7、单轮和三轮统一模型密钥协商协议的组合安全分析

单轮和三轮统一模型密钥协商协议的组合安全分析

1. 引言

统一模型（UM）是一类基于迪菲 - 赫尔曼（Diffie - Hellman）的双方密钥协商协议。这类知名协议已被美国国家标准学会（ANSI）和美国国家标准与技术研究院（NIST）标准化，如 ANSI X9.42、ANSI X9.63 和 NIST SP 800 - 56A。其中，NIST SP 800 - 56A 标准明确允许在不同密钥协商协议中重复使用静态（长期）密钥对。

近期研究探讨了在不同密钥协商协议中重复使用静态密钥对的影响。研究指出，若按照 NIST SP 800 - 56A 的规定，在单轮和三轮 UM 协议中重复使用静态密钥对，三轮 UM 协议可能会出现安全漏洞。此外，该研究还为具有相同安全属性的密钥协商协议提出了共享安全模型，但单轮和三轮 UM 协议这类安全属性不同的协议并不适用于此模型。

本文重新审视了在允许双方在单轮和三轮 UM 协议中共享静态密钥的情况下，这两种协议的安全性。我们的目标是研究在组合环境中，能否为这对协议的各个成员提供有意义的安全保障。在这个组合模型中，攻击者拥有更大的能力，因为她可以利用在单轮 UM 协议会话中获取的信息来攻击三轮 UM 协议会话，反之亦然。

2. 单轮密钥协商协议的（不）安全性

在多轮密钥协商协议中，双方都有自己的临时秘密，这些秘密在会话密钥的推导中起着不同的作用。然而，在某些情况下，如电子邮件系统，一方可能处于离线状态，无法立即响应。单轮密钥协商协议在这种场景中很有用。

单轮协议本质上是非交互式的，不需要响应方提供临时秘密。大多数单轮协议（包括不同标准机构标准化的协议）都是从两轮或三轮密钥协商协议修改而