一种可证安全的两方口令认证密钥交换协议

电⼦商务安全期末复习电⼦商务安全与管理期末复习题型： 1. 选择题（30分：1.5分1题，共20题）2. 判断并说明理由题（28分：4分1个，共7题。

其中判断对错占2分，简要说明理由占2分）3. 简答题（30分：6分1题，共5题）4. 综合分析题（12分：6分1题，共2题）1、电⼦商务涉及的安全问题有哪些？P4-6A. 信息的安全问题：冒名偷窃、篡改数据、信息丢失、信息传递出问题B. 信⽤的安全问题：来⾃买⽅的安全问题、来⾃卖⽅的安全问题、买卖双⽅都存在抵赖的情况C. 安全的管理问题D. 安全的法律保障问题2、电⼦商务系统安全的三个组成部分。

P74、电⼦商务的安全保障主要由哪三⽅⾯去实现？P17-22技术措施①信息加密技术：保证数据流安全，密码技术和⾮密码技术②数字签名技术：保证完整性、认证性、不可否认性③TCP/IP服务：保证数据完整传输④防⽕墙的构造选择：防范外部攻击，控制内部和病毒破坏管理措施①⼈员管理制度：严格选拔落实⼯作责任制贯彻ＥＣ安全运作三项基本原则：多⼈负责、任期有限、最⼩权限②保密制度不同的保密信息有不同的安全级别③跟踪、审计、稽核制度跟踪：⾃动⽣成系统⽇志审计：对⽇志进⾏审计（针对企业内部员⼯）稽查：针对企业外部的监督单位④系统维护制度硬件和软件⑤数据容灾制度⑥病毒防范制度⑦应急措施法律环境《中华⼈民共和国电⼦签名法》5、风险分析和审计跟踪的主要功能P10-11风险分析：a.设计前：根据分析系统固有的脆弱性，旨在发现系统设计前的潜在风险。

b.运⾏前：根据系统运⾏期的运⾏状态和结果，分析潜在安全隐患。

c.运⾏期：根据系统运⾏记录，跟踪系统状态的变化，分析运⾏期的安全隐患。

d.运⾏后：分析系统运⾏记录，为改进系统的安全性提供分析报告。

审计跟踪：a.记录和跟踪各种系统状态的变化。

b.实现对各种安全事故的定位。

c.保存、维护和管理审计⽇志1、信息传输中的五种常见加密⽅式。

P27①链路－链路加密②节点加密③端－端加密④A TM⽹络加密⑤卫星通信加密链路-链路加密与端端加密区别：2、对称加密的原理及其优缺点，常见对称密码算法有DES，AES，三重DES，Rivest 密码，对称加密密钥的传输可使⽤RSA密钥传输法。

2008年7月July 2008计 算 机 工 程Computer Engineering 第34 第14期Vol 卷.34 No.14 ·博士论文·文章编号：1000—3428(2008)14—0004—03文献标识码：A中图分类号：TP309基于口令的认证密钥交换协议王天芹(河南大学数据与知识工程研究所，开封 475001)摘 要：提出一种基于(t , n )门限秘密共享技术的分布式口令认证密钥交换方案。

用户口令的验证密钥通过秘密共享方案在服务器组内进行分配，验证任务需要t 个服务器协调来完成，任意t -1个服务器合谋无法获得诚实服务器关于口令验证的任何信息。

动态生成每个服务器的局部密钥，保证了方案的前向安全性。

通过身份认证的各用户之间以对服务器组保密的方式交换会话密钥。

该方案在DDH 假设下被证明是安全的。

关键词：秘密共享方案；密钥交换协议；口令认证；DDH 假设Authenticated Key Exchange Protocol Based on PasswordWANG Tian-qin(Institute of Data and Knowledge Engineering, Henan University, Kaifeng 475001)【Abstract 】This paper presents a distributed password authenticated key exchange protocol based on (t , n )-threshold secret sharing scheme, in which a set of t servers jointly realizes the identification, whereas any conspiracy of fewer servers gains no information about the verification data.The scheme has the property of forward secrecy. The authenticated users possess the secret session key. Under the DDH assumption, the security of the scheme is proved.【Key words 】secret sharing scheme; key exchange protocol; password authentication; DDH assumption1 概述密码学的主要任务就是在不安全的环境中确保安全通信。

“认证密钥协商协议”文件汇总目录一、认证密钥协商协议的设计与分析二、基于身份和无证书的两方认证密钥协商协议研究三、认证密钥协商协议的设计与应用四、关于认证密钥协商协议若干问题的研究五、基于口令认证密钥协商协议设计六、高效的标准模型下基于身份认证密钥协商协议认证密钥协商协议的设计与分析认证密钥协商协议是网络安全中的关键组件，用于在通信双方之间建立安全、可验证的密钥。

这类协议广泛应用于各种安全通信场景，如电子商务、在线支付、物联网等。

随着网络技术的不断发展，对认证密钥协商协议的设计与分析显得尤为重要。

自20世纪80年代以来，许多认证密钥协商协议陆续被提出，主要包括基于对称加密和基于非对称加密两种类型。

其中，基于对称加密的协议具有良好的性能，但存在密钥分发和管理困难的问题；而基于非对称加密的协议则解决了这一问题，但通信效率和计算成本相对较高。

近年来，研究者们针对这些协议的不足之处进行了大量改进，提出了诸多优化方案。

为了设计一个高效的认证密钥协商协议，我们首先需要建立安全的会话，确保通信双方的连接不被窃听或篡改；需要实现安全的密钥交换，确保通信双方在交换过程中不会泄露密钥信息；需要进行有效的身份认证，以防止伪造和冒充攻击。

在会话建立阶段，我们可以采用安全的哈希函数和随机数生成器来确保会话的随机性和不可预测性。

同时，使用加密算法对通信内容进行加密，以防止窃听。

在密钥交换阶段，我们可以采用Diffie-Hellman 密钥交换算法来实现双方的安全密钥交换。

该算法能够保证在不安全的通信通道上交换密钥时，双方仍能安全通信。

在身份认证阶段，我们可以采用数字签名技术进行身份认证，确保通信双方的连接是安全、可信任的。

对于认证密钥协商协议的性能分析，我们需要从安全性、可用性、通信量和实现复杂度等多个方面进行评估。

在安全性方面，我们的协议采用了安全的哈希函数和加密算法来保护通信内容不被窃听或篡改。

Diffie-Hellman密钥交换算法和数字签名技术也能够保证通信双方的身份认证和密钥安全交换。

可证明安全的抗量子高效口令认证密钥交换协议尹安琪;汪定;郭渊博;陈琳;唐迪【期刊名称】《计算机学报》【年(卷),期】2022(45)11【摘要】基于格的口令认证密钥交换(Password-Authenticated Key Exchange,PAKE)协议在后量子时代具有广泛的应用前景.降低通信轮次可以有效提高执行效率,也是格上PAKE协议的重要优化方向.现有基于格的低轮次PAKE协议的构建方法主要有两种:一种是基于非交互式零知识(Non-Interactive Zero-Knowledge,NIZK)证明,但在标准模型下如何在格上实现NIZK证明仍然是公开问题;另一种虽然宣称基于不可区分适应性选择密文攻击(Indistinguishability under Adaptive Chosen-Ciphertext Attack,IND-CCA2)的安全模型,但实际上只采用了不可区分性选择密文攻击(Indistinguishability under Chosen-Ciphertext Attack,IND-CCA1)安全的公钥加密(Public Key Encryption,PKE)方案,该类PAKE 协议在现实应用时需要利用签名/验签等技术才能保证安全性.这两种方法都会增加计算和通信开销.为此,本文利用带误差学习(Learning with Errors,LWE)问题的加法同态属性,提出了一种格上IND-CCA2安全的非适应性平滑投影哈希函数(Smooth Projective Hash Function,SPHF),该函数支持一轮PAKE协议的构造;并确定了所基于的PKE方案中相关参数的大小,从而消除了LWE问题的不完全加法同态属性对SPHF正确性的影响.尽所知,这是格上第一个直接基于IND-CCA2安全模型的非适应性SPHF,且该SPHF具有相对独立的研究价值,可应用于证据加密、零知识证明和不经意传输等领域.基于此,本文构建了一种格上可证明安全的高效PAKE协议.该协议可以抵御量子攻击;只需要一轮通信,因而具有最优的通信轮次;是基于标准模型,所以避免了使用随机预言机的潜在安全威胁,特别是使用随机预言机可能导致格上PAKE协议遭受离线口令猜测攻击和量子攻击;在实际应用时,该协议也不需要利用NIZK证明和签名/验签等技术来保证安全性,这有效提高了执行效率.本文还利用人人网474万口令数据验证了基于CDF-Zipf定律的PAKE协议安全模型可以更加准确地评估PAKE协议所提供的安全强度;最后基于该安全性模型,本文在标准模型下对所提出的PAKE协议进行了严格的安全性证明.实验结果表明,与其它相关协议相比,本文协议具有最优的整体执行效率和最低的通信开销.【总页数】16页(P2321-2336)【作者】尹安琪;汪定;郭渊博;陈琳;唐迪【作者单位】信息工程大学电子技术学院;南开大学网络空间安全学院;天津市网络与数据安全技术重点实验室(南开大学)【正文语种】中文【中图分类】TP393【相关文献】1.一种高效的匿名口令认证密钥交换协议2.基于RLWE问题的后量子口令认证密钥交换协议3.后量子基于验证元的三方口令认证密钥交换协议4.可证明安全的抗量子两服务器口令认证密钥交换协议5.格上基于密文标准语言的可证明安全两轮口令认证密钥交换协议因版权原因，仅展示原文概要，查看原文内容请购买。

第３２卷第１期北京电子科技学院学报２０２４年３月Ｖｏｌ．３２Ｎｏ．１ＪｏｕｒｎａｌｏｆＢｅｉｊｉｎｇＥｌｅｃｔｒｏｎｉｃＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙＩｎｓｔｉｔｕｔｅＭａｒ．２０２４格上两方一轮身份认证协议王㊀雄㊀吕晓晗㊀王文博北京电子科技学院网络空间安全系，北京㊀１０００７０摘㊀要：在量子技术对传统密码冲击下，格上的口令认证密钥交换ＰＡＫＥ协议研究成为关注的热点㊂但是，当前格上ＰＡＫＥ协议大多通过两轮或三轮完成，且存在传输负载过重现象㊂而目前格上一轮协议多适用于一对一通信且不具有身份认证功能㊂针对以上问题提出的基于密钥共识的格上一轮身份认证协议，通过结合格上公钥加密㊁ＡＳＰＨ函数和密钥共识，实现了高效㊁安全的一轮通信中的身份认证与密钥协商㊂这一解决方案有望改善传统ＰＡＫＥ协议的问题，对于应对量子技术对密码学的挑战提供了一种思路㊂关键词：密钥共识；格密码；ＡＳＰＨ（ＡｐｐｒｏｘｉｍａｔｅＳｍｏｏｔｈＰｒｏｊｅｃｔｉｖｅＨａｓｈ）；身份认证中图分类号：ＴＰ３０９㊀㊀㊀文献标识码：Ａ文章编号：１６７２－４６４Ｘ（２０２４）１－０１－１１∗㊀基金项目：中央高校基本科研业务费资金资助（３２８２０２３０５２）∗∗㊀作者简介：王雄（１９７７－），男，河北保定人，副教授，硕士，主要研究方向为密码协议㊁密码系统㊂吕晓晗（１９９９－），女（通信作者），山东滨州人，硕士研究生，主要研究方向为密码协议㊁格密码（ｌｖｘｉａｏｈａｎ８２５２＠１６３．ｃｏｍ）㊂王文博（１９９９－），男，甘肃天水人，硕士研究生，主要研究方向为身份认证协议㊁漏洞挖掘㊂０㊀引言㊀㊀Ｂｅｌｌｏｖｉｎ等［１］１９９２年提出第一个口令认证密钥交换ＰＡＫＥ（Ｐａｓｓｗｏｒｄ⁃ＡｕｔｈｅｎｔｉｃａｔｅｄＫｅｙＥｘ⁃ｃｈａｎｇｅ）协议㊂由于ＰＡＫＥ中使用的口令简短易记，使得协议在很多领域中得以应用，并成为研究的热点㊂随后，大量文献基于对称密码体制㊁公钥密码体制提出了两方㊁三方的ＰＡＫＥ协议，并给出了随机预言机模型和标准模型下的安全证明，比如文献［２－５］㊂随着量子计算的发展，大量的密码技术遭遇前所未有的困难㊂基于格难题的ＰＡＫＥ协议以其并行运算㊁计算速度快和抗已知量子攻击等特点，成为后量子时代密码领域的研究新热点㊂Ｋａｔｚ等［６］构建了第一个基于格上困难问题的ＰＡＫＥ方案㊂该方案使用平滑投射哈希函数和容错学习问题，并且基于ＧＬ（Ｇｅｎｎａｒｏ⁃Ｌｉｎｄｅｌｌ）框架㊂然而，该方案中的投射密钥生成依赖于密文，协议的效率仍然较低㊂后续格上ＰＡＫＥ协议的设计方向主要基于不同的构造方案（例如通过引入ＡＳＰＨ函数㊁利用效率更高的困难问题㊁引入密钥共识算法等）提高认证效率㊂２０１１年，Ｄｉｎｇ等［７］构造了一个格上三轮两方ＰＡＫＥ协议，使格上ＰＡＫＥ协议的效率得到了一定的提高㊂２０１７年，Ｚｈａｎｇ等［８］对ＡＳＰＨ函数做出改进，利用底层ＰＫＥ（Ｐａｓｓｗｏｒｄ⁃ｂａｓｅｄｋｅｙｅｘ⁃ｃｈａｎｇｅ）及其关联的非自适应ＡＳＰＨ函数，搭建了两轮ＰＡＫＥ框架㊂同年，Ｇａｏ等［９］结合ＳＲＰ北京电子科技学院学报２０２４年（ＳｅｃｕｒｅＲｅｍｏｔｅＰａｓｓｗｏｒｄ）协议底层困难问题与判定ＲＬＷＥ（ＲｉｎｇＬｅａｒｎｉｎｇｗｉｔｈＥｒｒｏｒｓＰｒｏｂｌｅｍ）的优点，提出一个新的基于ＲＬＷＥ的ＳＲＰ协议㊂２０１７年，Ｊｉｎ等［１０］通过引入和形式化密钥共识及其非对称变异ＡＫＣ（ＡｄａｐｔｉｖｅＫ⁃ＣｕｒｖａｔｕｒｅＦｕｎｃ⁃ｔｉｏｎ）函数的构建工具，抽象了基于ＬＷＥ（Ｌｅａｒｎ⁃ｉｎｇｗｉｔｈＥｒｒｏｒｓＰｒｏｂｌｅｍ）和ＲＬＷＥ的密钥交换协议中的一些密钥成分，设计了ＫＣ（ｋｅｙｃｏｎｓｅｎ⁃ｓｕｓ）和ＡＫＣ（ａｓｙｍｍｅｔｒｉｃｋｅｙｃｏｎｓｅｎｓｕｓ）方案㊂２０１９年，Ｋａｒｂａｓｉ等［１１］对ＳＰＨ（ＳｍｏｏｔｈＰｒｏｊｅｃｔｉｖｅＨａｓｈ）函数进行改进，首次构造出基于ＲＬＷＥ问题的ＳＰＨＦ㊂２０２１年，李子臣等［１２］基于ＲＬＷＥ难题，利用了Ｐｅｉｋｅｒｔ错误协调机制，在客户端／服务器模式下构造出ＰＡＫＥ协议㊂２０２２年，尹安琪等［１３］根据Ｇｅｎｔｒｙ等的方案［１４］和Ｋａｔｚ等的方案［１５］设计了一种基于格的两轮ＰＡＫＥ协议，并分析了协议的安全性㊂同年，Ｌｉ等［１６］基于Ｐｅｉｋｅｒｔ方案［１７］提出一个具有自适应光滑性的基于格的ＳＰＨ函数，获得了具有严格安全分析的格上一轮ＰＡＫＥ协议㊂Ｚｈａｏ等［１８］也提出了一种基于密钥共识的格密码认证密钥交换协议㊂通过研究可以发现，上述协议或者具有两轮以上的交互（例如［６］㊁［７］㊁［１２］），或者不具有身份认证功能（例如［１８］㊁［８］）㊂当然，基于密钥共识机制设计出的格上身份认证协议可以有效减少通信轮数，但目前存在的格上一轮协议绝大多只能用于一对一的通信，并且不提供身份认证功能㊂为解决上述问题，本文提出一种新的基于密钥共识的格上一轮身份认证协议，提高通信效率的同时实现身份认证功能，并基于随机预言机模型证明了协议的安全性㊂１㊀相关知识１ １㊀格的相关知识定义１格㊂给定线性空间ｍˑｎ上ｍ个线性无关向量Ｂ＝（ｂ１， ，ｂｍ），这些向量的整系数线性组合表示为格Λ⊂Ｒｎ，即Λ＝Ｌ（Ｂ）＝ðｍｉ＝１ｘｉｂｉ，ｘｉɪ㊂在格密码中，明文和密文通常表示为向量㊂加密过程涉及将明文与格基和误差向量结合，然后进行一些数学运算，如模运算，以生成密文㊂解密过程涉及逆向操作，从密文恢复到原始明文㊂基于格的结构目前是后量子密码学的重要候选者，计算格问题无法有效解决的假设下，许多基于格的结构被认为是安全的㊂定义２㊀ＬＷＥ［１９］㊂ＬＷＥ分布是一种离散概率分布，通常用于描述一个随机过程，其中一些线性关系受到小的随机误差的干扰㊂在ＬＷＥ分布中，有一组向量（称为秘密向量ｓ）和一个包含噪声的线性组合，即对秘密向量的线性组合添加了一些随机误差㊂表示为：Ａｓ，α＝（ａ，ｂ＝ａｔｓ＋ｅｍｏｄｑ）ɪｎｑˑｑ（ｎ，ｑɪ，α＞０，ｓɪｎｑ）㊂其中，αѳｒｎｑ为随机均匀选取的向量，ｅѳｒＤ，αｑ为容错向量㊂ＬＷＥ难题是一个密码学难题，涉及到从ＬＷＥ分布的样本中恢复出秘密向量㊂具体来说，给定一组ＬＷＥ分布的样本（线性组合和噪声）ＬＷＥ难题的目标是找到生成这些样本的秘密向量㊂ＬＷＥ难题的安全性基于随机性和误差的引入，使得从样本中恢复秘密信息变得非常困难㊂ＬＷＥ难题在构建抗量子计算的加密算法研究中起到了关键作用，因此基于ＬＷＥ难题构建抗量子攻击的身份认证协议是一个可行的思路㊂１ ２㊀基于格的公钥加密体制基于ＬＷＥ问题的公钥密码体制表示为ＰＫε＝（ＫｅｙＧｅｎ，Ｅｎｃ，Ｄｅｃ），Ｐ表示明文的集合㊂该体制满足ＣＣＡ安全，具体如下所示：令ｎ１，ｎ２ɪ，ｑ为素数，ｎ＝ｎ１＋ｎ２＋１，ｍ＝Ｏ（ｎｌｏｇｑ）ɪ，α，βɪ㊂生成体制公私钥对的算法为（ｐｋ，ｓｋ）ѳＫｅｙＧｅｎ（１ｋ）：将与安全性相关的参数（ｐｋ，ｓｋ）作为算法的输入，得到（Ａ０，Ｒ０）ѳＴｒａｐＧｅｎ（１ｎ，１ｍ，ｑ）㊁（Ａ１，Ｒ１）ѳＴｒａｐＧｅｎ（１ｎ，１ｍ，ｑ）㊁ｃｒｓѳ㊃２㊃第３２卷格上两方一轮身份认证协议㊀ＣＲＳＧｅｎ（１ｋ），最终得到体制公钥和体制私钥的组合（ｐｋ，ｓｋ）＝（（Ａ０，Ａ１，ｃｒｓ），Ｒ０）㊂加密算法为ｃѳＥｎｃ（ｐｋ，ｌａｂｅｌ，ｐｗ）：输入公钥ｐｋ＝（Ａ０，Ａ１，ｃｒｓ）㊁明文ｐｗɪＰ㊁ｌａｂｅｌɪ｛０，１｝∗㊁随机数ｒ，随机选取ｓ０，ｓ１ѳｒｎｑ，ｅ０，ｅ１ѳｒＤｍ，αｑ，输出密文ｃ＝（ｕ，ｖ）㊁ｕ＝ｆ（ｐｋ，ｐｗ，ｒ）㊁ｖ＝ｇ（ｐｋ，ｌａｂｅｌ，ｐｗ，ｒ）㊂解密算法为Ｄｅｃ：输入私钥ｓｋ＝Ｒ０㊁ｌａｂｅｌ和密文ｃ＝（ｕ，ｖ），输出相应的明文ｐｗ或ʅ，记为ｐｗѳＤｅｃ（ｓｋ，ｌａｂｅｌ，（ｕ，ｖ））㊂正确性：对于任意公私钥对（ｐｋ，ｓｋ），密文ｃ＝（ｕ，ｖ）的第一部分ｕ在任何ｖᶄ和ｌａｂｅｌᶄɪ｛０，１｝∗的意义上修正明文ｐｗ，在安全参数ｋ和ｓｋ㊁ｒ的随机选择中Ｄｅｃ（ｓｋ，ｌａｂｅｌᶄ，（ｕ，ｖᶄ））∉｛ʅ，ｐｗ｝的概率是可以忽略的㊂１ ３㊀近似平滑投射哈希函数实现ＣＣＡ安全的公钥加密体制的平滑投射函数最早由Ｃｒａｍｅｒ等［２０］提出，本文使用的ＡＳ⁃ＰＨ函数参考文献［６］㊁［８］㊂给定ＣＣＡ安全公钥加密方案ＰＫε＝（ＫｅｙＧｅｎ，Ｅｎｃ，Ｄｅｃ）和有效可识别的ＰＡＫＥ密码字典消息空间Ｄ，假设该加密方案定义了密文的有效性，可以由ｐｋ单独有效地确定，所有诚实生成的密文都是有效的，并且假设不存在解密错误㊂假设给定一个有效密文ｃ，可以将ｃ＝（ｕ，ｖ）分解为（ｆ，ｇ）的输出㊂密钥对（ｐｋ，ｓｋ）由密钥生成算法ＫｅｙＧｅｎ（１ｋ）产生，Ｃｐｋ表示关于公钥ｐｋ的有效密文空间，Ｐ是明文空间㊂定义Ｘ＝｛（ｌａｂｅｌ，ｃ，ｐｗ）｜（ｌａｂｅｌ，ｃ）ɪＣｐｋ；ｐｗɪＰＬ＝｛（ｌａｂｅｌ，ｃ，ｐｗ）ɪＸ｜ｌａｂｅｌɪ｛０，１｝∗；ｃ＝Ｅｎｃ（ｐｋ，ｌａｂｅｌ，ｐｗ）｝Ｌ－＝｛（ｌａｂｅｌ，ｃ，ｐｗ）ɪＸ｜ｌａｂｅｌɪ｛０，１｝∗；ｐｗ＝Ｄｅｃ（ｓｋ，ｌａｂｅｌ，ｃ）｝一个公钥ｐｋ的公钥加密体制对应的ε－ａｐｐｒｏｘｉｍａｔｅＳＰＨ函数记为（Ｋ，ｌ，｛Ｈｈｋ：Ｘң｛０，１｝ｌ｝ｈｋɪＫ，ＨＰ，Ｐｒｏｊ：ＫңＨＰ㊂哈希密文的集合为Ｋ，Ｘ是函数的定义域，｛０，１｝ｌ为函数值域㊂近似平滑投射哈希函数由以下算法组成㊂对哈希密钥进行采样ｈｋѳｒＫ，ｈｋ是元组，其中每个元素都服从离散高斯分布；对于ｈｋɪＫ，ｘ＝（ｌａｂｅｌ，（ｕ，ｖ），ｐｗ）ɪＸ，计算Ｈｈｋ（ｘ）＝Ｈｈｋ（ｕ，ｐｗ）；计算投射密钥ｈｐ＝Ｐｒｏｊ（ｈｋ），其中ｈｋɪＫ㊂对于任意ｈｋѳｒＫ㊁ｘ＝（ｌａｂｅｌ，（ｕ，ｖ），ｐｗ）ɪＬ㊁随机数ｒ，计算ｕ＝ｆ（ｐｋ，ｐｗ，ｒ）㊁ｖ＝ｇ（ｐｋ，ｌａｂｅｌ，ｐｗ，ｒ），有一个有效的近似算法为Ｈａｓｈ（ｈｐ，ｘ，ｒ）＝Ｈａｓｈ（ｈｐ，（ｕ，ｐｗ），ｒ）㊂正确性：对ｘ＝（ｌａｂｅｌ，（ｕ，ｖ），ｐｗ）ɪＬ以及投射密钥ｈｐ＝Ｐｒｏｊ（ｈｋ），满足Ｐｒ［Ｈａｍ（Ｈｈｋ（ｕ，ｐｗ），Ｈａｓｈ（ｈｐ，（ｕ，ｐｗ），ｒ））ȡε］＝ｎｅｇｌ（ｋ）㊂平滑性：对任意的函数ｈ：ＨＰңＸ＼Ｌ－㊁ｈｋѳｒＫ㊁ｈｐ＝Ｐｒｏｊ（ｈｋ）㊁ｘ＝ｈ（ｈｐ）㊁ρѳｒ｛０，１｝ｌ，两个分布（ｈｐ，Ｈｈｋ（ｘ））和（ｈｐ，ρ）是不可区分的㊂１ ４㊀密钥共识定义４密钥共识（Ｋｅｙｃｏｎｓｅｎｓｕｓ［１０］）㊂一个密钥共识算法ＫＣ＝（ｐａｒａｍｓ，Ｃｏｎ，Ｒｅｃ），其中的参数定义如下：ｐａｒａｍｓ＝（ｑ，ｍ，ｇ，ｄ，ａｕｘ）表示系统参数，ｑ，ｍ，ｇ，ｄ均为正整数，且满足ｍ，ｇ是２的幂，ｑ＝ｍ㊃ｇ，２ｍｄ＜ｑ，ａｕｘ表示通常由ｑ，ｍ，ｇ，ｄ确定的辅助值，可以设置为一个特殊的符号Φ指示为空㊂（ｋ１，ｖ）ѳＣｏｎ（σ１，ｐａｒａｍｓ）：输入为（σ１ɪｑ，ｐａｒａｍｓ），概率多项式时间调节算法的输出为（ｋ１，ν），其中ｋ１ɪｍ是共享密钥，ｖɪｇ是在后续过程中将公开传输到另一个通信方的提示信号，以便双方达成共识㊂ｋ２ѳＲｅｃ（σ２，ｖ，ｐａｒａｍｓ）：输入为（σ２ɪｑ，ｖ，ｐａｒａｍｓ），确定性多项式时间和解密算法Ｒｅｃ输出ｋ２ɪｍ㊂正确性：如果ｋ１＝ｋ２且任意σ１，σ２ɪｑ满足｜σ１－σ２｜ｑɤｄ，密钥共识算法满足正确性㊂安全性：如果ｋ１和ｖ相互独立，且ｋ１均匀分布在ｍ，σ１ɪｑ时，密钥共识算法满足安全性㊂㊃３㊃北京电子科技学院学报２０２４年２㊀安全模型㊀㊀本文在文献［２１］的基础上给出安全性分析模型㊂协议的参与者包含用户Ｍ和信任的服务器Ｖ用户持有的能在服务器证明身份信息的口令记为ｗ（ｗɪＤ，独立均匀选取），服务器拥有该口令对应的ｗᶄ，ｗᶄ与ｗᶄ相等㊂ΠｉＭ表示用户Ｍ中的第ｉ个实例，ΠｊＶ表示服务器Ｖ中的第ｊ个实例㊂敌手Ａ是一种概率多项式时间（Ｐｒｏｂａｂｉ⁃ｌｉｓｔｉｃＰｏｌｙｎｏｍｉａｌ⁃Ｔｉｍｅ，ＰＰＴ）算法，可以完全控制这些设备之间的所有通信信道㊂Ａ可以拦截和读取所有消息，删除或修改任何所需的消息，以及注入它自己的消息㊂还允许Ａ获得一个实例的会话密钥，以便模拟会话密钥可能发生的泄漏㊂敌手Ａ与每个实例进行交互的方式如下所示㊂ｅｘｅｃｕｔｅ（Ｍ，ｉ，Ｖ，ｊ）㊂此查询用于模拟对手的被动攻击能力㊂如果ΠｉＭ和ΠｊＶ没有被激活，该提示查询模型将激活ΠｉＭ和ΠｊＶ来运行协议，然后将协议执行记录发送给对手㊂ｓｅｎｄ（Ｍ，ｉ，ｍｓｇ）㊂它用于模拟对手对证明者实例ΠｉＭ的主动攻击㊂敌手拦截并修改发送给实例ΠｉＭ的消息ｍｓｇ，将用户实例ΠｉＭ对消息的回应返回给Ａ㊂ｓｅｎｄ（Ｖ，ｊ，ｍｓｇ）㊂该询问模拟敌手的主动攻击，敌手拦截发送给服务器ΠｊＶ的消息并进行修改，再把该服务器相应的的回复返回到Ａ㊂ｒｅｖｅａｌ（Ｍ，ｉ）㊂此查询模拟已知的密钥攻击或会话密钥丢失㊂它允许对手获得用户实例ΠｉＭ的有效会话密钥㊂ｔｅｓｔ（Ｍ，ｉ）㊂该查询用于描述协议会话密钥的语义安全性，而对手只能访问一次查询㊂选择一个随机比特ｂѳｒ｛０，１｝，如果ｂ＝１，则返回用户实例ΠｉＭ的会话密钥ｓｋｉＭ；否则返回均匀选取的随机值㊂新鲜性㊀如果对手Ａ没有向实例ΠｉＭ请求ｒｅｖｅａｌ（Ｍ，ｉ），那么实例ΠｉＭ就是新鲜的㊂在查询模型中，只要当验证者接受会话密钥时，查询操作ｔｅｓｔ（Ｍ，ｉ）中的实例ΠｉＭ保证是新鲜的，对手就可以在多项式时间内进行任何顺序查询㊂安全性㊀设口令字典空间为Ｄ，Ｑ（ｋ）为攻击者以在线方式测试口令次数的边界值，其中ｋ表示与安全参数无关的常数㊂如果对于所有字典Ｄ和所有的ＰＰＴ对手Ａ最多进行Ｑ（ｋ）次在线攻击，满足ａｄｖΠ，Ａ（ｋ）ɤＱ（ｋ）｜Ｄ｜＋ｎｅｇｌ（ｋ），那么该ＰＡＫＥ协议是安全的㊂３㊀基于密钥共识的格上一轮身份认证协议３ １㊀方案构造基于密钥共识的格上一轮身份认证协议使用ＡＳＰＨ函数进行设计，利用可拆分公钥密码体制［６，８］和密钥共识算法［１０］实现安全性和高效性㊂协议中的符号说明如表１所示㊂表１㊀协议中的符号说明Ｔａｂ．１㊀Ｅｘｐｌａｎａｔｉｏｎｏｆｓｙｍｂｏｌｓｉｎｔｈｅａｇｒｅｅｍｅｎｔ符号说明符号说明ｒ１，ｒ２用户和服务器的随机值ｌａｂｅｌ标签ｈｋＨａｓｈ密钥ｆ，ｇ函数ＫＨａｓｈ密钥空间ｓｋ１，ｓｋ２用户，服务器的会话密钥ｈｐ投射密钥用户和服务器共享口令ｗɪＤ，其中，Ｄ为系统中口令的集合㊂协议的具体流程如下：（１）初始化阶段公钥加密体制的公钥ｐｋ由可信第三方生成，对应的私钥任何用户不能知悉㊂用户上传身份标识与口令ｗ到服务器，服务器按照身份标识与口令的对应关系保存所有用户身份标识以及口令㊂（２）身份认证及密钥协商阶段用户与服务器实现身份认证及密钥协商的㊃４㊃第３２卷格上两方一轮身份认证协议㊀流程如图１㊂图１㊀基于密钥共识的格上一轮身份认证协议Ｆｉｇ．１㊀Ｏｎｅｒｏｕｎｄｉｄｅｎｔｉｔｙａｕｔｈｅｎｔｉｃａｔｉｏｎｐｒｏｔｏｃｏｌｂａｓｅｄｏｎｋｅｙｃｏｎｓｅｎｓｕｓｏｎｌａｔｔｉｃｅ（１）用户Ｍ：选择随机值ｒ１㊁散列密钥ｈｋ１，计算ｈｐ１＝Ｐｒｏｊ（ｈｋ１）；令ｌａｂｅｌ１＝ＩＤＭ｜｜ＩＤＶ｜｜ｈｐ１，计算（ｕ１，ｖ１）＝Ｅｎｃ（ｐｋ，ｌａｂｅｌ１，ｗ，ｒ１），其中ｕ１＝ｆ（ｐｋ，ｗ，ｒ１），ｖ１＝ｇ（ｐｋ，ｌａｂｅｌ１，ｗ，ｒ１）；令ｃ１＝（ｕ１，ｖ１），将身份标识以及发送给服务器Ｖ㊂（２）服务器Ｖ：接收到用户消息后，首先对ｃ１的有效性进行验证，如果无效就选择终止此次会话；若验证有效，随机选择ｒ２，散列密钥ｈｋ２，计算ｈｐ２＝Ｐｒｏｊ（ｈｋ２）㊁ｕ２＝ｆ（ｐｋ，ｗᶄ，ｒ２）；计算σ１＝Ｈａｓｈ（ｈｐ１，（ｕ２，ｗᶄ），ｒ２）⊕Ｈｈｋ２（ｕ１，ｗᶄ），ｎ＝σ１ｍｏｄｇ，会话密钥ｓｋ１＝⌊σ１ｇ」；令ｌａｂｅｌ２＝ＩＤＭ｜｜ＩＤＶ｜｜ｈｐ１｜｜ｈｐ２，ｖ２＝ｇ（ｐｋ，ｌａｂｅｌ２，ｗᶄ，ｒ２）；令ｃ２＝（ｕ２，ｖ２），将ｈｐ２㊁ｃ２以及ｎ发送给用户Ｍ㊂（３）用户Ｍ：接收到服务器Ｖ的消息后，首先对ｃ２的有效性进行验证，如果无效就选择终止此次会话；若验证有效，计算σ２＝Ｈｈｋ１（ｕ２，ｗ）⊕Ｈａｓｈ（ｈｐ２，（ｕ１，ｗ），ｒ１），并计算会话密钥ｓｋ２＝⌊（σ２－ｎ）／ｇ⌉ｍｏｄｍ㊂接下来，证明协议的正确性㊂根据ＡＳＰＨ的近似正确性可知：Ｐｒ［Ｈａｍ（Ｈｈｋ（ｕ，ｐｗ），Ｈａｓｈ（ｈｐ，（ｕ，ｐｗ），ｒ））ȡε］＝ｎｅｇｌ（ｋ）㊂因此σ１和σ２的汉明距离至多为２ε㊂现引入一个新的函数｜㊃｜ｔ：对任意正整数ｔȡ１，｜ｘ｜ｔ＝ｍｉｎ｛ｘｍｏｄｔ，ｔ－ｘｍｏｄｔ｝㊂我们使用｜σ１－σ２｜ｑ来度量两个元素之间的距离，由于σ１和σ２的汉明距离至多为２ε，与ｑ相比相对较小，所以｜σ１－σ２｜ｑɤｄ㊂根据｜㊃｜ｔ的定义可以知道：对任意ｘ，ｙ，ｔ，ｌɪ，ｔȡ１，ｌȡ０，如果｜ｘ－ｙ｜ｔɤ１，那么存在θɪ以及δɪ［－１，１］使得ｘ＝ｙ＋θｔ＋δ㊂因为｜σ１－σ２｜ｑɤｄ，所以存在θɪ和δɪ［－１，１］使得σ２＝σ１＋θｑ＋δ㊂因此ｓｋ２＝⌊（σ１－ｎ＋θｑ＋δ）／ｇ⌉ｍｏｄｍ＝（ｓｋ１＋θｍ＋⌊δ／ｇ⌉）ｍｏｄｍ⌊⌉意为取最接近的整数，因为２ｍｄ＜ｑ，所以｜θｇ｜ɤｄｇ＜１２，所以δ／ｇ最接近零可忽略，因此ｓｋ２＝ｓｋ１ｍｏｄｍ＝ｓｋ１㊂３ ２㊀安全性证明本节给出了格上基于密钥共识的一轮身份认证密钥交换协议的安全性证明㊂定理１如果ＰＫε＝（ＫｅｙＧｅｎ，Ｅｎｃ，Ｄｅｃ）是一种基于ＬＷＥ难题ＣＣＡ安全的公钥加密方案和？－ＡＳＰＨ函数簇，并且使用密钥共识ＫＣ＝（ｐａｒａｍｓ，Ｃｏｎ，Ｒｅｃ）来协商会话密钥㊂那么本文协议是一个安全的ＰＡＫＥ协议㊂要证明定理１，选择通过一系列游戏从游戏０到游戏７来建立㊂游戏０代表一个真实且安全的游戏，而游戏７代表一个随机选择会话密钥的均匀分布游戏，其安全性是通过增加对手的优势来建立的㊂我们通过逐步转变游戏规则来证明定理１㊂ａｄｖＡ，ｉ（ｋ）表示在游戏Ｇｉ中敌手的优势㊂从游戏０到７，敌手的优势差最多为Ｑ（ｋ）｜Ｄ｜＋ｎｅｇｌ（ｋ）㊂游戏０：本实验在一个安全模型中模拟了游㊃５㊃北京电子科技学院学报２０２４年戏的真实攻击㊂游戏１：相比较于游戏０，本实验修改了每个ｅｘｅｃｕｔｅ询问的回答中σ２的的计算方法，将其修改为用ｈｋ来直接进行计算，例如，σ２＝Ｈｈｋ１（ｕ２，ｗ） Ｈｈｋ２（ｕ１，ｗ）㊂基于格ＰＡＫＥ协议的ε－ＡＳＰＨ函数簇为：１）哈希函数簇Ｈ＝｛Ｈｈｋ｝ｈｋɪＨＫ，其中，定义域为Ｘ，值域为｛０，１｝ｌ，ＨＫ为Ｈａｓｈ密钥空间；２）密钥投射函数Ｐｒｏｊ：ＨＫңＨＰ，其中，ＨＰ为投射密钥空间㊂由于模拟器知道ｈｋ，引理１可以通过ＡＳＰＨ的近似正确性推导出来㊂因此存在｜ａｄｖＡ，１（ｋ）－ａｄｖＡ，０（ｋ）｜ɤｎｅｇｌ（ｋ）㊂游戏２：继续将ｅｘｅｃｕｔｅ做修改，将密文ｃ１替换为加密虚拟口令（不属于字典集Ｄ的口令被称为虚拟口令）得到的密文㊂游戏１和游戏２的唯一区别是在加密结果上的替换，如果敌手Ａ能够明显优于随机猜测地区分这两个游戏，那么存在算法Ｂ可以在底层格上的公钥加密中打破ＣＣＡ安全性㊂算法Ｂ随机均匀地选择一个挑战公钥ｐｋ，并在游戏１中与敌手Ａ交互㊂如果对手Ａ要求算法Ｂ进行一个ｅｘｅｃｕｔｅ询问，那么Ｂ首先随机选择ｈｋ１ѳｒＫ，计算ｈｐ１＝Ｐｒｏｊ（ｈｋ１）㊂然后向挑战者发送（ｗ，０）和ｌａｂｅｌ１＝ＩＤＭ｜｜ＩＤＶ｜｜ｈｐ１以获得一个挑战密文ｃ∗１㊂最后，算法Ｂ将使用密文ｃ∗１作为ｅｘｅｃｕｔｅ查询的答案，并将对手Ａ的输出视为自己的猜测㊂如果ｃ∗１是真实密码ｗ的加密密文，算法Ｂ将完全模拟对手Ａ的攻击环境，否则，算法Ｂ将在游戏２中模拟对手Ａ的攻击环境㊂因此，如果对手Ａ不能以明显优势区分游戏１和游戏２，那么算法Ｂ就不能以同样的优势破坏ＣＣＡ的安全性㊂由于公钥加密体制满足ＣＣＡ安全，所以｜ａｄｖＡ，２（ｋ）－ａｄｖＡ，１（ｋ）｜ɤｎｅｇｌ（ｋ）㊂游戏３：继续将ｅｘｅｃｕｔｅ做修改，强制σ２与σ１为直接选取的随机数，而其他计算保持不变㊂在每次ｅｘｅｃｕｔｅ询问中，两个密文ｃ１和ｃ２都是加密不属于字典集的随机数得到的值，其中，σ１和σ２的值在统计上接近于均匀分布，因此可以忽略所产生的优势差异㊂根据ＡＳＰＨ函数的定义及性质，有｜ａｄｖＡ，３（ｋ）－ａｄｖＡ，２（ｋ）｜ɤｎｅｇｌ（ｋ）㊂在从游戏１到游戏３的过程中，敌手Ａ修改了ｅｘｅｃｕｔｅ查询的模拟方式，并且在这些修改后的查询中没有获得有关用户密码的任何信息㊂接下来将开始考虑以下ｓｅｎｄ询问㊂ｓｅｎｄ０（Ｍ，ｉ，Ｖ，ｊ）㊂激活证明者和验证者实例获取协议执行记录㊂ｓｅｎｄ１（Ｖ，ｊ，ｍｓｇ１）㊂敌手给服务器发送一轮消息ｍｓｇ１＝（ＩＤＭ，ｃ１，ｈｐ１）得到服务器返回的下一轮消息㊂ｓｅｎｄ２（Ｍ，ｉ，ｍｓｇ２）敌手向用户实例ᵑｉＭ发送下一轮消息ｍｓｇ２＝（ｈｐ２，ｃ２，ｎ）㊂如果服务器实例ΠｊＶ接收到有效的消息ｍｓｇ１，就向敌手返回相应的消息ｍｓｇ２㊂模拟器Ｃ将记录与密钥生成阶段生成的公钥ｐｋ对应的私钥ｓｋ㊂游戏４：对于ｓｅｎｄ１（Ｖ，ｊ，ｍｓｇ１）询问，令ｌａｂｅｌᶄ１＝ＩＤＭᶄ｜｜ＩＤＶᶄ｜｜ｈｐ１，如果ｃᶄ１不是有效的密文，则模拟器Ｃ拒绝该消息㊂否则，模拟器Ｃ利用私钥ｓｋ计算ｗᶄ＝Ｄｅｃｓｋ（ｃᶄ１），若ｗᶄ＝ｗ，则认为敌手Ａ成功并结束游戏㊂假设ｃᶄ１是一个有效的密文，因为游戏４中的模拟器Ｃ知道ｐｋ对应的私钥ｓｋ，所以，解密ｃᶄ１可以得到ｗᶄ㊂显然这种令ｗᶄ＝ｗ的修改可以增加敌手的优势㊂至于ｗᶄʂｗ这种情况，有（ｌａｂｅｌᶄ１，ｃᶄ１，ｗ）∉Ｌ－㊂根据ＡＳＰＨ的平滑性，ｗᶄʂｗ的优势在统计距离上可以忽略㊂根据近似平滑散列函数的定义和密钥共识的正确性，有ａｄｖＡ，３（ｋ）ɤａｄｖＡ，４（ｋ）＋ｎｅｇｌ（ｋ）㊂游戏５：对于ｓｅｎｄ２（Ｍ，ｉ，ｍｓｇ２），令ｍｓｇ２＝（ＩＤＭ，ｃ１，ｈｐ１）是ｓｅｎｄ０（Ｍ，ｉ，Ｖ，ｊ）询问输出的消㊃６㊃第３２卷格上两方一轮身份认证协议㊀息㊂如果ｍｓｇ２ᶄ是之前ｓｅｎｄ１（Ｖ，ｊ，ｍｓｇ１）询问的输出，模拟器直接使用相应的ｈｋ１计算σ２，强制用户实例与服务器实例拥有相同的σ，由于σ对敌手是隐藏的，所以此修改不改变敌手的优势㊂令ｌａｂｅｌᶄ２＝ＩＤＭ｜｜ＩＤＶ｜｜ｈｐᶄ１｜｜ｈｐᶄ２；如果检验ｃᶄ２不是有效的密文，模拟器Ｃ拒绝询问；否则，模拟器Ｃ用私钥ｓｋ解密ｃᶄ２得到ｗᶄ㊂若ｗᶄ＝ｗ，模拟器Ｃ认为敌手成功并停止模拟，这个修改增加了敌手的优势㊂根据近似平滑散列函数的定义和密钥共识的正确性，有ａｄｖＡ，４（ｋ）ɤａｄｖＡ，５（ｋ）＋ｎｅｇｌ（ｋ）㊂游戏６：对ｓｅｎｄ０（Ｍ，ｉ，Ｖ，ｊ）询问进行修改，如果用户触发了ｓｅｎｄ０操作，那么将对虚拟口令进行加密，并生成密文ｃ１㊂在游戏５和游戏６之间唯一的区别是，密文是对不属于字典集Ｄ的口令加密获取的值㊂如果敌手Ａ可以在概率多项式时间内明显优于随机猜测地区分这两个游戏，并将其能力转换为算法Ｂ，那么算法Ｂ可以以相同的优势破坏公钥密码体制的ＣＣＡ安全性㊂随机均匀选择一个挑战公钥ｐｋ，算法Ｂ使用ｐｋ作为协议的ＣＲＳ，模拟游戏５中敌手Ａ的攻击环境㊂当算法Ｂ回答敌手的ｓｅｎｄ０询问时，首先随机选择ｈｋ１ѳｒＫ，计算ｈｐ１＝Ｐｒｏｊ（ｈｋ１）㊂然后算法Ｂ向挑战者发送（ｗ，０）和ｌａｂｅｌ１＝ＩＤＭ｜｜ＩＤＶ｜｜ｈｐ１，获得一个挑战密文ｃ∗１㊂最后算法Ｂ将（ＩＤＭ｜｜ＩＤＶ｜｜ｈｐ１）发送给敌手Ａ㊂当算法Ｂ必须解密有效密文对（ｌａｂｅｌᶄ１，ｃᶄ１）＝（ｌａｂｅｌ１，ｃ∗１）时，提交（ｌａｂｅｌᶄ，ｃᶄ１）给自己的ＣＣＡ安全挑战者㊂算法Ｂ取一个比特值ｂɪ｛０，１｝作为敌手Ａ的输出，将其作为它自己的猜测㊂如果密文ｃ∗１是对真实密码ｗ的加密，而算法Ｂ模拟了敌手Ａ在游戏５中的攻击环境，那么如果敌手Ａ能够在概率多项式时间内明显优于随机猜测地区分游戏６和游戏５，那么算法Ｂ可以以相同的优势破坏公钥密码体制的ＣＣＡ安全性㊂而公钥加密体制确保ＣＣＡ安全，所以｜ａｄｖＡ，６（ｋ）－ａｄｖＡ，５（ｋ）｜ɤｎｅｇｌ（ｋ）㊂游戏７：ｓｅｎｄ１（Ｖ，ｊ，ｍｓｇᶄ１＝（ＩＤＭᶄ，ｃᶄ１，ｈｐᶄ１））询问被修改，如果ｍｓｇᶄ１是之前ｓｅｎｄ０询问的输出，模拟器Ｃ用相应的散列密钥（ｈｋ１，ｈｋ２）计算σ１；否则，模拟器Ｃ执行方式完全类似于游戏６㊂如果ｍｓｇᶄ１是之前ｓｅｎｄ０询问的输出，那么模拟器Ｃ可以知道相应的散列密钥（ｈｋ１，ｈｋ２），ｃᶄ１是对虚拟口令的加密㊂因此可知，该修改的统计距离可以忽略不计㊂所以，根据近似平滑散列函数的定义和密钥共识的正确性，有｜ａｄｖＡ，７（ｋ）－ａｄｖＡ，６（ｋ）｜ɤｎｅｇｌ（ｋ）㊂在给定场景中，事件ε表示敌手Ａ提交了一个密文，然后成功解密该密文以获得真实密码ｗ㊂如果事件ε没有发生，那么可以忽略敌手Ａ在安全参数ｋ上的任何优势㊂在游戏７中，所有查询输出的密文都是虚拟口令的加密结果，因此敌手Ａ无法通过查询获得有关真实密码的任何相关信息㊂因为Ｑ（ｋ）次在线攻击是敌手Ａ的极限，且一次攻击的概率成功为Ｐｒ［ｗᶄ＝ｗ］ɤ１｜Ｄ｜，所以事件ε发生的概率最大为Ｑ（ｋ）｜Ｄ｜，经过计算可得知，ａｄｖＡ，７（ｋ）ɤＱ（ｋ）｜Ｄ｜＋ｎｅｇｌ（ｋ）㊂综合游戏１ 游戏７可以得到ａｄｖＡ，０（ｋ）ɤＱ（ｋ）｜Ｄ｜＋ｎｅｇｌ（ｋ）㊂所以定理１的说法正确㊂４㊀性能比较㊀㊀本节从安全性和效率两个方面，对本文协议和已有的格上两方身份认证协议进行比较，具体如表２㊁表３所示㊂其中，Ｅｘｐ表示模幂运算，Ｅｎｃ／Ｄｅｃ表示公钥加密／解密运算，ＡＳＰＨ／ＳＰＨ表示近似平滑投射哈希运算，Ｈａｓｈ表示哈希运算㊂同时，为了能够更加直观的对协议的性能进行比较，本文统一分别假设ｌ㊁ｋ㊁ｎ㊁ｍ㊁ｌｏｇｑ的值㊃７㊃北京电子科技学院学报２０２４年为１２８ｂｉｔ㊁１２８ｂｉｔ㊁２５６ｂｉｔ㊁６４００ｂｉｔ与１２㊂表２㊀通信与计算开销比较Ｔａｂ．２㊀Ｃｏｍｐａｒｉｓｏｎｏｆｃｏｍｍｕｎｉｃａｔｉｏｎａｎｄｃｏｍｐｕｔｉｎｇｃｏｓｔｓ协议难题假设双向认证通信复杂度通信开销／ｂｉｔ计算开销［１８］ＬＷＥ否Ｏ（（ｍ＋ｎｋ）ｌｏｇｑ）４７００１６３Ｅｘｐ＋１Ｅｎｃ＋２Ｈａｓｈ［８］ＬＷＥ否Ｏ（２（４ｍ－２ｎ＋ｋｎ）ｌｏｇｑ＋ｋ）１００１６００２Ｅｎｃ＋４ＡＳＰＨ＋２Ｈａｓｈ［６］ＬＷＥ是Ｏ（（３ｍｎ＋２ｋｎ）ｌｏｇｑ＋ｋ）５９７６９９８４２Ｅｘｐ＋２Ｅｎｃ＋２ＡＳＰＨ＋５Ｈａｓｈ［１３］ＧＰＶ是Ｏ（（（ｍｎ＋１）＋ｋ（ｎ＋１））ｌｏｇｑ）２００５５５５２２Ｅｘｐ＋２Ｅｎｃ＋２ＳＰＨ＋４Ｈａｓｈ本协议ＬＷＥ是Ｏ（（ｍｎ＋ｎｌ）ｌｏｇｑ＋ｌ）２００５４１４４２Ｅｘｐ＋２Ｅｎｃ＋２ＡＳＰＨ＋２Ｈａｓｈ㊀㊀本文使用ＬＷＥ问题进行协议的设计，多项式时间内量子算法无法解决，因而能够抵抗量子攻击㊂协议［１８］㊁［８］只是完成通信密钥的协商，缺少对通信双方的身份认证，协议［６］㊁［１３］与本文协议提供通信双方相互认证的功能，进一步提升了协议的安全性㊂在通信开销方面，支持双向认证的协议需要更多的通信数据㊂但是，相对于协议［６］和［１３］，本文协议的通信开销进一步降低，提高了通信效率㊂在计算开销方面，本文协议相对于协议［１８］减少了指数运算次数但是增加了加密与哈希运算次数，与［８］相比增加了指数运算次数，但是哈希运算次数得到了减少㊂虽然指数运算成本比哈希运算的成本消耗要高，但是总体来看还是增加了计算开销，这也是提供双向认证的必要开销㊂从表２也可以看到，本文通过利用密钥共识算法，比同为双向认证的协议［６］㊁［１３］减少了哈希运算次数，缩短了计算所需的时间㊂综合来看，在保证安全性的前提下，本文协议降低了计算开销，提高了计算效率㊂表３㊀存储开销对比Ｔａｂ．３㊀Ｓｔｏｒａｇｅｏｖｅｒｈｅａｄｃｏｍｐａｒｉｓｏｎ协议存储复杂度存储开销客户端服务器客户端服务器［１８］Ｏ（（ｍｌ＋ｍ＋ｎ＋ｋ＋ｋｍ）ｌｏｇｑ＋ｍ）Ｏ（（２（ｍ＋ｎ）ｋ＋ｋ）ｌｏｇｑ＋２ｍ）１９７４８６０８２０４６１５６８［８］Ｏ（（２ｍｎ＋ｋ（ｍ＋２ｎ１）＋８ｍ－３ｎ１＋２ｎ２＋１）ｌｏｇｑ＋５ｋ）Ｏ（（２ｍｎ＋ｋ（ｍ＋２ｎ１）＋８ｍ－３ｎ１＋２ｎ２＋１）ｌｏｇｑ＋５ｋ）５０１５７１８４５０１５７１８４［６］Ｏ（（ｍｎ（３ｋ＋２ｎ＋６）＋ｎ（２ｋ＋１））ｌｏｇｑ＋５ｋ）Ｏ（（ｍｎ（３ｋ＋２ｎ＋６）＋ｎ（２ｋ＋１））ｌｏｇｑ＋５ｋ）177****2768177****2768［１３］Ｏ（（ｍｎ＋２ｍ＋２ｎ＋１）＋（ｍ＋ｎ＋１）ｋ）ｌｏｇｑ＋３ｋ）Ｏ（（ｍｎ（２ｋ＋２ｎ＋４）＋３ｎ＋１＋（ｎ＋１）ｋｌｏｇｑ＋３ｋ）３００４６０９２151****1964本协议Ｏ（（３ｍｌ＋ｍｎ＋ｍ）ｌｏｇｑ＋ｌ）Ｏ（（４ｍｌ＋ｍｎ＋ｍ＋１）ｌｏｇｑ＋ｌ）４９２２８９２８５９０５９３４０㊀㊀在存储开销方面，各个协议表现不一㊂在客户端方面，本文协议优于协议［８］和［６］，在服务器方面，本文协议又优于协议［６］和［１３］㊂从两端综合来看，支持双向认证的协议在存储方面要高于不支持双向认证的协议㊂可以看到，虽然本文协议在指标上比不支持认证的协议［８］略差，却大幅优于同为双向认证协议的协议［１３］㊂虽然在客户端与服务器两端都具有很低的存储开销，但是协议［１８］不支持双向身份认证，而本文协议在指标方面比协议［１８］略低，但是双向身份认证的优势无疑增强了本文协议的使用场景和推广前景㊂综合以上分析结果表明，本文协议不仅具有双向认证的安全性，还有效的降低了通信和计算成本㊂因此，本文协议更具适用性与推广性㊂㊃８㊃第３２卷格上两方一轮身份认证协议㊀５㊀结束语㊀㊀本文设计的协议利用多项式时间内量子算法无法解决的ＬＷＥ问题进行构造，能够抗量子攻击㊂基于可拆分公钥密码体制和密钥共识算法，利用ＡＳＰＨ函数，在能够实现双向身份认证功能从而保证安全性的前提下，降低了通信开销㊁计算开销和存储开销，提高了通信效率㊂未来将考虑设计在本文使用的框架下的３ＰＡＫＥ方案，使其适用于大规模用户相互通信场景㊂参考文献［１］㊀ＢｅｌｌｏｖｉｎＳＭ，ＭｅｒｒｉｔｔＭ．Ｅｎｃｒｙｐｔｅｄｋｅｙｅｘ⁃ｃｈａｎｇｅ：Ｐａｓｓｗｏｒｄ⁃ｂａｓｅｄｐｒｏｔｏｃｏｌｓｓｅｃｕｒｅａ⁃ｇａｉｎｓｔｄｉｃｔｉｏｎａｒｙａｔｔａｃｋｓ［Ｃ］／／ＩＥＥＥＣｏｍｐｕｔ⁃ｅｒＳｏｃｉｅｔｙＳｙｍｐｏｓｉｕｍｏｎＲｅｓｅａｒｃｈｉｎＳｅｃｕｒｉｔｙａｎｄＰｒｉｖａｃｙ，Ｏａｋｌａｎｄ：ＩＥＥＥＰｒｅｓｓ，１９９２：７２－８４．［２］㊀ＫａｔｚＪ，ＯｓｔｒｏｖｓｋｙＲ，ＹｕｎｇＭ．Ｅｆｆｉｃｉｅｎｔａｎｄｓｅｃｕｒｅａｕｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅｕｓｉｎｇｗｅａｋｐａｓｓｗｏｒｄｓ［Ｊ］．ＪｏｕｒｎａｌｏｆｔｈｅＡＣＭ（ＪＡＣＭ），２００９，５７（１）：１－３９．［３］㊀ＧｅｎｎａｒｏＲ，ＬｉｎｄｅｌｌＹ．Ａｆｒａｍｅｗｏｒｋｆｏｒｐａｓｓ⁃ｗｏｒｄ⁃ｂａｓｅｄａｕｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅ［Ｃ］／／ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｓｏｆＣｒｙｐｔｏｇｒａｐｈｉｃＴｅｃｈｎｉｑｕｅｓ．Ｂｅｒｌｉｎ，Ｈｅｉｄｅｌｂｅｒｇ：ＳｐｒｉｎｇｅｒＢｅｒｌｉｎＨｅｉｄｅｌ⁃ｂｅｒｇ，２００３：５２４－５４３．［４］㊀ＡｂｄａｌｌａＭ，ＢｅｎｈａｍｏｕｄａＦ，ＰｏｉｎｔｃｈｅｖａｌＤ．Ｄｉｓｊｕｎｃｔｉｏｎｓｆｏｒｈａｓｈｐｒｏｏｆｓｙｓｔｅｍｓ：Ｎｅｗｃｏｎ⁃ｓｔｒｕｃｔｉｏｎｓａｎｄａｐｐｌｉｃａｔｉｏｎｓ［Ｃ］／／ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ⁃ＥＵＲＯＣＲＹＰＴ２０１５：３４ｔｈＡｎｎｕａｌＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｓｏｆＣｒｙｐｔｏｇｒａｐｈｉｃＴｅｃｈｎｉｑｕｅｓ．Ｓｏ⁃ｆｉａ，Ｂｕｌｇａｒｉａ：ＳｐｒｉｎｇｅｒＢｅｒｌｉｎＨｅｉｄｅｌｂｅｒｇ，２０１５：６９－１００．［５］㊀魏福山，马建峰，李光松等．标准模型下高效的三方口令认证密钥交换协议［Ｊ］．软件学报，２０１６，２７（０９）：２３８９－２３９９．（ＷｅｉＦｕｓ⁃ｈａｎ，ＭａＪｉａｎｆｅｎｇ，ＬｉＧｕａｎｇｓｏｎｇ，ｅｔａｌ．Ｅｆｆｉ⁃ｃｉｅｎｔＴｒｉｐａｒｔｉｔｅＰａｓｓｗｏｒｄＡｕｔｈｅｎｔｉｃａｔｉｏｎＫｅｙＥｘｃｈａｎｇｅＰｒｏｔｏｃｏｌｕｎｄｅｒｔｈｅＳｔａｎｄａｒｄＭｏｄｅｌ［Ｊ］．ＪｏｕｒｎａｌｏｆＳｏｆｔｗａｒｅ，２０１６，２７（０９）：２３８９－２３９９．）．［６］㊀ＫＡＴＺＪ，ＶＡＩＫＵＮＴＡＮＡＴＨＡＮＶ．Ｓｍｏｏｔｈｐｒｏｊｅｃｔｉｖｅｈａｓｈｉｎｇａｎｄｐａｓｓｗｏｒｄ⁃ｂａｓｅｄａｕｔｈｅｎ⁃ｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅｆｒｏｍｌａｔｔｉｃｅｓ［Ｃ］／／２００９ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ，２００９：６３６－６５２．［７］㊀ＤｉｎｇＹ，ＦａｎＬ．Ｅｆｆｉｃｉｅｎｔｐａｓｓｗｏｒｄ⁃ｂａｓｅｄａｕ⁃ｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅｆｒｏｍｌａｔｔｉｃｅｓ［Ｃ］／／２０１１ＳｅｖｅｎｔｈＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔａｔｉｏｎａｌＩｎｔｅｌｌｉｇｅｎｃｅａｎｄＳｅｃｕｒｉｔｙ．Ｓａｎ⁃ｙａ，Ｃｈｉｎａ：ＩＥＥＥ，２０１１：９３４－９３８．［８］㊀ＺｈａｎｇＪ，ＹｕＹ．Ｔｗｏ⁃ｒｏｕｎｄＰＡＫＥｆｒｏｍａｐ⁃ｐｒｏｘｉｍａｔｅＳＰＨａｎｄｉｎｓｔａｎｔｉａｔｉｏｎｓｆｒｏｍｌａｔｔｉｃｅｓ［Ｃ］／／ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｏｆＣｒｙｐｔｏｌｏｇｙａｎｄＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙ．Ｓｐｒｉｎｇｅｒ：Ｃｈａｍ，２０１７：３７－６７．［９］㊀ＧａｏＸ，ＤｉｎｇＪ，ＬｉｕＪ，ｅｔａｌ．Ｐｏｓｔ⁃ｑｕａｎｔｕｍｓｅｃｕｒｅｒｅｍｏｔｅｐａｓｓｗｏｒｄｐｒｏｔｏｃｏｌｆｒｏｍＲＬＷＥｐｒｏｂｌｅｍ［Ｃ］／／ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＩｎ⁃ｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙａｎｄＣｒｙｐｔｏｌｏｇｙ．Ｓｐｒｉｎｇｅｒ：Ｃｈａｍ，２０１７：９９－１１６．［１０］㊀ＪｉｎＺ，ＺｈａｏＹ．Ｏｐｔｉｍａｌｋｅｙｃｏｎｓｅｎｓｕｓｉｎｐｒｅｓｅｎｃｅｏｆｎｏｉｓｅ［Ｊ］．（２０１６－１１－１８）［２０１７－１０－０６］．㊀ｈｔｔｐｓ：／／ｄｏｉ．ｏｒｇ／１０ ４８５５０／ａｒＸ⁃ｉｖ．１６１１ ０６１５０．［１１］㊀ＫａｒｂａｓｉＡＨ，ＡｔａｎｉＲＥ，ＡｔａｎｉＳＥ．ＡＮｅｗＲｉｎｇ⁃ＢａｓｅｄＳＰＨＦａｎｄＰＡＫＥＰｒｏｔｏｃｏｌｏｎＩｄｅ⁃ａｌＬａｔｔｉｃｅｓ［Ｊ］．ＩＳｅＣｕｒｅ，２０１９，１１（１）：７５－８６．［１２］㊀李子臣，谢婷，张卷美．基于ＲＬＷＥ问题的后量子口令认证密钥交换协议［Ｊ］．电子学报，２０２１，４９（０２）：２６０－２６７．（ＬｉＺｉｃｈｅｎ，ＸｉｅＴｉｎｇ，ＺｈａｎｇＪｕａｎｍｅｉ．Ｐｏｓｔｑｕａｎｔｕｍ㊃９㊃北京电子科技学院学报２０２４年ｐａｓｓｗｏｒｄａｕｔｈｅｎｔｉｃａｔｉｏｎｋｅｙｅｘｃｈａｎｇｅｐｒｏｔｏｃｏｌｂａｓｅｄｏｎＲＬＷＥｐｒｏｂｌｅｍ［Ｊ］．ＪｏｕｒｎａｌｏｆＥ⁃ｌｅｃｔｒｏｎｉｃｓ，２０２１，４９（０２）：２６０－２６７．）．［１３］㊀尹安琪，曲彤洲，郭渊博等．格上基于密文标准语言的可证明安全两轮口令认证密钥交换协议［Ｊ］．电子学报，２０２２，５０（０５）：１１４０－１１４９．（ＹｉｎＡｎｑｉ，ＱｕＴｏｎｇｚｈｏｕ，ＧｕｏＹｕａｎｂｏ，ｅｔａｌ．Ａｐｒｏｖａｂｌｅｓｅｃｕｒｅｔｗｏｒｏｕｎｄｐａｓｓｗｏｒｄａｕｔｈｅｎｔｉｃａｔｉｏｎｋｅｙｅｘｃｈａｎｇｅｐｒｏｔｏｃｏｌｂａｓｅｄｏｎｃｉｐｈｅｒｔｅｘｔｓｔａｎｄａｒｄｌａｎｇｕａｇｅｏｎｇｒｉｄ［Ｊ］．ＪｏｕｒｎａｌｏｆＥｌｅｃｔｒｏｎｉｃｓ，２０２２，５０（０５）：１１４０－１１４９．）．［１４］㊀ＧｅｎｔｒｙＣ，ＰｅｉｋｅｒｔＣ，ＶａｉｋｕｎｔａｎａｔｈａｎＶ．Ｔｒａｐｄｏｏｒｓｆｏｒｈａｒｄｌａｔｔｉｃｅｓａｎｄｎｅｗｃｒｙｐｔｏ⁃ｇｒａｐｈｉｃｃｏｎｓｔｒｕｃｔｉｏｎｓ［Ｃ］／／ＰｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅｆｏｒｔｉｅｔｈａｎｎｕａｌＡＣＭｓｙｍｐｏｓｉｕｍｏｎＴｈｅｏｒｙｏｆｃｏｍｐｕｔｉｎｇ．ＮｅｗＹｏｒｋ：ＡｓｓｏｃｉａｔｉｏｎｆｏｒＣｏｍ⁃ｐｕｔｉｎｇＭａｃｈｉｎｅｒｙ．２００８：１９７－２０６．［１５］㊀ＫａｔｚＪ，ＶａｉｋｕｎｔａｎａｔｈａｎＶ．Ｓｍｏｏｔｈｐｒｏｊｅｃｔｉｖｅｈａｓｈｉｎｇａｎｄｐａｓｓｗｏｒｄ⁃ｂａｓｅｄａｕｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅｆｒｏｍｌａｔｔｉｃｅｓ［Ｃ］／／ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｏｆＣｒｙｐｔｏｌｏｇｙａｎｄＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙ．Ｂｅｒｌｉｎ，Ｈｅｉｄｅｌｂｅｒｇ：ＳｐｒｉｎｇｅｒＢｅｒｌｉｎＨｅｉｄｅｌｂｅｒｇ，２００９：６３６－６５２．［１６］㊀ＬｉＺ，ＷａｎｇＤ．Ａｃｈｉｅｖｉｎｇｏｎｅ⁃ｒｏｕｎｄｐａｓｓ⁃ｗｏｒｄ⁃ｂａｓｅｄａｕｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅｏｖｅｒｌａｔｔｉｃｅｓ［Ｊ］．ＩＥＥＥｔｒａｎｓａｃｔｉｏｎｓｏｎｓｅｒｖｉｃｅｓｃｏｍｐｕｔｉｎｇ，２０１９，１５（１）：３０８－３２１．［１７］㊀ＭｉｃｃｉａｎｃｉｏＤ，ＰｅｉｋｅｒｔＣ．Ｔｒａｐｄｏｏｒｓｆｏｒｌａｔ⁃ｔｉｃｅｓ：Ｓｉｍｐｌｅｒ，ｔｉｇｈｔｅｒ，ｆａｓｔｅｒ，ｓｍａｌｌｅｒ［Ｃ］／／ＡｎｎｕａｌＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｓｏｆＣｒｙｐｔｏｇｒａｐｈｉｃＴｅｃｈ⁃ｎｉｑｕｅｓ．Ｂｅｒｌｉｎ，Ｈｅｉｄｅｌｂｅｒｇ：ＳｐｒｉｎｇｅｒＢｅｒｌｉｎＨｅｉｄｅｌｂｅｒｇ，２０１２：７００－７１８．［１８］㊀ＺｈａｏＺ，ＭａＳ，ＱｉｎＰ．Ｐａｓｓｗｏｒｄａｕｔｈｅｎｔｉｃａ⁃ｔｉｏｎｋｅｙｅｘｃｈａｎｇｅｂａｓｅｄｏｎｋｅｙｃｏｎｓｅｎｓｕｓｆｏｒＩｏＴｓｅｃｕｒｉｔｙ［Ｊ］．ＣｌｕｓｔｅｒＣｏｍｐｕｔｉｎｇ，２０２３，２６（１）：１－１２．［１９］㊀ＲｅｇｅｖＯ．Ｏｎｌａｔｔｉｃｅｓ，ｌｅａｒｎｉｎｇｗｉｔｈｅｒｒｏｒｓ，ｒａｎｄｏｍｌｉｎｅａｒｃｏｄｅｓ，ａｎｄｃｒｙｐｔｏｇｒａｐｈｙ［Ｊ］．ＪｏｕｒｎａｌｏｆｔｈｅＡＣＭ（ＪＡＣＭ），２００９，５６（６）：１－４０．［２０］㊀ＣＲＡＭＥＲＲ，ＳＨＯＵＰＶ．Ｕｎｉｖｅｒｓａｌｈａｓｈｐｒｏｏｆｓａｎｄａｐａｒａｄｉｇｍｆｏｒａｄａｐｔｉｖｅｃｈｏｓｅｎｃｉ⁃ｐｈｅｒｔｅｘｔｓｅｃｕｒｅｐｕｂｌｉｃ⁃ｋｅｙｅｎｃｒｙｐｔｉｏｎ［Ｃ］／／ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｓｏｆＣｒｙｐｔｏｇｒａｐｈｉｃＴｅｃｈｎｉｑｕｅｓ：ＡｄｖａｎｃｅｓｉｎＣｒｙｐｔｏｌｏｇｙ．Ｂｅｒｌｉｎ：Ｓｐｒｉｎｇｅｒ，２００２：４５－６４．［２１］㊀ＢｅｎｈａｍｏｕｄａＦ，ＰｏｉｎｔｃｈｅｖａｌＤ．Ｖｅｒｉｆｉｅｒ⁃ｂａｓｅｄｐａｓｓｗｏｒｄ⁃ａｕｔｈｅｎｔｉｃａｔｅｄｋｅｙｅｘｃｈａｎｇｅ：Ｎｅｗｍｏｄｅｌｓａｎｄｃｏｎｓｔｒｕｃｔｉｏｎｓ［Ｊ］．ＣｒｙｐｔｏｌｏｇｙｅＰｒｉｎｔＡｒｃｈｉｖｅ，２０１３．（２０１３－１２－１６）［２０１４－１０－１４］．ｈｔｔｐｓ：／／ｉａ．ｃｒ／２０１３／８３３．ＡＴｗｏＰａｒｔｙＯｎｅＲｏｕｎｄＩｄｅｎｔｉｔｙＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌｏｖｅｒＬａｔｔｉｃｅＷＡＮＧＸｉｏｎｇ㊀ＬＶＸｉａｏｈａｎ㊀ＷＡＮＧＷｅｎｂｏＣｙｂｅｒｓｐａｃｅＳｅｃｕｒｉｔｙＤｅｐａｒｔｍｅｎｔ，ＢｅｉｊｉｎｇＥｌｅｃｔｒｏｎｉｃＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙＩｎｓｔｉｔｕｔｅ，Ｂｅｉｊｉｎｇ１０００７０，Ｐ．Ｒ．ＣｈｉｎａＡｂｓｔｒａｃｔ：Ｉｎｔｈｅｆａｃｅｏｆｑｕａｎｔｕｍｔｅｃｈｎｏｌｏｇｙᶄｓｉｍｐａｃｔｏｎｔｒａｄｉｔｉｏｎａｌｃｒｙｐｔｏｇｒａｐｈｙ，ｒｅｓｅａｒｃｈｏｎｌａｔｔｉｃｅ⁃ｂａｓｅｄＰａｓｓｗｏｒｄ⁃ＡｕｔｈｅｎｔｉｃａｔｅｄＫｅｙＥｘｃｈａｎｇｅ（ＰＡＫＥ）ｐｒｏｔｏｃｏｌｓｈａｓｇａｉｎｅｄｓｉｇｎｉｆｉｃａｎｔａｔｔｅｎｔｉｏｎ．Ｈｏｗ⁃ｅｖｅｒ，ｃｕｒｒｅｎｔｌａｔｔｉｃｅ⁃ｂａｓｅｄＰＡＫＥｐｒｏｔｏｃｏｌｓｏｆｔｅｎｒｅｑｕｉｒｅｔｗｏｏｒｔｈｒｅｅｒｏｕｎｄｓ，ｌｅａｄｉｎｇｔｏｈｅａｖｙｔｒａｎｓｍｉｓ⁃㊃０１㊃㊃１１㊃第３２卷格上两方一轮身份认证协议㊀ｓｉｏｎｌｏａｄｓ．Ａｄｄｉｔｉｏｎａｌｌｙ，ｅｘｉｓｔｉｎｇｏｎｅ⁃ｒｏｕｎｄｌａｔｔｉｃｅ⁃ｂａｓｅｄｐｒｏｔｏｃｏｌｓａｒｅｍａｉｎｌｙｓｕｉｔｅｄｆｏｒｏｎｅ⁃ｏｎ⁃ｏｎｅｃｏｍｍｕｎｉｃａｔｉｏｎａｎｄｌａｃｋｉｄｅｎｔｉｔｙａｕｔｈｅｎｔｉｃａｔｉｏｎ．Ｔｏａｄｄｒｅｓｓｔｈｅｓｅｉｓｓｕｅｓ，ａｎｏｖｅｌｌａｔｔｉｃｅ⁃ｂａｓｅｄｏｎｅ⁃ｒｏｕｎｄｉｄｅｎｔｉｔｙａｕｔｈｅｎｔｉｃａｔｉｏｎｐｒｏｔｏｃｏｌｂａｓｅｄｏｎｋｅｙｃｏｎｓｅｎｓｕｓｈａｓｂｅｅｎｐｒｏｐｏｓｅｄ．Ｔｈｉｓｉｎｎｏｖａｔｉｖｅｓｏｌｕ⁃ｔｉｏｎｃｏｍｂｉｎｅｓｌａｔｔｉｃｅ⁃ｂａｓｅｄｐｕｂｌｉｃｋｅｙｅｎｃｒｙｐｔｉｏｎ，ＡＳＰＨｆｕｎｃｔｉｏｎｓ，ａｎｄｋｅｙｃｏｎｓｅｎｓｕｓｔｏａｃｈｉｅｖｅｅｆｆｉ⁃ｃｉｅｎｔａｎｄｓｅｃｕｒｅｉｄｅｎｔｉｔｙａｕｔｈｅｎｔｉｃａｔｉｏｎａｎｄｋｅｙｎｅｇｏｔｉａｔｉｏｎｗｉｔｈｉｎａｓｉｎｇｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｒｏｕｎｄ．Ｔｈｉｓｂｒｅａｋｔｈｒｏｕｇｈｈａｓｔｈｅｐｏｔｅｎｔｉａｌｔｏａｄｄｒｅｓｓｔｈｅｃｈａｌｌｅｎｇｅｓｐｏｓｅｄｂｙｑｕａｎｔｕｍｔｅｃｈｎｏｌｏｇｙｔｏｃｒｙｐｔｏｇｒａｐｈｙａｎｄｅｘｔｅｎｄｉｔｓａｐｐｌｉｃａｂｉｌｉｔｙｔｏｍａｎｙ⁃ｔｏ⁃ｍａｎｙｃｏｍｍｕｎｉｃａｔｉｏｎｓｃｅｎａｒｉｏｓ．Ｋｅｙｗｏｒｄｓ：ｋｅｙｃｏｎｓｅｎｓｕｓ；ｌａｔｔｉｃｅｃｉｐｈｅｒ；ＡＳＰＨ；Ｉｄｅｎｔｉｔｙａｕｔｈｅｎｔｉｃａｔｉｏｎ（责任编辑：夏㊀超）。