Cryptography I 学习笔记 --- 密钥交换

1. 使用可信第三方（Trusted third parties）进行密钥交换。

　　a. Alice与TTP之间的密钥是K1，Bob与TTP之间的密钥是K2。

　　b. Alice向TTP发起一个与Bob交换密钥的请求。TTP生成一个随机密钥Kab，然后将Kab用K1加密，得到E1，将Kab用K2加密，得到E2。

　　c. TTP将E1与E2一起发送给Alice。Alice用K1解密E1，得到密钥Kab。

　　d. Alice再将E2发送给Bob，Bob用K2解密E2，也得到密钥Kab。

　　e. 现在Alice与Bob之间就有一个共享的密钥Kab了。

　　TTP的缺点是完全中心化，如果TTP被攻破，会导致所有传递过的密钥暴露。

2. Merkle算法

　　第一个被发明的无需依赖TTP的对称加密条件下的密钥交换算法。

　　核心思想：Alice产生n个很难的问题Q，每个问题附带一个密钥K，然后将这些问题全部转发给Bob，Bob随机挑选一个问题Qi求解，将解算的结果返回给Alice，Alice拿到Bob的运算结果后可以在常数时间内知道Bob求解的问题Qi。然后Alice与Bob就可以使用Qi所对应的密钥Ki进行通信了。攻击者不知道Bob选中的是哪个问题，必须要求解所有的问题才行，在n很大的情况下，可以认为是安全的。

　　范例：Alice创建2^32个密钥对，第i个密钥对是128bit的随机数Xi与Ki，将密钥对拼接并加入识别码，得到明文Pi（eg: Pi = "Puzzle#Xi+Ki"），将Pi用i加密，得到密文Ei。Alice在本地保存这2^32个密钥对，然后将2^32个Ei发送给Bob。Bob随机选取一个Ei，然后用0到2^32-1这2^32个密钥对Ei进行解密，如果解密后的结果是以Puzzle开头，那么认为解密成功。Bob得到 Xi与Ki，然后将Xi发回给Alice。Alice收到Xi后查表也可以得到Ki。此时Alice与Bob得到了共享密钥Ki，于是可以安全通信了。

　　缺点：这个算法并不实用，因为即使n=2^32，那么攻击者也只需要2^64次计算即可解密。如果把n设为2^64，攻击次数则上升到2^128，安全固然是安全了，但是Alice需要花太多时间来生成谜题，然后将这些谜题转发给Bob了。

3. 基于对称加密的密钥交换体系最好也只能做到平方鸿沟（quadratic gap，攻击者的时间复杂度是参与者的时间复杂度的平方）了，真正实用的不依赖于TTP的密钥交换体系，需要用到非对称密钥体系。

4. Diffie-Hellman协议

　　a. Alice或者Bob生成一个2000bit的大质数p，然后生成一个介于1到p之间的整数g，然后将p与g公开

　　b. Alice随机选择一个介于1到p-1之间的整数a，Bob随机选择一个介于1到p-1之间的整数b

　　c. Alice计算A = g^a (mod p)，Bob计算B = g^b (mod p)

　　d. Alice与Bob交换A与B

　　e. Alice与Bob之间的共享密钥是g^ab (mod p)，分别可以由B^a (mod p)与A^b (mod p)得到

　　证明：A= g^a (mod p) = g^a - k*p     ==>     A^b (mod p) = (g^a - k*p)^b (mod p)     ==>     对 (g^a - k*p)^b 做二项式展开，可以知道除了第一项为g^ab以外，其他的项都带有因数p，这些项都可以在mod p的操作中被约掉     ==>    A^b (mod p)  = g^ab (mod p)

　　如果攻击者想用从p,g,g^a,g^b计算得到gab，已知的最好算法是GNFS(General Number Field Sieve，一般数域筛法)，其时间复杂度为O^n立方根，这是一个亚指数时间复杂度算法。

　　补充：基于椭圆曲线（elliptic curve）的Diffie-Hellman协议有更强大的时间复杂度，下表是相同破解难度下的密钥长度对比

cipher key size	modulus size	elliptic curve size
80 bits	1024 bits	160 bits
128 bits	3072 bits	256 bits
256 bits(AES)	15360 bits	512 bits

5. 原始的Diffie-Hellman协议只能阻止窃听攻击，无法阻止中间人攻击

　　如果有中间人完全劫持了Alice与Bob之间的信道，Alice发送的A被中间人篡改为A'后发送给Bob，Bob发送的B被篡改为B'后发送给Alice。于是Alice认为密钥是g^b'a (mod p)，Bob认为密钥是g^a'b (mod p)。由于中间人知道a'与b'，他可以轻易的计算出这两个密钥。现在他需要做的事情只是把Alice发出的密文E_a用g^b'a (mod p)解密，即可得到明文P，再把明文用密钥g^a'b (mod p)加密后得到的密文E_b转发给Bob即可。

6. Diffie-Hellman具有非互动性，比方Alice，Bob，Charlie，David都在自己的Facebook上公开了自己的公钥(g^a,g^b,g^c,g^d)，那么如果Alice想要与David通信，她只需要去David的公共主页上看一眼他的公钥g^d，就能立刻计算出密钥g^ad，然后就能与David安全通信了。

7. 基于公钥加密算法的密钥交换体系

　　a. Alice生成一个密钥对：pk与sk，然后向Bob发布她的公钥pk

　　b. Bob接到pk后生成一个随机密钥k，然后用pk对k进行加密，得到密文E

　　c. Bob将E发送给Alice

　　d. Alice用私钥sk对E解密，即可得到k

　　e. Alice与Bob可以用k进行安全通信了

8. 这种密钥交换体系无法抵御中间人攻击。

　　如果中间人完全劫持了Alice与Bob之间的信道，他可以将Alice所发布的公钥pk替换为自己生成的密钥对（pk'与sk'）中的公钥pk'，然后将pk'发送给Bob。Bob用pk'对k加密得到E'。中间人用私钥sk'对E'解密得到k，然后再用Alice的公钥pk对k进行加密得到E，再将E回传给Alice即可。