基于密钥验证凭证的高效匿名单点登录系统及方法技术方案

本发明专利技术涉及一种基于密钥验证凭证的高效匿名单点登录系统及方法，包括终端用户、身份服务器、服务提供商和可信仲裁机构；基于高效的密钥验证凭证与匿名令牌技术，其构造避免了在先前的ASSO系统中所需要的昂贵双线性配对操作，可以在素数阶群中高效实例化，适合大规模部署。本发明专利技术实现了指定验证者功能，可以保证票据认证的可否认性，并实现了高效的问责机制，双重花费或其他恶意行为可以被快速检测并问责。问责。问责。

【技术实现步骤摘要】
基于密钥验证凭证的高效匿名单点登录系统及方法


[0001]本专利技术涉互联网安全领域，具体涉及一种基于密钥验证凭证的高效匿名单点登录系统及方法。

技术介绍

[0002]单点登录(single sign
‑
on，SSO)的普及极大地简化了第三方资源提供者之间的身份验证与授权过程。在一个典型的SSO架构中，身份服务器(identity server，IS)负责验证请求第三方服务的用户的凭证，并为经过身份验证的用户颁发短期票据。然后，用户将获得的票据提交给指定的服务提供商(service providers，SPs)以实现身份认证。通过采用这种架构，用户无需为每个所需的服务注册一个帐户，也无需担心存储在第三方提供商中的个人信息的安全性。许多广泛使用的开源标准(如JWT、OAuth)、协议(如Kerberos、SAML)和框架(如OpenID)实现了单点登录机制；同时，这一架构也已被部署在众多网站和移动应用中。据调查，亚马逊Alexa排名前100万的网站中，有6.30％提供SSO服务，其中就包含了谷歌、雅虎、Twitter、Facebook、微软等知名龙头企业。
[0003]安全与隐私问题是单点登录系统面临的最重要的挑战之一。由于身份服务器(IS)持有注册用户的隐私并记录了其服务请求，IS经常会成为服务器入侵和数据窃取的目标。2018年，Facebook的单点登录系统曾披露遭遇大规模数据泄露事件，使得至少5000万用户被暴露于严重的隐私风险之中。出于安全与隐私考虑，许多SSO系统在票据申请阶段阻止IS了解用户所请求的服务提供商身份。然而在这些方案中，IS和SP都能够获知登录用户的真实身份，这意味着如果IS或SP不够安全，用户身份信息仍有可能被泄露。匿名单点登录(snonymous single sign
‑
on，ASSO)是一种隐私性更强的单点登录范式，可以提供更强的隐私与安全保护。ASSO系统允许用户匿名地向IS认证并获得票据，同时确保每个票据请求的不可链接性。另一方面，该匿名是可问责的，匿名用户的真实身份可以在必要时由可信仲裁机构(trusted arbitrator，TA)披露。
[0004]执行效率是一项对单点登录系统至关重要的指标。有调查显示，Facebook的日活跃用户约为19亿，而Twitter的日活跃用户超过2.06亿，这对单点登录系统的吞吐量提出了极大的要求。不幸的是，现有的ASSO方案在需要处理大规模服务请求的场景中并不实用，因为其发布或验证的票据操作是基于笨重的双线性配对计算实现的，每生成或验证一枚票据，都需要数百毫秒的时间开销。

技术实现思路

[0005]有鉴于此，本专利技术的目的在于提供一种基于密钥验证凭证的高效匿名单点登录系统及方法，实现了指定验证者功能，可以保证票据认证的可否认性，并实现了高效的问责机制，双重花费或其他恶意行为可以被快速检测并问责。
[0006]为实现上述目的，本专利技术采用如下技术方案：
[0007]请参照图1，本专利技术提供一种基于密钥验证凭证的高效匿名单点登录系统，包括终
端用户身份服务器服务提供商和可信仲裁机构
[0008]所述向注册，获得与自己身份绑定的长期凭证，并在请求服务之前，使用自己的凭证匿名向认证，并得到签发的短期票据；
[0009]所述管理用户身份，保存注册用户的身份信息并发布凭证，并负责验证匿名凭证和颁发短期票据；
[0010]所述提交的票据是否为无效、过期或重用票据，并响应用户请求，如果违反用户规定，会将其票据发送给进行身份追踪；
[0011]所述负责追踪恶意用户。
[0012]进一步的，所述为每个生成的票据存储一个追踪标记。
[0013]一种基于密钥验证凭证的高效匿名单点登录系统的控制方法，包括以下阶段：
[0014]系统初始化阶段:以安全参数1
λ
为输入，生成系统公共参数PP；然后分别运行Issuer
‑
Keygen、Provider
‑
Keygen、Arbitrator
‑
Keygen、User
‑
Keygen获取各自的私钥
‑
公钥对；且每个初始化一个列表同时，并且初始化一个列表以保存追踪标记；
[0015]用户注册阶段：在登录并访问服务前，与身份服务器运行User
‑
Registration交互协议，将其身份注册到
[0016]票据申请阶段：匿名地向认证身份，并为所申请的服务提交一个集合如果认证通过，为所有申请的服务生成票据
[0017]票据验证阶段阶段：运行Ticket
‑
Validation算法对所提交的票据Tix
sp
进行验证；
[0018]恶意用户追踪阶段：当检测出任何可疑用户行为时，发送对应服务请求时提交的票据给接着，执行算法Trace以对恶意用户去匿名化并输出其身份ID
eu
，公钥PK
eu
。
[0019]进一步的，所述系统初始化阶段，具体为：
[0020]生成一个阶为p的循环群在选取生成元与定义抗碰撞哈希函数与定义抗碰撞哈希函数后，函数输出公共参数
[0021]选取计算计算输出的私钥SK
is
＝(x1,x2,x3,x4,y)，公钥PK
is
＝(X1,X2,Y)；
[0022]选取计算并输出的私钥SK
sp
＝x
sp
，公钥
[0023]随机选取并计算输出的私钥SK
ta
＝x
ta
，
[0024]公钥PK
ta
＝Y
ta
；
[0025]随机选取并计算输出的私钥SK
eu
＝x
eu
，公钥
[0026]PK
eu
＝Y
eu
。
[0027]进一步的，所述User
‑
Registration交互协议，具体为：
[0028]首先为其公钥Y
eu
计算一个证明并将发送给
[0029]如果有效，选取并计算
[0030]其中，(t,U,V)为一个与属性x
eu
绑定的密钥验证匿名凭证；为保证发行证书的真实性，生成证明
[0031][0032]发送证明给并于本地数据库中存储(ID
eu
,PK
eu
)；
[0033]在收到(t,U,V)与后，验证以判断(t,U,V)是否为一个合法的匿名凭证；如果验证通过，输出cred
eu
＝(t,U,V)。
[0034]进一步的，所述票据申请阶段，具体为：
[0035]令符号指代所请求的服务提供者的标识符集合；选取计算算
[0036]接着，计算其将被用于本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于密钥验证凭证的高效匿名单点登录系统，其特征在于，包括终端用户身份服务器服务提供商和可信仲裁机构所述向注册，获得与自己身份绑定的长期凭证，并在请求服务之前，使用自己的凭证匿名向认证，并得到签发的短期票据；所述管理用户身份，保存注册用户的身份信息并发布凭证，并负责验证匿名凭证和颁发短期票据；所述提交的票据是否为无效、过期或重用票据，并响应用户请求，如果违反用户规定，会将其票据发送给进行身份追踪；所述负责追踪恶意用户。2.根据权利要求1所述的基于密钥验证凭证的高效匿名单点登录系统，其特征在于，所述为每个生成的票据存储一个追踪标记。3.根据权利要求1或2所述的基于密钥验证凭证的高效匿名单点登录系统的控制方法，其特征在于，包括以下阶段：系统初始化阶段:以安全参数1
λ
为输入，生成系统公共参数PP；然后分别运行Issuer
‑
Keygen、Provider
‑
Keygen、Arbitrator
‑
Keygen、User
‑
Keygen获取各自的私钥
‑
公钥对；且每个初始化一个列表同时，并且初始化一个列表以保存追踪标记；用户注册阶段：在登录并访问服务前，与身份服务器运行User
‑
Registration交互协议，将其身份注册到票据申请阶段：匿名地向认证身份，并为所申请的服务提交一个集合如果认证通过，为所有申请的服务生成票据票据验证阶段阶段：运行Ticket
‑
Validation算法对所提交的票据Tix
sp
进行验证；恶意用户追踪阶段：当检测出任何可疑用户行为时，发送对应服务请求时提交的票据给接着，执行算法Trace以对恶意用户去匿名化并输出其身份ID
eu
，公钥PK
eu
。4.根据权利要求3所述的基于密钥验证凭证的高效匿名单点登录系统的控制方法，其特征在于，所述系统初始化阶段，具体为：运行生成一个阶为p的循环群在选取生成元与定义抗碰撞哈希函数H1：H2:后，函数输出公共参数输出公共参数选取计算计算输出的私钥SK
is
＝(x1,x2,x3,x4,y)，公钥PK
is
＝(X1,X2,Y)；选取计算并输出的私钥SK
sp
＝x
sp
，公钥
随机选取并计算输出的私钥SK
ta
＝x
ta
，公钥PK
ta
＝Y
ta
；随机选取并计算输出的私钥SK
eu
＝x
eu
，公钥PK
eu
＝Y
eu
。5.根据权利要求3所述的基于密钥验证凭证的高效匿名单点登录系统的控制方法，其特征在于，所述User
‑
Registration交互协议，具体为：首先为其公钥Y
eu
计算一个证明并将发送给如果有效，选取选取并计算其中，(t,U,V)为一个与属性x
eu
绑定的密钥验证匿名凭证；为保证发行证书的真实性，生成证明生成证明生成证明发送证明给并于本地数据库中存储(ID
eu
,PK
eu
)；在收到(t,U,V)与后，验证以判断(t,U,V)是否为一个合法的匿名凭证；如果验证通过，输出cred
eu
＝(t,U,V)。6.根据权利要求3所述的基于密钥验证凭证的高效匿名单点登录系统的控制方法，其特征在于，所述票据申请阶段，具体为：令符号指代所请求的服务提供者的标识符集合；选取计算计算接着，计算其将被用于还原的公钥对每个请求的对每个请求的选取一个票据标识符并计算并计算为(C
eu
,E
eu
,R
eu
)；生成一个零知识证明生成一个零知识证明并将发送给在发行票据前，验证并检验等式是否成立以判断用户身份...

【专利技术属性】
技术研发人员：杨旸，薛文溢，黄敏明，
申请(专利权)人：福州大学，
类型：发明
国别省市：