基于口令的安全协议的模块化设计与分析 - 中国科学.pdfVIP

中国科学 E 辑:信息科学 2007 年 第37 卷 第2 期: 223~237 SCIENCE IN CHINA PRESS 基于口令的安全协议的模块化设计与分析 * 冯登国 陈伟东 ( 中国科学院软件研究所, 信息安全国家重点实验室, 北京 100080) 摘要 首先在分析基于口令的安全协议研究现状的基础上, 提出了“弱计算不 可分辨”概念, 并以此为基础系统研究了基于口令的安全协议的理论基础—“弱 伪随机性”理论; 其次, 以“弱伪随机性”理论为核心, 建立了基于口令的安全协议 的模块化设计与分析理论; 最后, 利用所建立的基于口令的安全协议的模块化设 计与分析理论, 设计了两类基于口令的安全协议, 即基于口令的会话密钥分配协 议和口令更换协议, 这两类协议的最大特点是: 实现效率高, 具有可证明安全性, 满足前向安全性. 关键词 安全协议 弱计算不可分辨 可证明安全性 随机预言模型 标准模型 基于口令的安全协议已经成为近年来密码学研究的热点之一, 目前主要集中在基于口令 的会话密钥分配协议和访问控制机制等方面的研究. 基于口令的安全协议的突出优点是: 口 令短, 易于人类记忆和选取, 省去了很多额外装置(如 Smart cards)的开销. 但从安全性角度看, 与一般的基于高品质主密钥或公钥的安全协议相比, 基于口令的安全协议也面临着严峻的挑 战, 最突出的问题就是抗字典攻击问题. 第一个基于口令的会话密钥分配协议是由Bellovin和Merritt提出的 [1], 这一工作影响深 远, 已经成为该领域的研究基础, 但该协议并没有得到严格的论证. 第一个用严格方法研究基 于口令的会话密钥分配协议的是Halevi和Krawczyk[2], 虽然事实上他们提出的协议还不是严格 意义上的基于口令的协议, 但他们提出了这样一个问题: 仅仅基于人类易记忆的口令能否实 现安全的访问控制机制. 首先对上述问题作出肯定回答的是文献 [3,4]. 文献 [3,4]的主要贡献是具体给出了两个在 ROM( 随机预言模型) 中可证明安全的基于口令的会话密钥分配协议. 文献 [5]首次给出了在标 准模型中可证明安全的这类协议. 然而, 文献 [5]的最大意义只是在理论上指出: 仅仅基于“单 向陷门函数存在”这样的标准假设, 可证明安全的会话密钥分配协议是存在的. 由于过于繁复, 特别是涉及到复杂的零知识证明等, 文献 [5]的协议并不实用. 其他相关重要研究进展可参见 文献 [6—8]等. 收稿日期: 2006-07-05; 接受日期: 2006-10-24 国家自然科学基金(批准号:资助项目 * 联系人, E-mail: feng@ 224 中国科学 E 辑 信息科学 第 37 卷 最近文献 [9]提出了一个新的基于口令的安全协议, 称之为口令更换(Protected Password Change, 简记为PPC)协议. 事实上, 文献 [9]的PPC协议可以追朔到文献 [10]的研究结果. 这类 协议的提出背景是, 鉴于口令字通常长度较短, 因此基于口令的安全机制存在许多需要遵循 的特殊准则, 其中之一就