RFC 9180 - Hybrid Public Key Encryption (混合公钥加密)

• 状态: Informational
• 发布日期: February 2022
• Stream: IRTF
• 勘误: 无勘误

---

Abstract (摘要)

本文档描述了一种混合公钥加密 (HPKE) 方案.该方案提供了一种公钥加密变体, 可以使用接收者公钥对任意大小的明文进行加密.它还包括三种认证变体, 包括一种验证预共享密钥持有的变体, 以及两种可选的验证密钥封装机制 (KEM) 私钥持有的变体.HPKE 适用于非对称 KEM, 密钥派生函数 (KDF) 和带关联数据的认证加密 (AEAD) 加密函数的任意组合.某些认证变体可能不受所有 KEM 支持.我们使用广泛使用且高效的原语提供该方案的实例化, 例如椭圆曲线 Diffie-Hellman (ECDH) 密钥协商, 基于 HMAC 的密钥派生函数 (HKDF) 和 SHA2.

本文档是 IRTF 密码论坛研究组 (CFRG) 的产品.

Status of This Memo (本备忘录的状态)

本文档不是互联网标准跟踪规范, 它是为了提供信息而发布的.

本文档是互联网研究任务组 (IRTF) 的产品.IRTF 发布与互联网相关的研究和开发活动的结果.这些结果可能不适合部署.本 RFC 代表互联网研究任务组 (IRTF) 密码论坛研究组的共识.经 IRSG 批准发布的文档不是任何级别互联网标准的候选; 参见 RFC 7841 的第 2 节.

有关本文档当前状态, 任何勘误以及如何提供反馈的信息可以在 https://www.rfc-editor.org/info/rfc9180 获得.

Copyright Notice (版权声明)

Copyright (c) 2022 IETF Trust 和被确定为文档作者的人员.保留所有权利.

本文档受 BCP 78 和 IETF Trust 关于 IETF 文档的法律规定 (https://trustee.ietf.org/license-info) 的约束, 该规定在本文档发布之日生效.请仔细阅读这些文档, 因为它们描述了您对本文档的权利和限制.

Contents

• 1. Introduction (简介)
• 2. Requirements Notation (要求表示法)
• 3. Notation (符号说明)
• 4. Cryptographic Dependencies (密码学依赖)
  • 4.1 DH-Based KEM (DHKEM)
• 5. Hybrid Public Key Encryption (混合公钥加密)
  • 5.1 Creating the Encryption Context (创建加密上下文)
    • 5.1.1 Encryption to a Public Key (加密到公钥)
    • 5.1.2 Authentication Using a Pre-Shared Key (使用预共享密钥认证)
    • 5.1.3 Authentication Using an Asymmetric Key (使用非对称密钥认证)
    • 5.1.4 Authentication Using Both a PSK and an Asymmetric Key (同时使用 PSK 和非对称密钥认证)
  • 5.2 Encryption and Decryption (加密和解密)
  • 5.3 Secret Export (密钥导出)
• 6. Single-Shot APIs (单次 API)
  • 6.1 Encryption and Decryption (加密和解密)
  • 6.2 Secret Export (密钥导出)
• 7. Algorithm Identifiers (算法标识符)
  • 7.1 Key Encapsulation Mechanisms (KEMs) (密钥封装机制)
    • 7.1.1 SerializePublicKey and DeserializePublicKey
    • 7.1.2 SerializePrivateKey and DeserializePrivateKey
    • 7.1.3 DeriveKeyPair
    • 7.1.4 Validation of Inputs and Outputs
    • 7.1.5 Future KEMs
  • 7.2 Key Derivation Functions (KDFs) (密钥派生函数)
    • 7.2.1 Input Length Restrictions
  • 7.3 Authenticated Encryption with Associated Data (AEAD) Functions (带关联数据的认证加密函数)
• 8. API Considerations (API 注意事项)
  • 8.1 Auxiliary Authenticated Application Information (辅助认证应用信息)
  • 8.2 Errors (错误)
• 9. Security Considerations (安全注意事项)
  • 9.1 Security Properties (安全属性)
    • 9.1.1 Key-Compromise Impersonation
    • 9.1.2 Computational Analysis
    • 9.1.3 Post-Quantum Security
  • 9.2 Security Requirements on a KEM Used within HPKE
    • 9.2.1 Encap/Decap Interface
    • 9.2.2 AuthEncap/AuthDecap Interface
    • 9.2.3 KEM Key Reuse
  • 9.3 Security Requirements on a KDF
  • 9.4 Security Requirements on an AEAD
  • 9.5 Pre-Shared Key Recommendations
  • 9.6 Domain Separation
  • 9.7 Application Embedding and Non-Goals
    • 9.7.1 Message Order and Message Loss
    • 9.7.2 Downgrade Prevention
    • 9.7.3 Replay Protection
    • 9.7.4 Forward Secrecy
    • 9.7.5 Bad Ephemeral Randomness
    • 9.7.6 Hiding Plaintext Length
  • 9.8 Bidirectional Encryption
  • 9.9 Metadata Protection
• 10. Message Encoding (消息编码)
• 11. IANA Considerations (IANA 注意事项)
  • 11.1 KEM Identifiers
  • 11.2 KDF Identifiers
  • 11.3 AEAD Identifiers
• 12. References (参考文献)
  • 12.1 Normative References (规范性参考文献)
  • 12.2 Informative References (信息性参考文献)
• Appendix A. Test Vectors (测试向量)
  • A.1 DHKEM(X25519, HKDF-SHA256), HKDF-SHA256, AES-128-GCM
  • A.2 DHKEM(X25519, HKDF-SHA256), HKDF-SHA256, ChaCha20Poly1305
  • A.3 DHKEM(P-256, HKDF-SHA256), HKDF-SHA256, AES-128-GCM
  • A.4 DHKEM(P-256, HKDF-SHA256), HKDF-SHA512, AES-128-GCM
  • A.5 DHKEM(P-256, HKDF-SHA256), HKDF-SHA256, ChaCha20Poly1305
  • A.6 DHKEM(P-521, HKDF-SHA512), HKDF-SHA512, AES-256-GCM
  • A.7 DHKEM(X25519, HKDF-SHA256), HKDF-SHA256, Export-Only AEAD
• Acknowledgements (致谢)
• Authors' Addresses (作者地址)