security - secret 与非 secret 初始化向量

Question

今天我在悠闲地阅读时偶然发现了 Recommendation for Pair-Wise Key Establishment Schemes Using Discrete Logarithm Cryptography (Revised) (NIST Special Publication 800-56A) 的第 5.8 节(第 45 页) 。我对此感到非常困惑:

An Approved key derivation function (KDF) shall be used to derive secret keying material from a shared secret. The output from a KDF shall only be used for secret keying material, such as a symmetric key used for data encryption or message integrity, a secret initialization vector, or a master key that will be used to generate other keys (possibly using a different process). Nonsecret keying material (such as a non-secret initialization vector) shall not be generated using the shared secret.

现在我不是阿兰·图灵，但我认为初始化向量不需要保密。在什么情况下人们会想要一个“ secret 初始化向量”？ Thomas Pornin说 IV 是公开的，而且他似乎精通密码学。同样与 caf .

Answer 1

初始化向量不需要是 secret 的(它不是 key )，但也不需要是公开的(发送者和接收者必须知道它，但英国女王不一定也知道它)。

典型的 key 建立协议(protocol)将导致双方都计算一段他们(但只有他们)都知道的数据。对于 Diffie-Hellman(或其任何椭圆曲线变体)，所述共享数据片段具有固定长度，并且它们无法控制其值(它们只是都获得相同的看似随机的位序列)。为了使用该共享 secret 进行对称加密，他们必须将该共享数据派生为适合他们要使用的任何对称加密算法的长度的位序列。

在使用 key 建立算法来获取发送者和接收者之间的共享 secret ，并使用该 secret 对称加密消息(可能是很长的流式传输消息)的协议(protocol)中，可以使用KDF 一次性生成 key 和 IV。这就是它的输入方式，例如 SSL :从共享 secret (在 SSL 规范中称为“预主 secret ”)中计算出一大块派生 secret 数据，然后将其拆分为对称 key 和初始化向量以用于两个加密方向。您可以采取其他方式，例如，生成随机 IV 并将它们与加密数据一起发送，而不是使用通过 KDF 获得的 IV(这就是 TLS 的最新版本中的情况) ，SSL 的后继者)。两种策略同样有效(TLS 使用外部随机 IV，因为它们希望为每个“记录”(TLS 连接内的数据包)提供一个新的随机 IV，这就是为什么使用 KDF 不再被认为是合适的)。 p>