5、PACE密钥协商协议的安全分析

PACE密钥协商协议的安全分析

1. 引言

认证密钥交换是一种基础的加密协议，参与的双方（通常称为客户端和服务器）借此建立安全密钥。在基于密码的密钥协商协议中，双方仅共享低熵的秘密，该秘密通常是从大小为N的集合中随机选取的。由于安全性仅依赖于这个短密码，攻击者至少有1/N的概率猜对正确密码，进而在协议执行中假冒另一方（即所谓的在线字典攻击）。理想情况下，即便攻击者窃听或主动参与其他协议执行，这个概率也应是其成功概率的上限。特别地，攻击者不应能通过离线字典攻击，将密码候选值与执行过程匹配来推断出任何一方的密码。

广泛接受的满足上述安全要求的模型是Abdalla、Fouque和Pointcheval提出的真实或随机安全概念，它是Bellare、Pointcheval和Rogaway模型的改进。原始模型和改进模型都被视为评估密钥协商协议安全性的有效方法，已有多个基于密码的认证密钥交换（AKE）协议通过此方法证明了安全性。真实或随机安全模型意味着，对多个并发运行的密钥协商协议实例发起主动攻击的攻击者，无法区分真实密钥和随机字符串。

2. PACE协议概述

PACE（Password Authenticated Connection Establishment）协议由德国联邦信息安全办公室（BSI）提出，用于保障机器可读旅行证件中的芯片与读取器（终端）之间的通信安全。其目的是基于如护照持有者个人数据这类弱密码建立安全通道，目前该协议正由ISO/IEC JTC1/SC17/WG3进行标准化。

PACE协议大致可分为四个阶段：
1. 第一阶段 ：芯片将用密码加密的随机数s发送给终端。
2. <