18、低计算与通信开销的非对称PAKE协议解析

低计算与通信开销的非对称PAKE协议解析

1. 密钥隐藏一次性密钥认证密钥交换（otkAKE）

otkAKE是通用可组合密钥隐藏AKE的非对称变体。它与传统AKE的关键区别在于区分了两种类型的密钥：可被对手破坏的长期密钥（客户端密钥）和不可被破坏的临时密钥（服务器密钥）。

• 会话初始化 ：任何持有密钥对的一方P，都可以使用该密钥启动会话，并指定对方的公钥。环境通过命令 (NewSession, sid, CP, role, pkP, pkCP) 来模拟这一过程，其中sid是唯一会话标识符，CP是对方标识符，role指定P是长期密钥方还是临时密钥方。功能将该会话标记为初始新鲜状态，创建会话记录并选择一个随机函数RsidP。
• 对手攻击 ：如果对手主动攻击会话Psid，通过Interfere查询进行模拟，会话将被标记为受干扰。会话结束并输出密钥时，若会话新鲜，功能将输出随机字符串作为会话密钥；若会话受干扰，会话密钥由随机函数RsidP确定。

以下是otkAKE功能的相关操作总结表格：
| 操作类型 | 操作内容 | 具体规则 |
| — | — | — |
| 密钥初始化与攻击 | (Init, role) from P | 若role ∈ {cl, sr}，发送 (Init, P, role) 给A，让A指定pk，将pk添加到PK和PKroleP，输出 (Init, pk) 给P。若P腐败，将pk添加到CPK。 |
| | (Compromise, P, pk) from A | 此查询需环境批准，若pk ∈ PKclP