基于消息认证码的安全有效的组播源认证

2024年3月28日发(作者：)

维普资讯

２００２年第６期　微电子学与计算机　１３　

基于消息认证码的安全有效的组播源认证　

Ｓｅｃｕｒｅ　ａｎｄ　Ｅｍｃｉｅｎｔ　Ｓｏｕｒｃｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ｆｏｒ　Ｍｕｌｔｉｃａｓｔ　Ｂａｓｅｄ　ｏｎ　Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅｓ　

福州大学计算机系　刘传才

摘

郭文忠　（福州３５０００２）　

要：组播通信正成为不断增长的应用基础，而其关键是要为组播通信提供可靠的安全机制。然而，现有的　

组播安全协议仅能提供部分的解决方法。考虑到源认证是组播的最主要安全事务之一，文章基于消息认证码提　

出了一种安全有效的组播源认证方法。　

关键词：组播通信，源认证，组播安全协议　

１　引言　

２有效的认证方法　

随着Ｉｎｔｅｒｎｅｔ的成长和商业化，数据同时传输　

到多个接收者已成为一种流行的通信方式。人们常　

以流的形式传输数据，而此种传输方式需要相当大　

的带宽。为避免分别为每个接收者发送数据，迄今　

为止，人们已采用过多个不同的组播路由协议，最　

本文致力于研究公钥签名和ＭＡＣｓ这两种认证　

方法　。１，这不涉及到信息理论的认证机制，而这　

样的机制本质上不能胜任非平凡大小的组。　

公钥签名也许是最普通的组播认证机制。然　

而，签名一般比较长，而且计算和校验每个签名需　

要很大的计算开销。Ｇｅｎｎａｒｏ等的研究表明…１，可以　

具代表性的是在ＩＰ层¨一１。组播通信的基本原则是　

每个从源传送出去的数据包传到若干接收者。　

组播安全事务不仅涉及点到点的通信，而且还　

涉及消息认证的标准问题。这使得保密变得更加复　

杂。此外，象存取控制、信任组中心、信任路由器、动　

态的组成员等问题也相伴而生。　

将签名应用到认证数据流，为此，还提出了一种链　

锁作用的机制。就每个流而言，这种机制需要单个　

签名。然而，由于这种构造不允许包损失，那么就与　

ＩＰ组播不兼容。另一方面，Ｗｏｎｇ和Ｌａｍ建议使用基　

于树的散列来认证流¨　１。这种方法不那么有效，而　

如果设法使单目传送通信安全，那么使组播通　

信安全的努力会导致许多未曾遇到的困难。而其中　

主要困难是源认证。即使其他的数据接收者没有一　

个值得信任，也要让接收者确保接收到的数据可靠　

（即它是从源传出的，且在传输途中未被篡改过）。　

所以，我们的工作重点是为组播通信提供源认证及　

解决源和消息认证中出现的严重瓶颈问题。　

在组播的组成员之中，以前解决组播安全问题　

且会引起延迟，但此方法能较好地容忍包损失。　

已有研究表明，公钥签名是一种可供选择的方　

法。基于ＭＡＣｓ，本文提出了一种新的认证方法。　

ＭＡＣ是一个取密钥ｋ和消息Ｍ为自变量的函数，　

它返回一个值ＭＡＣ（ｋ，Ｍ）。对于任何ｍ隹｛Ｍｉ｝，在自　

适应地选择Ｍ；的场合下，若一个观察序列｛Ｍ。，ＭＡＣ　

（ｋ，Ｍ　）Ｊ的对手（在此场合下，虽然能自适应地选择　

Ｍｉ，但却不知道ｋ）有一个生成ＭＡＣ（ｋ，Ｍ）的可忽略　

概率，则就无法伪造此ＭＡＣ方法。　

虽然ＭＡＣｓ一般比数字签名能更有效地生成和　

校验认证，但它们要求所有可能的校验器使用一个　

共享的密钥ｋ。这种特征使得ＭＡＣｓ似乎不足以实　

现源认证：任何拥有密钥ｋ的可能接收者可以假冒　

发送者。考虑到这些因素，我们提出了新的基于　

ＭＡＣ可实现源认证的方法，它比基于公钥认证的方　

法更有效（特别在生成签名时）。下面将首先给出此　

方法的描述，随后给出它的变体和改进措施。　

为此，我们有必要分析如下的重要参数：认证　

一

的努力集中在共享单密钥的任务上　’１。这些方法　

适用于消息编码，而且只有组的成员才能译码。然　

而，因为不能采用一个所有成员都共享的密钥来区　

分组内的发送者，所以单个共享密钥的方法不适合　

源认证。事实上，现有的组播认证方法需要使用大　

量的公钥签名，而公钥签名需要相当大的开销，特　

别在需要生成签名的工作中尤其如此。　

鉴于上述原因，本文基于消息认证码ＭＡＣｓ　

（Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅｓ）提出了解决源认证　

问题的方法，而且每个成员拥有一个不同的密钥　

集。在此，首先提出一个基本的方法，然后逐步改进　

条消息和校验一个认证所需的运行时间分别用ｔ　

它，并使它在许多情况下比公钥签名的性能好。　

收稿日期：２００１—０９—２０　

和ｔｖ表示。认证器和校验器应存储的密钥长度分别　

用Ｋｓ和Ｋｖ表示。认证消息（ＭＡＣ或签名）的长度用　

基金项目：国家９７３计划资助项目（Ｇ１９９８０３０６００）　

福建省自然科学基金项目（Ｆ０００１３）　

福州大学科技发展基金项目（ＸＫＪ（ＱＤ）．０１２１）　

ＬＭ表示。这些资源明显地与延迟、安全存储器和带　

宽开销参数有关。　

ＭＡＣ方法的每个消息的不可伪造性：我们有必　

维普资讯

１４　微电子学与计算机　２００２年第６期　

要区分对一个ＭＡＣ方法实施的两类攻击。一类是　

完全破译密码，在此情形下，攻击者可认证它所选　

择的任何消息（例如密钥萃取攻击）。另一类攻击允　

许攻击者随机地认证假消息；这时攻击者可认证一　

个具有某种小的固定概率的给定消息（但事前不知　

道它是否能认证此消息）。我们的方法不允许发生　

完全破译事件（这种事件发生的概率比基本的ＭＡＣ　

方法要高）。此外，还要考虑有不可忽略概率（比如　

说，２　。　２　。）的随机认证。　

在一个ＭＡＣ选择的消息序列ｍ　．－，ｍ　上，对　

手可要求接收ＭＡＣ的输出，并随后决定是放弃还　

是投机？如果对手（概率多项式的时间）未能获得一　

个预期的可靠性能指标，那么ＭＡＣ方法的每条消　

息不可伪造的概率为ｑ。如果它放弃，那它就接收￥０　

的报酬。否则，它选择一条消息ｍ甓ｍ　一，ｍ　，并试　

图推测出ＭＡＣ关于Ｉｎ的值。如对手的推测是正确　

的，则它就接收￥（１一ｑ）的报酬，否则就支付￥ｑ。换　

言之，对手可能至多以ｑ的概率正确地推测出ＭＡＣ　

的值，但（除非有可忽略的概率）不会知道它的推测　

是否正确。　

我们认为，对于多数系统，就每条消息的不可　

伪造性而言，一个小的、不可忽略的概率（比如ｑ＝　

２－２ｏ）是足够的。注意到，每条消息的不可伪造性与　

标准的不可伪造性比较，其安全性能要弱些。从某　

种意义上来讲，对于标准意义上不可伪造的任何方　

法，每条消息不可伪造的概率为ｑ（对于任何不可忽　

略的ｑ值），而其逆命题不一定成立。　

（１）单个源的基本认证方法　

令Ｗ为最大的不可靠用户数。我们可如下着手　

实施基本方法：　

・传输源（ｓ）知道密钥Ｒ＝（Ｋ　一，Ｋｆ）＇ｚ＝ｅ　

（ｗ＋１）Ｉｎ（１／ｑ）的集合。　

・每个接收者ｕ知道密钥的一个子集Ｒ　ｃ　

Ｒ。对于任意的每个ｉ和ｕ　，以概率１／（Ｗ＋１）将每个　

密钥Ｋ　包含于Ｒ　中。　

・消息Ｍ由ｓ认证（ｓ的每个密钥Ｋ　使用一个　

ＭＡＣ），并将＜ＭＡＣ（Ｋｔ，Ｍ），ＭＡＣ（Ｋ２，Ｍ），…，ＭＡＣ　

（Ｋ　，Ｍ）＞与此消息一同传输。　

・在子集Ｒ　中，每个接收者ｕ校验采用密钥　

生成的所有ＭＡＣｓ。如果这些ＭＡＣｓ不正确，那么ｕ　

就拒收这一消息。　

下面讨论性能参数。源必须维持　＝Ｚ＝ｅ（ｗ＋　

１）ｌｎ（１／ｑ）的基本ＭＡＣ密钥。每个接收者期望维持　

Ｋｖ＝ｅｌｎ（１／ｑ）的ＭＡＣ密钥。每条消息的通信开销为　

Ｌ　＝ｅ（Ｗ＋１）ｌｎ（１／ｑ）的ＭＡＣ输出。对于这个源，运　

行时间的开销为ｔ　＝ｅ（ｗ＋１）Ｉｎ（１／ｑ）的ＭＡＣ计算，　

而对于一个接收者来说，其开销为ｔｖ＝ｅｌｎ（１／ｑ）的　

ＭＡＣ计算。　

定理１在不知道密钥的情况下，假定计算一　

个ＭＡＣ输出的概率至多为ｑ　，令ｕ为一个用户。因　

此，Ｗ个不可靠用户的联盟认证一个传送给ｕ的消　

息Ｍ的概率至多为ｑ＋ｑ　（在密钥子集的选择和消　

息上取概率）。　

证明（概略）：对于每个用户ｕ和Ｗ个用户的任　

何联盟，一个特定密钥安全的概率（即包含在一个　

用户的子集中，但不包含在Ｗ个成员联盟的任何子　

集中）为：　

ｇ＝　（１一击）　

：——————————

ｊ　————一、—　—Ｌ　

（ｗ＋１）（士）ｗ　ｅ（ｗ＋１　Ｊ　

因此，Ｒ　完全被这个子集（联盟成员约束此子　

集）覆盖的概率为：　

（卜ｑ）　＜（卜　）　ｎ　ｎ“　＜ｅ－￣（ｔ／ｑ）　ｑ　

如果Ｒ　没有被覆盖，则即使这个联盟不知道　

Ｋ　，集合｛ＭＡＣ（Ｋｉ，Ｍ）ｍＥ　也至少包含一个ＭＡＣ。正　

确计算它的概率至多为ｑ　。通过联合约束，此联盟　

可认证传送给ｕ的消息Ｍ的概率至多为ｑ＋ｑ　。【证　

毕】　

注意到，当联盟没有一个用户的密钥时，联盟　

不能事先（离线）检验它是否能认证一个特定的消　

息。因此，通过分解一个ＭＡＣ而认证一条消息的概　

率ｑ　可能相当大（例如，即使ｑ　＝２　。可能对许多　

应用也是合理的）。　

这种结构的一个吸引力的特征是复杂性不依　

赖于组（ｐａｒｔｉｅｓ）的总数，但却相当地依赖一个不可　

靠联盟的最大量值和允许的误差概率。对于广播加　

密…　和成对加密…】，Ｆｉａｔ和Ｎａｏｒ以及Ｄｙｅｒ等曾采　

用过与此类似的思想。　

安全就是抵抗一个随机的、多达Ｗ个不可靠接　

收者的联盟。注意到，构造防范规模为Ｗ的任何联　

盟的安全方案是有可能做到的。令ｑ＝ｎ・ｆ“）１　１，　

借助此概率变量，就可描述一个有ｎ个接收者的系　

统，而大小为ｗ的联盟的子集的并集覆盖了此系统　

中没有用户的子集。此系统有一个比ｅ（ｗ＋１）：ｌｎｎ　

小的密钥总数，而每个接收者有一个规模比ｅ（ｗ＋　

维普资讯

２００２年第６期　

１）Ｉｎｎ小的期望子集。　

微电子学与计算机　１５　

（２）较小的通信开销　

∑｛：）　（１一ｇ）ｌ—ｉ２一ｉ＝（１一Ｓ／２）‘＜ｑ　

ｉ＝０、１，　

在这里，我们要描述一个具有较低通信开销的　

方法，此方法的思想是仅使用四倍于基本方法的密　

钥，这样可确保联盟不知道用户密钥的ｌｏｇ（１／ｑ）。　

因此可使用每个密钥来生成一个有单个比特输出　

借助Ｍａｒｋｏｖ不等式，在Ｒ　中，以至多ｑ的概　

率，此联盟用一个比ｑ更大的概率来计算所有拥有　

密钥的ＭＡＣｓ。即：此ＭＡＣ以概率（１一ｑ）实施这一　

方案，而每条消息不可伪造的概率为ｑ。【证毕】　

（３）多个动态源　

的ＭＡＣ，并降低通信开销。联盟将推测ｌｏｇ（１／ｑ）位　

以产生一个假的认证，而其成功的概率依旧。　

回想起基本方案：它将一个不可靠联盟的成功　

概率限制在ｑ＋ｑ　上，其中ｑ　为每条消息的不可伪　

造概率。此ＭＡＣ的输出必须至少为ｌｏｇ２（１／ｑ　）位　

能容易地将上面提出的方法扩展，并使任一组　

发送认证消息。Ｌ个密钥的全集比单个源方法的大　

Ｗ＋１倍，并且每个组接收这些密钥的一个随机子集　

Ｒ　。密钥以概率１／（Ｗ＋１）随机地包含在Ｒ　中。当　

一

长。因此，假定ｑ　＝ｑ，通信开销为ＬＭ＞ｅ（ｗ＋１）ｌｎ　

（１／ｑ）位。这个改进方案的通信开销小于４ｅ（ｗ＋１）　

Ｉｎ（１／ｑ）位。　

个组ｕ发送一条消息时，它用Ｒ　中的所有密钥来　

认证此消息，并且每个接收组ｖ用Ｒ　ｎＲ　中的密钥　

来验证这一认证。这可直接校验最终的方法是否象　

这个改进的方法使用一个有单个比特输出的　

单个源的方法那样安全。注意到，这不会改变平均　

的通信和计算开销。此外，能用一个公共的（Ｗ＋２）　

个方式的无关散列函数来实施用户到子集的映　

射。下面，我们将提出一个更好的方法来支持一个　

源的动态集，而此动态集具有如下特征：　

ＭＡＣ（ＭＡＣｓ的通用构造有更大的输出，但本文的　

方法可使用这种输出的单个比特。这也有可能设计　

出一个有特殊用途的ＭＡＣ函数，此函数不仅只有　

一

个单比特的输出，而且比标准构造更有效）。为了　

个不可靠联盟的密钥不包含一个用户子集的ｌｎ　

解释方便起见，假定对于这种ＭＡＣ，ｑ　＝１／２。如果　

一

・密钥总数象用于单个源的方法那样，但每个　

组可发送认证消息。　

（１／ｑ）个密钥，那么用户从此联盟接收一个不可靠　

消息的概率至多为ｑ。在这个提出的方案中，这个源　

使用了Ｚ＝４ｅ（ｗ＋１）Ｉｎ（１／ｑ）个密钥，而且以概率　

１／（Ｗ＋１）将每个密钥包含在一个用户子集中。　

将所有的性能参数乘以４。这个源必须储存　

Ｋｓ＝Ｚ＝４ｅ（ｗ＋１）Ｉｎ（１／ｑ）个基本的ＭＡＣ密钥。每个　

接收者期望储存Ｋｖ＝４ｅｌｎ（１／ｑ）个基本的ＭＡＣ密　

钥。每条消息的通信开销为Ｌ　＝４ｅ（ｗ＋１）Ｉｎ（１／ｑ）　

比特。此源必须计算４ｅ（ｗ＋１）Ｉｎ（１／ｑ）个ＭＡＣｓ，而　

每个接收者期望计算４ｅｌｎ（１／ｑ）个ＭＡＣｓ。　

定理２考虑一个有单比特输出的ＭＡＣ，而且　

它的每个消息的二分之一是不可伪造的，以及考虑　

上述使用了这种ＭＡＣ和Ｚ＝４ｅ（ｗ＋１）ｌｎ（１／ｑ）个密　

钥的方法。因此，对于每个用户ｕ和其他的ｗ个不　

可靠用户的联盟，此ＭＡＣ以概率（１一ｑ）赞成，亦即　

关于此联盟和用户ｕ，在最后所得到的方案中，每个　

消息不可伪造的概率为ｑ。　

证明（概略）：如前所述，一个特定密钥安全的　

・此方法不要求事先定义源集合或包含所有　

的组。相反地，它允许动态地增加源。　

・此方法区分开源集合和接收者的集合。只有　

大于Ｗ个接收者的联盟可发送假的认证消息。源的　

密钥不协助这样的联盟。若接收者比发送者更值得　

信任，则这种特征就特别有用。例如，如果接收者是　

网络路由器，则情况也是如此。　

・在一个源和一个接收者的子集的交集中，此　

方法提供了一种防止泄露所有密钥给一个联盟的　

计算安全（不是一种信息理论安全）技术。　

此方法使用了一簇伪随机函数ｆｎ（｝，它是建立　

在单个源方法的基础之上的【１　１，可在本节（１）中的　

基本方法或本节（２）中的有效通信方法上构造它。　

初始化：此方法使用Ｚ个基本密钥（ｋ　，ｋ　，…，　

ｋ　ｚ＞，此处的Ｚ如同单个源方法的Ｚ＝Ｏ（ｗｌｏｇ（１／　

ｑ）。每个密钥ｋ　定义一个伪随机函数ｆｋ．。　

接收者的初始化：打算接收消息的每个组ｖ获　

得一个基本密钥的子集Ｒ　。每个基本密钥ｋ　以概率　

１／（Ｗ＋１）包含在Ｒ　之中。　

概率为ｇ＞１／（ｅ（ｗ＋１））。既然对于此ＭＡＣ，每条消　

息不可伪造的概率为二分之一，此联盟在如下情况　

下不能实施推测：亦即实施推测的概率比一个ＭＡＣ　

（此时，此联盟不知道它的密钥）输出的二分之一更　

源的初始化：希望发送消息的每个组ｕ接收一　

个第二级密钥Ｓ　＝（ｆｋ（ｕ），ｆｋ　（ｕ），…，ｆｄｕ））的集　

合。在建立此系统之后，可随时发送这个集合，而且　

不必事先定义源的身份或数目。　

好。因此，一个不可靠联盟的期望成功概率为：　

维普资讯

１６　微电子学与计算机　２００２年第６期　

消息认证：当一个组Ｕ发送一条认证消息Ｍ　

时，它在ｓ　中用所有第二级密钥来认证它。那就是　

说，Ｖ　ｋ∈Ｓ　，它计算和附加上Ｍ（消息Ｍ拥有密钥　

ｋ）的一个ＭＡＣ。　

ＭＡＣｓ应用于同样的消息。ＭＡＣｓ的通用结构能实现　

两个目标：　

①它的输入混列下降到要求的输出大小；　

②一个锁住的不能预料的输出。　

对于所提出的方案，最好是执行此消息的单一　

混列下降，然后计算这一散列下降值的ＭＡＣｓ。把　

ＨＭＡＣｔ　，＂　看作一个参考的ＭＡＣ函数，这意味着应　

在Ｒ　中，每个接收组ｖ计算Ｕ的所有第二级密　

钥，而二级密钥包含基本密钥。换句话说，它计算集　

合　（ｕ）＝｛ｆｋ（ｕ）ｌ　ｋ∈Ｒ　｝。因此，它校验所有采用这　

些密钥计算的ＭＡＣｓ。　

所使用和存储的密钥数就象在单个源方法中　

的那样。源的作用就象先前方法中的那样，并且在　

它们的子集中，对于每个基本的密钥，接收者反而　

有计算一个第二级密钥而评估ｆ的附加任务。　

此方法一个非常有用的特征是它能实现一个　

使用一个散列函数的ＨＭＡＣ的两个嵌套且锁着的　

应用程序的某一个（依据【１７】，这相当于定义Ｚ个拥　

有密钥ｋ　一，ｋ　ｚ的ＭＡＣｓ作为｛ＮＭＡＣｋ，ｋ　，此时　

的密钥ｋ为所有的函数公有）。因此，与公钥操作比　

较，在使用ＭＤ５或一个分组密码的等价单一应用　

（比如ＤＥＳ）中，我们假定ＭＡＣ只取此散列函数的　

压缩操作（功能）的单一应用。　

此外，我们认为可为本文提出的认证方法设计　

源的动态集。通过给新的组分配对应的第二级密钥　

集，那么就可允许新的组发送认证消息。此方案的　

另一个有用特征是可将源集合从接收者的集合中　

更有效率的ＭＡＣｓ。特别是，这些ＭＡＣ函数可利用　

它们有单个比特输出的事实，并且在同样的输入和　

分离出来，并且源的联盟不可能削弱安全。这也使　

得给出源的专用密钥以用于认证不同的消息成为　

可能。这些特征的吸引人的应用是在时刻Ｔ选定广　

多个密钥上评价函数会有小的缓冲复杂性。基于这　

样函数的认证方法应比基于ＨＭＡＣ的方法更有　

效。　

播第二级密钥ｆｋ（Ｔ）的集合。并要求它使用第二级密　

钥来认证它在那个时间上的广播。在它们的选定的　

时间片内，这种方法能确保源只发送信息给这个　

组。　

表１把ＲＳＡ和ＤＳＳ签名的开销与本文所提出　

的有某些特定参数的认证方法的开销作了比较。这　

一

基本的改进方法的通信开销都是建立在仅使用　

表１描述了每秒可实施的认证和校验数、以比　

（４）签名与ＭＡＣｓ间的粗略性能比较　每个ＭＡＣ的１Ｏ比特的基础之上的。　

与公钥签名的性能比较，本文的认证方法显著　

地减少密码证明信号的运行时间。检验器的运行时　

间和通信开销与公钥签名的是同一个量级。　

例如，考虑一个有１０２４ｂｉｔ模数的ＲＳＡ签名。最　

近的测量表明，在一个快速的机器上（比如一个主　

频为２００ＭＨｚ的ＰＣ机），一个签名（认证）花费ｔｓ＝　

特计的通信开销以及源和接收者使用的密钥长　

度。前两行用于ＲＳＡ和ＤＳＳ签名，第三行为本文的　

基本认证方法提供了一个估计，假定防范多达１Ｏ　

个不可靠用户联盟的每条消息不可伪造概率为ｑ＝　

１０～。其次，我们提出了通信的有效变量的性能，而　

且每个ＭＡＣ有单个比特的输出。最后是一个方法　

的性能，该方法确保联盟不知道任何用户的所有密　

钥（它的开销似乎太大以致不能认为它的使用有理　

由）。　

１／５０ｓ，而校验时间为ｔ　＝１／３００００ｓ。对于在一个类　

似平台上的７６８．ｂｉｔ的ＤＳＳ，这两个数值近似为ｔｓ＝　

１／４０ｓ和ｔｖ＝１／７０ｓ。这里有一个比较，一个ＭＤ５的　

压缩函数的应用程序大约花１／５０００００ｓ；一个ＤＥＳ　

的应用程序大约花同样的时间。期望将来的分组密　

码和散列函数会更快。　

这清楚地看到，在本文的方法中，签名时间比　

公钥签名方法的短得多，校验时间与高度优化的　

ＲＳＡ的类似，而且比ＤＳＳ的快得多。　本文引入的方法要求组把许多具有不同密钥的　

表１认证方案的性能比较　

认证（ｏｐｓ／ｓｅｃ）　校验（ｏｐｓ／ｓｅｃ）　通信（ｂｉｔｓ）　

ＲＳＡ　１０２４ｂｉｔｓ　

ＤＳＳ　７６８ｂｉｓ　ｔ

５０　

７０　

３Ｏ０ｏ０　

４０　

１０２４　

１５３６　

源密钥　

２０４８　ｂｉｔｓ　

１５３６　ｂｉｓ　ｔ

接收者的密钥　

２０４８　ｂｉｔｓ　

１５３６　ｂｉｔｓ　

基本方案ｗ＝１０，ｑ＝１０。　２６５０　２６５００　１９００　１９０ＭＡＣ　ｋｅｙｓ　１９ＭＡＣ　ｋｅｙｓ　

低的通信ｗ＝１０，ｑ＝１０　６６０　

完善的安全性ｎ＝１０　。ｑ　＝１０。　２００　

６６００　

２０００　

７６０　

２５Ｏ０ｏ　

７６０ＭＡＣ　ｋｅｙｓ　７６ＭＡＣ　ｋｅｙｓ　

２５００ＭＡＣ　ｋｅｙｓ　２５０ＭＡＣ　ｋｅｙｓ　

维普资讯

２００２年第６期　

３结束语　

微电子学与计算机　１７　

ｃｕｒｉｔｙ：Ｌｏｎｇ—ｔｅｒｍ　Ｐｒｏｔｅｃｔｉｏｎ　Ａｇａｉｎｓｔ　Ｂｒｅａｋ—ｉｎｓ．Ｃｒｙｐｔｏ’　

在组播安全事务中，确保组播安全通信的主要　

困难是源认证。同时考虑到如下因素：　

（１）现有的组播源认证方法在解决源和消息认　

证时会出现严重的瓶颈问题；　

Ｂｙｔｅｓ。１９９７，３（１）．　

【ｌ１】Ｇｅｎｎａｒｏ　Ｒ，Ｒｏｈａｔｇｉ　Ｐ．Ｈｏｗ　ｔｏ　Ｓｉｎ　Ｄｉｇｇｉｔａｌ　Ｓｔｒｅａｍｓ．Ａｄ‘　

ｖａｎｃｅｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ—ＣＲＹＰＴＯ’９７．Ｓｐｒｉｎｇｅｒ—Ｖｅｒｌａｇ，　

１９９７，１２９４：１８０—１９７．　

【１２】Ｗｏｎｇ　Ｃ　Ｋ，Ｌａｉｎ　Ｓ．Ｄｉｉｇｔａｌ　Ｓｉｎａｔｇｕｒｅｓ　ｏｒｆ　Ｆｌｏｗｓ　ａｎｄ　Ｍｕｌ—　

ｔｉｃａｓｔｓ．１１１ｅ　Ｕｎｉｖｅｒｓｉｙ　ｏｆ　Ｔｅｘａｔｓ　ａｔ　Ａｕｓｔｉｎ．Ｄｅｐａｒｔｍｅｎｔ　ｏｆ　

（２）单个共享密钥的方法不适合源认证；　

（３）现有的组播认证方法需要使用大量的公钥　

签名，而公钥签名需要相当大的开销，特别在需要　

生成签名的工作中尤其如此。　

综合考虑上述因素，我们基于消息认证码　

ＭＡＣｓ提出了一种有效而安全的解决源认证的方　

法。在这种方法中，每个成员拥有一个不同的密钥　

集，效率较高。实验对比表明，此方法在许多常见的　

情况下比公钥签名的性能好。当然，要完整地解决　

组播安全问题，还需要考虑其他多种因素，组播源　

认证只是其中最主要和困难的安全问题之一，下一　

步我们将探讨组播安全的其他事务。　

参考文献　

【１】Ｐｅｒｌｍａｎ　Ｒ，Ｌｅｅ　Ｃ，Ｂａｌｌａｒｄｉｅ　Ｔ　ｅｔ　ａ１．Ｓｉｍｐｌｅ　Ｍｕｌｉｔｃａｓｔ：Ａ　

Ｄｅｓｉｇｎ　ｆｏｒ　Ｓｉｍｐｌｅ，Ｌｏｗ—ｏｖｅｒｈｅａｄ　Ｍｕｌｔｉｃａｓｔ．Ｉｎｔｅｒｎｅｔ　

Ｄｒａｆｔ，Ｉｎｔｅｒｎｅｔ　Ｅｎｇｉｎｅｅｒｉｎｇ　Ｔａｓｋ　Ｆｏｒｃｅ，Ｍａｒ．１９９９．　

Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅｓ．Ｔｅｃｈｎｉｃａｌ　Ｒｅｐｏｒｔ　ＴＲ一９８—１５，Ｊｕｌｙ　１９９８．　

【１３】Ａｌｏｎ　Ｎ．Ｐｒｏｂａｂｉｌｉｓｔｉｃ　Ｍｅｔｈｏｄｓ　ｉｎ　Ｅｘｔｒｅｍａｌ　Ｆｉｎｉｔｅ　Ｓｅｔ　Ｔｈｅ—　

ｏｒｙ．Ｉｎ　Ｅｘｔｒｅｍａｌ　Ｐｒｏｂｌｅｍｓ　ｆｏｒ　Ｆｉｎｉｔｅ　Ｓｅｔｓ。１９９１。３９—５７．　

【１４】Ｄｙｅｒ　Ｍ，Ｆｅｎｎｅｒ　Ｔ，Ｆｒｉｅｚｅ　Ａ，Ｔｈｍａｓｏｎ　Ａ．Ｏｎ　Ｋｅｙ　Ｓｔｏｒａｇｅ　ｉｎ　

ｅｃｕｒＳｅ　Ｎｅｔｗｏｒｋｓ．Ｊ．ｏｆ　Ｃｒｙｐｔｏｌｏｇｙ。１９９５。８：１８９—２００．　

【１　５】Ｌｕｂｙ　Ｍ．Ｐｓｅｕｄｏｒａｎｄｏｍｎｅｓｓ　ａｎｄ　Ｃｒｙｐｔｏｇｒａｐｈｉｃ　Ａｐｐｌｉｃａ—　

ｉｏｎ．Ｐｒｔｉｎｃｅｔｏｎ　Ｕｎｉｖｅｒｓｉｔｙ　Ｐｒｅｓｓ，１９９６．　

【１６】Ｋｒａｗｃｚｙｋ　Ｈ，ＢｅＵａｒｅ　Ｍ，Ｃａｎｅｔｔｉ　Ｒ．ＨＭＡＣ：Ｋｅｙｅｄ　Ｈａｓｈｉｎｇ　

ｏｒ　Ｍｅｓｓａｇｅ　Ａｕｔｆｈｅｎｔｉｃａｔｉｏｎ．ＲＦＣ　２１０４，Ｆｅｂｒｕａｒｙ　１９９７．　

【１７】Ｂｅｌｌａｒｅ　Ｍ，Ｃａｎｅｔｔｉ　Ｒ，Ｋｒａｗｃｚｙｋ　Ｈ．Ｋｅｙｉｎｇ　Ｈａｓｈｉｎｇ　Ｆｕｎｃ—　

ｔｉｏｎｓ　ｆｏｒ　Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ．Ａｄｖａｎｃｅｓ　ｉｎ　Ｃｒｙｐｔｏｌｏ—　

ｇｙ—Ｃｒｙｐｔｏ’９６，Ｓｐｒｉｎｇｅｒ—Ｖｅｒｌａｇ，１９９６，１　１０９．　

ＬＩＵ　Ｃｈｕａｎ—ｃａｉ，ＧＵＯ　Ｗｅｎ—ｚｈｏｎｇ（Ｄｅｐａｒｔｍｅｎｔ　ｏｆ　Ｃｏｍｐｕｔｅｒ，　

Ｆｕｚｈｏｕ　Ｕｎｉｖｅｒｓｉｔｙ，Ｆｕｚｈｏｕ　３５０００２）　

Ａｂｓｔｒａｃｔ：Ｍｕｌｔｉｃａｓｔ　ｃｏｍｍｕｎｉｃａｔｉｏｎ　ｉｓ　ｂｅｃｏｍｉｎｇ　ｔｈｅ　ｂａｓｉｓ　ｆｏｒ　ａ　

ｇｒｏｗｉｎｇ　ｎｕｍｂｅｒ　ｏｆ　ａｐｐｌｉｃａｔｉｏｎｓ．Ｉｔ　ｉｓ　ｔｈｅｒｅｆｏｒ　ｃｒｉｔｉｃａｌ　ｔｏ　ｐｒｏｖｉｄｅ　

ｓｏｕｎｄ　ｓｅｃｕｒｉｔｙ　ｍｅｃｈａｎｉｓｍｓ　ｆｏｒ　ｍｕｌｔｉｃａｓｔ　ｃｏｍｍｕｎｉｃａｔｉｏｎ．Ｙｅｔ，　

ｅｘｉｓｔｉｎｇ　ｓｅｃｕｒｉｔｙ　ｐｒｏｔｏｃｏｌｓ　ｆｏｒ　ｍｕｌｉｔｃａｓｔ　ｏｆｆｅｒ　ｏｎｌｙ　ｐａｒｔｉａｌ　ｓｏｌｕ—　

ｔｉｏｎｓ．Ｏｗｉｎｇ　ｔｏ　ｔｈｅ　ｓｏｕｒｃｅ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ｏｆ　ｍｕｌｔｉｃａｓｔ　ｔｈａｔ　ｉｓ　ｏｎｅ　

【２】Ｈａｎｄｌｅｙ　Ｍ，Ｈｏｌｂｒｏｏｋ　Ｈ，Ｋｏｕｖｅｌｓ　Ｉａ．Ｐｒｏｔｏｃｏｌ　Ｉｎｄｅｐｅｎｄｅｎｔ　

Ｍｕｌｔｉｃａｓｔ—ｓｐａｒｓｅ　Ｍｏｄｅｌ（ｐｒｉｍ一８ｍ）：Ｐｒｏｔｃｏｌｏ　Ｓｐｅｃｉｉｆｃａ—　

ｔｉｏｎ．Ｉｎｔｅｒｎｅｔ　Ｄｒａｆｔ，Ｉｎｔｅｒｎｅｔ　Ｅｎｇｉｎｅｅｒｉｎｇ　Ｔａｓｋ　Ｆｏｒｃｅ，Ｊｕｌｙ　

２０００．　

【３】Ｂｈａｓｋａｒ　Ｎ，Ｋｏｕｖｅｌｓ　Ｉａ．Ｓｏｕｒｃｅ　Ｓｐｅｃｉｉｆｃ　Ｐｒｏｔｃｏｌｏ　Ｉｎｄｅｐｅｎ—　

ｏｆ　ｍａｊｏｒ　ｓｅｃｕｒｉｔｙ　ｃｏｎｃｅｒｎｓ　ｏｆ　ｍｕｌｔｉｃａｓｔ　ｃｏｍｍｕｎｉｃａｔｉｏｎ，ａ　ｓｅｃｕｒｅ　

ｎｄ　ｅｆａｉｃｉｆｅｎｔ　ｓｏｕｒｃｅ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ｓｃｈｅｍｅ　ｆｏｒ　ｍｕｌｔｉｃａｓｔ　ｉｓ　ｐｒｅｓｅｎｔ　

ｂｙ　ｍｅａｎｓ　ｏｆ　Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅｓ．　

Ｋｅｙ　ｗｏｒｄｓ：Ｍｕｌｔｉｃａｓｔ　ｃｏｍｍｕｎｉｃａｔｉｏｎ，Ｓｏｕｒｃｅ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ，　

ｄｅｎｔ　Ｍｕｌｔｉｃａｓｔ．Ｉｎｔｅｒｎｅｔ　Ｄｒａｆｔ，Ｉｎｔｅｒｎｅｔ　Ｅｎｇｉｎｅｅｒｉｎｇ　Ｔａｓｋ　

Ｆｏｒｃｅ，Ｍａｒ．２０００．　

【４】Ｈａｒｎｅｙ　Ｈ，Ｍｕｃｋｅｎｈｉｒｎ　Ｃ．Ｇｒｏｕｐ　Ｋｅｙ　Ｍａｎａｇｅｍｅｎｔ　Ｐｒｏｔｃｏｌｏ　

（ＧＫＭＰ）ａｒｃｈｉｔｅｃｔｕｒｅ．ＲＦＣ　２０９４，Ｊｕｌｙ　１９９７．　

【５】Ｍｉｔｔｒａ　Ｓ．Ｉｏｌｕｓ：Ａ　Ｆｒａｍｅｗｏｒｋ　ｆｏｒ　ｅａｌＳａｂｌｅ　Ｓｅｃｕｒｅ　Ｍｕｌｔｉ—　

ｃａｓｔｉｎｇ．Ｐｒｏｃ．ｏｆ　ｔｈｅ　ＡＣＭ　ＳＩＧＣＯＭＭ’９７，Ｃａｎｎｅｓ，Ｆｒａｎｃｅ，　

Ｓｅｐｔ．１９９７．　

Ｍｕｌｔｉｃａｓｔ　ｓｅｃｕｒｉｔｙ　ｐｒｏｔｏｃｏｌｓ　

刘传才

郭文忠

安全。　

男，１９６３年生，博士，副教授。主要研究方向为模式　

１９７９年生，硕士研究生。主要研究方向为网络信息　

识别与智能系统、网络信息安全。　

【６】Ｂａｌｌａｒｄｉｅ　Ａ　Ｊ．Ａ　Ｎｅｗ　Ａｐｐｒｏａｃｈ　ｔｏ　Ｍｕｌｔｉｃａｓｔ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　

ｉｎ　ａ　Ｄａｔａｇｒａｍ　Ｎｅｔｗｏｒｋ．Ｐｈ．Ｄ．Ｔｈｅｓｉｓ，Ｕｎｉｖｅｒｓｉｔｙ　Ｃｏｌｌｅｇｅ　

ｏｎｄｏｎ，Ｍａｙ　１９９５．Ｌ　

【７】Ｗｏｎｇ　Ｃ　Ｋ，Ｌａｉｎ　Ｏｏｕｄａａｎｄ　Ｓ．Ｓｅｃｕｒｅ　Ｇｒｏｕｐ　Ｃｏｍｍｕｎｉｃａ—　

ｔｉｏｎｓ　Ｕｓｉｎｇ　Ｋｅｙ　Ｇｒａｐｈｓ．Ｓｉｇｃｏｍｍ’９８．　

【８】Ｄｅｓｍｅｄｔ　Ｙ，Ｆｒａｎｋｅｌ　Ｙ，Ｙｕｎｇ　Ｍ．Ｔｈｒｅｓｈｏｌｄ　Ｃｒｙｐｔｏｓｙｓｔｅｍｓ．　

Ａｄｖａｎｃｅｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ—Ｃｒｙｐｔｏ’８９，Ｓｐｒｉｎｇｅｒ—Ｖｅｒｌａｇ。　

１９９０，４３５：３０７—３１５．　

【９】Ｇｅｍｍｅｌ　Ｐ．Ａｎ　Ｉｎｔｒｏｄｕｃｔｉｏｎ　ｔｏ　Ｔｈｒｅｓｈｏｌｄ　Ｃｒｙｐｔｏｌｏｇｙ．Ｉｎ　

Ｃｒｙｐｔｏｌｏｇｙ—ＣＲＹＰＴＯ’９２，１９９４，８３９：２５７—２７０．　

【１０】Ｃａｎｅｔｔｉ　Ｒ，Ｇｅｎｎａｒｏ　Ｒ，Ｈｅｒｚｂｅｒｇ　Ｄ，Ｎａｏｒ　Ｄ．Ｐｒｏａｃｔｉｖｅ　ｅ—Ｓ