39、安全组密钥交换的最小通信开销解析

安全组密钥交换的最小通信开销解析

1. 引言

在许多加密机制中，通信双方需要共享一个共同的秘密，因此密钥交换协议（KE）成为了非常重要的加密原语。对于两方通信，已经有了一些安全且高效的密钥交换协议。然而，当涉及到多方的组密钥交换协议（GKE），情况就变得复杂了。一个理想的 GKE 应该以最低的通信开销实现最高的安全目标。通信开销通常用通信轮数和消息数量来衡量，但目前对于 GKE 的最小通信开销知之甚少。

减少消息数量不仅具有理论意义，在实践中也能节省时间和能量。例如，消息交换可能比计算本身更耗时，无线发送消息的能量消耗通常也远高于计算。因此，降低通信开销的 GKE 对于资源受限的低功耗设备应用场景非常有益。

最小通信开销受多种因素影响，比如会话标识（SID）的设置方式。可以分为外部 SID GKE（由外部环境提供全局唯一的 SID）和内部 SID GKE（由组成员在协议执行过程中自行确定 SID），这会影响最小通信开销。此外，不同的安全模型和安全目标也会对其产生影响。

目前存在多种 GKE 的安全模型，如 Bresson 等人给出的第一个正式安全模型，定义了认证密钥交换（AKE）和相互认证（MA）的概念。后来，Katz 和 Shin 引入了内部攻击的概念，并在通用可组合性（UC）框架下提出了安全模型。还有一些其他的安全概念，如贡献性等。

2. 预备知识

假设存在一个固定的潜在参与方集合 P，GKE 在子集 pid = {Π1, …, Πn} ⊆ P 的成员之间执行，其中 Πi 是第 i 个参与者的 ID。每个协议执行都有一个全局唯一的会话 ID（SID）。当向诚实的参与方 Π ∈ pid 发送消息（sid, pid,