RFC 9180 - Hybrid Public Key Encryption (Hybride Public-Key-Verschlüsselung)

• Status: Informational
• Veröffentlicht: February 2022
• Stream: IRTF
• Errata: Keine Errata

---

Abstract (Zusammenfassung)

Dieses Dokument beschreibt ein Schema für hybride Public-Key-Verschlüsselung (HPKE). Dieses Schema bietet eine Variante der Public-Key-Verschlüsselung von Klartexten beliebiger Größe für einen öffentlichen Empfängerschlüssel. Es umfasst auch drei authentifizierte Varianten, darunter eine, die den Besitz eines vorgeteilten Schlüssels authentifiziert, und zwei optionale, die den Besitz eines privaten Schlüssels für den Schlüssel-Kapselungsmechanismus (KEM) authentifizieren. HPKE funktioniert für jede Kombination aus einem asymmetrischen KEM, einer Schlüsselableitungsfunktion (KDF) und einer authentifizierten Verschlüsselung mit zusätzlichen Daten (AEAD). Einige authentifizierte Varianten werden möglicherweise nicht von allen KEMs unterstützt. Wir stellen Instanziierungen des Schemas unter Verwendung weit verbreiteter und effizienter Primitive bereit, wie z.B. Elliptic Curve Diffie-Hellman (ECDH) Schlüsselaustausch, HMAC-basierte Schlüsselableitungsfunktion (HKDF) und SHA2.

Dieses Dokument ist ein Produkt der Crypto Forum Research Group (CFRG) in der IRTF.

Status of This Memo (Status dieses Memorandums)

Dieses Dokument ist keine Internet Standards Track-Spezifikation; es wird zu Informationszwecken veröffentlicht.

Dieses Dokument ist ein Produkt der Internet Research Task Force (IRTF). Die IRTF veröffentlicht die Ergebnisse von Internet-bezogenen Forschungs- und Entwicklungsaktivitäten. Diese Ergebnisse sind möglicherweise nicht für den Einsatz geeignet. Dieses RFC repräsentiert den Konsens der Crypto Forum Research Group der Internet Research Task Force (IRTF). Von der IRSG zur Veröffentlichung genehmigte Dokumente sind keine Kandidaten für irgendeine Ebene des Internet-Standards; siehe Abschnitt 2 von RFC 7841.

Informationen über den aktuellen Status dieses Dokuments, eventuelle Errata und wie Feedback gegeben werden kann, sind unter https://www.rfc-editor.org/info/rfc9180 erhältlich.

Copyright Notice (Urheberrechtserklärung)

Copyright (c) 2022 IETF Trust und die als Dokumentautoren identifizierten Personen. Alle Rechte vorbehalten.

Dieses Dokument unterliegt BCP 78 und den rechtlichen Bestimmungen des IETF Trust in Bezug auf IETF-Dokumente (https://trustee.ietf.org/license-info), die zum Zeitpunkt der Veröffentlichung dieses Dokuments in Kraft sind. Bitte lesen Sie diese Dokumente sorgfältig durch, da sie Ihre Rechte und Einschränkungen in Bezug auf dieses Dokument beschreiben.

Contents

• 1. Introduction (Einführung)
• 2. Requirements Notation (Anforderungsnotation)
• 3. Notation
• 4. Cryptographic Dependencies (Kryptografische Abhängigkeiten)
  • 4.1 DH-Based KEM (DHKEM)
• 5. Hybrid Public Key Encryption (Hybride Public-Key-Verschlüsselung)
  • 5.1 Creating the Encryption Context (Erstellen des Verschlüsselungskontexts)
    • 5.1.1 Encryption to a Public Key (Verschlüsselung zu einem öffentlichen Schlüssel)
    • 5.1.2 Authentication Using a Pre-Shared Key (Authentifizierung mit einem vorgeteilten Schlüssel)
    • 5.1.3 Authentication Using an Asymmetric Key (Authentifizierung mit einem asymmetrischen Schlüssel)
    • 5.1.4 Authentication Using Both a PSK and an Asymmetric Key (Authentifizierung mit PSK und asymmetrischem Schlüssel)
  • 5.2 Encryption and Decryption (Verschlüsselung und Entschlüsselung)
  • 5.3 Secret Export (Geheimnis-Export)
• 6. Single-Shot APIs
  • 6.1 Encryption and Decryption (Verschlüsselung und Entschlüsselung)
  • 6.2 Secret Export (Geheimnis-Export)
• 7. Algorithm Identifiers (Algorithmus-Identifikatoren)
  • 7.1 Key Encapsulation Mechanisms (KEMs) (Schlüssel-Kapselungsmechanismen)
    • 7.1.1 SerializePublicKey and DeserializePublicKey
    • 7.1.2 SerializePrivateKey and DeserializePrivateKey
    • 7.1.3 DeriveKeyPair
    • 7.1.4 Validation of Inputs and Outputs
    • 7.1.5 Future KEMs
  • 7.2 Key Derivation Functions (KDFs) (Schlüsselableitungsfunktionen)
    • 7.2.1 Input Length Restrictions
  • 7.3 Authenticated Encryption with Associated Data (AEAD) Functions (Authentifizierte Verschlüsselung mit zusätzlichen Daten)
• 8. API Considerations (API-Überlegungen)
  • 8.1 Auxiliary Authenticated Application Information (Zusätzliche authentifizierte Anwendungsinformationen)
  • 8.2 Errors (Fehler)
• 9. Security Considerations (Sicherheitsüberlegungen)
  • 9.1 Security Properties (Sicherheitseigenschaften)
    • 9.1.1 Key-Compromise Impersonation
    • 9.1.2 Computational Analysis
    • 9.1.3 Post-Quantum Security
  • 9.2 Security Requirements on a KEM Used within HPKE
    • 9.2.1 Encap/Decap Interface
    • 9.2.2 AuthEncap/AuthDecap Interface
    • 9.2.3 KEM Key Reuse
  • 9.3 Security Requirements on a KDF
  • 9.4 Security Requirements on an AEAD
  • 9.5 Pre-Shared Key Recommendations
  • 9.6 Domain Separation
  • 9.7 Application Embedding and Non-Goals
    • 9.7.1 Message Order and Message Loss
    • 9.7.2 Downgrade Prevention
    • 9.7.3 Replay Protection
    • 9.7.4 Forward Secrecy
    • 9.7.5 Bad Ephemeral Randomness
    • 9.7.6 Hiding Plaintext Length
  • 9.8 Bidirectional Encryption
  • 9.9 Metadata Protection
• 10. Message Encoding (Nachrichtencodierung)
• 11. IANA Considerations (IANA-Überlegungen)
  • 11.1 KEM Identifiers
  • 11.2 KDF Identifiers
  • 11.3 AEAD Identifiers
• 12. References (Referenzen)
  • 12.1 Normative References (Normative Referenzen)
  • 12.2 Informative References (Informative Referenzen)
• Appendix A. Test Vectors (Testvektoren)
  • A.1 DHKEM(X25519, HKDF-SHA256), HKDF-SHA256, AES-128-GCM
  • A.2 DHKEM(X25519, HKDF-SHA256), HKDF-SHA256, ChaCha20Poly1305
  • A.3 DHKEM(P-256, HKDF-SHA256), HKDF-SHA256, AES-128-GCM
  • A.4 DHKEM(P-256, HKDF-SHA256), HKDF-SHA512, AES-128-GCM
  • A.5 DHKEM(P-256, HKDF-SHA256), HKDF-SHA256, ChaCha20Poly1305
  • A.6 DHKEM(P-521, HKDF-SHA512), HKDF-SHA512, AES-256-GCM
  • A.7 DHKEM(X25519, HKDF-SHA256), HKDF-SHA256, Export-Only AEAD
• Acknowledgements (Danksagungen)
• Authors' Addresses (Adressen der Autoren)