32、KEMTLS 协议：带延迟前向身份保护的安全通信解决方案

KEMTLS 协议：带延迟前向身份保护的安全通信解决方案

1. 时间周期不匹配情况

在通信过程中，若客户端和服务器的时间周期不匹配（即 $t_{s,c} \neq t_s$ ，且在从 $t_s$ 到 $t_s + 1$ 的过渡期间 $t_{s,c} \neq t_{s+1}$ ），服务器无法持有 $sk_{t_{s,c}}^s$ ，也就不能计算早期握手流量、服务器/客户端握手流量或早期流量密钥（分别表示为 $EHTS’$、$SHTS’$、$CHTS’$ 和 $ETS’$ ）。因此，服务器无法恢复 $K_s$、客户端证书或任何潜在的早期应用数据，进而拒绝前四个阶段。

此时，服务器对客户端的响应不包含 $KEM_c$ 密文，表明时间周期不匹配，但包含一个临时的 $KEM$ 密文。客户端可以解封装该密文，恢复一个临时密钥，然后像时间周期匹配时一样重新开始。这个临时密钥本质上取代了半静态密钥，不过协议会因此延迟一个往返。

2. 安全模型

安全模型用于评估密钥交换协议的安全性，它与已有的认证密钥交换模型和 KEMTLS 模型类似，主要关注多阶段密钥交换协议。在该模型中，攻击者可以控制网络，进行被动监听、修改和编排协议的多个并发会话，还能暴露诚实方的长期和半静态密钥以及协议运行期间建立的密钥。

• 认证 ：支持相互认证，区分隐式认证和显式认证。隐式认证指阶段密钥只能由预期的通信方恢复，显式认证则保证通信方积极参与协议并建立了阶段密钥。当协议的后续阶段被接受时，阶段密钥的认证可以从无认证或隐式认证提升为显式认证。
• 前向保密性 ：考虑了两种类型