9、密码学协议的攻击、安全模型与证书详解

密码学协议的攻击、安全模型与证书详解

1. 认证密钥协商

在实际应用中，实体认证和密钥协商协议通常结合在认证密钥交换协议（AKE）中。这里简要介绍所有此类协议的原型——签名Diffie - Hellman密钥交换。

在签名Diffie - Hellman密钥交换协议中，交换的Diffie - Hellman份额α和β会通过数字签名进行额外认证，这能防止针对标准DHKE的简单中间人攻击。最终得到的值CDH(α, β)并不直接用作密钥，而是作为确定性密钥派生函数KDF()的（秘密）输入，由该函数计算所需的密钥。以下是该协议的流程：

A (skA, pkA)           B (skB, pkB)
a $←{0, 1}λ
α ←ga
σA ←SIG.SignskA(α)
− α, σA −−−−−−−−−−− →
                b $←{0, 1}λ
                β ←gb
                σB ←SIG.SignskB(β)
                k ←KDF(αb)
← − β, σB −−−−−−−−−−−
k ←KDF(βa)

2. 攻击与安全模型

2.1 协议安全模型

密码学协议中参与者之间的交互十分复杂，攻击者会利用这种复杂性进行攻击。例如，攻击者可以修改在A和B之间协议执行过程中读取的消息，并用于对第三方C发起攻击。攻击者可以扮演合法参与者的角色，但不必遵循协议规范。

为了给具体协议定义安全标准，需要在计算模型中对这些复杂交互进行形