31、动态群组密钥交换再探

动态群组密钥交换再探

一、引言

群组密钥交换（GKE）协议允许一组超过 2 个的参与方在不安全的网络上通信并生成一个共同的秘密密钥，即会话密钥。静态群组密钥交换（SGKE）协议包含一个长期密钥生成算法和一个群组设置协议。而动态群组密钥交换（DGKE）协议除了长期密钥生成算法外，还包括设置协议、加入协议和离开协议，后两者能更高效地改变现有群组的成员，而无需重新运行群组设置协议。

GKE 协议的主要目标是确保只有群组成员知道共享密钥，防止密钥信息泄露给外部的被动或主动攻击者。对于动态群组密钥交换，加入和离开协议需要保证每次成员变更时更新会话密钥，以实现向后安全（后续会话不受离开成员的影响）和向前安全（先前会话不受加入成员的影响）。

与两方或静态群组协议相比，动态群组协议有以下不同：
1. 动态环境中，诚实方在不同会话中的状态信息可能相关，使得在允许会话状态揭示查询时，新鲜会话的定义不那么直接。
2. 攻击者可以选择攻击一个会话，同时积极参与其他相关会话，并可能不诚实地遵循协议规范。
3. 安全的 DGKE 协议应确保过去的会话密钥即使在攻击者获取后续加入/离开会话的长期密钥和状态信息后仍然安全。

此外，群组密钥交换协议还需要考虑内部安全问题，包括相互认证和密钥控制抵抗。相互认证要求当一方在会话中做出“接受”决定时，要确保所有合作伙伴都确实参与了会话；密钥控制抵抗则要求协议能防止部分用户控制会话密钥的任何部分。

相关工作

• 两方密钥交换协议在过去三十年中得到了广泛研究，许多高效且可证明安全的协议已在实际中部署。
• 早期的群组密钥交换协议将两方密钥交换扩展到多方