9、单轮和三轮 UM 协议的组合安全分析

单轮和三轮 UM 协议的组合安全分析

在当今的网络通信中，安全的会话密钥协商至关重要。单轮 UM（UM1）和三轮 UM（UM3）协议在这方面有着重要的应用，本文将深入探讨它们在组合模型下的安全性。

1. 安全定义

UM1 和 UM3 在组合模型下被认为是安全的，需满足以下两个条件：
- 条件一 ：对于 (i \in {1, 3})，如果两个诚实的参与方完成匹配的 UMi 会话，那么除了极小的概率外，它们都会计算出相同的会话密钥。
- 条件二 ：对于 (i \in {1, 3})，任何多项式有界的敌手 (M) 都不能以大于 (\frac{1}{2}) 加上一个极小分数的概率区分新鲜 UMi 会话的会话密钥和随机选择的会话密钥。

为了避免协议干扰攻击，在单轮 UM 中，除了临时公钥 (X) 外，还将协议标识符 UM1 包含在密钥推导函数的可选输入 (\Lambda) 中。同样，在三轮 UM 中，除了临时公钥 (X) 和 (Y) 外，也将协议标识符 UM3 包含在密钥推导函数的可选输入 (\Lambda) 中。

2. 安全论证

假设 (H) 是一个随机预言机，MAC 方案是安全的，并且 (G) 是一个满足 GDH 假设的群，那么可以证明 UM1 和 UM3 在组合模型下是安全的。

设 (M) 表示敌手 (M) 成功的事件，假设 (Pr(M) = \frac{1}{2} + p(\lambda))，其中 (p(\lambda)) 是不可忽略的。设 (H^ ) 表示敌手 (M) 用 ((\sigma_e, \sigma_s