ステーション間（STS）プロトコル：認証付き鍵共有方式

主な特性

• Diffie–Hellmanに基づく：当事者は、Diffie–Hellman形式の交換により、一時的な共有秘密を確立する（Diffie–Hellman）。
• 相互認証：各当事者は、交換から導かれた情報を認証することで自身の身元を証明する。通常はデジタル署名またはメッセージ認証符号（MAC）を用いる。
• 明示的鍵確認：両参加者は、相手も同じセッション鍵を保有しているという暗号学的保証を得る。これはAKCの要件を満たす。
• 完全前方秘匿性：セッションごとに一時的な鍵材料を使用するため、長期鍵が侵害されても過去のセッション鍵は明らかにならない。
• タイムスタンプを用いない：STSは同期された時計に依存しないため、運用上の要件の一部や、特定の種類のリプレイ問題を軽減する。

動作の仕組み（概念）

STSは、厳密なメッセージ単位の仕様としてではなく、二段階の方式として理解するのが適切である。まず当事者は通常のDiffie–Hellman交換を行い、共有秘密、すなわち一時的なセッション基盤を得る。次に、各当事者は、一時的な値および自身の身元に結び付いた暗号学的証拠を送ることで交換を認証する。この証拠は、一時的な公開値（場合によっては身元情報も含む）に対するデジタル署名、またはそれらの値から導出した鍵を用いるMACでありうる。認証メッセージは、双方が同じ鍵を導出したことの明示的確認としても機能する。

歴史と開発

STSは、デジタル電話網および関連システムのセキュリティを扱う研究の中で、1980年代後半に登場した。この時期に記述・改良され、その後1990年代初頭にWhitfield Diffieらを含む研究者によって発表された。このプロトコルは、一時的Diffie–Hellmanと直接的な認証を組み合わせることで、タイムスタンプや対称鍵の事前共有秘密なしに、秘匿性とエンティティ認証の両方を実現できることを示した。そのため、後の認証付き鍵交換方式の設計に影響を与えた。暗号学的な鍵共有の考え方についてのより広い文脈は、暗号技術リソースを参照。

用途、影響、実用上の注意点

STSそのものは主として学術的・歴史的な関心の対象であるが、そのパターン、すなわち一時的Diffie–Hellmanの後に認証と明示的確認を行う構成は、多くの実用プロトコルに見られる。IPsec（IKE）の現代的な版やTLSの認証付き鍵交換コンポーネントを含む、現在のセキュアチャネル・プロトコルは、前方秘匿性のための一時鍵の利用と、交換の暗号学的認証という、類似した設計原則を反映している。実装者は、STSでは各当事者が公開鍵演算（署名またはMAC検証）を行う必要があるため、認証なしの交換より計算コストが高くなることに注意すべきである。

セキュリティ上の考慮事項と特徴

正しい認証プリミティブと安全なパラメータ選択を用いることを前提に、STSは受動的な盗聴、および鍵の差し替えを試みる能動的な傍受から保護する。認証が一時的なDiffie–Hellman値に結び付けられているため、このプロトコルは、検出されない鍵の不一致の危険を軽減する明示的な双方向確認を提供する。ただし、あらゆる暗号設計と同様に、STSは安全な鍵導出関数、ノンスと身元情報の正しい処理、ならびにサイドチャネル攻撃やダウングレード攻撃を避けるための慎重な実装と組み合わせなければならない。その主要な概念的特徴は、Diffie–Hellmanの秘匿性と、明示的な相互認証および鍵確認を整然と組み合わせる点にあり、これらの特性は現代の認証付き鍵交換設計でも中心的なものであり続けている。