27、密码学中的Diffie - Hellman与椭圆曲线技术解析

密码学中的Diffie - Hellman与椭圆曲线技术解析

1. Diffie - Hellman协议相关

在Diffie - Hellman（DH）协议中，存在着多种不同的实现和潜在问题。

1.1 MQV协议

MQV协议是一种改进的DH协议。在MQV中，Bob计算((A × XA)^b + yB)的结果，经验证，该结果与Alice计算的值相等，二者都得到(g^{(b + yB)(a + xA)})，这表明Alice和Bob共享相同的秘密。
与认证的DH协议不同，MQV不会因临时秘密的泄露而被破解。即使攻击者知道(a)或(b)，也无法确定最终的共享秘密，因为计算该秘密还需要长期私钥。
然而，在长期密钥被泄露的攻击模型下，MQV的安全性会受到挑战。例如，Eve拦截Alice的消息(A)并替换为自己选择的(A = g^a)，同时记录Bob发送给Alice的(B)值。如果Eve之后获取了Alice的长期私钥(x)，就能确定Bob在该会话中计算的密钥，这破坏了前向保密性。不过，通过密钥确认步骤可以消除这种风险，即让Alice和Bob意识到他们没有共享相同的密钥，从而在导出会话密钥之前中止协议。
尽管MQV具有优雅性和安全性，但在实践中很少使用。一是因为它曾受专利限制，阻碍了广泛应用；二是在实践中正确实现MQV比看起来更难，与简单的认证DH相比，其安全性优势常被认为不足以弥补增加的复杂性。

1.2 DH协议常见问题

• 未对共享秘密进行哈希处理 ：DH会话交换结束时得到的共享秘密（如(g^{ab})），只是用于推导会话密钥的输入，本身并非密钥。对称密钥应具有随机性