28、可穿戴设备认证密钥交换设计与多幂RSA密码系统变体分析

可穿戴设备认证密钥交换设计与多幂RSA密码系统变体分析

可穿戴设备认证密钥交换

在可穿戴设备的认证密钥交换过程中，涉及到一些关键的概念和步骤。双方通过交换临时密钥来推导相同的DH密钥$g^{xy}$，并由此得出$k_0$。设$u_I = g^x$是一方$I$在第一条消息中发送的临时密钥，$v_P = g^y$是$I$在第二条消息中接收的临时密钥；同样，$u_R = g^x$和$v_R = g^y$分别是另一方$R$接收和发送的密钥。

在签名验证方面，$R$生成的签名是$Sign_{SRF_{sk_R}}(sid, u_R, v_R)$，$I$验证的签名是$Sign_{SRF_{sk_I}}(sid, u_I, v_I)$。由于$Sign_{SRF_{sk_R}}(sid, u_R, v_R)$是$R$在会话标识符$sid$上生成的唯一签名，所以这两个签名的参数必须相同，否则攻击者就伪造了一个有效的签名。如果攻击者伪造有效签名的概率可以忽略不计，那么除了极小的概率外，有$u_I = u_R$且$v_I = v_R$。同理，$I$生成的签名和$R$验证的签名也有相同的结论。这样，$I$计算的DH值为$v_I^x = v_R^y = (g^y)^x$，$R$计算的DH值为$u_R^y = u_I^y = (g^x)^y$，双方为会话$sid$计算的会话密钥是相同的。

下面通过一个表格来总结可穿戴设备认证密钥交换的相关信息：
| 参与方 | 发送临时密钥 | 接收临时密钥 | 生成签名 | 验证签名 |
| ---- | ---- | ---- | ---- | ---- |
| $I$ | $u_I = g^x$ | $v_P = g^y$ | $Sign