密碼技術(shù)是信息安全的核心技術(shù)。如今，計算機網(wǎng)絡(luò )環(huán)境下信息的保密性、完整性、可用性和抗抵賴(lài)性，都需要采用密碼技術(shù)來(lái)解決。密碼體制大體分為對稱(chēng)密碼(又稱(chēng)為私鑰密碼)和非對稱(chēng)密碼(又稱(chēng)為公鑰密碼)兩種。公鑰密碼在信息安全中擔負起密鑰協(xié)商、數字簽名、消息認證等重要角色，已成為最核心的密碼。
當前，公鑰密碼的安全性概念已經(jīng)被大大擴展了。像著(zhù)名的RSA公鑰密碼算法、Rabin公鑰密碼算法和ElGamal公鑰密碼算法都已經(jīng)得到了廣泛應用。但是，有些公鑰密碼算法在理論上是安全的，可是在具體的實(shí)際應用中并非安全。因為在實(shí)際應用中不僅需要算法本身在數學(xué)證明上是安全的，同時(shí)也需要算法在實(shí)際應用中也是安全的。比如，公鑰加密算法根據不同的應用，需要考慮選擇明文安全、非適應性選擇密文安全和適應性選擇密碼安全三類(lèi)。數字簽名根據需要也要求考慮抵抗非消息攻擊和選擇消息攻擊等。因此，近年來(lái)，公鑰密碼學(xué)研究中的一個(gè)重要內容——可證安全密碼學(xué)正是致力于這方面的研究。
公鑰密碼在信息安全中擔負起密鑰協(xié)商、數字簽名、消息認證等重要角色，已成為最核心的密碼。目前密碼的核心課題主要是在結合具體的網(wǎng)絡(luò )環(huán)境、提高運算效率的基礎上，針對各種主動(dòng)攻擊行為，研究各種可證安全體制。其中引人注目的是基于身份(ID)密碼體制和密碼體制的可證安全模型研究，目前已經(jīng)取得了重要成果。這些成果對網(wǎng)絡(luò )安全、信息安全的影響非常巨大，例如公鑰基礎設施(PKI)將會(huì )更趨于合理，使其變?yōu)镮D-PKI。在密碼分析和攻擊手段不斷進(jìn)步，計算機運算速度不斷提高以及密碼應用需求不斷增長(cháng)的情況下，迫切需要發(fā)展密碼理論和創(chuàng )新密碼算法。
在2004年信息安全國際會(huì )議上，本文第一作者(即曹珍富教授)做了“密碼理論中的若干問(wèn)題”的主題報告，其中也介紹了密碼學(xué)的最新進(jìn)展。這在不同程度上代表了當前密碼學(xué)的發(fā)展方向。
1.在線(xiàn)/離線(xiàn)密碼學(xué)
公鑰密碼學(xué)能夠使通信雙方在不安全的信道上安全地交換信息。在過(guò)去的幾年里，公鑰密碼學(xué)已經(jīng)極大地加速了網(wǎng)絡(luò )的應用。然而，和對稱(chēng)密碼系統不同，非對稱(chēng)密碼的執行效率不能很好地滿(mǎn)足速度的需要。因此，如何改進(jìn)效率成為公鑰密碼學(xué)中一個(gè)關(guān)鍵的問(wèn)題之一。
針對效率問(wèn)題，在線(xiàn)/離線(xiàn)的概念被提出。其主要觀(guān)點(diǎn)是將一個(gè)密碼體制分成兩個(gè)階段：在線(xiàn)執行階段和離線(xiàn)執行階段。在離線(xiàn)執行階段，一些耗時(shí)較多的計算可以預先被執行。在在線(xiàn)階段，一些低計算量的工作被執行。
2.圓錐曲線(xiàn)密碼學(xué)
圓錐曲線(xiàn)密碼學(xué)是1998年由本文第一作者首次提出，C.Schnorr認為，除橢圓曲線(xiàn)密碼以外這是人們最感興趣的密碼算法。在圓錐曲線(xiàn)群上的各項計算比橢圓曲線(xiàn)群上的更簡(jiǎn)單，一個(gè)令人激動(dòng)的特征是在其上的編碼和解碼都很容易被執行。同時(shí)，還可以建立模n的圓錐曲線(xiàn)群，構造等價(jià)于大整數分解的密碼?，F在已經(jīng)知道，圓錐曲線(xiàn)群上的離散對數問(wèn)題在圓錐曲線(xiàn)的階和橢圓曲線(xiàn)的階相同的情況下，是一個(gè)不比橢圓曲線(xiàn)容易的問(wèn)題。所以，圓錐曲線(xiàn)密碼已成為密碼學(xué)中的一個(gè)重要的研究?jì)热荨?br>3.代理密碼學(xué)
代理密碼學(xué)包括代理簽名和代理密碼系統。兩者都提供代理功能，另外分別提供代理簽名和代理解密功能。
目前，代理密碼學(xué)的兩個(gè)重要問(wèn)題亟需解決。一個(gè)是構造不用轉換的代理密碼系統，這個(gè)工作已經(jīng)被本文第一作者和日本Tsukuba大學(xué)的學(xué)者進(jìn)行了一些研究。另外一個(gè)是如何來(lái)構造代理密碼系統的較為合理的可證安全模型，以及給出系統安全性的證明。已經(jīng)有一些研究者開(kāi)始在這方面展開(kāi)工作。
4.密鑰托管問(wèn)題
在現代保密通信中，存在兩個(gè)矛盾的要求：一個(gè)是用戶(hù)間要進(jìn)行保密通信，另一個(gè)是政府為了抵制網(wǎng)絡(luò )犯罪和保護國家安全，要對用戶(hù)的通信進(jìn)行監督。密鑰托管系統就是為了滿(mǎn)足這種需要而被提出的。在原始的密鑰托管系統中，用戶(hù)通信的密鑰將由一個(gè)主要的密鑰托管代理來(lái)管理，當得到合法的授權時(shí)，托管代理可以將其交給政府的監聽(tīng)機構。但這種做法顯然產(chǎn)生了新的問(wèn)題：政府的監聽(tīng)機構得到密鑰以后，可以隨意地監聽(tīng)用戶(hù)的通信，即產(chǎn)生所謂的“一次監控，永遠監控”問(wèn)題。另外，這種托管系統中“用戶(hù)的密鑰完全地依賴(lài)于可信任的托管機構”的做法也不可取，因為托管機構今天是可信任的，不表示明天也是可信任的。
在密鑰托管系統中，法律強制訪(fǎng)問(wèn)域LEAF(Law Enforcement Access Field)是被通信加密和存儲的額外信息塊，用來(lái)保證合法的政府實(shí)體或被授權的第三方獲得通信的明文消息。對于一個(gè)典型的密鑰托管系統來(lái)說(shuō)，LEAF可以通過(guò)獲得通信的解密密鑰來(lái)構造。為了更趨合理，可以將密鑰分成一些密鑰碎片，用不同的密鑰托管代理的公鑰加密密鑰碎片，然后再將加密的密鑰碎片通過(guò)門(mén)限化的方法合成。以此來(lái)達到解決“一次監控，永遠監控”和“用戶(hù)的密鑰完全地依賴(lài)于可信任的托管機構”的問(wèn)題?，F在對這一問(wèn)題的研究產(chǎn)生了構造網(wǎng)上信息安全形式問(wèn)題，通過(guò)建立可證安全信息形式模型來(lái)界定一般的網(wǎng)上信息形式。
5.基于身份的密碼學(xué)
基于身份的密碼學(xué)是由Shamir于1984年提出的。其主要觀(guān)點(diǎn)是，系統中不需要證書(shū)，可以使用用戶(hù)的標識如姓名、IP地址、電子郵件地址等作為公鑰。用戶(hù)的私鑰通過(guò)一個(gè)被稱(chēng)作私鑰生成器PKG(Private Key Generator)的可信任第三方進(jìn)行計算得到?；谏矸莸臄底趾灻桨冈?984年Shamir就已得到。然而，直到2001年，Boneh等人利用橢圓曲線(xiàn)的雙線(xiàn)性對才得到Shamir意義上的基于身份的加密體制(IBE)。在此之前，一個(gè)基于身份的更加傳統的加密方案曾被Cocks提出，但效率極低。目前，基于身份的方案包括基于身份的加密體制、可鑒別身份的加密和簽密體制、簽名體制、密鑰協(xié)商體制、鑒別體制、門(mén)限密碼體制、層次密碼體制等。
6.多方密鑰協(xié)商問(wèn)題
密鑰協(xié)商問(wèn)題是密碼學(xué)中又一基本問(wèn)題。
Diffie-Hellman協(xié)議是一個(gè)眾所周知的在不安全的信道上通過(guò)交換消息來(lái)建立會(huì )話(huà)密鑰的協(xié)議。它的安全性基于Diffie-Hellman離散對數問(wèn)題。然而，Diffie-Hellman協(xié)議的主要問(wèn)題是它不能抵抗中間人攻擊，因為它不能提供用戶(hù)身份驗證。
當前已有的密鑰協(xié)商協(xié)議包括雙方密鑰協(xié)商協(xié)議、雙方非交互式的靜態(tài)密鑰協(xié)商協(xié)議、雙方一輪密鑰協(xié)商協(xié)議、雙方可驗證身份的密鑰協(xié)商協(xié)議以及三方相對應類(lèi)型的協(xié)議。
如何設計多方密鑰協(xié)商協(xié)議？存在多元線(xiàn)性函數(雙線(xiàn)性對的推廣)嗎？如果存在，我們能夠構造基于多元線(xiàn)性函數的一輪多方密鑰協(xié)商協(xié)議。而且，這種函數如果存在的話(huà)，一定會(huì )有更多的密碼學(xué)應用。然而，直到現在，在密碼學(xué)中，這個(gè)問(wèn)題還遠遠沒(méi)有得到解決。目前已經(jīng)有人開(kāi)始作相關(guān)的研究，并且給出了一些相關(guān)的應用以及建立這種函數的方向，給出了這種函數肯定存在的原因。
7.可證安全性密碼學(xué)
當前，在現有公鑰密碼學(xué)中，有兩種被廣泛接受的安全性的定義，即語(yǔ)義安全性和非延展安全性。語(yǔ)義安全性，也稱(chēng)作不可區分安全性IND(Indistinguishability),首先由Goldwasser和Micali在1984年提出，是指從給定的密文中，攻擊者沒(méi)有能力得到關(guān)于明文的任何信息。非延展安全性NM(Non-malleability)是由Dolev、Dwork和Naor在1991年提出的，指攻擊者不能從給定的密文中，建立和密文所對應的與明文意義相關(guān)的明文的密文。在大多數令人感興趣的研究問(wèn)題上，不可區分安全性和非延展安全性是等價(jià)的。
對于公鑰加密和數字簽名等方案，我們可以建立相應的安全模型。在相應的安全模型下，定義各種所需的安全特性。對于模型的安全性，目前可用的最好的證明方法是隨機預言模型ROM(Random Oracle Model)。在最近幾年里，可證明安全性作為一個(gè)熱點(diǎn)被廣泛地研究，就像其名字所言，它可以證明密碼算法設計的有效性?，F在，所有出現的標準算法，如果它們能被一些可證明安全性的參數形式所支持，就被人們廣泛地接受。就如我們所知道的，一個(gè)安全的密碼算法最終要依賴(lài)于NP問(wèn)題，真正的安全性證明還遠遠不能達到。然而，各種安全模型和假設能夠讓我們來(lái)解釋所提出的新方案的安全性，按照相關(guān)的數學(xué)結果，確認基本的設計是沒(méi)有錯誤的。
隨機預言模型是由Bellare和Rogaway于1993年從Fiat和Shamir的建議中提出的，它是一種非標準化的計算模型。在這個(gè)模型中，任何具體的對象例如哈希函數，都被當作隨機對象。它允許人們規約參數到相應的計算，哈希函數被作為一個(gè)預言返回值，對每一個(gè)新的查詢(xún)，將得到一個(gè)隨機的應答。規約使用一個(gè)對手作為一個(gè)程序的子例程，但是，這個(gè)子例程又和數學(xué)假設相矛盾，例如RSA是單向算法的假設。概率理論和技術(shù)在隨機預言模型中被廣泛使用。
然而，隨機預言模型證明的有效性是有爭議的。因為哈希函數是確定的，不能總是返回隨機的應答。1998年，Canetti等人給出了一個(gè)在ROM模型下證明是安全的數字簽名體制，但在一個(gè)隨機預言模型的實(shí)例下，它是不安全的。
盡管如此，隨機預言模型對于分析許多加密和數字簽名方案還是很有用的。在一定程度上，它能夠保證一個(gè)方案是沒(méi)有缺陷的。
但是，沒(méi)有ROM，可證明安全性的問(wèn)題就存在質(zhì)疑，而它是一個(gè)不可忽視的問(wèn)題。直到現在，這方面僅有很少的研究。
密碼學(xué)還有許許多多這樣的問(wèn)題。當前,密碼學(xué)發(fā)展面臨著(zhù)挑戰和機遇。計算機網(wǎng)絡(luò )通信技術(shù)的發(fā)展和信息時(shí)代的到來(lái)，給密碼學(xué)提供了前所未有的發(fā)展機遇。在密碼理論、密碼技術(shù)、密碼保障、密碼管理等方面進(jìn)行創(chuàng )造性思維，去開(kāi)辟密碼學(xué)發(fā)展的新紀元才是我們的追求。
