密码协议学习笔记(2):密钥交换协议

密钥交换协议:

设计密钥交换协议的目的是在多个用户之间安全地协商出一个共享的会话密钥(用于对称加密协议).

博主注:该类协议要求保证在可窃听信道的通信中密钥的安全,而在可篡改信道的通信中,密钥被篡改时可以被识别.

Diffie-Hellman密钥交换协议:

通信双方Alice,Bob约定素数阶有限域 $F_{p}$ (可以理解为 $[0, p - 1]$ )和乘法循环群 $F_{p}^{*}$ (可以理解为 $[0, p - 1]$ 与模 $p$ 乘法构成的代数结构)的任意生成元 $g$ (可以理解为 $[1, p - 1]$ 上的任意整数),然后执行如下运算:

(博主注: $g$ 的值是多少应当是公开的)

Alice在 $[1, p - 2] = {1, 2, \dots, p - 2}$ 中随机选择 $a$ ,计算 $g_{a} = g^{a} \mod p$ ,将 $g_{a}$ 发送给Bob
Bob也在 $[1, p - 2] = {1, 2, \dots, p - 2}$ 中随机选择 $b$ ,计算 $g_{b} = g^{b} \mod p$ ,将 $g_{b}$ 发送给Alice
Alice计算 $(g_{b})^{a} \mod p$ ,Bob计算 $(g_{a})^{b} \mod p$ ,由于 $(g_{b})^{a} = g^{a b} = (g_{a})^{b}$ ,这两个计算出来的值相同,因此可以作为协商出来的密钥.

公开: $g$
Alice		Bob
选取 $a \in [1, p - 2]$ ,计算 $g_{a} = g^{a}$
	$g_{a} \to$
		选取 $b \in [1, p - 2]$ ,计算 $g_{b} = g^{b}$
	$\leftarrow g_{b}$
计算 $(g_{b})^{a}$		计算 $(g_{a})^{b}$

该密钥交换协议在可窃听信道上是安全的,虽然 $p, g$ 是公开的,但即使窃听者监听了 $g_{a}, g_{b}$ ,要以此还原秘密值 $a, b$ 或者求解 $(g_{b})^{a} \mod p$ 意味着需要计算离散对数,这在计算复杂度上是不可行的.

但该协议在可篡改信道上是不安全的,因为会面临中间人攻击的威胁.

针对Diffie-Hellman密钥交换协议的中间人攻击:

Alice在 $[1, p - 2] = {1, 2, \dots, p - 2}$ 中随机选择 $a$ ,计算 $g_{a} = g^{a} \mod p$ ,将 $g_{a}$ 发送给Bob
但发送的中途被Eve截获,Eve则选择了一个 $e_{1} \in [1, p - 2]$ ,并将 $g_{a}^{'} = g^{e_{1}}$ 假装成Alice发送的信息,转发给Bob
Bob也在 $[1, p - 2] = {1, 2, \dots, p - 2}$ 中随机选择 $b$ ,计算 $g_{b} = g^{b} \mod p$ ,将 $g_{b}$ 发送给Alice
同样被Eve截获,Eve选择了一个 $e_{2} \in [1, p - 2]$ ,将 $g_{b}^{'} = g^{e_{2}}$ 假装成Bob发送的信息,转发给Alice
收到"Alice"信息的Bob计算 $(g_{a}^{'})^{b} = g^{e_{1} b}$
收到"Bob"信息的Alice计算 $(g_{b}^{'})^{a} = g^{e_{2} a}$
Eve同样能够计算出 $g^{e_{1} b}, g^{e_{2} a}$ ,用于分别和Bob和Alice进行通信的密钥,此后,Eve便可在两人之间充当"中间人",随意监听,拦截,篡改消息

公开: $g$
Alice		Eve		Bob
选取 $a \in [1, p - 2]$ ,计算 $g_{a} = g^{a}$
	$g_{a} \to$
		选取 $e_{1} \in [1, p - 2]$
			$g_{a}^{'} = g^{e_{1}} \to$
				选取 $b \in [1, p - 2]$ ,计算 $g_{b} = g^{b}$
			$\leftarrow g_{b}$
		选取 $e_{2} \in [1, p - 2]$
	$\leftarrow g_{b}^{'} = g^{e_{2}}$
计算 $(g_{a}^{'})^{b} = g^{e_{1} b}$				计算 $(g_{b}^{'})^{a} = g^{e_{2} a}$

注意,Eve并不知道 $a, b$ 分别是多少,但这不影响它对此协议的攻击,它只需要在可篡改信道上篡改消息即可

要避免这种攻击,就需要引入数字签名与证书

端-端协议:

该算法需要有一个可信中心Torrent,Torrent拥有:

自己的私钥 $s k_{T}$ ,用于签名算法 $S i g n_{T} (\cdot)$
公钥 $p k_{T}$ ,任何人都可用此公钥验证Torrent的签名的有效性

Torrent若要为Alice背书,应当做如下几件事:

生成Alice的私钥 $s k_{A}$ ,公钥 $p k_{A}$
使用自己的私钥 $s k_{T}$ 为 $p k_{A}$ 和Alice的ID签名: $S i g n_{T} (I D_{A}, p k_{A})$
将 $C e r t_{A} = (I D_{A}, p k_{A}, S i g n_{T} (I D_{A}, p k_{A}))$ 作为证书,连同私钥 $s k_{A}$ ,内置在Alice的系统中

同理,Torrent若要为Alice背书,应当做如下几件事:

生成Bob的私钥 $s k_{B}$ ,公钥 $p k_{B}$
使用自己的私钥 $s k_{T}$ 为 $p k_{B}$ 和Bob的ID签名: $S i g n_{T} (I D_{B}, p k_{B})$
将 $C e r t_{B} = (I D_{B}, p k_{B}, S i g n_{T} (I D_{B}, p k_{B}))$ 作为证书,连同私钥 $s k_{B}$ 内置在Bob的系统中.

之后的过程就类似于Diffie-Hellman密钥交换协议了,Alice想要与Bob协商密钥,应当:

在 $[1, p - 2] = {1, 2, \dots, p - 2}$ 中随机选择 $a$
计算 $g_{a} = g^{a} \mod p$ ,
将 $g_{a}$ 发送给Bob

Bob在收到Alice的信息后,做类似的事:

在 $[1, p - 2] = {1, 2, \dots, p - 2}$ 中随机选择 $b$ ,
计算 $g_{b} = g^{b} \mod p$
使用自己的私钥 $s k_{B}$ 对 $g_{a}, g_{b}$ 进行签名
将 $g_{b}$ , $S i g n_{B} (g_{a}, g_{b})$ ,连同和自己的证书 $C e r t_{B}$ 一同发送给Alice

Alice要做如下的事确保对面的人是可信的:

使用 $p k_{T}$ 验证签名 $S i g n_{T} (I D_{B}, p k_{B})$ 是否真的由 $s k_{T}$ 签署 (若是,则说明Torrent认可 $p k_{B}$ , $s k_{B}$ 签署的签名也是可信的)
使用 $p k_{B}$ 验证签名 $S i g n_{B} (g_{a}, g_{b})$ 是否真的由 $s k_{B}$ 签署 (若是,则说明 $s k_{B}$ 的持有者真的拿到了自己的 $g_{a}$ ,发来的 $g_{b}$ 也是由它本人认可的)

g_{a}

使用自己的私钥 $s k_{A}$ 对 $g_{a}, g_{b}$ 进行签名
将 $S i g n_{A} (g_{a}, g_{b})$ ,连同和自己的证书 $C e r t_{A}$ 一同发送给Bob

Bob也要做如下的事确保对面是可信的:

使用 $p k_{T}$ 验证签名 $S i g n_{T} (I D_{A}, p k_{a})$ 是否真的由 $s k_{T}$ 签署
使用 $p k_{A}$ 验证签名 $S i g n_{A} (g_{a}, g_{b})$ 是否真的由 $s k_{A}$ 签署

做完这些后,Alice和Bob互相确认了对方的身份,接下来,他们只要分别计算 $(g_{b})^{a}, (g_{a})^{b}$ 就可以作为双方通信的密钥了

如果中间人Eve在第4,5步之间截获了 $g_{a}$ 并将之篡改为 $g_{h}$ 发送给Bob的话,Bob只会对 $g_{h}$ 签名,得到 $S i g n_{B} (g_{b}, g_{h})$ ,Eve不持有 $s k_{B}$ ,因此它无法伪造 $S i g n_{B} (g_{a})$ .

而Eve若尝试伪造证书,换用其他的密钥 $s k_{H}$ ,则因为它不持有Torrent的私钥 $s k_{T}$ ,因此无法伪造 $S i g n_{T} (I D_{B}, p k_{H})$ 来谎称 $p k_{H}$ 属于Bob.

公开: $g, p k_{T}$
Alice		Bob
$s k_{A}, C e r t_{A} = (I D_{A}, p k_{A}, S i g n_{T} (I D_{A}, p k_{A}))$		$s k_{B}, C e r t_{B} = (I D_{B}, p k_{B}, S i g n_{T} (I D_{B}, p k_{B}))$
选取 $a \in [1, p - 2]$ ,计算 $g_{a} = g^{a}$
	$g_{a} \to$
		选取 $b \in [1, p - 2]$ ,计算 $g_{b} = g^{b}$
		签名 $S i g n_{B} (g_{a}, g_{b})$
	$\leftarrow g_{b}, S i g n_{B} (g_{a}, g_{b}), C e r t_{B}$
用 $p k_{T}$ 验证 $S i g n_{T} (I D_{B}, p k_{B})$
用 $p k_{B}$ 验证 $S i g n_{B} (g_{a}, g_{b})$
签名 $S i g n_{A} (g_{a}, g_{b})$
	$S i g n_{A} (g_{a}, g_{b}) \to$
		用 $p k_{T}$ 验证 $S i g n_{T} (I D_{A}, p k_{A})$
		用 $p k_{A}$ 验证 $S i g n_{A} (g_{a}, g_{b})$

Matsumoto-Takashima-Imai (MTI)密钥交换协议:

这是一种不需要通信双方计算签名的密钥交换协议,取而代之使用一对数 $x \in [1, p - 2], y = g^{x} \mod p$ , $x$ 由拥有者秘密保留,而 $y$ 则公开

Torrent为Alice的ID和公开指数 $y_{A} = g^{x_{A}}$ 签名,将 $C e r t_{A} = (I D_{A}, y_{A}, S i g n_{T} (I D_{A}, y_{A}))$ 作为证书,连同私有指数 $x_{A}$ 内置在Alice的系统中
Torrent为Bob的ID和公开指数 $y_{B} = g^{x_{B}}$ 签名,将 $C e r t_{B} = (I D_{B}, y_{B}, S i g n_{T} (I D_{B}, y_{B}))$ 作为证书,连同私有指数 $x_{B}$ 内置在Bob的系统中
Alice若要与Bob协商密钥,选择 $r_{A} \in [1, p - 2]$ ,计算 $g_{A} = g^{r_{A}} \mod p$ ,将 $C e r t_{A} = (I D_{A}, y_{A}, S i g n_{T} (I D_{A}, y_{A}))$ 和 $g_{A}$ 发送给Bob.
Bob选择 $r_{B} \in [1, p - 2]$ ,计算 $g_{B} = g^{r_{B}} \mod p$ ,将 $C e r t_{B} = (I D_{B}, y_{B}, S i g n_{T} (I D_{B}, y_{B}))$ 和 $g_{B}$ 发送给Alice.
Alice计算 $K = g_{B}^{x_{A}} y_{B}^{r_{A}} \mod p$
Bob计算 $K = g_{A}^{x_{B}} y_{A}^{r_{B}} \mod p$

最终的共享密钥值 $K = g^{r_{A} x_{B} + r_{B} x_{A}}$ .

公开: $g, p k_{T}$
Alice		Bob
私有指数 $x_{A} \in [1, p - 2]$ ,公开指数 $y_{B} = g^{x_{A}}$ ,证书 $C e r t_{A} = (I D_{A}, y_{A}, S i g n_{T} (I D_{A}, y_{A}))$		私有指数 $x_{B} \in [1, p - 2]$ ,公开指数 $y_{B} = g^{x_{B}}$ ,证书 $C e r t_{B} = (I D_{B}, y_{B}, S i g n_{T} (I D_{B}, y_{B}))$
选择 $r_{A} \in [1, p - 2]$ ,计算 $g_{A} = g^{r_{A}}$
	$g_{A}, C e r t_{A} \to$
		选择 $r_{B} \in [1, p - 2]$ ,计算 $g_{B} = g^{r_{B}}$
	$\leftarrow g_{B}, C e r t_{B}$
使用 $p k_{T}$ 验证 $S i g n_{T} (I D_{B}, y_{B})$		使用 $p k_{T}$ 验证 $S i g n_{T} (I D_{A}, y_{A})$
计算 $K = g_{B}^{x_{A}} y_{B}^{r_{A}}$		计算 $K = g_{A}^{x_{B}} y_{A}^{r_{B}}$

此时如果存在一个Eve,截获并篡改了信息,试图进行中间人攻击,则会出现这样的情况:

对MTI协议的中间人攻击:

Alice将 $C e r t_{A} = (I D_{A}, y_{A}, S i g n_{T} (I D_{A}, y_{A}))$ 和 $g_{A} = g^{r_{A}}$ 发送给Bob.
Eve截获此信息,将 $g_{A} = g^{r_{A}}$ 篡改为 $g_{A}^{'} = g^{r_{e_{1}}}$ 发送给Bob.(因为不知道Torrent的私钥,攻击者是没法对证书动手脚的)
Bob将 $C e r t_{B} = (I D_{B}, y_{B}, S i g n_{T} (I D_{B}, y_{B}))$ 和 $g_{B} = g^{r_{B}}$ 发送给Alice.
Eve同样截获此信息,将 $g_{B} = g^{r_{B}}$ 篡改为 $g_{B}^{'} = g^{r_{e_{2}}}$ 发送给Alice.
Alice计算 $K^{'} = g_{B}^{' x_{A}} y_{B}^{r_{A}} = g^{r_{A} x_{B} + r_{H a s h_{1}} x_{A}} \mod p$
Bob计算 $K^{″} = g_{A}^{' x_{B}} y_{A}^{r_{B}} = g^{r_{H_{2}} x_{B} + r_{B} x_{A}}$
然而,Eve因为不知道秘密指数 $x_{A}, x_{B}$ ,因此无法计算出 $K^{'}, K^{″}$ 中的任何一个,从而无法充当"中间人"

ECQMV密钥交换:

(TODO)

自证明公钥的密钥交换:

该协议的特点是不需要证书,公钥中隐含了ID

步骤1:从可信中心获取自证明公钥

Alice		Torrrent		Bob
		取素数 $p_{1}, q_{1}$ ,要求 $p = 2 p_{1} + 1, q = 2 q_{1} + 1$ 也是素数
		计算 $n = p q$
		取在 $Z_{n}^{*}$ 上阶为 $2 p_{1} q_{1}$ 的 $g$ (即,使得等式 $g^{x} = 1 \mod n$ 成立的最小的 $x = 2 p_{1} q_{1}$ )
		选取一个 $e \in [m a x (p, q), n]$ ,计算 $d = e^{- 1} \mod n$ 用于RSA加密
		将 $n, g, e$ 公开
选择 $x_{A} \in [1, n - 1]$ ,计算 $y_{A} = g^{x_{A}}$				选择 $x_{B} \in [1, n - 1]$ ,计算 $y_{B} = g^{x_{B}}$
	$(x_{A}, y_{A}) \to$		$(x_{B}, y_{B}) \leftarrow$
		(首先需要验证提交的数据是否符合 $y = g^{x}$ )计算 $p u b_{A} = (y_{A} - I D_{A})^{d} \mod n, p u b_{B} = (y_{B} - I D_{B})^{d} \mod n$
	$p u b_{A} \leftarrow$		$p u b_{B} \to$

这样,当其他用户需要使用Alice的公钥时,只需计算 $(p u b_{A}^{e} + I D_{A}) \mod n$ ,Bob同理

尽管 $p u b$ 的计算不需要 $x$ ,但用户仍需要将 $x$ 发送给Torrent,以向Torrent证明自己确实知道 $x$ (博主注:与Torrent通信的消息被截获了怎么办?可能的解决方案:买电脑时内置与Torrent通信的专用密钥)

步骤2:用户之间交换密钥

Alice		Bob
选择 $k_{A} \in [1, n - 1]$ ,计算 $g_{A} = g^{k_{A}}$		选择 $k_{B} \in [1, n - 1]$ ,计算 $g_{B} = g^{k_{B}}$
	$\leftarrow g_{A}, p u b_{A}, I D_{A}$
	$\to g_{B}, p u b_{B}, I D_{B}$
计算 $K = g_{B}^{x_{A}} (p u b_{B}^{e} + I D_{B})^{k_{A}}$		计算 $K = g_{A}^{x_{B}} (p u b_{A}^{e} + I D_{A})^{k_{B}}$

正确性:

$\begin{aligned} (p u b_{B}^{e} + I D_{B}) = & (((y_{B} - I D_{B})^{d})^{e}) + I D_{B} \\ = & (y_{B} - I D_{B}) + I D_{B} RSA解密运算 \\ = & y_{B} \end{aligned}$

$\begin{aligned} K = & g_{B}^{x_{A}} (p u b_{B}^{e} + I D_{B})^{k_{A}} \\ = & g_{B}^{x_{A}} y_{B}^{k_{A}} \\ = & (g^{k_{B}})^{x_{A}} (g^{x_{B}})^{k_{A}} \\ = & g^{k_{B} x_{A} + x_{B} k_{A}} \end{aligned}$

Bob的计算过程同理.

对(弱化的)自证明公钥体系的攻击:

如果Torrent不要求用户提交 $x$ 就颁发 $p u b$ ,则攻击者可用以下方式进行中间人攻击

为描述简便,以下示例中Eve只在会话中试图拦截Bob发送的消息

步骤1:伪造并冒领 $p u b$

Eve		Torrent
选取伪造的 $x_{A}^{'}$ ,计算 $y_{A}^{'} = g^{x_{A}^{'}}$
计算 $y_{E} = y_{A}^{'} - I D_{A} + I D_{H}$
	$y_{A}^{'} \to$	(Eve发送消息时就暴露了自己的 $I D_{H}$ )
		计算 $p u b_{E} = (y_{E} - I D_{H})^{d} \mod n$
	$p u b_{E} \leftarrow$

步骤2:拦截篡改Alice与Bob的通信

Alice		Eve		Bob
	$p u b_{A}, g_{A} \to$	篡改, $p u b_{A}^{'} = p u b_{E}, g_{A}^{'} = g^{x_{A}^{'}}$	$p u b_{A}^{'}, g_{A}^{'} \to$
	$p u b_{B}, g_{B} \leftarrow$		$p u b_{B}, g_{B} \leftarrow$
计算 $K = g_{B}^{x_{A}} (p u b_{B}^{e} + I D_{B})^{k_{A}}$		计算 $K^{'} = g_{B}^{x_{A}^{'}} (p u b_{B}^{e} + I D_{B})^{k_{A}^{'}}$		计算 $K^{'} = (g_{A}^{'})^{x_{B}} ((p u b_{A}^{'})^{e} + I D_{A})^{k_{B}}$

Bob计算出的密钥:

$\begin{aligned} K^{'} = & (g_{A}^{'})^{x_{B}} ((p u b_{A}^{'})^{e} + I D_{A})^{k_{B}} \\ = & (g^{k_{A}^{'}})^{x_{B}} (g^{x_{A}^{'}})^{k_{B}} \\ = & g^{k_{A}^{'} x_{B} + x_{A}^{'} k_{B}} \end{aligned}$

Eve计算出的密钥:

$\begin{aligned} K^{'} = & (g_{B})^{x_{A}^{'}} ((p u b_{B})^{e} + I D_{B})^{k_{A}^{'}} \\ = & (g^{k_{B}})^{x_{A}^{'}} (g^{x_{B}})^{k_{A}^{'}} \\ = & g^{k_{A}^{'} x_{B} + x_{A}^{'} k_{B}} \end{aligned}$

Eve可以用同样的手段让Alice也计算得出伪造的密钥,这个例子说明了,向Torrent提交秘密指数 $x$ 对于该协议的安全是关键的.

基于身份的密钥协商:

在该类协议中,ID就是公钥,而私钥是由系统中的TA(trusted authority)通过私钥生成器(private key generator,PKG)生成的

双线性映射:

设 $q$ 为大素数, $G_{1}$ 是 $q$ 阶的加法循环群, $P \in G_{1}$ 是生成元, $G_{2}$ 是与 $G_{1}$ 同阶的乘法循环群

(可以想象 $G_{1}$ 中的元素是椭圆曲线上的点)

将存在如下性质的函数 $e : G_{1} \times G_{1} \to G_{2}$ 称为双线性映射

双线性性 $\forall Q_{1}, Q_{2}, R_{1}, R_{2} \in G_{1}, e (Q_{1} + Q_{2}, R_{1} + R_{2}) = e (Q_{1}, R_{1} + R_{2}) e (Q_{2}, R_{1} + R_{2}) = e (Q_{1} + Q_{2}, R_{1}) e (Q_{1} + Q_{2}, R_{2})$ , $\forall Q, R \in G_{1}, a, b \in Z_{q}, e (a Q, b R) = e (Q, R)^{a b}$
非退化性 $e (P, P) \neq 1$
计算有效性 $\forall Q, R$ ,存在有效算法计算 $e (Q, R)$

(博主注:一个构造双线性映射的可行思路是,若2^q-1是素数,则可令G_2=(\{1,2,4,\cdots,2^{q-1}\},* \mod (2^q-1) ),e(Q,R)=2^{QR} \mod q)

(常用的双线性配对方案应当参考SN标准,反正我是没看懂)

基于身份的非交互密钥分配:

设 $q$ 为大素数, $G_{1}$ 是加法循环群, $P \in G_{1}$ 是生成元, $G_{2}$ 是与 $G_{1}$ 同阶的乘法循环群, $e : G_{1} \times G_{1} \to G_{2}$ 是双线性映射, $H a s h_{1} : {0, 1}^{*} \to G_{1}$ 是一个哈希函数,可将任意字符串映射至 $G_{1}$ .

Alice,Bob的身份 $I D_{A}, I D_{B}$ 以及身份的哈希值 $Q_{A} = H a s h_{1} (I D_{A}), Q_{B} = H a s h_{1} (I D_{B})$ 是公开的.

TA选取主密钥 $s \in [1, p - 1]$ ,计算 $S_{A} = s Q_{A}, S_{B} = s Q_{B}$ (博主注: $G_{1}$ 是加法群,没有乘法的定义,这里的乘法是数乘,即 $s$ 个 $Q_{A}$ 相加)分别分发给Alice,Bob

然后Alice计算 $K_{A} B = e (S_{A}, Q_{B})$ ,Bob计算 $K_{A} B = e (S_{B}, Q_{A})$ (实际上,这两个值均等于 $e (Q_{A}, Q_{B})^{s}$ )便得到了会话密钥.

问题:

会话密钥是静态的
必须提前在系统中注册

基于身份的双方密钥交换:

Alice,Bob双方的身份 $I D_{A}, I D_{B}$ 以及身份的哈希值 $Q_{A} = H a s h_{1} (I D_{A}), Q_{B} = H a s h_{1} (I D_{B})$ 是公开的

TA选取主密钥 $s \in [1, p - 1]$ ,计算 $S_{A} = s Q_{A}, S_{B} = s Q_{B}$ 分别分发给Alice,Bob

当Alice和Bob要会话时,按如下步骤交换会话密钥:

Alice		Bob
选取 $a \in [1, p - 1]$ ,计算 $W_{A} = a P$	$W_{A} \to$
	$W_{B} \leftarrow$	选取 $b \in [1, p - 1]$ ,计算 $W_{B} = b P$
计算 $K_{A} = e (S_{A}, W_{B} + a Q_{B})$		计算 $K_{B} = e (W_{A} + b Q_{A}, S_{B})$

$\begin{aligned} K_{A} = & e (S_{A}, W_{B} + a Q_{B}) \\ = & e (s Q_{A}, b Q_{B} + a Q_{B}) \\ = & e (Q_{A}, Q_{B})^{s (a + b)} \end{aligned}$

$\begin{aligned} K_{B} = & e (W_{A} + b Q_{A}, S_{B}) \\ = & e (a Q_{A} + b Q_{A}, s Q_{B}) \\ = & e (Q_{A}, Q_{B})^{s (a + b)} \end{aligned}$

(博主注:将模 $q$ 整数群作为 $G_{1}$ 用于该协议是不安全的,因为攻击者可以用快速幂计算 $Q_{A}^{- 1} (\mod q)$ ,截获 $W_{A}$ 后,计算 $W_{A} \cdot Q_{A}^{- 1}$ 就能得到 $a$ )

(而若 $G_{1}$ 是椭圆曲线上的群,那么已知 $Q_{A}$ ,从 $W_{A} = a Q_{A}$ 中逆推 $a$ 则需要求解椭圆曲线上的离散对数问题,这在计算上是不可行的)

三方密钥交换:

Alice,Bob,Charlie三方为了会话要协商出一个相同的密钥

三方Diffie-Hellman密钥交换:

公开信息:模数 $p$ , $g \in [1, p - 1]$
	Alice:选取 $a \in [1, p - 1]$

Charlie:选取 $c \in [1, p - 1]$		Bob:选取 $b \in [1, p - 1]$

	Alice
$g_{C} = (g^{c}) ↗$		$↘ g_{A} = (g^{a})$
Charlie	$\leftarrow g_{B} = (g^{b})$	Bob

	Alice
$k_{C} = (g_{B})^{c} ↗$		$↘ k_{A} = (g_{C})^{a}$
Charlie	$\leftarrow k_{B} = (g_{A})^{b}$	Bob

	Alice:计算 $k = (k_{C})^{a}$

Charlie:计算 $k = (k_{B})^{c}$		Bob:计算 $k = (k_{A})^{b}$

很明显,容易遭到中间人攻击.

基于双线性配对的密钥交换:

公开信息:模数 $q$ ,加法循环群 $G_{1}$ ,乘法循环群 $G_{2}$ ,生成元 $P \in G_{1}$ ,双线性映射 $e$

	Alice:选择 $a \in [1, q - 1]$ ,计算 $a P$

Charlie::选择 $c \in [1, q - 1]$ ,计算 $c P$		Bob::选择 $b \in [1, q - 1]$ ,计算 $b P$

将生成的值直接广播即可.

Alice

$c P ↗$

$a P ↙$

$↘ a P$

$↖ b P$

Charlie

$\leftarrow b P$

$\to c P$

Bob

	Alice: $k = e (b P, c P)^{a}$

Charlie: $k = e (a P, b P)^{c}$		Bob: $k = e (a P, c P)^{b}$

显然, $k = e (P, P)^{a b c}$

该方案只需要一轮通信便可得到会话密钥.

但仍然无法抵抗中间人攻击.

多方密钥交换:

最简单的思路: $n$ 个参与者就使用 $n - 1$ 轮Diffie-Hellman密钥交换.

Burmester-Desmedt多方密钥交换:

只需要两轮交互的密钥交换

公开信息:模数 $q$ ,生成元 $g$

对于每个用户 $U_{i}$ ,选择 $x_{i}$ ,计算 $Z_{i} = g^{x_{i}}$ 并发送给上下家.
获取自己上家,下家的广播信息,计算 $X_{i} = (\frac{Z_{i + 1}}{Z_{i - 1}})^{x_{i}}$ ,并广播
计算 $K = Z_{i - 1}^{n x_{i}} X_{i}^{n - 1} X_{i + 1}^{n - 2} \dots X_{i + n - 2}$

即,将自己 $X$ 值的 $n - 1$ 次方,自己下家 $X$ 值的 $n - 2$ 次方......乘在一起,然后乘上自己上家的 $Z$ 值的 $n x_{i}$ 次方,便得到了会话密钥 $K$

以4个用户的密钥交换举例:

$X_{1} = (\frac{g^{x_{2}}}{g^{x_{4}}})^{x_{1}}$

$X_{2} = (\frac{g^{x_{3}}}{g^{x_{1}}})^{x_{2}}$

$X_{3} = (\frac{g^{x_{4}}}{g^{x_{2}}})^{x_{3}}$

$X_{4} = (\frac{g^{x_{1}}}{g^{x_{3}}})^{x_{4}}$

然后观察 $U_{1}$ 计算出的 $K$

$\begin{aligned} K = & Z_{4}^{4 x_{1}} X_{1}^{3} X_{2}^{2} X_{3} \\ = & (g^{x_{4}})^{4 x_{1}} (\frac{g^{x_{2}}}{g^{x_{4}}})^{3 x_{1}} (\frac{g^{x_{3}}}{g^{x_{1}}})^{2 x_{2}} (\frac{g^{x_{4}}}{g^{x_{2}}})^{x_{3}} \\ = & g^{4 x_{1} x_{4}} \cdot \frac{g^{3 x_{1} x_{2}}}{g^{3 x_{1} x_{4}}} \cdot \frac{g^{2 x_{2} x_{3}}}{g^{2 x_{1} x_{2}}} \cdot \frac{g^{x_{3} x_{4}}}{g^{x_{2} x_{3}}} \\ = & g^{x_{1} x_{2} + x_{2} x_{3} + x_{3} x_{4} + x_{4} x_{1}} \end{aligned}$

还是没有考虑中间人攻击.

posted @ 2023-09-06 17:21 Isakovsky 阅读(317) 评论(0) 编辑收藏举报

刷新页面返回顶部

登录后才能查看或发表评论，立即登录或者逛逛博客园首页

相关博文：

· 密码协议学习笔记(3):实体认证协议

· 密码协议学习笔记(8.1):秘密分享

· Python-全栈安全（一）

· Python-密码学实践指南-全-

· 真实世界的密码学（三）

阅读排行：
· TypeScript + Deepseek 打造卜卦网站：技术与玄学的结合
· Manus的开源复刻OpenManus初探
· AI 智能体引爆开源社区「GitHub 热点速览」
· 从HTTP原因短语缺失研究HTTP/2和HTTP/3的设计差异
· 三行代码完成国际化适配，妙~啊~

公告

昵称： Isakovsky
园龄： 5年7个月
粉丝： 12
关注： 1

+加关注

2025年3月

日

一

二

三

四

五

六

Isakovsky

AfACMer,北京理工大学,网络空间安全学院,PhD在读博客所有内容遵循CC0协议,但建议转载时附上原博客链接.

密码协议学习笔记(2):密钥交换协议

密钥交换协议: