CN114499832B

CN114499832B - 一种基于ecc的安全增强双向匿名认证密钥协商协议方法

Info

Publication number: CN114499832B
Application number: CN202111472844.2A
Authority: CN
Inventors: 陈彦如; 张媛媛; 王浩; 岳凯峰; 赵万槟; 夏星毅; 胡斐; 宋岱松; 李扬; 陈良银
Original assignee: Sichuan University
Current assignee: Sichuan University
Priority date: 2021-12-02
Filing date: 2021-12-02
Publication date: 2023-04-07
Anticipated expiration: 2041-12-02
Also published as: CN114499832A

Abstract

本发明公开了一种基于椭圆曲线加密的认证密钥协商协议。本发明具备完善的设备动态管理方案，解决了注册中心的资源耗尽问题，并使用量子随机数来对本地随机数生成器种子进行更新，增强了伪随机数序列的不可预测性。本发明提出了基于椭圆曲线加密的伪协商法来保障实际应用时协议各阶段执行的安全；提出了可更改的身份代理标识法，实现了全阶段的匿名性；提出了基于椭圆曲线加密的安全掩码和临时会话密钥的乐观认证法来实现会话双方的身份认证；提出了基于椭圆曲线加密的临时信息、安全掩码和身份信息的组合哈希法来实现临时会话密钥的快速计算；提出了基于已知信息和消息的组合校验法来保障协议执行过程中的数据完整性。

Description

一种基于ECC的安全增强双向匿名认证密钥协商协议方法

技术领域

本发明属于工业物联网安全领域，具体涉及一种基于椭圆曲线加密的认证密钥协商协议方法，用于实现工业物联网设备间的身份认证和密钥协商。

背景技术

随着工业物联网技术的快速发展和广泛应用，工业物联网***也面临着许多信息安全问题，如通信保密性问题、数据完整性问题等。工业数据通常包含身份隐私信息、工业生产数据以及控制指令等敏感信息，一旦泄露会给企业带来巨大的经济损失。认证密钥协商协议能够实现通信双方的身份认证和密钥协商，是保障工业物联网***通信安全的关键。

现有研究成果在安全性或性能开销方面都存在问题，Odelu协议能够有效防范重放攻击，并且任意临时会话密钥的泄露不会影响其他临时会话密钥的安全性，但是Odelu协议涉及双线性配对运算，计算开销较大，而且不具备消息完整性、匿名性以及无法抵抗已知会话特定临时信息攻击。Mahmood协议与大多数协议相比，具有较低的计算开销和通信开销，但不能满足完美前向安全性、匿名性和消息完整性，也不能有效抵抗模仿攻击和已知会话特定临时信息攻击。Abbasinezhad-Mood协议能抵御大多数的已知攻击，但不具备消息完整性和匿名性，也不能有效抵抗重放攻击。

综上所述，设计一种能够抵抗多种已知攻击手段，并且拥有低计算开销和通信开销的认证密钥协商协议尤其重要。

发明内容

针对上述问题，本发明提供一种基于椭圆曲线加密的认证密钥协商协议方法，实现工业物联网设备间的身份认证和密钥协商，保障工业物联网设备间的通信安全。

本发明解决上述问题所提出的基于椭圆曲线加密的认证密钥协商协议，分为初始化阶段、注册阶段以及认证密钥协商阶段。初始化阶段，注册中心首先选择身份标识，并从量子随机数设备上获取量子随机数来实现全局***参数的随机初始化。然后，注册中心选择加密/解密函数和单向哈希摘要函数。接着，注册中心生成自身的长期密钥对。最后，注册中心向网络中所有协议参与主体分发部分可公开的***参数。注册阶段，协议参与主体选择身份标识，并计算得到身份代理标识。通过基于椭圆曲线加密的伪协商法向注册中心发起注册请求，注册中心验证协议参与主体的身份信息后，生成该协议参与主体的长期密钥对，并将其和其他信息返回给协议参与主体。本发明具备完善的设备动态管理方案，解决了注册中心的资源耗尽问题，并使用量子随机数来对本地随机数生成器种子进行更新，增强了伪随机数序列的不可预测性。本发明提出了基于椭圆曲线加密的伪协商法来保障实际应用时协议各阶段执行的安全；提出了可更改的身份代理标识法，实现了全阶段的匿名性；提出了基于椭圆曲线加密的安全掩码和临时会话密钥的乐观认证法来实现会话双方的身份认证；提出了基于椭圆曲线加密的临时信息、安全掩码和身份信息的组合哈希法来实现临时会话密钥的快速计算；提出了基于已知信息和消息的组合校验法来保障协议执行过程中的数据完整性。

本发明的积极效果是：

1.在计算开销方面，本发明的计算开销优于现有Odelu协议、Mahmood协议和Abbasinezhad-Mood协议，执行效率更高；

2.在通信开销方面，本发明的通信开销低于现有Odelu协议、Mahmood协议和Abbasinezhad-Mood协议，使用的网络流量更少；

3.在安全性方面，本发明的安全性强于现有Odelu协议、Mahmood协议和Abbasinezhad-Mood协议，能够抵抗未知密钥共享攻击、重放攻击、模仿攻击以及已知会话特定临时信息攻击，并且满足匿名性、已知密钥安全性、双向认证性和消息完整性。

附图说明

图1身份认证和密钥协商步骤。

具体实施方式

第一步：初始化阶段

T1：使用QRNG设备产生随机大素数p，以及参数a和b，使其满足

4a³+27b²(modp)≠0，在椭圆曲线E(a,b):y²＝x³+ax+b的有限域F_p上选择

点G作为椭圆曲线的基点，选择合适的单向哈希摘要函数H(.)和对称加密/解

密函数E_k(.)/D_k(.)；

T2：选择TID作为TRC的身份标识，使用QRNG设备产生随机数sk_TRC∈Z^*，sk_TRC

作为TRC的长期私钥，计算TRC的长期公钥：PK＝sk_TRC·G；

T3：将消息Message＝{E(a,b),PK,G,H(.),E_k(.)/D_k(.)}通过公共信道公开给网

络中的所有协议参与主体；

T4：等待各协议参与主体的请求消息。

第二步：注册阶段

在SEMA-E2C协议的注册阶段，协议参与主体选取身份标识并计算身份代理标识，并向注册中心发送注册请求。当协议参与主体注册成功后，协议参与主体获得注册中心下发的长期密钥、本地随机数发生器种子和注册中心的身份代理标识等信息。

协议参与主体Alice：

A1：选择随机数x_a,n_a∈Z^*和身份标识ID_a，产生本地时间戳TSP_at，然后计算

z_a＝H(ID_a||TSP_at||n_a)，R_at＝(z_amodp)·G；

A2：计算代理Alice的身份代理标识：WID_a＝H(ID_a||TSP_at||x_a)；

A3：计算注册阶段Alice和TRC之间的加密/解密密钥：kat＝H((z_amodp)·PK)，使用密钥kat对注册请求信息进行加密：Msg_at＝E_kat(WID_a||TSP_at)；

A4：计算哈希摘要值：Sign_at＝H(Msg_at||R_at)；

A5：将注册消息Message_at＝{Msg_at,R_at,Sign_at}通过公共信道发送给TRC。注册中心TRC：

当TRC收到Alice发来的注册请求消息Message_at后，执行以下步骤：

T1：计算哈希摘要值：Sign`_at＝H(Msg_at||R_at)，判断Sign_at和Sign`_at的值是否相等，若相等则继续执行，否则拒绝注册；

T2：计算注册阶段TRC和Alice之间的加密/解密密钥：kta＝H(sk_TRC·R_at)，使用密钥kta对Msg_at进行解密：

`

T3：产生本地时间戳TSP_at，判断|TSP_at-TSP_at|≤ΔT是否成立，若成立则继续执行，否则拒绝注册；

T4：检查WID_a是否已经注册，若未注册则继续执行，否则拒绝注册；

T5：计算TRC的身份代理标识：WTID＝H(TID)；

T6：使用QRNG设备产生随机数RN_a,r_a∈Z^*；

T7：计算Alice的长期公钥：LPK_a＝H(WID_a||r_a)·G；

T8：计算Alice的长期私钥：

LSK_a＝H(WID_a||r_a)+H(WTID||H(LPK_a))·sk_TRC；

T9：查询已注册的协议参与主体表DevList并遍历，更新安全掩码表SmkList：i.使用QRNG设备生成随机数val_ax∈Z^*；

ii.计算Alice与其他协议参与主体X的安全掩码：

smk_ax＝H(WID_a||WID_x||val_ax)且smk_xa＝smk_ax；

iii.将＜WID_a,WID_x,smk_ax,LPK_a,LPK_x＞更新到安全掩码表SmkList。

T10：去除冗余信息，压缩安全掩码表SmkList得到SmkList_a：

SmkList_a＝{＜WID_i,smk_ai,LPK_j＞|i≠a}；

T11：将信息

保存到TRC的本地数据库的协议参与主体表DevList；

T12：产生本地时间戳TSP_ta，使用密钥kta对注册响应信息进行加密：Msg_ta＝E_kta(RN_a||LPK_a||LSK_a||WTID||TSP_ta||SmkList_a)；

T13：计算哈希摘要值：Sign_ta＝H(Msg_ta||WID_a||kta)；

T14：将消息Message_ta＝{Msg_ta,Sign_ta}通过公共信道发送给Alice，同时将更新后的安全掩码表同步给其他协议参与实体。

协议参与主体Alice:

当Alice收到TRC返回的注册响应信息Message_ta后，执行以下步骤：

A6：计算哈希摘要值：Sign_t`_a＝H(Msg_ta||WID_a||kat)，判断Sign_ta和Sign_t`_a是否相等，若相等则继续执行，否则稍后重新注册；

A7：使用密钥kat对Msg_ta解密可得：

A8：产生本地时间戳TSP_ta，判断|TSP_ta-TSP_ta|≤ΔT是否成立，若成立则继续执

行，否则稍后重新注册；

A9：将RN_a作为本地随机数生成器的种子；

A10：将信息{WTID,WID_a,ID_a,TSP_at,LPK_a,LSK_a,SmkList_a}保存到数据库。

第三步：认证密钥协商阶段

在SEMA-E2C协议的认证密钥协商阶段，协议参与双方实现了双向身份认证和密钥协商，并且注册中心不参与此过程。在身份认证方面，SEMA-E2C协议提出了基于安全掩码和临时会话密钥的乐观认证法来实现会话双方的匿名身份认证。在计算临时会话密钥方面，SEMA-E2C协议提出了基于ECC的临时信息、安全掩码和身份信息的组合哈希法。在保障数据完整性方面，提出了基于已知信息和消息的组合校验法。

SEMA-E2C协议的认证密钥协商阶段，详细执行步骤如下：

协议参与主体Alice：

A1：从本地数据库中读取信息{WTID,WID_a,ID_a,TSP_at,LPK_a,LSK_a,SmkList_a}，

在安全掩码表SmkList_a中查询得到Bob的信息：＜WID_b,smk_ab,LPK_b＞；

A2：选择随机数x_a∈Z^*；

A3：计算参数：m_a＝H(ID_a||x_a||LSK_a)，

A4：计算身份认证值：Auth_ab＝H(((m_a+WID_b·LSK_a)modp)·G)；

A5：产生本地时间戳TSP_ab，计算哈希摘要值：

Sign_ab＝H(X_a||Auth_ab||WID_a||WID_b||WTID||TSP_ab)；

A6：将消息Message_ab＝{X_a,Auth_ab,WID_a,TSP_ab,Sign_ab}通过公共信道发送给

Bob。

协议参与主体Bob：

当Bob收到Alice发来的消息Message_ab后，执行以下步骤：

B1：从本地数据库中读取信息{WTID,WID_b,ID_b,TSP_bt,LPK_b,LSK_b,SmkList_b}；

B2：计算哈希摘要值：

`

Sign_ab＝H(X_a||Auth_ab||WID_a||WID_b||WTID||TSP_ab)；

B3：判断Sign_ab和Sign`_ab的值是否相等，若相等则继续执行，否则中止执行；

``

B4：产生本地时间戳TSP_ab，判断|TSP_ab-TSP_ab|≤ΔT是否成立，若成立则继续，

否则中止执行；

B5：根据WID_a查询安全掩码表SmkList_b得到信息：＜WID_a,smk_ba,LPK_a＞；B6：计算参数：

B7：计算身份认证值：

`

Auth_ab＝H(X_a+WID_b·(LPK_a+H(WTID||H(LPK_a))·PK))；

`

B8：判断Auth_ab和Auth_ab的值是否相等，若相等则继续，否则中止执行；

B9：选择随机数x_b∈Z^*；

B10：计算参数：m_b＝H(ID_b||x_b||LSK_b)，X_b＝(m_bmodp)·G；

B11：计算临时会话密钥：SSK_ba＝H(((m_bmodp)·X_a)||smk_ba)；

B12：计算身份认证值：Auth_ba＝H(SSK_ba||WTID||smk_ba)；

B13：计算会话密钥验证值：

B14：使用临时会话密钥SSK_ba对信息进行异或加密：

B15：产生本地时间戳TSP_ba，计算哈希摘要值：

Sign_ba＝H(Msg_ba||X_b||LPK_b||Auth_ba||WID_b||WTID||TSP_ba)；

B16：计算参数：

B17：将消息Message_ba＝{Msg_ba,X_b,Auth_ba,TSP_ba,Sign_ba}通过公共信道发送给Alice。

协议参与主体Alice：

当Alice收到Bob返回的消息Message_ba后，执行以下步骤：

A7：计算：

A8：计算哈希摘要值：

`

Sign_ba＝H(Msg_ba||X_b||LPK_b||Auth_ba||WID_b||WTID||TSP_ba)；

`

A9：判断Sign_ba和Sign_ba是否相等，若相等则继续执行，否则中止执行；

``

A10：产生本地时间戳TSP_ba，判断|TSP_ba-TSP_ba|≤ΔT是否成立，若成立则继续执行，否则中止执行；

A11：计算临时会话密钥：SSK_ab＝H(((m_amodp)·X_b)||smk_ab)；

`

A12：计算身份认证值：Auth_ba＝H(SSK_ab||WTID||smk_ab)；

`

A13：判断Auth_ba和Auth_ba的值是否相等，若相等则继续执行，否则中止执行；

A14：使用临时会话密钥SSK_ab对Msg_ba进行异或解密：

A15：计算参数：

`

A16：判断WID_b和WID_b的值是否相等，若相等则继续执行，否则中止执行；

A17：将密钥SSK_ab作为Alice和Bob之间的临时会话密钥；

A18：计算会话密钥验证值：V_ab＝H(smk_ab||WID_b)；

A19：使用临时会话密钥SSK_ab对Msg_ab进行异或加密：

A20：产生时间戳TSP_c，计算哈希摘要值：Sign_c＝H(Msg_ab||TSP_c||WID_b)；

A21：将消息Message_c＝{Sign_c,Msg_ab,TSP_c}通过公共信道发送给Bob。

协议参与主体Bob：

当Bob收到Alice发来的消息Message_c后，执行以下步骤：

`

B18：计算哈希摘要值：Sign_c＝H(Msg_ab||TSP_c||WID_b)；

`

B19：判断Sign_c和Sign_c是否相等，若相等则继续执行，否则中止执行；

``

B20：产生本地时间戳TSP_c，判断|TSP_c-TSP_c|≤ΔT是否成立，若成立则继续执

行，否则中止执行；

B21：使用临时会话密钥SSK_ba对Msg_ab进行异或解密：

`

B22：判断V_ab和H(smk_ba||WID_b)的值是否相等，若相等则继续执行，否则中止

执行；

B23：将密钥SSK_ba作为Bob和Alice之间的临时会话密钥。

执行完以上步骤后，SEMA-E2C协议顺利完成Alice和Bob间的双向身份认证和临时会话密钥协商。

第四步：注销阶段

在SEMA-E2C协议注销阶段，Alice可以向注册中心发送注销请求，并通过TRC将注销信息通知给其他协议参与主体。SEMA-E2C协议注销阶段，具体的执行步骤如下：

协议参与主体Alice：

A1：从本地数据中读取信息{WTID,WID_a,ID_a,TSP_at,LPK_a,LSK_a,SmkList_a}；

A2：选择随机数f_a∈Z^*，产生本地时间戳TSP₁；

A3：计算参数：

u_a＝H(f_a||TSP_at||ID_a)，k1＝H((u_amodp)·PK)，F_a＝(u_amodP)·G；

A4：使用密钥k1加密信息：Msg₁＝E_k1(WID_a||TSP_at||TSP₁)；

A5：计算哈希摘要值：Sign₁＝H(WTID||Msg₁||F_a)；

A6：将消息Message₁＝{Sign₁,Msg₁,F_a}通过公共信道发送给TRC。

注册中心TRC：

当TRC收到Alice发送的注销请求消息时，执行步骤如下：

`

T1：计算哈希摘要值：Sign₁＝H(H(TID)||Msg₁||F_a)；

T2：判断Sign₁和Sign₁`是否相等，若相等则继续执行，否则中止执行；

T3：计算密钥k2：k2＝H(sk_TRC·F_a)；

T4：使用密钥k2解密信息：

`_`

T5：产生本地时间戳TSP₁，判断|TSP₁-TSP₁|≤ΔT是否成立，若成立则继续执行，否则中止执行；

T6：判断WID_a是否存在于协议参与主体表DevList，若存在则继续执行，否则中止执行；

T7：比较TSP_at与协议参与主体表DevList记录的注册时间是否相等，若相等则继续执行，否则中止执行；

T8：更新安全掩码表SmkList，并将注销信息同步给其他协议参与主体；

T9：计算注销验证值：La＝H(WID_a||k2)；

T10：产生本地时间戳TSP₂，使用密钥k2加密信息：Msg₂＝E_k2(La||TSP₂)；

T11：计算哈希摘要值：Sign₂＝H(WID_a||Msg₂)；

T12：将消息Message₂＝{Sign₂,Msg₂}通过公共信道发送给Alice。

协议参与主体Alice：

当Alice收到TRC返回的注销响应请求时，执行步骤如下：

`

A7：计算哈希摘要值：Sign₂＝H(WID_a||Msg₂)；

A8：判断Sign₂和Sign`₂是否相等，若相等则继续执行，否则中止执行；

A9：使用密钥k1解密信息：

A10：产生本地时间戳TSP₂，判断|TSP₂-TSP₂`|≤ΔT是否成立，若成立则继续执行，否则中止执行；

A11：计算参数：La`＝H(WID_a||k1)；

A12：判断La和La`是否相等，若相等则继续执行，否则重新注销；

A13：清除本地数据。

执行至此，Alice实现在TRC上的注销，并且借助TRC将Alice注销的消息通知发送给其他的协议参与主体。

第五步：更新阶段

在SEMA-E2C协议更新阶段，Alice可以主动向TRC发送更新请求，更新身份标识、长期密钥对和随机数生成器种子等信息。

协议参与主体Alice：

A2：选择随机数y_a∈Z^*和新的身份标识NID_a；

A3：计算新身份代理标识：WNID_a＝H(NID_a||TSP_at||y_a)；

A4：产生本地时间戳TSP₃，选择随机数s_a∈Z^*，计算参数：

v_a＝H(s_a||TSP_at||NID_a)，k3＝H((v_amodp)·PK)，S_a＝(v_amodp)·G；

A5：使用临时密钥k3加密信息：Msg₃＝E_k3(WID_a||WNID_a||TSP₃)；

A6：计算哈希摘要值：Sign₃＝H(S_a||Msg₃||WTID)；

A7：将消息Message₃＝{Sign₃,Msg₃,S_a}通过公共信道发送给TRC；

注册中心TRC：

当TRC收到Alice发送的更新请求消息时，执行步骤如下：

`

T1：计算哈希摘要值：Sign₃＝H(S_a||Msg₃||H(TID))；

T2：判断Sign₃和Sign₃`是否相等，若相等则继续执行，否则中止执行；

T3：计算临时密钥：k4＝H(sk_TRC·S_a)；

T4：使用临时更新密钥k4解密信息：

``

T5：产生本地时间戳TSP₃，判断|TSP₃-TSP₃|≤ΔT是否成立，若成立则继续执

行，否则中止执行；

T6：判断WID_a是否存在于协议参与主体表DevList，若存在则继续执行，否则中止

执行；

T7：使用QRNG设备产生随机数RN_a1,g_a∈Z^*；

T8：计算Alice新的长期公钥：LPK_a1＝H(WNID_a||g_a)·G；

T9：计算Alice新的长期私钥：

LSK_a1＝H(WNID_a||g_a)+H(WTID||H(LPK_a1))·sk_TRC；

T10：更新协议参与主体表DevList和安全掩码SmkList表中Alice的相关信息，并

将最新安全掩码表同步给其他协议参与主体；

T11：计算更新确认值：Ack_a＝H(WNID_a||TSP_at)；

T12：产生本地时间戳TSP₄，使用临时密钥k4加密信息：

Msg₄＝E_k4(Ack_a||LPK_a1||LSK_a1||RN_a1||TSP₄)；

T13：计算哈希摘要值：Sign₄＝H(Msg₄||k4)；

T14：将消息Message₄＝{Sign₄,Msg₄}通过公共信道发送给Alice；

协议参与主体Alice：

A8：计算哈希摘要值：Sign₄`＝H(Msg₄||k3),判断Sign₄和Sign`₄是否相等，若相

等则继续执行，否则中止执行；

A9：使用临时密钥k3解密信息：

`_`

A10：产生本地时间戳TSP₄，判断|TSP₄-TSP₄|≤ΔT是否成立，若成立则继续执行，否则中止执行；

A11：计算更新确认值：Ack_a`＝H(H(NID_a||TSP_at||y_a)||TSP_at)；

A12：判断Ack_a和Ack_a`是否相等，若相等则继续执行，否则稍后重新更新；

A13：将RN_a1作为本地随机数生成器种子；

A14：更新本地数据库{WTID,WNID_a,NID_a,TSP_at,LPK_a1,LSK_a1,SmkList_a}。

执行完以上步骤后，Alice完成在TRC上的身份代理标识、协议参与主体表DevList和安全掩码表SmkList等信息的更新，并借助TRC将更新后的安全掩码表发送给其他的协议参与主体。

Claims

1.一种基于ECC的安全增强双向匿名认证密钥协商协议方法，其特征在于：

在身份认证方面，本发明提出的协议提出了基于安全掩码和临时会话密钥的乐观认证法来实现会话双方的匿名身份认证；在计算临时会话密钥方面，本发明提出的协议提出了基于椭圆曲线加密的临时信息、安全掩码和身份信息的组合哈希法；在保障数据完整性方面，提出了基于已知信息和消息的组合校验法；

第一步：从本地数据库中读取信息{WTID，WID_a，ID_a，TSP_at，LPK_a，LSK_a，SmkList_a}，其中WTID为注册中心的身份代理标识，WID_a为设备Alice的身份代理标识，ID_a为设备Alice的身份标识，TSP_at为本地时间戳，LPK_a和LSK_a为Alice的长期公钥和长期私钥，SmkList_a为Alice的压缩安全掩码表；在安全掩码表SmkList_a中查询得到Bob的信息：＜WID_b，smk_ab，LPK_b＞，其中WID_b为设备Bob的身份代理标识，smk_ab为Alice对Bob的安全掩码，LPK_b为Bob长期公钥；选择随机数x_a∈Z^*；计算参数：m_a＝H(ID_a||x_a||LSK_a)，

其中p为随机大素数，G为椭圆曲线的基点；计算身份认证值：Auth_ab＝H(((m_a+WID_b·LSK_a)modp)·G)；产生本地时间戳TSP_ab，计算哈希摘要值：Sign_ab＝H(X_a||Auth_ab||WID_a||WID_b||WTID||TSP_ab)；

第二步：当Bob收到Alice发来的消息Message_ab后，从本地数据库中读取信息{WTID，WID_b，ID_b，TSP_bt，LPK_b，LSK_b，SmkList_b}，ID_b为设备Bob的身份标识，TSP_bt为本地时间戳，LSK_b为Bob的长期私钥，SmkList_b为Bob的压缩安全掩码表；计算哈希摘要值：Sign`_ab＝H(X_a||Auth_ab||WID_a||WID_b||WTID||TSP_ab)；判断Sign_ab和Sign`_ab的值是否相等，若相等则继续执行，否则中止执行；产生本地时间戳TSP`_ab，判断|TSP_ab-TSP`_ab|≤ΔT，是否成立，若成立则继续，否则中止执行，其中△T表示时间间隔允许的最大阈值；根据WID_a查询安全掩码表SmkList_b得到信息：＜WID_a，smk_ba，LPK_a＞；计算参数：

其中smk_ba为Bob对Alice的安全掩码；计算身份认证值：Auth`_ab＝H(X_a+WID_b·(LPK_a+H(WTID||H(LPK_a))·PK))，其中PK为注册中心的长期公钥；判断Auth_ab和Auth_ab`的值是否相等，若相等则继续，否则中止执行；选择随机数x_b∈Z^*；计算参数：m_b＝H(ID_b||x_b||LSK_b)，X_b＝(m_bmodp)·G；计算临时会话密钥：SSK_ba＝H(((m_bmodp)·X_a)||smk_ba)；计算身份认证值：Auth_ba＝H(SSK_ba||WTID||smk_ba)；计算会话密钥验证值：

使用临时会话密钥SSK_ba对信息进行异或加密得到加密信息：

产生本地时间戳TSP_ba，计算哈希摘要值：Sign_ba＝H(Msg_ba||X_b||LPK_b||Auth_ba||WID_b||WTID||TSP_ba)；计算参数：

将消息Message_ba＝{Msg_ba，X_b，Auth_ba，TSP_ba，Sign_ba}通过公共信道发送给Alice；

第三步：当Alice收到Bob返回的消息Message_ba后计算：

计算哈希摘要值：Sign`_ba＝H(Msg_ba||X_b||LPK_b||Auth_ba||WID_b||WTID||TSP_ba)；判断Sign_ba和Sign_ba`是否相等，若相等则继续执行，否则中止执行；产生本地时间戳TSP`_ba，判断|TSP_ba-TSP`_ba|≤ΔT是否成立，若成立则继续执行，否则中止执行；计算临时会话密钥：SSK_ab＝H(((m_amodp)·X_b)||smk_ab)；计算身份认证值：Auth_ba`＝H(SSK_ab||WTID||smk_ab)；判断Auth_ba和Auth_ba`的值是否相等，若相等则继续执行，否则中止执行；使用临时会话密钥SSK_ab对加密信息Msg_ba进行异或解密：

计算参数：

判断WID_b`和WID_b的值是否相等，若相等则继续执行，否则中止执行；将密钥SSK_ab作为Alice和Bob之间的临时会话密钥；计算会话密钥验证值：V_ab＝H(smk_ab||WID_b)；使用临时会话密钥SSK_ab对Msg_ab进行异或加密：

产生时间戳TSP_c，计算哈希摘要值：Sign_c＝H(Msg_ab||TSP_c||WID_b)；将消息Message_c＝{Sign_c，Msg_ab，TSP_c}通过公共信道发送给Bob；

第四步：当Bob收到Alice发来的消息Message_c后，计算哈希摘要值：Sign`_c＝H(Msg_ab||TSP_c||WID_b)；判断Sign_c和Sign_c`是否相等，若相等则继续执行，否则中止执行；产生本地时间戳TSP`_c，判断|TSP_c-TSP`_c|≤ΔT是否成立，若成立则继续执行，否则中止执行；使用临时会话密钥SSK_ba对Msg_ab进行异或解密：

判断V_ab`和H(smk_ba||WID_b)的值是否相等，若相等则继续执行，否则中止执行；将密钥SSK_ba作为Bob和Alice之间的临时会话密钥。