<4D F736F F F696E74202D20BDB2D2E531392D32305FC3DCD4BFB7D6C5E4A1A2C3DCD4BFB7D6B8EE2E707074>

Size: px

Start display at page:

Download "<4D F736F F F696E74202D20BDB2D2E531392D32305FC3DCD4BFB7D6C5E4A1A2C3DCD4BFB7D6B8EE2E707074>"

笙宣
4 years ago
Views:

1 密钥分配密钥分割裴士辉 QQ:

2 密钥分配内容公开密钥的分配共享密钥的分配会话密钥的分配通过三方协议获得会话密钥通过公钥获得会话密钥通过口令获得会话密钥密钥分割 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 2

3 公开密钥的分配 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 3

4 公开密钥 Alice Bob pk[ A] x D ( y) y E ( x) y sk[ A] pk[ A] Sig ( m) Ver ( m, ) m, sk[ A] pk[ A] 只要获得 Alice 的公开密钥 pk[ A ] Bob 可以 : 向 Alice 发送密文验证 Alice 的签名那么 : 如何获得 Alice 的公开密钥 pk[ A ]? Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 4

5 公开密钥的分配这样如何 : Alice Bob ( pk[ A], sk[ A]) Alice, pk[ A] x D ( y) y E ( x) Sig y sk[ A] pk[ A] sk[ A] ( m) m, Ver (, ) [ ] m pk A Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 5

6 中间人攻击 Adversary E ( pk[ E], sk[ E]) Alice, pk[ E ] x D ( y) y E ( x) Sig y sk[ E ] pk[ E ] sk[ E ] ( m) m, Ver Bob (, ) [ ] m pk E Bob 传给 Alice 的密文可以被攻击者 E 得到并解密攻击者 E 同时可以伪造 Alice 的签名 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 6

7 PKI 中的权威性 Bob 需要 Alice 的公钥是来自权威的拷贝 PKI(Public Key Infrastructure) 负责保证公钥的权威性通常是通过数字证书来实现 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 7

8 数字证书的过程 Alice 生成公钥 pk, 然后传递给 CA CA 检查并核实 Alice 的身份的真实性 Alice 向 CA 证实其知道私钥 sk CA 向 Alice 颁发数字证书 Alice 将数字证书传递给 Bob Bob 验证数字证书, 并获得 Alice 的公钥 pk Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 8

9 生成公钥并传递给 CA 密钥的生成 :Alice 在本地生成她的密钥对 ( pk, sk) 发往 CA: Alice 传递给 CA 如下信息 : ( Alice, pk ) Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 9

10 身份的检查与核实在收到 ( Alice, pk ) 之后,CA 需要进行检查, 以证实 pk 确实是 Alice 的 : 和 Alice 通电话进行核实检查相关的证件上述检查是带外 (out-of-band) 进行的 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 10

11 Alice 向 CA 证实其知道私钥 CA 可以通过如下方法知道 Alice 拥有与公钥 pk 对应的私钥 sk : 验证 Alice 的签名用其公钥 pk 加密某些信息, 让 Alice 解密上述方法保证 Alice 不是拷贝他人的密钥 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 11

12 CA 向 Alice 颁发数字证书一旦 CA 确信公钥 pk 是属于 Alice 的,CA 生成 Alice 的数字证书 : CERTA ( CERTDATA, ) 其中是 CA 对于 CERTDATA 的签名, 使用的是 CA 的私钥 sk[ CA ] CERTDATA: pk, ID( Alice ) CA 的名称证书的有效日期使用范围安全级别然后把证书 CERT 传递给 Alice A 12

13 数字证书的使用 Alice 把证书 CERT 传递给 Bob, Bob 接到证书之后 : A ( CERTDATA, ) CERTA 使用 CA 的公钥 pk[ CA ] 对签名进行验证 : Ver ( [ ] CERTDATA, ) 1 pk CA ( pk, Alice, 有效日期, ) CERDATA 检查证书是否过期上诉过程通过, 就可以使用证书了 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 13

14 Bob 如何得到 pk[ca] CA 的公钥一般嵌入到软件之中, 例如浏览器 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 14

15 证书链 CA(USA) CA(Calf) CA(Mass) CA(SD) CERT Mihir CERT[CA(USA) :CA(Calf) ] CERT[CA(Calf) :CA(SD) ] CERT[CA(SD) : CA(UCSD) ] CERT[UCSDCA) : Mihir ] CA(UCSD) Mihir CERT[ X : Y ] ( pk[ Y ], Y,, Sig ( pk[ Y ], Y, )) sk[ X ] 为了验证 CERT Mihir,Bob 只需要 pk CA[ USA] Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 15

16 为什么使用证书链对于如下工作 : 检查 Milir 的身份并向 Milir 颁发证书 CA(UCSD) 比 CA(USA) 更适合, 因为 : Milir 是 UCSD 的教授, 并且 UCSD 掌握了很多 Milir 的相关信息分布式的身份检查和证书发放可以减少单独 CA 的工作量浏览器只需要嵌入很少的公钥 ( 例如只需要根 CA 即可 ) Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 16

17 证书的撤销如果 Alice 想要撤销她的证书 CERT, 可能因为她的私钥暴露了 Alice 传递 CERT 和撤销申请给 CA A CA 确认撤销申请确实是 Alice 提出的 CA 标志 CERT 为撤消状态 A A Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 17

18 证书撤销列表 CRLs: Certificate revocation lists CA 维护了一个 CRL, 其条目具有如下形式 : (CERT, 撤销日期 ) 列表随时发布, 任何人可以查询在 Bob 接受 Alice 的证书之前, 他需要检查一下 CRL Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 18

19 例如 11 月 22 日 :Alice 的私钥暴露了 11 月 24 日 :Alice 的数字证书 CERT 撤消了 11 月 25 日 :Bob 看到了 CRL 在 11 月日期间, 证书可能被使用,Bob 可能接受了攻击者的签名 ; 另外 Bob 发往 Alice 的密文可能被攻击者解密 A Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 19

20 OCSP OCSP: On-line Certificate Status Protocol OCSP 支持在线查询证书是否已经撤消了 Alice Bob CA CERTA CERTA ok/not 但是在线验证违背了公钥密码的初衷 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 20

21 实际中的证书撤销问题 VeriSign 估计撤销证书的比率为 20% 实际中 CRLs 是巨大的证书撤销问题是一个大问题, 它影响了 PKI 的推广以及公钥密码的使用 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 21

22 共享密钥的分配 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 22

23 共享秘钥 Alice K C M D ( C) C E ( M) K Bob T MAC M Ver M T MT, K( ) K(, ) K K Alice 和 Bob 使用共享密钥 : 互相发送加密数据验证彼此的 MACs 和公开密钥相比, 共享秘钥的优势在于计算速度但是, 如何获得共享秘钥? Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 23

24 Diffie-Hellman 密钥协商方案令 G g 表示阶为 m 的循环群, 其中 ( Ggm,, ) 为公共参数 Alice x X g x Alice, X m; Bob, Y Bob y ; Y g m y x K Y K X Y ( g ) g ( g ) X x y x xy x y y y 该方案可以在 Alice 和 Bob 之间建立共享秘钥该密钥之后可以用来加密消息, 生成 MAC. Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 24

25 对 DH 密钥协商方案的中间人攻击 Eve Bob x ; X g x Alice, X m y ; Y g Bob, Y m y x y K Y K X x D K y ( y) y E ( x) 中间人 Eve 可以假冒 Alice, 这样 : Bob 认为他与 Alice 共享秘钥 K, 实际上确是 Eve 拥有 K Bob 传给 Alice 的密文,Eve 可以解密结论 :DH 密钥交换方案在主动攻击下式不安全的 K Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 25

26 什么时候使用密钥协商方案? 如果存在中间人攻击,Alice 和 Bob 不可能做到 : 从协议开始执行到结束的整个过程通过交换信息得到攻击者不知道的共享秘钥为什么? 因为 Alice 和 Bob 没有方法区分是对方还是中间人攻击者怎么办? Alice 和 Bob 在执行密钥交换方案之前, 应该具有中间人攻击者不知道的信息即长期密钥 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 26

27 公开密钥 :A 有公开密钥长期密钥 pk B, B 有公开密钥对称密钥 :A, B 共享一个密钥 K 三方密钥 :S 为可信的第三方服务器 A, S 共享秘钥 K A B, S 共享秘钥 K B pk A Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 27

28 会话密钥 (session keys) 在实际中,Alice 和 Bob 之间会发生多次通信会话在每次会话过程中,Alice 和 Bob 需要做如下工作 : 首先基于他们的长期密钥, 执行会话密钥分配协议, 得到一个新的会话密钥在会话过程中, 使用会话密钥, 进行通信过程中加密和消息认证 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 28

29 会话密钥分配有非常多的协议数十个安全需求很多个破解的协议会话密钥分配方案容易定义, 得到正确的却很难使用的非常多 :SSL, TLS, SSH, Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 29

30 为什么使用会话密钥在效率方面, 和长期密钥相比, 速度更快从安全方面的考虑, 不同的应用使用不同的密钥, 在一个应用中不会获得其他应用的信息 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 30

31 会话密钥基本的安全要求一方可能同时处在很多不同的通信会话之中一个会话中的会话密钥不会暴露其他会话密钥的信息其中某一个会话密钥暴露了, 不会引起其他会话密钥的暴露 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 31

32 通过三方方案分配会话密钥 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 32

33 S 是可信的经过认证的服务器 A 和服务器 S 共享密钥 K[ A ] 三方方案 B 和服务器 S 共享密钥 KB [ ] 任何时间 A, BS, 三方可以执行三方参与的密钥分配方案, 为 A, B 建立共享的会话密钥 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 33

34 符号表示 { X } K 表示使用密钥 K 对 X 加密 N A表示由 A 选择的 nonce Nonce 是指一个不重复的数值, 可以是计数器, 或者是在一个大的空间中随机选取的量 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 34

35 Needham-Schroder(NS) 78 协议 A S B ABN,, { N, B,,{, A} } A K[ B] K[ A] A {, A} { N } B K[ B] { N 1} B : 是 A 和 B 的会话密钥, 由 S 生成最后两次传递的目的是密钥确认 A 在接到第二次传递时, 他要检查 N B 在接到最后一次传递时, 他要检查 N 1 A B 35

36 已知密钥攻击A S B ABN,, { N, B,,{, A} } A K[ B] K[ A] A {, A} { N } B K[ B] { N 1} B 假设 E 截获上述所有传递, 并知道 E S B {, A} ' { N B } K[ B] ' { N 1} B 认为是和 A 使用的一次新的会话由于 E 知道 B 的通信不安全 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 36 B

37 时间戳 T 表示时间戳当 Alice 接到带有 T 的消息时, 如果 T 不是当前的, 会给予拒绝加上时间戳会防止重放攻击其中时间上当前的是相对的 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 37

38 Kerberos A S B AB, { T,, B,{ T,, A} } t B K[ B] K[ A] tb,{ A, T} { T 1} 会话密钥和时间戳 T 是由 S 生成的 B 在接到第三次传递时, 他要检查两部分的时间戳, 如果两部分的时间戳不一致, 会拒绝 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 38

39 通过公开密钥分配会话密钥 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 39

40 通过公开密钥分配会话密钥 A pk[ B] pk[ A] B K K 在实际中这是最广泛的会话密钥交换方式, 在所有如下的安全通信协议中都使用了这种方式 :SSL,SSH,TLS,IPSEC, 等 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 40

41 KE1 方案 A pk[ B] pk[ A] AR, A R, C, B, Sig ( R, R, C) C E ( K) B sk[ B] A B pk[ A] ASig, ( R, R ) sk[ A] A B B 会话密钥 K 是由 B 生成的 R, R 是随机的 nonce A B Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 41

42 绑定 (binding) 攻击 A E B AR, ER, R, C, B, Sig ( R, R, C ) RB, C, B, Sigsk[ B] ( RA, RB, C) B sk[ B] A B A A, Sig ( R, R ) E, Sig ( R, R ) sk[ A] A B sk[ E ] A B A A 认为他和 B 共享会话密钥 K,B 认为他和 E 共享会话密钥 K ; 虽然 E 不知道会话密钥 K, 但通常视之为一个问题虽然目前还没有该问题的危害性的恰当的例子 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 42

43 KE2 方案 A pk[ B] pk[ A] AR, A R, C, B, Sig ( A, B, R, R, C) C E ( K) B sk[ B] A B pk[ A] ASig, ( ABR,,, R ) sk[ A] A B B 把身份信息也加入到签名的输入之中, 阻止了绑定攻击 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 43

44 A 前向安全 (forward secrecy) pk[ B] pk[ A] AR, A R, CBSig,, ( ABR,,, R, C) C E ( K) B sk[ B] A B pk[ A] ASig, ( ABR,,, R ) sk[ A] A B C C E ( M) B B K B 10 月 10 日 : 攻击者 E 记录了上述的传递过程 11 月 18 日 :A 的系统被攻破,A 的私钥 sk[ A ] 暴露 11 月 19 日 :A 撤销了他的数字证书, 进一步的危害不会发生但不会阻止攻击者 E: K E ( ) sk[ A] C ; M DK( CB) 如何获得前向安全性 : 即使 sk[ A ] 暴露了, 之前的通信安全不受影响? Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 44

45 KE3 方案 A pk[ B] pk[ A] Ag, g, B, Sig ( A, B, g, g ) b a b sk[ B] a b ASig, ( ABg,,, g) sk[ A] a B a b ab 会话密钥是 K H( A, B, g, g, g ) 即使攻击者获得 A 的私钥 sk[ A ] 也无助于得到会话密钥, 从而保证了前向安全性因为这里只有签名过程, 没有使用公钥的加密过程所有标准中的 DH 方案都具有前向安全性 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 45

46 匿名性 (anonymity) 匿名性的目的是使攻击者无法知道通信双方 ( 或某一方 ) 的身份例如 : 如果通信双方是移动客户 B 和基站 A, 移动客户 B 不想让攻击者 E 知道他的位置, 在通信过程中有匿名的要求我们之前介绍的方案如 : A pk[ B] pk[ A] Ag, g, B, Sig ( A, B, g, g ) b a b sk[ B] a b ASig, ( ABg,,, g) sk[ A] a B 这样的方案不能保证匿名信 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 46

47 KE4: 希望 B 具有匿名性的方案 A pk[ B] pk[ A] Ag, a g,{ B}, Sig ( A, B, g, g ) b a b Ke sk[ B] a b Sig ( A, B, g, g ) sk[ A] B a b ab 会话密钥是 K H( 0, A, B, g, g, g ) a b ab 而 K H( 1, A, B, g, g, g ) e Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 47

48 KE4: 希望 B 具有匿名性的方案 A pk[ B] pk[ A] Ag, a g,{ B}, Sig ( A, B, g, g ) b a b Ke sk[ B] a b Sig ( A, B, g, g ) sk[ A] B 但是如果 B { B1,, B n }, 攻击者 E 可以这样确定 B 的身份 : For i 1,, n do : a b if Ver (( A, B, g, g ), ) 1 then return B pk[ Bi ] i i 签名揭露了身份 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 48

49 KE4: 希望 B 具有匿名性的方案 A pk[ B] pk[ A] Ag, a g,{ B}, Sig ( A, B, g, g ) b a b Ke sk[ B] a b Sig ( A, B, g, g ) sk[ A] B 但是如果 B { B1,, B n }, 攻击者 E 可以这样确定 B 的身份 : For i 1,, n do : a b if Ver (( A, B, g, g ), ) 1 then return B pk[ Bi ] i i 签名揭露了身份问题 : 把 b g 也加密呢? 那样的话,A 又怎么解密呢? 49

50 KE5:B 具有匿名性的方案 A pk[ B] pk[ A] Ag, g,{ B, Sig ( A, B, g, g )} b a b sk[ B] a b { Sig ( A, B, g, g )} sk[ A] a K e K e B a b ab 会话密钥是 K H( 0, A, B, g, g, g ) a b ab 而 K H( 1, A, B, g, g, g ) e Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 50

51 通过口令获得会话密钥 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 51

52 口令的使用现在有很多地方的安全性依赖于口令 : 银行 ATM 的口令 ; 服务器注册口令 ;Web 服务口令等我们很少拥有密码学上的密钥, 但是我们有很多口令, 多到几乎记不住的程度口令使用方便, 而且历史悠久防止字典攻击是取口令应该注意的地方 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 52

53 口令 (passwords) 口令是人可以记忆的密钥攻击者能够生成字典集合 D 如果目标口令 pw 在集合 D 中同时攻击者知道 pw 对于某一函数 f 的映射, pw f ( pw) 然后攻击者可以这样获得口令 : for all pw' D do if f( pw') pw then return pw' 上述攻击即基于字典的攻击 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 53

54 A, B 共享一个口令 pw 基于口令的会话密钥分配 A, B 通过基于口令的会话密钥分配方案获得共同的会话密钥 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 54

55 KE6 A pw Ag, a b a b Bg,, MAC ( 1, ABg,,, g) pw a b AMAC, ( 0, ABg,,, g) pw B pw a b ab 会话密钥是 K H( A, B, g, g, g ) a b 对该方案的字典攻击 : 令 f 定义为 f ( x) MAC ( 1, A, B, g, g ) 然后攻击者可以这样获得口令 pw: for all pw' D do if f ( pw') then return pw' Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 55 x

56 A pw Ag, KE7 a b a b Bg,, MAC ( 1, ABg,,, g) Km a b AMAC, ( 0, ABg,,, g) Km B pw a b ab 会话密钥是 K H( 0, A, B, g, g, g ) 而 a b ab K H(, 1 A, B, g, g, g, pw) m 对该方案的字典攻击? 自然想到令 f 定义为 a b f ( x) MAC ( 1, A, B, g, g ) H( 1, A, B, g a, g b, g ab, x) 但是 f 不是一个公共的函数, 因为攻击者 E 无法获得 ab g Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 56

57 E 对 KE7 的主动攻击 Ag, a Bg, b, MAC ( 1, ABg,, a, g b ) K m B pw a b ab K H(, 1 A, B, g, g, g, pw) m 但此时, 供给者 E 具有 a, 并且可以计算出 g ( g ) H(, 1 A, B, g a, g b, g ab, x) ab b a a b f( x) MAC ( 1, A, B, g, g ) 转换成一个公共的函数, 使得字典攻击成为可能, 那么 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 57

58 A pw KE8:EKE2 a AE, ( g) pw b a b ab BE, ( g), H( 1, ABg,,, g, g ) pw a b ab AH, ( 2, ABg,,, g, g ) B pw E : PW G G为一分组密码明文和密文空间为群 G,PW 为密钥空间为所有可能的口令 a b ab 会话密钥是 K H( 0, A, B, g, g, g ) a 该方案可以抵抗主动攻击, 因为攻击者无法获得 E ( g ) pw M. Bellare, D. Pointcheval and P. Rogaway. Authenticated Key Exchange Secure Against Dictionary Attack. Eurocrypt

59 秘密共享 ( 秘密分割密钥分割 ) 59

60 问题的提出假设 Coca-Cola 公司的董事会想保护可乐的配方. 该公司总裁应该能够在需要时拿到配方, 但在紧急的情况下,12 位董事会成员中的任意 3 位就可以揭开配方百度百科 60

61 (k,n) 秘密分割门限方案已知秘密 S, 将其分割成 n 个元素 S1, S2,, Sn 1. 拥有大于等于 k 个不同的 S i, 可以重构秘密 S ; 2. 拥有小于 k 个不同的 S i, 不能重构秘密 S k 称为门限值, S i 称为子密钥或影子秘密分割方案由 Adi Shamir 和 George Blakley 在 1979 分别提出 61

62 (3,n) Blakley 秘密分割门限方案 Blakley's scheme in three dimensions: each share is a plane, and the secret is the point at which three shares intersect. Two shares are insufficient to determine the secret, although they do provide enough information to narrow it down to the line where both planes intersect. 维基百科 62

63 Shamir 秘密分割门限方案依据 :2 个点可以构建直线,3 个点可以构建抛物线,4 个点可以构建 3 次曲线,k 个点可以构建 k 1多项式假设要构建 ( kn, ) 门限方案, 其中共享秘密为 S, 假设 S p, 0 k n p, S p, p 为素数随机选择 k 1个正整数 a1,, ak 1 p, 令 a0 式 : 秘密的分割 : f ( x) a a x a x a x 每个参与者分配一个点 (, i f()) i 2 k k 1 S 由此构建多项 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 63

口令密钥生成密钥分配内容公开密钥的分配共享密钥的分配会话密钥的分配通过公钥获得会话密钥密钥分割 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 2

口令密钥生成密钥分配内容公开密钥的分配共享密钥的分配会话密钥的分配通过公钥获得会话密钥密钥分割 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 2 密钥分配密钥分割裴士辉 QQ:1628159305 口令密钥生成密钥分配内容公开密钥的分配共享密钥的分配会话密钥的分配通过公钥获得会话密钥密钥分割 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 2 口令 Mihir Bellare and Phillip Rogaway,Introduction