Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
ISO 29903-1 基于身份的加密：数学基础设施与双线性配对
ISO 29903-1 IBE 数学基础、双线性配对、安全假设与主密钥管理技术指南
ISO 29903-1 基于身份的加密——数学基础概述
ISO 29903-1 为基于身份的加密系统建立了数学基础设施。IBE 是公钥密码学中的一种革命性范式，其中任何字符串——如电子邮件地址、域名或员工编号——都可以作为公钥使用。与需要证书颁发机构将身份与密钥绑定的传统公钥基础设施不同，IBE 通过允许直接从身份字符串推导公钥，消除了证书管理的需要。该标准为实施安全、可互操作的 IBE 系统提供了严格的数学框架。
IBE 的数学基础建立在椭圆曲线双线性配对之上，这是代数几何中的一个复杂领域，在密码学中发现了变革性的应用。ISO 29903-1 规定了支撑 IBE 方案的代数结构、曲线参数、配对函数和安全假设。它定义了双线性映射的必需属性、可接受的配对类型以及将 IBE 难度与公认的计算问题相关联的安全性归约。
实现 IBE 系统时，曲线选择是最关键的架构决策。ISO 29903-1 推荐特定的 Barreto-Naehrig 曲线和 Barreto-Lynn-Scott 曲线，它们在安全性、性能和互操作性之间取得平衡。具有 256 位素数域的 BN 曲线提供约 128 位的安全级别，适用于大多数企业应用。
双线性配对与代数结构
ISO 29903-1 的核心是双线性配对的概念。双线性配对是定义在三个大素数阶循环群上的映射 e: G1 x G2 -> GT。关键属性是双线性：对于 G1 中的任意元素 P、G2 中的 Q 以及整数 a、b，关系 e(aP, bQ) = e(P, Q)^(ab) 成立。这个看似简单的代数性质使得以前不可能实现的加密构造成为可能，包括 Boneh 和 Franklin 在 2001 年提出的第一个实用的基于身份的加密方案。
该标准定义了三种主要类型的配对配置。类型 1 配对提供最简单的实现，但对于较高的安全级别效率较低。类型 2 配对为协议设计提供了额外的灵活性。类型 3 配对提供最佳性能特性，ISO 29903-1 推荐用于新实现。标准为每种配对类型提供了显式参数集，包括生成点、曲线方程和嵌入度。
| 配对类型 | G1 = G2? | 同构可用 | 性能 | 推荐用途 |
|---|---|---|---|---|
| Type 1 | 是 | 不适用（同群） | 中等 | 遗留兼容性 |
| Type 2 | 否 | 是（高效） | 中高 | 需要协议灵活性 |
| Type 3 | 否 | 否（或低效） | 最高 | 新实现、性能关键 |
当嵌入度太小时，类型 1 配对容易受到某些针对离散对数问题的攻击。ISO 29903-1 强烈建议不要将类型 1 配对用于 80 位以上的安全级别。始终验证所选配对参数是否对已知攻击提供足够的安全裕度，包括扩展塔数域筛法。
安全假设与安全性归约
ISO 29903-1 形式化了支撑 IBE 的安全假设，并证明了它们与经过充分研究的计算问题的关系。核心假设是双线性 Diffie-Hellman 问题：给定 G1 中的 P, aP, bP, cP（a、b、c 未知），计算 GT 中的 e(P, P)^(abc)。BDH 假设指出，对于适当选择的参数，该问题在计算上是不可行的。该标准证明，破解 BDH 假设意味着破解标准的计算 Diffie-Hellman 假设，提供了坚实的安全基础。
该标准还定义了 IBE 的更强安全模型，包括决策性 BDH 假设和间隙 BDH 假设。这些用于证明针对自适应选择密文攻击的安全性，并在随机预言机模型中分析 IBE 方案的安全性。ISO 29903-1 规定了将 IBE 安全性与这些基本假设相关联的安全性归约，提供了形式化证明：任何破解 IBE 方案的有效敌手都可以转化为解决 BDH 问题的有效算法。
ISO 29903-1 中的安全性归约方法遵循”可证明安全”范式，这是现代密码学中最重要的进展之一。通过证明破解 IBE 至少与解决 BDH 问题一样困难，该标准为 IBE 方案的可靠性提供了强有力的保证。但是，务必验证所使用的具体参数是否提供足够的安全裕度。
密钥生成与主密钥管理
IBE 系统的一个显著特点是私钥生成器的角色，PKG 是负责生成与用户身份对应的私钥的可信机构。ISO 29903-1 规定了密钥生成协议，包括主密钥生成、用户私钥提取和安全密钥分发机制。用于派生所有用户私钥的主密钥是 IBE 系统中最敏感的组件，必须受到最高级别的密码学和程序安全保护。
该标准定义了主密钥保护技术，包括用于分布式 PKG 操作的阈值密码学、硬件安全模块集成以及用于长期密钥安全的前向安全秘密共享。它还规定了身份字符串的格式，支持分层命名空间和组织部署的通配符模式。ISO 29903-1 进一步解决了 IBE 系统固有的密钥托管属性：由于 PKG 生成所有私钥，它可以解密任何密文。标准提供了通过无托管 IBE 变体和可审计 PKG 操作等技术来缓解此问题的指导。
IBE 的密钥托管属性是一把双刃剑。虽然它支持合法监听和账户恢复等有用功能，但也意味着 PKG 主密钥的泄露将暴露所有加密通信。部署 IBE 的组织必须对主密钥访问实施多方控制，维护所有密钥生成操作的全面审计日志，并考虑使用阈值 PKG 方案在多方之间分散信任。
常见问题解答
问：ISO 29903-1 与传统基于 PKI 的加密有何区别？
答：在传统 PKI 中，用户的公钥本质上是一个随机比特串，必须通过证书颁发机构颁发的数字证书与其身份绑定。在 IBE 中，公钥就是身份字符串本身，消除了对证书及相关颁发、验证和撤销基础设施的需求。
问：IBE 是否可用于数字签名？
答：可以。ISO 29903-1 中定义的数学基础设施也支持基于身份的签名方案。该标准包括 IBS 构造的规范。基于身份的签名为认证应用提供了与 IBE 相同的无证书优势。
问：ISO 29903-1 如何应对量子计算威胁？
答：基于配对的密码学容易受到通过 Shor 算法进行的量子攻击。ISO 29903-1 承认这一威胁，并提供了中期安全参数选择的指导。该标准还引用了基于格密码学的后量子 IBE 方案的持续工作。
