i和U_j可发起一次新的协商，记本次协商中正常用户发送的消息以“*”为上标，其发起的攻击如下：

第1轮 U_i发送保存的 < ID_i, R_i, T_i, sig_i>，U_j发送保存的 < ID_j, R_j, T_j, sig_j>；

第2轮 U_i验证U_i-1在第一轮发送的消息 < ID_i-1, R_i-1, T_i-1^*, sig_i-1^*>，U_j验证U_j+1在第一轮发送的 < ID_j+1, R_j+1, T_j+1^*, sig_j+1^*>。当都通过验证后，U_i计算：

a) K_{i, i+1}=(x_i+s_i)T_i+1+t_i·(P_i+1+R_i+1+h_i+1·P_pub),

b) K′_{i, i+1}=t_iT_i+1,

c) K_i^R=H₂(K_{i, i+1}, K′_{i, i+1}),

d) K_{i, i-1}=(x_i+s_i)T_i-1^*+t_i·(P_i-1+R_i-1+h_i-1·P_pub),

e) K′_{i, i-1}=t_iT_i-1^*,

f) K_i^L=H₂(K_{i, i-1}, K′_{i, i-1}),

g) X_i=K_i^L⊕K_i^R.

U_j计算：

a) K_{j, j+1}=(x_j+s_j)T_j+1^*+t_j·(P_j+1+R_j+1+h_j+1·P_pub),

b) K′_{j, j+1}=t_jT_j+1^*,

c) K_j^R=H₂(K_{j, j+1}, K′_{j, j+1}),

d) K_{j, j-1}=(x_j+s_j)T_j-1+t_j·(P_j-1+R_j-1+h_j-1·P_pub),

e) K′_{j, j-1}=t_jT_j-1,

f) K_j^L=H₂(K_{j, j-1}, K′_{j, j-1}),

g) X_j=K_j^L⊕K_j^R.

U_i和U_j分别广播X_i和X_j。U_i广播其保存的所有X_k(i < k < j).

由于有K_i+1^L=K_i^R和K_j-1^R=K_j^L，而所有X_k(i < k < j)值天然满足K_k+1^L=K_k^R和K_k-1^R=K_k^L。因此可以根据协议得到所有的K_m^R(1≤m≤n)。本次协议执行得到的会话密钥为

同样的攻击也适用于文[17-18]协议。

需要注意的是，在无证书群组密钥协商协议中会涉及到2方面计算。如文[13]中，用户U_i在第二轮中计算的K_i^L和K_i^R分别是U_i与其逻辑左相邻和右相邻的用户之间生成的；文[11]中，用户U_i的2轮协议消息是与群组其他成员逐一分别生成的；文[14]的群组为一个二叉树结构，2个相邻叶子节点间需要生成一个共同秘密密钥。如何度量这些协议消息的安全性，在现有关于群组密钥协商协议的文献中尚未提及。

本文认为，应该在类Lippold模型^[19]下考虑这些消息的安全性。Lippold模型定义了2类敌手：Type Ⅰ敌手可以替换双方用户的公钥，但无法获取KGC的主秘密密钥；Type Ⅱ敌手知道KGC的主秘密密钥，但无法替换用户的公钥。据节2.1可知，在无证书密钥协商协议中，任何一个用户都有部分私钥(partial private key)、长期私钥和临时私钥3个私钥。在Lippold模型中，任何一类敌手可以获取(替换公钥也算获取)某个用户的这3个私钥中的2个。如果协议暴露在这2类敌手的攻击下仍然是安全的，则说明该协议满足Lippold模型安全。在群组密钥协商协议中，如果协议在敌手获知了群组中部分用户的非全部私钥的情况下仍然安全，则称协议满足类Lippold安全。

以文[13]为例，某个敌手(不管是Type Ⅰ或Type Ⅱ型)以用户U_i为目标，如果敌手可以获取U_i-1、U_i和U_i+1各自的临时私钥t_i-1、t_i和t_i+1，不需要知道这3个用户的其他2类私钥，则敌手可以发起仿冒U_i的攻击：

第1轮 与文[13]的第一轮一致；

第2轮 U_i收到来自U_i+1和U_i-1的消息后，验证sig_i-1和sig_i+1的正确性。如果通过验证，则U_i计算：

a) K_{i, i+1}=t_i+1(P_i+R_i+h_i·P_pub)+t_i·(P_i+1+R_i+1+h_i+1·P_pub)=(x_i+s_i)T_i+1+t_i·(P_i+1+R_i+1+h_i+1·P_pub),

b) K′_{i, i+1}=t_iT_i+1,

c) K_i^R=H₂(K_{i, i+1}, K′_{i, i+1}),

d) K_{i, i-1}=(P_i+R_i+h_i·P_pub)T_i-1+t_i·(P_i-1+R_i-1+h_i-1·P_pub)=(x_i+s_i)T_i-1+t_i·(P_i-1+R_i-1+h_i-1·P_pub),

e) K′_{i, i-1}=t_iT_i-1,

f) K_i^L=H₂(K_{i, i-1}, K′_{i, i-1}),

g) X_i=K_i^L⊕K_i^R.

U_i向群组中的其他用户广播X_i。

即敌手当知道某个用户的临时秘密时，即可仿冒该用户。类似地，文[11]中如果敌手获取了2个用户U_i、U_j各自的临时私钥r_i和r_j，以及其长期私钥x_IDi和x_IDj，不需要知道两者的部分私钥，敌手则可以计算出第1轮和第2轮的值；文[14]中如果敌手知道2个相邻叶子节点的临时私钥，不需要知道其他两类私钥，敌手则可以计算出这2个节点间的共同秘密值。

针对节2出现的问题，本文对其进行改进，提出一个无线性对的固定轮数无证书群组密钥协商协议。群组结构与节2.1的一样为环状，群组中每个用户知道群组的所有成员名称和逻辑结构。为防止消息传输过程中被篡改，本协议使用文[16]提出的签名算法，该算法的不可伪造性证明参见文[16]。协议的6个概率多项式时间算法如下。

1) Setup:除了Hash函数不同之外，其余与节2.1定义的相同。在这里定义Hash函数为

2) Partial-Private-Key-Extract:由KGC生成用户的部分私钥，其当前输入为用户U_i的身份信息ID_i。KGC选择一个随机数r_i∈_R$\mathbb{Z}_q^*$，计算

其中：R_i为U_i的部分公钥，s_i为U_i的部分私钥。KGC通过安全通道将(R_i, s_i)传给用户U_i。用户可以通过以下计算验证该部分私钥的有效性：

3) Set-Secret-Value/Set-Private-Key/Set-Public-Key:与节2.1定义相同；

4) Key-Agreement:

第1轮 每一个用户U_i随机选取t_i∈_R$\mathbb{Z}_q^*$，计算T_i=t_iP，U_i向群组其他成员广播发送 < ID_i, R_i, T_i>；

第2轮 U_i收到群组所有其他成员的

< ID_j, R_j, T_j>(1 < j < n, 且j≠i)

消息后，记作

计算

以及

5) 认证方案Г：

U_i向群组内其他用户广播 < ID_i, X_i, u_i, v_i>.

6) Key Computation:

U_i收到其他用户U_j(1 < j < n, 且 < ≠i)发送的 < ID_j, X_j, u_j, v_j>后，如果 < u_j, v_j>是真实的签名，则有:

通过检验下式是否成立来判断签名是否合法：

如果签名非法，则U_i广播“失败”并退出协议执行；若签名合法，则通过K_i^R=K^L_i+1和K^R_i+1=X_i+1⊕K_i^R可恢复出K_i+1^R。以此类推，U_i可恢复出K_i+2^R, …, K^R_i+n-1。U_i判断K_i+n-1^R=K_i^L是否成立，如不成立则U_i广播“失败”并退出协议执行。当U_i计算出群组内所有T_x^R(1≤x≤n)后，计算会话密钥：

在计算出会话密钥后，每个用户清除协商过程中生成的所有临时数据。

新协议将签名放在第二轮中，且签名算法被证明是不可伪造的。签名的生成与第一轮中群组内所有用户广播的T_i值、所有群组用户的身份、第二轮生成的K_i值相关，保证了消息的新鲜性。敌手无法重放消息，无法发起节2.2的攻击。

由于本协议与文[18]的结构类似，其安全性证明可使用文[18]的Game序列法。这里仅给出结论，模型定义和具体含义可参考文[18]。令协议中H₁, H₂和H₃为RO模型中的3个互不相同的Hash函数，则在ECDH难题成立和安全认证方案的前提下，CL-AGKA是一个安全的AGKA协议，且具有前向安全性。记A为协议的某一主动攻击者，Adv^CL-AGKE为敌手猜解出挑战值的最大优势，Succ_Γ^cma(t, q_s)为敌手对签名策略Г进行选择消息攻击(chosen message attack, CMA)下存在性伪造(existential forgery)的成功概率，Succ_$\mathbb{G}$^ECDH(t)为敌手成功解决ECDH难题的概率，q_S和q_H分别为文[18]中的Send询问次数和对Hash预言机H的Hash询问次数，则

关于本协议的类Lippold安全性，类似的证明可参见文[20]。

将本文协议与文[11]和^[13]这2个固定轮数的协议进行对比，如表 1所示，3个协议的轮数均为2。比较的指标为每个用户的线性对(pairing)计算量、点乘计算量和是否满足类Lippold安全。Hash算法的计算量相对较小，这里忽略。

根据文[12]的实验结果，一次Pairing运算约为20次点乘运算，因此相对文[13]而言，本文协议的效率较高。同时，本文协议在设计时考虑到Type Ⅰ和Type Ⅱ 2类敌手，保证了安全性。

本文分析了现有CL-AKGA协议的一些弱点，提出了在无证书群组密钥协商过程中，仍应该满足类Lippold模型规定的安全性，提出了一个无线性对的固定轮数无证书群组密钥协商协议，并对其在Game序列法和类Lippold模型下进行了证明。结果表明：与其他固定轮数无证书协议相比，该协议计算量较小，安全性更高。