Diffie-Hellman密钥交换算法

Diffie-Hellman密钥交换算法

之前做过的一个项目中用过DH算法（Diffie-Hellman），这种密钥交换技术的目的在于使得两个用户安全地交换一个共享密钥（shared secret）以便用于以后的报文加密。

DH算法的有效性依赖于计算离散对数的难度。简言之，可以如下定义离散对数：首先定义一个素数p的原根，为其各次幂产生从1 到p-1的所有整数根，也就是说，如果g是素数p的一个原根，那么数值

g mod p, g² mod p, ..., g^p-1 mod p

是各不相同的整数，并且以某种排列方式组成了从1到p-1的所有整数。

对于一个整数b和素数p的一个原根g，可以找到惟一的指数i，使得

b = gⁱ mod p     其中0 ≤ i ≤ (p-1)

指数 i 称为b的以g为基数的模p的离散对数或者指数。该值被记为ind_{g ,p}(b)。

下面是DH算法的原理：

有两个全局公开的参数，一个素数p和一个整数g，g是p的一个原根。

服务端的私钥和公钥分别是a和A，客户端的私钥和公钥分别是b和B；

服务端根据a、p、g，可以计算出公钥A；

服务端将g, p, A明文传送给客户端，客户端可以计算自己的公钥B，以及共享密钥K；

客户端将B明文发送给服务端，服务端也可以计算出共享密钥K。

具体如下图：

根据上述流程，客户端于服务端之间明文传输的是g、p、A、B，然后双方就可以得到一个同样的共享密钥K，并以K对后续要传输的数据进行对称加密、解密即可。

由于计算K需要一方的私钥和另一方的公钥，所以理论上，只要双方的私钥a、b不被第三方知道，这个共享密钥K就是安全可用的。

DH算法具有两个吸引力的特征：

1. 仅当需要时才生成密钥，减小了将密钥存储很长一段时间而致使遭受攻击的机会；
2. 除对全局参数的约定外，密钥交换不需要事先存在的基础结构；

然而，该技术也存在许多不足：

1. 没有提供双方身份的任何信息；
2. 计算密集性，因此容易遭受阻塞性攻击，即对手请求大量的密钥。受攻击者花费了相对多的计算资源来求解无用的幂系数而不是在做真正的工作；
3. 没办法防止重演攻击；
4. 容易遭受中间人的攻击。第三方C在和A通信时扮演B；和B通信时扮演A。A和B都与C协商了一个密钥，然后C就可以监听和传递通信量。中间人的攻击按如下进行：

• B在给A的报文中发送他的公开密钥Y_B。
• C截获并解析该报文。C将B的公钥保存下来并给A发送报文，该报文具有B的用户ID但使用C的公钥Y_C，但仍按照好像是来自B的样子被发送出去。A收到C的报文后，将Y_C和B的用户ID存储在一块。类似地，C使用Y_C向B发送好像来自A的报文。
• B基于私钥X_B和Y_C计算共享密钥K_1，A基于私钥X_A和Y_C计算共享密钥K_2，C使用私钥X_C和Y_B计算K₁，并使用X_C和Y_A计算K₂。
• 从现在开始，C就可以转发A发给B的报文或转发B发给A的报文，在途中根据需要修改它们的密文。使得A和B都不知道他们在和C共享通信。

Oakley算法是对Diffie-Hellman密钥交换算法的优化，它保留了后者的优点，同时克服了其弱点。

Oakley算法具有五个重要特征：

1、它采用称为cookie程序的机制来对抗阻塞攻击。

2、它使得双方能够协商一个全局参数集合。

3、它使用了现时来保证抵抗重演攻击。

4、它能够交换Diffie-Hellman公开密钥。

5、它对Diffie-Hellman交换进行鉴别以对抗中间人的攻击。

Oakley可以使用三个不同的鉴别方法：

1、数字签名：通过签署一个相互可以获得的散列代码来对交换进行鉴别；每一方都使用自己的私钥对散列代码加密。散列代码是在一些重要参数上生成的，如用户ID和现时。

2、公开密钥加密：通过使用发送者的私钥对诸如ID和现时等参数进行加密来鉴别交换。

3、对称密钥加密：通过使用某种共享密钥对交换参数进行对称加密，实现交换的鉴别。