ISOIEC 11770-72021 信息安全.密钥管理.第7部分基于跨域密码的认证密钥交换标准立项发展报告

信息安全密钥管理第7部分：基于跨域密码的认证密钥交换标准立项发展报告StandardizationDevelopmentReport:InformationSecurity—KeyManagement—Part7:Cross-domainPassword-basedAuthenticatedKeyExchange摘要随着全球信息化进程的持续推进，网络空间中的身份认证与密钥交换已成为保障信息安全的核心环节。传统基于公钥基础设施（PKI）的认证密钥交换方案在证书管理、部署成本及跨域互操作等方面面临诸多挑战。基于密码（Password-based）的认证密钥交换协议因其部署简便、无需复杂证书体系等优势，日益受到学术界与工业界的广泛关注。然而，在跨域场景下，不同安全域之间如何在不泄露密码信息的前提下实现安全、高效的密钥协商，长期以来缺乏统一的国际标准规范。ISO/IEC11770-7:2021《信息安全密钥管理第7部分：基于跨域密码的认证密钥交换》正是在这一背景下制定的重要国际标准。本报告对该标准的立项背景、技术内容、编制过程及预期应用价值进行系统阐述。该标准由国际标准化组织（ISO）和国际电工委员会（IEC）联合技术委员会ISO/IECJTC1/SC27（信息安全、网络安全与隐私保护）负责制定，于2021年7月正式发布。本报告重点介绍该标准所规定的跨域密码认证密钥交换机制的技术框架、安全模型及协议流程，分析其对多域互联场景下信息安全保障的支撑作用，并对该标准未来在物联网、云计算、车联网等新兴领域的推广应用前景进行了展望。关键词：信息安全；密钥管理；基于密码的认证密钥交换；跨域认证；国际标准；ISO/IEC11770Keywords:Informationsecurity;Keymanagement;Password-basedauthenticatedkeyexchange;Cross-domainauthentication;Internationalstandard;ISO/IEC11770一、引言1.1立项背景在开放网络环境中，通信双方在建立安全通道之前，首要解决的是身份认证与会话密钥协商问题。传统的密钥交换机制大多依赖公钥证书体系，通过证书颁发机构（CA）对通信实体的公钥进行绑定和验证。尽管PKI体系在理论和实践中均已较为成熟，但其部署成本高、证书管理复杂、跨域信任建立困难等固有问题，在资源受限环境和异构网络场景中尤为突出。基于密码的认证密钥交换（Password-BasedAuthenticatedKeyExchange，简称PAKE）协议提供了一种轻量级、用户友好的密钥协商方案——通信双方仅需共享一个低熵密码（通常是人类可记忆的口令），即可通过协议交互协商出高强度的会话密钥，同时实现对双方身份的相互认证。PAKE协议的核心安全要求是抵抗在线字典攻击和离线字典攻击，即即使攻击者截获了协议交互消息，也无法通过枚举密码的方法恢复出正确的口令或会话密钥。然而，现有的PAKE标准（如ISO/IEC11770-4）主要针对同一安全域内的点对点场景。在实际的多域互联环境中，不同安全域往往采用各自独立的身份管理系统和密码策略，如何在不同域之间建立安全的密钥交换通道，同时确保各域内密码信息不被泄露给其他域，成为一个亟需标准化的关键问题。1.2编制目的与意义ISO/IEC11770-7:2021的制定旨在解决跨域场景下基于密码的认证密钥交换问题，为多域互联环境提供统一、安全、可互操作的技术规范。该标准的意义主要体现在以下几个方面：第一，填补了国际标准在跨域PAKE协议领域的空白，为跨组织、跨平台的安全互操作提供了权威依据。第二，通过形式化的安全模型和严格的安全性分析，为用户选择安全可靠的协议实现提供了技术保障。第三，为物联网、云计算、分布式系统等新型架构中的身份认证与密钥管理提供了轻量级解决方案，有助于推动相关产业的安全标准化进程。1.3编制原则本标准的编制遵循了以下基本原则：-安全性原则：以严谨的安全模型和安全性证明为基础，确保协议能够抵抗各类已知攻击；-实用性原则：充分考虑实际部署场景中的性能需求和资源约束，协议设计兼顾效率与安全；-协调性原则：与ISO/IEC11770系列其他部分及相关系列标准保持术语、框架和模型的一致性；-开放性原原则：技术方案不依赖于特定密码算法或平台，为不同实现方案留有充分的灵活空间。二、标准基本信息|项目|内容||------|------||标准编号|ISO/IEC11770-7:2021||标准名称|信息安全密钥管理第7部分：基于跨域密码的认证密钥交换||英文名称|Informationsecurity—Keymanagement—Part7:Cross-domainpassword-basedauthenticatedkeyexchange||标准状态|现行||发布机构|国际标准化组织（ISO）/国际电工委员会（IEC）||发布日期|2021年7月6日||发布年份|2021年||国别|国际组织||语言|英语||ICS分类号|35.030（信息技术安全）||适用范围|多安全域环境下基于密码的认证密钥交换机制的设计、实现与评估|该标准属于ISO/IEC11770密钥管理系列标准的组成部分。该系列标准目前包括以下部分：-ISO/IEC11770-1：框架与模型（已发布）-ISO/IEC11770-2：使用对称技术的机制（已发布）-ISO/IEC11770-3：使用非对称技术的机制（已发布）-ISO/IEC11770-4：基于密码的密钥协商机制（已发布）-ISO/IEC11770-5：基于预共享密钥的机制（已发布）-ISO/IEC11770-6：基于秘密共享的机制（已发布）-ISO/IEC11770-7：基于跨域密码的认证密钥交换（本报告对象）三、标准技术内容分析3.1标准适用范围与核心问题ISO/IEC11770-7:2021所解决的核心问题可概括为：在两个不同的安全域中，分别注册于各自域认证服务器（AS）的客户端A和客户端B，如何仅基于各自的密码，通过各自所在域的认证服务器的协助，安全地协商出一个共享会话密钥。该场景与传统PAKE的关键区别在于：通信双方不在同一安全域内，没有一个共同的认证服务器能够同时验证双方的密码信息。因此，跨域PAKE协议需要设计精巧的交互流程，在多个服务器之间传递必要的信息，同时确保任何一方（包括服务器）都无法获知其他域用户的密码。3.2安全模型标准中定义了严格的安全模型，包括以下关键要素：3.2.1参与实体安全模型中包含三类实体：客户端（Client）、域认证服务器（Server）和adversaries（攻击者）。每个客户端隶属于一个特定的安全域，并在该域的认证服务器处注册自己的密码。3.2.2攻击者能力模型中的攻击者被认为具有完全控制通信信道的能力，即可以窃听、截获、篡改、延迟、重放以及伪造任何协议消息。攻击者还可以进行以下查询操作：-Execute查询：被动窃听协议执行过程中的所有消息；-Send查询：主动向协议参与者发送（或修改）消息；-Reveal查询：获取某次协议会话产生的会话密钥；-Corrupt查询：获取某个客户端的密码或某个服务器的长期私密信息；-Test查询：挑战攻击者区分真实会话密钥与随机数的能力。3.2.3安全目标标准要求协议满足以下核心安全属性：-认证性：协议执行完毕后，双方能够确信彼此的身份；-密钥保密性：在攻击者无法同时获知相关密码信息的前提下，会话密钥对攻击者不可区分于随机数；-抗离线字典攻击：攻击者无法通过离线枚举密码的方式验证其猜测的正确性；-抗在线字典攻击：攻击者在协议交互过程中最多只能对密码进行少量在线猜测，且可被检测和限制；-前向保密性：即使攻击者在协议执行后获得了参与者的长期密钥（密码），也无法恢复之前会话的会话密钥；-未知密钥共享安全性：即使某个认证服务器被攻破，也不能对其他域用户之间的密钥交换构成实质性威胁。3.3协议机制标准规定了跨域密码认证密钥交换的通用协议框架，主要包括以下关键流程（以客户端A属于域1、客户端B属于域2为例）：第一阶段（初始化）：各安全域选择适当的密码哈希函数、群参数和密钥派生函数，并在域间建立必要的安全关联信息（如服务器公钥证书或预共享的服务器间密钥）。第二阶段（请求发起）：客户端A生成一个随机临时值（nonce），并结合自身身份标识和所在域标识，构造认证请求消息发送至域1的认证服务器S₁。第三阶段（服务器间交互）：域1的认证服务器S₁对A的密码信息进行盲化处理后，将跨域请求转发至域2的认证服务器S₂。S₂同样在不知道A密码的情况下，结合B的密码信息进行必要的密码运算，并将结果返回给S₁。该过程中，密码信息始终经过盲化处理，确保即使S₁和S₂合谋也无法直接获知对方域用户的密码。第四阶段（响应返回与密钥协商）：S₁将聚合后的认证响应返回给客户端A，A利用自己的密码信息进行解盲运算，提取出会话密钥材料。同时，利用服务器返回的认证令牌验证B的身份和参与情况。第五阶段（密钥确认）：通信双方通过轻量级的密钥确认消息验证所协商的会话密钥的一致性，并完成显式的相互认证。标准详细的协议规范中特别关注了协议消息的格式设计、密码盲化因子的数学构造、密钥派生函数的选择以及时间戳和随机数在抵御重放攻击中的作用。3.4安全机制分析标准所规定的协议机制在安全性上具有以下几个显著特点：密码盲化技术：在协议交互过程中，客户端密码信息通过随机盲化因子进行掩蔽。这一设计确保了传输过程中的密码信息不以明文形式出现，即使通信信道被完全监听，攻击者也无法从中提取有用的密码信息。服务器非共谋假设：协议的安全模型明确考虑了一个安全域中的认证服务器被攻破或行为不端的情况。在敌手模型中，最多允许一个服务器被完全攻破而协议仍然保持基本安全性；这一分级安全设计为实际部署提供了灵活的安全降级策略。前向保密性保障：通过结合临时私钥和静态密钥材料的混合设计，协议确保即使某次会话后客户端密码泄露，之前已建立的会话密钥仍然安全。完美前向保密机制：协议采用临时Diffie-Hellman密钥交换协商会话密钥，会话密钥由临时私钥派生而非直接由长期密码派生。即使所有参与方的长期密码在会话结束后被攻击者获取，历史会话密钥依然无法被推导，从而有效保障了通信的长期保密性和事后安全性。四、主要参与编制单位与技术贡献4.1技术委员会概述ISO/IEC11770-7:2021由国际标准化组织（ISO）与国际电工委员会（IEC）下属第一联合技术委员会（JTC1）第27分技术委员会（SC27）负责制定。SC27全称为"信息安全、网络安全与隐私保护"（Informationsecurity,cybersecurityandprivacyprotection），是国际上信息安全领域最权威的标准化技术组织之一。SC27下设多个工作组（WorkingGroup），其中WG2（密码学与安全机制）直接负责密钥管理相关标准的编制工作。WG2汇集了来自全球各成员体的密码学专家、信息安全标准化专家和产业界代表，长期致力于密码算法、认证机制、密钥管理、随机数生成等基础性安全技术的标准化工作。4.2项目编制过程ISO/IEC11770-7的编制工作经历了严格的国际标准制定程序，主要阶段包括：-NP阶段（新工作项目提案）：由相关国家成员体或联络组织提出标准制定需求，经SC27投票批准后立项；-WD阶段（工作组草案）：由项目编辑（ProjectEditor）起草工作草案，在工作组内进行多轮讨论和修改；-CD阶段（委员会草案）：草案在SC27范围内分发征求意见，各成员体提交技术评审意见；-DIS阶段（国际标准草案）：草案在国际标准化组织层面进行公示和投票；-FDIS阶段（最终国际标准草案）：最终草案的批准投票；-正式发布：经各成员体投票通过后，由ISO中央秘书处正式出版发布。4.3参与单位与贡献在ISO/IEC11770-7:2021的编制过程中，多个国家的标准化机构和科研单位做出了重要贡献。其中，德国联邦信息安全办公室（BSI）作为该标准制定的核心技术贡献单位之一，在标准编制中发挥了关键作用。德国联邦信息安全办公室（BundesamtfürSicherheitinderInformationstechnik，简称BSI）是德国联邦政府下设的国家信息安全主管机构，总部位于波恩。BSI的核心职责包括：保护德国联邦政府的信息系统安全、制定信息安全技术规范与评估标准、开展安全技术研究和密码算法分析，以及代表德国参与国际信息安全标准化工作。BSI在密码学与安全协议领域拥有深厚的研究积累和技术实力，特别是在认证协议设计和形式化安全分析方面具有国际领先水平。在ISO/IEC11770-7的编制过程中，BSI的密码学专家团队深度参与了协议安全模型的构建和形式化安全性论证，其所提出的跨域认证安全模型框架和密码盲化技术方案，被标准采纳为核心技术方案。此外，BSI还主导组织了多个轮次的协议安全性分析工作，通过邀请独立安全研究团队对协议进行第三方安全评估，有效保障了标准技术方案的严谨性和安全性。除BSI外，以下组织和机构也在标准编制中发挥了重要作用：-美国国家标准与技术研究院（NIST）：提供了密码算法与密钥管理方面的技术咨询；-法国信息系统安全局（ANSSI）：参与安全模型的评审与完善；-日本情报处理推进机构（IPA）：贡献了密码协议实现与测试方面的经验；-中国信息安全测评中心：参与了多个技术议题的讨论和方案改进。五、标准应用前景与推广价值5.1应用场景分析ISO/IEC11770-7:2021的适用范围十分广泛，可有效支撑以下典型场景：云服务跨域身份认证：在多云或混合云环境中，用户需要跨不同云服务提供商的安全域进行资源访问。基于密码的跨域认证密钥交换协议可为用户提供简洁的认证和密钥协商机制，减少对复杂联邦身份管理系统的依赖。物联网设备安全接入：物联网设备通常计算能力和存储资源有限，基于PKI的证书管理对其而言负担较重。跨域PAKE协议允许设备仅凭预配置的轻量级密码即可在不同管理域之间建立安全连接，为物联网大规模部署提供了可行的安全方案。车联网（V2X）通信安全：在车联网场景中，车辆需要在不同运营商的网络域之间切换，同时保持通信的连续性和安全性。跨域PAKE机制可支持车辆与路边单元（RSU）或云端服务平台之间的快速安全认证。企业间安全协作：不同企业或组织之间需要共享数据或协同工作时，跨域PAKE协议提供了一种轻量级的密钥协商方法，双方员工仅需使用各自的企业账号密码即可安全地建立加密通道，无需事先建立复杂的信任联盟。分布式账本与区块链系统：在联盟链或多链互操作场景中，不同链上的节点需要在跨域条件下安全地交换交易数据。该标准为区块链跨链通信中的密钥管理提供了标准化解决方案。5.2与其他标准的协调关系ISO/IEC11770-7:2021与多个相关标准存在良好的互补关系：-ISO/IEC11770-4（基于密码的密钥协商机制）：本标准可看作11770-4在跨域场景下的扩展；-ISO/IEC9798（实体认证）：跨域密码认证密钥交换在完成密钥协商的同时提供了实体认证能力，两套标准在技术框架上相互衔接；-ISO/IEC24761（支持密钥建立的认证上下文）：为密钥建立过程中的认证上下文管理提供了补充；-ISO/IEC15408（信息技术安全评估准则）：本标准所规定的安全模型和评估方法可为CC评估提供技术指引。此外，该标准的安全性设计思路也呼应了