ISO/IEC 11770-3:2015/Amd 1:2017

INTERNATIONAL ISO/IEC
STANDARD 11770-3
Third edition
2015-08-01
AMENDMENT 1
2017-11
Information technology — Security
techniques — Key management —
Part 3:
Mechanisms using asymmetric
techniques
AMENDMENT 1: Blinded Diffie-Hellman
key agreement
Technologies de l'information — Techniques de sécurité — Gestion
de clés —
Partie 3: Mécanismes utilisant des techniques asymétriques
AMENDEMENT 1: Accord de clés Diffie-Hellman aveugle
Reference number
ISO/IEC 11770-3:2015/Amd.1:2017(E)
©
ISO/IEC 2017

---------------------- Page: 1 ----------------------
ISO/IEC 11770-3:2015/Amd.1:2017(E)

COPYRIGHT PROTECTED DOCUMENT
©  ISO/IEC 2017, Published in Switzerland
All rights reserved. Unless otherwise specified, no part of this publication may be reproduced or utilized otherwise in any form
or by any means, electronic or mechanical, including photocopying, or posting on the internet or an intranet, without prior
written permission. Permission can be requested from either ISO at the address below or ISO’s member body in the country of
the requester.
ISO copyright office
Ch. de Blandonnet 8 • CP 401
CH-1214 Vernier, Geneva, Switzerland
Tel. +41 22 749 01 11
Fax +41 22 749 09 47
copyright@iso.org
www.iso.org
ii © ISO/IEC 2017 – All rights reserved

---------------------- Page: 2 ----------------------
ISO/IEC 11770-3:2015/Amd.1:2017(E)

Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards
bodies (ISO member bodies). The work of preparing International Standards is normally carried out
through ISO technical committees. Each member body interested in a subject for which a technical
committee has been established has the right to be represented on that committee. International
organizations, governmental and non-governmental, in liaison with ISO, also take part in the work.
ISO collaborates closely with the International Electrotechnical Commission (IEC) on all matters of
electrotechnical standardization.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular the different approval criteria needed for the
different types of ISO documents should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www.iso.org/directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject of
patent rights. ISO shall not be held responsible for identifying any or all such patent rights. Details of
any patent rights identified during the development of the document will be in the Introduction and/or
on the ISO list of patent declarations received (see www.iso.org/patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation on the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO's adherence to the
World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT) see the following
URL: www.iso.org/iso/foreword.html.
This document was prepared by Technical Committee ISO/IEC JTC 1,  Information technology,
Subcommittee SC 27, IT Security techniques.
A list of all parts in the ISO/IEC 11770 series can be found on the ISO wesite.
© ISO/IEC 2017 – All rights reserved iii

---------------------- Page: 3 ----------------------
ISO/IEC 11770-3:2015/Amd.1:2017(E)
Information technology — Security techniques — Key
management —
Part 3:
Mechanisms using asymmetric techniques
AMENDMENT 1: Blinded Diffie-Hellman key agreement
Normative references
Add the following normative references:
ISO/IEC 11770-6, Information technology — Security techniques — Key management — Part 6: Key
derivation
ISO/IEC 19772, Information technology — Security techniques — Authenticated encryption
10.2, first sentence
Modify the first sentence to be as follows:
The provisions in this subclause apply to key agreement mechanisms 11.1 to 11.11, 11.13 and 11.14,
all of which specify mechanisms for key agreement between two parties.
Clause 11
Add the following after 11.12:
11.13 Key agreement mechanism 13
This key agreement mechanism, known as “2-pass blinded Diffie-Hellman”, establishes a shared
secret key in two passes between entities A and B with unilateral implicit key authentication. The
following requirements shall be satisfied.
— Entity A has a private key agreement key h in S and a public key agreement key P = F(h , G) in
A 1 A A
S, where S and S are the sets introduced in 10.2.
2 1 2
— Entity B has access to the credentials necessary to authenticate the public key agreement key of
entity A. This may be achieved using the mechanisms described in Clause 13, but to ensure the
privacy property of unlinkability, any identifiers of entity A and any credentials unique to entity
A that are sent from entity A to entity B are sent encrypted using a key derived from the shared
key, for example, as shown in Text1 in the description below.
— Key derivation shall comply with ISO/IEC 11770-6 (see also Annex C) and encryption shall use
an authenticated encryption method chosen from ISO/IEC 19772.
— Random number generation shall comply with ISO/IEC 18031.
Key token construction (B1) Entity B randomly and secretly generates  r in S, computes its
B 1
ephemeral public key P = F(r , G) in S , constructs the key token KT = P , and sends it to entity A.
B B 2 B1 B
© ISO/IEC 2017 – All rights reserved 1

---------------------- Page: 4 ----------------------
ISO/IEC 11770-3:2015/Amd.1:2017(E)

Key token construction, key construction and encryption (A1) Entity A randomly and secretly
generates r in S , and constructs the key token KT  = F(r , P).
A 1 A1 A A
Entity A computes the shared secret key as K = F(r, F(h ,KT  )).
A A B1
Entity A derives key K  from K using an agreed key derivation function and uses an authenticated
AB
encryption algorithm AuthEnc to compute E = AuthEnc_K  (r , P, Text1) and sends this and the
AB A A
key token KT to entity B.
A1
Key construction, decryption and checking (B2) Entity B computes the shared secret key as K =
F(r , KT ).
B A1
Entity B derives key K  from K using the agreed key derivation function and uses AuthEnc and E
AB
to recover r and P and check that KT  = F(r , P).
A A A1 A A
NOTE 1  A security proof for the 3-pass protocol (Mechanism 14) is provided in Reference [38], and is extended
to a proof for the 2-pass protocol in Reference [41]. The security proof requires the use of unidirectional
authenticated encryption keys and the inclusion of state information such as message counters.
NOTE 2  A cryptographic analysis of the impact of using a small blinding factor (i.e. in step A1 selecting r from
A
a small subset of S) is provided in Reference [39].
1
NOTE 3  An analysis in an enhanced security model is given in Reference [40].
Figure 9a — Key agreement mechanism 13 (2-pass)
11.14 Key agreement mechanism 14
This key agreement mechanism, known as “3-pass blinded Diffie-Hellman”, establishes a shared
secret key in three passes between entities A and B with unilateral implicit key authentication. The
following requirements shall be satisfied.
2 © ISO/IEC 2017 – All rights reserved

---------------------- Page: 5 ----------------------
ISO/IEC 11770-3:2015/Amd.1:2017(E)

— Entity A has a private key agreement key h in S and a public key agreement key P = F(h , G) in
A 1 A A
S, where S and S are the sets introduced in 10.2.
2 1 2
— Entity B has access to the credentials necessary to authenticate the public key agreement key of
entity A. This may be achieved using the mechanisms described in Clause 13, but to ensure the
privacy property of unlinkability any identifiers of entity A and any credentials unique to entity
A that are sent from entity A to entity B are sent encrypted using a key derived from the shared
key, for example, as shown in Text1 in the description below.
— Key derivation shall comply with ISO/IEC 11770-6 (see also Annex C) and encryption shall use
an authenticated encryption method chosen from ISO/IEC 19772.
— Random number generation shall comply with ISO/IEC 18031.
Key token construction (A1) Entity A randomly and secretly generates r in S , constructs the key
A 1
token KT  = F(r , P), and sends it to entity B.
A1 A A
Key token construction and key construction (B1) Entity B randomly and secretly generates r
B
in S, computes its ephemeral public key P = F(r , G) in S , constructs the key token KT = P , and
1 B B 2 B1 B
sends it to entity A.
Entity B computes the shared secret key as K = F(r , KT ).
B A1
Key construction and encryption (A2) Entity A  computes  the  shared  secret  key  as
K = F(r, F(h ,KT  )).
A A B1
Entity A derives key K  from K using an agreed key derivation function and uses an authenticated
AB
encryption algorithm AuthEnc to compute E = AuthEnc_K  (r , P, Text1) and sends this to entity B.
AB A A
Decryption and checking (B2) Entity B derives key K  from K using the agreed key derivation
AB
function and uses AuthEnc and E to recover r and P and check that KT  = F(r , P).
A A A1 A A
NOTE 1  A security proof for the 3-pass protocol is provided in Reference [38]. The security proof requires
the use of unidirectional authenticated encryption keys and the inclusion of state information such as message
counters.
NOTE 2  A cryptographic analysis of the impact of using a small blinding factor (i.e. in step A1 selecting r from
A
a small subset of S) is provided in Reference [39].
1
NOTE 3  An analysis in an enhanced security model is given in Reference [40].
© ISO/IEC 2017 – All rights reserved 3

---------------------- Page: 6 ----------------------
ISO/IEC 11770-3:2015/Amd.1:2017(E)

Figure 9b — Key agreement mechanism 14 (3-pass)
Annex A
On page 40, insert a reference to ISO/IEC 8824 and ISO/IEC 8825 in the opening sentence:
This annex lists the object identifiers (see References [42] and [43]) assigned to the key management
mechanisms specified in this document.
On page 40, insert the following
...