[发明专利]一种基于格的口令认证密钥交换方法及系统

权利要求书

1.一种基于格的口令认证密钥交换方法，其步骤包括：

1)客户端C随机选取种子seed并生成公共参数a，然后从环R_q上的中心二项分布中选取秘密s_C和错误e_C，计算y_C＝as_C+e_C，γ＝H₁(pw_C)，m＝y_C+γ，然后将C_id,m,seed发送给服务器S；其中pw_C为客户端C的口令；

2)服务器S接收到客户端C发送的消息C_id,m,seed后，首先检查m，如果不在环R_q上，则协议终止，否则根据种子seed生成公共参数a，并根据环R_q上的中心二项分布选取秘密s_S和错误e_S、e_σ；然后计算ys ＝as_S+e_S、y_C＝m+γ′、σ_S＝y_Cs_S+e_σ,并对σ_S进行协调，得到协调值k_σ和信号值v；然后计算验证值k＝H₂(C_id,S_id,m,y_S,k_σ,γ′)和验证值k″＝H₃(C_id,S_id,m,y_S,k_σ,γ′)，将y_S,v,k发送给客户端C；其中，环R_q为整系数多项式环，γ′为服务器S持有的客户端C的口令哈希值；对于l∈{2,3,4}，哈希函数H_l:{0,1}^*→{0,1}^λ，λ表示最终共享的会话密钥的比特长度，H₂和H₃用于验证，H₄用于密钥派生，C_id表示客户端标识；

3)客户端C接收到消息y_S,v,k后，首先检查y_S，如果不在环R_q上，则协议终止，否则计算σ_C＝y_Ss_C,调用协调函数Rec(σ_C,v)，得到协调值然后计算γ′＝-γ，将H₂(C_id,S_id,m,y_S,k_σ,γ′)与k进行比较，若不相同则协议终止，否则计算k′＝H₃(C_id,S_id,m,y_S,k′_σ,γ′)，得到最终的会话密钥sk_C＝H₄(C_id,S_id,m,y_S,k′_σ,γ′)，并将k′发送给服务器S；其中，2≤t,g≤q和S_id为服务器S的标识，g、q、d、t为正整数；

4)服务器S验证k′是否等于k″，若相等，则计算得到最终的会话密钥sk_S＝H₄(C_id,S_id,m,y_S,k_σ,γ′)。

2.如权利要求1所述的方法，其特征在于，步骤1)中，对σ_S进行协调的方法为：从中随机选取k_σ，计算得到协调值k_σ和信号值v。