在三方口令认证密钥交换(三方 PAKE)协议中,每个用户仅仅需要和服务器共享一个口令,就可以在服务 器的协助下与他人进行安全的密钥交换.由于有效地减少了用户管理口令的负担,三方 PAKE 协议在大规模用户集 的安全通信中受到了较多关注.然而,已有的三方 PAKE 协议大多关注的是服务器利用明文存储用户口令的情形,没 有考虑服务器口令文件泄露所造成的巨大威胁.在服务器端存放的是相应于用户口令的验证元的情形下,研究三方 PAKE 协议的分析和设计.首先分析了一个最近提出的基于验证元的三方 PAKE 协议,指出该协议易于遭受离线字典攻击,因此未能达到所宣称的安全性;其次,在分析已有协议设计缺陷的基