9、实现与AES安全级别的公钥系统匹配

实现与AES安全级别的公钥系统匹配

1. 引言

AES-128、AES-192和AES-256即将推出，这带来了一个新问题。理论上，AES-128的安全级别足以满足商业应用。但如果有人不满足于AES-128，坚持使用AES-192或AES-256，那么对应的公钥密码系统应使用多大的密钥尺寸呢？本文将探讨以下公钥密码系统的密钥尺寸：
- RSA和RSA多素数（RSA-MP）。
- 基于离散对数问题的Diffie-Hellman和ElGamal类系统：
- 素域乘法群。
- 扩展域乘法群，如LUC和XTR。
- 素域上的椭圆曲线群（ECC）。

同时，还会讨论使用这些密钥尺寸的性能问题。

AES推出后，将引入匹配安全级别的加密哈希函数，如SHA-256、SHA-384和SHA-512。对于许多基于子群的加密协议，选择与AES - ℓ匹配的子群大小很简单，使用素数阶q的子群，满足⌈log₂q⌉ = 2ℓ 。对于ECC，这在实际应用中基本解决了问题。但对于其他子群系统，有限域的大小仍需确定。

2. 安全级别

2.1 破解密码系统

在本文中，破解对称密码系统指获取对称密钥；破解RSA指分解公钥模数；破解基于子群的公钥系统指计算公钥子群元素相对于已知生成元的离散对数。不考虑基于协议特定属性或公钥、私钥指数大小的攻击。

2.2 安全等效性

在上述攻击模型下，如果破解两个密码系统的预期努力相同，则它们提供相同的安全级别。比较安全级别有两种方式：
- 计算等效：平均而言，破解两个系统所需的计算努力相同。
- 成本等效：在