Summary

  • 2 ноября IESG одобрил draft-ietf-hpke-hpke-06 для публикации как Proposed Standard. В нём ключи выводятся за одну либо за две стадии.
  • Авторы относят приведённые доказательства безопасности ко второму варианту. Для одноступенчатого варианта они сформулировали требования, но ещё не завершили формальную проверку.

Одна галочка в таблице совместимости — два разных способа получить рабочий ключ. IESG 2 ноября одобрил преемник HPKE для публикации как Proposed Standard. Карточка IETF показывает состояние «Approved-announcement sent». Окончательный текст и номер RFC появятся позже. Уже принятое решение позволяет включить в один стандарт обе схемы вывода ключей, хотя опубликованные доказательства охватывают только одну из них.

При двухступенчатом подходе функция сначала извлекает материал через Extract(), а затем расширяет его через Expand(). Редакция 06 разрешает и один вызов Derive() с точно закодированными входами и меткой набора алгоритмов. Выбор влияет на получение рабочих ключей и экспорт секретов. Одноступенчатая схема была и в редакции 05. Шестая редакция впервые так ясно показывает, какая часть её безопасности ещё держится на ожидаемом переносе анализа.

Раздел 1.1 относит цитируемые доказательства к двухступенчатым KDF. В разделе 9.1 авторы ожидают, что рассуждение удастся перенести на одноступенчатую функцию, похожую на случайный оракул. Формально этот перенос пока не проверен. Раздел 9.3 даёт критерий: рабочие ключи должны выглядеть случайными, если злоумышленник не знает либо общий секрет, либо заранее согласованный ключ, даже когда он выбирает прочие входы. SHAKE приведён как пример функции, подходящей для такого моделирования. Это и есть точная граница между описанием алгоритма и выполненным доказательством.

В реестре IANA уже стоят четыре KDF SHAKE и TurboSHAKE: коды 0x00100x0013. Их источником указан отдельный постквантовый проект HPKE со статусом I-D Exists. Основной проект теперь требует добавить в реестр колонку Two-Stage и отметить эти четыре позиции буквой N. На публичной странице 3 ноября такой колонки ещё не было. Код позволяет программам согласовать выбор функции; он не сообщает, какие приложения её применили и какие доказательства уже завершены.

У спецификации есть проверяемые числовые границы. При одноступенчатом выводе поля psk, psk_id и info ограничены 65 535 байтами каждое: для длины отведены два байта. Отдельный предел в 65 535 байт установлен для экспортируемого вывода. Список применяющих этот путь приложений в решении IESG не приведён. Он показал бы масштаб практического перехода.