79、更快更短的密码认证密钥交换

更快更短的密码认证密钥交换

在当今数字化时代，密码认证密钥交换（Password-Authenticated Key Exchange，PaKE）在保障通信安全方面起着至关重要的作用。本文将深入探讨一种更快更短的密码认证密钥交换协议，介绍其涉及的效率提升、所需的密码学工具、平滑投影哈希函数以及具体的协议内容和安全证明。

1. 效率提升

在密码认证密钥交换协议的实现中，效率是一个关键考量因素。不同的签名方案在计算和传输效率上存在显著差异。
- 使用对称原语 ：KOY 或 GL 协议最有效的实现方式之一是使用基于对称原语（如单向函数）的一次性签名。以 Lamport 签名为例，对于单个比特 b 的签名，公钥由两个值 y0 和 y1 组成，私钥为 x0 和 x1，其中 yi = F(xi)，F 是单向函数。签名时，签名者揭示 xb。在安全参数为 128 的情况下，传输密钥和签名大约需要 12 KBytes。也有其他方案可以创建更短的签名，但会增加计算时间。而我们的解决方案仅需 256 位用于消息认证码（MAC）。
- 数论签名 ：可以使用基于强 RSA 假设的可证明安全签名方案（如 Gennaro - Halevi - Rabin 或 Cramer - Shoup）来实现 KOY 或 GL 协议中的签名步骤。这些方案不仅引入了额外的计算假设，还需要多次模幂运算，传输密钥和签名大约需要 4 Kbit 的带宽。Boneh - Boyen 方案的签名仅需 160 位，但发送验证密钥仍需 2 Kbit，且签名验证需要计算双线性映射，代价较高。此外，还有一些更高效的数论一次性签名，但由于模幂运算和验证密钥及签名的传输，这