---

1. Суб’єкт В має особистий ключ узгодження ключа h_B в Н і відкритий ключ узгодження ключа Рв = F(h_B, g).

2. Суб’єкт А має доступ до автентифікованої копії відкритого ключа узгодження ключа В — р_в. Цього можна досягти з використанням механізму розділу 8.

А в

Конструювання ключа
(А1)

К
Т_Д1

Конструювання ключа
(А2)

І

КавІ

Рисунок 2 — Узгодження ключа, механізм 2

Конструювання маркера ключа (А1)

А випадково і таємно генерує г в Н, обчислює F(r, g) і надсилає до В маркер ключа

КТ_А1 = F(r, g) И Text.

Конструювання ключа (А2)

Додатково, А обчислює ключ, як

Кав = F(r, р_в).

Конструювання ключа (81)

В виділяє F(r, g) з одержаного маркера КТ_Д1 і обчислює розподілений таємний ключ

Кав = F(h_B,F(r. g)).

Відповідно до вимоги 1 щодо F обидва обчислені значення К_АВ є тотожні.

Примітка. Цей механізм узгодження ключа має такі властивості:

1. Число проходів: 1,

2. Автентифікація ключа; механізм забезпечує неявну автентифікацію ключа від В до А (6 є єдиним суб'єктом, крім А, який може обчислити розподілений таємний ключ).

3. Підтвердження ключа: механізм не реалізує підтвердження ключа.

4. Це механізм узгодження ключа внаслідок того, що встановлений ключ є односпрямованою функцією випадкового числа г, постаченого особистими ключами узгодження ключа суб’єктів А і б. Однак, внаслідок того, що суб'єкт А може знати відкритий ключ суб’єкта В перед тим, як обрати значення г, А може вибрати орієнтовно s бітів ключа, що встановлюється, за рахунок генерування 2^s пробних значень для гза час від визначання відкритого ключа В до надсилання КТ_Л1

5. Приклад: приклад цього механізму узгодження ключа (відомий, як узгодження ключа за ЕльГамаль) наведено в В.З.

6. Використання ключа: внаслідок того, що В одержує ключ К_АВ від неавтентифікованого суб'єкта А, безпечне викори­стання К_Лв на стороні В обмежене функціями, які не вимагають довіри до автентичності А, такими як розшифровування і генерування кодів автентифікації повідомлень.

6.3 Узгодження ключа, механізм З

Цей механізм узгодження ключа за один прохід установлює розподілений таємний ключ між суб'єктами А і б із взаємною неявною автентифікацією ключа і автентифікацїєю суб’єкта А для Б. Повинні задовольнятися такі вимоги:

1. Суб’єкт А має асиметричну систему підпису (бд, І/Д

2. Суб’єкт В має доступ до автентифікованої копії відкритого перетворення верифікації V_A. Це може бути досягнуто використанням механізмів розділу 8.

3. Суб’єкт В має систему узгодження ключа з ключами (Л_д, р_в).

4. Суб’єкт А має доступ до автентифікованої копії відкритого ключа узгодження ключів р_в суб’єк­та В. Це може бути досягнуто використанням механізмів розділу 8.

5. TVP: TVP повинен бути або позначкою часу, або порядковим номером. Якщо використову­ють позначку часу, необхідні надійні І синхронізовані годинники, якщо використовують порядко­вий номер, необхідні можливість ведення та верифікації двосторонніх лічильників.

6. Суб’єкти А і В повинні узгодити криптографічну контролювальну функцію f (аналогічну стан­дартизованій в ISO/IEC 9797) і спосіб включення К_Ав як ключа до цієї контролювальної функції.

Конструювання
маркера ключа
(Д1.1)

П

КТ_Д1

ідпис маркера ключа
(А1.2)

К

К_Ав

онструювання ключа

(S1)

Верифікація підпису

(81.2)

К_Ав

Рисунок 3 — Узгодження ключа, механізм З

Конструювання ключа (А1.1)

А випадково і таємно генерує гі обчислює F(r, д). А обчислює розподілений таємний ключ як

К_АВ= F(r, р_в).

Використовуючи розподілений таємний ключ К_АВ, А обчислює криптографічне контролювальне значення об’єднанням розрізнювального ідентифікатора посилана А і порядкового номера або позначки часу TVP.

Конструювання маркера ключа (А1.2)

А підписує криптографічне контролювальне значення з використанням свого приватного перетворення підписування 8д. Потім А формує маркер ключа, який складається з розрізнюваль-

ного ідентифікатора посилана А, вхідних даних для ключа F(r, д), TVP, підписаного криптографіч­ного контролювального значення і деяких необов’язкових даних

KT₄₁= ^||F(r,g)[|TVP||S_A(fKABHI|rVP))|[Textf. ’

Надсилає його до В.

Конструювання ключа (81.1)

В виділяє F(r, д) з одержаного маркера ключа і обчислює розподілений таємний ключ із вико­ристанням свого особистого ключа узгодження ключа he,

Кав = F(h_BlF(r, д)).

Використовуючи розподілений таємний ключ Кав, 8 обчислює криптографічне контролювальне значення на розрізнювальному ідентифікаторі посилана А і TVP.

Верифікація підпису (81.2)

В використовує відкрите перетворення верифікації посилана V_A для верифікації підпису А, а з тим цілісність і походження одержаного маркера КТді. Потім В підтверджує неповторюваність у часі маркера (оглядом TVP).

Примітка. Цей механізм узгодження ключа має такі властивості:

1. Число проходів: 1.

2. Автентифікація ключа: цей механізм забезпечує явну автентифікацію ключа від А до В і неявну автентифікацію ключа від В до А,

3. Підтвердження ключа: цей механізм забезпечує підтвердження ключа від А до В.

4. Це механізм узгодження ключа внаслідок того, що встановлений ключ є односпрямованою функцією випадкового числа г, постаченого особистими ключами узгодження ключа суб'єктів А і В. Однак, внаслідок того, що суб’єкт А може знати відкритий ключ суб’єкта В перед тим, як обрати значення г, А може вибрати орієнтовно s бітів ключа, що встановлюється, за рахунок генерування 2^s пробних значень для г за час від визначання відкритого ключа В до надсилання КТ_Л1.

5. TUP: забезпечує автентифікацію суб'єкта А для В і запобігає повторенню маркера ключа.

6. Приклад: приклад цього механізму узгодження ключа (відомий як узгодження ключа за Ніберг-Рюппелем) наведений в В.4.

7. Сертифікати відкритого ключа: якщо Textl використовують для пересилання сертифіката відкритого ключа А, то вимога 2 на початку цього розділу може бути послаблена до вимоги, щоб В володів автентифікованою копією відкритого ключа верифікації СА.

Конструювання
маркера ключа
(А1)

КТ_Л1

кт_е1

Конструювання
маркера ключа
(В1)

Рисунок 4 — Узгодження ключа, механізм 4

Цей механізм узгодження ключа за два проходи встановлює розподілений таємний ключ між суб’єктами А і В зі спільним контролем ключа без попереднього обміну ключовою інформацією. Механізм не забезпечує ні автентифікації суб’єкта, ні автентифікації ключа.

Конструювання маркера ключа (А1)

А випадково і таємно генерує г_А в Н, обчислює F(r_A, д), конструює маркер ключа

КТді = Р(г_Агg)Text1

і надсилає його до В.

Конструювання маркера ключа (S1)

В випадково і таємно генерує г_в в Н, обчислює F(r_B, д), конструює маркер ключа

КТ_е1 = F(r_B, д) Text2

і надсилає його до А.

Конструювання ключа (А2)

А виділяє F(r_B, д) з одержаного маркера КТ_Єі і обчислює розподілений таємний ключ

КТдв = F(r_A,F(r_B, д)).

Конструювання ключа (В2)

В виділяє Я(г_д, д) з одержаного маркера КТ_Л1 і обчислює розподілений таємний ключ

КТдв = F(r_B, F(r_A, g)).

Примітка. Цей механізм узгодження ключа має такі властивості:

1. Число проходів: 2.

2. Автентифікація ключа: цей механізм не забезпечує автентифікації ключа. Однак, цей механізм може бути корисним у середовищі, де автентичність маркера ключа верифікують із використанням інших засобів. Для прикладу, ґеш-кодом мар­кера ключа суб’єкти можуть обмінятися між собою з використанням другого каналу взаємодії. Дивись також механізм пере­давання відкритого ключа 2.

Підтвердження ключа: механізм не забезпечує підтвердження ключа.

3. Це механізм узгодження ключа внаслідок того, що встановлений ключ є односпрямованою функцією випадкових чисел г_д і г_в, постачених, відповідно, А і В. Однак, внаслідок того, що суб'єкт В може знати F(r_A, д) перед тим, як обрати зна­чення г₈, суб'єкт В може обрати орієнтовно s бітів ключа, що встановлюється, за рахунок генерації 2’ пробних значень г_в за час від одержання КТ_Л1 до надсилання КТ_В1.

4. Приклад: приклад цього механізму (відомий як узгодження ключа за Діффі-Гелманом) подано в В.5.

Цей механізм узгодження ключа за два проходи встановлює розподілений таємний ключ між суб’єктами А і В із неявною взаємною автентифікацією ключа і спільним контролем ключа. По­винні задовольнятися такі вимоги:

1. Кожен суб’єкт X має особистий ключ узгодження ключа h_x в Н і відкритий ключ узгодження ключа р_х= F(h_x, д).

2. Кожен суб’єкт має доступ до автентифікованої копії відкритого ключа узгодження ключа іншого суб’єкта. Цього можна досягти використанням механізмів розділу 8.

3. Обидва суб’єкти повинні узгодити спільну односпрямовану функцію co.

А в

КТді

КГ_В1

Конструювання маркера ключа (Д1)

Конструювання маркера ключа (61)

Рисунок 5 — Узгодження ключа, механізм 5

Конструювання маркера ключа (А1)

А випадково і таємно генерує г_А в Н, обчислює F(r_A, д) і надсилає до В маркер ключа КТ_Л1 = F(r_A, g)Text1.

Конструювання маркера ключа (В1)

В випадково і таємно генерує г_в в Н, обчислює F(r_B, д) і надсилає до А маркер ключа KT_S1 = F(r_B, д)||7ехГ2.Конструювання ключа (В2)

В виділяє 5(г_Лд) з одержаного маркера ключа і обчислює розподілений таємний ключ як

Кав = ^F(h_BfF(r_A,g))_tF(r_B,p_A)), де to є односпрямованою функцією.

Конструювання ключа (Д2)

А виділяє F(r_B, д) з одержаного маркера ключа і обчислює розподілений таємний ключ як

Кав = р_в), F(h_A, F(r_B, д)))>

де to є односпрямованою функцією.

Примітка. Цей механізм узгодження ключа має такі властивості:

1. Число проходів: 2.

2. Аетентифікація ключа: цей механізм забезпечує взаємну неявну автентифікацію ключа. Якщо поле даних Totxt2 містить криптографічне контролювальне значення (на відомих даних), обчислене з використанням ключа К_АВ, то механізм забезпечує явну автентифікацію ключа від В до А.

3. Підтвердження ключа: якщо поле даних Tetxt2 містить криптографічне контролювальне значення (на відомих даних), обчислене з використанням ключа К_Ад, то цей механізм забезпечує підтвердження ключа від В до А.

4. Це механізм узгодження ключа внаслідок того, що встановлений ключ є односпрямованою функцією випадкових чисел г_А і г_в, постачених, відповідно, А і В. Однак, унаслідок того, що суб'єкт В може знати F{r_Atд) перед тим, як обрати зна­чення г_е, суб'єкт В може обрати орієнтовно з бітів ключа, що встановлюється, за рахунок генерації 2^s пробних значень г_е за час від одержання КТ_Л1 до надсилання КТ_В1.

5. Приклад: приклад цього механізму погодження ключа (відомий як схема погодження ключа Мацумото Такашіма-імаі А(0)) наведений в В.6. Інший приклад відомий як протокол Госса.

6. Функція ш повинна приховувати свої вхідні дані в тому сенсі, що за значенням функції і одного з вхідних даних не­можливо обчислити відповідну частину інших вхідних даних. Цього можна досягти, використовуючи ґеш-функцію з ISO/IEC 10118 (нема потреби в колізійно-стійкій ґеш-функції).

7. Сертифікати відкритих ключів: якщо Tetxtl і Tetxt2 містять сертифікати відкритих ключів узгодження ключа, відпо­відно, суб'єктів А або В, вимога 2 на початку цього розділу може бути замінена вимогою, за якою кожен суб'єкт володіє автентифікованою копією відкритого ключа верифікації СА.

6.6 Узгодження ключа, механізм 6

Цей механізм узгодження ключа за два проходи встановлює розподілений таємний ключ між суб’єктами А і В з неявною взаємною автентифікацією ключа і спільним контролем ключа. Він оснований на використанні як асиметричного шифрування, так і системи підпису. Повинні задоволь­нятися такі вимоги: