Summary

  • IESG 于 11 月 2 日批准 draft-ietf-hpke-hpke-06 作为拟议标准发表；文本允许双阶段和单阶段两种密钥派生结构。
  • 第 06 版明确指出，所引 HPKE 安全证明覆盖双阶段 KDF，单阶段路径的形式化延伸尚未完成。

门已经打开，门上的标签却没有替实验室签字。IESG 11 月 2 日公告批准 HPKE 后继草案发表为拟议标准；IETF 追踪页显示「Approved-announcement sent」。RFC 编号和最终出版文本仍是下一道记录。眼下可以确认的制度动作，是标准审查机构接纳了包含两条派生路线的设计。

传统路线先 Extract()，再 Expand()。另一条路线以一次 Derive() 处理经过编码、附有协议标签的输入。第 06 版分别写出密钥编排、封装机制和密钥导出的算法步骤。单阶段结构在第 05 版已经出现；第 06 版的新意，是让读者无法把两条路线的证明状态混成一条。

第 1.1 节说明，文件引用的 HPKE 安全分析处理的是双阶段 KDF。第 9.1 节进一步写明：若单阶段 Derive() 可以按随机预言机建模，作者预计原有论证可迁移，但这种迁移尚未得到形式化验证。第 9.3 节列出单阶段路线必须满足的性质：即使攻击者知道或自行选择其余输入，只要封装共享秘密或预共享密钥其中之一仍不为其所知，密钥编排输出就必须保持伪随机。SHAKE 被列为符合这种模型的可扩展输出函数例子。这是设计所依据的条件，不是声称已经发表的完整证明。

名称登记又有自己的时钟。IANA HPKE 登记表已有 SHAKE128、SHAKE256、TurboSHAKE128 和 TurboSHAKE256 四个 KDF 编码，范围是 0x0010 至 0x0013，来源指向另一份后量子 HPKE 工作组草案；后者仍处于 I-D Exists。第 06 版要求登记表新增 Two-Stage 栏，并给这四项标上 N。截至 11 月 3 日，公开表格仍沿用旧列。编码解决互通时叫什么，安全论证决定能对使用者承诺什么。

单阶段实现还有可直接核对的边界：psk、psk_id、info 各因两字节长度前缀而限于 65,535 字节；密钥导出另有同数值的输出上限。测试可以抓到越界输入。形式化证明需要另外的研究成果。IESG 公告没有给出采用单阶段路线的应用清单；那份清单会改变实际迁移规模的判断。