15、可审计的非对称密码认证公钥建立协议解析

可审计的非对称密码认证公钥建立协议解析

1. 引言

在在线应用中，用户对消息进行签名以便后续承担责任是很常见的需求。例如，在网上银行应用中，银行服务器可能要求用户对资金转账请求进行签名，以便在发生纠纷时向第三方证明用户确实发起了特定的转账操作。然而，大多数应用并未要求用户对消息签名，主要原因在于（经过认证的）加密密钥存在可用性问题，用户需要随身携带私钥（如存储在智能卡中）或在所有设备上存储私钥。

目前，允许用户对消息签名最流行的解决方案是基于“基于云的公钥基础设施（PKI）证书”。简单来说，每个用户在云端服务器存储一对经过认证的密钥对，用户通过密码或一次性代码向服务器进行身份验证，并请求服务器代其对消息进行签名。由于其易用性，基于云的 PKI 证书被许多公司和国家行政机构采用。

但这种方案存在问题，它会损害用户签名消息的不可抵赖性。第三方可能无法确定服务器代用户签发的签名是否确实得到了用户的授权，因为服务器持有用户的密钥对，可以随意代表用户签署任何消息，用户可能会否认签署过某条消息。

理想的解决方案应具备两个特点：一是保留基于云的 PKI 证书等仅使用密码技术的易用性；二是确保没有服务器能够冒充或诬陷用户，代其签发签名。现有的基于密码的密钥派生协议并不适用于此问题。例如，从低熵密码派生加密密钥的技术（如 PBKDF2 密钥派生函数）容易受到离线暴力攻击；在线协议如密码认证密钥建立（PAKE）无法保证不可抵赖性，因为 PAKE 允许双方从共同密码派生对称密钥，若使用该密钥签名，无法确定签名是否由用户生成，服务器持有用户密码还可离线计算签名密钥并随意诬陷用户。“非对称”PAKE 协议也存在同样的缺点。

2. 主要贡献

我