4、基于因子分解假设的认证密钥交换协议

基于因子分解假设的认证密钥交换协议

1. 引言

密钥交换协议允许双方（如 Alice 和 Bob）通过不安全的信道建立共享会话密钥。经典的 Diffie - Hellman（DH）密钥交换协议中，设 $G = \langle g\rangle$ 是一个素数阶 $q$ 的循环群，交换消息为 $X = g^x$，$Y = g^y$，最终会话密钥通常为 $H(g^{xy})$ 形式。不过，DH 协议仅对被动攻击者安全，易受主动中间人攻击。因此，众多研究致力于设计能抵御主动攻击者的认证密钥交换协议。

2. 相关概念

• 带符号二次剩余（Signed Quadratic Residues） ：Hofheinz 等人引入了带符号二次剩余群 $QR^+_N$。这是一个“间隙群”，群成员资格可公开验证，而计算平方根问题等价于对 $N$ 进行因子分解。在 $QR^+_N$ 群中，强 Diffie - Hellman（SDH）问题可由因子分解假设推出。例如，Hofheinz 等人重新分析了原本基于 $Z^*_p$ 素数阶子群的 Hybrid ElGamal 加密方案，表明在 $QR^+_N$ 上的 Hybrid ElGamal 在随机预言模型下基于因子分解假设是 CCA 安全的，且方案本身无需改变。
• 使用 $QR^+_N$ 群的认证密钥交换协议问题 ：自然会思考能否用 $QR^+_N$ 群在因子分解假设下设计认证密钥交换协议，特别是在强安全模型（如 eCK 模型）中。例如，一个密钥推导函数为 $k = H(Z_1, Z_2, Z_3, Z_4, X, Y, \hat{A}, \hat{B