Diffie–Hellman 密钥交换

Diffie–Hellman 让双方公开交换各自的一次幂 $g^a,g^b$，再利用指数乘法的交换性，以私有指数计算同一个二次组合 $g^{ab}$。群、生成元与参数验证属于具体协议条件；底层计算假设只覆盖其游戏授予的 PPT 对手能力，不会因为公开值“看不出规律”而自动成立。原始协议只建立共享秘密，不认证对方身份，因此会遭中间人分别协商两个密钥。

有限域乘法群和椭圆曲线群都可实例化。群参数必须避免小子群和无效点攻击，临时指数应随机并保密。静态 DH、临时 DH 和混合协议提供不同前向保密与认证性质。离散对数、CDH 与 DDH 是不同任务；尤其带高效配对的群可能让 DDH 易判而 CDH 仍被假设困难。

在模 $23$ 乘法群中取 $g=5$，Alice 选 $a=6$ 得公开值 $5^{6}mod23=8$，Bob 选 $b=15$ 得 $19$。Alice 算 ${19}^{6}mod23=2$，Bob 算 $8^{15}mod23=2$，得到相同共享值；现实中再经 KDF 派生会话密钥。

小群只是演示，毫无安全性。未验证群元素可能遭小子群攻击；静态密钥、临时密钥和签名绑定决定认证与前向保密属性。共享群元素不应直接当作多个用途的密钥。

Diffie–Hellman 是重要的密钥协商原语，也是 TLS、SSH、Signal 等协议的基础构件，安全证明常使用 计算安全理路计算安全Computational security仅要求任何资源受限攻击者的成功优势足够小的安全概念。 假设。与 数字签名理路数字签名Digital signature由私钥签名、公开验证并提供不可伪造性的认证机制。 或预共享认证结合可阻止中间人，TLS 等协议采用临时椭圆曲线 DH 获得前向保密。

把共享群值接到会话时，认证握手transcript理路认证握手与transcript绑定Authenticated handshake transcript · Authenticated key exchange transcript将一次握手定义成带角色与身份的局部会话，用完整transcript绑定临时公钥、版本和对端，并区分认证匹配与密钥保密。绑定临时公钥、双方身份、版本与角色，HKDF理路HKDF的提取与扩展HKDF · HKDF extract-and-expand分开输入材料净化与带上下文扩展，明确salt、info和长度的职责，以RFC5869向量复算PRK与两块OKM。分别处理提取与用途扩展。前向保密与擦除理路前向保密与秘密擦除Forward secrecy and erasure · Post-session long-term key compromise用会后长期密钥泄漏的测试游戏限定前向保密，区分临时秘密、会话密钥和认证密钥，并说明擦除与备份是必要实现假设。另行限定会后长期密钥泄漏；本页的被动CDH/DDH接口不自动提供这些主动认证和状态保证。