RFC 9180 - Hybrid Public Key Encryption (Chiffrement à clé publique hybride)

• Statut: Informational
• Publié: February 2022
• Stream: IRTF
• Errata: Pas d'errata

---

Abstract (Résumé)

Ce document décrit un schéma de chiffrement à clé publique hybride (HPKE). Ce schéma fournit une variante du chiffrement à clé publique de textes en clair de taille arbitraire pour une clé publique de destinataire. Il inclut également trois variantes authentifiées, dont une qui authentifie la possession d'une clé pré-partagée et deux variantes optionnelles qui authentifient la possession d'une clé privée de mécanisme d'encapsulation de clé (KEM). HPKE fonctionne pour toute combinaison d'un KEM asymétrique, d'une fonction de dérivation de clé (KDF) et d'une fonction de chiffrement authentifié avec données associées (AEAD). Certaines variantes authentifiées peuvent ne pas être supportées par tous les KEM. Nous fournissons des instanciations du schéma utilisant des primitives largement utilisées et efficaces, telles que l'accord de clés Diffie-Hellman sur courbe elliptique (ECDH), la fonction de dérivation de clé basée sur HMAC (HKDF) et SHA2.

Ce document est un produit du Crypto Forum Research Group (CFRG) de l'IRTF.

Status of This Memo (Statut de ce mémo)

Ce document n'est pas une spécification de la piste des normes Internet; il est publié à des fins d'information.

Ce document est un produit de l'Internet Research Task Force (IRTF). L'IRTF publie les résultats des activités de recherche et de développement liées à Internet. Ces résultats peuvent ne pas convenir au déploiement. Ce RFC représente le consensus du Crypto Forum Research Group de l'Internet Research Task Force (IRTF). Les documents approuvés pour publication par l'IRSG ne sont pas candidats à un quelconque niveau de norme Internet; voir la section 2 de la RFC 7841.

Les informations sur l'état actuel de ce document, les errata éventuels et la manière de fournir des commentaires peuvent être obtenues à l'adresse https://www.rfc-editor.org/info/rfc9180.

Copyright Notice (Avis de droit d'auteur)

Copyright (c) 2022 IETF Trust et les personnes identifiées comme auteurs du document. Tous droits réservés.

Ce document est soumis au BCP 78 et aux dispositions légales de l'IETF Trust relatives aux documents IETF (https://trustee.ietf.org/license-info) en vigueur à la date de publication de ce document. Veuillez examiner attentivement ces documents, car ils décrivent vos droits et restrictions concernant ce document.

Contents

• 1. Introduction
• 2. Requirements Notation
• 3. Notation
• 4. Cryptographic Dependencies
  • 4.1 DH-Based KEM (DHKEM)
• 5. Hybrid Public Key Encryption
  • 5.1 Creating the Encryption Context
    • 5.1.1 Encryption to a Public Key
    • 5.1.2 Authentication Using a Pre-Shared Key
    • 5.1.3 Authentication Using an Asymmetric Key
    • 5.1.4 Authentication Using Both a PSK and an Asymmetric Key
  • 5.2 Encryption and Decryption
  • 5.3 Secret Export
• 6. Single-Shot APIs
  • 6.1 Encryption and Decryption
  • 6.2 Secret Export
• 7. Algorithm Identifiers
  • 7.1 Key Encapsulation Mechanisms (KEMs)
    • 7.1.1 SerializePublicKey and DeserializePublicKey
    • 7.1.2 SerializePrivateKey and DeserializePrivateKey
    • 7.1.3 DeriveKeyPair
    • 7.1.4 Validation of Inputs and Outputs
    • 7.1.5 Future KEMs
  • 7.2 Key Derivation Functions (KDFs)
    • 7.2.1 Input Length Restrictions
  • 7.3 Authenticated Encryption with Associated Data (AEAD) Functions
• 8. API Considerations
  • 8.1 Auxiliary Authenticated Application Information
  • 8.2 Errors
• 9. Security Considerations
  • 9.1 Security Properties
    • 9.1.1 Key-Compromise Impersonation
    • 9.1.2 Computational Analysis
    • 9.1.3 Post-Quantum Security
  • 9.2 Security Requirements on a KEM Used within HPKE
    • 9.2.1 Encap/Decap Interface
    • 9.2.2 AuthEncap/AuthDecap Interface
    • 9.2.3 KEM Key Reuse
  • 9.3 Security Requirements on a KDF
  • 9.4 Security Requirements on an AEAD
  • 9.5 Pre-Shared Key Recommendations
  • 9.6 Domain Separation
  • 9.7 Application Embedding and Non-Goals
    • 9.7.1 Message Order and Message Loss
    • 9.7.2 Downgrade Prevention
    • 9.7.3 Replay Protection
    • 9.7.4 Forward Secrecy
    • 9.7.5 Bad Ephemeral Randomness
    • 9.7.6 Hiding Plaintext Length
  • 9.8 Bidirectional Encryption
  • 9.9 Metadata Protection
• 10. Message Encoding
• 11. IANA Considerations
  • 11.1 KEM Identifiers
  • 11.2 KDF Identifiers
  • 11.3 AEAD Identifiers
• 12. References
  • 12.1 Normative References
  • 12.2 Informative References
• Appendix A. Test Vectors
  • A.1 DHKEM(X25519, HKDF-SHA256), HKDF-SHA256, AES-128-GCM
  • A.2 DHKEM(X25519, HKDF-SHA256), HKDF-SHA256, ChaCha20Poly1305
  • A.3 DHKEM(P-256, HKDF-SHA256), HKDF-SHA256, AES-128-GCM
  • A.4 DHKEM(P-256, HKDF-SHA256), HKDF-SHA512, AES-128-GCM
  • A.5 DHKEM(P-256, HKDF-SHA256), HKDF-SHA256, ChaCha20Poly1305
  • A.6 DHKEM(P-521, HKDF-SHA512), HKDF-SHA512, AES-256-GCM
  • A.7 DHKEM(X25519, HKDF-SHA256), HKDF-SHA256, Export-Only AEAD
• Acknowledgements
• Authors' Addresses