[论文解读] Cryptanalysis of an Elliptic Curve-based Signcryption Scheme

Mohsen Toorani, Ali Asghar Beheshti Shirazi|arXiv (Cornell University)|Apr 20, 2010

Cryptography and Residue Arithmetic参考文献 20被引用 36

一句话总结

本文对韩等人基于椭圆曲线的签密方案进行了密码分析，揭示了多个关键安全缺陷，导致其机密性、不可伪造性和单向性遭到破坏。作者展示了实际攻击，证明该方案无法实现基本的签密安全属性，尽管其设计初衷是高效结合加密与数字签名，但其密码学安全性仍不成立。

ABSTRACT

The signcryption is a relatively new cryptographic technique that is supposed to fulfill the functionalities of encryption and digital signature in a single logical step. Although several signcryption schemes are proposed over the years, some of them are proved to have security problems. In this paper, the security of Han et al.'s signcryption scheme is analyzed, and it is proved that it has many security flaws and shortcomings. Several devastating attacks are also introduced to the mentioned scheme whereby it fails all the desired and essential security attributes of a signcryption scheme.

研究动机与目标

• 分析韩等人基于椭圆曲线的签密方案的安全性。
• 识别并展示该方案设计中的根本性安全漏洞。
• 证明该方案无法满足保密性、不可伪造性和单向性等核心安全属性。
• 提出可实际执行的攻击，以破坏该方案的安全保证。
• 揭示破坏方案预期效率与安全优势的设计缺陷。

提出的方法

• 作者使用标准密码学原理与威胁模型，对该签密方案进行了形式化安全分析。
• 他们识别出密钥生成与消息签名过程中存在的结构弱点，使伪装与伪造成为可能。
• 基于该方案在选择消息与选择密文场景下对密钥恢复与消息伪造的易受性，构建了实际攻击。
• 分析利用了椭圆曲线运算中的已知漏洞，以及加密与签名组件之间绑定不当的问题。
• 作者将该方案的行为与签密的标准安全定义进行对比，揭示导致安全失效的偏离之处。
• 使用图表与形式化方程说明攻击向量及安全证明的失败。

实验结果

研究问题

• RQ1 韩等人的签密方案能否抵御选择消息攻击与选择密文攻击？
• RQ2 在标准安全模型下，该方案是否能保持机密性与不可伪造性？
• RQ3 该方案在加密与数字签名组件的集成中是否存在结构性缺陷？
• RQ4 攻击者是否能在不掌握私钥的情况下伪造有效签密消息？
• RQ5 该方案使用椭圆曲线原 primitive 是否足以确保安全性，还是存在实现层面的漏洞？

主要发现

• 该方案易受密钥恢复攻击，攻击者可从公开信息中计算出私钥。
• 已演示存在性伪造攻击，攻击者可在无权访问私钥的情况下生成有效签密。
• 该方案无法提供保密性，因攻击者可未经授权解密消息。
• 该方案不满足单向性，因接收方可伪造出看似来自发送方的签密。
• 韩等人提供的安全证明无效，因其对底层问题困难性的假设存在错误。
• 该方案的设计缺陷使其在任何安全关键应用中均不适用。