两种基于非对称密码学的密钥协商协议的分析

维普资讯 http://www.cqvip.com ３６　福建电脑　２００７年第９期　两种基于非对称密码学的密钥协商协议的分析　王爱新，冯永，金花　（河北农：ｌｋ大学信息学院河北保定０７１００１）　【摘要】：密钥协商是安全通信的基础。文章分析了两种基于非对称密码学的密钥协商协议（ＭＴＩ，ＳＴＳ），介绍了个协议　的基本原理，以及各协议的优缺点和应用范围，并对它们进行了基本比较。　【关键字】：密要协商Ｄｉｆｉｅ—Ｈｅｌｌｍａｎ中间人攻击　１．引言　结果：Ａ和Ｂ双方得到共享密钥Ｋ。　在通信双方的加密通信中．双方需要通过协议来确定共享　（１）协议设置：选择一个合适的素数Ｐ以及Ｚ。的本原元ａ（２　密钥。如果协议输出的共享密钥来自参与协议的某一个主体或　ａ　ｐ－２）。Ａ随机选择一个整数ａ＾作为长期私钥，１　ｓ　ａ＾≤ｐ’２，　实质相当于来自参与协议的某一个主体．则称该协议是通过密　并计算一个长期公钥ＺＡ＝ａ＇ａ　ｏｒｏｄ　Ｐ（Ｂ同样有类似的密钥ａ　和　钥传输机制来建立密钥共享。传统的基于公钥加密的密钥传输　Ｚ　）。Ａ和Ｂ获得对方的长期公钥的副本。　就是典型的通过密钥传输来建立秘要共享．基本过程为：一方先　ｆ２）　协议消息。　选择一个共享密钥ｋ，然后使用对方的公钥将其加密（Ｅ　）），并　Ａ－＿＇Ｂ：ａ　ｒｏｏｄ　Ｐ（１）　将加密后的共享密钥传送给对方，对方则以自己的私钥解密（Ｅ　Ａ＋一Ｂ：ａｙｍｏｄ　ｐ　ｆ２）　ｈ，　））＝ｋ）以获得共享密钥ｋ。密钥传输协议的缺点在于一方对　ｆ３）协议步骤：　另一方产生的共享密钥具有接受的被动性．并且共享密钥由单　（ａ】Ａ随机选择一个秘密ｘ，１耋ｘ耋ｐ－２，并发送消息（１）给Ｂ。　方运算产生．在双方互相不能信任的条件下。不能起到可靠的产　（ｂ）Ｂ随机选择一个秘密Ｙ，１　Ｙ　ｐ－２，并发送消息（２）给Ｂ。　生共享密钥的作用。因而．区别于密钥传输的密钥交换协议。就　（ｃ）Ａ计算密钥Ｋ，＿（ａ　Ｚ　ｒｏｏｄ　Ｐ。　显得很重要　（ｄ）Ｂ计算密钥Ｋ＝（ａ　止Ｚ＾ｙ　ｏｒｏｄ　Ｄ。　在双方通过协议来确定共享密钥的过程中．如果协议输出　（ｅ）Ｋ，＿Ｋ＝ａ　Ｉ＾々　。　的共享密钥是某个函数的输出．并且该函数的输出是所有参与　Ｍ，Ｉ１密钥协商协议不能提供实体认证也不能提供密钥确　者的随机输入　则称该协议是密钥协商协议。与密钥传输相比。　认，同样只适用于被动攻击的应用。但由于在ＭＴＩ协议中存在Ａ　密钥协商的优点在于共享密钥的各参与方对最后的输出都有其　和Ｂ的长期私钥和长期公钥．这就使得可以通过对Ｍ，Ｉ１做一些　自己的控制权．因此对于所输出共享密钥的质量，各参与方都有　修改而得到隐式的实体证明。　较高的信心．并且这样产生的共享密钥还具有较好的前向保密　可以引入一个可信管理机构（ＴＡ）和一个带有公开验证算　性。　法ｖｅｒｍＡ和一个秘密签名算法ａｉｇＴ＾的签名验证系统。并且要求　１９７６年Ｄ娅ｅ和Ｈｅｌｌｍａｎ提出的Ｄ衙ｅ—Ｈｅｌｌｍａｎ算法可以　Ａ和Ｂ具有一个证书Ｃ（ｉ）＝（ＩＤ（ｉ），Ｚｉ，ｓｉｇＴ＾（ＩＤ（ｉ），Ｚｉ））。这样，当Ａ和Ｂ　认为是最基本的密钥协商协议．其基本方案如下：　想要得到对方长期公钥的副本的时候．Ａ和Ｂ可以向对方发送　描述：Ａ和Ｂ在公开信道上各自给对方发送一条信息　自己的证书Ｃｆｉ），并通过公开验证算法ｖｅｒ，ｒＡ验证可信管理机构　结果：Ａ和Ｂ双方得到共享密钥Ｋ。　（ＴＡ）对证书Ｃｆｉ）的签名，从而确保得到可信的对方的公钥。　（１）协议设置：选择一个合适的素数Ｐ以及ｚｂ的本原元ａ（２　在修改的ＭＴＩ密钥协商协议中．Ｃｍ的传输实现了公开消息　ａ　ｐ－２）。　的真实性的认证．因而使得中间人无法伪造消息形成共享密钥．　ｆ２）　协议消息。　抵抗了中间人攻击　但是修改的Ｍ，Ｉ１协议在其它的主动攻击方　Ａ－－￣Ｂ：ａｘ　ｏｒｏｄ　Ｐ（１）　式下的安全性．并不能有效得到保证　Ａ呻：ａｙ　ｏｒｏｄ　Ｐ（２）　３．ＳＴＳ（端对端）密钥协商协议　ｆ３１协议步骤。　ＳＴＳ密钥协商协议是对Ｄｉ￡ｆｉｅ—Ｈｅｌｌｍａｎ密钥协商的三步交　（ａ）Ａ选择一个随机秘密ｘ，１　Ｘ耋ｐ－２，并发送消息（１）到　换变体。允许在双方之问建立一个共享密钥．并带有相互实体认　Ｂ。　证和相互显示密钥认证。这种方案要就使用数字签名．其基本过　）Ｂ选择一个随机秘密Ｙ，１　Ｙ　ｐ－２，并发送消息（２）到　程如下（以双方使用ＲＳＡ签名为例）：　Ａ。　描述：Ａ和Ｂ在公开信道上交换三条信息。　（ｃ）Ｂ接收ａ‘ｒｏｏｄ　Ｐ并计算共享密钥Ｋ，－（ａｘ　ｙｍｏｄ　Ｐ。　结果：实现Ａ和Ｂ的密钥协商以及实体认证和密钥认证。　（ｄ）Ａ接收ａｙ　ｍｏｄ　Ｐ并计算共享密钥Ｋ＝（ａ＇）＇ｍｏｄ　Ｐ。　（１）协议设置：　（ｅ）Ｋ　Ｋ。　选择一个可信的对称加密算法Ｅ。Ｓｉｇ　（ｍ）表示Ａ对ｍ的签　以上是ＤⅢｉｅ—Ｈｅｌｌｍａｎ密钥协商的基本形式．实现了无认证　名，例如使用ＲＳＡ签名时候Ｓｉｇ＾（ｍ）＝（Ｈ（ｍ）ｄ　ｍｏｄ　ｎ）。　的密钥协商。这一基本方案能够抵抗敌手只能窃听的被动性攻　选择一个合适的素数Ｐ以及Ｚ。的本原元ａ（２　ａ　ｐ一２）。　击，但是不能抵抗具有截取、篡改能力的主动性攻击．参与的双　用户Ａ选择ＲＳＡ环境下的公钥（ｅＡ　ｎ　）和私钥ｄＡ。用户Ｂ　方不能保证消息提供者的身份或知道共享密钥的参与方的身　选择ＲＳＡ环境下的公钥（ｅ　，ｎ　）和私钥ｄＢ。并且Ａ和Ｂ互相通　份，易受中间人攻击。　过可信机构（例如ＣＡ）得到了对方的公钥副本。　２．Ｍ１１两步密钥协商协议　（２）协议消息：　ＭＴＩ两步密钥协商协议是Ｄｉｆｉｅ—Ｈｅｌｌｍａｎ密钥协商的变体。　Ａ－＿＇Ｂ：ａ　ｒｏｏｄ　Ｐ　（１）　能够在两条消息中．产生带有抵抗被动敌手攻击的隐式密钥认　Ａ＋．－－Ｂ：　ｍｏｄ　Ｐ，Ｅｋ（Ｓｉｇｓ（ａ￣，　（２）　证的共享密钥。其基本方案如下：　Ａ—＋Ｂ：Ｅ　（Ｓｉｇ＾（ａ　，ａ，））　（３）　描述：两步的Ｄ／／ｔｌｅ—Ｈｅｌｌｍａｎ密钥协商．能够抵抗被动敌手　（３）协议步骤。　攻击　（ａ）Ａ生成一个随机密数ｘ，２　ｘ≤ｐ’２，并且发送信息（１）　（下转第１５页）　维普资讯 http://www.cqvip.com ２００７年第９期　福建　电脑　１５　ｐｏｒｔｌｄｅｎｆｉｔｙ类的ＬｏｇｉｎＵｓｅｒ方法登录Ｐａｓｓｐｏｒｔ，否则，调用Ｐａｓｓ－　ＫＰＰ．ＳｅｃｕｒｅＬｅｖｅ１．Ｎｏｔｈｉｎｇ）　ｐｏｒｔｌｄｅｎｔｉｔｙ类的ＬｏｇｏＴａｇ２方法返回包含”登录”按钮的ＨＴＭＬ段　Ｅｌｓｅ　落．再输出到浏览器。　Ｒｅｓｐｏｎｓｅ．Ｗｒｌｔｅ（ｐａｓｓｐｏｒｔＭａｎａｇｅｒ．ｏＬｇｏＴａｇ２（ｅｒｄｉｒｅｃｔＵＲＬ，—．　ＴｉｍｅＷｉｎｄｏｗ，ＦｏｒｃｅＬｏｇｉｎ，ｃｏＢｒａｎｄＡｒｇｓ，ｌａｎｇ．．ｉｄ，ｂＳｅｃｕｒｅ，一　Ｌｏｓｉｎ模块的详细内容如下：　ｓＮａｍｅＳｐａｃｅ，ＫＰＰ，ＳｅｃｕｒｅＬｅｖｅ１））　Ｉｍｐｏｒｔｓ　Ｓｙｓｔｅｍ．Ｗｅｂ．Ｓｅｃｕｒｉｔｙ　Ｒｅｔｕｒｎ　Ｆａｌｅｓ　Ｉｍｐｏｒｔｓ　Ｓｙｓｔｅｍ．Ｇｌｏｂａｌｉｚａｔｉｏｎ　Ｅｎｄ　ｆＩ　Ｍｏｄｕｌｅ　ＯＬｇｉｎ　Ｅｎｄ　Ｆｕｎｏｔｉｏｎ　Ｐｕｂｌｉｃ　Ｆｕｎｃｔｉｏｎ　Ａｕｔｈｅｎｔｉｃａｔｅｄ（ＢｙＶａｌ　Ｒｅｑｕｅｓｔ　Ａｓ　ＨｔｔｐＲｅｑｕｅｓｔ，Ｂｙｖａ１一　Ｅｎｄ　Ｍｏｄｕｈ　Ｒｅｓｐｏｎｓｅ　Ａｓ　ＨｔｔｐＲｅｓｏｐｎｓｅ，ＢｙＶａｌ　Ｓｅｒｖｅｒ　Ａｓ　ＨｔｔｐＳｅｒｖｅｒＵｔｉｌｌｔｙ）Ａｓ　３．２安全登录模块的调用　Ｂｏｏｌｅａｎ　下面笔者以一个自定义类ＡｕｔｈＷｅｂＦｏｒｍ来说明Ｌｏｇｉｎ模块　Ｄｉｍ　ｐａｓｓｐｏｒｔＭａｎａｇｅｒ　Ａｓ　Ｐａｓｓｐｏｒｔｌｄｅｎｔｉｔｙ　ｐａｓｓｏｐｒｔＭａｎａｇｅｒ＝Ｎｅｗ　Ｐａｓｓｐｏｒｔｌｄｅｎｔｉｔｙ０　的调用方法。　Ｄｉｍ　ｒｅｄｉｎｒｅｔＵＲＬ　Ａｓ　Ｓｔｒｉｎｇ　Ｉｍｐｏｒｔｓ　Ｓｙｓｔｅｍ．Ｗｅｂ．Ｓｅｃｕｒｉｔｙ　Ｄｉｍ　ＴｉｍｅＷｉｎｄｏｗ　Ａｓ　Ｉｎｔｅｇｅｒ　Ｐｕｂｌｉｃ　Ｃｌａｓｓ　ＡｕｔｈＷｅｂＦｏｒｎｌ　Ｄｉｍ　ＦｏｒｅｅＬｏｇｉｎ　Ａｓ　Ｂｏｏｌｅａｎ　Ｉｎｈｅｒｉｔｓ　Ｓｙｓｔｅｍ．Ｗｅｂ．ＵＩ．Ｐａｇｅ　Ｄｉｍ　ｃｏＢｒａｎｄＡｒｇｓ　Ａｓ　Ｓｔｉｒｎｇ　Ｐａｇｅ＿Ｌｏａｄ事件在每次登录网页时自动触发　Ｄｉｍ　ｌａｎｇｉｄ　Ａｓ　Ｉｎｔｅｇｅｒ　Ｐｒｉｖａｔｅ　Ｓｕｂ　Ｐａｇｅ＿ｏＬａｄ（ＢｙＶａｌ　ｓｅｎｄｅｒ　Ａｓ　Ｓｙｓｔｅｍ．Ｏｂｊｅｃｔ，ＢｙＶａｌ　ｅ　Ａｓ—．　．．Ｄｉｍ　ｓＮａｍｅＳｐａｃｅ　Ａｓ　Ｓｔｉｒｎｇ　Ｓｙｓｔｅｍ．ＥｖｅｎｔＡｒｇｓ）Ｈａｎｄｌｅｓ　ＭｙＢｅｓｅ　Ｌｏａｄ　Ｄｉｍ　ｂＳ￣ｔｌＦｅ　Ａｓ　Ｂｏｏｌｅａｎ　ｉ　Ｎｏｔ　Ａｕｔｈｅｎｔｉｃａｔｅｄ（Ｒｅｑｕｅｓｔ，Ｒｅｓｐｏｎｓｅ，Ｓｅｒｖｅｒ））　Ｄｉｍ　ＳｅｃｕｒｅＩ　ｖｅｌ　Ａｓ　Ｉｎｔｅｇｅｒ　用户未通过认证的代码　Ｄｉｍ　ＫＰＰＡｓＩｎｔｅｇｅｒ　Ｅｌｓｅ　Ｄｉｍ　ｒｅｄｉｒｅｅｔＰｒｅｆｉｘＡｓ　Ｓｔｉｒｎｇ　用户已通过认证的代码　ＦｏｒｃｅＬｏｇｉｎ＝Ｆａｌｓｅ　Ｅｎｄ　Ｉｆ　ｃｏＢｒａｎｄＡｒｇｓ＝Ｎｏｔｈｉｎｇ　Ｅｎｄ　Ｓｕｂ　ｓｎａｒｅｅＳｐａｃｅ＝Ｎｏｔｈｉｎｇ　Ｅｎｄ　Ｃｌｓａｓ　Ⅺ）Ｐ＝－１　４．结束语　Ｄｉｍ　Ｃｕｈｕｒｅ＝Ｎｅｗ　Ｃｕｈｕｒｅｌｎｆｏ（Ｒｅｑｕｅｓｔ，ＵｓｅｒＬａｎｇｕａｇｅｓ（Ｏ））　单一登录．ＮＥＴ　Ｐａｓｓｐｏｒｔ协议正逐渐成为网站开展身份验证　ｈａｇ＿ｉｄ＝Ｃｕｈｕｒｅ．ＬＣＩＤＯ　Ｉｆ　Ｒｅｑｕｅｓｔ．ＳｅｒｖｅｒＶａｒｉａｂｌｅｓ（”ＨＩ．Ⅱ，Ｓ”１＝”ｏｎ”＇Ｉｎｅｎ　的关键技术。对于机密性要求高的网站，使用掭准登录具有重放　ｂＳｅｃｕｒｅ＝Ｔｍｅ　攻击和字典攻击的安全漏洞．而安全登录中的安全通道级别可　ＴｉｍｅＷｉｎｄｏｗ＝ｌ００ｏ０　防范重放攻击，安全密钥级别可防范重放攻击和字典攻击。本文　ＳｅｃｕｒｅＬｅｖｅｌ＝ｌ０ｏ　ｒｅｄｉｒｅｅｔＰｒｅｆｉｘ＝”ｈｔｔｐｓ：／／”　首先说明了标准登录的脆弱性和安全登录的两种级别．最后以　Ｅｌｓｅ　Ｌｏｇｉｎ模块为例给出了安全登录在ＡＳＰ．ＮＥＴ中的实现．开发人　ｂｓｅｃｕｒｅ＝Ｆａｌｓｅ　员可参考其中代码进行扩展性设计并应用于实际的开发过程。　ＴｉｍｅＷｉｎｄｏｗ＝３００　ＳｅｃｕｒｅＬｅｖｅｌ＝ｌ　ｅｒｄｉｒｅｅｔＰｒｅｆｉｘ＝”ｈｔｔｐ：／／”　参考文献：　Ｅｎｄ　ｆＩ　１．Ｍｉｃｒｏｓｏｆｔ：．Ｐａｓｓｐｏｒｔ『ＥＢ／ＯＬ］．ｈｔｔｐ：ｌｌｍｓｄｎ．ｍｉｃｒｏｓｏ￣．ｃｏｍ／ａｒｃｈｉｖｅ／ｄｅｆａｕｌｔ．　ｒｅｄｉｒｅｅｔＵＲＬ＝Ｓｅｒｖｅｒ．ＵｒｌＥｎｃｏｄｅ（ｒｅｄｉｅｒｃｔＰｒｅｆｉｘ＆一　ｓａｐ．ａｃｃｅｓｓｅｄ　Ｍａｙ　２００６．　Ｒｅｑｔ；＊ｓｔ．ｅｓｒｖｅｒＶａｒｉａｂｌｅｓ（”ＳＥＲＶＥＲ—ＮＡＭＥ”）＆一　Ｒｅｑｕｅｓｔ．ＳｅｒｖｅｒＶａｒｉａｂｌｅｓ（”ＳＣＲＩＰＩ－－ＮＡＭＥ”））　２．Ｍｉｃｒｏｓｏｆｔ．Ｍｉｃｒｏｓｏｆｃ．ＮＥＴ　Ｐａｓｓｐｏｒｔ　Ｒｅｖｉｅｗ　Ｇｕｉｄｅ［ＥＢ／ＯＬ］．ｈｔｔｐ：ｌｌ　ｆＩ　ｐａｓｓｐｏｒｔＭａｎａｇｅｒ－ＩｓＡｕｔｈｅｎｔｉｃａｔｅｄＯ　ｅｎ　、＾ｎｖｗ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍ／ｎｅｔ／ｓｅｒｖｉｃｅｓ／ｐａｓｓｐｏｒｔ　Ｒｅｔｕｒｎ　Ｔｍｅ　／ｒｅｖｉｅｗ＿ｇｕｉｄｅ．ｓａｐ．ａｃｃｅｓｓｅｄ　Ｍａｙ　２００６．　ⅡｓｅＩｆ　ｐａｓｓｐｏｒｔＭａｎａｇｅｒ．ＨａｓＴｉｃｋｅｔ　Ｔｈｅｎ　３．Ｍｉｃｒｏｓｏｆｔ：．ＭＳＤＮ　Ｌｉｂｒａｒｙ　ｆｏｒ　Ｖｉｓｕａｌ　Ｓｔｕｄｉｏ．ＮＥＴ　２００３ｆ　Ｍ／ＣＤ］，２００３．　ｐａｓｓｐｏｒｔＭａｎａｇｅｒ．ＬｏｇｉｎＵｓｅｒ（ｒｅｄｉｒｅｃｔＵＲＬ，ＴｉｍｅＷｉｎｄｏｗ，一　４．Ｒｕｍ　Ｂａｒｉｕｍ．Ｒｈｃｈａｒｄ　Ｃｏｎｗａｙ．王晓娜等译．ＡＳＰ．ＮＥＴ安全性高级编程　ＦｏｒｃｅＬｏｇｉｎ，ｃｏＢｒａｎｄＡｒｇｓ。ｌａｎｇ＿．ｉｄ，ｓＮａｍｅＳｐａｃｅ，—．　ｆＭ１．北京：清华大学出版社，２００３．　（上接第３６页）　给Ｂ。　议，不能提供密钥确认，只能提供隐式鉴别，可以证明其在随机　（ｂ）Ｂ生成一个随机密数Ｙ，２耋Ｙ耋Ｐ一２，计算共享密钥ｋ＝　ＯｒａｃＩｅ模型下的被动安全性．但不能证明其主动安全性。ＳＴｓ是　（ａＸ）ｙ　ｍｏｄ　Ｐ。Ｂ产生ａｙ　ｏｒｏｄ　Ｐ，并将ａｙ　ｍｏｄ　Ｐ与ａｘ　ｏｒｏｄ　Ｐ级联并　一个需要建立签名系统的三趟协议．带有密钥确认功能，但其在　对其计算签得到Ｓｉｇｓ（ａ＇，　，然后用生成的密钥ｋ对签名进行加　被动环境下的安全性和主动环境下的安全性都还未得到有效证　密得到Ｅ　（ＳｉｓＢ（ａｒ，ａ　。Ｂ将消息（２）传给Ａ。　明　但一般认为ＳＴｓ协议的安全性高于Ｍ耶协议。　（ｃ）Ａ计算共享密钥ｋ＝（　）ｘ　ｍｏｄ　Ｐ。并用这一密钥解密消息　在应用方面．Ｍ　协议不需要建立用户签名系统。而且是两　（２）中Ｂ所传过来的加密数据，然后用Ｂ的公钥（ｅ　，ｎ　）来验证　趟协议．因而比较方便和简单。在一般性安全要求的环境中，尤　收到的Ｂ的签名是否是收到的加密指数　与消息（１）中发送　其在签名系统并没有普遍建立的当今网络环境中．有着广泛的　的指数ａｘ的哈西杂凑函数值的签名。如果验证成功，则Ａ可以　应用前景。　认为确实与Ｂ共享了密钥ｋ。最后Ａ也发送一个类似的消息（３）　两种协议都存在着各种变形应用．都可以实现密钥的协商　给Ｂ。　问题．但目前还没有有效的实用能完全实现密钥协商中的认证　（ｄ）Ｂ用在步骤（ｂ）中计算的共享密钥ｋ解密收到的消息　问题。　（３），并且验证其中的Ａ的签名。如果验证成功，Ｂ可以认为确实　与Ａ共享了密钥ｋ。至此．密钥协商完毕。　参考文献：　ＳＴｓ协议是一个三趟协议。使用密钥ｋ　１．Ｄｉ１ｆ％Ｗ。Ｈｅｌｈｎａｎ　Ｍ．Ｎｅｗ　Ｄｉｒｅｃｔｉｏｎｓ　ｉｎ　Ｃｒｙｐｔｏｇｒａｐｈｙ［Ｊ］．ＩＥＥＥ　Ｔｒａｍ．　加密可以使得双方进行密钥确认．避免中间人伪造中间密　ｏｎ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｔｈｅｏｒｙ，１９７６，ＩＴ一２２（６）：６４４—６５４．　钥进行欺骗攻击。同时用户的签名提供了用户及密钥的认证性。　２．Ｗｉｌｌｉａｍ．Ｓｔａｌｌｉｎｇｓ著，刘玉珍，王丽娜．傅建明等译．密码编码学与网络　ＳＴｓ可以有效防止中间人插入攻击。　安全一一原理与实践（第三版）．北京：电子工业出版社。２００４　４．总结　３．Ａｌｆｒｅｄ　１．Ｍｅｎｅｚｅｓ。Ｐａｕｌ　Ｃ．ｖ￣ｌｌ＇ｌ　Ｏｏｒｓｃｈｏｔ著，胡磊，王鹏等译。应用密码　ＭＴＩ密钥协商协议可以提供隐式签名．ＳＴＳ密钥协商协议可　学手册．北京．电子工业出版社．２００５．６　以提供显式签名．因而都能抵抗中间人攻击。Ｍ　是一个两趟协