34、基于可信新鲜度的密码协议设计

基于可信新鲜度的密码协议设计

1. 消息和轮次下限证明

在设计基于可信新鲜度的密码协议时，消息和轮次的下限是一个重要的考量因素。对于一个 SK - 安全的挑战 - 响应公钥密钥建立协议，其消息和轮次的下限分别为三条消息和三轮。

证明过程主要是识别出一条无法进一步缩短的关键路径，即消息的因果链。假设协议的参与方为 A 和 B，$k_{AB}$ 是 A 和 B 之间的新会话密钥。保证密钥建立协议安全的充分必要条件可以用信念多重集形式表示为：
$b_{A,t\$} = ⌊⟨11k_{AB}AB⟩, ⟨1B⟩⌋$ 和 $b_{B,t\$} = ⌊⟨11k_{AB}AB⟩, ⟨1A⟩⌋$

根据 SK - 安全定义，发起方 A 需用可信新鲜度标识符 $N_A$ 通知响应方 B 协议开始，存在事件 $e_1^A$，如 $e_1^A : +{N_A}K_{AB}$ 等；响应方 B 需安全地将 $N_A$ 发回给 A，即事件 $e_2^A$，这样 A 才能建立对 B 的活性、新会话密钥共享部分 $N_A$ 的新鲜度和关联性的信念，显然 $e_1^A <_A e_2^A$。

相反，响应方 B 需向 A 发送可信新鲜度标识符 $N_B$，即事件 $e_1^B$，并得到发起方 A 的响应，即事件 $e_2^B$，显然 $e_1^B <_B e_2^B$。由于根据因果一致性，$e_1^B$ 不能在 B 收到发起方的 $N_A$ 之前发生，所以 $e_1^A < e_1^B$。又因为 $e_2^A$ 和 $e_1^B$ 之间没有因果逻辑，这些并发消息交换可以在同一消息和同一轮中实现。具体如下表所示：
| 轮次 | 消息 | 事件 |
| -