26、EDHOC协议的扩展形式化分析

EDHOC协议的扩展形式化分析

1. EDHOC概述

EDHOC旨在为OSCORE协议建立安全上下文，该上下文尤其包含会话密钥材料（用Z表示）。其广义抽象协议由三条消息组成，结构如下：
| 发送方 | 接收方 | 消息内容 |
| ---- | ---- | ---- |
| Initiator | Responder | m1: M, SI, Qe,I, CI, ad1 |
| Responder | Initiator | m2: CI, Qe,R, CR, {IDR, AuthR, ad2} |
| Initiator | Responder | m3: CR, {IDI, AuthI, ad3} |

其中，{t}表示t经过加密和完整性保护。前两条消息用于协商共同的认证方法M和密码套件SI，发起方通过M提议双方使用的认证方法，在SI中提议密码套件的有序选择列表。认证方法有四种组合：SIG - SIG、SIG - STAT、STAT - SIG和STAT - STAT ，分别对应发起方和响应方的不同认证方式。响应方可以选择拒绝发起方的选择，若拒绝则会话终止并重新协商，不过本文分析不涉及这种重新协商情况。

此外，前两条消息还用于交换临时公钥Qe,I和Qe,R，以及连接标识符CI和CR。连接标识符用于消息路由，且要求在会话中唯一（CI ≠ CR），参与会话的各方需验证其唯一性，OSCORE可利用这些标识符检索特定安全上下文。第二和第三条消息用于双方的身份识别和认证，包含长期密钥标识符（IDI和IDR）以及认证信息（AuthI和AuthR），不同认证方法下认证信息的结构不同。

例如，发起方I选择SIG - STA