5.1. 与 ECDH 的通用 GSS-API 密钥交换

本节重用了 [RFC4462] 的第 2.1 节 中定义的大部分方案，并将其与 中定义的方案结合起来[RFC5656] 第 4 节；特别是，[RFC5656]第 4 节中规定的所有检查和验证步骤也适用于此处。¶

密钥协商方案“ECDHE-Curve25519”和“ECDHE-Curve448”分别使用函数X25519和X448执行Diffie-Hellman协议。 实现必须使用[RFC7748]中描述的算法计算这些函数。 当他们这样做时，实现必须检查计算出的 Diffie-Hellman 共享密钥是否为全零值，如果是则中止，如第 6 节中所述[RFC7748]。 Alternative implementations of these functions SHOULD abort when either the client or the server input forces the shared secret to one of a small set of values, as described in Sections 6 and 7 of [RFC7748].¶

本节遵循 [RFC7546] 作为 GSS-API 上下文建立操作的信息来源，其中 3 节最为相关。 [RFC7546] 中描述的所有安全注意事项也适用于此处。¶

根据 [SEC1v2] 第 3.2.1 节，双方各自生成一个临时密钥对。 双方收到密钥后根据 [SEC1v2] 第 3.2.3.1 节进行验证。¶

对于 NIST 曲线，密钥使用未压缩的点表示，并且必须使用[SEC1v2]第 2.3.4 节中的算法进行转换。 如果转换失败或使用压缩表示传输点，则密钥交换必须失败。¶

GSS上下文根据[RFC5656]的Section 4建立；客户端使用GSS_Init_sec_context()发起建立，服务器使用GSS_Accept_sec_context()响应它。 对于协商，客户端必须将mutual_req_flag和integ_req_flag设置为“true”。 此外，如果用户请求，deleg_req_flag可以设置为“true”以请求访问授权。 由于密钥交换过程仅验证主机，因此 anon_req_flag 的设置对此过程无关紧要。 如果客户端不支持 [RFC4462] 的第 4 节中描述的“gssapi-keyex”用户身份验证方法，或者不打算支持将该方法与密钥交换期间建立的 GSS-API 上下文结合使用，然后 anon_req_flag 应该 设置为“true”。 否则，如果客户端希望隐藏其身份，则此标志可以设置为“true”。 一旦上下文建立，这个密钥交换过程将仅交换单个消息词符；因此，replay_det_req_flag和sequence_req_flag应该设置为“false”。¶

在此过程中，客户端必须将其公钥包含在其发送到服务器的第一条消息中；如果服务器收到多个密钥或根本没有收到密钥，则密钥交换必须失败。¶

在GSS上下文建立期间，客户端和服务器可以交换多个 Token 。 当 GSS 上下文建立时（major_status 为 GSS_S_COMPLETE），各方检查mutual_state 和 integ_avail 是否均为“true”。 如果不是，密钥交换必须失败。¶

一旦一方收到对等方的公钥，它就会继续计算共享秘密 K。对于 NIST 曲线，计算是根据 [SEC1v2] 的第 3.3.1 节完成的，并且使用 [SEC1v2] 第 2.3.5 节中定义的转换将结果值 z 转换为八位字节字符串 K。 对于 curve25519 和 curve448，改用 [RFC7748] 的 Section 6 中的算法。¶

为了验证握手的完整性，对等方使用所选密钥交换方法定义的哈希函数来计算 H:¶

H = 哈希(V_C || V_S || I_C || I_S || K_S || Q_C || Q_S || K)。¶

服务器使用 GSS_GetMIC() 调用（以 H 作为负载）来生成消息完整性代码 (MIC)。 客户端使用 GSS_VerifyMIC() 调用来验证 MIC。¶

如果任何 GSS_Init_sec_context() 或 GS​​S_Accept_sec_context() 返回除 GSS_S_COMPLETE 或 GS​​S_S_CONTINUE_NEEDED 之外的 Major_status，或者任何其他 GSS-API 调用返回除 GSS_S_COMPLETE 之外的 Major_status，则密钥交换必须失败。 关于错误报告，遵循 [RFC4462] 的第 2.1 节 中表达的相同建议。¶

以下是密钥交换过程的概述：¶

    Client                                                Server
    ------                                                ------
    Generates ephemeral key pair.
    Calls GSS_Init_sec_context().
    SSH_MSG_KEXGSS_INIT  --------------->

                                           Verifies received key.
(Optional)                  <------------- SSH_MSG_KEXGSS_HOSTKEY

(Loop)
|                                 Calls GSS_Accept_sec_context().
|                           <------------ SSH_MSG_KEXGSS_CONTINUE
|   Calls GSS_Init_sec_context().
|   SSH_MSG_KEXGSS_CONTINUE ------------>

                                  Calls GSS_Accept_sec_context().
                                    Generates ephemeral key pair.
                                          Computes shared secret.
                                                 Computes hash H.
                                     Calls GSS_GetMIC( H ) = MIC.
                            <------------ SSH_MSG_KEXGSS_COMPLETE

    Verifies received key.
    Computes shared secret.
    Computes hash H.
    Calls GSS_VerifyMIC( MIC, H ).

这是通过以下消息实现的：¶

客户端发送：¶

    byte      SSH_MSG_KEXGSS_INIT
    string    output_token (from GSS_Init_sec_context())
    string    Q_C, client's ephemeral public key octet string

服务器可能会响应：¶

    byte     SSH_MSG_KEXGSS_HOSTKEY
    string   server public host key and certificates (K_S)

服务器发送：¶

    byte     SSH_MSG_KEXGSS_CONTINUE
    string   output_token (from GSS_Accept_sec_context())

每次客户端收到上述消息时，都会再次调用 GSS_Init_sec_context()。¶

客户端发送：¶

    byte      SSH_MSG_KEXGSS_CONTINUE
    string    output_token (from GSS_Init_sec_context())

作为最终消息，如果生成了output_token，服务器将发送以下内容：¶

    byte      SSH_MSG_KEXGSS_COMPLETE
    string    Q_S, server's ephemeral public key octet string
    string    mic_token (MIC of H)
    boolean   TRUE
    string    output_token (from GSS_Accept_sec_context())

如果没有产生output_token，服务器发送：¶

    byte      SSH_MSG_KEXGSS_COMPLETE
    string    Q_S, server's ephemeral public key octet string
    string    mic_token (MIC of H)
    boolean   FALSE

哈希 H 被计算为以下各项串联的 HASH 哈希：¶

    string    V_C, the client's version string (CR, NL excluded)
    string    V_S, server's version string (CR, NL excluded)
    string    I_C, payload of the client's SSH_MSG_KEXINIT
    string    I_S, payload of the server's SSH_MSG_KEXINIT
    string    K_S, server's public host key
    string    Q_C, client's ephemeral public key octet string
    string    Q_S, server's ephemeral public key octet string
    mpint     K,   shared secret

该值称为“交换哈希”，用于验证密钥交换。 交换哈希应该保密。 如果服务器未发送或客户端未接收到 SSH_MSG_KEXGSS_HOSTKEY 消息，则在计算交换哈希时将使用空字符串代替 K_S。¶

由于此密钥交换方法不需要将主机密钥用于任何加密操作，因此 SSH_MSG_KEXGSS_HOSTKEY 消息是可选。 如果使用 [RFC4462] 的第 5 节 中描述的“空”主机密钥算法，则此消息不得 被发送。¶

如果客户端在调用 GSS_Init_sec_context() 返回了 Major_status 代码 GSS_S_COMPLETE 后收到 SSH_MSG_KEXGSS_CONTINUE 消息，则发生协议错误，并且密钥交换必须失败。¶

如果客户端收到 SSH_MSG_KEXGSS_COMPLETE 消息，并且对 GSS_Init_sec_context() 的调用未导致 Major_status 代码为 GSS_S_COMPLETE，则发生协议错误，并且密钥交换必须失败。¶