19、低计算与通信成本的非对称密码验证密钥交换协议解析

低计算与通信成本的非对称密码验证密钥交换协议解析

1. OKAPE 协议概述

OKAPE 协议与两种密钥隐藏的 otkAKE 协议结合时，若服务器 S 作为发起方，会得到一个 2 轮的 aPAKE 协议；若客户端 C 作为发起方，则是 3 轮协议。由于 S 启动协议，OKAPE 能免费使用公开加盐的密码哈希。随机盐值 s 可作为密码文件的一部分，密码哈希定义为 H(pw, s)，s 会在 S 的第一条协议消息中与信封 e 一起发送给 C。

不过，这种轮次复杂度的改进有两个代价：
- 服务器 S 对客户端 C 只是隐式认证，若 C 在使用会话密钥前需要 S 的显式认证，轮次减少就不再适用。
- OKAPE 的计算成本比 KHAPE 略高，因为 S 需要在线生成信封 e，这增加了一个理想密码加密操作，当前理想密码实现（如椭圆曲线群元素）有不可忽视的小成本。

此外，OKAPE 协议假设从均匀随机比特串生成私钥，因为希望 C 从密码哈希导出其 AKE 私钥 a。对于某些公钥密码系统（如 RSA），这可能不切实际，但在基于素数阶群的 Diffie - Hellman 密码系统中，这种随机性可简单等同于私钥。

定理 3 表明，若 AKE 协议实现功能 FotkAKE，且 prf 是安全的 PRF，IC∗ 是 otkAKE 临时公钥空间上的理想密码，那么协议 OKAPE 实现 UC aPAKE 功能 FaPAKE - cEA。FaPAKE - cEA 是标准 UC aPAKE 功能扩展了客户端到服务器的实体认证。

2. aEKE 协议介绍

aEKE 协议即非对称加密密钥交换协议，是 otkAKE - to -