迪菲-赫爾曼密鑰交換

迪菲－赫尔曼密钥交换是在美國密碼學家惠特菲爾德·迪菲和馬丁·赫爾曼的合作下发明的，發表於1976年。它是第一个实用的在非保护信道中建立共享密钥方法。它受到了瑞夫·墨克的关于公钥分配工作的影响。約翰·吉爾（）提出了离散对数问题的应用。该方案首先被英国GCHQ的馬爾科姆·J·威廉森（Malcolm J. Williamson）在稍早的几年前发明，但是GCHQ直到1997年才决定将其公开，这时在学术界已经没有了研究这个算法的热潮了。

这个方法被发明后不久出现了RSA，另一个进行公钥交换的算法。它使用了非对称加密算法。

2002年，馬丁·赫爾曼写到：

这个系统...从此被称为「迪菲－赫尔曼密钥交换」。 虽然这个系统首先是在我和迪菲的一篇论文中描述的，但是这却是一个公钥交换系统，是墨克提出的概念，因此如果加上他的名字，这个系统实际上应该称为「Diffie–Hellman–Merkle密钥交换」。我希望这个小小的讲坛可以帮助我们认识到墨克对公钥密码学的同等重要的贡献。

The system...has since become known as Diffie–Hellman key exchange. While that system was first described in a paper by Diffie and me, it is a public key distribution system, a concept developed by Merkle, and hence should be called 'Diffie–Hellman–Merkle key exchange' if names are to be associated with it. I hope this small pulpit might help in that endeavor to recognize Merkle's equal contribution to the invention of public key cryptography.

描述了这个算法的美國專利第4,200,770号，已经於1997年4月29日後过期，專利文件表明了Hellman、Diffie和Merkle是算法的发明者。

迪菲－赫尔曼通过公共信道交换一个信息，就可以建立一个可以用于在公共信道上安全通信的共享秘密。

以下解释它的过程（包括算法的数学部分）：

Diffie–Hellman 密鑰交換

最简单，最早提出的这个协议使用一个質數p的整數模n乘法群以及其原根g。下面展示这个算法，绿色表示非秘密信息，红色粗体表示秘密信息：

愛麗絲 秘密 非秘密 计算 p, g a ga mod p … (gb mod p)a mod p

${\displaystyle \rightarrow }$ ${\displaystyle \leftarrow }$ =

鮑伯 计算 非秘密 秘密 p, g b … gb mod p (ga mod p)b mod p

愛麗絲與鮑伯协定使用 p=23以及base g=5. 愛麗絲选择一个秘密整数a=6，计算A = ga mod p并发送给鮑伯。 A = 56 mod 23 = 8. 鮑伯选择一个秘密整数b=15，计算B = gb mod p并发送给愛麗絲。 B = 515 mod 23 = 19. 愛麗絲计算s = B a mod p 196 mod 23 = 2. 鮑伯计算s = A b mod p 815 mod 23 = 2.

愛麗絲和鮑伯最终都得到了同样的值，因为在模p下${\displaystyle g^{ab}}$和${\displaystyle g^{ba}}$ 相等。 注意a, b 和 g^ab = g^ba mod p 是秘密的。 其他所有的值 – p, g, g^a mod p, 以及 g^b mod p – 都可以在公共信道上传递。 一旦愛麗絲和鮑伯得出了公共秘密，他们就可以把它用作对称密钥，以进行双方的加密通讯，因为这个密钥只有他们才能得到。当然，为了使这个例子变得安全，必须使用非常大的a, b 以及 p， 否则可以实验所有${\displaystyle g^{ab}{\bmod {23}}}$的可能取值（总共有最多22个这样的值，就算a和b很大也无济于事）。 如果 p 是一个至少 300 位的质数，并且a和b至少有100位长，那么即使使用全人类所有的计算资源和当今最好的算法也不可能从g, p和g^a mod p 中计算出 a。这个问题就是著名的离散对数问题。注意g则不需要很大，并且在一般的实践中通常是2或者5。IETF RFC3526 文档中有几个常用的大质数可供使用。

以下是一个更为一般的描述:

1. 愛麗絲和鮑伯协商一个有限循环群 G 和它的一个生成元 g。 （这通常在协议开始很久以前就已经规定好； g是公开的，并可以被所有的攻击者看到。）
2. 愛麗絲选择一个随机自然数 a 并且将${\displaystyle g^{a}{\bmod {p}}}$发送给鮑伯。
3. 鮑伯选择一个随机自然数 b 并且将${\displaystyle g^{b}{\bmod {p}}}$发送给愛麗絲。
4. 愛麗絲 计算${\displaystyle \left(g^{b}\right)^{a}{\bmod {p}}}$。
5. 鮑伯 计算${\displaystyle \left(g^{a}\right)^{b}{\bmod {p}}}$。

愛麗絲和鮑伯就同时协商出群元素${\displaystyle g^{ab}}$，它可以被用作共享秘密。${\displaystyle \left(g^{b}\right)^{a}}$和${\displaystyle \left(g^{a}\right)^{b}}$因为群是乘法交换的。 (见幂.)

在选择了合适的G和g时，这个协议被认为是窃听安全的。偷听者伊芙可能必须通过求解迪菲－赫尔曼问题来得到g^ab。在当前，这被认为是一个困难问题。如果出现了一个高效的解决离散对数问题的算法，那么可以用它来简化a或者b的计算，那么也就可以用来解决迪菲－赫尔曼问题，使得包括本系统在内的很多公钥密码学系统变得不安全。

G的阶应当是一个素数，或者它有一个足够大的素因子以防止使用Pohlig–Hellman算法来得到a或者b。由于这个原因，一个索菲热尔曼素数 q可以用来计算素数p=2q+1，这样的p称为安全素数，因为使用它之后G的阶只能被2和q整除。g有时被选择成G的q阶子群的生成元，而不是G本身的生成元，这样g^a的勒让德符号将不会显示出a的低位。

如果Alice和Bob使用的随机数生成器不能做到完全随机并且从某种程度上讲是可预测的，那么Eve的工作将简单的多。

臨時DH（D-H Ephemeral，DHE）能够提供前向安全性。

• 密码学主页
• 模算术
• 椭圆曲线迪菲-赫尔曼
• 公钥密码学
• ElGamal加密算法
• 迪菲－赫尔曼问题
• MQV
• 口令认证密钥协商
• 前向安全性

• Dieter Gollmann (2006). Computer Security Second Edition West Sussex, England: John Wiley & Sons, Ltd.
• Non-Secret Encryption Using a Finite Field MJ Williamson, January 21, 1974.
• Thoughts on Cheaper Non-Secret Encryption （页面存档备份，存于） MJ Williamson, August 10, 1976.
• New Directions in Cryptography （页面存档备份，存于） W. Diffie and M. E. Hellman, IEEE Transactions on Information Theory, vol. IT-22, Nov. 1976, pp: 644–654.
• Cryptographic apparatus and method Martin E. Hellman, Bailey W. Diffie, and Ralph C. Merkle, U.S. Patent #4,200,770, 29 April 1980
• The History of Non-Secret Encryption JH Ellis 1987 (28K PDF file) (HTML version)
• The First Ten Years of Public-Key Cryptography （页面存档备份，存于） Whitfield Diffie, Proceedings of the IEEE, vol. 76, no. 5, May 1988, pp: 560–577 (1.9MB PDF file)
• Menezes, Alfred; van Oorschot, Paul; Vanstone, Scott (1997). Handbook of Applied Cryptography Boca Raton, Florida: CRC Press. ISBN 0-8493-8523-7. (Available online （页面存档备份，存于）)
• Singh, Simon (1999) The Code Book: the evolution of secrecy from Mary Queen of Scots to quantum cryptography New York: Doubleday ISBN 0-385-49531-5
• An Overview of Public Key Cryptography Martin E. Hellman, IEEE Communications Magazine, May 2002, pp:42–49. (123kB PDF file)

• Oral history interview with Martin Hellman, Charles Babbage Institute, University of Minnesota. Leading cryptography scholar Martin Hellman discusses the circumstances and fundamental insights of his invention of public key cryptography with collaborators Whitfield Diffie and Ralph Merkle at Stanford University in the mid-1970s.
• RFC 2631 – Diffie–Hellman Key Agreement Method E. Rescorla June 1999.
• Summary of ANSI X9.42: Agreement of Symmetric Keys Using Discrete Logarithm Cryptography (64K PDF file) (Description of ANSI 9 Standards)
• Diffie–Hellman explained visually （页面存档备份，存于）
• Diffie–Hellman Key Exchange – A Non-Mathematician’s Explanation by Keith Palmgren
• Crypt::DH （页面存档备份，存于） Perl module from CPAN
• Hands-on Diffie–Hellman demonstration （页面存档备份，存于）
• C implementation using GNU Multiple Precision Arithmetic Library
• Diffie Hellman in 2 lines of Perl （页面存档备份，存于） (using dc)
• Smart Account Management (SAcct) （页面存档备份，存于） (using DH key exchange to derive session key)