Esquema Boneh-Franklin

El esquema Boneh–Franklin es un sistema de cifrado basado en identidad propuesto por Dan Boneh y Matthew K. Franklin en 2001. ^[1] Este artículo hace referencia a la versión del protocolo denominada BasicIdent . Se trata de una aplicación de emparejamientos ( Weil pairing ) sobre curvas elípticas y cuerpos finitos .

Como el esquema se basa en emparejamientos , todos los cálculos se realizan en dos grupos y : ${\displaystyle \textstyle G_ {1}}$${\displaystyle \textstyle G_ {2}}$

Para , sea primo y considere la curva elíptica sobre . Nótese que esta curva no es singular, ya que solo es igual para el caso que se excluye por la restricción adicional. ${\displaystyle \textstyle G_ {1}}$${\displaystyle \textstyle p}$${\displaystyle \textstyle p\equiv 2\mod 3}$ ${\displaystyle \textstyle E:y^{2}=x^{3}+1}$${\displaystyle \textstyle \mathbb {Z} /p\mathbb {Z} }$${\displaystyle \textstyle 4a^{3}+27b^{2}=27=3^{3}}$${\displaystyle \textstyle 0}$${\displaystyle \textstyle p=3}$

Sea un factor primo de (que es del orden de ) y encuentre un punto de orden . es el conjunto de puntos generado por :${\displaystyle \textstyle q>3}$${\displaystyle \textstyle p+1}$${\displaystyle \textstyle E}$${\displaystyle \textstyle P\en E}$${\displaystyle \textstyle q}$${\displaystyle \textstyle G_ {1}}$${\displaystyle \textstyle P}$${\displaystyle \textstyle \left\{nP\|n\in \left\{0,\ldots ,q-1\right\}\right\}}$

${\displaystyle \textstyle G_ {2}}$es el subgrupo de orden de . No necesitamos construir este grupo explícitamente (esto se hace mediante el emparejamiento) y, por lo tanto, no tenemos que encontrar un generador. ${\displaystyle \textstyle q}$${\displaystyle \textstyle GF\left(p^{2}\right)^{*}}$

${\displaystyle \textstyle G_ {1}}$se considera un grupo aditivo , al ser un subgrupo del grupo aditivo de puntos de , mientras que se considera un grupo multiplicativo , al ser un subgrupo del grupo multiplicativo del cuerpo finito . ${\displaystyle \textstyle E}$${\displaystyle \textstyle G_ {2}}$${\displaystyle \textstyle GF(p^{2})^{*}}$

El generador de clave pública (PKG) elige:

1. los grupos públicos (con generador ) y como se indicó anteriormente, con el tamaño dependiendo del parámetro de seguridad ,${\displaystyle \textstyle G_ {1}}$${\displaystyle \textstyle P}$${\displaystyle \textstyle G_ {2}}$${\displaystyle \textstyle q}$${\displaystyle \textstyle k}$
2. el emparejamiento correspondiente ,${\displaystyle \textstyle e}$
3. una clave maestra privada aleatoria ,${\displaystyle \textstyle K_{m}=s\in \mathbb {Z} _{q}^{*}}$
4. una clave pública ,${\displaystyle \textstyle K_{pub}=sP}$
5. una función hash pública ,${\displaystyle \textstyle H_{1}:\left\{0,1\right\}^{*}\rightarrow G_{1}^{*}}$
6. una función hash pública para algunos valores fijos y${\displaystyle \textstyle H_{2}:G_{2}\rightarrow \left\{0,1\right\}^{n}}$${\displaystyle \textstyle n}$
7. El espacio del mensaje y el espacio de cifrado${\displaystyle \textstyle {\mathcal {M}}=\left\{0,1\right\}^{n},{\mathcal {C}}=G_{1}^{*}\times \left\{0,1\right\}^{n}}$

Para crear la clave pública para , el PKG calcula ${\displaystyle \textstyle ID\en \izquierda\{0,1\derecha\}^{*}}$

1. ${\displaystyle \textstyle Q_{ID}=H_{1}\left(ID\right)}$y
2. la clave privada que se le da al usuario.${\displaystyle \textstyle d_{ID}=sQ_{ID}}$

Dado , el texto cifrado se obtiene de la siguiente manera: ${\displaystyle \textstyle m\in {\mathcal {M}}}$${\displaystyle \textstyle c}$

1. ${\displaystyle \textstyle Q_{ID}=H_{1}\left(ID\right)\in G_{1}^{*}}$,
2. Elige al azar ,${\displaystyle \textstyle r\in \mathbb {Z} _ {q}^{*}}$
3. calcular y${\displaystyle \textstyle g_{ID}=e\left(Q_{ID},K_{pub}\right)\in G_{2}}$
4. colocar .${\displaystyle \textstyle c=\left(rP,m\oplus H_{2}\left(g_{ID}^{r}\right)\right)}$

Tenga en cuenta que es la clave pública del PKG y, por lo tanto, es independiente del ID del destinatario. ${\displaystyle \textstyle K_ {pub}}$

Dado , el texto sin formato se puede recuperar utilizando la clave privada: ${\displaystyle \textstyle c=\left(u,v\right)\in {\mathcal {C}}}$

${\displaystyle \textstyle m=v\oplus H_{2}(e\left(d_{ID},u\right)\right)}$

El paso principal tanto en el cifrado como en el descifrado es emplear el emparejamiento y generar una máscara (como una clave simétrica) que esté asociada a la secuencia XOR con el texto sin formato. Por lo tanto, para verificar la corrección del protocolo, uno debe verificar que un remitente y un destinatario honestos terminen con los mismos valores. ${\displaystyle \textstyle H_ {2}}$

La entidad que cifra utiliza , mientras que para descifrar se aplica . Debido a las propiedades de los emparejamientos, se deduce que: ${\displaystyle \textstyle H_{2}\left(g_{ID}^{r}\right)}$${\displaystyle \textstyle H_{2}(e\left(d_{ID},u\right)\right)}$

${\displaystyle {\begin{aligned}H_{2}(e\left(d_{ID},u\right)\right)&=H_{2}(e\left(sQ_{ID},rP\right)\right)\\&=H_{2}(e\left(Q_{ID},P\right)^{rs}\right)\\&=H_{2}(e\left(Q_{ID},sP\right)^{r}\right)\\&=H_{2}(e\left(Q_{ID},K_{pub}\right)^{r}\right)\\&=H_{2}(g_{ID}^{r}\right)\\\end{aligned}}}$

La seguridad del esquema depende de la dureza del problema bilineal Diffie-Hellman (BDH) para los grupos utilizados. Se ha demostrado que en un modelo de oráculo aleatorio , el protocolo es semánticamente seguro bajo el supuesto BDH.

BasicIdent no es un texto cifrado seguro elegido . Sin embargo, existe un método de transformación universal debido a Fujisaki y Okamoto ^[2] que permite la conversión a un esquema que tenga esta propiedad llamado FullIdent .

• Seminario 'Criptografía y seguridad en la banca'/'Criptología alternativa', Universidad del Ruhr, Bochum ^{[ enlace muerto permanente ‍ ]}
• Biblioteca de criptografía basada en P(airing), diseñada por Ben Lynn et al.