Библиотека
Скачать PDF

Р 1323565.1.004-2017. Рекомендации по стандартизации. Информационная технология. Криптографическая защита информации. Схемы выработки общего ключа с аутентификацией на основе открытого ключа

Федеральное агентство по техническому регулированию и метрологии · № Р 1323565.1.004-2017Действующий акт

(утв. и введены в действие Приказом Росстандарта от 24.10.2017 № 1505-ст)

Примечание

Документ введен в действие с 1 апреля 2018 года.

Утверждены и введены в действие Приказом Федерального агентства по техническому регулированию и метрологии от 24 октября 2017 г. № 1505-ст

РЕКОМЕНДАЦИИ ПО СТАНДАРТИЗАЦИИ

ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ

КРИПТОГРАФИЧЕСКАЯ ЗАЩИТА ИНФОРМАЦИИ

СХЕМЫ ВЫРАБОТКИ ОБЩЕГО КЛЮЧА С АУТЕНТИФИКАЦИЕЙ НА ОСНОВЕ ОТКРЫТОГО КЛЮЧА

Information technology. Information cryptographic protection. Public key based on the authenticated key agreement schemes

Р 1323565.1.004-2017

ОКС 35.040

Дата введения 1 апреля 2018 года

Предисловие

1 РАЗРАБОТАНЫ Центром защиты информации и специальной связи ФСБ России с участием ОАО «Информационные технологии и коммуникационные системы»

2 ВНЕСЕНЫ Техническим комитетом по стандартизации ТК 26 «Криптографическая защита информации»

3 УТВЕРЖДЕНЫ И ВВЕДЕНЫ В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 24 октября 2017 г. № 1505-ст

4 ВВЕДЕНЫ ВПЕРВЫЕ

Правила применения настоящих рекомендаций установлены в статье 26 Федерального закона от 29 июня 2015 г. № 162-ФЗ «О стандартизации в Российской Федерации». Информация об изменениях к настоящим рекомендациям публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе «Национальные стандарты», а текст изменений и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае пересмотра (замены) или отмены настоящих рекомендаций соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

Средства защиты информации, в ряде случаев, реализуют протоколы аутентификации и выработки общего ключа для выполнения своих целевых функций. Реализация таких протоколов может базироваться на безопасных схемах выработки общего ключа с аутентификацией на основе открытого ключа.

Настоящие рекомендации определяют схемы выработки общего ключа с аутентификацией на основе открытого ключа с использованием криптографических алгоритмов, определенных национальными стандартами в области криптографической защиты информации.

Необходимость разработки настоящих рекомендаций вызвана потребностью в формировании единого подхода к реализации используемых в разрабатываемых и модернизируемых средствах защиты информации схем выработки общего ключа с аутентификацией на основе открытого ключа с использованием криптографических алгоритмов, определенных национальными стандартами.

1 Область применения

Настоящие рекомендации определяют схемы выработки общего ключа с аутентификацией на основе открытого ключа с использованием криптографических алгоритмов, определенных национальными стандартами, и могут быть использованы при разработке, производстве, эксплуатации и модернизации средств криптографической защиты информации в системах обработки информации различного назначения.

2 Нормативные ссылки

В настоящих рекомендациях использованы нормативные ссылки на следующие стандарты и рекомендации по стандартизации:

ГОСТ Р 34.10-2012 Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи

ГОСТ Р 34.11 Информационная технология. Криптографическая защита информации. Функция хэширования

ГОСТ Р 34.12 Информационная технология. Криптографическая защита информации. Блочные шифры

ГОСТ Р 34.13 Информационная технология. Криптографическая защита информации. Режимы работы блочных шифров

Р 50.1.113 Информационная технология. Криптографическая защита информации. Криптографические алгоритмы, сопутствующие применению алгоритмов электронной цифровой подписи и функции хэширования

Примечание - При пользовании настоящими рекомендациями целесообразно проверить действие ссылочных стандартов (рекомендаций) в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю «Национальные стандарты», который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя «Национальные стандарты» за текущий год. Если заменен ссылочный стандарт (рекомендации), на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта (рекомендаций) с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт (рекомендации), на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта (рекомендаций) с указанным выше годом утверждения (принятия). Если после утверждения настоящих рекомендаций в ссылочный стандарт (рекомендации), на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт (рекомендации) отменен без замены, то положение, в котором дана ссылка на него, применяется в части, не затрагивающей эту ссылку.

3 Термины, определения и обозначения

3.1 Термины и определения

В настоящих рекомендациях применены следующие термины в соответствии со следующими определениями:

3.1.1 ключ: Изменяемый параметр в виде последовательности символов, определяющий криптографическое преобразование.

3.1.2 ключ подписи: Элемент секретных данных, специфичный для субъекта и используемый только данным субъектом в процессе формирования цифровой подписи.

3.1.3 ключ проверки подписи: Элемент данных, математически связанный с ключом подписи и используемый проверяющей стороной в процессе проверки цифровой подписи.

3.1.4 сертификат ключа проверки: Элемент данных, подтверждающий принадлежность ключа проверки владельцу сертификата ключа проверки.

3.1.5 код аутентификации сообщения: Строка бит фиксированной длины, добавляемая к сообщению для обеспечения его целостности и аутентификации источника данных.

3.2 Обозначения

В настоящих рекомендациях использованы следующие обозначения:

V* - множество всех двоичных строк конечной длины, включая пустую строку;
A||B конкатенация строк A, B V*, т.е. строка из V|A|+|B|, в которой подстрока с большими номерами компонент из V|A| совпадает со строкой A, а подстрока с меньшими номерами компонент из V|B| совпадает со строкой B;
[T]i,j - для битовой строки T = (t0, ..., tn) подстрока T' = (ti, ..., tj), 0 <= i <= j <= n;
H512(T) - значение функции хэширования с длиной хэш-кода 512 бит, определенной ГОСТ Р 34.11, для сообщения T;
SGNd(T) - цифровая подпись, сформированная в соответствии с ГОСТ Р 34.10, для сообщения T с использованием ключа подписи d;
VERIFYD(T, S) - результат проверки цифровой подписи S согласно ГОСТ Р 34.10 для сообщения T с использованием ключа проверки подписи D;
MACk(T) - результат вычисления кода аутентификации для сообщения T с использованием ключа k;
KDF_{512}(T):V^{*} \rightarrow V_{512} - функция вычисления производного ключа длины 512 на основе входного значения T;
\pi(Q) - функция, отображающая точку эллиптической кривой в битовую строку;
формула - опциональный параметр схемы (может являться строкой нулевой длины);
h2, h3 - фиксированные различные строки ненулевой длины, определяемые для каждой реализации протокола;
sA, SA - соответственно долговременные ключ подписи и ключ проверки подписи стороны A;
kA, KA - соответственно сеансовые (эфемерные) ключ подписи и ключ проверки подписи стороны A;
IdA - идентификатор стороны A;
CertA - сертификат долговременного ключа проверки подписи стороны A;
O - нулевая точка эллиптической кривой.

4 Общие положения

Настоящие рекомендации определяют три схемы выработки общего ключа с аутентификацией на основе открытого ключа:

  1. эхинацея-3 (Э-3) — схема выработки общего ключа с двусторонней аутентификацией при помощи ключа подписи;

  2. эхинацея-2 (Э-2) — схемы выработки общего ключа с односторонней аутентификацией при помощи ключа подписи;

  3. лимонник-3 (Л-3) — схема выработки общего ключа с возможностью использования двух различных эллиптических кривых и с двусторонней аутентификацией при помощи ключа схемы Диффи-Хеллмана.

4.1 Эллиптические кривые

Предполагается использование операций в группе точек эллиптической кривой E над конечным простым полем характеристики p, заданной в форме Вейерштрасса — {}_{E_{W,a,b}(GF(p)) =}{_{x,y})_{:x \equiv x + ax + b(modp)}^{23}} или в форме Эдвардса {}_{E_{Edw,e,d}(GF(p)) =}{_{u,v})_{:eu + v \equiv 1 + duv(modp)}^{2222}} . Для обозначения параметров эллиптической кривой E в форме Вейерштрасса будет использоваться обозначение (p, a, b, m, q, xp, yp) согласно ГОСТ Р 34.10-2012, а для эллиптической кривой в форме Эдвардса — обозначение (p, a, b, m, q, xp, yp, e, d, up, vp) согласно [1].

Используемые эллиптические кривые должны удовлетворять требованиям ГОСТ Р 34.10 при 2508 < q < 2512. Допускается использование эллиптических кривых и в других представлениях, при этом эквивалентное представление кривой в форме Вейерштрасса должно удовлетворять требованиям ГОСТ Р 34.10 при 2508 < q < 2512.

4.2 Код аутентификации сообщения

Для вычисления кода аутентификации сообщения могут использоваться:

1 Алгоритм блочного шифрования с длиной блока 128 бит («Кузнечик») согласно ГОСТ Р 34.12 в режиме выработки имитовставки согласно ГОСТ Р 34.13.

2 Функция HMAC_GOSTR3411_2012_512, определенная в Р 50.1.113.

4.3 Вычисление производного ключа

В качестве функции вычисления производного ключа KDF_{512}(T):V^{*} \rightarrow V_{512} могут использоваться:

  1. функция хэширования, определенная согласно ГОСТ Р 34.10-2012 с длиной хэш-кода 512 бит;

  2. псевдослучайная функция PRF_TLS_GOST3411_2012_512 с длиной выхода 512 бит, определенная в Р 50.1.113.

4.4 Способ вычисления функции \pi(Q)

В случае использования кривой в форме Вейерштрасса для Q = (xQ, yQ) выполняется \pi(Q) = x_{Q} .

В случае использования кривой в форме Эдвардса для Q = (uQ, vQ) выполняется \pi(Q) = u_{Q} .

5 Схема выработки общего ключа с аутентификацией «Эхинацея-3»

Долговременными ключами сторон A и B являются ключи цифровой подписи sA, SA и sB, SB соответственно, определенные согласно 5.2 ГОСТ Р 34.10-2012, и удостоверенные сертификатами ключа проверки CertA и CertB.

Сторона A имеет (IdA, формула ), сторона B имеет (IdB, формула ), где K \in V^{*} — заранее распределенное общее секретное значение.

Параметры эллиптической кривой считаются известными обеим сторонам и согласованными до начала протокола.

Предполагается, что выработка общего ключа и аутентификация осуществляются в рамках сеанса связи, с которым может быть ассоциирована доступная обеим сторонам открытая общая информация OI.

Схема выработки общего ключа с аутентификацией «Эхинацея-3» состоит из следующей последовательности действий.

  1. Сторона A случайным образом выбирает kA, где {}_{k_{A} \in}{_{1,...,q - 1}} , и вычисляет точку эллиптической кривой KA = kAP.

  2. Сторона A посылает стороне B — (IdA, CertA, KA).

  3. Сторона B проверяет валидность сертификата ключа проверки CertA. Если это условие не выполнено, то сторона B завершает протокол, возвращая ошибку стороне A, информирующую о невалидности сертификата ключа проверки CertA.

  4. Сторона B проверяет, что K_{A} \in E и \frac{m}{q} K_{A} \neq O . Если это условие не выполнено, то сторона B завершает протокол, возвращая ошибку стороне A, информирующую о неверном выборе параметров.

  5. Сторона B случайным образом выбирает kB, где {}_{k_{B} \in}{_{1,...,q - 1}} , и вычисляет точку эллиптической кривой KB = kBP.

  6. Сторона B вычисляет точку QAB = (m/q)·kBKA.

  7. Сторона B вычисляет значение T_{AB} = KDF(\pi(Q_{AB})||Id_{A}||Id_{B}||OI||K) .

  8. Сторона B вычисляет общие сеансовые ключи KAB = [TAB]0,255 и MAB = [TAB]256,511.

  9. Сторона B вычисляет метку аутентификации aut_{B} = SGN_{s_{B}}(\pi(K_{B})||\pi(K_{A})||Id_{A}) и метку подтверждения ключа tag_{B} = MAC_{M_{AB}}(h_{2}||(\pi(K_{B})||(\pi(K_{A})||Id_{B}||Id_{A}) .

  10. Сторона B посылает стороне A — (IdB, CertB, KB, autB, tagB).

  11. Сторона A проверяет валидность сертификата ключа проверки CertB. Если это условие не выполнено, то сторона A завершает протокол, возвращая ошибку стороне B, информирующую о невалидности сертификата ключа проверки CertB.

  12. Сторона A проверяет цифровую подпись VERIFY_{S_{B}}(\pi(K_{B})||(\pi(K_{A})||Id_{A},aut_{B}) = "\text{верно}" . Если это условие не выполнено, сторона A завершает протокол, возвращая ошибку стороне B, информирующую о невозможности аутентификации.

  13. Сторона A проверяет, что K_{B} \in E и \frac{m}{q} K_{B} \neq O . Если это условие не выполнено, то сторона A завершает протокол, возвращая ошибку стороне B, информирующую о неверном выборе параметров.

  14. Сторона A вычисляет точку QBA = (m/q)·kAKB.

  15. Сторона A вычисляет значение T_{BA} = KDF(\pi(Q_{BA})||Id_{A}||Id_{B}||OI||K) .

  16. Сторона A вычисляет общие сеансовые ключи KBA = [TBA]0,255 и MBA = [TBA]256,511.

  17. Сторона A вычисляет метку подтверждения ключа tag'_{B} = MAC_{M_{AB}}(h_{2}||(\pi(K_{B})||(\pi(K_{A})||Id_{B}||Id_{A}) и проверяет tagB = tag'B. Если это условие не выполнено, сторона A завершает протокол, возвращая ошибку стороне B, информирующую о невозможности аутентификации.

  18. Сторона A вычисляет метку аутентификации aut_{A} = SGN_{S_{A}}(\pi(K_{A})||(\pi(K_{B})||Id_{B}) и метку подтверждения ключа tag_{A} = MAC_{M_{AB}}(h_{3}||(\pi(K_{A})||(\pi(K_{B})||Id_{A}||Id_{B}) .

  19. Сторона A посылает стороне B — (autA, tagA).

  20. Сторона B проверяет цифровую подпись VERIFY_{S_{A}}(\pi(K_{A})||(\pi(K_{B})||Id_{B},aut_{B}) = "\text{верно}" . Если это условие не выполнено, сторона B завершает протокол, возвращая ошибку стороне A, информирующую о невозможности аутентификации.

  21. Сторона B вычисляет метку подтверждения ключа tag'_{A} = MAC_{M_{AB}}(h_{3}||(\pi(K_{A})||(\pi(K_{B})||Id_{A}||Id_{B}) и проверяет tagA = tag'A. Если это условие не выполнено, сторона B завершает протокол, возвращая ошибку стороне A, информирующую о невозможности аутентификации.

  22. Стороны A и B уничтожают ключи MBA и MAB соответственно.

Стороны A и B находятся в состоянии проведенной аутентификации с выработанным общим ключом \overline{K} = K_{BA} = K_{AB} .

6 Схема выработки общего ключа с аутентификацией «Эхинацея-2»

Сторона B обладает долговременными ключами цифровой подписи sB, SB, определенными согласно ГОСТ Р 34.10-2012 (пункт 5.2), и удостоверенными сертификатом ключа проверки CertB.

Сторона A имеет (IdA, формула ), сторона B имеет (IdB, формула ), где K \in V^{*} — заранее распределенное общее секретное значение.

Параметры эллиптической кривой считаются известными обеим сторонам и согласованными до начала протокола.

Предполагается, что выработка общего ключа и аутентификация осуществляются в рамках сеанса связи, с которым может быть ассоциирована доступная обеим сторонам открытая общая информация OI.

Схема выработки общего ключа с односторонней аутентификацией «Эхинацея-2» состоит из следующей последовательности действий.

  1. Сторона A случайным образом выбирает kA, где {}_{k_{A} \in}{_{1,...,q - 1}} , и вычисляет точку эллиптической кривой KA = kAP.

  2. Сторона A посылает стороне B — (IdA, KA).

  3. Сторона B проверяет, что K_{A} \in E и \frac{m}{q} K_{A} \neq O . Если это условие не выполнено, то сторона B завершает протокол, возвращая ошибку стороне A, информирующую о неверном выборе параметров.

  4. Сторона B случайным образом выбирает kB, где {}_{k_{B} \in}{_{1,...,q - 1}} , и вычисляет точку эллиптической кривой KB = kBP.

  5. Сторона B вычисляет точку QAB = (m/q)·kBKA.

  6. Сторона B вычисляет значение T_{AB} = KDF(\pi(Q_{AB})||Id_{A}||Id_{B}||OI||K) .

  7. Сторона B вычисляет общие сеансовые ключи KAB = [TAB]0,255 и MAB = [TAB]256,511.

  8. Сторона B вычисляет метку аутентификации aut_{B} = SGN_{S_{B}}(\pi(K_{B})||(\pi(K_{A})||Id_{A}) и метку подтверждения ключа tag_{B} = MAC_{M_{AB}}(h_{2}||(\pi(K_{B})||(\pi(K_{A})||Id_{B}||Id_{A}) .

  9. Сторона B посылает стороне A — (IdB, CertB, KB, autB, tagB).

  10. Сторона A проверяет валидность сертификата ключа проверки CertB. Если это условие не выполнено, то сторона A завершает протокол, возвращая ошибку стороне B, информирующую о невалидности сертификата ключа проверки CertB.

  11. Сторона A проверяет цифровую подпись VERIFY_{S_{B}}(\pi(K_{B})||(\pi(K_{A})||Id_{A},aut_{B}) = "\text{верно}" . Если это условие не выполнено, сторона A завершает протокол, возвращая ошибку стороне B, информирующую о невозможности аутентификации.

  12. Сторона A проверяет, что K_{B} \in E и \frac{m}{q} K_{B} \neq O . Если это условие не выполнено, то сторона A завершает протокол, возвращая ошибку стороне B, информирующую о неверном выборе параметров.

  13. Сторона A вычисляет точку QBA = (m/q)·kAKB.

  14. Сторона A вычисляет значение T_{BA} = KDF(\pi(Q_{BA})||Id_{A}||Id_{B}||OI||K) .

  15. Сторона A вычисляет общие сеансовые ключи KBA = [TBA]0,255 и MBA = [TBA]256,511.

  16. Сторона A вычисляет метку подтверждения ключа tag'_{B} = MAC_{M_{BA}}(h_{2}||(\pi(K_{B})||(\pi(K_{A})||Id_{B}||Id_{A}) и проверяет tagB = tag'B. Если это условие не выполнено, сторона A завершает протокол, возвращая ошибку стороне B, информирующую о невозможности аутентификации.

  17. Сторона A вычисляет метку подтверждения ключа tag_{A} = MAC_{M_{BA}}(h_{3}||(\pi(K_{A})||(\pi(K_{B})||Id_{A}||Id_{B}) .

  18. Сторона A посылает стороне B — (tagA).

  19. Сторона B вычисляет метку подтверждения ключа tag'_{A} = MAC_{M_{AB}}(h_{3}||(\pi(K_{A})||(\pi(K_{B})||Id_{A}||Id_{B}) и проверяет tagA = tag'A. Если это условие не выполнено, сторона B завершает протокол, возвращая ошибку стороне A, информирующую о невозможности аутентификации.

  20. Стороны A и B уничтожают ключи MBA и MAB соответственно.

Стороны A и B находятся в состоянии проведенной односторонней аутентификации (B перед A) с выработанным общим ключом \overline{K} = K_{BA} = K_{AB} .

7 Схема выработки общего ключа с аутентификацией «Лимонник-3»

В данной схеме допускается использование двух (возможно, различных) эллиптических кривых EA и EB.

Долговременными ключами сторон A и B являются ключи цифровой подписи sA, SA и sB, SB соответственно, которые определяются соотношениями SA = sAPA, SB = sBPB, где 0 < sA < qA, 0 < sB < qB, и удостоверенные сертификатами ключей проверки CertA и CertB.

Сторона A имеет (IdA, формула ), сторона B имеет (IdB, формула ), где K \in V^{*} — заранее распределенное общее секретное значение.

Параметры эллиптических кривых EA и EB считаются известными обеим сторонам и согласованными до начала протокола.

Предполагается, что выработка общего ключа и аутентификация осуществляются в рамках сеанса связи, с которым может быть ассоциирована доступная обеим сторонам открытая общая информация OI.

Схема выработки общего ключа с аутентификацией «Лимонник-3» состоит из следующей последовательности действий.

  1. Сторона A случайным образом выбирает kA, где {}_{k_{A} \in}{_{1,...,q_{B} - 1}} , и вычисляет точку эллиптической кривой KA = kAPB.

  2. Сторона A посылает стороне B — (IdA, CertA, KA).

  3. Сторона B проверяет валидность сертификата ключа проверки CertA. Если это условие не выполнено, сторона B завершает протокол, возвращая ошибку стороне A, информирующую о невалидности сертификата ключа проверки CertA.

  4. Сторона B проверяет, что K_{A} \in E_{B} и \frac{m}{q} K_{A} \neq O . Если это условие не выполнено, сторона B завершает протокол, возвращая ошибку стороне A, информирующую о неверном выборе параметров.

  5. Сторона B извлекает из сертификата CertA долговременный ключ проверки подписи SA.

  6. Сторона B случайным образом выбирает kB, где {}_{k_{B} \in}{_{1,...,q_{B} - 1}} , и вычисляет точку эллиптической кривой KB = kBPA.

  7. Сторона B вычисляет точки QAB = (mA/qA)·kBSA и RAB = (mB/qB)·sBKA.

  8. Сторона B вычисляет значение T_{AB} = KDF(\pi(Q_{AB})||\pi(R_{AB})Id_{A}||Id_{B}||OI||K) .

  9. Сторона B вычисляет общие сеансовые ключи KAB = [TAB]0,255 и MAB = [TAB]256,511.

  10. Сторона B вычисляет метку подтверждения ключа tag_{B} = MAC_{M_{AB}}(h_{2}||(\pi(K_{B})||(\pi(K_{A})||Id_{B}||Id_{A}) .

  11. Сторона B посылает стороне A — (IdB, CertB, KB, tagB).

  12. Сторона A проверяет валидность сертификата ключа проверки CertB. Если это условие не выполнено, сторона A завершает протокол, возвращая ошибку стороне B, информирующую о невалидности сертификата ключа проверки CertB.

  13. Сторона A проверяет, что K_{B} \in E_{A} и \frac{m}{q} K_{B} \neq O . Если это условие не выполнено, сторона A завершает протокол, возвращая ошибку стороне B, информирующую о неверном выборе параметров.

  14. Сторона A извлекает из сертификата CertB долговременный ключ проверки подписи SB.

  15. Сторона A вычисляет точки QBA = (mA/qA)·sAKB и RBA = (mB/qB)·kBSA.

  16. Сторона A вычисляет значение T_{BA} = KDF(\pi(Q_{BA})||\pi(R_{BA})Id_{A}||Id_{B}||OI||K) .

  17. Сторона A вычисляет общие сеансовые ключи KBA = [TAB]0,255 и MBA = [TAB]256,511.

  18. Сторона A вычисляет метку подтверждения ключа tag'_{B} = MAC_{M_{BA}}(h_{2}||(\pi(K_{B})||(\pi(K_{A})||Id_{B}||Id_{A}) и проверяет tagB = tag'B. Если это условие не выполнено, сторона A завершает протокол, возвращая ошибку стороне B, информирующую о невозможности аутентификации.

  19. Сторона A вычисляет метку подтверждения ключа tag_{A} = MAC_{M_{BA}}(h_{3}||(\pi(K_{A})||(\pi(K_{B})||Id_{A}||Id_{B}) .

  20. Сторона A посылает стороне B — (tagA).

  21. Сторона B вычисляет метку подтверждения ключа tag'_{A} = MAC_{M_{AB}}(h_{3}||(\pi(K_{A})||(\pi(K_{B})||Id_{A}||Id_{B}) и проверяет tagA = tag'A. Если это условие не выполнено, сторона B завершает протокол, возвращая ошибку стороне A, информирующую о невозможности аутентификации.

  22. Стороны A и B уничтожают ключи MBA и MAB соответственно.

Стороны A и B находятся в состоянии проведенной аутентификации с выработанным общим ключом \overline{K} = K_{BA} = K_{AB} .

БИБЛИОГРАФИЯ

[1] Методические рекомендации по заданию параметров скрученных эллиптических кривых Эдвардса в соответствии с ГОСТ Р 34.10-2012. Технический комитет по стандартизации «Криптографическая защита информации»