基于D-H公钥系统前向保密的密码协议

第１６巷　第１【　期　．计算机技术与发展　（、（ＪＭＩ　ＵＩ、ＥＲ　ＴＥＣＨＮ｛）ｌ　（￣ｉＹ　ＡＮＤ　１）Ｅ＼ｆｆ２１．（）ＰＭＴ２ＮＴ　Ｖ。１．１６　Ｎ。．１０　Ｏｃｔ．２００６　２００６年ｌ０月　基于Ｄ—Ｈ公钥系统前向保密的密码协议　李　闵，卢建朱，黄益栓　（暨南大学计算机系，广东广州５１０６３２）　摘要：Ｄｉｆｆｉｅ—Ｈｅｌｌｎ￣ｆｆＤ—Ｈ）算法可以实现密码系统的密钥交换，其安全性依赖于计算离散对数的难度，并且Ｄｉｆｆｉｅ—　Ｈｅｌｌｍａｎ密钥交换协议能够提供前向保密性。文中通过分析Ｄｉｆｆｉｅ—Ｈｅｌｌｍａｎ密钥交换协议，给出了一个可以应用于任何非　对称密码体制的具有前向保密的密码协议。　关键词：前向保密；密码协议；单向函数；密钥交换　中图分类号：ＴＰ３０９　文献标识码：Ａ　文章编号：１６７３—６２９Ｘ（２００６）１０—０１５３—０２　Ａ　Ｆｏｒｗａｒｄ　Ｓｅｃｒｅｃｙ　Ｐｒｏｔｏｃｏｌ　Ｂａｓｅｄ　ｏｎ　Ｄ‘－。Ｈ　ＰＫＥ　Ｓｙｓｔｅｍ　ＬＩ　Ｍｉｎ，ＬＵ　Ｊｉａｎ—ｚｈｕ，ＨＵＡＮＧ　Ｙｉ—ｓｈｕａｎ　（Ｃｏｍｐｕｔｅｒ　Ｄｅｐａｒｔｍｅｎｔ，Ｊｉｎａｎ　Ｕｎｉｖｅｒｓｉｔｙ，Ｇｕａｎｇｚｈｏｕ　５１０６３２，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｄｉｆｆｉｅ—Ｈｅｌｌｍａｎ（Ｄ—Ｈ）ａｌｇｏｒｉｔｈｍ　ｃ＆ｎ　ｅｘｃｈａｎｇｅ　ｔｈｅ　ｋｅｙ　ｉｎ　ａ　ｃｒｙｐｔｏ　ｓｙｓｔｅｍ，ｔｈｅ　ｓｅｃｕｒｉｔｙ　ｏｆ　ｗｈｉｃｈ　ｉｓ　ｂａｓｅｄ　ｏｎ　ｔｈｅ　ｄｉｓｃｒｅｔｅ　ｌａｇｏ－　ｒｉｔｈｍ．Ａｎｄ　Ｄｉｆｆｉｅ—Ｈｅｌｌｍａｎ　ｋｅｙ—ｅｘｃｈａｎｇｅ　ｐｒｏｔｏｃｏｌ　Ｃａｒｌ　ｐｒｏｖｉｄｅ　ａ　ｃｒｙｐｔｏ　ｓｙｓｔｅｍ　ｗｉｔｈ　ｔｈｅ　ｆｏｒｗａｒｄ　ｓｅｃｒｅｃｙ．Ａｎａｌｙｚｅ　Ｄｉｆｉｅ—Ｈｅｌｌｍａｎ　ｋｅｙ—　ｅｘｃｈａｎｇｅ　ｐｍｔｃｋ－－ｏｌ，ａｎｄ　ｐｒｅｓｅｎｔ　ａ　ｃｒｙｐｔｏ　ｇｒａｐｈｉｃａｌ　ｐｒｏｔｏｃｏｌ　ｗｉｔｈ　ｆｏｒｗａｒｄ　ｓｅｃｒｅｃｙ　ｗｈｉｃｈ　ｃａｎ　ｂｅ　ａｐｐｌｉｅｄ　ｔｏ　ａｎｙ　ａｓｙｍｍｅｔｉｃ　ｃｒｙｐｔｒｏ　ｓｙｓｔｅｍｓ．　Ｋｅｙ　ｗｏｒｄｓ：ｆｏｒｗａｒｄ　ｓｅｃｒｅｃｙ；ｃｒｙｐｔｏ　ｇｒａｐｈｉｃａｌ　ｐｒｏｔｏｃｏｌ；ｏｎｅ—ｗａｙ　ｆｕｎｃｔｉｏｎ；ｋｅｙ　ｅｘｃｈａｎｇｅ　Ｏ前言　向保密性。张莆等　８给出了一种使用Ｄｉｆｆｉｅ—Ｈｅｌｌｍａｎ建　公钥加密系统中，算法对用户和攻击者都是公开的，　系统的安全性依赖于密钥的安全性。密钥的泄露直接威　胁密码系统，使得所有保护系统的安全措施失效。如何减　少密钥泄露所造成的损失是目前信息安全领域研究的一　个热点。　目前已经提出许多方法（包括秘密共享…、短时加　密ｌ２　Ｊ和事先加密ｌ３　）试图解决这个问题。一般关注的是　前向安全（ｆｏｒｗａｒｄ　ｓｅｃｕｒｅ）。前向安全的主要思想是：将整　立的密码协议，在协议中使用了双方的身份标识，需要第　三方的ＰＫＩ（公钥基础设施）的支持。王滨等　９提出一种　无第三方ＰＫＩ身份认证的密码协议，但是计算要复杂，在　加密时，同时使用公钥私钥加密一个信息造成计算增加，　不利于小型设备的使用。　文中通过研究Ｄｅｆｆｉｅ—Ｈｄｌｍａｎ的密码协议，提出一　种交互式无需身份认证的具有前向保密的密钥协议，可用　于任何非对称密码系统，但是需要ＰＫＩ的支持。该协议　在计算量上也要比文献［８］的计算量小，特别适用于小型　设备的通讯，如移动设备或智能卡之间通讯。　个系统的生存时间化分成若干个时期，利用密钥更新算法　在每个时期开始产生自己对应的密钥，而公钥保持不变。　同时在每个时期开始时，将上一时期的密钥删除，产生并　保存新密钥。这样，即使某个时期的密钥泄露了，也不会　威胁到该时期之前的其他密钥，从而提高了系统的安全性　１　Ｄｉｆｆｉｅ—Ｈｅｌｌｍａｎ密钥建立协议　Ａ、Ｂ作为通信的双方，现在要进行密钥的交换。　（１）Ａ一＞Ｂ：Ａ，ｇｒＡ（ｏｏｄ　Ｐ）ｒ　（２）Ｂ一＞Ａ：ｇｒＢ（ｒｏｏｄ　Ｐ），Ｈｌ（ｇｒｎｍｏｄ　Ｐ，ＫＡＢ）　（３）Ａ一＞Ｂ：Ｈ２（ＫＡＢ）　Ａ：Ｋ　＝（ｇ　、）　ｓｏｏｄ　Ｐ　ｒＢ：　Ｋａｓ＝（ｇ　Ｂ）ｒａｒｏｏｄ　Ｐ　和有效性。前向安全密钥交换概念最先由Ｇｉｉｎｔｈｅｒｌ４　和　Ｄｉｆｆｉｅ等人提出的。一个前向安全的密钥交换协议，即使　长期密钥泄漏也不会危及以前产生的会话密钥　ｊ。后来，　Ａｎｄｅｒｓｍ　提出非交互式的前向安全，Ｂｅｌｌａｒｅ和Ｙｅｅ　研　究了非交互式对称加密。　基于Ｄｉｍｅ—Ｈｅｌｌｍａｎ的公钥系统可以实现安全的前　说明：　（１）Ａ选择随机数　并发送给Ｂ：　收稿日期：２（｝０５一Ｉ２：５　作者简介：李阂（１９７９一），女，安徽六安人，硕［：研究　研究方向　Ａ，　（ｎ１０ｄ　Ｐ）　（２）Ｂ选择随机数ｒＲ，计算：　Ｋ邶＝（ｇ　）　（ｒｏｏｄ　Ｐ）　网络技术及安全：　建朱，　：ｌ：，副教授，研究疗ｆ　勾汁算ｆＪｌ网络与　息安全　并将　（ｒｏｏｄ　Ｐ），Ｈｌ（　，ｏｒｏｄ　Ｐ，Ｋ加）传给Ａ。　维普资讯 http://www.cqvip.com

・１５４・　计算饥技术与发展　第ｌ６卷　（３）Ａ接收到后计算：　ＫａＢ＝（ｇｒ＾）ｒＢ　ｍｏｄ　Ｐ　并计算Ｈ２（ＫａＢ），传给Ｂ，证实Ａ已经得到Ｋ　，Ａ，Ｂ分　别已经计算出ＫａＢ的值，ＫａＢ就作为会话密钥开始通信。　符号说明：　ｇ和Ｐ是大素数，ｇ是模Ｐ的本原元，　是由Ａ产生的　随机数，ｒＢ是由Ｂ产生的随机数，分别作为Ａ和Ｂ的私钥。　ＫａＢ代表通过协议建立的会话密钥，ＨＩ（…）和Ｈ２（…）是　两个散列函数，进行散列运算。　２一种新型具有前向保密性密码协议　２．１提出新模型　这里将上文所示协议改为如下形式　（１）Ａ一＞Ｂ：ｇｒ￣ｍｏｄ　Ｐ　（２）Ｂ一＞Ａ：ｇ　ｎ划Ｐ，ｂ　Ａ：Ｋ　＝Ｈ（　ｍｏｄ　Ｐ，　）　Ｂ：ＫＡＢ＝Ｈ（ｇｂｒＡｍｏｄ　Ｐ，ｒＢ）　这里要求散列函数Ｈ（…）具有下列性质：　Ｈ（　ｍｏｄ　Ｐ，ｒＡ）＝Ｈ（　ｍｏｄ　Ｐ，ｒ月），在数学可以　找到满足这一性质的散列函数。所以Ｄｉｆｆｉｅ—Ｈｅｌｌｍａｎ密钥　建立协议能具有前向保密安全性就是因为它成功地应用　了离散对数求解这个数学上的ＮＰ问题［加］。　２．２实现前向保密性密码协议的详细设计　２．２．１初始　时刻的协议　初始化，构造双方公共参数ｇ，Ｐ以及散列函数Ｈ，　Ｈ１，Ｈ２。Ａ产生Ａ的长期私钥是ｒａ，Ｂ产生Ｂ的长期私钥　是ｒ月。　２．２．２　时刻到　＋１时刻的协议　（１）Ａ一＞Ｂ：　Ｑ　，ｇ．ｍｏｄ　Ｐ　（２）Ｂ一＞Ａ：ｇ＠；ｍｏｄ　Ｐ，Ｈｉ（ｇｒＡｍｏｄ　Ｐ，ＫａＢ）　（３）Ａ一＞Ｂ：Ｈ２（ＫａＢ）　说明：　（１）Ａ：产生一个请求Ｑ　，并将其传给Ｂ表示Ａ要求　生成第ｉ阶段会话的密钥ＫａＢ。　（２）Ｂ：接收Ｑ　后，产生一个随机数ｂ　，并计算密钥　＝Ｈ（ｇ＠，ｍｏｄ　Ｐ，ｒＢ）　以及散列值Ｈｌ（ｇｒ￣．ｍｏｄ　Ｐ，ＫａＢ），将ｇｒＡｍｏｄ户，Ｈｌ　（ｇ＠＇ｏｒｏｄ　Ｐ，ＫａＢ）传给Ａ。　（３）Ａ：计算　ＫａＢ＝Ｈ（ｇ　ｔｍｏｄ　Ｐ，ｒａ）　以及散列值Ｈｌ（ｇ　ｍｏｄ　，ＫＡＢ），验证消息来自Ｂ，并传　Ｈ２（　）给Ｂ，证实得出密钥。Ｂ收到后进行验证，证实　Ａ获得了密钥Ｋ＾Ｂ。　Ａ和Ｂ的第ｉ次会话的密钥Ｋ　＝Ｈ（ｇ－　，Ｉ，ｒｏｏｄ　Ｐ，ｒＪｊ）　＝Ｈ（ｇ　ｍｏｄ　ｐ，ＦＡ）。　３安全性分析　３．１选择密文攻击　在协议中，由ＰＫＩ负责公布ｇ，Ｐ，Ｈ，Ｈｌ，Ｈ２等参数，　要计算ｇ　，这是个离散对数问题　Ｊ，无法在有效的多项　式时间内计算。故协议可以防止密文攻击。　３．２中间人攻击　假设中间人为Ｅ，其通过ＰＫＩ获得私钥为ｒＦ，可以获　得ｇ，Ｐ，Ｈ，ＨＩ，Ｈ２等公共参数，又假设Ｅ可以截获并修　改Ａ，Ｂ的通讯内容。　（１）Ａ一＞Ｅ：　Ｑ　，ｇｒＡｍｏｄ　Ｐ　Ｅ一＞Ｂ：　Ｑ　，ｇｒ￣ｍｏｄ　Ｐ　Ｂ用自己的私钥替换了Ａ的私钥，送给Ｂ。　（２）Ｂ一＞Ｅ：ｇ＠，ｍｏｄ　Ｐ，Ｈ１（ｇｒ￣ｍｏｄ　Ｐ，Ｋｅｅ）　Ｅ一＞Ａ：　ｇｒｄ＇ｍｏｄ　Ｐ，ＨＩ（ｇ　ｍ０ｄ　Ｐ，ＫＥＡ）　Ｅ产生随机数ｅ　，替换了Ｂ的ｂ　和其私钥，这样Ｅ可　以同时和Ａ，Ｂ通讯，而Ａ，Ｂ却认为是和对方通讯。　（３）Ａ一＞Ｅ：Ｈ２（　）　Ｅ一＞Ｂ：Ｈ２（Ｋｅｅ）　在这种攻击模式中，Ｅ可以通过实时截获和修改Ａ，　Ｂ的通讯内容，而达到知晓其信息的目的，这在通讯设备　上要求很高，而且性能要好，况且成本很高，在安全性要求　不是特别高的通信中，特别是小型设备，我们的协议具有　很大的优势。　３．３会话密钥的泄漏　如果第ｉ阶段建立的会话密钥ＫａＢ泄漏，那么根据协　议只会暴露当前的会话内容，而不会暴露第ｉ阶段以前的　会话内容，所以实现了前向安全。并且，也不会暴露第ｉ阶　段以后建立的会话内容，因为不能推出第　＋１阶段的会　话密钥，所以具有较好的安全性。　３．４　Ａ。Ｂ长期私钥的泄漏　如果Ａ，Ｂ的长期私钥泄漏，根据协议并不能得到当　前会话的密钥　，所以系统仍然是安全的。而且可以　通过重新执行Ｄｉｆｆｉｅ—Ｈｅｌｌｍａｎ协议，建立新的私钥来更换　Ａ，Ｂ的长期私钥。　４小结　文中提出基于【）ｉｆｆｉｅ—Ｈｅｌｌｎｍｎ密码协议，并实现了密　码系统的前向安全性，而且无需身份认证，提高了系统的　效率，特别适用于安全性要求不高的小型设备使用。　参考文献：　［１］Ｏｓｔｒｏｖｓｋｙ　Ｒ，Ｙｕｎｇ　Ｍ．Ｈｏｗ　ｔＯ　ｗｉｔｈｓｔａｎｄ　ｍｏｂｉｌｅ　ｖｉｒｕｓ　ａｔｔａｃｋｓ　［Ａ］ｔＫ）ＤＣ’９１［Ｃ］．［ｓ．１．］：ＡＣＭ，１９９１．５１～５９．　［２］１）ａｍｇ’ａｒｄ　Ｉ　Ｂ，Ｎｉｅｌｓｅｎ　Ｊ　Ｂ．Ｉｍｐｒｏｖｅｄ　ｎｏｎ—ｃｏｎｕｎｉｔｔｉｒ￣ｇ　ｃｎ．　ｃｒ３ｒｐｔｉｏｎ￣ｈｅｎｌｅｓ　ｂａｓｅｄ　ｏｎ　ａ　ｇｅｎｅｒａｌ　ｃｏｍｐｌｅｘｉｔｙ　ａｓｓｕｍｐｔｉｏｎ　［Ａ１　Ｃｒｙｐｔｏ’Ｏ０［Ｃ］．ＬＮＣＳ　１８８０．［ｓ．１．］：Ｓｐｒｉｎｇｅｒ—Ｖｅｒｌａｇ．　２０００．４３２—４５０　（下转第ｌ６６页）　维普资讯 http://www.cqvip.com

・１６６・　计算机技术与发展　第１６卷　如果发布服务的所有输入都被匹配，带有最低匹配等　级的输入将决定最终的匹配结果。比如表ｌ中，匹配等级　５代表所有输入对的属性匹配都是等价，类型匹配要么足　等价要么是包含，但　要有一个输入对的类型匹配是包　含，将决定了匹配等级低于所有类型匹配都是等价的等　级。　出的服务质量和发布服务的服务质量进行语义匹配以检　验服务质量要求是否满足。　４总结和展望　文中介绍了语义ｗｅｂ服务的描述语言ＯＷＬ—Ｓ，设　计并实现了一个基于ＯＷＬ—Ｓ的Ｗｅｂ服务发现系统。针　对ＯＷＬ～Ｓ描述的ｗｅｂ服务的发布和查询过程进行了介　输入参数匹配的步骤如下：对于发布服务的每一个输　入，都试图找到和其具有最高匹配等级的请求服务输入。　最高的匹配等级大于０则找到了一个匹配。发布服务的　绍，重点介绍了ｗｅｂ服务的ＯＷＬ—Ｓ信息在数据库中的　存储结构以及服务匹配算法。文中只是实现语义ｗｅｂ服　务发现的一个初步模型，存在一些不足之处，如系统并没　有考虑与现有ＵＤＤＩ注册中心的结合，另外文中所介绍的　０ｗＬ—Ｓ本体到数据库的映射完全取决于系统采用的推　理机，推理机的局限性会导致信息存储的不完整，这些问　输人和具有大于０的最高匹配等级的请求服务的输入形　成一个输入对。　当发布服务的输入列表为空时，输人参数匹配等级返　回为６，因为此时发布服务不需要任何输入参数，没有必　要进行输入的匹配。　题将在进一步研究工作中予以解决。　参考文献：　［１］Ｂｅｒｎｅｒｓ—ＬｅｅＴ，Ｈｅｎｄｌｅｒ　Ｊ，ＬａｓｓｉｌａＯ．Ｔｈｅ　ＳｅｍａｎｔｉｃＷｅｂ［Ｊ］．　Ｓｃｉｅｎｔｉｆｉｃ　Ａｍｅｒｉｃａｎ，２００１，２８４（５）：３４—４３．　输出参数的匹配与输入一样，这里不再赘述，但值得　注意的是匹配顺序的颠倒，对于请求服务的每个输出，系　统都试图在发布服务输出中找到一个匹配。　在０Ｗ乙一Ｓ中，可以使用（）Ⅵ　本体中描述的某种分　层方法来对服务进行分级。在这个本体中，每个具体的服　务或者是类Ｐｒｏｆｉｌｅ的实例或者是类Ｐｒｏｆｉｌｅ某个子类的实　［２］ＯＷＬ　ｗｅｂ　Ｏｎｔｏｌｏｇｙ　ｌａｎｇｕａｇｅ　Ｇｕｉｄｅ［Ｒ／ＯＬ］．Ｗ３Ｃ【＝ａｌ１ｄｊ～　ｄａｔｅ　Ｒｅｃｏｍｍｅｎｄａｔｉｏｎ　１８　Ａｕｇｕｓｔ　２００３．ｈｔｔｐ：／＾＾　＾ｎ　ｖ．ｗ３．　ｏｒｇ厂ｒＲ／２００３　Ｒ—ＯＷｌ—ｇｕｉｄｅ～２００３０８１８／．２００３．　例。在进行服务Ｐｒｏｆｉｌｅ分级的匹配时，系统试图在发布　服务中找到最匹配请求服务需求的服务。假设ｒｅｑＳｅｒ．　ｖｉｃｅＨｉｅ表示请求服务分级，ａｄｖＳｅｒｖｉｃｅＨｉｅ表示发布服务分　级。ｒｅｑＳｅｒｖｉｃｅＨｉｅ和ａｄｖＳｅｒｖｉｃｅＨｉｅ均为某个服务分层本　［３］Ｍａｒｔｉｎ　Ｄ、ＯＷＬ—Ｓ：Ｓｅｍａｎｔｉｃ　Ｍａｒｋｕｐ　ｆｏｒ　Ｗｅｂ　Ｓｅｒｖｉｃｅｓ［Ｒ／　ＯＬ］．Ｔｅｃｈｎｉｃａｌ　ｒｅｐｏｒｔ，Ｄａｒｎｌ　ｃｏｎｓｏｒｔｉｕｍ，ｈｔｔｐ：／／１　Ｍ．　ｄａｎｆｌ、ｏｒｇ／ｓｅｒｖｉｃｅｓ／ｏｗｌ—ｓ／１．０／ｏｗｌ—Ｓ．ｐｄｆ．、ｖＩ　ＳＰ　Ｐｒｉｍｅｌ＂　Ｗｏｒｋｉｎｇ　Ｄｒａｆｔ　０．３．，２００４—０２．　体中定义的概念。两者进行类型匹配的结果见表２。　表２服务分级匹配结果　［４］ＰａｏｌｕｃｄＭ，ＫａｗａｍｕｒａＴ，ＰａｙｎｅＴＲ，ｅｔ　ａ１．ＩｍｐｏｒｔｉｎｇｔｈｅＳｅ—　ｍａｎｔｉｃ、ｖｅｂｉｎＵＤＤＩ［Ａ］．ＩｎＰｒｏｃ　ｏｆ、】ＩｒｅｂＳｅｒｖｉ０ｅＳ，Ｅ—Ｂｕｓｉ～　ｎＧＳＳ　ｎｄ　ａＳｅｍａｎｔｉｃ　ｗｅｂ　Ｗｏｒｋｓｈｏｐ，ＣＡｉＳＥ　２００２［Ｃ］．［Ｓ．Ｉ．］：　［Ｓ．ｎ．］，２００２．２２５—２３６．　［５　Ｊ　Ｋｏｐｅｎａ　Ｊ，Ｒｅｇｌｉ　Ｗ．ＤＡＭＬＪｅｓｓＫＢ：Ａ　ｔＯＯｌ　ｆｏｒ　ｒｅａｓｏｎｉｎｇ　ｗｉｔｈ　ｔｈｅ　ｓｅｍａｎｔｉｃ　ｗｅｂ［Ｊ］．Ｉｎ　ＩＥＥＥ　Ｉｎｔｅｌｌｉｇｅｎｔ　Ｓｙｓｔｅｍｓ，２００３，ｌ８：　７４～７７．　［６　Ｊ　Ｐａｏｌｕｃｃｉ　Ｍ，Ｋａｗａｍｕｒａ　Ｔ，Ｐａｙｎｅ　Ｔ，ｅｔ　．Ｓｅｍａｎｔｉｃ　ｍａｔｃｌｉｆｇ　ｎｏｆ　ｗｅｂ　ｓｅｒｖｉｃｅ　ｃａｐａｂｉｉｆｔｉｅｓ［Ａ］．Ｉｎ　Ｐｒｏｃｅｅｄｉｇｓｎ　ｏｆ　１ｓｔ　Ｉｎｔｅｒｎａ—　ｒｉｏｎａｌ　Ｓｅｍａｎｔｉｃ　ｗｅｂ　Ｃｏｎｆｅｒｅｎｃｅ（ＩＳｗＣ２００２）［Ｃ］．Ｂｅｒｌｉｎ：　Ｓｐｒｉｇｅｒ～Ｖｅｒｌｎａｇ．２００２．３３３—３４７．　最后一个匹配阶段是服务质量的匹配，服务请求者提　・＋一＋－＋－＋“＋－＋・・＋“—・卜－＋－—・卜“—・卜－＋－＋“—・卜・・＋－＋－＋－—・卜一＋－＋－＋・・＋－＋一＋－＋“＋“＋“＋“＋・・＋一＋“＋－＋一＋“＋一十”＋一＋一＋－＋“＋－＋“＋“＋・—＋“＋・　（上接第１５４页）　［３］Ｌｉｎｄｅｌｆ　Ｙ．Ａ　ｓｉｍｐｌｅｒ　ｃｏｎｓｔｕｃｒｔｉｏｎ　ｏｆ　ＣＣＡ２一ｓｅｃｕｒｅ　ｐｕｂｌｉｃ—　ｋｅｙ　ｅｎｅｒｙｐｔｉｏｎ　ｕｎｄｅｒ　ｇｅｎｅｒＮ　ａｓｓｕｍｐｔｉｏｎｓ［Ａ］Ｅｕｒｏｃｒｙｐｔ　２００３　［Ｃ］．ＬＮＣＳ２６５６．［Ｓ．１．］：Ｓｐｒｉｇｅｒ—Ｖｅｒｎｌａｇ，２００３．２４１—２５４．　ｕｋ／ｆｔｐ／ｕａｅｒｓ／ｒｉａｌ４／ｆｏｒｗａｒｄ￣ｃｕｒｅ．ｐ（Ｉｆ，１９９７．　［７　ｊ　Ｂｅｌｌａｒｅ　Ｍ，Ｙｅｅ　Ｂ．Ｆｏｒｗａｒｄ　ｓｅｃｕｒｉｔｙ　ｉｎ　ｐｒｉｖａｔｅ—ｋｅｙ　ｃｒｙｐｔｏ—　ｇｒａｐｈｙ［Ａ］．ＣＩ、＿ＲＳＡ　２００３［Ｃ］．ＬＮＣＳ２６１２．［Ｓ．１．］：Ｓｐｒｉｇｅｎｒ　［４】Ｆｕｊｉｓａｈ　Ｅ，Ｏｋｓｍｏｔｏ　Ｔ．Ｓｅｃｕｒｅ　ｉｎｔｅｇｒａｔｉｏｎ　ｏｆ　ａｓｙｎｍｍｔｉｒｃ　ａｎｄ　ｓｙｍｍｅｔｒｉｃ　ｅｎｃｒｙｐｔｉｏｎ　ｓｅｈｅｎｌｅｓ［Ａ］．Ｃｒｙｐｔｏ’９９［Ｃ］．ＬＮＣＳ　１６６６．【ｓ．１．］：Ｓｐｒｉｇｅｒ—Ｖｅｒｎｌａｇ．１９９９．５３７—５５４　Ｖｅｒｌａｇ．２００３．１一ｌ８．　［８］王滨，汪和松．Ｄｉｆｆｉｅ—Ｈｅｌｌｍａ密钥建立协议的前向保密　性研究［Ｊ］．长沙电力学院学报（自然科学版），２００４，１９（３）：　ｌ５一ｌ７．　。　［５］　１２￣ｍｅｄｔ　Ｙ，Ｆｒｎｋｅａｌ　ｙ．－　Ｆｈｒｅｓｈｏｌｄ　ｃｒｙｐｔｏｓｙｓｔｅＩ１１Ｓ［Ａ］．Ｃｒｙ）ｔｏ’　８９［Ｃｊ．ＬＮＣＳ　４３５．　３１５．　１］：Ｓｐｒｉｎｇｅｒ—Ｖｅｒｌａｇ，１９８９．３０７　［９］　王滨．张少武，杨飚．密码协议的前向保密性研究［Ｊｊ　计算饥工程与应用，２００４，４０（２５）：ｌ５７～ｌ６０　【ｌ０　ｊ　Ｃｈｃ￣ｎ　Ｊ　Ｈ，Ｌｅｅ　Ｄ　Ｈ．Ｉ）ｉｆｆｉｅ—Ｈｃｌｌｍａｎ　Ｐｒｏｂｌｅｍｓ　ａｎｄ　Ｂｉｌｉｎｅａｒ　ｆ　６］Ａｎｄｅｒｓｏｎ　Ｒ．　Ｉ＇ｗｏ　ｒｅｌｌＫｌｙｓ　ｋｏｎ　ｐｕｂｌｉｃ　ｋｅｙ，ｃｒｖ．ｐｔ（Ｊｌｏｇｙｆ　ＥＢ／ＯＩ　］．　Ｉｎｖｌｔｅｄ　Ｌａ：ｃｔｔｔｒｅ，ＡＣＩＶ｛一ＣＣＳ’９７．ｈｔｔｐ：／／ｗｗｗ．Ｃ１．Ⅷｎ．Ｒｃ　Ｎｌａｔ￣ｓ［ＥＢ／ＯＬｊ　ｈｔｒｌ　：／／ｅｐｒｉｎｔ　ｉａｃｒ　ｏｒｇ／２００２／１　１７／，２００２