43、单通 HMQV 与非对称密钥封装技术解析

单通 HMQV 与非对称密钥封装技术解析

1. HOMQV 优势概述

HOMQV 在诸如存储密钥封装等应用中具有显著优势，与 DHIES 相比，其开销极小。对于发送方 Bob 而言，几乎没有额外成本，仅需将 Diffie - Hellman 值计算为 σ = Ay + be，而非 σ = Ay。这仅涉及额外的哈希运算（计算 e）以及模群阶的加法和乘法，无需额外的指数运算。对于接收方，会有额外的 1/2 次指数运算，因为现在需将 Diffie - Hellman 值计算为 σ = (YBe)a，而非 σ = Ya。同时，HOMQV 和 DHIES 都需要检查元素是否属于素数阶子群，不过在后续部分会介绍如何避免此检查。

2. 单通密钥交换协议的安全模型

将 Canetti - Krawczyk (CK) 安全模型专门应用于单通密钥交换协议。在一个连接各方的网络中运行密钥交换 (KE) 协议，每个参与方可以启动协议的一个实例，即会话。在会话期间，参与方创建并维护会话状态，可发送和接收消息，最终通过输出会话密钥并擦除会话状态来完成会话，会话也可能在未生成会话密钥的情况下中止。

会话相关信息如下：
- 持有者或所有者 ：会话所在的参与方。
- 对等方 ：与该会话建立会话密钥的参与方，在单通协议中，对等方要么是发送方，要么是接收方。
- 会话标识符 ：假设会话总是以预期对等方的名称激活，会话标识符是三元组 ( ˆB, ˆA, Y )，其中 ˆB 是发送方身份， ˆA 是接收方身份，Y 是协议中发送的消息。具有相同标识符的两个会