[发明专利]一种应用于客户-服务器环境的认证密钥协商方法

摘要

本发明提供了一种应用于客户-服务器环境的认证密钥协商方法，包括：第一设备将确定出的X′＝Ag^x发送给第二设备，其中A＝g^a；第二设备确定Y′＝BY^e，其中B＝g^b和Y＝g^y和e＝h(Y，aux_h)，根据y、b及X′确定S，基于S确定K_A和K_B，根据K_B利用认证加密AE确定C_B＝AE(K_B，(I_B，B，CERT_B，Y，Data_B))，并将Y′和C_B发送给第一设备；第一设备根据x、a及Y′确定S，基于S确定K_A和K_B，利用K_B对C_B进行解密得到CERT_B和Y，若公钥证书CERT_B和Y′有效，则根据得到的参数确定会话密钥，还根据K_A利用AE确定C_A＝AE(K_A，(I_A，A，CERT_A，x，Data_A))，并将C_A发送给第二设备；第二设备利用K_A对C_A进行解密得到CERT_A和x，若公钥证书CERT_A和X′有效，则根据得到的参数确定会话密钥。第一设备至多运行2.5个模指数运算，第二设备至多运行3.5个模指数运算，并具有更优良的应用灵活性。

主权项

一种应用于客户‑服务器环境的认证密钥协商方法，其特征在于，所述方法包括：第一设备根据其生成的DH‑指数x和第一设备的公钥A＝g^a，确定第一参数X′＝Ag^x∈G或X′＝A^x∈G，并将所述第一参数X′以及第一辅助信息aux_A发送给第二设备，其中，g表示有限群G′的循环子群G的阶为q的生成元，x∈Z_q，A∈G，a∈Z_q是第一设备的私钥，aux_A是可为空的数据集合；第二设备根据其生成的DH‑指数y∈Z_q和第二设备的公钥B＝g^b∈G以及第二辅助信息aux_B其是可为空的数据集合，其中b∈Z_q是第二设备的私钥，以及接受到所述第一参数X′及第一辅助信息aux_A确定第二参数Y′＝BY^e∈G或Y′＝B^eY∈G，其中Y＝g^y∈G，y∈Z_q，e＝h(Y＝g^y，aux_h)，是一个转换函数，1≤L_h≤|q|，|q|表示q的二进制长度，${\mathrm{aux}}_h\⊆{\mathrm{aux}}_A\∪{\mathrm{aux}}_B\∪\{X^{\′},I_B,B,{\mathrm{CERT}}_B,I_A,A,{\mathrm{CERT}}_A\}\∪{\mathrm{Data}}_B,,$所述第二设备根据(b，y)以及第二辅助信息aux_B以及接收到的所述第一参数X′及所述第一辅助信息aux_A，确定预先共享密钥S，根据S以及{X′，Y′，aux_A，aux_B}的一个子集利用密钥导出函数KDF确定第一设备和第二设备的认证加密密钥K_A和K_B，其中K_A和K_B相等或不等，第二设备利用一个对称加密算法AE计算C_B＝AE(K_B，(I_B，B，CERT_B，Y，Data_B))，其中CERT_B是第二设备的公钥证书，I_B表示第二设备的身份，Data_B是第二设备其它需加密传输的可为空的数据集合，CERT_A是第一设备的公钥证书，I_A表示第一设备的身份，所述第二设备将第二参数Y′和C_B和aux_B发送给所述第一设备，并导出会话密钥；所述第一设备根据(a，x)以及所述第一辅助信息aux_A以及接受到的所述第二参数Y′以及第二辅助信息aux_B确定S，根据S以及{X′，Y′，aux_A，aux_B}的一个子集利用密钥导出函数KDF确定第一设备和第二设备的认证加密密钥K_A和K_B，然后利用K_B解密接收到的所述C_B得到(I_B，B，CERT_B，Y)；所述第一设备验证公钥证书CERT_B和第二参数Y′的有效性，若验证结果不正确则终止运行，若验证结果正确则计算C_A＝AE(K_A，(I_A，A，CERT_A，x，Data_A))，其中I_A表示第一设备的身份，CERT_A是第一设备的公钥证书，Data_A是第一设备其它需加密传输的可为空的数据集合；第一设备将C_A发送给第二设备，并导出会话密钥；所述第二设备利用K_A解密接收到的所述C_A得到(I_A，A，CERT_A，x)，验证公钥证书CERT_A和第一参数X′的有效性，若验证结果不正确则终止运行，若验证结果正确则导出会话密钥。