【国家标准(GB)】 信息技术 安全技术 实体鉴别 第2部分: 采用对称加密算法的机制

ICS35.040
中华人民共和国国家标准
GB/T15843.2--2008/IS0/IEC9798-2:1999代替GB15843.2-1997
信息技术
安全技术
实体鉴别
第2部分：采用对称加密算法的机制Information technology--Security techniques--Entity authentication-Part 2 : Mechanisms using symmetric encipherment algorithm(ISO/IEC9798-2:1999,IDT)
2008-06-19发布
中华人民共和国国家质量监督检验检疫总局中国国家标准花管理委员会
2008-11-01实施
规范性引用文件
术语、定义和符号
5不涉及可信第三方的机制
单向鉴别
5.2相互鉴别
6涉及可信第三方的机制
四次传递鉴别
6.2五次传递鉴别
附录A（资料性附录）
参考文献
文本字段的使用
GB/T15843.2—2008/IS0/IEC9798-2:1999次
GB/T15843.2—2008/ISO/IEC9798-2：1999前言
GB/T15843《信息技术安全技术实体鉴别》分为五个部分：-第1部分：概述
第2部分：采用对称加密算法的机制-第3部分：采用数字签名技术的机制一第4部分：采用密码校验函数的机制-第5部分：采用零知识技术的机制可能还会增加其他后续部分。
本部分为GB/T15843的第2部分，等同采用ISO/IEC9798-2：1999《信息技术安全技术实体鉴别第2部分：采用对称加密算法的机制》(英文版)，仅有编辑性修改。本部分代替GB15843.2-一1997《信息技术安全技术实体鉴别：第2部分：采用对称加密算法的机制》。本部分与GB15843.2—1997相比，主要变化如下：本部分更新了第4章“要求”，对加密函数以及与它对应的解密函数应具有的属性提出了要求，同时增加了对时变参数特性的要求。本部分在内容上增加了对于基于单向密钥来完成鉴别过程的考虑，因而在对应的各个章条部分都增加了相应的叙述。
本部分废止了旧版中关于实体A和B之间共享一个秘密密钥K'AB，而K'AB只用于B对A的鉴别的相关叙述。
本部分删除了ISO/IEC前言，增加了引言。本部分的附录A为资料性附录。
本部分由全国信息安全标准化技术委员会提出并归口。本部分主要起草单位：中国科学院数据与通信保护研究教育中心（信息安全国家重点实验室）。本部分主要起草人：荆继武、许长志、高能、向继、夏鲁宁。本部分所代替标准的历次版本发布情况为：-GB15843.2—1997。
GB/T15843.22008/IS0/IEC9798-2：1999引言
本部分等同采用国际标准ISO/IEC9798-2：1999，它是由ISO/IEC联合技术委员会JTC1（信息技术)的分委员会SC 27(IT安全技术)起草的。本部分规定了采用对称加密算法的实体鉴别机制，包括单向鉴别机制和相互鉴别机制，不涉及可信第三方的鉴别机制和涉及可信第三方的鉴别机制，并给出了这些鉴别机制的5项要求。在不涉及可信第三方的情况下，单向鉴别机制包括一次传递鉴别和两次传递鉴别两种，相互鉴别机制包括两次传递鉴别和三次传递鉴别两种。如果涉及可信第三方，相互鉴别机制则需要进行四次或者五次传递。
本部分凡涉及密码算法的相关内容，按国家有关法规实施。I
1范围
GB/T15843.2—2008/IS0/IEC9798-2:1999信息技术安全技术实体鉴别
第2部分：采用对称加密算法的机制本部分规定了采用对称加密算法的实体鉴别机制。其中有四种是两个实体间无可信第三方参与的鉴别机制，而这四种机制中有两种是单个实体鉴别（单向鉴别），另两种是两个实体相互鉴别。其余的机制都要求有一个可信第三方参与，以便建立公共的秘密密钥，实现相互或单向的实体鉴别。本部分中规定的机制采用诸如时间截、序号或随机数等时变参数，防止先前有效的鉴别信息以后又被接受或者被多次接受。
如果没有可信第三方参与同时又采用时间戳截或序号，则对于单向鉴别只需传递一次信息，而要实现相互鉴别必须传递两次。如果没有可信第三方参与同时又采用使用随机数的激励一响应方法时，单向鉴别需传递两次信息，而相互鉴别则需要传递三次。如果有可信第三方参与，则一个实体与可信第三方之间的任何一次附加通信都需要在通信交换中增加两次传递。2规范性引用文件
下列文件中的条款通过本部分的引用而成为本部分的条款。凡是注明日期的引用文件，其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本部分，然而，鼓励根据本部分达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本部分。GB/T15843.12008信息技术安全技术实体鉴别第1部分：概述（ISO/IEC9798-1：1997,IDT）
ISO/IEC11770-2:1996信息技术安全技术密钥管理第2部分：采用对称技术的机制3术语、定义和符号
GB/T15843.1中确立的术语、定义和符号适用于本部分。4要求
本部分规定的鉴别机制中，待鉴别的实体通过表明它知道某秘密鉴别密钥来证实其身份。这可由该实体用其秘密密钥加密特定数据达到，与其共享秘密鉴别密钥的任何实体都可以将加密后的数据解密。
这些鉴别机制有下列要求，若其中任何-个不满足，则鉴别过程就会受到攻击，或者不能成功完成。a）向验证方证实其身份的声称方，在应用第5章的机制时，应和该验证方共享一个秘密鉴别密钥，在应用第6章的机制时，每个实体应和公共的可信第三方都分别共享一个秘密鉴别密钥。这些密钥应当在正式启动鉴别机制前就为有关各方知道，达到这一点所采用的方法已超出了本部分的范围。
：：b）如果涉及到可信第三方，它应得到声称方与验证方的共同信任。c
声称方与验证方共享的秘密鉴别密钥，或实体与可信第三方共享的秘密鉴别密钥，应仅为这两方或双方都信任的其他方所知。注1：加密算法与密钥生命周期的选择应保证密钥在其生命周期内就被推算出来在计算上是不可行的。此外，在选择密钥生命周期时还应防止已知明文和选择明文的攻击。GB/T15843.2--2008/IS0/IEC9798-2:1999d）对于秘密密钥K的任何取值,加密函数ek以及与它对应的解密函数dk应具有如下的属性。当解密过程dk应用到字符串ek(X)时，它应该能够使得该字符串的接收者可以检测出数据是否被伪造或者被控制，也就是说，只有秘密密钥K的拥有者才能够产生这些字符串，而且只有当这些字符串由解密过程dk检查之后才是能被“接受”。注2：在实际应用中，可以通过很多方法来保证上述属性。两个例子如下：1）如果数据具有或者附加了足够的允余信息，并且加密算法是精心挑选的，那么完整性是可以满足的。只有允余信息的正确性被验证之后，解密的数据才能被接受是正确的。2）用密钥K推导一对密钥K和密钥K。用密钥K'来计算待加密数据的消息鉴别码（MAC)，而密钥K\用来将该数据和MAC级联在一起加密。接收者在确认已解密数据是正确的之前必须先检查MAC值是否正确。
e）本部分中的机制要求使用时变参数，例如时间截、序号或者随机数。这些参数的特性，尤其是它们在秘密鉴别密钥的生命周期内极不可能重复的特性，对于这些机制的安全性是十分重要的。
5不涉及可信第三方的机制
5.0概述
这些鉴别机制中，实体A和B在开始具体运行鉴别机制之前应共享个公共的秘密鉴别密钥KAB，或者两个单向秘密密钥KAB和KBA。在后续的实例中，单向密钥KAB和KBA分别由B用来鉴别A和A用来鉴别B。
以下机制中规定的所有文本字段同样适用于本部分范围之外的应用（文本字段可能是空的）。它们的关系与内容取决于具体的应用。有关文本字段使用的信息参见附录A。5.1单向鉴别
单向鉴别是指使用该机制时两实体中只有一方被鉴别。5.1.1一次传递鉴别
这种鉴别机制中，由声称方A启动此过程并被验证方B鉴别。唯-性和时效性是通过产生并检验时间截或序号（见GB/T15843.1--2008中的附录B)来控制的。鉴别机制如图1所示。
(1)TokenAB
图1不涉及可信第三方的一次传递单向鉴别机制示意图声称方A发送给验证方B的权标(TokenAB)形式是：TokenAB = Text2 I exAs(NA
(Ta IIBI Text1)
此处声称方A或者用序号NA，或者用时间截TA作为时变参数。具体选择哪一个取决于声称方与·验证方的技术能力和环境。
在TokenAB中是否包含可区分标识符B是可选的。注：在TokenAB中包含可区分标识符B是为防止敌手假冒实体B对实体A重用TokenAB。包含可区分标识符B之所以作为可选项，是因为在不会出现这类攻击的环境中可将标识符省去。如果使用了单向密钥，该可区分标识符B也可以省去。2
图1中：
（1）A产生并向B发送TokenAR；GB/T15843.2--2008/IS0/IEC9798-2:1999(2）一且收到包含TokenAB的消息，B便将加密部分解密（此时解密意味着满足第4章d)的要求）并检验可区分标识符B(如果有）以及时间截或序号的正确性，从而验证TokenAB。5.1.2两次传递鉴别
这种鉴别机制中，验证方B启动此过程并对声称方A进行鉴别。唯性和时效性是通过产生并检验随机数Rs（见GB/T15843.1—2008中的附录B)来控制的。鉴别机制如图2所示。
(1)RgText1
(2)TokenAB
图2不涉及可信第三方的两次传递单向鉴别机制示意图由声称方A发送给验证方B的权标(TokenAB)形式是：TokenAB = Text3 l ek An(Rg Il B ll Text2)在TokenAB中是否包含可区分标识符B是可选的。注1：为了防止可能的已知明文攻击（即一种密码分析攻击，密码破译者知道一个或者多个密文字符串的完整明文），实体A可以在Text2中包含一个随机数Ra。注2：在TokenA中包含可区分标识符B是为防止所谓的反射攻击，这种攻击的特性是人侵者假冒A将激励随机数R“反射”给B。包含可区分标识符之所以作为可选项，是因为在不会出现这类攻击的环境中可将标识符省去。
如果使用了单向密钥，该可区分标识符B也可以省去。图2中：
（1）B向A发送一个随机数Rs，并可选地发送一个文本字段Textl。（2）A产生并向B发送TokenAB。(3）一旦收到包含TokenAB的消息，B便将加密部分解密（此时解密意味着满足第4章d)的要求）并检验可区分标识符B(如果有)的正确性以及在步骤(1)中发送给A的随机数RB是否与TokcnAn中所含的随机数相符，从而验证TokenAB。5.2相互鉴别
相互鉴别是指两个通信实体运用该机制彼此进行鉴别。5.2.1和5.2.2分别采用5.1.1和5.1.2中描述的两种机制，以实现相互鉴别。这两种情况都要求增加一次传递，从而增加了两个操作步骤。注：相互鉴别的第三种机制可由5.1.2中规定的机制的两个实例构成，一种由实体A启动，另一种由B启动。5.2.1两次传递鉴别
这种鉴别机制中，唯一性和时效性是通过产生并检验时间截或序号（见GB/T15843.1--2008中的附录B)来控制的。
鉴别机制如图3所示。
(1)Tokenl
(3)TokengA
图3不涉及可信第三方的两次传递相互鉴别机制示意图3
GB/T15843.2--2008/ISO/IEC9798-2:1999由A发送给B的权标(TokenAB)形式与5.1.1规定的相同。Tokens = Text l Kn N
(TA lB Text1)
由B发送给A的权标(TokenBA)形式是：TokenBAText4 ll ekA
TIAText3)
在TokenAB中是否包含可区分标识符B，在TokenBA中是否包含可区分标识符A，是分别可选的。注1：TokenAs中的可区分标识符B是为防止敌手假冒实体B对实体A重用TokenAB。由于同样的原因，Token包含可区分标识符A。包含可区分标识符之所以作为可选项，是因为在不会出现这类攻击的环境中可以将其中之一或二者都省去。
如果使用了单向密钥，可区分标识符A和B也可以省去。这种机制中，选择使用时间截还是序号取决于声称方与验证方的技术能力和环境。图3中：步骤(1)和(2)与5.1.1中规定的次传递鉴别相同。（3）B产生并向A发送TokenBA。(4）步骤(3)中的消息处理方式与5.1.1步骤(2)类似。注2：这种机制中两条消息之间除了时效性的隐含关系外没有任何绑定关系；该机制两次独立使用机制5.1.1，可以通过使用适当的文本字段来进一步绑定这些消息。如果使用了单向密钥，那么TokenBA中的密钥KAB用密钥KBA代替，并且在步骤（4)中使用对应的密钥。
5.2.2三次传递鉴别
这种鉴别机制中，唯一性和时效性是通过产生并检验随机数（见GB/T15843.1一2008中的附录B)来控制的。www.bzxz.net
鉴别机制如图4所示。
(1)RBl/Textl
权标形式如下：
(2)TokenAB
(4)TokengA
图4不涉及可信第三方的三次传递相互鉴别机制示意图TokenAB =Text3 IekAn(RAIR IBIlText2)TokenBA = Text5 Il ekAB(R ll RA Il Text4)TokenAB中是否包含可区分标识符B是可选的。(3)
注：在TokenA中包含可区分标识符B是为防止所谓的反射攻击，这种攻击的特性是人侵者假冒A将激励随机数R“反射”给B。可区分标识符的包含之所以作为可选项，是因为在不会出现这类攻击的环境中可将标识符省去。
如果使用了单向密钥，该可区分标识符B也可以省去。图4中：
（1）B向A发送一个随机数RB，并可选地发送一个文本字段Textl。（2）A产生一个随机数RA，然后产生TokenAB并发送给B。（3）一旦收到包含TokenAB的消息，B便将加密部分解密（此时解密意味着满足第4章d)的要求）并检验可区分标识符B（如果有）的正确性以及步骤（1)中发给A的随机数RB是否与TokenAB中含的随机数相符，从而验证TokenAB。4
（4）B产生并向A发送TokenBA。GB/T15843.2--2008/IS0/IEC9798-2:1999（5）一旦收到包含TokenBA的消息，A便将加密部分解密（此时解密意味着满足第4章d)的要求）并检验在步骤（1)中来自B的随机数RB是否与TokenBA中的随机数相符以及在步骤(2)中发送给B的随机数RA是否与TokenBA中的随机数相符。如果使用了单向密钥，那么TokenBA中的密钥KAB用密钥KBA代替，并且在步骤（5）中使用对应的密钥。
6涉及可信第三方的机制
6.0概述
本章中所述的鉴别机制不是利用两个实体在鉴别过程前共享的秘密密钥，而是利用一个可信第三方（其可区分标识符为TP），实体A和B分别与它共享秘密密钥KAr和KBT。每个机制中，先由个实体向可信第三方中请密钥KAB。此后再分别采用5.2.1和5.2.2中描述的机制。按照下面的描述，如果只要求单向鉴别，则可省略每个机制中的某些传递。以下机制中规定的所有文本字段同样适用于本部分范围之外的应用（文本字段可能是空的）。它们的关系和内容取决于具体应用。有关文本字段使用的信息见附录A。6.1四次传递鉴别
在这种相互鉴别机制中，唯一性和时效性是通过使用时变参数（见GB/T15843.1一2008中的附录B)控制的。本机制与ISO/IEC11770-2:1996中的密钥建立机制8等同。鉴别机制如图5所示。
(1)TVPA日
BITextl
(2)Tokena
(4)TokenAm
(6)TokengA
图5涉及可信第三方的四次传递相互鉴别机制示意图由TP发送给A的权标(TokenTA)形式是：(5)
TokenA = Text ll k r(TVPA l Kanll B Text3 ekr (NmTrP IlKAs llAllText2)
由A发送给B的权标(TokenAB)形式是：TokenAs = Textll exr NT
(TrIIKa lI I Text) l eas(NA
TA IBIl Text5)
由B发送给A的权标(TokenBA)形式是：Tokeni = Text8 ek As Ng
(Te IA ll Text7)
在本机制中选择使用时间截还是序号取决于相关实体的技术能力和环境。在图5的步骤(1)到步骤(3)中规定的时变参数TVPA的使用方法与通常的有所不同，它允许A将响应消息(2)与请求消息(1)联系起来。此处时变参数的重要特性是它的不可重复性，以限制先前用过5
GB/T15843.2--2008/IS0/IEC9798-2:1999的TokenTA可能被重用。
注：时变参数TVP可以是一个随机数。但是与本部分中某些机制所使用的随机数不同的是，该随机数对于第三方不必是不可预测的，由此，不重复的计数器值同样适用于产生该随机数。图5中：
(1）A产生并向可信第三方TP发送一个时变参数TVPA、可区分标识符B以及可选地发送一个文本字段Textl。
可信第三方TP产生并向A发送TokenTA：(2）
（3）一旦收到包含TokenTA的消息，A便将使用KAr加密的数据解密（此时加解密意味着满足第4章d)的要求)并检验可区分标识符B的正确性以及在步骤(1)中发送给TP的时变参数是否与TokenTA中的时变参数相符，从而验证TokenTA。此外，A提取出秘密鉴别密钥KAB，然后再从TokenTA中取出
(TrI KaslIAll Text2)
并以此来构造 TokenAB。
（4）A产生并向B发送TokenAB
（(5）一旦收到包含TokenAB的消息，B便将加密部分解密（此时加解密意味着满足第4章d)的要求)并检验可区分标识符A和B以及时间戳截或序号的正确性，从而验证TokenAB。此外，B提取出秘密鉴别密钥KAB。
（6）B产生并向A发送TokenBA
(7）一且收到包含TokenBA的消息，A便将加密部分解密（此时加解密意味着满足第4章d)的要求)并检验可区分标识符A以及时间截或序号的正确性，从而验证TokenBA。如果只要求B对A的单向鉴别，步骤(6)和(7)可省去。6.2五次传递鉴别
在这种相互鉴别机制中，唯一性和时效性是用随机数（见GB/T15843.1--2008中的附录B)来控制的。该机制与ISO/IEC11770-2:1996中的密钥建立机制9等同。鉴别机制如图6所示。
(2)R'AllRg
BlText2
(3)TokenrA
(1)R.Text1
(5)Tokena
(7) TokengA
图6涉及可信第三方的五次传递相互鉴别机制示意图TP发送给A的权标(TokenTA)形式是：(6)
TokenTA=Text5IlckAr(R'A llKABllBIText4)ekBr(RIlKaB IlAIlText3)A发送给B的权标(TokenAB）形式是：TokenAB Text7 Il ekBr(R lKAB IAII Text3) Il ekA(RA I R IText6)6
B发送给A的权标(TokenBA)形式是：GB/T15843.2—2008/ISO/IEC9798-2：1999TokenBA =Text9 Il ekAn(R IlRA Il Text8)图6中：
（1）B产生并向A发送一个随机数RB，并可选地发送一个文本字段Textl。（2）A产生R'A，并向可信第三方TP发送随机数RB和R'A、可区分标识符B以及可选地发送一个文本字段Text2。
（3）可信第三方TP产生并向A发送TokenTA(4)
一旦收到包含TokenrA的消息，A便将使用KAr加密的数据解密（此时加解密意味着满足第4章d)的要求)并检验可区分标识符B的正确性以及在步骤(2)中发给TP的随机数R'A是否与TokenTA中的随机数相符，从而验证TokenTA。此外，A提取出秘密鉴别密钥KAB，然后再从TokenT中取出
ekgr (R II KAB lI A II Text3)以此来构造TokenAB
（5）A产生第二个随机数Ra，然后产生并向B发送TokenAB（6）一旦收到包含Tokenan的消息，B便将加密部分解密（此时加解密意味着满足第4章d)的要求)并检验可区分标识符A的正确性以及在步骤(1)中发给A的随机数RB是否与TokenAB中的该随机数的两个副本相符，从而验证TokenAB。此外，B还提取出秘密鉴别密钥KAB。（7）B产生并向A发送TokenBA。（8）一旦收到包含TokenBA的消息，A便将加密部分解密（此时加解密意味着满足第4章d)的要求)并检验在步骤(1)从B收到的随机数R：是否与TokenBA中包含的那个随机数相符，以及在步骤(5)中发送给B的随机数RA是否与TokenBA中包含的那个随机数相符。如果只要求B对A的单向鉴别，步骤(7)和(8)可以省去。
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。