提出了一个轻量级的两方认证及会话密钥交换协议，在一个拥有PUF实体的密码设备（Device）与服务器（Server）之间进行安全认证并建立共享会话密钥。协议采用了模糊提取器来进行认证和密钥提取，同时使用伪随机函数和异或加密来进行消息认证和通信数据加密，有效降低了执行开销。协议中Server只需要获取并存储Device中PUF的一条激励-响应信息，用于后续的密钥更新与交换，避免了因采集大量的激励-响应信息而带来的存储资源的消耗和数据泄露隐患。分析表明提出的协议实现了双向认证和可靠的密钥交换，能够抵抗窃听攻击、篡改攻击、中间人攻击、DOS攻击、建模攻击、物理探测攻击等各种攻击技术。