形式陈述

在循环群 $G=\langle g\rangle$$G=⟨g⟩$ 中，Alice 选随机 $a$$a$ 发布 $g^a$$g^a$，Bob 选 $b$$b$ 发布 $g^b$$g^b$，双方分别计算 $(g^b)^a=(g^a)^b=g^{ab}$$(g^b{)}^a=(g^a{)}^b=g^{ab}$。被动安全通常依赖计算或判定 Diffie–Hellman 假设及密钥派生函数。基础协议不认证身份，主动中间人可分别与两端建立不同密钥。

直觉

双方公开各自一次幂，却利用指数乘法交换性得到同一二次组合；旁观者缺少指数，难以重建共享值。

例子与边界

有限域乘法群和椭圆曲线群都可实例化。群参数必须避免小子群和无效点攻击，临时指数应随机并保密。静态 DH、临时 DH 和混合协议提供不同前向保密与认证性质。离散对数困难不总自动等价于 CDH 或 DDH 困难。

推论与应用

Diffie–Hellman 是 TLS、SSH、Signal 等协议密钥协商的基础构件。

参考资料

• Whitfield Diffie and Martin E. Hellman, New Directions in Cryptography, IEEE Transactions on Information Theory 22(6), 1976，pp. 644–654。
• Jonathan Katz and Yehuda Lindell, Introduction to Modern Cryptography, 3rd ed., CRC Press, 2020，Chs. 2–12。