Summary

  • IESGは11月2日、HPKE後継案の第06版をProposed Standardとして公刊することを承認した。二段階方式に加え、一段階の鍵導出も記述する。
  • 第06版は、引用するHPKEの安全性証明が二段階KDFを扱うと明記する。一段階方式への形式的な拡張は終わっていない。

標準の判子は、証明書の代用品にはならない。IESGの11月2日の発表はdraft-ietf-hpke-hpke-06の公刊承認を告げた。IETFの記録にも「Approved-announcement sent」とある。新しいRFC番号とRFC Editorによる最終文面は今後の記録になる。現時点での決定は、鍵導出に二つの構成を認める仕様をIESGが通したことだ。

HPKEは鍵カプセル化、鍵導出、認証付き暗号を組み合わせる。従来の導出はExtract()とExpand()を順に使う。第06版は、符号化された入力を一度のDerive()で処理する構成も規定し、鍵スケジュール、カプセル化、秘密のエクスポートにそれぞれ手順を置いた。一段階方式は第05版にもあった。第06版で際立つのは、その方式を支える分析の到達範囲を明示した点である。

第1.1節は、引用した安全性解析が二段階KDFを対象とすると書く。第9.1節は、一段階のDerive()をランダムオラクルとしてモデル化できれば既存の議論を移せると見込む一方、その移行は形式的に検証されていないと記す。第9.3節が要求するのは、共有秘密か事前共有鍵の片方を攻撃者が知らなければ、他の入力を知り、あるいは選べても鍵スケジュールの出力が擬似乱数性を保つことだ。SHAKEのような伸長可能出力関数が、そのモデルの例に挙がる。

番号の台帳は先に動いている。IANAのHPKE登録簿にはSHAKEとTurboSHAKEの四つのKDFが0x0010から0x0013まで載り、出典は別の耐量子HPKE作業部会案だ。この案の状態はまだI-D Existsである。第06版はIANAにTwo-Stage列を追加し、四つの項目にNを付けるよう求める。11月3日に確認した公開表には、その列はまだない。番号の付与、仕様の承認、安全性の証明は、それぞれ別の記録だ。

実装上の長さ制限も具体的だ。一段階方式ではpsk、psk_id、infoの各入力を二バイトの長さで表すため、上限は各65,535バイト。秘密のエクスポート出力にも別途同じ数値の上限がある。これらは試験できる境界であり、証明の欠けた部分を埋めるものではない。利用するアプリケーションの一覧もIESG発表にはなく、採用の広がりは別途確認が要る。