密钥交换与混合加密

对称加密要求双方在进行安全通信之前共享同一个密钥。但是，如果双方还没有安全信道，应该如何安全地共享该密钥呢？这个密钥分发问题直到 1976 年才被解决，当时 Whitfield Diffie 和 Martin Hellman 发表了一篇具有革命性意义的论文。他们提出的解决方案——Diffie-Hellman 密钥交换——允许双方通过不安全信道建立共享密钥，而无需传输密钥本身，即使窃听者可以看到整个通信过程也无法获取密钥。

Diffie-Hellman（DH）利用了基于离散对数问题的巧妙数学方法。双方先就两个公开值达成一致（一个较大的质数 p 和一个生成元 g）。每一方生成一个私有随机数，根据该随机数计算出一个公开值，然后交换公开值。此后，每一方都可以利用自己的私有数和对方的公开值计算出相同的共享密钥；但只能看到公开值的窃听者，必须解决离散对数问题才能计算共享密钥，而对于较大的数，这在计算上是无法实际完成的。

椭圆曲线 Diffie-Hellman（ECDH）是 Diffie-Hellman 密钥交换的现代高效变体。它使用椭圆曲线数学，而不是模幂运算，以更小的参数实现相同级别的安全性。256 位 ECDH 密钥提供的安全性相当于 3072 位 DH 密钥。ECDHE（其中的“E”代表 Ephemeral）会为每个会话生成新的密钥对，从而提供完美前向保密。TLS 1.3 强制要求使用 ECDHE 进行密钥交换，使其成为现代 Web 安全中占主导地位的密钥交换机制。

完美前向保密（PFS）可以确保即使服务器的长期私钥日后被窃取，会话密钥也不会因此泄露。PFS 通过在每次会话的密钥交换中使用临时密钥对来实现——会话密钥由一个临时密钥对派生而来，会话结束后该密钥对会被丢弃。如果没有 PFS（而是使用 RSA 密钥交换），攻击者可以先记录今天的加密流量，日后再窃取私钥，然后追溯解密所有过去的流量。有了 PFS，即使密钥遭到泄露，过去的会话仍然安全。

Hybrid 加密结合非对称密码学与对称密码学，同时实现非对称加密在key 管理方面的优势和对称加密的性能优势。具体过程如下：(1) 生成一个随机的对称会话 key；(2) 使用此对称 key 加密大量数据（速度快）；(3) 使用接收方的公钥加密该对称 key（确保 key 传输安全）；(4) 同时发送加密数据和加密后的 key。接收方使用自己的私钥解密对称 key，然后使用恢复出的对称 key 解密数据。

TLS Handshake 是现实世界中最常见的混合加密实现。在 TLS 1.3 中：(1) 客户端发送所支持的密码套件和 key 共享值（ECDHE 公共值）；(2) 服务器返回自己的 key 共享值、certificate（其中包含其公钥）以及签名；(3) 双方通过 ECDH 计算出相同的共享密钥；(4) 后续所有流量都使用由共享密钥派生出的对称 key 进行加密（AES-256-GCM）。整个过程只需一次往返即可建立加密通道，而且不会直接传输对称 key。

现代密码学使用 Key Encapsulation Mechanisms (KEM)，以一种比直接使用非对称加密加密会话 key 更正式、更安全的方式进行密钥交换。KEM 允许一方生成一个对称 key，并使用接收方的公钥对其进行“封装”，使得只有接收方能够将其解封装（恢复出来）。NIST 的后量子标准 CRYSTALS-Kyber 是一种基于格问题而非整数分解或椭圆曲线的 KEM，因此能够抵抗量子计算机攻击。

在 TLS 1.3 之前，RSA 密钥交换很常见：客户端生成预主密钥，使用服务器的 RSA 公钥加密后发送给服务器。问题在于：这种方式不提供前向保密。如果服务器的私钥之后遭到泄露，以这种方式加密的所有历史会话都可能被解密。TLS 1.3 完全移除了 RSA 密钥交换（只允许使用 ECDHE），目的正是确保所有连接都具备前向保密。这也是为什么禁用仍允许静态 RSA 的 TLS 1.0 和 1.2，并强制使用 TLS 1.3，能够提升安全性。

Diffie-Hellman 交换产生的共享密钥不会直接用作加密 key。相反，它会被输入Key Derivation Function (KDF)，以生成实际的加密 key 和初始化向量。TLS 1.3 使用 HKDF (HMAC-based Key Derivation Function)，为两个方向的加密分别派生独立的 key。KDF 会增加计算成本（使暴力破解更加困难）、将较短的密钥扩展为所需数量的 key 字节，并确保派生出的 key 具备适合用作对称 key 的良好统计特性。

Pretty Good Privacy (PGP) 及其开源等价实现 OpenPGP 使用混合加密来保护电子邮件。当 Alice 向 Bob 发送加密邮件时：PGP 生成一个随机的对称会话 key，使用该 key 加密邮件正文（AES），使用 Bob 的 RSA 或 ECC 公钥加密会话 key，然后将两者一起发送。对于已签名的邮件，PGP 对消息进行哈希处理，并使用 Alice 的私钥对哈希值进行签名，从而提供不可否认性。PGP 的信任网模型（用户相互签署对方的 key）是基于证书颁发机构的 PKI 的一种替代方案。

Diffie-Hellman 密钥交换能够抵御被动窃听者，但如果通信双方没有相互验证身份，就容易受到主动中间人（MITM）攻击。攻击者可以截获 Alice 的公共值，替换成自己的值，并分别与 Alice 和 Bob 建立独立的 DH 会话，使双方都误以为自己正在与对方通信。这就是 TLS 将 DH 密钥交换与certificate 身份验证结合起来的原因：由受信任 CA 签署的服务器 certificate 能够证明服务器身份，从而防止攻击者在 Handshake 期间替换公钥。

在本课中，您学习了：Diffie-Hellman 通过让通信双方在不安全通道上派生共享密钥，解决了密钥交换问题；临时密钥交换算法 ECDHE 提供Perfect Forward Secrecy；混合加密结合非对称密钥交换与对称大批量数据加密，以提高效率；TLS 1.3 要求所有连接使用 ECDHE。接下来，我们将学习Certificate Authorities and Trust Chains。