50、支持按需计算子组密钥的灵活群组密钥交换

支持按需计算子组密钥的灵活群组密钥交换

1 引言

在当今的多用户通信系统中，如即时通讯工具、社交网络平台和协作工作应用程序，用户可以在不同子集间灵活地进行数据通信和交换。传统的群组密钥交换（GKE）协议虽能为多方通信提供安全保障，但在复杂的多用户场景下，其性能和可扩展性存在明显局限。因为每次新的通信会话都需要单独执行一次协议。

为解决这一问题，人们提出了更灵活的GKE协议。例如，Manulis提出的GKE + P协议，允许在计算群组密钥的同时，按需为任意两个用户生成独立的对等（p2p）密钥。在此基础上，我们进一步探索了更广义和灵活的方法，即GKE + S协议，它能为初始GKE参与者的任意子组计算独立的会话密钥。

GKE + S协议面临着额外的安全挑战，如在某些子组密钥泄露的情况下，仍需保证群组密钥的保密性，同时要处理来自子组外部但参与公共群组密钥初步计算过程的各方的（勾结）攻击。

2 预备知识和背景

2.1 符号和假设

• (G := ⟨g⟩)：表示一个由 (g) 生成的素数阶 (Q) 的循环群。
• (H_g, H_p, H_s : {0, 1}^* \to {0, 1}^\kappa)：三个密码哈希函数，分别用于推导群组、p2p和子组密钥。
• (H : G \to {0, 1}^\kappa)：辅助哈希函数，用于修改原始Burmester - Desmedt协议的计算。
• “(| )”：用于连接位串。
• (\Sigma = (KeyGen, Sign, Verify))：数字签名方案，假设其在选择消息攻击下是存在不