Scriu o lucrare despre protocoalele de schimb de chei autentificate. Am citit lucrarea fundamentală a lui Bellare și Rogway despre acest subiect și cred că înțeleg BR Model și acum citesc Lucrarea lui Cenetti și Krawczyk care urmărește să-l îmbunătățească. Sunt confuz cu privire la modul în care modelul CK este o îmbunătățire a BR. După cum se menționează în anexa lucrării CK, lucrarea BR formulează analiza lor în termeni de oracole. Ei menționează o defecțiune de securitate în modelul BR, dar am nevoie de o defecțiune completă.
În definițiile lui (BR), adversarul indică o sesiune neexpusă la alegerea sa și primește o valoare $k_b$, Unde $k_0$ este adevărata cheie de sesiune a acestei sesiuni, $k_1$ este o valoare aleatoare aleasă independent și $b$ este un bit ales aleatoriu care este necunoscut de adversar. Cerința de securitate este ca adversarul să nu poată prezice $b$ cu avantaj neneglijabil peste jumătate. Versiunea originală a acestor definiții necesită ca adversarul să-și prezinte ipoteza $b$ imediat după ce obține valoarea de test
Acest lucru este în mare măsură bine și îl includ pentru a oferi context pentru partea pe care nu o primesc.
Luați în considerare protocolul preferat de schimb de chei securizat $\pi$. Acum adăugați la specificațiile protocolului următoarea instrucțiune pentru partea care finalizează stabilirea sesiunii conform protocolului $\pi$: dacă la un moment dat partea primește un mesaj cu valoarea $\mathrm{MAC}_\kappa(0)$, Unde $\mathrm{MAC}$ este o funcție securizată de autentificare a mesajelor și $\kappa$ este cheia de sesiune stabilită, apoi partidul face publicitate $\kappa$. Cu toate acestea, protocolul nu instruiește niciodată nicio parte să execute o astfel de instrucțiune. Ca rezultat, se poate demonstra că protocolul trece de definiția slăbită. Pe de altă parte, este clar că un astfel de protocol nu poate fi compus în siguranță cu o aplicație de autentificare care utilizează cheia de sesiune pentru informațiile MAC-ing.
Protocolul nu spune direct părții să publice $\kappa$ daca primeste $\mathrm{MAC}_\kappa(0)$? Deci, cum este acest protocol sigur conform definiției BR? Cum elimină CK această posibilitate?
