一种可证安全的两方口令认证密钥交换协议

合集下载

一个前向安全的基于口令认证的三方密钥交换协议

Ａｂｔａｔｓｒｃ
Ｍｏｓｓｗｏｄａｈｅｉａｅｋｙｅｈａｔｐａｓｒ — ｕｔｎｔｃｔｄｅｘｃｎｇｅｃｍｅｎｔｉｅａｕｒｏｄｅａｕｓｈｅｓｉｈｅｌｔｒｔｅｐｒｖｉｎａ —
ＷＵＳｈｕＨｕａＺＨＵｕ－ｉ — ＹｅＦｅ
（ｐｒｍｅｔｆＮｅｒｓｇｎｅｉｇ，ＩｆｒａｉｎＥｇｎｅｉｇＩｓｉｔ，ＤｅａｔｎｔｋｏｗｏＥｎｉｅｒｎｎｏｍｔｎｉｅｒｎｎｔｕｅｏｔＺｅｇｈｕＩｆｒｔｎＥｎｉｅｒｎｉｅｓｔｈｎｚｏｎｏｍａｉｇｎｅｉｇＵｎｖｒｉｏｙ，Ｚｅｇｈｕ４００）ｈｎｚｏ５０２
一
个可证前向安全的基于口认证的三方密钥交换协议，令使通信双声在认证服务器的帮助下能相互进行认证并建
立一个会话密钥．前人提出的基于口令认证的三方密钥交换协议相比，协议在计算代价和通信代价上都较有与该效，而更适用于资源受限的环境．协议的安全性是在口令型的选择基ＧａｆｅＨｅｌｎ问题难解的假设前提因此ｐＤｉｉｆ— ｌｍａ
下在随机谕示模型下证明的．
关键词口令；前向安全；三方；认证的密钥交换；随机谕示带
中图法分类号ＴＰ０３９
ＴｈｒｅＰａｔｓｗｏｄ－ｓｄＡｕｈｅｔｃｔｄＫｅｃｎｇｔｒｒ・ｅｕｉｙｅ－ｒｙＰａｓｒ・ＢａｅｔｎｉａｅｙＥｘｈａｅｗｉｈＦｏｗａｄ－ｃｒｔＳ

电子商务安全期末复习

电⼦商务安全期末复习电⼦商务安全与管理期末复习题型： 1. 选择题（30分：1.5分1题，共20题）2. 判断并说明理由题（28分：4分1个，共7题。

其中判断对错占2分，简要说明理由占2分）3. 简答题（30分：6分1题，共5题）4. 综合分析题（12分：6分1题，共2题）1、电⼦商务涉及的安全问题有哪些？P4-6A. 信息的安全问题：冒名偷窃、篡改数据、信息丢失、信息传递出问题B. 信⽤的安全问题：来⾃买⽅的安全问题、来⾃卖⽅的安全问题、买卖双⽅都存在抵赖的情况C. 安全的管理问题D. 安全的法律保障问题2、电⼦商务系统安全的三个组成部分。

P74、电⼦商务的安全保障主要由哪三⽅⾯去实现？P17-22技术措施①信息加密技术：保证数据流安全，密码技术和⾮密码技术②数字签名技术：保证完整性、认证性、不可否认性③TCP/IP服务：保证数据完整传输④防⽕墙的构造选择：防范外部攻击，控制内部和病毒破坏管理措施①⼈员管理制度：严格选拔落实⼯作责任制贯彻ＥＣ安全运作三项基本原则：多⼈负责、任期有限、最⼩权限②保密制度不同的保密信息有不同的安全级别③跟踪、审计、稽核制度跟踪：⾃动⽣成系统⽇志审计：对⽇志进⾏审计（针对企业内部员⼯）稽查：针对企业外部的监督单位④系统维护制度硬件和软件⑤数据容灾制度⑥病毒防范制度⑦应急措施法律环境《中华⼈民共和国电⼦签名法》5、风险分析和审计跟踪的主要功能P10-11风险分析：a.设计前：根据分析系统固有的脆弱性，旨在发现系统设计前的潜在风险。

b.运⾏前：根据系统运⾏期的运⾏状态和结果，分析潜在安全隐患。

c.运⾏期：根据系统运⾏记录，跟踪系统状态的变化，分析运⾏期的安全隐患。

d.运⾏后：分析系统运⾏记录，为改进系统的安全性提供分析报告。

审计跟踪：a.记录和跟踪各种系统状态的变化。

b.实现对各种安全事故的定位。

c.保存、维护和管理审计⽇志1、信息传输中的五种常见加密⽅式。

P27①链路－链路加密②节点加密③端－端加密④A TM⽹络加密⑤卫星通信加密链路-链路加密与端端加密区别：2、对称加密的原理及其优缺点，常见对称密码算法有DES，AES，三重DES，Rivest 密码，对称加密密钥的传输可使⽤RSA密钥传输法。

基于口令的认证密钥交换协议

2008年7月July 2008计算机工程Computer Engineering 第34 第14期Vol 卷.34 No.14 ·博士论文·文章编号：1000—3428(2008)14—0004—03文献标识码：A中图分类号：TP309基于口令的认证密钥交换协议王天芹(河南大学数据与知识工程研究所，开封 475001)摘要：提出一种基于(t , n )门限秘密共享技术的分布式口令认证密钥交换方案。

用户口令的验证密钥通过秘密共享方案在服务器组内进行分配，验证任务需要t 个服务器协调来完成，任意t -1个服务器合谋无法获得诚实服务器关于口令验证的任何信息。

动态生成每个服务器的局部密钥，保证了方案的前向安全性。

通过身份认证的各用户之间以对服务器组保密的方式交换会话密钥。

该方案在DDH 假设下被证明是安全的。

关键词：秘密共享方案；密钥交换协议；口令认证；DDH 假设Authenticated Key Exchange Protocol Based on PasswordWANG Tian-qin(Institute of Data and Knowledge Engineering, Henan University, Kaifeng 475001)【Abstract 】This paper presents a distributed password authenticated key exchange protocol based on (t , n )-threshold secret sharing scheme, in which a set of t servers jointly realizes the identification, whereas any conspiracy of fewer servers gains no information about the verification data.The scheme has the property of forward secrecy. The authenticated users possess the secret session key. Under the DDH assumption, the security of the scheme is proved.【Key words 】secret sharing scheme; key exchange protocol; password authentication; DDH assumption1 概述密码学的主要任务就是在不安全的环境中确保安全通信。

对两个三方口令认证密钥交换协议的分析

口令认证密钥交换（ａｓｏｄＡｔｎｉｔｄＫｙＥｃａｇ，ＡＥ协议使得共享低熵口令的用户可以ＰｓｗｒｕｈｔａｅｘｈｎｅＰＫ）ｅｃｅ通过一个不安全的信道安全地生成共享的高熵会话密钥，免了一般密钥交换协议要求存在公钥基础设避施或者用户拥有存储长对称密钥的安全硬件的前提假设，由于实用性较强受到了密码学研究者的广泛关注… 。不过，自从ＢｌｖｅｌｉＭｅｒｔ１９ｏｎ和ｒｔ于９２年提出第１真正意义上的ＰＫｉ个ＡＥ协议以来，们关注的人ＰＫＡＥ协议多是两方的情形，即用户和服务器利用口令协商出一个共享密钥。当网络规模较大时，仅仅采用两方ＰＫＡＥ协议要求每一对用户都共享一个口令很不现实，将给密钥管理带来很大的问题。为了解
第１１卷第１期２１
ＪｕｎｌｏｎｏｍａｉｎＥｎｉｅｒｎｉｅｓｔｏｒａｆＩｆｒｔｏｇｎｅｉｇＵｎｖｒｉｙ
Ｖｏ．１．１１１Ｎ０Ｆｂ２０ｅ．０１
对两个三方口令认证密钥交换协议的分析
ＨＵＸｕ — ｉｎ，ＬＩｅ —ｅｅｘａＵＷｎｆｎ
（ｎｔｕｅｏＩｆｒａｏｎｉｅｒｇＩｆｒｔｎＥｇｎｅｉｎｖｒｉ，ｈｎｚｏ５０２ＣｉａＩｓｔｔｆｎｏｍｔｎＥｇｎｅｎ，ｎｏｉｎｉｅｒｇＵｉｅｔＺｅｇｈｕ００，ｈ）ｉｉｉｍａｏｎｓｙ４ｎ

基于口令的三方认证密钥交换协议

２ＳｈｏｏＩｆｒｔｎＥｇｎｅｉｇＹｎｈｎｎｔｕｅｏＴｃｎｌｇ，ａｃｅｇ２４５，ｈｎ）．ｃｏｌｆｎｏｍａｉｏｎｉｅｒ，ａｃｅｇＩｓｉｔｆｅｈｏｏｙＹｎｈｎ２０１Ｃｉａｎｔ
ａｓｍｐｉｎｓｕｔｏ
ＤｏＩ１．９９．ｓ．００３２．１．．７：０３６／ｉｎ１０．４８０２００ｊｓ２２４
１概述
在通信加密领域中，一个基本问题就是如何在一个不安全的网络环境（攻击者控制的环境）下如何安全地进行通信。通信双方在这样的环境下通信一般采取２种方式：（）１采用公
第３８卷第２期
、－８ｂｌ３
・
计
算
机
工
程
２１０２年１月
Ｊｎｒ２２ａｕａｎｅｉｇｕｅｉｅｒｎ
安全技术・
文章编号：００＿４８０２２＿１６０文１ｏ＿２（１）—０４— ２＿３２ｏ献标识码：Ａ
［ｓｒｃ］Ｍｏｔｈｅ—ａｔａｔｅｔａｉｎｋｙｅｃａｇｒｔｃｌａｅｎｔｅｕｉｎｕｈａｄｃｎｎｔｅｉｔｈｎｅｅｔｂｅｏｌｅｄｃｏａｙＡｂｔａｔｓｔｒｅｐｒｕｈｎｉｔｅｘｈｎｅｏｏｏｓｒｏｃｒｙｅｏｇ，ｎａｏｓｅｕｄｔａｌｎｉｉｉｎｒｙｃｏｐｓｔｒｓｔｃｎｔ
分析其存在的安全漏洞并加以改进，出一种基于１令的三方认证密钥交换协议。分析结果表明，提２１与其他协议相比，该协议的执行效率和

一种新的跨域C2C-PAKE协议

（ｖｏｕｉｇＴｅｈｏｇｅｅｒｈＩｓｉｔ，ｅｉ１０４）ＮａｙＣｍｐｔｃｎｌｙＲｓａｃｎｔｕｅＢｉｎｎｏｔｊｇ０８１
ＡｂｔａｔＣｒｓｅｌｃｉｎ－ｏｃｉｎａｓｒ－ｕｈｎｉａｅｅｘｈｎｅＣ２ＰＡＫＥ）ｐｏｏｏｓａｅｉｐｒａｔｉｓｒｃｏｓｒａｍｌｔｔ－ｌｔｐｓｗｏｄａｔｅｔｔｄｋｙｅｃａｇ（Ｃ－ｅｅｃｒｔｃｌｒｍｏｔｎｎ
完善文献［］ＰＤＤＨ１ＰＤ３中Ｃ和ＣＤＨ２假设的安全性，们要求攻击者在伪造客户发出的消息时要证我明自己知道给定数值的离散对数，这点可以用零知识（承诺体制）实现。如来
・
商出一个会话密钥Ｓ。在协议执行过程中，击Ｋ攻
受字典攻击。Ｋｉ等人ｌ于２０ｍ２０４年针对Ｂｕｙｎ等人提出的协议提出了一个改进协议，是改进的协但议很快就被证实容易遭受未知密钥共享攻击。２０年，ｎ３和ＢｕＥ别又提出了新的跨域０６ＹｉＥ＿ｙｎ分ＣＣＰＫＥ协议，是这两个协议也都被证实容２－Ａ但
即协议的四个参与方分别为Ａ，Ｂ，其中客Ｓ，Ｓ，户Ａ和服务器Ｓ客户Ｂ和服务器Ｓ分别共享口，令ＰＷＰＷ和。假设服务器５和Ｓ之间存在一ｎ条由公钥密码加密的安全认证通道。客户的口令

“认证密钥协商协议”文件汇总

“认证密钥协商协议”文件汇总目录一、认证密钥协商协议的设计与分析二、基于身份和无证书的两方认证密钥协商协议研究三、认证密钥协商协议的设计与应用四、关于认证密钥协商协议若干问题的研究五、基于口令认证密钥协商协议设计六、高效的标准模型下基于身份认证密钥协商协议认证密钥协商协议的设计与分析认证密钥协商协议是网络安全中的关键组件，用于在通信双方之间建立安全、可验证的密钥。

这类协议广泛应用于各种安全通信场景，如电子商务、在线支付、物联网等。

随着网络技术的不断发展，对认证密钥协商协议的设计与分析显得尤为重要。

自20世纪80年代以来，许多认证密钥协商协议陆续被提出，主要包括基于对称加密和基于非对称加密两种类型。

其中，基于对称加密的协议具有良好的性能，但存在密钥分发和管理困难的问题；而基于非对称加密的协议则解决了这一问题，但通信效率和计算成本相对较高。

近年来，研究者们针对这些协议的不足之处进行了大量改进，提出了诸多优化方案。

为了设计一个高效的认证密钥协商协议，我们首先需要建立安全的会话，确保通信双方的连接不被窃听或篡改；需要实现安全的密钥交换，确保通信双方在交换过程中不会泄露密钥信息；需要进行有效的身份认证，以防止伪造和冒充攻击。

在会话建立阶段，我们可以采用安全的哈希函数和随机数生成器来确保会话的随机性和不可预测性。

同时，使用加密算法对通信内容进行加密，以防止窃听。

在密钥交换阶段，我们可以采用Diffie-Hellman 密钥交换算法来实现双方的安全密钥交换。

该算法能够保证在不安全的通信通道上交换密钥时，双方仍能安全通信。

在身份认证阶段，我们可以采用数字签名技术进行身份认证，确保通信双方的连接是安全、可信任的。

对于认证密钥协商协议的性能分析，我们需要从安全性、可用性、通信量和实现复杂度等多个方面进行评估。

在安全性方面，我们的协议采用了安全的哈希函数和加密算法来保护通信内容不被窃听或篡改。

Diffie-Hellman密钥交换算法和数字签名技术也能够保证通信双方的身份认证和密钥安全交换。

可证明安全的抗量子高效口令认证密钥交换协议

可证明安全的抗量子高效口令认证密钥交换协议尹安琪;汪定;郭渊博;陈琳;唐迪【期刊名称】《计算机学报》【年(卷),期】2022(45)11【摘要】基于格的口令认证密钥交换(Password-Authenticated Key Exchange,PAKE)协议在后量子时代具有广泛的应用前景.降低通信轮次可以有效提高执行效率,也是格上PAKE协议的重要优化方向.现有基于格的低轮次PAKE协议的构建方法主要有两种:一种是基于非交互式零知识(Non-Interactive Zero-Knowledge,NIZK)证明,但在标准模型下如何在格上实现NIZK证明仍然是公开问题;另一种虽然宣称基于不可区分适应性选择密文攻击(Indistinguishability under Adaptive Chosen-Ciphertext Attack,IND-CCA2)的安全模型,但实际上只采用了不可区分性选择密文攻击(Indistinguishability under Chosen-Ciphertext Attack,IND-CCA1)安全的公钥加密(Public Key Encryption,PKE)方案,该类PAKE 协议在现实应用时需要利用签名/验签等技术才能保证安全性.这两种方法都会增加计算和通信开销.为此,本文利用带误差学习(Learning with Errors,LWE)问题的加法同态属性,提出了一种格上IND-CCA2安全的非适应性平滑投影哈希函数(Smooth Projective Hash Function,SPHF),该函数支持一轮PAKE协议的构造;并确定了所基于的PKE方案中相关参数的大小,从而消除了LWE问题的不完全加法同态属性对SPHF正确性的影响.尽所知,这是格上第一个直接基于IND-CCA2安全模型的非适应性SPHF,且该SPHF具有相对独立的研究价值,可应用于证据加密、零知识证明和不经意传输等领域.基于此,本文构建了一种格上可证明安全的高效PAKE协议.该协议可以抵御量子攻击;只需要一轮通信,因而具有最优的通信轮次;是基于标准模型,所以避免了使用随机预言机的潜在安全威胁,特别是使用随机预言机可能导致格上PAKE协议遭受离线口令猜测攻击和量子攻击;在实际应用时,该协议也不需要利用NIZK证明和签名/验签等技术来保证安全性,这有效提高了执行效率.本文还利用人人网474万口令数据验证了基于CDF-Zipf定律的PAKE协议安全模型可以更加准确地评估PAKE协议所提供的安全强度;最后基于该安全性模型,本文在标准模型下对所提出的PAKE协议进行了严格的安全性证明.实验结果表明,与其它相关协议相比,本文协议具有最优的整体执行效率和最低的通信开销.【总页数】16页(P2321-2336)【作者】尹安琪;汪定;郭渊博;陈琳;唐迪【作者单位】信息工程大学电子技术学院;南开大学网络空间安全学院;天津市网络与数据安全技术重点实验室(南开大学)【正文语种】中文【中图分类】TP393【相关文献】1.一种高效的匿名口令认证密钥交换协议2.基于RLWE问题的后量子口令认证密钥交换协议3.后量子基于验证元的三方口令认证密钥交换协议4.可证明安全的抗量子两服务器口令认证密钥交换协议5.格上基于密文标准语言的可证明安全两轮口令认证密钥交换协议因版权原因，仅展示原文概要，查看原文内容请购买。

格上两方一轮身份认证协议

第３２卷第１期北京电子科技学院学报２０２４年３月Ｖｏｌ．３２Ｎｏ．１ＪｏｕｒｎａｌｏｆＢｅｉｊｉｎｇＥｌｅｃｔｒｏｎｉｃＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙＩｎｓｔｉｔｕｔｅＭａｒ．２０２４格上两方一轮身份认证协议王㊀雄㊀吕晓晗㊀王文博北京电子科技学院网络空间安全系，北京㊀１０００７０摘㊀要：在量子技术对传统密码冲击下，格上的口令认证密钥交换ＰＡＫＥ协议研究成为关注的热点㊂但是，当前格上ＰＡＫＥ协议大多通过两轮或三轮完成，且存在传输负载过重现象㊂而目前格上一轮协议多适用于一对一通信且不具有身份认证功能㊂针对以上问题提出的基于密钥共识的格上一轮身份认证协议，通过结合格上公钥加密㊁ＡＳＰＨ函数和密钥共识，实现了高效㊁安全的一轮通信中的身份认证与密钥协商㊂这一解决方案有望改善传统ＰＡＫＥ协议的问题，对于应对量子技术对密码学的挑战提供了一种思路㊂关键词：密钥共识；格密码；ＡＳＰＨ（ＡｐｐｒｏｘｉｍａｔｅＳｍｏｏｔｈＰｒｏｊｅｃｔｉｖｅＨａｓｈ）；身份认证中图分类号：ＴＰ３０９㊀㊀㊀文献标识码：Ａ文章编号：１６７２－４６４Ｘ（２０２４）１－０１－１１∗㊀基金项目：中央高校基本科研业务费资金资助（３２８２０２３０５２）∗∗㊀作者简介：王雄（１９７７－），男，河北保定人，副教授，硕士，主要研究方向为密码协议㊁密码系统㊂吕晓晗（１９９９－），女（通信作者），山东滨州人，硕士研究生，主要研究方向为密码协议㊁格密码（ｌｖｘｉａｏｈａｎ８２５２＠１６３．ｃｏｍ）㊂王文博（１９９９－），男，甘肃天水人，硕士研究生，主要研究方向为身份认证协议㊁漏洞挖掘㊂０㊀引言㊀㊀Ｂｅｌｌｏｖｉｎ等［１］１９９２年提出第一个口令认证密钥交换ＰＡＫＥ（Ｐａｓｓｗｏｒｄ⁃ＡｕｔｈｅｎｔｉｃａｔｅｄＫｅｙＥｘ⁃ｃｈａｎｇｅ）协议㊂由于ＰＡＫＥ中使用的口令简短易记，使得协议在很多领域中得以应用，并成为研究的热点㊂随后，大量文献基于对称密码体制㊁公钥密码体制提出了两方㊁三方的ＰＡＫＥ协议，并给出了随机预言机模型和标准模型下的安全证明，比如文献［２－５］㊂随着量子计算的发展，大量的密码技术遭遇前所未有的困难㊂基于格难题的ＰＡＫＥ协议以其并行运算㊁计算速度快和抗已知量子攻击等特点，成为后量子时代密码领域的研究新热点㊂Ｋａｔｚ等［６］构建了第一个基于格上困难问题的ＰＡＫＥ方案㊂该方案使用平滑投射哈希函数和容错学习问题，并且基于ＧＬ（Ｇｅｎｎａｒｏ⁃Ｌｉｎｄｅｌｌ）框架㊂然而，该方案中的投射密钥生成依赖于密文，协议的效率仍然较低㊂后续格上ＰＡＫＥ协议的设计方向主要基于不同的构造方案（例如通过引入ＡＳＰＨ函数㊁利用效率更高的困难问题㊁引入密钥共识算法等）提高认证效率㊂２０１１年，Ｄｉｎｇ等［７］构造了一个格上三轮两方ＰＡＫＥ协议，使格上ＰＡＫＥ协议的效率得到了一定的提高㊂２０１７年，Ｚｈａｎｇ等［８］对ＡＳＰＨ函数做出改进，利用底层ＰＫＥ（Ｐａｓｓｗｏｒｄ⁃ｂａｓｅｄｋｅｙｅｘ⁃ｃｈａｎｇｅ）及其关联的非自适应ＡＳＰＨ函数，搭建了两轮ＰＡＫＥ框架㊂同年，Ｇａｏ等［９］结合ＳＲＰ北京电子科技学院学报２０２４年（ＳｅｃｕｒｅＲｅｍｏｔｅＰａｓｓｗｏｒｄ）协议底层困难问题与判定ＲＬＷＥ（ＲｉｎｇＬｅａｒｎｉｎｇｗｉｔｈＥｒｒｏｒｓＰｒｏｂｌｅｍ）的优点，提出一个新的基于ＲＬＷＥ的ＳＲＰ协议㊂２０１７年，Ｊｉｎ等［１０］通过引入和形式化密钥共识及其非对称变异ＡＫＣ（ＡｄａｐｔｉｖｅＫ⁃ＣｕｒｖａｔｕｒｅＦｕｎｃ⁃ｔｉｏｎ）函数的构建工具，抽象了基于ＬＷＥ（Ｌｅａｒｎ⁃ｉｎｇｗｉｔｈＥｒｒｏｒｓＰｒｏｂｌｅｍ）和ＲＬＷＥ的密钥交换协议中的一些密钥成分，设计了ＫＣ（ｋｅｙｃｏｎｓｅｎ⁃ｓｕｓ）和ＡＫＣ（ａｓｙｍｍｅｔｒｉｃｋｅｙｃｏｎｓｅｎｓｕｓ）方案㊂２０１９年，Ｋａｒｂａｓｉ等［１１］对ＳＰＨ（ＳｍｏｏｔｈＰｒｏｊｅｃｔｉｖｅＨａｓｈ）函数进行改进，首次构造出基于ＲＬＷＥ问题的ＳＰＨＦ㊂２０２１年，李子臣等［１２］基于ＲＬＷＥ难题，利用了Ｐｅｉｋｅｒｔ错误协调机制，在客户端／服务器模式下构造出ＰＡＫＥ协议㊂２０２２年，尹安琪等［１３］根据Ｇｅｎｔｒｙ等的方案［１４］和Ｋａｔｚ等的方案［１５］设计了一种基于格的两轮ＰＡＫＥ协议，并分析了协议的安全性㊂同年，Ｌｉ等［１６］基于Ｐｅｉｋｅｒｔ方案［１７］提出一个具有自适应光滑性的基于格的ＳＰＨ函数，获得了具有严格安全分析的格上一轮ＰＡＫＥ协议㊂Ｚｈａｏ等［１８］也提出了一种基于密钥共识的格密码认证密钥交换协议㊂通过研究可以发现，上述协议或者具有两轮以上的交互（例如［６］㊁［７］㊁［１２］），或者不具有身份认证功能（例如［１８］㊁［８］）㊂当然，基于密钥共识机制设计出的格上身份认证协议可以有效减少通信轮数，但目前存在的格上一轮协议绝大多只能用于一对一的通信，并且不提供身份认证功能㊂为解决上述问题，本文提出一种新的基于密钥共识的格上一轮身份认证协议，提高通信效率的同时实现身份认证功能，并基于随机预言机模型证明了协议的安全性㊂１㊀相关知识１１㊀格的相关知识定义１格㊂给定线性空间ｍˑｎ上ｍ个线性无关向量Ｂ＝（ｂ１，，ｂｍ），这些向量的整系数线性组合表示为格Λ⊂Ｒｎ，即Λ＝Ｌ（Ｂ）＝ðｍｉ＝１ｘｉｂｉ，ｘｉɪ㊂在格密码中，明文和密文通常表示为向量㊂加密过程涉及将明文与格基和误差向量结合，然后进行一些数学运算，如模运算，以生成密文㊂解密过程涉及逆向操作，从密文恢复到原始明文㊂基于格的结构目前是后量子密码学的重要候选者，计算格问题无法有效解决的假设下，许多基于格的结构被认为是安全的㊂定义２㊀ＬＷＥ［１９］㊂ＬＷＥ分布是一种离散概率分布，通常用于描述一个随机过程，其中一些线性关系受到小的随机误差的干扰㊂在ＬＷＥ分布中，有一组向量（称为秘密向量ｓ）和一个包含噪声的线性组合，即对秘密向量的线性组合添加了一些随机误差㊂表示为：Ａｓ，α＝（ａ，ｂ＝ａｔｓ＋ｅｍｏｄｑ）ɪｎｑˑｑ（ｎ，ｑɪ，α＞０，ｓɪｎｑ）㊂其中，αѳｒｎｑ为随机均匀选取的向量，ｅѳｒＤ，αｑ为容错向量㊂ＬＷＥ难题是一个密码学难题，涉及到从ＬＷＥ分布的样本中恢复出秘密向量㊂具体来说，给定一组ＬＷＥ分布的样本（线性组合和噪声）ＬＷＥ难题的目标是找到生成这些样本的秘密向量㊂ＬＷＥ难题的安全性基于随机性和误差的引入，使得从样本中恢复秘密信息变得非常困难㊂ＬＷＥ难题在构建抗量子计算的加密算法研究中起到了关键作用，因此基于ＬＷＥ难题构建抗量子攻击的身份认证协议是一个可行的思路㊂１２㊀基于格的公钥加密体制基于ＬＷＥ问题的公钥密码体制表示为ＰＫε＝（ＫｅｙＧｅｎ，Ｅｎｃ，Ｄｅｃ），Ｐ表示明文的集合㊂该体制满足ＣＣＡ安全，具体如下所示：令ｎ１，ｎ２ɪ，ｑ为素数，ｎ＝ｎ１＋ｎ２＋１，ｍ＝Ｏ（ｎｌｏｇｑ）ɪ，α，βɪ㊂生成体制公私钥对的算法为（ｐｋ，ｓｋ）ѳＫｅｙＧｅｎ（１ｋ）：将与安全性相关的参数（ｐｋ，ｓｋ）作为算法的输入，得到（Ａ０，Ｒ０）ѳＴｒａｐＧｅｎ（１ｎ，１ｍ，ｑ）㊁（Ａ１，Ｒ１）ѳＴｒａｐＧｅｎ（１ｎ，１ｍ，ｑ）㊁ｃｒｓѳ㊃２㊃第３２卷格上两方一轮身份认证协议㊀ＣＲＳＧｅｎ（１ｋ），最终得到体制公钥和体制私钥的组合（ｐｋ，ｓｋ）＝（（Ａ０，Ａ１，ｃｒｓ），Ｒ０）㊂加密算法为ｃѳＥｎｃ（ｐｋ，ｌａｂｅｌ，ｐｗ）：输入公钥ｐｋ＝（Ａ０，Ａ１，ｃｒｓ）㊁明文ｐｗɪＰ㊁ｌａｂｅｌɪ｛０，１｝∗㊁随机数ｒ，随机选取ｓ０，ｓ１ѳｒｎｑ，ｅ０，ｅ１ѳｒＤｍ，αｑ，输出密文ｃ＝（ｕ，ｖ）㊁ｕ＝ｆ（ｐｋ，ｐｗ，ｒ）㊁ｖ＝ｇ（ｐｋ，ｌａｂｅｌ，ｐｗ，ｒ）㊂解密算法为Ｄｅｃ：输入私钥ｓｋ＝Ｒ０㊁ｌａｂｅｌ和密文ｃ＝（ｕ，ｖ），输出相应的明文ｐｗ或ʅ，记为ｐｗѳＤｅｃ（ｓｋ，ｌａｂｅｌ，（ｕ，ｖ））㊂正确性：对于任意公私钥对（ｐｋ，ｓｋ），密文ｃ＝（ｕ，ｖ）的第一部分ｕ在任何ｖᶄ和ｌａｂｅｌᶄɪ｛０，１｝∗的意义上修正明文ｐｗ，在安全参数ｋ和ｓｋ㊁ｒ的随机选择中Ｄｅｃ（ｓｋ，ｌａｂｅｌᶄ，（ｕ，ｖᶄ））∉｛ʅ，ｐｗ｝的概率是可以忽略的㊂１３㊀近似平滑投射哈希函数实现ＣＣＡ安全的公钥加密体制的平滑投射函数最早由Ｃｒａｍｅｒ等［２０］提出，本文使用的ＡＳ⁃ＰＨ函数参考文献［６］㊁［８］㊂给定ＣＣＡ安全公钥加密方案ＰＫε＝（ＫｅｙＧｅｎ，Ｅｎｃ，Ｄｅｃ）和有效可识别的ＰＡＫＥ密码字典消息空间Ｄ，假设该加密方案定义了密文的有效性，可以由ｐｋ单独有效地确定，所有诚实生成的密文都是有效的，并且假设不存在解密错误㊂假设给定一个有效密文ｃ，可以将ｃ＝（ｕ，ｖ）分解为（ｆ，ｇ）的输出㊂密钥对（ｐｋ，ｓｋ）由密钥生成算法ＫｅｙＧｅｎ（１ｋ）产生，Ｃｐｋ表示关于公钥ｐｋ的有效密文空间，Ｐ是明文空间㊂定义Ｘ＝｛（ｌａｂｅｌ，ｃ，ｐｗ）｜（ｌａｂｅｌ，ｃ）ɪＣｐｋ；ｐｗɪＰＬ＝｛（ｌａｂｅｌ，ｃ，ｐｗ）ɪＸ｜ｌａｂｅｌɪ｛０，１｝∗；ｃ＝Ｅｎｃ（ｐｋ，ｌａｂｅｌ，ｐｗ）｝Ｌ－＝｛（ｌａｂｅｌ，ｃ，ｐｗ）ɪＸ｜ｌａｂｅｌɪ｛０，１｝∗；ｐｗ＝Ｄｅｃ（ｓｋ，ｌａｂｅｌ，ｃ）｝一个公钥ｐｋ的公钥加密体制对应的ε－ａｐｐｒｏｘｉｍａｔｅＳＰＨ函数记为（Ｋ，ｌ，｛Ｈｈｋ：Ｘң｛０，１｝ｌ｝ｈｋɪＫ，ＨＰ，Ｐｒｏｊ：ＫңＨＰ㊂哈希密文的集合为Ｋ，Ｘ是函数的定义域，｛０，１｝ｌ为函数值域㊂近似平滑投射哈希函数由以下算法组成㊂对哈希密钥进行采样ｈｋѳｒＫ，ｈｋ是元组，其中每个元素都服从离散高斯分布；对于ｈｋɪＫ，ｘ＝（ｌａｂｅｌ，（ｕ，ｖ），ｐｗ）ɪＸ，计算Ｈｈｋ（ｘ）＝Ｈｈｋ（ｕ，ｐｗ）；计算投射密钥ｈｐ＝Ｐｒｏｊ（ｈｋ），其中ｈｋɪＫ㊂对于任意ｈｋѳｒＫ㊁ｘ＝（ｌａｂｅｌ，（ｕ，ｖ），ｐｗ）ɪＬ㊁随机数ｒ，计算ｕ＝ｆ（ｐｋ，ｐｗ，ｒ）㊁ｖ＝ｇ（ｐｋ，ｌａｂｅｌ，ｐｗ，ｒ），有一个有效的近似算法为Ｈａｓｈ（ｈｐ，ｘ，ｒ）＝Ｈａｓｈ（ｈｐ，（ｕ，ｐｗ），ｒ）㊂正确性：对ｘ＝（ｌａｂｅｌ，（ｕ，ｖ），ｐｗ）ɪＬ以及投射密钥ｈｐ＝Ｐｒｏｊ（ｈｋ），满足Ｐｒ［Ｈａｍ（Ｈｈｋ（ｕ，ｐｗ），Ｈａｓｈ（ｈｐ，（ｕ，ｐｗ），ｒ））ȡε］＝ｎｅｇｌ（ｋ）㊂平滑性：对任意的函数ｈ：ＨＰңＸ＼Ｌ－㊁ｈｋѳｒＫ㊁ｈｐ＝Ｐｒｏｊ（ｈｋ）㊁ｘ＝ｈ（ｈｐ）㊁ρѳｒ｛０，１｝ｌ，两个分布（ｈｐ，Ｈｈｋ（ｘ））和（ｈｐ，ρ）是不可区分的㊂１４㊀密钥共识定义４密钥共识（Ｋｅｙｃｏｎｓｅｎｓｕｓ［１０］）㊂一个密钥共识算法ＫＣ＝（ｐａｒａｍｓ，Ｃｏｎ，Ｒｅｃ），其中的参数定义如下：ｐａｒａｍｓ＝（ｑ，ｍ，ｇ，ｄ，ａｕｘ）表示系统参数，ｑ，ｍ，ｇ，ｄ均为正整数，且满足ｍ，ｇ是２的幂，ｑ＝ｍ㊃ｇ，２ｍｄ＜ｑ，ａｕｘ表示通常由ｑ，ｍ，ｇ，ｄ确定的辅助值，可以设置为一个特殊的符号Φ指示为空㊂（ｋ１，ｖ）ѳＣｏｎ（σ１，ｐａｒａｍｓ）：输入为（σ１ɪｑ，ｐａｒａｍｓ），概率多项式时间调节算法的输出为（ｋ１，ν），其中ｋ１ɪｍ是共享密钥，ｖɪｇ是在后续过程中将公开传输到另一个通信方的提示信号，以便双方达成共识㊂ｋ２ѳＲｅｃ（σ２，ｖ，ｐａｒａｍｓ）：输入为（σ２ɪｑ，ｖ，ｐａｒａｍｓ），确定性多项式时间和解密算法Ｒｅｃ输出ｋ２ɪｍ㊂正确性：如果ｋ１＝ｋ２且任意σ１，σ２ɪｑ满足｜σ１－σ２｜ｑɤｄ，密钥共识算法满足正确性㊂安全性：如果ｋ１和ｖ相互独立，且ｋ１均匀分布在ｍ，σ１ɪｑ时，密钥共识算法满足安全性㊂㊃３㊃北京电子科技学院学报２０２４年２㊀安全模型㊀㊀本文在文献［２１］的基础上给出安全性分析模型㊂协议的参与者包含用户Ｍ和信任的服务器Ｖ用户持有的能在服务器证明身份信息的口令记为ｗ（ｗɪＤ，独立均匀选取），服务器拥有该口令对应的ｗᶄ，ｗᶄ与ｗᶄ相等㊂ΠｉＭ表示用户Ｍ中的第ｉ个实例，ΠｊＶ表示服务器Ｖ中的第ｊ个实例㊂敌手Ａ是一种概率多项式时间（Ｐｒｏｂａｂｉ⁃ｌｉｓｔｉｃＰｏｌｙｎｏｍｉａｌ⁃Ｔｉｍｅ，ＰＰＴ）算法，可以完全控制这些设备之间的所有通信信道㊂Ａ可以拦截和读取所有消息，删除或修改任何所需的消息，以及注入它自己的消息㊂还允许Ａ获得一个实例的会话密钥，以便模拟会话密钥可能发生的泄漏㊂敌手Ａ与每个实例进行交互的方式如下所示㊂ｅｘｅｃｕｔｅ（Ｍ，ｉ，Ｖ，ｊ）㊂此查询用于模拟对手的被动攻击能力㊂如果ΠｉＭ和ΠｊＶ没有被激活，该提示查询模型将激活ΠｉＭ和ΠｊＶ来运行协议，然后将协议执行记录发送给对手㊂ｓｅｎｄ（Ｍ，ｉ，ｍｓｇ）㊂它用于模拟对手对证明者实例ΠｉＭ的主动攻击㊂敌手拦截并修改发送给实例ΠｉＭ的消息ｍｓｇ，将用户实例ΠｉＭ对消息的回应返回给Ａ㊂ｓｅｎｄ（Ｖ，ｊ，ｍｓｇ）㊂该询问模拟敌手的主动攻击，敌手拦截发送给服务器ΠｊＶ的消息并进行修改，再把该服务器相应的的回复返回到Ａ㊂ｒｅｖｅａｌ（Ｍ，ｉ）㊂此查询模拟已知的密钥攻击或会话密钥丢失㊂它允许对手获得用户实例ΠｉＭ的有效会话密钥㊂ｔｅｓｔ（Ｍ，ｉ）㊂该查询用于描述协议会话密钥的语义安全性，而对手只能访问一次查询㊂选择一个随机比特ｂѳｒ｛０，１｝，如果ｂ＝１，则返回用户实例ΠｉＭ的会话密钥ｓｋｉＭ；否则返回均匀选取的随机值㊂新鲜性㊀如果对手Ａ没有向实例ΠｉＭ请求ｒｅｖｅａｌ（Ｍ，ｉ），那么实例ΠｉＭ就是新鲜的㊂在查询模型中，只要当验证者接受会话密钥时，查询操作ｔｅｓｔ（Ｍ，ｉ）中的实例ΠｉＭ保证是新鲜的，对手就可以在多项式时间内进行任何顺序查询㊂安全性㊀设口令字典空间为Ｄ，Ｑ（ｋ）为攻击者以在线方式测试口令次数的边界值，其中ｋ表示与安全参数无关的常数㊂如果对于所有字典Ｄ和所有的ＰＰＴ对手Ａ最多进行Ｑ（ｋ）次在线攻击，满足ａｄｖΠ，Ａ（ｋ）ɤＱ（ｋ）｜Ｄ｜＋ｎｅｇｌ（ｋ），那么该ＰＡＫＥ协议是安全的㊂３㊀基于密钥共识的格上一轮身份认证协议３１㊀方案构造基于密钥共识的格上一轮身份认证协议使用ＡＳＰＨ函数进行设计，利用可拆分公钥密码体制［６，８］和密钥共识算法［１０］实现安全性和高效性㊂协议中的符号说明如表１所示㊂表１㊀协议中的符号说明Ｔａｂ．１㊀Ｅｘｐｌａｎａｔｉｏｎｏｆｓｙｍｂｏｌｓｉｎｔｈｅａｇｒｅｅｍｅｎｔ符号说明符号说明ｒ１，ｒ２用户和服务器的随机值ｌａｂｅｌ标签ｈｋＨａｓｈ密钥ｆ，ｇ函数ＫＨａｓｈ密钥空间ｓｋ１，ｓｋ２用户，服务器的会话密钥ｈｐ投射密钥用户和服务器共享口令ｗɪＤ，其中，Ｄ为系统中口令的集合㊂协议的具体流程如下：（１）初始化阶段公钥加密体制的公钥ｐｋ由可信第三方生成，对应的私钥任何用户不能知悉㊂用户上传身份标识与口令ｗ到服务器，服务器按照身份标识与口令的对应关系保存所有用户身份标识以及口令㊂（２）身份认证及密钥协商阶段用户与服务器实现身份认证及密钥协商的㊃４㊃第３２卷格上两方一轮身份认证协议㊀流程如图１㊂图１㊀基于密钥共识的格上一轮身份认证协议Ｆｉｇ．１㊀Ｏｎｅｒｏｕｎｄｉｄｅｎｔｉｔｙａｕｔｈｅｎｔｉｃａｔｉｏｎｐｒｏｔｏｃｏｌｂａｓｅｄｏｎｋｅｙｃｏｎｓｅｎｓｕｓｏｎｌａｔｔｉｃｅ（１）用户Ｍ：选择随机值ｒ１㊁散列密钥ｈｋ１，计算ｈｐ１＝Ｐｒｏｊ（ｈｋ１）；令ｌａｂｅｌ１＝ＩＤＭ｜｜ＩＤＶ｜｜ｈｐ１，计算（ｕ１，ｖ１）＝Ｅｎｃ（ｐｋ，ｌａｂｅｌ１，ｗ，ｒ１），其中ｕ１＝ｆ（ｐｋ，ｗ，ｒ１），ｖ１＝ｇ（ｐｋ，ｌａｂｅｌ１，ｗ，ｒ１）；令ｃ１＝（ｕ１，ｖ１），将身份标识以及发送给服务器Ｖ㊂（２）服务器Ｖ：接收到用户消息后，首先对ｃ１的有效性进行验证，如果无效就选择终止此次会话；若验证有效，随机选择ｒ２，散列密钥ｈｋ２，计算ｈｐ２＝Ｐｒｏｊ（ｈｋ２）㊁ｕ２＝ｆ（ｐｋ，ｗᶄ，ｒ２）；计算σ１＝Ｈａｓｈ（ｈｐ１，（ｕ２，ｗᶄ），ｒ２）⊕Ｈｈｋ２（ｕ１，ｗᶄ），ｎ＝σ１ｍｏｄｇ，会话密钥ｓｋ１＝⌊σ１ｇ」；令ｌａｂｅｌ２＝ＩＤＭ｜｜ＩＤＶ｜｜ｈｐ１｜｜ｈｐ２，ｖ２＝ｇ（ｐｋ，ｌａｂｅｌ２，ｗᶄ，ｒ２）；令ｃ２＝（ｕ２，ｖ２），将ｈｐ２㊁ｃ２以及ｎ发送给用户Ｍ㊂（３）用户Ｍ：接收到服务器Ｖ的消息后，首先对ｃ２的有效性进行验证，如果无效就选择终止此次会话；若验证有效，计算σ２＝Ｈｈｋ１（ｕ２，ｗ）⊕Ｈａｓｈ（ｈｐ２，（ｕ１，ｗ），ｒ１），并计算会话密钥ｓｋ２＝⌊（σ２－ｎ）／ｇ⌉ｍｏｄｍ㊂接下来，证明协议的正确性㊂根据ＡＳＰＨ的近似正确性可知：Ｐｒ［Ｈａｍ（Ｈｈｋ（ｕ，ｐｗ），Ｈａｓｈ（ｈｐ，（ｕ，ｐｗ），ｒ））ȡε］＝ｎｅｇｌ（ｋ）㊂因此σ１和σ２的汉明距离至多为２ε㊂现引入一个新的函数｜㊃｜ｔ：对任意正整数ｔȡ１，｜ｘ｜ｔ＝ｍｉｎ｛ｘｍｏｄｔ，ｔ－ｘｍｏｄｔ｝㊂我们使用｜σ１－σ２｜ｑ来度量两个元素之间的距离，由于σ１和σ２的汉明距离至多为２ε，与ｑ相比相对较小，所以｜σ１－σ２｜ｑɤｄ㊂根据｜㊃｜ｔ的定义可以知道：对任意ｘ，ｙ，ｔ，ｌɪ，ｔȡ１，ｌȡ０，如果｜ｘ－ｙ｜ｔɤ１，那么存在θɪ以及δɪ［－１，１］使得ｘ＝ｙ＋θｔ＋δ㊂因为｜σ１－σ２｜ｑɤｄ，所以存在θɪ和δɪ［－１，１］使得σ２＝σ１＋θｑ＋δ㊂因此ｓｋ２＝⌊（σ１－ｎ＋θｑ＋δ）／ｇ⌉ｍｏｄｍ＝（ｓｋ１＋θｍ＋⌊δ／ｇ⌉）ｍｏｄｍ⌊⌉意为取最接近的整数，因为２ｍｄ＜ｑ，所以｜θｇ｜ɤｄｇ＜１２，所以δ／ｇ最接近零可忽略，因此ｓｋ２＝ｓｋ１ｍｏｄｍ＝ｓｋ１㊂３２㊀安全性证明本节给出了格上基于密钥共识的一轮身份认证密钥交换协议的安全性证明㊂定理１如果ＰＫε＝（ＫｅｙＧｅｎ，Ｅｎｃ，Ｄｅｃ）是一种基于ＬＷＥ难题ＣＣＡ安全的公钥加密方案和？－ＡＳＰＨ函数簇，并且使用密钥共识ＫＣ＝（ｐａｒａｍｓ，Ｃｏｎ，Ｒｅｃ）来协商会话密钥㊂那么本文协议是一个安全的ＰＡＫＥ协议㊂要证明定理１，选择通过一系列游戏从游戏０到游戏７来建立㊂游戏０代表一个真实且安全的游戏，而游戏７代表一个随机选择会话密钥的均匀分布游戏，其安全性是通过增加对手的优势来建立的㊂我们通过逐步转变游戏规则来证明定理１㊂ａｄｖＡ，ｉ（ｋ）表示在游戏Ｇｉ中敌手的优势㊂从游戏０到７，敌手的优势差最多为Ｑ（ｋ）｜Ｄ｜＋ｎｅｇｌ（ｋ）㊂游戏０：本实验在一个安全模型中模拟了游㊃５㊃北京电子科技学院学报２０２４年戏的真实攻击㊂游戏１：相比较于游戏０，本实验修改了每个ｅｘｅｃｕｔｅ询问的回答中σ２的的计算方法，将其修改为用ｈｋ来直接进行计算，例如，σ２＝Ｈｈｋ１（ｕ２，ｗ）Ｈｈｋ２（ｕ１，ｗ）㊂基于格ＰＡＫＥ协议的ε－ＡＳＰＨ函数簇为：１）哈希函数簇Ｈ＝｛Ｈｈｋ｝ｈｋɪＨＫ，其中，定义域为Ｘ，值域为｛０，１｝ｌ，ＨＫ为Ｈａｓｈ密钥空间；２）密钥投射函数Ｐｒｏｊ：ＨＫңＨＰ，其中，ＨＰ为投射密钥空间㊂由于模拟器知道ｈｋ，引理１可以通过ＡＳＰＨ的近似正确性推导出来㊂因此存在｜ａｄｖＡ，１（ｋ）－ａｄｖＡ，０（ｋ）｜ɤｎｅｇｌ（ｋ）㊂游戏２：继续将ｅｘｅｃｕｔｅ做修改，将密文ｃ１替换为加密虚拟口令（不属于字典集Ｄ的口令被称为虚拟口令）得到的密文㊂游戏１和游戏２的唯一区别是在加密结果上的替换，如果敌手Ａ能够明显优于随机猜测地区分这两个游戏，那么存在算法Ｂ可以在底层格上的公钥加密中打破ＣＣＡ安全性㊂算法Ｂ随机均匀地选择一个挑战公钥ｐｋ，并在游戏１中与敌手Ａ交互㊂如果对手Ａ要求算法Ｂ进行一个ｅｘｅｃｕｔｅ询问，那么Ｂ首先随机选择ｈｋ１ѳｒＫ，计算ｈｐ１＝Ｐｒｏｊ（ｈｋ１）㊂然后向挑战者发送（ｗ，０）和ｌａｂｅｌ１＝ＩＤＭ｜｜ＩＤＶ｜｜ｈｐ１以获得一个挑战密文ｃ∗１㊂最后，算法Ｂ将使用密文ｃ∗１作为ｅｘｅｃｕｔｅ查询的答案，并将对手Ａ的输出视为自己的猜测㊂如果ｃ∗１是真实密码ｗ的加密密文，算法Ｂ将完全模拟对手Ａ的攻击环境，否则，算法Ｂ将在游戏２中模拟对手Ａ的攻击环境㊂因此，如果对手Ａ不能以明显优势区分游戏１和游戏２，那么算法Ｂ就不能以同样的优势破坏ＣＣＡ的安全性㊂由于公钥加密体制满足ＣＣＡ安全，所以｜ａｄｖＡ，２（ｋ）－ａｄｖＡ，１（ｋ）｜ɤｎｅｇｌ（ｋ）㊂游戏３：继续将ｅｘｅｃｕｔｅ做修改，强制σ２与σ１为直接选取的随机数，而其他计算保持不变㊂在每次ｅｘｅｃｕｔｅ询问中，两个密文ｃ１和ｃ２都是加密不属于字典集的随机数得到的值，其中，σ１和σ２的值在统计上接近于均匀分布，因此可以忽略所产生的优势差异㊂根据ＡＳＰＨ函数的定义及性质，有｜ａｄｖＡ，３（ｋ）－ａｄｖＡ，２（ｋ）｜ɤｎｅｇｌ（ｋ）㊂在从游戏１到游戏３的过程中，敌手Ａ修改了ｅｘｅｃｕｔｅ查询的模拟方式，并且在这些修改后的查询中没有获得有关用户密码的任何信息㊂接下来将开始考虑以下ｓｅｎｄ询问㊂ｓｅｎｄ０（Ｍ，ｉ，Ｖ，ｊ）㊂激活证明者和验证者实例获取协议执行记录㊂ｓｅｎｄ１（Ｖ，ｊ，ｍｓｇ１）㊂敌手给服务器发送一轮消息ｍｓｇ１＝（ＩＤＭ，ｃ１，ｈｐ１）得到服务器返回的下一轮消息㊂ｓｅｎｄ２（Ｍ，ｉ，ｍｓｇ２）敌手向用户实例ᵑｉＭ发送下一轮消息ｍｓｇ２＝（ｈｐ２，ｃ２，ｎ）㊂如果服务器实例ΠｊＶ接收到有效的消息ｍｓｇ１，就向敌手返回相应的消息ｍｓｇ２㊂模拟器Ｃ将记录与密钥生成阶段生成的公钥ｐｋ对应的私钥ｓｋ㊂游戏４：对于ｓｅｎｄ１（Ｖ，ｊ，ｍｓｇ１）询问，令ｌａｂｅｌᶄ１＝ＩＤＭᶄ｜｜ＩＤＶᶄ｜｜ｈｐ１，如果ｃᶄ１不是有效的密文，则模拟器Ｃ拒绝该消息㊂否则，模拟器Ｃ利用私钥ｓｋ计算ｗᶄ＝Ｄｅｃｓｋ（ｃᶄ１），若ｗᶄ＝ｗ，则认为敌手Ａ成功并结束游戏㊂假设ｃᶄ１是一个有效的密文，因为游戏４中的模拟器Ｃ知道ｐｋ对应的私钥ｓｋ，所以，解密ｃᶄ１可以得到ｗᶄ㊂显然这种令ｗᶄ＝ｗ的修改可以增加敌手的优势㊂至于ｗᶄʂｗ这种情况，有（ｌａｂｅｌᶄ１，ｃᶄ１，ｗ）∉Ｌ－㊂根据ＡＳＰＨ的平滑性，ｗᶄʂｗ的优势在统计距离上可以忽略㊂根据近似平滑散列函数的定义和密钥共识的正确性，有ａｄｖＡ，３（ｋ）ɤａｄｖＡ，４（ｋ）＋ｎｅｇｌ（ｋ）㊂游戏５：对于ｓｅｎｄ２（Ｍ，ｉ，ｍｓｇ２），令ｍｓｇ２＝（ＩＤＭ，ｃ１，ｈｐ１）是ｓｅｎｄ０（Ｍ，ｉ，Ｖ，ｊ）询问输出的消㊃６㊃第３２卷格上两方一轮身份认证协议㊀息㊂如果ｍｓｇ２ᶄ是之前ｓｅｎｄ１（Ｖ，ｊ，ｍｓｇ１）询问的输出，模拟器直接使用相应的ｈｋ１计算σ２，强制用户实例与服务器实例拥有相同的σ，由于σ对敌手是隐藏的，所以此修改不改变敌手的优势㊂令ｌａｂｅｌᶄ２＝ＩＤＭ｜｜ＩＤＶ｜｜ｈｐᶄ１｜｜ｈｐᶄ２；如果检验ｃᶄ２不是有效的密文，模拟器Ｃ拒绝询问；否则，模拟器Ｃ用私钥ｓｋ解密ｃᶄ２得到ｗᶄ㊂若ｗᶄ＝ｗ，模拟器Ｃ认为敌手成功并停止模拟，这个修改增加了敌手的优势㊂根据近似平滑散列函数的定义和密钥共识的正确性，有ａｄｖＡ，４（ｋ）ɤａｄｖＡ，５（ｋ）＋ｎｅｇｌ（ｋ）㊂游戏６：对ｓｅｎｄ０（Ｍ，ｉ，Ｖ，ｊ）询问进行修改，如果用户触发了ｓｅｎｄ０操作，那么将对虚拟口令进行加密，并生成密文ｃ１㊂在游戏５和游戏６之间唯一的区别是，密文是对不属于字典集Ｄ的口令加密获取的值㊂如果敌手Ａ可以在概率多项式时间内明显优于随机猜测地区分这两个游戏，并将其能力转换为算法Ｂ，那么算法Ｂ可以以相同的优势破坏公钥密码体制的ＣＣＡ安全性㊂随机均匀选择一个挑战公钥ｐｋ，算法Ｂ使用ｐｋ作为协议的ＣＲＳ，模拟游戏５中敌手Ａ的攻击环境㊂当算法Ｂ回答敌手的ｓｅｎｄ０询问时，首先随机选择ｈｋ１ѳｒＫ，计算ｈｐ１＝Ｐｒｏｊ（ｈｋ１）㊂然后算法Ｂ向挑战者发送（ｗ，０）和ｌａｂｅｌ１＝ＩＤＭ｜｜ＩＤＶ｜｜ｈｐ１，获得一个挑战密文ｃ∗１㊂最后算法Ｂ将（ＩＤＭ｜｜ＩＤＶ｜｜ｈｐ１）发送给敌手Ａ㊂当算法Ｂ必须解密有效密文对（ｌａｂｅｌᶄ１，ｃᶄ１）＝（ｌａｂｅｌ１，ｃ∗１）时，提交（ｌａｂｅｌᶄ，ｃᶄ１）给自己的ＣＣＡ安全挑战者㊂算法Ｂ取一个比特值ｂɪ｛０，１｝作为敌手Ａ的输出，将其作为它自己的猜测㊂如果密文ｃ∗１是对真实密码ｗ的加密，而算法Ｂ模拟了敌手Ａ在游戏５中的攻击环境，那么如果敌手Ａ能够在概率多项式时间内明显优于随机猜测地区分游戏６和游戏５，那么算法Ｂ可以以相同的优势破坏公钥密码体制的ＣＣＡ安全性㊂而公钥加密体制确保ＣＣＡ安全，所以｜ａｄｖＡ，６（ｋ）－ａｄｖＡ，５（ｋ）｜ɤｎｅｇｌ（ｋ）㊂游戏７：ｓｅｎｄ１（Ｖ，ｊ，ｍｓｇᶄ１＝（ＩＤＭᶄ，ｃᶄ１，ｈｐᶄ１））询问被修改，如果ｍｓｇᶄ１是之前ｓｅｎｄ０询问的输出，模拟器Ｃ用相应的散列密钥（ｈｋ１，ｈｋ２）计算σ１；否则，模拟器Ｃ执行方式完全类似于游戏６㊂如果ｍｓｇᶄ１是之前ｓｅｎｄ０询问的输出，那么模拟器Ｃ可以知道相应的散列密钥（ｈｋ１，ｈｋ２），ｃᶄ１是对虚拟口令的加密㊂因此可知，该修改的统计距离可以忽略不计㊂所以，根据近似平滑散列函数的定义和密钥共识的正确性，有｜ａｄｖＡ，７（ｋ）－ａｄｖＡ，６（ｋ）｜ɤｎｅｇｌ（ｋ）㊂在给定场景中，事件ε表示敌手Ａ提交了一个密文，然后成功解密该密文以获得真实密码ｗ㊂如果事件ε没有发生，那么可以忽略敌手Ａ在安全参数ｋ上的任何优势㊂在游戏７中，所有查询输出的密文都是虚拟口令的加密结果，因此敌手Ａ无法通过查询获得有关真实密码的任何相关信息㊂因为Ｑ（ｋ）次在线攻击是敌手Ａ的极限，且一次攻击的概率成功为Ｐｒ［ｗᶄ＝ｗ］ɤ１｜Ｄ｜，所以事件ε发生的概率最大为Ｑ（ｋ）｜Ｄ｜，经过计算可得知，ａｄｖＡ，７（ｋ）ɤＱ（ｋ）｜Ｄ｜＋ｎｅｇｌ（ｋ）㊂综合游戏１游戏７可以得到ａｄｖＡ，０（ｋ）ɤＱ（ｋ）｜Ｄ｜＋ｎｅｇｌ（ｋ）㊂所以定理１的说法正确㊂４㊀性能比较㊀㊀本节从安全性和效率两个方面，对本文协议和已有的格上两方身份认证协议进行比较，具体如表２㊁表３所示㊂其中，Ｅｘｐ表示模幂运算，Ｅｎｃ／Ｄｅｃ表示公钥加密／解密运算，ＡＳＰＨ／ＳＰＨ表示近似平滑投射哈希运算，Ｈａｓｈ表示哈希运算㊂同时，为了能够更加直观的对协议的性能进行比较，本文统一分别假设ｌ㊁ｋ㊁ｎ㊁ｍ㊁ｌｏｇｑ的值㊃７㊃北京电子科技学院学报２０２４年为１２８ｂｉｔ㊁１２８ｂｉｔ㊁２５６ｂｉｔ㊁６４００ｂｉｔ与１２㊂表２㊀通信与计算开销比较Ｔａｂ．２㊀Ｃｏｍｐａｒｉｓｏｎｏｆｃｏｍｍｕｎｉｃａｔｉｏｎａｎｄｃｏｍｐｕｔｉｎｇｃｏｓｔｓ协议难题假设双向认证通信复杂度通信开销／ｂｉｔ计算开销［１８］ＬＷＥ否Ｏ（（ｍ＋ｎｋ）ｌｏｇｑ）４７００１６３Ｅｘｐ＋１Ｅｎｃ＋２Ｈａｓｈ［８］ＬＷＥ否Ｏ（２（４ｍ－２ｎ＋ｋｎ）ｌｏｇｑ＋ｋ）１００１６００２Ｅｎｃ＋４ＡＳＰＨ＋２Ｈａｓｈ［６］ＬＷＥ是Ｏ（（３ｍｎ＋２ｋｎ）ｌｏｇｑ＋ｋ）５９７６９９８４２Ｅｘｐ＋２Ｅｎｃ＋２ＡＳＰＨ＋５Ｈａｓｈ［１３］ＧＰＶ是Ｏ（（（ｍｎ＋１）＋ｋ（ｎ＋１））ｌｏｇｑ）２００５５５５２２Ｅｘｐ＋２Ｅｎｃ＋２ＳＰＨ＋４Ｈａｓｈ本协议ＬＷＥ是Ｏ（（ｍｎ＋ｎｌ）ｌｏｇｑ＋ｌ）２００５４１４４２Ｅｘｐ＋２Ｅｎｃ＋２ＡＳＰＨ＋２Ｈａｓｈ㊀㊀本文使用ＬＷＥ问题进行协议的设计，多项式时间内量子算法无法解决，因而能够抵抗量子攻击㊂协议［１８］㊁［８］只是完成通信密钥的协商，缺少对通信双方的身份认证，协议［６］㊁［１３］与本文协议提供通信双方相互认证的功能，进一步提升了协议的安全性㊂在通信开销方面，支持双向认证的协议需要更多的通信数据㊂但是，相对于协议［６］和［１３］，本文协议的通信开销进一步降低，提高了通信效率㊂在计算开销方面，本文协议相对于协议［１８］减少了指数运算次数但是增加了加密与哈希运算次数，与［８］相比增加了指数运算次数，但是哈希运算次数得到了减少㊂虽然指数运算成本比哈希运算的成本消耗要高，但是总体来看还是增加了计算开销，这也是提供双向认证的必要开销㊂从表２也可以看到，本文通过利用密钥共识算法，比同为双向认证的协议［６］㊁［１３］减少了哈希运算次数，缩短了计算所需的时间㊂综合来看，在保证安全性的前提下，本文协议降低了计算开销，提高了计算效率㊂表３㊀存储开销对比Ｔａｂ．３㊀Ｓｔｏｒａｇｅｏｖｅｒｈｅａｄｃｏｍｐａｒｉｓｏｎ协议存储复杂度存储开销客户端服务器客户端服务器［１８］Ｏ（（ｍｌ＋ｍ＋ｎ＋ｋ＋ｋｍ）ｌｏｇｑ＋ｍ）Ｏ（（２（ｍ＋ｎ）ｋ＋ｋ）ｌｏｇｑ＋２ｍ）１９７４８６０８２０４６１５６８［８］Ｏ（（２ｍｎ＋ｋ（ｍ＋２ｎ１）＋８ｍ－３ｎ１＋２ｎ２＋１）ｌｏｇｑ＋５ｋ）Ｏ（（２ｍｎ＋ｋ（ｍ＋２ｎ１）＋８ｍ－３ｎ１＋２ｎ２＋１）ｌｏｇｑ＋５ｋ）５０１５７１８４５０１５７１８４［６］Ｏ（（ｍｎ（３ｋ＋２ｎ＋６）＋ｎ（２ｋ＋１））ｌｏｇｑ＋５ｋ）Ｏ（（ｍｎ（３ｋ＋２ｎ＋６）＋ｎ（２ｋ＋１））ｌｏｇｑ＋５ｋ）177****2768177****2768［１３］Ｏ（（ｍｎ＋２ｍ＋２ｎ＋１）＋（ｍ＋ｎ＋１）ｋ）ｌｏｇｑ＋３ｋ）Ｏ（（ｍｎ（２ｋ＋２ｎ＋４）＋３ｎ＋１＋（ｎ＋１）ｋｌｏｇｑ＋３ｋ）３００４６０９２151****1964本协议Ｏ（（３ｍｌ＋ｍｎ＋ｍ）ｌｏｇｑ＋ｌ）Ｏ（（４ｍｌ＋ｍｎ＋ｍ＋１）ｌｏｇｑ＋ｌ）４９２２８９２８５９０５９３４０㊀㊀在存储开销方面，各个协议表现不一㊂在客户端方面，本文协议优于协议［８］和［６］，在服务器方面，本文协议又优于协议［６］和［１３］㊂从两端综合来看，支持双向认证的协议在存储方面要高于不支持双向认证的协议㊂可以看到，虽然本文协议在指标上比不支持认证的协议［８］略差，却大幅优于同为双向认证协议的协议［１３］㊂虽然在客户端与服务器两端都具有很低的存储开销，但是协议［１８］不支持双向身份认证，而本文协议在指标方面比协议［１８］略低，但是双向身份认证的优势无疑增强了本文协议的使用场景和推广前景㊂综合以上分析结果表明，本文协议不仅具有双向认证的安全性，还有效的降低了通信和计算成本㊂因此，本文协议更具适用性与推广性㊂㊃８㊃第３２卷格上两方一轮身份认证协议㊀５㊀结束语㊀㊀本文设计的协议利用多项式时间内量子算法无法解决的ＬＷＥ问题进行构造，能够抗量子攻击㊂基于可拆分公钥密码体制和密钥共识算法，利用ＡＳＰＨ函数，在能够实现双向身份认证功能从而保证安全性的前提下，降低了通信开销㊁计算开销和存储开销，提高了通信效率㊂未来将考虑设计在本文使用的框架下的３ＰＡＫＥ方案，使其适用于大规模用户相互通信场景㊂参考文献［１］㊀ＢｅｌｌｏｖｉｎＳＭ，ＭｅｒｒｉｔｔＭ．Ｅｎｃｒｙｐｔｅｄｋｅｙｅｘ⁃ｃｈａｎｇｅ：Ｐａｓｓｗｏｒｄ⁃ｂａｓｅｄｐｒｏｔｏｃｏｌｓｓｅｃｕｒｅａ⁃ｇａｉｎｓｔｄｉｃｔｉｏｎａｒｙａｔｔａｃｋｓ［Ｃ］／／ＩＥＥＥＣｏｍｐｕｔ⁃ｅｒＳｏｃｉｅｔｙＳｙｍｐｏｓｉｕｍｏｎＲｅｓｅａｒｃｈｉｎＳｅｃｕｒｉｔｙａｎｄＰｒｉｖａｃｙ，Ｏａｋｌａｎｄ：ＩＥＥＥＰｒｅｓｓ，１９９２：７２－８４．［２］㊀ＫａｔｚＪ，ＯｓｔｒｏｖｓｋｙＲ，ＹｕｎｇＭ．Ｅｆｆｉｃｉｅｎｔａｎｄｓｅｃｕｒｅａｕｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅｕｓｉｎｇｗｅａｋｐａｓｓｗｏｒｄｓ［Ｊ］．ＪｏｕｒｎａｌｏｆｔｈｅＡＣＭ（ＪＡＣＭ），２００９，５７（１）：１－３９．［３］㊀ＧｅｎｎａｒｏＲ，ＬｉｎｄｅｌｌＹ．Ａｆｒａｍｅｗｏｒｋｆｏｒｐａｓｓ⁃ｗｏｒｄ⁃ｂａｓｅｄａｕｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅ［Ｃ］／／ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｓｏｆＣｒｙｐｔｏｇｒａｐｈｉｃＴｅｃｈｎｉｑｕｅｓ．Ｂｅｒｌｉｎ，Ｈｅｉｄｅｌｂｅｒｇ：ＳｐｒｉｎｇｅｒＢｅｒｌｉｎＨｅｉｄｅｌ⁃ｂｅｒｇ，２００３：５２４－５４３．［４］㊀ＡｂｄａｌｌａＭ，ＢｅｎｈａｍｏｕｄａＦ，ＰｏｉｎｔｃｈｅｖａｌＤ．Ｄｉｓｊｕｎｃｔｉｏｎｓｆｏｒｈａｓｈｐｒｏｏｆｓｙｓｔｅｍｓ：Ｎｅｗｃｏｎ⁃ｓｔｒｕｃｔｉｏｎｓａｎｄａｐｐｌｉｃａｔｉｏｎｓ［Ｃ］／／ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ⁃ＥＵＲＯＣＲＹＰＴ２０１５：３４ｔｈＡｎｎｕａｌＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｓｏｆＣｒｙｐｔｏｇｒａｐｈｉｃＴｅｃｈｎｉｑｕｅｓ．Ｓｏ⁃ｆｉａ，Ｂｕｌｇａｒｉａ：ＳｐｒｉｎｇｅｒＢｅｒｌｉｎＨｅｉｄｅｌｂｅｒｇ，２０１５：６９－１００．［５］㊀魏福山，马建峰，李光松等．标准模型下高效的三方口令认证密钥交换协议［Ｊ］．软件学报，２０１６，２７（０９）：２３８９－２３９９．（ＷｅｉＦｕｓ⁃ｈａｎ，ＭａＪｉａｎｆｅｎｇ，ＬｉＧｕａｎｇｓｏｎｇ，ｅｔａｌ．Ｅｆｆｉ⁃ｃｉｅｎｔＴｒｉｐａｒｔｉｔｅＰａｓｓｗｏｒｄＡｕｔｈｅｎｔｉｃａｔｉｏｎＫｅｙＥｘｃｈａｎｇｅＰｒｏｔｏｃｏｌｕｎｄｅｒｔｈｅＳｔａｎｄａｒｄＭｏｄｅｌ［Ｊ］．ＪｏｕｒｎａｌｏｆＳｏｆｔｗａｒｅ，２０１６，２７（０９）：２３８９－２３９９．）．［６］㊀ＫＡＴＺＪ，ＶＡＩＫＵＮＴＡＮＡＴＨＡＮＶ．Ｓｍｏｏｔｈｐｒｏｊｅｃｔｉｖｅｈａｓｈｉｎｇａｎｄｐａｓｓｗｏｒｄ⁃ｂａｓｅｄａｕｔｈｅｎ⁃ｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅｆｒｏｍｌａｔｔｉｃｅｓ［Ｃ］／／２００９ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ，２００９：６３６－６５２．［７］㊀ＤｉｎｇＹ，ＦａｎＬ．Ｅｆｆｉｃｉｅｎｔｐａｓｓｗｏｒｄ⁃ｂａｓｅｄａｕ⁃ｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅｆｒｏｍｌａｔｔｉｃｅｓ［Ｃ］／／２０１１ＳｅｖｅｎｔｈＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔａｔｉｏｎａｌＩｎｔｅｌｌｉｇｅｎｃｅａｎｄＳｅｃｕｒｉｔｙ．Ｓａｎ⁃ｙａ，Ｃｈｉｎａ：ＩＥＥＥ，２０１１：９３４－９３８．［８］㊀ＺｈａｎｇＪ，ＹｕＹ．Ｔｗｏ⁃ｒｏｕｎｄＰＡＫＥｆｒｏｍａｐ⁃ｐｒｏｘｉｍａｔｅＳＰＨａｎｄｉｎｓｔａｎｔｉａｔｉｏｎｓｆｒｏｍｌａｔｔｉｃｅｓ［Ｃ］／／ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｏｆＣｒｙｐｔｏｌｏｇｙａｎｄＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙ．Ｓｐｒｉｎｇｅｒ：Ｃｈａｍ，２０１７：３７－６７．［９］㊀ＧａｏＸ，ＤｉｎｇＪ，ＬｉｕＪ，ｅｔａｌ．Ｐｏｓｔ⁃ｑｕａｎｔｕｍｓｅｃｕｒｅｒｅｍｏｔｅｐａｓｓｗｏｒｄｐｒｏｔｏｃｏｌｆｒｏｍＲＬＷＥｐｒｏｂｌｅｍ［Ｃ］／／ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＩｎ⁃ｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙａｎｄＣｒｙｐｔｏｌｏｇｙ．Ｓｐｒｉｎｇｅｒ：Ｃｈａｍ，２０１７：９９－１１６．［１０］㊀ＪｉｎＺ，ＺｈａｏＹ．Ｏｐｔｉｍａｌｋｅｙｃｏｎｓｅｎｓｕｓｉｎｐｒｅｓｅｎｃｅｏｆｎｏｉｓｅ［Ｊ］．（２０１６－１１－１８）［２０１７－１０－０６］．㊀ｈｔｔｐｓ：／／ｄｏｉ．ｏｒｇ／１０４８５５０／ａｒＸ⁃ｉｖ．１６１１０６１５０．［１１］㊀ＫａｒｂａｓｉＡＨ，ＡｔａｎｉＲＥ，ＡｔａｎｉＳＥ．ＡＮｅｗＲｉｎｇ⁃ＢａｓｅｄＳＰＨＦａｎｄＰＡＫＥＰｒｏｔｏｃｏｌｏｎＩｄｅ⁃ａｌＬａｔｔｉｃｅｓ［Ｊ］．ＩＳｅＣｕｒｅ，２０１９，１１（１）：７５－８６．［１２］㊀李子臣，谢婷，张卷美．基于ＲＬＷＥ问题的后量子口令认证密钥交换协议［Ｊ］．电子学报，２０２１，４９（０２）：２６０－２６７．（ＬｉＺｉｃｈｅｎ，ＸｉｅＴｉｎｇ，ＺｈａｎｇＪｕａｎｍｅｉ．Ｐｏｓｔｑｕａｎｔｕｍ㊃９㊃北京电子科技学院学报２０２４年ｐａｓｓｗｏｒｄａｕｔｈｅｎｔｉｃａｔｉｏｎｋｅｙｅｘｃｈａｎｇｅｐｒｏｔｏｃｏｌｂａｓｅｄｏｎＲＬＷＥｐｒｏｂｌｅｍ［Ｊ］．ＪｏｕｒｎａｌｏｆＥ⁃ｌｅｃｔｒｏｎｉｃｓ，２０２１，４９（０２）：２６０－２６７．）．［１３］㊀尹安琪，曲彤洲，郭渊博等．格上基于密文标准语言的可证明安全两轮口令认证密钥交换协议［Ｊ］．电子学报，２０２２，５０（０５）：１１４０－１１４９．（ＹｉｎＡｎｑｉ，ＱｕＴｏｎｇｚｈｏｕ，ＧｕｏＹｕａｎｂｏ，ｅｔａｌ．Ａｐｒｏｖａｂｌｅｓｅｃｕｒｅｔｗｏｒｏｕｎｄｐａｓｓｗｏｒｄａｕｔｈｅｎｔｉｃａｔｉｏｎｋｅｙｅｘｃｈａｎｇｅｐｒｏｔｏｃｏｌｂａｓｅｄｏｎｃｉｐｈｅｒｔｅｘｔｓｔａｎｄａｒｄｌａｎｇｕａｇｅｏｎｇｒｉｄ［Ｊ］．ＪｏｕｒｎａｌｏｆＥｌｅｃｔｒｏｎｉｃｓ，２０２２，５０（０５）：１１４０－１１４９．）．［１４］㊀ＧｅｎｔｒｙＣ，ＰｅｉｋｅｒｔＣ，ＶａｉｋｕｎｔａｎａｔｈａｎＶ．Ｔｒａｐｄｏｏｒｓｆｏｒｈａｒｄｌａｔｔｉｃｅｓａｎｄｎｅｗｃｒｙｐｔｏ⁃ｇｒａｐｈｉｃｃｏｎｓｔｒｕｃｔｉｏｎｓ［Ｃ］／／ＰｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅｆｏｒｔｉｅｔｈａｎｎｕａｌＡＣＭｓｙｍｐｏｓｉｕｍｏｎＴｈｅｏｒｙｏｆｃｏｍｐｕｔｉｎｇ．ＮｅｗＹｏｒｋ：ＡｓｓｏｃｉａｔｉｏｎｆｏｒＣｏｍ⁃ｐｕｔｉｎｇＭａｃｈｉｎｅｒｙ．２００８：１９７－２０６．［１５］㊀ＫａｔｚＪ，ＶａｉｋｕｎｔａｎａｔｈａｎＶ．Ｓｍｏｏｔｈｐｒｏｊｅｃｔｉｖｅｈａｓｈｉｎｇａｎｄｐａｓｓｗｏｒｄ⁃ｂａｓｅｄａｕｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅｆｒｏｍｌａｔｔｉｃｅｓ［Ｃ］／／ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｏｆＣｒｙｐｔｏｌｏｇｙａｎｄＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙ．Ｂｅｒｌｉｎ，Ｈｅｉｄｅｌｂｅｒｇ：ＳｐｒｉｎｇｅｒＢｅｒｌｉｎＨｅｉｄｅｌｂｅｒｇ，２００９：６３６－６５２．［１６］㊀ＬｉＺ，ＷａｎｇＤ．Ａｃｈｉｅｖｉｎｇｏｎｅ⁃ｒｏｕｎｄｐａｓｓ⁃ｗｏｒｄ⁃ｂａｓｅｄａｕｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅｏｖｅｒｌａｔｔｉｃｅｓ［Ｊ］．ＩＥＥＥｔｒａｎｓａｃｔｉｏｎｓｏｎｓｅｒｖｉｃｅｓｃｏｍｐｕｔｉｎｇ，２０１９，１５（１）：３０８－３２１．［１７］㊀ＭｉｃｃｉａｎｃｉｏＤ，ＰｅｉｋｅｒｔＣ．Ｔｒａｐｄｏｏｒｓｆｏｒｌａｔ⁃ｔｉｃｅｓ：Ｓｉｍｐｌｅｒ，ｔｉｇｈｔｅｒ，ｆａｓｔｅｒ，ｓｍａｌｌｅｒ［Ｃ］／／ＡｎｎｕａｌＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｓｏｆＣｒｙｐｔｏｇｒａｐｈｉｃＴｅｃｈ⁃ｎｉｑｕｅｓ．Ｂｅｒｌｉｎ，Ｈｅｉｄｅｌｂｅｒｇ：ＳｐｒｉｎｇｅｒＢｅｒｌｉｎＨｅｉｄｅｌｂｅｒｇ，２０１２：７００－７１８．［１８］㊀ＺｈａｏＺ，ＭａＳ，ＱｉｎＰ．Ｐａｓｓｗｏｒｄａｕｔｈｅｎｔｉｃａ⁃ｔｉｏｎｋｅｙｅｘｃｈａｎｇｅｂａｓｅｄｏｎｋｅｙｃｏｎｓｅｎｓｕｓｆｏｒＩｏＴｓｅｃｕｒｉｔｙ［Ｊ］．ＣｌｕｓｔｅｒＣｏｍｐｕｔｉｎｇ，２０２３，２６（１）：１－１２．［１９］㊀ＲｅｇｅｖＯ．Ｏｎｌａｔｔｉｃｅｓ，ｌｅａｒｎｉｎｇｗｉｔｈｅｒｒｏｒｓ，ｒａｎｄｏｍｌｉｎｅａｒｃｏｄｅｓ，ａｎｄｃｒｙｐｔｏｇｒａｐｈｙ［Ｊ］．ＪｏｕｒｎａｌｏｆｔｈｅＡＣＭ（ＪＡＣＭ），２００９，５６（６）：１－４０．［２０］㊀ＣＲＡＭＥＲＲ，ＳＨＯＵＰＶ．Ｕｎｉｖｅｒｓａｌｈａｓｈｐｒｏｏｆｓａｎｄａｐａｒａｄｉｇｍｆｏｒａｄａｐｔｉｖｅｃｈｏｓｅｎｃｉ⁃ｐｈｅｒｔｅｘｔｓｅｃｕｒｅｐｕｂｌｉｃ⁃ｋｅｙｅｎｃｒｙｐｔｉｏｎ［Ｃ］／／ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｓｏｆＣｒｙｐｔｏｇｒａｐｈｉｃＴｅｃｈｎｉｑｕｅｓ：ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ，２００２：４５－６４．［２１］㊀ＢｅｎｈａｍｏｕｄａＦ，ＰｏｉｎｔｃｈｅｖａｌＤ．Ｖｅｒｉｆｉｅｒ⁃ｂａｓｅｄｐａｓｓｗｏｒｄ⁃ａｕｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅ：Ｎｅｗｍｏｄｅｌｓａｎｄｃｏｎｓｔｒｕｃｔｉｏｎｓ［Ｊ］．ＣｒｙｐｔｏｌｏｇｙｅＰｒｉｎｔＡｒｃｈｉｖｅ，２０１３．（２０１３－１２－１６）［２０１４－１０－１４］．ｈｔｔｐｓ：／／ｉａ．ｃｒ／２０１３／８３３．ＡＴｗｏＰａｒｔｙＯｎｅＲｏｕｎｄＩｄｅｎｔｉｔｙＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌｏｖｅｒＬａｔｔｉｃｅＷＡＮＧＸｉｏｎｇ㊀ＬＶＸｉａｏｈａｎ㊀ＷＡＮＧＷｅｎｂｏＣｙｂｅｒｓｐａｃｅＳｅｃｕｒｉｔｙＤｅｐａｒｔｍｅｎｔ，ＢｅｉｊｉｎｇＥｌｅｃｔｒｏｎｉｃＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙＩｎｓｔｉｔｕｔｅ，Ｂｅｉｊｉｎｇ１０００７０，Ｐ．Ｒ．ＣｈｉｎａＡｂｓｔｒａｃｔ：Ｉｎｔｈｅｆａｃｅｏｆｑｕａｎｔｕｍｔｅｃｈｎｏｌｏｇｙᶄｓｉｍｐａｃｔｏｎｔｒａｄｉｔｉｏｎａｌｃｒｙｐｔｏｇｒａｐｈｙ，ｒｅｓｅａｒｃｈｏｎｌａｔｔｉｃｅ⁃ｂａｓｅｄＰａｓｓｗｏｒｄ⁃ＡｕｔｈｅｎｔｉｃａｔｅｄＫｅｙＥｘｃｈａｎｇｅ（ＰＡＫＥ）ｐｒｏｔｏｃｏｌｓｈａｓｇａｉｎｅｄｓｉｇｎｉｆｉｃａｎｔａｔｔｅｎｔｉｏｎ．Ｈｏｗ⁃ｅｖｅｒ，ｃｕｒｒｅｎｔｌａｔｔｉｃｅ⁃ｂａｓｅｄＰＡＫＥｐｒｏｔｏｃｏｌｓｏｆｔｅｎｒｅｑｕｉｒｅｔｗｏｏｒｔｈｒｅｅｒｏｕｎｄｓ，ｌｅａｄｉｎｇｔｏｈｅａｖｙｔｒａｎｓｍｉｓ⁃㊃０１㊃㊃１１㊃第３２卷格上两方一轮身份认证协议㊀ｓｉｏｎｌｏａｄｓ．Ａｄｄｉｔｉｏｎａｌｌｙ，ｅｘｉｓｔｉｎｇｏｎｅ⁃ｒｏｕｎｄｌａｔｔｉｃｅ⁃ｂａｓｅｄｐｒｏｔｏｃｏｌｓａｒｅｍａｉｎｌｙｓｕｉｔｅｄｆｏｒｏｎｅ⁃ｏｎ⁃ｏｎｅｃｏｍｍｕｎｉｃａｔｉｏｎａｎｄｌａｃｋｉｄｅｎｔｉｔｙａｕｔｈｅｎｔｉｃａｔｉｏｎ．Ｔｏａｄｄｒｅｓｓｔｈｅｓｅｉｓｓｕｅｓ，ａｎｏｖｅｌｌａｔｔｉｃｅ⁃ｂａｓｅｄｏｎｅ⁃ｒｏｕｎｄｉｄｅｎｔｉｔｙａｕｔｈｅｎｔｉｃａｔｉｏｎｐｒｏｔｏｃｏｌｂａｓｅｄｏｎｋｅｙｃｏｎｓｅｎｓｕｓｈａｓｂｅｅｎｐｒｏｐｏｓｅｄ．Ｔｈｉｓｉｎｎｏｖａｔｉｖｅｓｏｌｕ⁃ｔｉｏｎｃｏｍｂｉｎｅｓｌａｔｔｉｃｅ⁃ｂａｓｅｄｐｕｂｌｉｃｋｅｙｅｎｃｒｙｐｔｉｏｎ，ＡＳＰＨｆｕｎｃｔｉｏｎｓ，ａｎｄｋｅｙｃｏｎｓｅｎｓｕｓｔｏａｃｈｉｅｖｅｅｆｆｉ⁃ｃｉｅｎｔａｎｄｓｅｃｕｒｅｉｄｅｎｔｉｔｙａｕｔｈｅｎｔｉｃａｔｉｏｎａｎｄｋｅｙｎｅｇｏｔｉａｔｉｏｎｗｉｔｈｉｎａｓｉｎｇｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｒｏｕｎｄ．Ｔｈｉｓｂｒｅａｋｔｈｒｏｕｇｈｈａｓｔｈｅｐｏｔｅｎｔｉａｌｔｏａｄｄｒｅｓｓｔｈｅｃｈａｌｌｅｎｇｅｓｐｏｓｅｄｂｙｑｕａｎｔｕｍｔｅｃｈｎｏｌｏｇｙｔｏｃｒｙｐｔｏｇｒａｐｈｙａｎｄｅｘｔｅｎｄｉｔｓａｐｐｌｉｃａｂｉｌｉｔｙｔｏｍａｎｙ⁃ｔｏ⁃ｍａｎｙｃｏｍｍｕｎｉｃａｔｉｏｎｓｃｅｎａｒｉｏｓ．Ｋｅｙｗｏｒｄｓ：ｋｅｙｃｏｎｓｅｎｓｕｓ；ｌａｔｔｉｃｅｃｉｐｈｅｒ；ＡＳＰＨ；Ｉｄｅｎｔｉｔｙａｕｔｈｅｎｔｉｃａｔｉｏｎ（责任编辑：夏㊀超）。

跨域客户间口令认证的密钥交换协议

Ｃｒｓｅｌｃｉｎ —ｏ。ｌｎａｓｒ — ｕｈｎｉａｅｅｇｅｍｅｔｐｏｏｏｏｓｒａｍｌｔｔ — ｉｔｐｓｗｏｄ— ｔｅｔｃｔｄｋｙａｒｅｎｒｔｃｌ — ｅ — ｃｅａ
ＷＡＮＧｏＴａ（ｏｌｇｆＭａｈｍａｉｓａｄＰｈｓｃ，ＱｉｇａｆＳｉｎｅａｄＴｅｈｏｏｙ，Ｑｉｇａ６０１Ｃｌｅｏｔｅｔｎｙｉｓｅｃｎｄｏｏｃｅｃｎｃｎｌｇｎｄｏ２６６，Ｃｈ）ｉａ
ＡｂｔａｔＡｒｓ－ｅｌｃｉｎ —ｏｃｉｎａｓｒ－ｕｈｎｉａｉｎｋｙａｒｅｎｒｔｃｌｓｎｏｓｒｃ：ｃｏｓｒａｍｌｔｔ－ｌｔｐｓｗｏｄａｔｅｔｔｅｇｅｍｅｔｐｏｏｏｉｇｃｍｍｏｔｒｇｅｉｅｒｍｏｉｅｅｃｏｕｎｓｏａｅｄｖｃｓｏｂｌｅｄｖｃｓｉｒｓｎｅｏｍｅｔｔｅｒｑｉｍｅｔｆｔｅｓｃｒ，ｅｆｉｎｎｒｃｉａｏｅｉｅｐｅｅｔｄｔｅｈｅｕｒｓｅｎｓｏｈｅｕｅｆｉｅｔａｄｐａｔｌｃｍｍｕｉａｉｎｅｗｅｎｃｉｎｓｃｃｎｃｔｓｂｔｅｌｔ，ｗｈｒｏｅｏａｅｒｇｓｅｅｉｅｅｔｓｒｅｓａｄｏｉｅｅｔｐｓｗｏｄ．Ｔｈｘｅｓｖｍａｔｃｒｓａｄｓｎｈｏｉｄｃｏｋｓｓｅａｅｒ — ｅｉｔｒｄｉｄｆｒｎｅｖｒｎｗｎｄｆｒｎａｓｒｓｎｆｆｅｅｐｎｉｅｓｒａｄｎｙｃｒｎｚｌｃｙｔｍｒｅｅｐａｅｙｔｅｃｍｍｏｔｒｇｅｉｅｎａｄｍｕｅｓｌｃｄｂｈｏｎｓｏａｅｄｖｃｓａｄｒｎｏｎｍｂｒ．Ｔｈｅｉｒｖｄｓｈｍｅｉｓｃｒｇｉｓｈｎｗｎａｔｃｓｉｅｒｔｍｐｏｅｃｅｅｕｅａａｎｔｅｋｏｔａｋｎｓｃｅｓｔｋｙｅｖｒｎｅｔａｄｍｅｔｈｅｕｒｍｅｔｆｔｅｓｃｒｔ．Ｉｄｉｏｅｎｉｏｍｎｎｅｓｔｅｒｑｉｅｎｓｏｈｅｕｉｙｎａｄｔｎ，ｉｋｅｓｔｅｍｅｉｆｔｅｓｒａｄ，ｎｅｏｅｐｉｔｅｐｈｒｔｏｈｍａｔｃｒｓｅｄｎｔｋｅｓｔｅｐｓｗｏｄｔｂｅｒｖｒｆｒｔｂｅｎｔｅｓｒｅｎｏｓｎｔｅｔｉｔｂｍａｔｃｒｓｉｅｌｉｍｐｅｎａｉｎｈａｓｒ－ａｌｓｏｅｉｅ－ａｌｓｉｈｅｖｒａｄｄｅｏｓｒｙｓｒａｄｎｒａｆｉｌｍｅｔｔ．Ｔｈｒｖｄｉｒｃｌｅｏｅｉｍｐｏｅｓｈｍｅｉｍｏｅｓｃｒ，ｅｆｉｎｎｒｃｉａｕｏｔｅｉｔｏｕｔｏｆｈｏｃｅｓｒｅｕｅｆｉｅｔａｄｐａｔｌｅｔｈｒｄｃｉｎｏｅｃｍｍｏｔｒｇｅｉｓａｄｒｎｏｎｍｂｒ．ｃｃｄｎｔｎｓｏａｅｄｖｃｎａｄｍｕｅｓｅＫｅｒｓｐｓｗｏｄａｔｅｔａｅｙｗｏｄ：ａｓｒ－ｕｈｎｉｔｄ；ｋｙａｒｅｎ；ｃｏｓｒａｍ；ｓｏａｅｄｖｃｓｍａｔｃｒｃｅｇｅｍｅｔｒｓ— ｅｌｔｒｇｅｉｅ；ｓｒａｄ

一种可证安全的两方口令认证密钥交换协议

第 39 卷 Vol.39
第1期 No.1Βιβλιοθήκη 计算机工程 Computer Engineering
文章编号：1000—3428(2013)01—0164—04 文献标识码：A
2013 年 1 月 January 2013
中图分类号：TP309.2
・安全技术・
一种可证安全的两方口令认证密钥交换协议
基金项目：广东省自然科学基金资助项目(8152500002000003)；广东高校优秀青年创新人才培育基金资助项目(201180) 作者简介：项顺伯(1979－)，男，讲师、硕士、CCF 会员，主研方向：密码学，计算机网络；彭志平，教授、博士；柯文德，副教授、博士研究生收稿日期：2011-10-31 修回日期：2011-12-24 E-mail：qingcheng33@
第 39 卷
第1期
项顺伯，彭志平，柯文德：一种可证安全的两方口令认证密钥交换协议
165
一种改进的 PAKA-X 协议，但该协议的实现较为复杂，通信代价大。文献 [9]提出 2 个改进的两方口令认证的密钥交换协议。文献 [10] 利用椭圆曲线提出一种改进的两方口令认证的密钥交换协议，并对改进的协议进行了安全性分析。本文提出一种新的两方口令认证密钥交换协议，简称 N-PAKA 。
1
概述
口令认证的密钥交换协议是指参与协议的两方或多方共享一个或多个低熵的口令来建立一个会话密钥，从而实现在不安全信道上安全地传输数据。在口令认证的密钥交换协议中，口令作为协议参与方的长期密钥，在没有被泄漏或被窃取的情况下，用来建立会话密钥，也用于协议的一方认证另一方。文献 [1]提出口令认证的两方密钥交换协议 EKE 。 EKE 是以 Diffie-Hellman 密钥交换协议为基础，实现两方之间的认证以及会话密钥的建立过程，该协议没有使用服务器的公钥且能抵御在线口令字典攻击。随后，大量的两方口令认证的密钥交换协议被提出。为了抵抗服务器泄漏攻击，文献 [2-7]研究了基于验证值

可证安全的口令认证／密钥交换协议的研究动态

ｓｍｍａｉｅｎｈｏｍｕｉａｉｎｍｏｌｏＡＫＥｐｏｏｏｓｂｉｆｙｄｓｒｂｄＩｄｉｉｎ，ｔｉｕｒｚｄａｄｔｅｃｍｎｃｔｏｄｅｆＰｒｔｃｌｉｒｅｅｃｉｅ．ｎａｄｔｌｏｈｓｐｐｒｉｔｏｕｃｓｔｅｒｓａｃｅｅｏａｅｎｒｄｅｈｅｅｒｈｄｖｌｐｍｅｔｏｔｎａｄｚｔｏｏｎｆｓａｄｒｉａｉｎｆｒＰＡＫＥｒｔｃｌａｄｎｌｓｓｔｐｏｏｏ，ｎａａｙｅｈｅ
ＡｂｔａｔＴｅｐｓｗｏｄａｔｅｔａｉｎｋｙｅｃａｇ（ＡＫｓｒｃ：ｈａｓｒｕｈｎｉｔｅｘｈｎｅＰＥ）ｐｏｏｏｌｗｗｏｃｏｒｔｃｌａｌｓｔｏｃｍｍｕｉａｉｇｏｎｃｔｎ
ｐｒｉｓｔｒｏｍｔｌａｔｅｔｃｔｏｎｓａｌｓｏｍｏｅｕｒｅｓｏｅｖｒａｎｅｕｅａｔｏｐｅｆｒｍｕｕａｕｈｎｉａｉｎａｄｅｔｂｉｈａｃｍｅｎｓｃｅｓｓｉｎｋｙｏｅｎｉｓｃｒ
ＤｙａｉｓａｃｎＰｒｖｂｅＳｅｕｒｔｓｗｏｄＡｕｔｎｉａｅｅｎｍｃＲｅｅｒｈｏｏａｌｃｉｙＰａｓｒｈｅｔｃｔｄＫｙ
ＥｘｈａｅＰｒｔｃｌｃｎｇｏｏｏｓ
ＥＤｏｇｎ，ＹＡＮｅ —ｉｎｎ —ａＺｈｎｔａ，ＣＨＥＮｈ — ｉ，ＭＡｕａ — ｕＳｕｍｎＣｈｎｇｉ

有效的口令认证的三方密钥交换协议

关键词：口令认证；三方密钥交换；基于身份加密算法；离散对数；字典攻击文章编号：０２８３（０２１—１７０文献标识码：中图分类号：Ｐ０１０，３１２１）６００．４ＡＴ３９
１引言口令认证的密钥交换协议使得协议参与方利用
易于记忆的低信息熵口令，在不安全信道上建立安
ｐｓｗｏｄａｔｅｔａｅｉａｔｅｋｙｅｃａｇｒｔｃｌｂｔｌｏｈｓｅｔｒｆｃｅｃ．ａｓｒ — ｕｈｎｉｔｄｔｐｒｉｅｘｈｎｅｐｏｏｏ，ｕｓａｔｅｉｉｎｙｃｒｔａｂｅＫｅｒｓｐｓｗｏｄａｔｅｔａｅ；ｒａｔｅｅｃａｇ；Ｄ－ａｅｃｙｔｎｄｓｒｔｇｒｈｄｃｉｎｒｔｃｙｗｏｄ：ａｓｒ－ｕｎｉｔｄｔｐｒｔｙｅｈｎｅＩｂｓｄｅｒｐｉ；ｉｃｅｅｌａｉｍ；ｉｔａｙａｔｋｈｃｉｉｋｘｎｏｏｔｏａ
ｃｉｎｓｔｒｄｉｈｅｖｒｂｌｅｒｐｉｎｓＩｂｓｄｅｃｙｔｎａｄＳｎｅｕｉｎｆｃｅｃｆｔｅｐｏｌｔ ’ｓｏｅｎｔｅｓｒｅ，ｉｎａａｒｇ，Ｄ— ａｅｎｒｐｉｎＯｏ．Ｓｃｒｔａｄｅｉｎｙｏｒ — ｅｉｉｏｙｉｈｐｓｄｐｏｏｏｒｎｌｚｄＩｉｈｗｅｅａａｙｉｔａｅｐｏｏｅｒｔｃｌａｅｕｉｑｉｅｎｓｏｅｏｅｒｔｃｌｅａａｙｅ．ｔｓｓｏｄｉｔｎｌｓｓｈｔｈｒｐｓｄｐｏｏｏｓｓｃｒｔｒｕｒｍｅｔｆｈａｎｈｔｈｙｅｔ

网络安全协议考试题库

⽹络安全协议考试题库填空题1.⽹络安全的定义是指⽹络信息系统的安全，其内涵是⽹络安全体系结构中的安全服务。

2.安全协议的分类认证协议、密钥管理协议、不可否认协议、信息安全交换协议。

3.安全协议的安全性质认证性、机密性、完整性和不可否认性。

4.IP协议是⽹络层使⽤的最主要的通信协议，以下是IP数据包的格式，请填⼊表格中缺少的元素5.对点协议（ppp）是为同等单元之间传输数据包⽽设计的链路层协议。

6.PPP协议的⽬的主要是⽤来通过拨号或专线⽅式建⽴点对点连接发送数据，使其成为各种主机、⽹桥和路由器之间简单连接的⼀种共同的解决⽅案。

7.连接过程中的主要状态填⼊下图1建⽴ 2认证 3⽹络 4 打开 5终⽌ 6静⽌8.IPsec的设计⽬标是为IPv4和IPv6提供可互操作的，⾼质量的，基于密码学的安全性传输IPsec协议【AH和ESP】⽀持的⼯作模式有传输模式和隧道模式。

9.IPsec传输模式的⼀个缺点是内⽹中的各个主机只能使⽤公有IP地址，⽽不能使⽤私有IP地址。

10.IPsec隧道模式的⼀个优点可以保护⼦⽹内部的拓扑结构。

11.IPsec主要由AH协议、ESP协议、负责密钥管理的IKE协议组成。

12.IPsec⼯作在IP层，提供访问控制、⽆连接的完整性、数据源认证、机密性保护、有限的数据流机密性保护、抗重放攻击等安全服务。

13.AH可以为IP数据流提供⾼强度的密码认证，以确保被修改过的数据包可以被检查出来。

14.ESP提供和AH类似的安全服务，但增加了数据机密性保护、有限的流机密性保护等两个额外的安全服务。

15.客户机与服务器交换数据前，先交换初始握⼿信息，在握⼿信息中采⽤了各种加密技术，以保证其机密性、数据完整性。

16. SSL维护数据完整性采⽤的两种⽅法是散列函数、机密共享。

17. 握⼿协议中客户机服务器之间建⽴连接的过程分为4个阶段：建⽴安全能⼒、服务器⾝份认证和密钥交换、客户机认证和密钥交换、完成。

计算机等级考试信息安全技术解答题八套+答案

试题11、为了构建一个简单、安全的"客户机/服务器"模式的应用系统，要求：①能安全存储用户的口令（无须解密）；②用户口令在网络传输中需要被保护；③用户与服务器需要进行密钥协商，以便在非保护信道中实现安全通信；④在通信过程中能对消息进行认证，以确保消息未被篡改。

（共10分）假设要构建的应用系统允许使用MD5、AES、Diffie-Hellman算法，给定消息m，定义MD5(m)和AES(m)分别表示对m的相应处理。

为了准确地描述算法，另外定义如下：给定数x、y和z，x*y表示乘法运算，x/y表示除法运算，x^y表示指数运算，而x^(y/z)表示指数为y/z。

请回答下述问题：（1）为了安全存储用户的口令，服务器需要将每个用户的口令采用_____【1】______算法运算后存储。

（1分）（2）在建立安全通信前，用户需要首先提交用户名和口令到服务器进行认证，为了防止口令在网络传输中被窃听，客户机程序将采用_____【2】______算法对口令运算后再发送。

（1分）（3）为了在服务器和认证通过的用户之间建立安全通信，即在非保护的信道上创建一个会话密钥，最有效的密钥交换协议是_____【3】_______算法。

（2分）（4）假定有两个全局公开的参数，分别为一个素数p和一个整数g，g是p的一个原根，为了协商共享的会话密钥：首先，服务器随机选取a，计算出A= ____【4】________ mod p，并将A发送给用户；（1分）然后，用户随机选取b，计算出B= _______【5】_____ mod p，并将B发送给服务器；（1分）最后，服务器和用户就可以计算得到共享的会话密钥key= _______【6】_____ mod p。

（2分）（5）为了同时确保数据的保密性和完整性，用户采用AES对消息m加密，并利用MD5产生消息密文的认证码，发送给服务器；假设服务器收到的消息密文为c，认证码为z。

一个简便的三方密钥交换协议

一个简便的三方密钥交换协议【摘要】基于口令认证的三方密钥交换协议（3PAKE）是使通信双方在认证服务器的帮助下能相互进行认证并建立一个会话密钥。

在本论文中，我们提出了一个通过增强口令而不需服务器中间加密的简单的基于口令认证的三方密钥交换协议。

通过这种方式，每个客户端只共享一个值得信赖的服务器通用密码，任何两个客户端通过服务器的介入可以验证彼此并交换会话密钥。

相比以前的协议，我们所提出的协议无需加密密码且更有效率、更方便。

【关键词】口令攻击；口令；第三方协议；认证；密钥交换1.引言密码验证协定（PAKE关键交换）协议，是指用户和服务器之间共享口令或口令的验证值，服务器借此对用户进行身份的认证，并协助用户完成会话密钥的生成。

目的是通过各通信方的交互，建立共同的会话密钥，从而能够实现在不安全信道上的安全通信。

设计一个安全的PAKE面临这样一个问题，由密码是从一个比较小的范围中选取的，这样的协议很容易受到字典攻击。

Bellovin and Merritt[1]在此基础上，首次提出了两方的基于口令的密钥交换协议（2PAKE）解决了通信双方如何在不预先共享秘密的情况下协商会话密钥的问题，开辟了公钥密钥学的新方向。

加密的关键是通讯双方共同协商一个共享会话密钥，然后使用该会话密钥来加密所传送的消息。

自此，基于口令的认证方式成为使用最普遍也最方便的加密方式。

[9-11][2-3]但是2PAKE协议也存在弊端，由于2PAKE使用的是“用户一服务器”模型，用户所需要记忆的口令数会随着与它通信的用户数的增加而增加，这限制了协议在实际中的应用。

例如在大型通信环境中采用2PAKE 将导致“用户—用户”之间的密钥管理非常的复杂。

为了解决这个问题，一些第三方密钥验证协议（3PAKE）[4-7]随即被提出。

在一个3PAKE，每个用户只需要与一个可信的服务器（TS）共享一个简单口令，可信服务器认证通信双方并帮助持有不同口令的通信方生成会话密钥。

两轮的口令认证的两方密钥交换协议

ｐａｓｓｗｏｒｄａｕｔｈｅｎｔｉｃａｔｉｏｎｂｙｕｓｉｎｇｒｅｌｅｖｎｔａｃｏｎｔｅｎｔｓｏｆＩＤ— ｂａｓｅｄｅｎｅｒｙｐｔｉｏｎａｌｇｏｉｔｒｈｍ，ｂｉｌｉｎｅａｒｐａｉｉｒｎｇａｎｄｈａｓｈｆｕｎｃｔｉｏｎ，ａｎｄａｎａｌｙｓｅｔｈｅｐｒｏｔｏｃｏｌｆｒｏｍｔｗｏａｓｐｅｃｔｓｏｆｓｅｃｕｉｒｔｙａｎｄｅｆｉｆｃｉｅｎｃｙ．Ｉｔｉｓｓｈｏｗｅｄｉｎｔｈｅａｎａｌｙｓｉｓｔｈａｔｔｈｅｐｒｏｔｏｃｏｌｈａｓｈｉｇｈｅｆｉｆｃｉｅｎｃｙ，ｉｔｈａｓａｌｓｏｔｈｅｓｅｃｕｉｔｒｙｐｒｏｐｅｒｔｙｏｆｔｗｏ — ｐａｒｔｙｋｅｙｅｘｃｈａｎｇｅｐｒｏｔｏｃｏｌａｓｗｅｌ１．ＫｅｙｗｏｒｄｓＰａｓｓｗｏｒｄ－－ａｕｔｈｅｎｔｉｃａｔｉｏｎＫｅｙｅｘｃｈａｎｇｅｐｒｏｔｏｃｏｌＩＤ－－ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎＢｉｌｉｎｅａｒｐａｉｒｉｎｇＳｅｓｓｉｏｎｋｅｙ
１）双线性
对任意的Ｐ，Ｑ∈Ｇ，ｎ，ｂｔｆ，．都有ｅ（Ｐ。，Ｑ）

一种基于TTP的两方认证密钥交换协议

一种基于TTP的两方认证密钥交换协议周慧华【期刊名称】《计算机工程与科学》【年(卷),期】2012(34)10【摘要】In this paper, a TTP-based two-party authenticated key exchange (TTP-TPAKE) protocol is proposed. It is suitable for large-scale client-to-client communication environments. This protocol can be completed in five steps and four rounds, and communicating entities can authenticate each other and establish a session key through a trusted third-party. A formal proof is presented to demonstrate the AKE security of the proposed TTP-TPAKE protocol in the ideal cipher model and random oracle model.%本文提出了一种适合大规模C2C通信环境的两方密钥交换TTP-TPAKE协议,协议中的每个通信实体和可信中心共享一个可记忆的口令,然后在该可信第三方的帮助下,每对通信实体生成他们的会话密钥.该协议只需四轮通信,不需棘手的公钥基础设施作为支撑,具有较高的计算和通信效率.在随机预言模型和理想密文系统下,形式化地证明了TTP-TPAKE协议具备AKE安全.【总页数】5页(P38-42)【作者】周慧华【作者单位】湖北民族学院计算机科学与技术系,湖北恩施445000;华中科技大学计算机科学与技术学院,湖北武汉430074【正文语种】中文【中图分类】TP393【相关文献】1.一种可证安全的两方口令认证密钥交换协议 [J], 项顺伯;彭志平;柯文德2.一种基于PUF的两方认证与会话密钥交换协议 [J], 贺章擎;李红;万美琳;吴铁洲3.一种安全的两方口令认证的密钥交换协议 [J], 项顺伯4.基于格的两方口令认证密钥交换协议 [J], 赵宗渠; 黄鹂娟; 叶青; 范涛5.基于理想格的通用可组合两方口令认证密钥交换协议 [J], 舒琴;王圣宝;路凡义;韩立东;谭肖因版权原因，仅展示原文概要，查看原文内容请购买。

一种有效的基于身份的两方密钥交换协议

３密钥交换协议分析
３１协议效率分析．
本协议的运行效率用通信轮数和计算代价来衡量。表１
是本协议的运行效率与其他几种协议的比较，表中通信轮数
【］２ＡＮＳ．．ｕｈｅｙｔｇａｈｒｈｎｎｉｒｉｅｉｄｓｙＩ６Ｐｂｃｙｃｐｏｒｙｆｅｆａｃａｓｖｃｓｎｕｔ：Ｘ９３ｋｒｐｏｔｉｌｅｒＫｅｇｅｍｅｔｎｅｒｎｐｒｕｉｇｅｉｔｕｅｃｙｔｇａｈ［．ｙａｒｅｎｄｋｙｔｓｏｔｓｌｐｃｃｒｒｐｏｒｐｙＲ］ａａｎｌｉｖ
攻击者，则Ｅ可伪装成与进行会话密钥的建立，但不能伪装成Ｂ与进行会话密钥的建立，因为Ｅ不知道用户
１）系统建立阶段。选择大素数Ｐ、ｑ且ｑｐ１ｌ一，
阶为ｐ，的阶为ｇ选择ｇＴ，。选择单向哈希函数（，０１）
数困难问题，提出一种基于身份的两方密钥交换协议，并对协议的效率和安全性进行了分析。分析表明，
所提出的协议具有较好的运行效率，能满足两方密钥交换协议的安全属性要求。
关键词：基于身份；密钥交换；离散对数问题；会话密钥；已知密钥安全中图分类号：Ｔ３３０文献标识码：Ａ文章编号：１７ — １２（０２）２０５ — ２Ｐ９．８６１１２２１０ — ０３０
定义２离散对数计算困难问题（ＤＰ：Ｇ表示一个阶为素数Ｐ的群。给定三元组ＣＨ）令，，其中６，计算是困难的。ｉ

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

中圈分类号：ＴＰ３０９・２
种可证安全的两方口令认证密钥交换协议
项顺伯，彭志平，柯文德
（广东石油化工学院计算机与电子信息学院，广东茂名５２５０００）
摘
要：ｌＺｌ令认证的两方密钥交换协议无法抵御口令字典攻击和服务器泄漏伪装攻击。为此，提出一种改进的ＰＡＫＡ — Ｘ协
ｐａｐｅｒｐｒｏｐｏｓｅｓａｎｉｍｐｒｏｖｅｄＰＡＫＡ－Ｘｐｒｏｔｏｃｏ１．Ａｕｓｅｒｓｔｏｒｅｓｈｉｓｐａｓｓｗｏｒｄ，ｗｈｉｌｅｔｈｅｓｅｒｖｅｒｓｔｏｒｅｓａｖｅｒｉｉｆｅｒｆｏｒｕｓｅｒ ’ Ｓｐａｓｓｗｏｒｄ．Ａｎａｌｙｓｉｓｒｅｓｕｌｔｓｈｏｗｓｔｈａｔｔｈｅｐｒｏｐｏｓｅｄｐｒｏｔｏｃｏｌｈａｓｐｅｒｆｅｃｔｆｏｒｗａｒｄｓｅｃｒｅｃｙ，ｃａｎｒｅｓｉｓｔｔｈｅＤｅｎｎｉｎｇ — Ｓａｃｃｏａｔｔａｃｋ，ｓｅｒｖｅｒｃｏｍｐｒｏｍｉｓｉｎｇａｔｔａｃｋ，ｏｎ－ｌｉｎｅｄｉｃｔｉｏｎａｒｙａｔｔａｃｋ，ｏｆ－ｌｉｎｅｄｉｃｔｉｏｎａｙｒａｔｔａｃｋａｎｄｍａｒｌ－ｉｎ — ｔｈｅ — ｍｉｄｄｌｅａｔａｃｋ．Ａｎｄｉｔｈａｓｏｎｌｙ９ｅｘｐｏｎｅｎｔｉａｔｉｏｎｃｏｍｐｕｔａｔｉｏｎｓ，６ｈａｓｈ — ｆｕｎｃｔｉｏｎｃｏｍｐｕｔａｔｉｏｎｓａｎｄ６ｅｘｃｌｕｓｉｖｅ — ｏｒｃｏｍｐｕｔａｔｉｏｎｓ，ＳＯｉｔｈａｓｒｅｌｉａｂｌｅｅｉｃｆｉｅｎｃｙ．
［Ａｂｓｕｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅｐｒｏｔｏｃｏｌｃａｎｎｏｔｒｅｓｉｓｔｄｉｃｔｉｏｎａｒｙａｔｔａｃｋａｎｄｓｅｒｖｅｒｃｏｍｐｒｏｍｉｓｉｎｇａｔｔａｃｋ，ＳＯｔｈｉｓ
（ＣｏｌｌｅｇｅｏｆＣｏｍｐｕｔｅｒａｎｄＥｌｅｃｔｒｏｎｉｃＩｎｆｏｒｍａｔｉｏｎ，ＧｕａｎｇｄｏｎｇＵｎｉｖｅｒｓｉｔｙｏｆＰｅｔｒｏｃｈｅｍｉｃａｌＴｅｃｈｎｏｌｏｇｙ，Ｍａｏｍｉｎｇ５２５０００，Ｃｈｉｎａ）
ＡＰｒｏｖａｂｌｙＳｅｃｕｒｅＴｗｏ．ｐａｒｔｙＰａｓｓｗｏｒｄ－ａｕｔｈｅｎｔｉｃａｔｅｄＫｅｙＥｘｃｈａｎｇｅＰｒｏｔｏｃｏｌ
ＸＩＡＮＧＳｈｕｎ — ｂｏ，ＰＥＮＧＺｈｉ－ｐｉｎｇ，ＫＥＷｅｎ－ｄｅ
ａｔｔａｃｋ；ｆｏｗａｒｒｄｓｅｃｕｒｅ
议，用户保存自己的口令明文，服务器存储用户口令明文的验证值，由此弥补原协议的安全漏洞。理论分析结果表明，改
进协议具有完美前向安全性，能抵抗Ｄｅｎｎｉｎｇ．Ｓａｃｃｏ攻击、服务器泄漏攻击、在线和离线字典攻击以及中间人攻击，并且仅
需９次指数运算、６次哈希运算和６次异或运算，运行效率较高。关健词：Ｉ：ｉ令认证密钥交换协议；服务器泄漏攻击；字典攻击；Ｄｅｎｎｉｎｇ — Ｓａｃｃｏ攻击；前向安全
［Ｋｅｙｗｏｒｄｓ］ｐａｓｓｗｏｒｄ－・ａｕｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅｐｒｏｔｏｃｏｌ；ｓｅｖｅｒｒｃｏｍｐｒｏｍｉｓｉｎｇａｔｔａｃｋ；ｄｉｃｔｉｏｎａｒｙａｔｔａｃｋ；Ｄｅｎｎｉｎｇ・－Ｓａｃｃｏ
第３９卷第１期
Ｖ０１．３９
・
计
算
机
工
程
２０１３年１月
Ｊａｎｕａｒｙ２０１３
Ｎｏ．１
ＣｏｍｐｕｔｅｒＥｎｇｉｎｅｅｒｉｎｇ
安全技术・
一
文章编号ｔ１００ｏ — ３４２８（２０１３）０１ — ０１６４ — ０４文献标识码：Ａ