Summary

  • IESG는 11월 2일 draft-ietf-hpke-hpke-06을 제안 표준으로 발행하도록 승인했다. 문서에는 두 단계와 한 단계 키 도출 방식이 함께 들어 있다.
  • 06판은 인용한 HPKE 안전성 증명이 두 단계 KDF를 대상으로 한다고 명시한다. 한 단계 방식으로의 형식적 확장은 아직 검증되지 않았다.

승인 도장은 찍혔다. 증명의 경계선은 지워지지 않았다. IESG의 11월 2일 발표는 HPKE 후속 초안을 제안 표준으로 발행하기로 했다고 밝힌다. IETF 문서 기록의 상태는 ‘Approved-announcement sent’다. 새 RFC 번호와 최종 편집본은 이후에 나온다. 지금 확인되는 결정은 키를 만드는 두 경로를 담은 설계를 표준화 절차가 받아들였다는 것이다.

HPKE는 키 캡슐화, 키 도출, 인증 암호화를 결합한다. 기존 경로는 Extract() 뒤에 Expand()를 실행한다. 06판은 부호화한 입력과 HPKE 고유 표지를 한 번의 Derive() 호출에 넣는 경로도 규정한다. 키 일정, 캡슐화 비밀, 비밀값 내보내기에 각각 다른 절차가 쓰인다. 한 단계 경로 자체는 05판에도 있었다. 이번 판의 새 대목은 그 경로를 뒷받침하는 분석의 범위를 선명하게 적었다는 점이다.

1.1절은 문서가 인용한 HPKE 안전성 분석이 두 단계 KDF를 다룬다고 설명한다. 9.1절은 Derive()를 무작위 오라클로 모델링할 수 있다면 논증을 옮길 수 있을 것으로 보면서도, 그러한 확장이 형식적으로 검증되지는 않았다고 적는다. 9.3절은 필요한 성질을 구체화한다. 공격자가 나머지 입력을 알고 있거나 선택하더라도 캡슐화 공유 비밀과 사전 공유 키 중 하나를 모르면 키 일정의 출력은 의사난수성을 유지해야 한다. 문서는 SHAKE 같은 확장 출력 함수를 그 모델의 예로 든다.

알고리즘 번호는 이미 배정돼 있다. IANA HPKE 등록부에는 SHAKE와 TurboSHAKE 네 종류가 0x0010부터 0x0013까지 올라 있으며, 출처는 별도의 양자내성 HPKE 작업반 초안이다. 그 초안의 상태는 여전히 I-D Exists다. 06판은 IANA에 Two-Stage 열을 추가하고 네 항목에 N을 표시하라고 지시한다. 11월 3일 공개 표에는 아직 그 열이 없었다. 같은 번호를 쓰는 일과 그 구성의 보안 성질을 증명하는 일은 서로 다른 기록이다.

구현이 바로 검사할 수 있는 숫자도 있다. 한 단계 방식의 psk, psk_id, info는 길이를 두 바이트로 표시하므로 각각 최대 65,535바이트다. 비밀값 내보내기 출력에는 별도로 같은 크기의 상한이 있다. 이 한계는 시험으로 확인할 수 있다. IESG 발표에는 어느 응용 프로그램이 새 경로를 실제 채택했는지에 대한 목록이 없다. 그 목록이 나와야 운영상 변화의 폭을 가늠할 수 있다.