安全报文交换协议
在二和三次安全报文交换协议中，协议的一方用户担负着“起动”的角色，另一方用户起着“响应”的角色。代表起动用户操作的“安全代理”就认为是“起动者”，代表响应用户操作的就认为是“响应者”。
在安全报文交换协议中，当采用非对称性(公开)密钥算法时，可假定每个鉴别实体(即A、B)拥有一个公开密钥/私密密钥对。当用于加密时，Ka表示A的非对称密钥的公共部分。当于数字签名时，Ka就表示A的非对称密钥的专用部分。对B实体情况类似。当采用对称(秘密的)密钥算法时，则要假定鉴别的实体A和B共用两个单向秘密密钥Ka和Kb或单一的秘密密钥Ka=Kb。
安全协商是通过使用参数在三次交换协议中完成的。为了支持体系结构中的灵活性则需要进行协商。这种灵活性要答应执行者和用户可选择密码算法和他们所喜欢用的协议。在第一个流程中，起动者提供一个安全服务目录和连接使用的参数(如：算法类型、密钥长度、公开密钥的具体算法参数)。在第二个流程中，响应者要根据服务目录和连接参数予以回答。假如起动者与响应者相一致，那就是执行了协议，而且双方都采用了服务和响应者回答所包含的参数，否则，此协议和连接请求就出故障了。
协议的调整
当选定ATM二次或三次安全报文发报协议时，应当考虑有多种调整措施存在。这些调整措施下文将要对其进行叙述，其概要见表1(n是网络中节点的数目，安全服务要对它们进行申请)。为了保护鉴别协议远离采用众所周知的“重放攻击”的欺骗，鉴别流程必须是唯一的、有序的而且是最新的。对此可以有两种方式来达到：采用时间戳和顺序号或者经由一个“查询响应”协议。
假如在两个流程中要求相互鉴别或在一个流程中要求对源发方进行鉴别，那么就应采用基于时间戳的途径。根据源发方的鉴别证书，假如采用ATM"防火墙”来被动地滤掉(与端系统有关)连接请求，那么后者是重要的。但是，基于时间戳途径的不利因素是在报文的源发方和证实鉴别证书的实体之间要求有一定程度的时间同步。
通过采用一次随机数或临时数，其“查询响应”方式就提供了单一的、排列有序的和最新式的必不可少的保证。这就要通过发送一个临时数作为“查询”来实现，即对远程距离实体要以计数法标识并回归到要查询的实体。
另外，协调还关系到采用非对称(公开密钥)算法对抗对称(秘密密钥)算法的问题。非对称算法提供的每个实体都具有由该实体保持的“私密密钥”，而公开密钥，它可以自由地予以扩散，而且可以由其它人使用以证实由属于实体的密钥产生的数字签名是有效的。非对称算法(对数字签名和加密这二者来说)的优点是，私密密钥仅要求每一个用户出现一次，这就使得密钥治理变得复杂，但是，非对称算法由于采用复杂的函数，像“模数取幂”，所以在计算上它就很精密。
在另一方面，对称算法可以很快地进行计算，因为它们专门运用了“移位和排序”操作。但是，对称算法要求其源发和目的地实体要共享同一个公共密钥。对一个具有几个节点的网络，具有二和三次交换协议彼此鉴别的能力要求每个节点与所有其它节点都要有共同的密钥，这样就可以以O(n2)表示密钥治理的复杂性。在大型网络中，密钥治理复杂性要根据对称算法来进行鉴别。(未完待续)
