73、密钥派生：原理、安全模型与低熵源应用

密钥派生：原理、安全模型与低熵源应用

1. 盐在密钥派生中的作用

理想的盐应随机选择，且长度为单个消息块。若可行且盐能保密，可进一步增强派生密钥的安全性。

2. 密钥派生函数的定义与安全模型

• 密钥派生函数（KDF）的定义 ：一个确定性的概率多项式时间（PPT）算法 KDF 若接受四个输入：从某个密钥材料源采样得到的值 SKM、长度值 L（L ≥ 1）以及两个可选值（盐和上下文信息 info），并产生 L 位的输出，则称其为密钥派生函数，即 KDF(SKM, salt, info, L)。
• 密钥材料源的定义 ：密钥材料源 Σ 是一个可有效采样的概率分布，通过 PPT 采样器 SamΣ 进行采样，每次采样得到一个包含两个值的元组 (SKM, aux)，其中 aux 包含算法特定的辅助信息。
• KDF 安全性的定义 ：
  • 渐近安全定义：对于所有对手 A，若优势 Advkdf _KDF,Σ,A (λ) 可忽略不计，则称 KDF 相对于源 Σ 和采样器 SamΣ 是安全的。优势定义为 Advkdf _KDF,Σ,A (λ) := 2 · Pr[Expkdf _KDF,Σ,A (λ)] - 1，其中实验 Expkdf _KDF,Σ,A (λ) 如下：

Experim