62、《从密钥封装机制到密码认证密钥交换的通用转换》

《从密钥封装机制到密码认证密钥交换的通用转换》

1. 引言

密码认证密钥交换（PAKE）协议允许两个用户在仅共享低熵密码的前提下，通过不安全信道导出一个秘密密钥。近年来，随着连接设备的激增以及在公共密钥基础设施（PKI）可能不实用或不可取的场景中对安全通信需求的增长，PAKE变得越来越重要。

它特别适用于物联网（IoT）或电子护照等场景。以物联网设备为例，由于设备数量众多，且其计算资源和连接性有限，PKI不可行。PAKE允许这些设备使用简单密码进行安全通信，并且在密码泄露时可以轻松更换。同样，在电子护照的情况下，PAKE可用于在护照和读取器之间建立安全通信，而无需PKI，提供了更便携和独立的解决方案。

PAKE的安全性总是弱于基于PKI的认证密钥交换，因为低熵密码会导致强大的字典攻击。PAKE安全模型的概念是接受这种字典攻击的可能性，但要证明它们必须在线进行，即离线无法进行密码有效性测试。与认证密钥交换相比，这种轻微的安全降级通常是可以接受的，因为在线字典攻击在实际环境中很少相关，而且PAKE的效率更高。

目前有两种主要的PAKE安全模型：Bellare - Pointcheval - Rogaway（BPR）模型和通用可组合性（UC）模型。BPR模型是基于游戏的安全模型，使用特定游戏评估对手破坏协议的能力；而UC模型是基于模拟的模型，提供更严格的安全保证。

PAKE的概念在20世纪90年代由Bellovin和Meritt通过加密密钥交换（EKE）协议正式化和分析。多年来，出现了两种主要的PAKE类别：一类使用密码来模糊交换的消息，另一类将密码作为构建必要材料（如组生成器）的随机性的一部分。然而，并非所有PAKE设计都在强大的UC安全模型中