29、基于见证伪随机函数的密码认证密钥交换通用构造

基于见证伪随机函数的密码认证密钥交换通用构造

1. 引言

随着信息技术的发展和智能终端的普及，人们之间的通信变得更加便捷。与此同时，终端用户对数据安全的关注度也日益提高。密码学是实现数据安全的主要工具，在恶意环境中，不同参与方之间通过协议生成一个秘密会话密钥，进而使用该会话密钥进行对称加密和消息认证码（MAC）操作，以实现安全通信，这是密码学中的一个重要问题。

Diffie和Hellman最早研究了秘密会话密钥的生成问题，他们提出的Diffie - Hellman密钥交换协议可以让双方在面对能够窃听通信数据的被动攻击者时安全地共享会话密钥。然而，该协议无法抵御中间人攻击，因为它不提供任何形式的认证。后续出现了一些双方认证密钥交换（AKE）协议，但这些协议都要求双方共享高熵信息。

研究人员发现，对于AKE而言，最小熵的共享信息就足够了，由此诞生了基于密码的认证密钥交换（PAKE）协议。PAKE协议允许双方仅使用从所有可能值的小集合中选择的简单共享密码来生成会话密钥。这种密码具有低熵的特点，虽然成本低廉且易于记忆，但也容易被暴力破解，可能遭受字典攻击。在讨论安全协议时，需要考虑离线攻击和在线攻击两种类型。PAKE协议必须能够抵御离线攻击，而在线攻击虽然不可避免，但可以通过限制在线查询的数量来解决。

PAKE的开创性工作由Bellovin和Merrit完成，之后Bellare等人和Boyko等人提出了正式的安全模型。此后，在随机预言模型下提出了大量的构造方案。标准模型下的第一个PAKE协议由Goldreich和Lindell给出，但效率较低。Katz等人在DDH假设下展示了第一个高效的PAKE协议，该协议需要一个公共参考字符串（CRS）设置。Gennaro和Lind