认证握手与transcript绑定

形式陈述 ​

握手不是一个单独的群运算，而是两个局部会话在不可信网络上的交互。每个会话保存本地角色、期望对端、协商参数、收发记录、临时秘密和接受状态。攻击者可以截获、修改、重放、穿插多个会话；诚实方只有通过规定的全部验证才产生 accept(peer, context, key)。

认证目标至少要说明：一个未受损会话接受为与某对端交互时，是否存在该对端的匹配会话，双方在身份、角色、协议参数及相关transcript上是否一致。若要求唯一匹配，则还需会话新鲜性与重放控制。密钥不可区分是另一项游戏：对允许被测试的会话，攻击者区分真实会话密钥与同长随机串的优势应很小。必须明确哪些长期密钥、临时秘密或会话密钥泄漏会取消测试资格。

本单元固定一项教学构造。双方的签名验证公钥理路数字签名Digital signature由私钥签名、公开验证并提供不可伪造性的认证机制。预先与 client.test、server.test 可信绑定；不从对方自报的名字推出信任。双方生成临时DH理路Diffie–Hellman 密钥交换Diffie–Hellman key exchange双方公开交换群幂并在离散对数型假设下导出共享秘密的协议。公钥 $X,Y$，构造

$E$ 是本单元规范编码理路密码协议字段的无歧义编码Cryptographic protocol field encoding · Length-delimited transcript encoding规定字段类型、长度和解析边界，用可逆编码把语义元组唯一映为认证字节，并拒绝截断、尾随及多重解释。，公开随机数 $n_C,n_S$ 用来区分握手。双方分别签 E(protocol,version,client-auth,H(T0)) 与 E(protocol,version,server-auth,H(T0))，先核对期望身份、公钥、参数及签名。再构造 $T_1=E(T_0,{\sigma }_C,{\sigma }_S)$，把共同DH值经HKDF理路HKDF的提取与扩展HKDF · HKDF extract-and-expand分开输入材料净化与带上下文扩展，明确salt、info和长度的职责，以RFC5869向量复算PRK与两块OKM。供给后续确认阶段。这里先有T0才签名，先有签名才形成T1，没有摘要依赖自身的循环。