19、基于游戏的群组密钥交换安全模型解析

基于游戏的群组密钥交换安全模型解析

1. 术语与安全模型基础

在群组密钥交换（GKE）领域，存在一些常用术语的替代表述。例如，本地实例有时被称作进程、本地会话，甚至（容易引起误解地）被称为预言机；群组密钥有时被叫做会话密钥；参与方有时被称为用户。

GKE 的安全模型通常基于游戏。攻击者与挑战者进行一场游戏，挑战者模拟 GKE 方案的多个并行真实全局会话。攻击者面临的挑战是判断一个挑战密钥是在模拟的全局会话中建立的真实群组密钥，还是一个随机密钥。为了解决这个挑战，攻击者可以通过密钥揭示预言机获取独立计算的群组密钥，通过状态暴露预言机获取不会使挑战简单解决的实例的临时本地秘密状态，还可以通过腐败预言机获取不会轻易使挑战无效的静态参与方秘密。虽然 GKE 相关文献在这些高层次概念上达成了共识，但在具体实现细节上却存在多种不兼容的方式。

2. 语法定义分类

对 GKE 模型进行建模，首先要确定其语法，即可用的算法集合、它们的输入和输出。我们根据最重要的语法设计选择类别对所考虑的 GKE 模型进行了分类，主要包括以下几个方面：
- 数量限制 ：涉及支持的参与方、会话和实例的数量限制。
- 设置假设 ：关于可用基础设施的假设，如公钥基础设施（PKI）的存在。
- 操作类型 ：协议实现的操作类型，如添加用户、移除用户、刷新密钥等。
- 返回信息 ：协议提供给调用应用程序的信息，如组成员集合、会话标识符等。

具体分类情况如下表所示：
| Syntax |