65、密码学中的密钥交换与函数秘密共享技术解析

密码学中的密钥交换与函数秘密共享技术解析

1. 密钥交换协议相关研究

1.1 OCAKE - ElGamal 与 OEKE

在密码学的密钥交换研究中，OCAKE - ElGamal 与 OEKE 存在着紧密的联系。当将基于 ElGamal 的密钥封装机制（KEM）应用于相关场景时，OCAKE - ElGamal 恰好等同于 OEKE。然而，若要严格遵循 OEKE 的框架，会面临一些难题。例如，像 OEKE 那样移除公钥（pk）上的加密而仅保留密文（c）上的加密是不可行的。因为这需要一个完全匿名的 KEM，否则客户端可能会利用解密时构造错误的加密间隙进行子集攻击。而且，在量子安全的 KEM 背景下，目前没有一种能实现完全匿名，所以严格的 OEKE 框架在长期可用性方面并非理想选择。

1.2 协议安全性问题

此协议仅对静态腐败具有安全性。若攻击者能进行自适应腐败，可在客户端计算解封装（Decaps）之前，在其接收到（c, Auth）时对客户端进行腐败。由于解封装需要私钥（sk）且意味着不会进行擦除操作，攻击者就能获取 sk。知晓 sk 后，攻击者很容易区分随机生成的 c 和诚实构造的 c，从而在上述证明中区分模拟情况。不过，之后添加客户端认证以实现相互认证是完全可行的。在会话密钥推导之前的证明中，广泛使用了各种技巧来提取私有信息或发送难以区分的随机元素。所以，客户端要么发送诚实的认证，要么发送完全难以区分的认证，要么发送可识别的错误认证。

1.3 Crystals - Kyber 的安全特性

1.3.1 不可区分性

Crystals - Kyber 具有不可区分性，对于参数（k, η, q