文档介绍：密码协议详解
现代密码学 Modern Cryptography
彭代渊
信息科学与技术学院
2009年12月
第7章 密码协议
2
第7YB，要想求出K ,必须先求出XA或XB ，这是离散对数问题
21
密钥认证协议
基于非对称密码技术的密钥认证协议
Diffie-Hellman密钥交换协议(DH-KEP)
例子：设p=97，a=5
(1) A选择XA=36，计算YA=aXA=536=50 mod 97，将YA发送给B.
(2) B选择XB=58，计算YB=aXB=558=44 mod 97，将YB发送给B.
(3) A计算共享密钥K=(YB)XA=4436=75 mod 97.
(4) B计算共享密钥K=(YA)XB=5058=75 mod 97.
22
密钥认证协议
基于非对称密码技术的密钥认证协议
Diffie-Hellman密钥交换协议(DH-KEP)
中间人攻击
YA
YZ
YZ
YB
23
密钥认证协议
基于非对称密码技术的密钥认证协议
加密的密钥交换协议(EKE)()
Kerberos 协议 ()
主要目的是解决分布式网络环境下，客户访问网络资源的安全认证问题。
实现用户与服务器之间的相互认证；向每个实体证实另一个实体的身份；产生会话密钥，供客户和服务器(或两个客户之间)使用。
V5于1994年作为RFC1510公布
24
密钥认证协议
基于非对称密码技术的密钥认证协议
Kerberos 协议 ()
四个主体：客户C，应用服务器V，认证服务器AS，票证授予服务器TGS。认证服务器与票证授予服务器又统称为密钥分配中心（KDC）。
详细步骤见教材
25
密钥认证协议
对协议的攻击类型
重放攻击(Replay Attacks)
重放攻击是指入侵者捕获以前协议运行或当前协议运行中的消息用于对当前协议运行的攻击
已知密钥攻击（Known-key attack)
对手从用户以前用过的密钥确定新的密钥的攻击
伪装攻击（Impersonation attack）
对手扮演合法实体进行的攻击
字典攻击(Dictionary attack)
主要针对口令的一种按某种顺序进行搜索的攻击
26
密钥认证协议
对协议的攻击类型
交错攻击(Interleaving attack)
把前面一次或多次（或者并行）执行协议的信息有选择地组合在一起所实施的攻击。
选择挑战攻击（Chosen-text attack）
在挑战应答协议中对手巧妙地选择挑战消息，试图得到所需的信息。
反射攻击（Reflection attack）
正在执行的协议中，一方把对方发送过来的消息再发回给对方
27
第7章 密码协议
密码协议概述
实体认证协议
密钥认证协议
比特承诺协议
零知识证明与身份识别协议
28
比特承诺协议
股票预测大师问题
股票预测大师经常在讲座中给股民推荐股票，可股民按照大师推荐买股票却常常赚不了钱，然而预测大师却生意红火。为什么？因为预测大师没有对股民给出一个明确的承诺，尤其在股民选择股票买进时间和卖出时间上。往往在股民亏本后与预测大师论理时，预测大师总可以用偷换预测的前提和条件（时间）来 “说服” 股民相信大师预测的正确性
29
比特承诺协议
安全比特承诺协议的直观描述
A 把比特b放入一个箱子，用一把只有用A自己的钥匙才能开启的锁锁上这个箱子，然后把这个箱子交给B；当时机成熟时，A把比特b和打开箱子的钥匙交给B，B通过打开箱子可以验证比特b 的内容没有改动，因为箱子在B的控制之下。
30
比特承诺协议
(比特承诺) 给定随机数r和待提交的整数b，关于整数b的比特承诺就是一个有效算法F使得满足如下条件：
从F(r, b)计算出b的难度相当于攻破某计算困难性问题的难度；
比特承诺F(r, b)的提交者A在以后把比特承诺F(r, b)以不同的方式打开成为F(r, b)的概率是可以忽略的，即提交者不能把比特承诺打开成为不同的方式；
在多项式时间内，无法区分对于两个不同数b和b的F(r, b)和F(r, b)。
31
比特承诺协议
比特承诺的两个安全性要求：
屏蔽性（Concealing）：A可用一个概率多项式时间算法F(r, b)将二进位b屏蔽起来，只有A本人才能打开。