2024年3月12日发(作者：抗贞芳)
ＣＩｌＭｐｌＪ ｌ’ Ｒ
ＳｌｉＩ：ＩＪ薹毫１ＴＹ
—ｎ２满足ｎ２ ｎｌ Ｅ Ｎｃ。
（３）如果ｎｌ Ｅ Ｎｃ，且有ｎ２二 ｎｌ，那么ｎ２
二＞ｎｌ Ｅ Ｎｃ。
由于Ｂｕｎｄｌｅ是串空间的一个子集，用来表示
一
个完整的协议，是一个图。
１．２认证测试理论
认证测试是在利用串空间模型建立协议状态和
过程的基础上，通过构造不同的测试类型来验证协
议的认证属性和特定消息的保密属性。
定义６ 在一个串空间（ｓｔｒａｎｄ）∑下，称正则
串的某个部分为测试。如果有：
（１）ａ ｃ ｔ且ｔ是ｎ的分量。
（２）ｔ不是任何正规节点ｎ’Ｅ∑的ｎ’的真
子项。
则称ｔ＝｛ｈ｝ 是ａ在节点ｎ中的测试分量。
定义７ 如果ｎＯ为负ｎ１为正，且ａ Ｃ
ｔｅｒｍ（ｎ１），若存在ａ从ｎ０接收并以新组件的形式
从ｎｌ中发出，则称边ｎ０二＝＞ ｎ１是关于ａ的转换
边。
定义８如果ｎＯ为正ｎ１为负且ａ ｃ ｔｅｒｍ（ｎ０），
若存在ａ从ｎ０发出并在节点ｎｌ以新组件的形式接
收，则称边ｎ０二＝＞ ｎ１是关于ａ的被转换边。
定义９如果ａ只在ｎ０的测试分量ｔ中出现，
且ｔ＝｛ｈ｝ ，这里Ｋ Ｋ。（Ｋ。是攻击者密钥集合），
则称边ｎＯ ｎｌ是ａ丛Ｃ中的输出测试边。
定义１０如果ａ只在ｎ１的测试分量ｔ中出现且
与ｎ０无关，ｔ＝｛ｈ｝ ，这里Ｋ Ｋ。（Ｋ。是攻击
者密钥集合），则称边ｎＯ ｎｌ是ａ丛Ｃ中的
输入测试边。
定义ｌ １如果ｔ是对于负结点ｎ中任何ａ的测
试分量且ｔ＝｛ｈ｝ ，这里Ｋ Ｋ。（Ｋ。是攻击者密
钥集合），则称节点ｎ是关于ａ的主动测试。
认证测试方法：
认证测试１令Ｃ为一个簇（ｂｕｎｄｌｅ），ｎｌ Ｅ Ｃ，
２ ０ １ ２．０ ６
５１ｌｌ面目晒图
ＷＷＷ ｒ３ＳＣｏｒｇ ＣＯ
ｎＯ ｎｌ称为ａ在ｔ中的出测试，则：
（１）存在正常结点ｍ０，ｍｌ Ｅ Ｃ，使得ｔ是ｍ
的分量且ｍ０二＝＞ ｍｌ是ａ的变换边。
（２）若ａ仅存在于ｍｌ的分量ｔｌ＝｛ｈｌ｝ 。中，ｔ１
不是任何一个正常分量的真子集，且Ｋ Ｋ。，
则存在一个负的正常结点，ｔｌ为该结点分量。
认证测试２令Ｃ为一个簇（ｂｕｎｄｌｅ），ｎｌ Ｅ Ｃ，
ｎ０＝＝＞ ｎ１为ａ在ｔ’中的入测试，则存在正结点
ｍ０，ｍｌ∈Ｃ使得ｔ’是ｍｌ的分量且ｍ０＝＝＞ ｍｌ
是ａ的转换边。
认证测试３令Ｃ为一个簇（ｂｕｎｄｌｅ），ｎ Ｅ Ｃ，
ｎ是ｔ＝｛ｈ｝ 的一个主动测试，则存在一个正结点
ｍ Ｅ Ｃ且ｔ是ｍ的一个分量。
２ ＣＣＩＴＴ Ｘ．５０９协议缺陷分析
２．１ ＣＣＩＴＴ ｘ．５０９协议
Ｃ ＣＩＴＴ Ｘ．５０９协议 包括两个主体：发起者
和响应者，协议中的消息交换如下：
Ｍ１ Ａ－－＋Ｂ：Ａ，｛Ｔａ，Ｎａ，Ｂ，Ｘａ，｛Ｙａ｝Ｋ ｝Ｋ
Ｍ２ Ｂ－－＋Ａ：Ｂ，｛Ｔｂ，Ｎｂ，Ａ，Ｎａ，Ｘｂ，｛Ｙｂ｝Ｋ ｝ＫＢ－
Ｍ３ Ａ－－＋Ｂ：Ａ，｛Ｎｂ｝Ｋ
此协议中，第１步，Ａ把时间戳Ｔａ、临时值
Ｎａ、Ｂ的身份标识、消息Ｘａ以及用Ｂ的公钥加密
的消息｛Ｙａ｝Ｋ ｝用自己的私钥加密后，连同自己的
身份标识Ａ一起发给Ｂ。第２步，同样地，Ｂ把自
己的身份标识以及用自己的私钥加密的消息发给Ａ。
第３步，Ａ把加密消息｛Ｎｂ｝Ｋ 和Ａ发给Ｂ。
协议目的：（１）Ａ和Ｂ相互认证；（２）保证Ｘａ
和Ｘｂ的完整性；（３）保证Ｙａ和Ｙｂ的秘密性。协
议运行过程如图１所示。
Ａ Ｍ１ Ｂ
ｎｌ●
蛹ｌ ］
ｎ２０
８
Ｍ３
８
图】协议运行过程
Ｓ ＣｌＪＲｌ ｆｒＹ田 Ｉ兰．：—
ｉ，２
（１）发起者 串Ｉｎｉｔ［Ａ，Ｂ，Ｎａ，Ｎｂ，Ｔａ，
Ｔ ｂ】＝＜＋Ａ｛Ｔ ａ Ｎ ａ Ｂ Ｘ ａ｛Ｙ ａ｝Ｋ ｝Ｋ ～，一
Ｂ｛ＴｂＮｂＡＮａＸｂ｛Ｙｂ｝Ｋ ｝Ｋ ～，＋Ａ｛Ｎｂ｝ＫＡ－１＞，和
某个ｓ∈Ｉｎｉｔ［Ａ，Ｂ，Ｎａ，Ｎｂ，Ｔａ，Ｔｂ］相关联的协议
主体是Ａ。
（２）响应者串Ｒｅｓｐ［Ａ，Ｂ，Ｎａ，Ｎｂ，Ｔａ，Ｔｂ】＝＜一
Ａ｛Ｔ ａ Ｎ ａ Ｂ Ｘ ａ｛Ｙ ａ｝Ｋ ｝Ｋ ～，＋
Ｂ｛ＴｂＮｂＡＮａＸｂ｛Ｙｂ｝Ｋ ｝Ｋ ～，一Ａ｛Ｎｂ｝Ｋ ＞，和某
个ｓ∈Ｒｅｓｐ［Ａ，Ｂ，Ｎａ，Ｎｂ，Ｔａ，Ｔｂ］相关联的协议主
体是Ｂ。
２．２协议缺陷分析
１）认证性分析
设有如下基本假设：（１）Ｋ Ａ－Ｉ，Ｋ Ｂ １ Ｋｐ；
（２）Ｎａ，Ｎｂ惟一产生；（３）Ｎａ≠Ｎｂ
响应者的认证：
（１）构造测试分量。 响应者串
Ｒｅｓｐ［Ａ，Ｂ，Ｎａ，Ｎｂ，Ｔａ，Ｔｂ】，由于Ｎｂ惟一产生于
节点ｍｌ，因此｛Ｎｂ｝Ｋ 是Ｎｂ的测试分量，ｍｌ
＝＝＞ｍ２构造了Ｎｂ在｛Ｎｂ｝Ｋ 中的输入测试。
（２）应用认证测试规则２得到：存在正常结点
ｎ，ｎ’∈Ｃ，｛Ｎｂ｝Ｋ 是结点ｍ’的分量，并且ｎ
＝＝＞ ｎ’是Ｎｂ的转换边。
（３）定义结点ｎ’。由第２步的结果可得ｎ’为
正结点，ｎ’必定属于某个发起者Ａ’中的结点，
设Ａ’＝Ｉｎｉｔ［Ａ’，Ｂ’，Ｎａ’，Ｎｂ’，Ｔａ’，Ｔｂ’】，
｛Ｎｂ’｝Ｋ ’是结点ｎ’的分量。
（４）比较串的内容。比较ｔｅｒｍ（ｎ’）和发起者串
中相应的分量，可以得到Ａ－－Ａ’，Ｎｂ＝Ｎｂ’，无
法得到Ｂ＝Ｂ’，Ｎａ＝Ｎａ’。
因此，响应者无法达到对发起者身份的认证，
协议可能存在重放攻击。
２）秘密性分析
协议中，所有消息均使用私钥加密形式，攻击
者很容易从公开信息中获得公钥。所以，攻击者很
可能获取加密的信息并进行伪造，这样不满足消息
的完整性和秘密性。
３对ＣＣＩＴＴ Ｘ．５０９协议的改进
通过第二节的分析，针对协议存在的缺陷，对
ＣＣＩＴＴ Ｘ．５０９协议进行改进，如下：
Ｍ１ Ａ Ｂ：｛Ｂ，Ｔａ，Ｎａ，｛Ｘａ，Ｙａ｝Ｋ ｝Ｋ
Ｍ２ Ｂ Ａ：｛Ａ，Ｔｂ，Ｎａ，Ｎｂ，｛Ｘｂ，Ｙｂ｝Ｋ ｝Ｋ
Ｍ３ Ａ Ｂ：｛Ｎｂ｝Ｋ
选用公钥代替私钥加密使得消息更加安全，需
要保密的消息Ｙａ、Ｙｂ以及需要保证完整的消息
Ｘａ、Ｘｂ分别用私钥加密后放在加密消息内，使得
消息更加安全。下面运用认证测试理论证明Ａ和Ｂ
能够互相认证：
设有如下基本假设：（１）Ｋ ，Ｋ －－Ｉ Ｋ。；
（２）Ｎａ，Ｎｂ惟一产生；（３）Ｎａ≠Ｎｂ
发起者的认证：
（１） 构造测试分量。 发起者串
Ｉｎｉｔ［Ａ，Ｂ，Ｎａ，Ｎｂ，Ｔａ，Ｔｂ］，由于Ｎａ惟一产
生于节点ｎ０，因此｛Ｂ，Ｔａ，Ｎａ，｛Ｘａ，Ｙａ｝Ｋ ｝
Ｋ 是Ｎａ的测试分量，ｎＯ＝＝＞ｎｌ构造了Ｎａ在
｛Ｂ，Ｔａ，Ｎａ，｛Ｘａ，Ｙａ｝Ｋ ）Ｋ 中的输出测试。
（２）应用认证测试规则ｌ得到：存在正常结点ｍ，
ｍ’∈Ｃ，｛Ｂ，Ｔａ，Ｎａ，｛Ｘａ，Ｙａ｝Ｋ ｝Ｋ 是结点ｍ’
的分量，并且ｍ＝＞＋ｍ’是Ｎａ的转换边。
（３）定义结点ｍ’。由第２步的结果可得ｍ’为
负结点，ｍ’必定属于某个响应者Ｂ’中的结点，
设Ｂ’＝Ｉｎｉｔ［Ａ’，Ｂ’，Ｎａ’，Ｎｂ’，Ｔａ’，Ｔｂ’］，
｛Ｂ’，Ｔａ’，Ｎａ’，｛Ｘａ’，Ｙａ’｝Ｋ ’｝Ｋ ’是结
点ｍ’的分量。
（４）比较串的内容。 比较ｔｅｒｍ（ｍ’）和
响应者串中相应的分量，可以得到Ａ＝Ａ’，
Ｂ＝Ｂ’，Ｎａ＝Ｎａ’，Ｔａ＝Ｔａ’。那么响应者串
Ｓ＝Ｒｅｓｐ［Ａ，Ｂ，Ｎａ， ，Ｔａ， ］。
２ ０ １ ２．０ ６
固口圈圈ｌ５２
ＷＷＷ ＮＳＣ Ｏｒｇ．ｃｒｌ Ｉ
2024年3月12日发(作者：抗贞芳)
ＣＩｌＭｐｌＪ ｌ’ Ｒ
ＳｌｉＩ：ＩＪ薹毫１ＴＹ
—ｎ２满足ｎ２ ｎｌ Ｅ Ｎｃ。
（３）如果ｎｌ Ｅ Ｎｃ，且有ｎ２二 ｎｌ，那么ｎ２
二＞ｎｌ Ｅ Ｎｃ。
由于Ｂｕｎｄｌｅ是串空间的一个子集，用来表示
一
个完整的协议，是一个图。
１．２认证测试理论
认证测试是在利用串空间模型建立协议状态和
过程的基础上，通过构造不同的测试类型来验证协
议的认证属性和特定消息的保密属性。
定义６ 在一个串空间（ｓｔｒａｎｄ）∑下，称正则
串的某个部分为测试。如果有：
（１）ａ ｃ ｔ且ｔ是ｎ的分量。
（２）ｔ不是任何正规节点ｎ’Ｅ∑的ｎ’的真
子项。
则称ｔ＝｛ｈ｝ 是ａ在节点ｎ中的测试分量。
定义７ 如果ｎＯ为负ｎ１为正，且ａ Ｃ
ｔｅｒｍ（ｎ１），若存在ａ从ｎ０接收并以新组件的形式
从ｎｌ中发出，则称边ｎ０二＝＞ ｎ１是关于ａ的转换
边。
定义８如果ｎＯ为正ｎ１为负且ａ ｃ ｔｅｒｍ（ｎ０），
若存在ａ从ｎ０发出并在节点ｎｌ以新组件的形式接
收，则称边ｎ０二＝＞ ｎ１是关于ａ的被转换边。
定义９如果ａ只在ｎ０的测试分量ｔ中出现，
且ｔ＝｛ｈ｝ ，这里Ｋ Ｋ。（Ｋ。是攻击者密钥集合），
则称边ｎＯ ｎｌ是ａ丛Ｃ中的输出测试边。
定义１０如果ａ只在ｎ１的测试分量ｔ中出现且
与ｎ０无关，ｔ＝｛ｈ｝ ，这里Ｋ Ｋ。（Ｋ。是攻击
者密钥集合），则称边ｎＯ ｎｌ是ａ丛Ｃ中的
输入测试边。
定义ｌ １如果ｔ是对于负结点ｎ中任何ａ的测
试分量且ｔ＝｛ｈ｝ ，这里Ｋ Ｋ。（Ｋ。是攻击者密
钥集合），则称节点ｎ是关于ａ的主动测试。
认证测试方法：
认证测试１令Ｃ为一个簇（ｂｕｎｄｌｅ），ｎｌ Ｅ Ｃ，
２ ０ １ ２．０ ６
５１ｌｌ面目晒图
ＷＷＷ ｒ３ＳＣｏｒｇ ＣＯ
ｎＯ ｎｌ称为ａ在ｔ中的出测试，则：
（１）存在正常结点ｍ０，ｍｌ Ｅ Ｃ，使得ｔ是ｍ
的分量且ｍ０二＝＞ ｍｌ是ａ的变换边。
（２）若ａ仅存在于ｍｌ的分量ｔｌ＝｛ｈｌ｝ 。中，ｔ１
不是任何一个正常分量的真子集，且Ｋ Ｋ。，
则存在一个负的正常结点，ｔｌ为该结点分量。
认证测试２令Ｃ为一个簇（ｂｕｎｄｌｅ），ｎｌ Ｅ Ｃ，
ｎ０＝＝＞ ｎ１为ａ在ｔ’中的入测试，则存在正结点
ｍ０，ｍｌ∈Ｃ使得ｔ’是ｍｌ的分量且ｍ０＝＝＞ ｍｌ
是ａ的转换边。
认证测试３令Ｃ为一个簇（ｂｕｎｄｌｅ），ｎ Ｅ Ｃ，
ｎ是ｔ＝｛ｈ｝ 的一个主动测试，则存在一个正结点
ｍ Ｅ Ｃ且ｔ是ｍ的一个分量。
２ ＣＣＩＴＴ Ｘ．５０９协议缺陷分析
２．１ ＣＣＩＴＴ ｘ．５０９协议
Ｃ ＣＩＴＴ Ｘ．５０９协议 包括两个主体：发起者
和响应者，协议中的消息交换如下：
Ｍ１ Ａ－－＋Ｂ：Ａ，｛Ｔａ，Ｎａ，Ｂ，Ｘａ，｛Ｙａ｝Ｋ ｝Ｋ
Ｍ２ Ｂ－－＋Ａ：Ｂ，｛Ｔｂ，Ｎｂ，Ａ，Ｎａ，Ｘｂ，｛Ｙｂ｝Ｋ ｝ＫＢ－
Ｍ３ Ａ－－＋Ｂ：Ａ，｛Ｎｂ｝Ｋ
此协议中，第１步，Ａ把时间戳Ｔａ、临时值
Ｎａ、Ｂ的身份标识、消息Ｘａ以及用Ｂ的公钥加密
的消息｛Ｙａ｝Ｋ ｝用自己的私钥加密后，连同自己的
身份标识Ａ一起发给Ｂ。第２步，同样地，Ｂ把自
己的身份标识以及用自己的私钥加密的消息发给Ａ。
第３步，Ａ把加密消息｛Ｎｂ｝Ｋ 和Ａ发给Ｂ。
协议目的：（１）Ａ和Ｂ相互认证；（２）保证Ｘａ
和Ｘｂ的完整性；（３）保证Ｙａ和Ｙｂ的秘密性。协
议运行过程如图１所示。
Ａ Ｍ１ Ｂ
ｎｌ●
蛹ｌ ］
ｎ２０
８
Ｍ３
８
图】协议运行过程
Ｓ ＣｌＪＲｌ ｆｒＹ田 Ｉ兰．：—
ｉ，２
（１）发起者 串Ｉｎｉｔ［Ａ，Ｂ，Ｎａ，Ｎｂ，Ｔａ，
Ｔ ｂ】＝＜＋Ａ｛Ｔ ａ Ｎ ａ Ｂ Ｘ ａ｛Ｙ ａ｝Ｋ ｝Ｋ ～，一
Ｂ｛ＴｂＮｂＡＮａＸｂ｛Ｙｂ｝Ｋ ｝Ｋ ～，＋Ａ｛Ｎｂ｝ＫＡ－１＞，和
某个ｓ∈Ｉｎｉｔ［Ａ，Ｂ，Ｎａ，Ｎｂ，Ｔａ，Ｔｂ］相关联的协议
主体是Ａ。
（２）响应者串Ｒｅｓｐ［Ａ，Ｂ，Ｎａ，Ｎｂ，Ｔａ，Ｔｂ】＝＜一
Ａ｛Ｔ ａ Ｎ ａ Ｂ Ｘ ａ｛Ｙ ａ｝Ｋ ｝Ｋ ～，＋
Ｂ｛ＴｂＮｂＡＮａＸｂ｛Ｙｂ｝Ｋ ｝Ｋ ～，一Ａ｛Ｎｂ｝Ｋ ＞，和某
个ｓ∈Ｒｅｓｐ［Ａ，Ｂ，Ｎａ，Ｎｂ，Ｔａ，Ｔｂ］相关联的协议主
体是Ｂ。
２．２协议缺陷分析
１）认证性分析
设有如下基本假设：（１）Ｋ Ａ－Ｉ，Ｋ Ｂ １ Ｋｐ；
（２）Ｎａ，Ｎｂ惟一产生；（３）Ｎａ≠Ｎｂ
响应者的认证：
（１）构造测试分量。 响应者串
Ｒｅｓｐ［Ａ，Ｂ，Ｎａ，Ｎｂ，Ｔａ，Ｔｂ】，由于Ｎｂ惟一产生于
节点ｍｌ，因此｛Ｎｂ｝Ｋ 是Ｎｂ的测试分量，ｍｌ
＝＝＞ｍ２构造了Ｎｂ在｛Ｎｂ｝Ｋ 中的输入测试。
（２）应用认证测试规则２得到：存在正常结点
ｎ，ｎ’∈Ｃ，｛Ｎｂ｝Ｋ 是结点ｍ’的分量，并且ｎ
＝＝＞ ｎ’是Ｎｂ的转换边。
（３）定义结点ｎ’。由第２步的结果可得ｎ’为
正结点，ｎ’必定属于某个发起者Ａ’中的结点，
设Ａ’＝Ｉｎｉｔ［Ａ’，Ｂ’，Ｎａ’，Ｎｂ’，Ｔａ’，Ｔｂ’】，
｛Ｎｂ’｝Ｋ ’是结点ｎ’的分量。
（４）比较串的内容。比较ｔｅｒｍ（ｎ’）和发起者串
中相应的分量，可以得到Ａ－－Ａ’，Ｎｂ＝Ｎｂ’，无
法得到Ｂ＝Ｂ’，Ｎａ＝Ｎａ’。
因此，响应者无法达到对发起者身份的认证，
协议可能存在重放攻击。
２）秘密性分析
协议中，所有消息均使用私钥加密形式，攻击
者很容易从公开信息中获得公钥。所以，攻击者很
可能获取加密的信息并进行伪造，这样不满足消息
的完整性和秘密性。
３对ＣＣＩＴＴ Ｘ．５０９协议的改进
通过第二节的分析，针对协议存在的缺陷，对
ＣＣＩＴＴ Ｘ．５０９协议进行改进，如下：
Ｍ１ Ａ Ｂ：｛Ｂ，Ｔａ，Ｎａ，｛Ｘａ，Ｙａ｝Ｋ ｝Ｋ
Ｍ２ Ｂ Ａ：｛Ａ，Ｔｂ，Ｎａ，Ｎｂ，｛Ｘｂ，Ｙｂ｝Ｋ ｝Ｋ
Ｍ３ Ａ Ｂ：｛Ｎｂ｝Ｋ
选用公钥代替私钥加密使得消息更加安全，需
要保密的消息Ｙａ、Ｙｂ以及需要保证完整的消息
Ｘａ、Ｘｂ分别用私钥加密后放在加密消息内，使得
消息更加安全。下面运用认证测试理论证明Ａ和Ｂ
能够互相认证：
设有如下基本假设：（１）Ｋ ，Ｋ －－Ｉ Ｋ。；
（２）Ｎａ，Ｎｂ惟一产生；（３）Ｎａ≠Ｎｂ
发起者的认证：
（１） 构造测试分量。 发起者串
Ｉｎｉｔ［Ａ，Ｂ，Ｎａ，Ｎｂ，Ｔａ，Ｔｂ］，由于Ｎａ惟一产
生于节点ｎ０，因此｛Ｂ，Ｔａ，Ｎａ，｛Ｘａ，Ｙａ｝Ｋ ｝
Ｋ 是Ｎａ的测试分量，ｎＯ＝＝＞ｎｌ构造了Ｎａ在
｛Ｂ，Ｔａ，Ｎａ，｛Ｘａ，Ｙａ｝Ｋ ）Ｋ 中的输出测试。
（２）应用认证测试规则ｌ得到：存在正常结点ｍ，
ｍ’∈Ｃ，｛Ｂ，Ｔａ，Ｎａ，｛Ｘａ，Ｙａ｝Ｋ ｝Ｋ 是结点ｍ’
的分量，并且ｍ＝＞＋ｍ’是Ｎａ的转换边。
（３）定义结点ｍ’。由第２步的结果可得ｍ’为
负结点，ｍ’必定属于某个响应者Ｂ’中的结点，
设Ｂ’＝Ｉｎｉｔ［Ａ’，Ｂ’，Ｎａ’，Ｎｂ’，Ｔａ’，Ｔｂ’］，
｛Ｂ’，Ｔａ’，Ｎａ’，｛Ｘａ’，Ｙａ’｝Ｋ ’｝Ｋ ’是结
点ｍ’的分量。
（４）比较串的内容。 比较ｔｅｒｍ（ｍ’）和
响应者串中相应的分量，可以得到Ａ＝Ａ’，
Ｂ＝Ｂ’，Ｎａ＝Ｎａ’，Ｔａ＝Ｔａ’。那么响应者串
Ｓ＝Ｒｅｓｐ［Ａ，Ｂ，Ｎａ， ，Ｔａ， ］。
２ ０ １ ２．０ ６
固口圈圈ｌ５２
ＷＷＷ ＮＳＣ Ｏｒｇ．ｃｒｌ Ｉ