34、密钥交换协议与PKI系统安全分析

密钥交换协议与PKI系统安全分析

1. 密钥交换协议中的KCI攻击

1.1 随机预言机查询响应机制

对于随机预言机查询 $H(i, j, U, V, W)$，响应是从 ${0, 1}^\ell$ 中采样的随机元素（或者可能是之前输出过的相同值）。若 $i = i^ $ 且 $pidr_{i^ }= P ^ _j$，则 $F$ 会在列表 $L1$ 中找到记录 $(aP + X, M)$，使得 $U = aP + X$ 且 $V = M$，并将 $(aP + X, M, W)$ 写入列表 $L2$。而发送、揭示、测试查询会正常应答；对于 $(corrupt,i)$ 查询，除了 $i = j^ $ 时 $F$ 会中止外，也会像往常一样应答。当 $F$ 终止（与 $A$ 同时终止）时，它会在列表 $L2$ 中选择一个随机元素，并输出 $DH(X,Y)=W - aY - w_iM$（其中 $W=(a + x)Y + w_iM$）。

1.2 Canetti - Krawczyk模型中的KCI

在Canetti - Krawczyk模型中，密钥交换协议的安全性是基于会话密钥与随机值的不可区分性来建模的。存在两种通信模型：
- 简化认证链路（AM）模型：假定通信链路是经过认证的。
- 未认证链路（UM）模型：网络完全由攻击者控制，攻击者可以进行会话状态揭示、主体腐败、会话密钥查询、会话过期、测试会话等查询操作。

一个安全的密钥交换协议需要满足两个条件：
1. 若两个未被腐败的主体完成匹配的会话，它们应输出相同的密钥。
2. 攻击者区分会话密钥与随机值的成功概率不大于