26、具有紧密安全性的签名Diffie - Hellman密钥交换

具有紧密安全性的签名Diffie - Hellman密钥交换

1. 可验证密钥交换协议与相关假设

可验证密钥交换（VKE）协议可以对上述方法进行抽象。大致而言，VKE协议首先具有被动安全性，即被动观察者无法计算出秘密会话密钥。此外，VKE允许攻击者检查会话密钥是否属于某个诚实生成的会话，并以不同顺序转发诚实生成的记录以创建不匹配的会话。VKE概念为签名DH协议提供了紧密的安全性证明。

在强CDH假设方面，VKE协议的安全性需要强CDH假设。若不使用通用群模型（GGM），可以使用孪生技术去除该强假设，将VKE安全性紧密基于标准CDH假设，但这会使群元素数量翻倍。或者，使用带符号二次剩余（QR）群实例化VKE协议，此时VKE安全性紧密基于因子分解假设。

2. 现实世界影响

签名DH协议是许多现实世界协议的坚实基础，如TLS 1.3、IKE和Station - to - Station协议。该方法可自然扩展以加强这些协议的安全性证明。VKE协议概念可抽象出TLS 1.3近期紧密证明中的一些关键步骤。

紧密安全性证明的另一个实际好处是，即使使用标准化的非紧密签名方案（如Ed25519或RSA - PKCS #1 v1.5）实现底层签名，也无需损失与会话数量成线性关系的额外因子。

3. 协议比较

将基于紧密证明的签名DH协议实例与现有显式认证密钥交换协议进行比较。所有这些协议若要实现完全紧密性，都需要其底层签名方案具有紧密的多用户安全性。使用Diemert等人提出的高效签名方案实现所有协议的签名，该方案的签名包含3个Zp元素，安全性基于DDH假设。