25、基于SAS的群组认证与密钥协商协议

基于SAS的群组认证与密钥协商协议

一、引言

在消费电子领域的新趋势下，对快速、可靠且用户友好的密钥协商协议的需求日益增长。然而，许多现有的密钥协商协议仅能抵御被动攻击。为了实现对主动攻击者的安全防护，消息认证往往是必不可少的。

以往，Pasini和Vaudenay提出了一种基于短认证字符串（SAS）的消息认证方法，用于双方通信场景。该方法利用双方能够识别对方声音和行为的能力，构建认证通道，进而交换认证数据，如Diffie - Hellman公共值以生成共享密钥。这种方法与传统的证书链和基于密码的认证方式不同，它无需支持性基础设施，仅需有限的认证通信即可引入安全性。

本文的主要目标是将基于SAS的方法从双方场景扩展到群组场景。手动认证可用于保障群组密钥协商协议的安全，使群组成员能在不安全的网络上建立共享密钥，随后使用标准加密方法进行安全通信。

传统上，使用双方协议来实现群组消息认证需要大量的用户交互，这在实际应用中会降低可用性。因此，我们提出了一种新的基于SAS的群组认证协议，显著减少了所需的用户交互。该协议的安全性基于承诺方案的不可延展性，通过用户选择秘密密钥、承诺、揭示输入消息、打开秘密以及使用几乎通用的哈希函数计算测试值并进行比较，来抵御攻击者对输入消息的修改。

二、密码学预备知识

1. 精确安全框架
   我们的研究基于精确安全框架，目标是构建能抵御所有t时间攻击者的协议。安全属性通过攻击者A和挑战者C之间的游戏或游戏对来形式化定义。对于单个游戏G，优势定义为Adv(A) = Pr [GA = 1]；对于游戏对G0、G1，优势定义为Adv(A) = |Pr [