WO2019231392A1

WO2019231392A1 - 一种密钥协商系统、方法及装置

Info

Publication number: WO2019231392A1
Application number: PCT/SG2018/050266
Authority: WO
Inventors: 朋特其旺⋅大卫; 王贵林
Original assignee: 华为国际有限公司
Priority date: 2018-05-30
Filing date: 2018-05-30
Publication date: 2019-12-05
Also published as: EP3793129A4; EP3793129A1; US11483142B2; US20210083862A1

Abstract

本申请提供一种密钥协商系统、方法及装置，该方法包括：第一设备生成一个公私钥对，向第二设备发送公私钥对中的公钥，接收密文和承诺值。第一设备获取第一结果，根据公私钥对中的私钥和密文获得原始密钥，并根据原始密钥中的部分比特确定第二比特串，根据第二比特串和第一结果计算得到第二结果，向第二设备发送第二结果。第一设备接收打开值，第一设备根据打开值和承诺值对第二设备得到认证结果并生成用于与第二设备通信的会话密钥。因此，采用本申请提供的方法可以在一定程度保证安全的情况下实现协商效率的明显提高，且该方法实施简便。

Description

一种密钥协商系统、方法及装置技术领域本申请涉及量子安全技术领域，特别涉及一种密钥协商系统、方法及装置。背景技术密钥协商，或者更准确地说是认证密钥协商 (Authenticated Key Exchange， AKE), 可以使得两个通信主体安全地协商出一个共同的会话密钥，用于随后的安全通信。

传统的 AKE协议使用公私钥对、口令等作为密钥协商和认证的材料，通信双方在公开的非安全信道上协商出一个共同的安全会话密钥。但这些协议，比如加密密钥交换 (Encrypted Key Exchange， EKE)协议、简单的基于口令加密密钥交换 (Simple Password-based encrypted key exchange, SPAKE)协议、基于验证值的双基口令指数密钥交换 (Verifier-based Two-Basis Password Exponential Key Exchange, VTBPEKE)协议，本质都以迪菲-赫尔曼 (Diffie-Hellman, DH) 密钥交换技术作为基础。但该 DH密钥交换技术基于离散对数问题，该问题已被证明是可以破解的，因此 DH密钥交换技术就在量子计算下不再安全。

与此相比较，现有的量子安全 AKE协议都比较复杂，且效率不高。比如凯伯 (Kyber) 协议需要通信双方共执行 6次密钥封装 (Key Encapsultation Mechanism, KEM) 加解密操作，虽然有其他科研人员提出了将系统参数进行优化的量子协议，但还是需要通信双方共执行 2次 KEM加解密操作和 4次数字签名相关操作。

由上可知，现有的量子安全 AKE协议比较复杂，效率不高。发明内容

本申请实施例提供一种密钥协商系统、方法及装置，用以实现简便高效的量子安全密钥协商。

第一方面，本申请实施例提供一种密钥协商系统，包括第一设备和第二设备，其中：所述第一设备用于采用密钥生成算法生成一个公私钥对，向所述第二设备发送所述公私钥对中的公钥；所述第二设备用于根据接收到的所述公钥采用封装算法选取原始密钥，根据所述公钥和所述原始密钥采用所述封装算法获得密文，以及根据第一比特串和随机数采用承诺算法获得承诺值和打开值，向所述第一设备发送所述密文和所述承诺值，所述第一比特串为随机比特串；以及，根据所述原始密钥中的部分比特确定第二比特串，根据所述第一比特串和所述第二比特串计算得到第一结果；所述第一设备还用于根据所述公私钥对中的私钥和接收到的所述密文采用解封装算法获得所述原始密钥，并根据所述原始密钥中的所述部分比特确定所述第二比特串；根据所述第二比特串和所述第一结果计算得到第二结果，向所述第二设备发送所述第二结果；所述第二设备还用于在所述第一比特串与接收到的所述第二结果相同的情况下，向所述第一设备发送所述打开值并生成用于与所述第一设备通信的会话密钥，其中所述第一比特串与所述第二结果相同表示所述第二设备对所述第一设备认证成功；所述第一设备还用于根据接收到的所述打开值和所述承诺值对所述第二设备进行认证，得到认证结果，所述认证结果用于指示所述第一设备对所述第二设备认证成功，并生成用于与所述第二设备通信的会话密钥。

因此，本申请实施例提供的系统只在协商时生成和使用一个临时的 KEM公钥对，通信双方共执行 2次 KEM加解密操作，以及一些简单的承诺操作。与现有技术中提到的 Kyber协议和系统参数优化后的量子协议相比，在一定程度保证安全的情况下效率提高明显，且实施简便。

在一种可能的设计中，所述第二设备具体用于采用第一算法对所述第一比特串和所述第二结果进行计算，以得到第一结果；所述第一设备具体用于采用所述第一算法对所述第二比特串和所述第一结果进行计算，以得到第二结果；所述第一算法为异或运算、模加法运算、模减法运算、模乘法运算中的任意一种运算或多种运算的组合。

因此，第二设备可以采用多种可能的算法计算得到第一结果，第一设备可以采用与计算第一结果相同的算法计算得到第二结果。

在一种可能的设计中，所述第一设备还用于在所述第一设备生成用于与所述第二设备通信的会话密钥后，刪除所述公私钥对；当发起与所述第二设备重新执行密钥协商，或者，当发起与第三设备执行密钥协商，重新生成一个公私钥对。

相较于现有技术中，通信主体双方需要保存公私钥对、口令等作为密钥协商和认证的材料，占用大量存储空间，在本申请实施例中，当第一设备生成用于与第二设备通信的会话密钥后，第一设备刪除公私钥对，可以节省存储空间，本申请实施例提供的方法更加适用于硬件能力受限的设备。

在一种可能的设计中，所述第二设备还用于在所述第二设备生成用于与所述第一设备通信的会话密钥后，刪除所述公钥；当发起与所述第一设备重新执行密钥协商，或者，当发起与第四设备执行密钥协商，生成一个公私钥对。

相较于现有技术中，通信主体双方需要保存公私钥对、口令等作为密钥协商和认证的材料，占用大量存储空间，在本申请实施例中，当第二设备生成用于与第一设备通信的会话密钥后，第二设备刪除公钥，可以节省存储空间，本申请实施例提供的方法更加适用于硬件能力受限的设备。

在一种可能的设计中，所述第一设备具体用于根据所述第一设备的身份标识符、所述第二设备的身份标识符、所述公钥、所述密文、所述承诺值、所述打开值、所述原始密钥、所述第二结果中的一个或多个参数生成用于与所述第二设备通信的会话密钥；

所述第二设备具体用于根据所述一个或多个参数生成用于与所述第一设备通信的会话密钥，其中，用于与所述第二设备通信的会话密钥与用于与所述第一设备通信的会话密钥相同。

因此，会话密钥的生成可以采用多种参数组合形式以及多种函数形式，实施方式灵活方便，

第二方面，本申请实施例提供一种密钥协商方法，包括：

第一设备采用密钥生成算法生成一个公私钥对，向第二设备发送所述公私钥对中的公钥；所述第一设备接收密文和承诺值，所述密文是根据所述公钥和原始密钥采用封装算法获得的，所述原始密钥是根据所述公钥采用所述封装算法选取的，所述承诺值是根据第一比特串和随机数采用承诺算法获得的，所述第一比特串为随机比特串；所述第一设备获取第一结果，所述第一结果是根据所述第一比特串和第二比特串计算得到的，所述第二比特串是根据所述原始密钥中的部分比特确定的；所述第一设备根据所述公私钥对中的私钥和所述密文采用解封装算法获得所述原始密钥，并根据所述原始密钥中的所述部分比特确定所述第二比特串；所述第一设备根据所述第二比特串和所述第一结果计算得到第二结果，向所述第二设备发送所述第二结果；所述第一设备接收打开值，其中，所述打开值是在所述第一比特串与所述第二结果相同的情况下所述第二设备向所述第一设备发送的，所述打开值是根据所述第一比特串和所述随机数采用所述承诺算法获得的；所述第一设备根据所述打开值和所述承诺值对所述第二设备进行认证，得到认证结果，所述认证结果用于指示所述第二设备对所述第二设备认证成功，并生成用于与所述第二设备通信的会话密钥。

因此，本申请实施例提供的方法只在协商时生成和使用一个临时的 KEM公钥对，通信双方共执行 2次 KEM加解密操作，以及一些简单的承诺操作。与现有技术中提到的 Kyber协议和系统参数优化后的量子协议相比，在一定程度保证安全的情况下效率提高明显，且实施简便。

在一种可能的设计中，在所述第一设备根据所述第二比特串和所述第一结果计算得到第二结果时，所述第一设备采用第一算法对所述第二比特串和所述第一结果进行计算，以得到第二结果，所述第一算法为异或运算、模加法运算、模减法运算、模乘法运算中的任意一种运算或多种运算的组合。

因此，第一设备可以采用多种可能的算法计算第二结果。

在一种可能的设计中，所述第一算法为异或运算；

在所述第一设备采用第一算法对所述第二比特串和所述第一结果进行计算，以得到第二结果时，所述第一设备采用异或算法对所述第二比特串和所述第一结果进行计算，得到异或结果作为第二结果。

因此，第一设备可以采用异或运算计算得到异或结果作为第二结果。

在一种可能的设计中，在所述第一设备生成用于与所述第二设备通信的会话密钥后，所述第一设备刪除所述公私钥对；当所述第一设备发起与所述第二设备重新执行密钥协商，或者，当所述第一设备发起与第三设备执行密钥协商，所述第一设备重新生成一个公私钥对。

在一种可能的设计中，在所述第一设备生成用于与所述第二设备通信的会话密钥时，所述第一设备根据所述第一设备的身份标识符、所述第二设备的身份标识符、所述公钥、所述密文、所述承诺值、所述打开值、所述原始密钥、所述第二结果中的一个或多个参数生成用于与所述第二设备通信的会话密钥。可见，第一设备可以采用多种参数组合形式以及多种函数形式生成会话密钥，实施方式灵活方便。

第三方面，本申请实施例提供一种密钥协商方法，包括：

第二设备接收公钥，所述公钥为采用密钥生成算法生成的一个公私钥对中的公钥；所述第二设备根据所述公钥采用所述封装算法选取原始密钥，根据所述公钥和所述原始密钥采用所述封装算法获得密文，以及根据第一比特串和随机数采用承诺算法获得承诺值和打开值，向所述第一设备发送所述密文和所述承诺值，所述第一比特串为随机比特串；所述第二设备根据所述原始密钥中的部分比特确定第二比特串，根据所述第一比特串和所述第二比特串计算得到第一结果；所述第二设备接收第二结果，所述第二结果是根据所述第二比特串和所述第一结果计算得到的；所述第二设备在所述第一比特串与所述第二结果相同的情况下，向所述第一设备发送所述打开值，并生成用于与所述第一设备通信的会话密钥，其中所述第一比特串与所述第二结果相同表示所述第二设备对所述第一设备认证成功。

因此，本申请实施例提供的方法只在协商时生成和使用一个临时的 KEM公钥对，通信双方共执行 2次 KEM加解密操作，以及一些简单的承诺操作。因此，与现有技术中提到的 Kyber协议和系统参数优化后的量子协议相比，在一定程度保证安全的情况下效率提高明显，且实施简便。

在一种可能的设计中，在所述第二设备根据所述第一比特串和所述第二比特串计算得到第一结果时，所述第二设备采用第一算法对所述第一比特串和所述第二比特串进行计算，以得到第一结果；所述第一算法为异或运算、模加法运算、模减法运算、模乘法运算中的任意一种运算或多种运算的组合。第二设备可以采用多种可能的算法计算第一结果，使实施方式更灵活方便。

在一种可能的设计中，所述第一算法为异或运算；在所述第二设备采用第一算法对所述第一比特串和所述第二比特串进行计算，以得到第一结果时，所述第二设备采用异或运算对所述第一比特串和所述第二比特串进行计算，得到异或结果作为第一结果。

在一种可能的设计中，在所述第二设备生成用于与所述第一设备通信的会话密钥后，所述第二设备刪除所述公钥；当所述第二设备重新发起与所述第一设备执行密钥协商，或者，当所述第二设备发起与第三设备执行密钥协商，所述第二设备生成一个公私钥对。

在一种可能的设计中，在所述第二设备生成用于与所述第二设备通信的会话密钥时，所述第二设备根据所述第一设备的身份标识符、所述第二设备的身份标识符、所述公钥、所述密文、所述承诺值、所述打开值、所述原始密钥、所述第二结果中的一个或多个参数生成用于与所述第一设备通信的会话密钥。

相较于现有技术中，通信主体双方需要保存公私钥对、口令等作为密钥协商和认证的材料，占用大量存储空间，在本申请实施例中，当第二设备生成用于与第二设备通信的会话密钥后，第二设备刪除公钥，可以节省存储空间，本申请实施例提供的方法更加适用于硬件能力受限的设备。

第四方面，本申请实施例提供一种密钥协商装置，该装置可以为第一设备，也可以为第一设备内的芯片。该装置可以包括处理单元和收发单元。当该装置是第一设备时，该处理单元可以是处理器，该收发单元可以是收发器，该第一设备还可以包括存储单元，该存储单元可以是存储器，该存储单元用于存储指令，该处理单元执行该存储单元所存储的指令，以使该第一设备执行第二方面或第二方面任意一种可能的设计中的方法。当该装置是第一设备内的芯片时，该处理单元可以是处理器，该收发单元可以是输入 /输出接口、管脚或电路等；该处理单元执行存储单元所存储的指令，该存储单元用于存储指令，该存储单元可以是该芯片内的存储单元（例如，寄存器、缓存等），也可以是该第一设备内的位于该芯片外部的存储单元（例如，只读存储器、随机存取存储器等），以使该第一设备执行第二方面或第二方面任意一种可能的设计中的方法。

第五方面，本申请实施例提供一种密钥协商装置，该装置可以为第二设备，也可以为第二设备内的芯片。该装置可以包括处理单元和收发单元。当该装置是第二设备时，该处理单元可以是处理器，该收发单元可以是收发器，该第二设备还可以包括存储单元，该存储单元可以是存储器，该存储单元用于存储指令，该处理单元执行该存储单元所存储的指令，以使该第二设备执行第三方面或第三方面任意一种可能的设计中的方法。当该装置是第二设备内的芯片时，该处理单元可以是处理器，该收发单元可以是输入 /输出接口、管脚或电路等；该处理单元执行存储单元所存储的指令，该存储单元用于存储指令，该存储单元可以是该芯片内的存储单元（例如，寄存器、缓存等），也可以是该第二设备内的位于该芯片外部的存储单元（例如，只读存储器、随机存取存储器等），以使该第二设备执行第三方面或第三方面任意一种可能的设计中的方法。

第六方面，本申请实施例还提供一种计算机可读存储介质，该计算机可读存储介质存储有计算机程序，当该计算机程序在计算机上运行时，使得计算机执行上述第一方面和 / 或第二方面所述的方法。

第七方面，本申请实施例还提供一种包含程序的计算机程序产品，当其在计算机上运行时，使得计算机执行上述第一方面和 /或第二方面所述的方法。附图说明图 1为本申请实施例中 IoT应用场景的示意图；

图 2为本申请实施例中密钥协商方法的概述流程图；

图 3为本申请实施例中设备 A与设备 B执行密钥协商的具体流程示意图；

图 4为本申请实施例中 LPN KEM参数图表；

图 5为本申请实施例中基于 DH KEM的密钥协商方法的具体流程示意图;

图 6为本申请实施例中密钥协商装置的结构示意图之一；

图 7为本申请实施例中密钥协商装置的结构示意图之二；

图 8为本申请实施例中通信设备的结构示意图。具体实施方式下面结合附图，对本申请的实施例进行描述。

本申请实施例所提供的密钥协商方法可以应用于设备硬件能力受限的场景，比如智能家居、车辆网等物联网（ Internet of Things， IoT）场景。

本申请实施例中涉及的通信主体可以为在计算、存储、通信和能耗等某一方面或多方面硬件能力受限的设备，具体可以是任何硬件实现的设备，或者软件实现的程序、应用，或其他组合实现的主体。且本申请中的通信主体需具有简单的输入、输出端口（1/0），具体来说，设备输入端口可以是简单的键盘或按钮等，设备输出端口可以是简单的显示屏、灯光颜色或灯光闪烁等。

本申请中的一种可能的应用场景为 IoT场景。 IoT是一种面向机器间通信 ( MTC, Machine-Type Communications ) 的网络，如图 1所示，可以用来实现连接工业、连接出行、连续用户、连接城市以及连接设备等，未来可以主要应用在智能抄表、医疗检测监控、物流检测、工业检测监控、汽车联网、智能社区以及可穿戴设备等领域。本申请中涉及的通信主体可以为 IoT终端，例如， IoT终端为通常安装在室内甚至地下室的电表水表，或者为了检测土壤湿度实现自动灌派设置于土壤中的传感器，又或者为了监控奶牛健康状况佩戴在奶牛身上的检测仪器。因此，上述这类通信主体一般需要大规模部署，为了降低成本，这类通信主体的硬件配置一般不高，例如，某些 IoT终端是通过电池来供电的，为了保证 IoT 终端的使用时间不需要经常更换电池，这就要求 IoT终端能够以极低的电力消耗来工作，因此，其计算能力、存储能力等一般不高。

下面首先介绍本申请需要使用到的两个基本密码工具： KEM和承诺方案 (Commitment Scheme) 。

KEM可以包含如下三个算法：

( 1 ) 密钥生成算法 KeyGen()_: 运行该算法可生成一对 KEM公私钥对 (sk; pk)，其中， sk表示私钥， pk表示公钥。

(2) 封装算法 Encaps(pk): 对某个给定的 KEM公钥 pk，运行该算法输出 (C,k), 其中 k 是一个原始密钥，而 C是对 k加密后的密文。

(3)解封装算法 Decaps(sk; C) :对密文 C和 KEM私钥 sk运行该算法，解密出原始密钥 k。更为详细的对 KEM的解释和安全性定义，可参见 ISO国际标准文档，这里不再过多贅述。

承诺方案可以包含如下两个算法：

( 1 ) 承诺算法 Commit(m; r) : 对输入消息 m, 该算法选择随机数 r, 然后运行该算法可以输出 (F, t), 其中， F是对 m的承诺值，而 t是验证该承诺值的打开值 (opening value);

(2)打开算法 Open(F; t): 运行该算法可以输出 m，对所给的 (F, t, m), 该算法可以验证承诺值 F是否为对消息 m关于打开值 t的承诺。

另外，更为详细的对承诺方案的解释和安全性定义，可参见具体科研论文。

另外，本申请中的承诺方案还可以使用于哈希算法替换，其中，哈希算法是指密码意义上安全的哈希函数 (hash function) 。例如，可以用 H(m, r)来代替上述承诺方案。也就是说，将 m作为输入消息，选择随机数 r，计算承诺值 F=H(m, r)，并置打开值 t=r。由于已有标准化的 Hash函数，因此工程实现上更为方便。进一步地，会话密钥的生成也可以使用 Hash 函数，可以采用不同的 Hash函数，也可以采用相同的 Hash函数，这样更便于工程实现。

以下以两个通信主体包括第一设备和第二设备为例进行描述，第一设备和第二设备可以是任意两个需要进行密钥协商的设备，其中，第一设备发起与第二设备执行密钥协商。参阅图 2所示，本申请实施例提供一种密钥协商方法，用以实现简便高效的量子安全密钥协商，该方法包括：

步骤 201 : 第一设备采用密钥生成算法生成一个公私钥对。

一种可实现的方案中，第一设备可以采用 KEM中包含的密钥生成算法生成该公私钥对。 KEM可以为环上的带错误学习 (Ring Learning With Error， RLWE) KEM, 带噪音的学习奇偶 (Learning Parity with Noise, LPN)KEM、我们数论家 (Number Theorist aRe Us, NTRU) KEM或 DH KEM 中的任意一种。

步骤 202 : 第一设备向第二设备发送公私钥对中的公钥。第一设备可以通过公开信道将该公钥发送给第二设备

步骤 203 : 第二设备根据接收到的公钥采用封装算法选取原始密钥，根据原始密钥和公钥采用封装算法获得密文，根据第一比特串和随机数采用承诺算法获得承诺值和打开值，以及根据原始密钥中的部分比特确定第二比特串，根据第一比特串和第二比特串计算得到第一结果。

一种可实现的方案中，第二设备根据公钥采用 KEM中包含的封装算法选取原始密钥，进一步根据原始密钥和公钥采用 KEM中包含的封装算法获得密文。应理解的是，这里第二设备采用的封装算法与步骤 201中第一设备采用的密钥生成算法属于相同的 KEM。

第二设备可以随机生成第一比特串，将第一比特串作为输入消息，选择随机数，运行承诺算法获得承诺值和打开值；或者，第二设备选择随机数，对第一比特串和随机数运行哈希算法，得到承诺值，将随机数作为打开值。应理解的是，在本申请实施例的具体实施过程中，通信主体双方可以事先预定或预配置至少一种承诺方案或者至少一种哈希算法，且通信主体双方在进行密钥协商通信时采用相同的承诺方案或者哈希算法。

第二设备可以根据原始密钥中的部分比特确定第二比特串。其中，第二设备生成的第一比特串可以为长度为 L比特的随机比特串， L可以在 20-30范围之间。第二比特串的长度与第一比特串的长度相同，第二比特串为原始密钥中任意 L位构成的比特串，例如，处于原始密钥中较高比特位上的连续 L比特，或者处于原始密钥中较低比特位上的连续 L比特，或者原始密钥中不连续的 L比特，本申请实施例对第二比特串的确定方式不做限定。

第二设备可以根据第一比特串与第二比特串采用第一算法计算得到第一结果，第一算法为异或运算、模加法运算、模减法运算、模乘法运算中的任意一种运算或多种运算的组合。例如，第一算法为异或运算，第二设备可以根据第一比特串与第二比特串采用异或运算计算得到异或结果作为第一结果。应理解的是，第二设备还可通过上述所列第一算法外的算法将第一比特串和第二比特串 “混合”起来，得到第一结果，本申请实施例对此不作限定。以下仅以对第一比特串与第二比特串采用异或运算得到异或结果作为第一结果为例进行说明。

步骤 204 : 第二设备向第一设备发送密文和承诺值。第二设备这里可以通过公开信道将密文和承诺值发送给第一设备。

步骤 205 : 第一设备获取第一结果。具体的，第一设备获取第一结果可以采用但不限于以下方案：

方案 A: 工作人员将步骤 203中第二设备计算得到的第一结果，输入到第一设备上。例如，工作人员以人工的方式从第二设备上通过读、看或听等方式获取第一结果，然后在第一设备上输入该第一结果。这里要求第二设备具有简单的输出端口，而第一设备具有简单的输入端口。设备输出端口可以是简单的显示屏、灯光颜色、灯光闪烁或声音等，而设备输入端口可以是简单的键盘或按钮等。在一种可能的设计中，当第一比特串的长度为 20~30 比特，第二比特串的长度与第一比特串的长度相同，第一结果为第二设备根据第一比特串与第二比特串采用异或运算计算得到的异或结果，则第一结果的长度与第一比特串的长度相同，也为 20~30比特，因此，工作人员进行输入操作并不繁琐，具有较好的可用性。

方案 B : 工作人员用第一设备扫描第二设备在步骤 203中确定的第一结果所对应的二維码或者其他标识，以使第一设备获取第一结果。

方案 C : 第一设备扫描第二设备在步骤 203确定的第一结果对应的二維码或者其他标识。例如，第一设备可以自动移动至第二设备附近，利用第一设备上的摄像头采集第二设备的显示屏上显示的第一结果，或，第一结果对应的二維码或者其他标识，以使第一设备获取第一结果。

应理解的是，上述各个方案仅为举例，不作为本申请实施例的限定。本申请中假设第一设备获取第一结果的过程是较安全的，即攻击者无法获得第一结果。

步骤 206 : 第一设备根据公私钥对中的私钥和接收到的密文采用解封装算法获得原始密钥，根据原始密钥中的部分比特确定第二比特串，以及根据第二比特串和第一结果计算得到第二结果。

一种可实现的方案中，第一设备可以根据公私钥对中的私钥和密文采用 KEM中包含的解封装算法获得原始密钥。同理，第一设备采用的解封装算法，与步骤 203中第二设备采用的封装算法，以及步骤 201中第一设备采用的密钥生成算法属于相同的 KEM。在本申请实施例的具体实施过程中，通信主体双方可以事先预定或预配置至少一种 KEM，且通信主体双方在进行密钥协商通信时选择相同的 KEM。例如，设备 A采用 LPN KEM中的密钥生成算法生成一个公私钥对，并将该公私钥对中的公钥发送给设备 B。设备 B在接收到设备 A 发送的公钥后，采用 LPN KEM中包含的封装算法，根据公钥选取原始密钥，并根据公钥和原始密钥获得密文，将密文发送给设备 A。设备 A在接收到设备 B发送的密文后，采用 LPN KEM中包含的解封装算法，根据密文和公私钥对中的私钥获得原始密钥。

应理解的是，为了保证第二设备确定的第二比特串与第一设备确定的第二比特串相同，第一设备确定第二比特串的方式与第二设备确定第二比特串的方式相同。进一步地，第一设备可以根据第二比特串与第一结果采用第二设备计算第一结果时采用的算法计算第二结果，例如，第二设备根据第一比特串和第二比特串采用异或运算计算得到第一结果，则第一设备根据第二比特串和第一结果采用异或运算计算得到第二结果。

步骤 207 : 第一设备向第二设备发送第二结果。第一设备可以通过公开信道将第二结果发送给第二设备。

步骤 208 : 第二设备从在第一比特串与第二结果相同的情况下，第二设备对第一设备认证成功。在第一比特串与第二结果不相同的情况下，第二设备对第一设备认证失败。此时，第一设备需要与第二设备重新执行密钥协商，第一设备可以重新生成一个公私钥对，重复执行上述步骤直至步骤 208中第二设备对第一设备认证成功为止。

步骤 209 : 第二设备向第一设备发送打开值。第二设备可以通过公开信道将打开值发送给第一设备。这里的打开值为上述步骤 203中获得的打开值。

步骤 210 : 第二设备生成用于与第一设备通信的会话密钥。第二设备可以根据第一设备的身份标识符、第二设备的身份标识符、公钥、密文、承诺值、打开值、原始密钥、第二结果中的一个或多个参数生成用于与第一设备通信的会话密钥，例如，第二设备可以根据第一设备的身份标识符、第二设备的身份标识符、公钥和原始密钥生成用于与第一设备通信的会话密钥。又例如，第二设备可以根据第一设备的身份标识符、第二设备的身份标识符、公钥、密文、承诺值、打开值、原始密钥、第二结果采用 Hash函数生成用于与第一设备通信的会话密钥。

此外，在第二设备生成用于与第一设备通信的会话密钥后，第二设备可以刪除公钥，以节省第二设备的存储空间。当第二设备重新发起与第一设备执行密钥协商时，或者，当第二设备发起与第三设备执行密钥协商时，第二设备重新生成一个公私钥对，其中，第三设备为除第一设备外的任一设备。相较于现有技术中，通信主体双方需要保存公私钥对、口令等作为密钥协商和认证的材料，占用大量存储空间，在本申请实施例中，当第二设备生成用于与第一设备通信的会话密钥后，第二设备刪除公钥，可以节省存储空间，因此，本申请实施例提供的方法更加适用于硬件能力受限的设备。

应理解的是，步骤 209和步骤 210的顺序可以调换或者两个步骤同时进行，本申请不限定这两个步骤的执行顺序。

步骤 211 : 第一设备根据接收到的打开值和承诺值对第二设备进行认证，得到认证结果，认证结果用于指示第一设备对第二设备认证成功，并生成用于与第二设备通信的会话密钥。

若承诺值和打开值是第二设备根据第一比特串和随机数获得，则第一设备采用打开算法根据打开值和承诺值获得第三结果（即采用打开算法根据打开值和承诺值解出第一比特串），当第一设备确定第三结果与第二结果相同（即第一设备确定第一比特串与第二结果相同）时，则第一设备确定对第二设备认证成功。应理解的是，第二设备采用的承诺算法与第二设备采用的打开算法属于相同的承诺方案。

或者，若承诺值是第二设备采用哈希算法根据第一比特串和随机数获得，打开值为该随机数，则第一设备采用哈希算法根据打开值和第二结果生成第四结果（即重新生成一个承诺值），当第一设备确定第四结果与承诺值相同时（即第一设备确定两个承诺值相同），则第一设备确定对第二设备认证成功。应理解的是，第二设备采用的哈希算法与第一设备采用的哈希算法相同。

此外，第一设备生成的用于与第二设备通信的会话密钥，与第二设备生成的用于与第一设备通信的会话密钥相同，即两者采用相同的参数利用相同的函数生成相同的密钥。

在第一设备生成用于与第二设备通信的会话密钥后，第一设备也可以刪除公私钥对。当第一设备发起与第二设备重新执行密钥协商时，第一设备重新生成一个公私钥对，采用新生成的公私钥对与第二设备进行密钥协商，以节省第一设备的存储空间。或者，当第一设备发起与第三设备执行密钥协商时，第一设备重新生成一个公私钥对，其中，第三设备为除第一设备外的任一设备。相较于现有技术中，通信主体双方需要保存公私钥对、口令等作为密钥协商和认证的材料占用大量存储空间，在本申请实施例中，当第一设备不保存公私钥对，可以节省存储空间，因此，本申请实施例提供的方法更加适用于硬件能力受限的设备。下面以设备 A与设备 B的密钥协商过程为例，说明如图 2所示实施例提供的密钥协商方法，具体如图 3所示。

设备 A可以采用 KEM中包含的密钥生成算法生成随机的公私钥对（sk, pk）,并可以通过公开信道将公钥 pk发送给设备 B，设备 A保存私钥 sk。

设备 B可可以采用 KEM中包含的封装算法根据公钥 pk选取原始密钥 k，根据原始密钥 k 和公钥 pk计算得到密文 C，并将原始密钥 k的高比特上的连续 L比特记为第二比特串 K，计算第二比特串 K与第一比特串 S （长度为 L的随机比特串）的异或结果作为第一结果 E，其中， E = K©S_c 工作人员可以通过从设备 B读取第一结果 E，然后在设备 A上输入第一结果 E_c 同时，设备 B计算采用承诺方案中包含的承诺算法，对第一比特串 S执行承诺，选择随机数 r，得到承诺值 F和打开值 t。设备 B可以通过公开信道将密文 C和承诺值 F发送给设备 A。

设备 A可以根据私钥 sk和密文 C采用 KEM中包含的解封装算法得到原始密钥 k, 并确定原始密钥 k的高比特上的连续 L比特作为第二比特串 K, 然后将第二比特串 K和第一结果 E进行异或运算得到第二结果 S’ ，其中， S' = K®E。设备 A可以通过公开信道将第二结果 S’ 发送给设备 B。

设备 B检查第二结果 S’ 是否等于第一比特串 S : 若不相等，则可以确定对设备 A认证失败，不再继续执行密钥协商；若相等，则可以确定对设备 A认证成功，设备 B可以通过公开信道将打开值 t发送给设备 A。

设备 A在收到打开值 t后，可以根据承诺值 F和打开值 t采用承诺方案中包含的打开算法得到第三结果 S’ ’ 。进一步地，设备 A检查第三结果 S’ ’是否等于第二结果 S’ ：若相等，则可以确定对设备 B认证成功；若不相等，则可以确定对设备 B认证失败。

若设备 A和设备 B都认证成功，最后双方计算出会话密钥 SK=H(AIIBIIpklOFIIS’ lltllk), 其中， A和 B分别表示设备 A的身份标识符和设备 B的身份标识符。 AlIBNpkNCNFNS’ lltllk可视为会话识别号 (Session ID)。

另外，可以用 Hash函数 H(S, r)来代替上述承诺方案。具体的，设备 B对第一比特串 S进行承诺时，选择随机数 r后计算承诺值 F=H(S, r)，并置打开值 t=r，而设备 A收到打开值 t后，若确定打开值 t满足 F=H(S’ ， t)，或者计算第四结果 F’ =H(S ^, , t), 确定 F’ =F，则可以确定对设备 B认证成功。下面结合具体 KEM说明如图 2和图 3所示实施例的具体实施过程。

应理解的是，下面 4个实施例仅对两个通信主体 (以设备 A和设备 B为例)使用具体 KEM 的过程进行详细描述，其他过程与上述实施例类似，此处不再进行描述。

实施例 1 : KEM为 RLWE KEM。

其中，该 KEM为 CRYSTALS提出的具体 KEM 。 CRYSTALS是美国国家标准与技术研究院 (National Institute of Standards and Technology， NIST) 后量子密码竞赛的一个候选算法套件，包括加密、签名和密钥协商机制，该 KEM是典型的格密码方案。

RLWE KEM工作在多项式环 R_q = Z_q[x]/(xⁿ + l)上，其中， q是一个素数， n是一个整数， x是多项式变量， Z_p表示模一个素数 p的所有剩余类，即 Z_p = {0,l,2 p - l}_c R_q中每个元素是一个次数不超过 n-1的多项式。另外，用; x表示 R_q上的离散高斯分布 (discrete Gaussian distribution)。 RLWE KEM具体算法和使用描述如下：

密钥生成：设备 A可以随机选取 s, e e _X ^k，并计算 b = As + e, 其中， k是一个正整数，而 A e R$^xk是一个 k行 k列的矩阵。设备 A将 s作为 KEM私钥存储，将 KEM公钥 (A, b)发给设备 B。

封装过程：设备 B在收到 KEM公钥 (A, b)后，可以随机选取 t, f e x^k，并计算 c = A^Tt + f，将密文 c发给设备 A。这里密文 c是对原始密钥 b^Tt的加密， b^Tt e R_q作为一个 n-1次多项式，其每个系数的奇偶性就表示原始密钥的一个比特。

解封装过程：设备 A在收到密文 c后，可以使用 KEM私钥 s计算 s^Tc e R_q,并将 s^Tc作为原始密钥。

上述 KEM实现的一个关键问题是， b^Tt和 s^Tc并不绝对相等，应理解的是，只要相关参数和向量选择合适，二者就可以非常接近。设备 A在解封装时，需对密文和解密后的原始密钥进行适当的调和 (reconciliation)，即一些近似和编码操作，从而可保证 KEM解封装失败的可能性非常低。

另外，为减少传输数据，在一种可能的设计中， KEM公钥 (A, b)中包含的多项式矩阵 A可以由一个 256比特的随机种子按既定方法计算出来，这样设备 A只需要给设备 B发送随机数和 b即可，而不必发送完整的矩阵 A。

下面是 NIST后量子密码算法标准化候选算法 CRYSTALS给出的参数，可以作为本申请实施例的一种具体实现：

系统参数： n=256, q=7681=2¹³-2⁹+l, k=3。

对于上述系统参数， KEM公钥为 1088字节 (Bytes), KEM私钥为 2400字节，密文为 1184 字节，原始密钥长度为 256比特，解封装失败率为 2^_142。

此外，上述设备 A和设备 B使用的 KEM公私钥对是临时产生的、只用一次。所以，与现有技术中解密失败可能造成部分泄露私钥信息不同，这里 KEM解封装失败只意味着通信双方需要再次产生并使用另一对 KEM公私钥。因此，可以对上述系统参数进行优化，以适当增大解封装失败率为代价，减小 KEM公私密钥及密文的大小，进而提高计算效率和通信效率。实施例 2: KEM为 LPN KEM。

LPN KEM工作在二元域 Z₂上。参数 n, q, N, L, D均为正整数。参数 n和 q的选择需要适当保证 LPN问题是困难的， n决定了密文的大小。 N是纠错码 C[N, L, D]码字的比特长度，也是编码后被封装信息的比特长度，其中，纠错码 C[N, L, D]表示将长度为 L比特的信息编码为 N比特的码字，各有效码字间的海明距离 (Hamming distance)至少是 D，记 Ber_TS具有参数 T的贝努利分布 (Bernouilli distribution) ,即该分布以 T的概率输出 1，而以 1-T的概率输出 0。

K是编码前信息的比特长度。对于所给的贝努利分布参数 T，参数 D决定封装后的消息有多少错误可以被纠正。这里推荐可被纠错的错误不超过 10%。具体 LPN KEM算法和使用描述如下：

密钥生成：设备 A可以随机选取矩阵 S e Zg^xN、 A e zg^xn和 E e Ber^^xN,计算 B = AS + E。随后，设备 A将 S作为 KEM私钥存储，将 KEM公钥 (A, B)发送给设备 B。

封装过程 :设备 B在收到 KEM公钥 (A, B)后，设备 B可以选择随机向量 f e Berl 将 f^TB G ZpNt为原始密钥，计算并发送密文 u^T = f^TA给设备 A。

解封装过程：设备在 A收到密文 u^T后，可以根据 KEM私钥 S计算 u^TS e Z ^xN，并将其作为原始密钥。

同样地，上述 LPN KEM实现的一个关键问题是， u^TS和 f^TB并不绝对相等。应理解的是，只要选择合适的相关参数， E和 f分别为噪音矩阵和噪音向量，故而 u^TS和 f^TB二者的比特值非常接近的概率很大。事实上， f^TB - u^TS = f^TE的平均海明重量 (Hamming weight)为 Nqx²，只要 Nqx² < D/2, 设备 A计算得到的 u^TS就能以高概率与设备 B持有的原始密钥 f^TB相同。

具体来讲，对于 i比特的真正原始密钥 _c，设备 B可以将其分成 j块，每块长度为 L比特 (对最后一块进行填充) 。这里， (j - 1)N < i S JiV。然后对每块使用纠错码 C[N, L, D]将 L比特编码为 N比特的码字，将每个码字视为一个属于 Z ^xN的一行 N列的行向量 (即上述方案中的 f^TB)，设备 B可以使用上述 KEM公钥将其封装后发送设备 A。在收到所有 j块封装信息后，设备 A可以使用上述 KEM私钥对所有 j块进行解封装，然后利用纠错码 C[N, L, D]解码各块，最后恢复出 i比特长的真正原始密钥 c。这里的关键是，需要选择合适参数使得封装和解封装的误差 (即 f^TB - u^TS)能够被纠错码 C[N, L, D]将其视为错误后能以高概率纠正过来。下面推荐两种方案能够实现正确纠错的概率至少为 90% (也就是说，解封装失败率不超过 10% ) 。

方案一：使用 Golay码［23, 12, 7］传送 140比特的真正原始密钥 c。

首先，设备 B可以将 140比特的真正原始密钥 c，拆分成 12个块，每个块 12比特 (使用适当的方式填充最后一个块的 4比特)。

随后，设备 B可以将每个 12比特的块使用 Golay码［23, 12, 7］编码为 23比特的码字，这样一共产生 12个码字。

设备 B再将这 12个码字使用上述 KEM公钥分别进行封装，然后将所得到封装后的结果发给设备 A。

设备 A可以将收到的 12个封装块先使用上述 KEM私钥进行解封装，然后对得到的结果按 Golay码［23, 12, 7］进行解码、纠错，即可恢复出 140比特的真正原始密钥 c。

为保证设备 A能正确纠错，即可恢复出正确的真正原始密钥 c，推荐使用的 LPN KEM 参数 (q, T)见图 4中的第一栏和第二栏。

若使用参数 (q = 512, x = 0.0029), n=512, 则传送 140比特真正原始密钥相关性能指标如下：公钥为 34240字节，私钥为 1472字节，密文为 64字节，解封装失败率为 10%。

在一种可能的设计中，为了减少 KEM公钥 (A, B)中的 A大小，设备 B可以选择由一 256 比特的随机数种子生成 A。这时， KEM公钥的变小为 1504字节。方案 2 : 使用级联码 (Concatenated Code)进行编码，传送 140比特的真正原始密钥 c。比如，可使用 Reed-Solomon［15, 7, 9］作为外码和具有单比特纠错能力的 Hamming［7, 4］作为内码。

首先，设备 B可以将 140比特的真正原始密钥 c拆分成 5个块，每个块 28比特。

随后，设备 B可以将每个 28比特的块使用外码 Reed-Solomon［15, 7, 9］进行编码。也就是说，将 28比特视为 7个 4比特，每个 4比特当作 Reed-Solomon［15, 7, 9］的一个字母。这样，一个 28比特的块将被编码为一个 15x4=60比特的 Reed-Solomon［15, 7, 9］码字。 5个块一共编码为 5个码字，长度为 5x60=300比特。

接下来，设备 B使用内码 Hamming ［7, 4］对上一步得到的 5个 Reed-Solomon码字中的每个字母 (长度为 4比特)进行编码，即将每个 4比特的字母编码为 7比特的 Hamming［7, 4］码字。这样， 5个块一共得到 5x15=75个 Hamming［7, 4］码字。

之后，设备 B使用上述 KEM公钥，对这 75个 Hamming［7, 4］码字 (共计 5x15x7=525比特) 进行封装，并将所得到的封装结果发给设备 A。

设备 A在收到上述封装结果后，可以先使用 KEM私钥进行解封装，然后对所得到的结果按内码 Hamming［7, 4］进行解码、纠错，再按外码 Reed-Solomon［15, 7, 9］进行解码、纠错，以恢复出 140比特的真正原始密钥 c。

为保证设备 A能以不低于 90%的概率正确纠错以复出正确的真正原始密钥 c，推荐使用的 LPN KEM参数 (q, T)见图 3中的第一栏和第三栏。

若使用参数 (q = 512, x = 0.0063, n=512, N=105, L=28), 则传送 140比特真正原始密钥相关性能指标如下： KEM公钥为 39488字节， KEM私钥为 6720字节，密文为 128字节，解封装失败率为 10%。实施例 3 : KEM为 NTRU KEM。

其中， NTRU已经在 IEEE 1394标准化，目前在 IETF进行推标，同时也是 NIST后量子标准化项目的一个候选算法。与 RLWE KEM类似， NTRU也工作在多项式环 R_q = Z_q [x]/(xⁿ + 1)上，其中 q是一个素数，是系统参数，是已知和公开的，整数 n表示待封装密钥或消息的比特长度。另外，用 R_q,s表示 R_q中所有小系数的多项式。 NTRU KEM算法和使用如下：密钥生成：设备 A可以随机选取小系数多项式 g e R_q,s作为 KEM私钥，计算 h = f/g e R_q为 KEM公钥并将其发送给设备 B，其中 f e R_q,s是另一 i随机的小系数多项式。

封装过程：设备 B在收到 KEM公钥 h e R_q后，对于一个 n比特的原始密钥 m e Zg，将其各个比特视为系数为 0或 1的一个小系数多项式，设备 B可以选取两随机多项式 r, e e 1^_,5使得 m = e mod 2,然后计算 c = 2hr + e G R_q并将 c发给设备 A。这里密文 c即是对原始密钥 m 的加密。

解封装过程：设备 A在收到 c后，可以使用 KEM私钥 g计算 ((cg mod q)mod 2)/g e R_q, 并将该结果作为原始密钥。

同样的，上述 NTRU KEM实现的一个关键问题是， ((eg mod q)mod 2)/g和 e mod 2并总是相等。应理解的是，只要相关参数选择合适， g, f, r, e e Rq_,sS够小，二者相等的概率就非常大。也就是说，经过适当的调和 (reconciliation)，上述 NTRU KEM解封装失败的可能性可以非常低。

根据 NTRU所推荐的系统参数，对于 128比特量子安全，上述 NTRU KEM可使用如下参数：

系统参数: 11=512^=12289 (14比特)；小系数选取集合{0, ±1, ±2,..., ±12 }中的元素。对于上述系统参数， KEM公钥为 896字节， KEM私钥为 320字节，密文为 896字节，而被封装的原始密钥长度为 512比特，解封装失败率小于 2^_3Q。其中， 128比特量子安全是密码强度的概念，相当于要破解这个密码系统，需要做 2的 128次方个密码操作。

若原始密钥的长度更长，也可以在上述系统参数中将 n设置为 1024。实施例 4 : KEM是 DH (Diffie-Hellman) KEM。

与上述三个实施例不同，由于 DH问题在量子计算下不再安全，所以采用 DH KEM的密钥协商方法不是量子安全的。但该方法仍具有现实意义。具体的现实意义可以包括但不限于以下方面：第一，在量子计算机成为现实前，该方法是安全的，所以可在合适的场景使用。第二，与上述三个基于格密码的实施例相比，采用 DH KEM的密钥协商方法对应的 KEM 公私钥长度都会大幅度降低，变为格密码的 1/4到 1/30，通信效率显著提升。

其中，令 p为素数， G是某 p阶乘法群， g e G为群 G的一个生成元。 H()为一安全的 hash 函数，其输出为 K比特。基于 DH KEM的密钥协商方法如图 5所示，具体描述如下：

设备 A可以随机选取 x e Z_p作为 KEM私钥，计算 KEM公钥 X = g^x G G并通过公开信道将 X发送给设备 B，设备 A保存 KEM私钥 X。

设备 B在接收到 KEM公钥 X后，可以随机选取 y e Z_p，置原始密钥为 k = H^X^，计算密钥封装值 C = Y = gY e G。设备 B确定 k的高比特 1位 K和长度为 1比特的随机比特串 S的异或结果 E (即 E=K㊉ S) 。设备 A获取 E (具体可以采用步骤 105提供的任一方案) 。设备 B可以选择随机数 r e {0, 1}^{4 K} , 计算 F = H(S, r)作为对 S的承诺值，并通过公开信道将 (Y, F)发送给设备 A。

设备 A使用 KEM私钥 x解密 Y得到 k, k = H(；Y^x：)，根据 k得到 K, 然后将 K和 E进行异或运算得到 S’ (即 S'=K©E)，将 S’ 发送给设备 B。

设备 B检查 S’ 是否等于 S : 若不相等，则不再继续执行密钥协商；若相等，即对设备 A认证成功，并将承诺打开值 r发送给设备 A。

设备 A在收到检查 r后，检查 F是否等于 H(S ' , r) :若相等，则设备 A对设备 B认证成功；若不相等，则设备 A对设备 B认证失败。

若设备 A和设备 B都认证成功，最后双方计算出会话密钥 SK=H(ANBNXIIYNFNS’ llrllk)。与常规基于离散对数问题的密码系统 (比如数字签名算法标准 (Digital Signature Algorithm ， DSA)标准签名，施诺 (Schnorr) 签名，艾伽马 (ElGamal) 加密)类似，上述 DH KEM有两种典型参数选择：剩余类群和椭圆曲线上的群。具体来说，上述方案中的群 G可选为有限域 Z_q的一个 p阶乘法子群，其中 p和 q都是素数， JLplq- 1。 p的比特长度一般可选择 1024， 1536或 2048 , q的比特长度可为 128或 256。或者， G可以是基于 256比特的椭圆曲线群，而 q 的比特长度可为 128或 256。

由上述各个实施例可知，本申请实施例提供的方法只在协商时生成和使用一个临时的 KEM公钥对，通信双方共执行 2次 KEM加解密操作，以及一些简单的承诺操作。因此，与现有技术中提到的 Kyber协议和系统参数优化后的量子协议相比，在一定程度保证安全的情况下效率提高明显，且实施简便。

本申请实施例提供的方法具有严格的可证明安全性。具体来说，如果其中所使用的 KEM和承诺方案都是安全的，则本申请实施例提供的方法在标准模型下是安全的；如果其中所使用的 KEM和 Hash函数都是安全的，则本申请实施例提供的方法在随机预言模型 (random oracle)下是安全的。另外，若所使用的 KEM还是量子安全的，则本申请实施例提供的方法是量子安全的。基于以上实施例，本申请实施例提供一种密钥协商装置 600，在一种示例下，所述密钥协商装置 600可以被包括于密钥协商系统中的第一设备中，如图 6所示，该装置 600包括：处理单元 610，用于采用密钥生成算法生成一个公私钥对；

收发单元 620，用于向第二设备发送所述公私钥对中的公钥，接收密文和承诺值，所述密文是根据所述公钥和原始密钥采用封装算法获得的，所述原始密钥是根据所述公钥采用所述封装算法选取的，所述承诺值是根据第一比特串和随机数采用承诺算法获得的，所述第一比特串为随机比特串；

所述收发单元 620，还用于获取第一结果，所述第一结果是根据所述第一比特串和第二比特串计算得到的，所述第二比特串是根据所述原始密钥中的部分比特确定的；

所述处理单元 610，还用于根据所述公私钥对中的私钥和所述密文采用解封装算法获得所述原始密钥，并根据所述原始密钥中的所述部分比特确定所述第二比特串；根据所述第二比特串和所述第一结果计算得到第二结果；

所述收发单元 620, 还用于向所述第二设备发送所述第二结果；接收打开值，其中，所述打开值是在所述第一比特串与所述第二结果相同的情况下所述第二设备向所述第一设备发送的，所述打开值是根据所述第一比特串和所述随机数采用所述承诺算法获得的；所述处理单元 610，还用于根据所述打开值和所述承诺值对所述第二设备进行认证，得到认证结果，所述认证结果用于指示所述第二设备对所述第二设备认证成功，并生成用于与所述第二设备通信的会话密钥。在一种可能的设计中，所述处理单元 610，具体用于：

采用第一算法对所述第二比特串和所述第一结果进行计算，以得到第二结果；所述第一算法为异或运算、模加法运算、模减法运算、模乘法运算中的任意一种运算或多种运算的组合。

在一种可能的设计中，所述处理单元 610，还用于：

在生成用于与所述第二设备通信的会话密钥后，刪除所述公私钥对；当发起与所述第二设备重新执行密钥协商，或者，当发起与第三设备执行密钥协商，重新生成一个公私钥对。

在一种可能的设计中，所述处理单元 610，具体用于：

根据所述第一设备的身份标识符、所述第二设备的身份标识符、所述公钥、所述密文、所述承诺值、所述打开值、所述原始密钥、所述第二结果中的一个或多个参数生成用于与所述第二设备通信的会话密钥。基于以上实施例，本申请实施例提供一种密钥协商装置 700，在一种示例下，所述密钥协商装置 700可以被包括于密钥协商系统中的第二设备中，如图 7所示，该装置 700包括：收发单元 710，用于接收公钥，所述公钥为采用密钥生成算法生成的一个公私钥对中的公钥；

处理单元 720，用于根据所述公钥采用所述封装算法选取原始密钥，根据所述公钥和所述原始密钥采用所述封装算法获得密文，以及根据第一比特串和随机数采用承诺算法获得承诺值和打开值；所述收发单元 710，还用于向所述第一设备发送所述密文和所述承诺值，所述第一比特串为随机比特串；

所述处理单元 720，还用于根据所述原始密钥中的部分比特确定第二比特串，根据所述第一比特串和所述第二比特串计算得到第一结果；

所述收发单元 710，还用于：接收第二结果，所述第二结果是根据所述第二比特串和所述第一结果计算得到的；

所述处理单元 720，还用于：在所述第一比特串与所述第二结果相同的情况下，生成用于与所述第一设备通信的会话密钥，其中所述第一比特串与所述第二结果相同表示所述第二设备对所述第一设备认证成功；所述收发单元 710，还用于向所述第一设备发送所述打开值。

在一种可能的设计中，所述处理单元 720，具体用于：

采用第一算法对所述第一比特串和所述第二比特串进行计算，以得到第一结果；所述第一算法为异或运算、模加法运算、模减法运算、模乘法运算中的任意一种运算或多种运算的组合。

在一种可能的设计中，所述处理单元 720，还用于：

在生成用于与所述第一设备通信的会话密钥后，刪除所述公钥；当发起与所述第一设备重新执行密钥协商，或者，当发起与第三设备执行密钥协商，生成一个公私钥对。

在一种可能的设计中，所述处理单元 720，具体用于：

根据所述第一设备的身份标识符、所述第二设备的身份标识符、所述公钥、所述密文、所述承诺值、所述打开值、所述原始密钥、所述第二结果中的一个或多个参数生成用于与所述第一设备通信的会话密钥。可以理解的，关于图 6和图 7的密钥协商装置包括的功能模块的具体实现方式及相应的有益效果，可参考前述图 2所示实施例的具体介绍，这里不贅述。

应理解以上各个单元的划分仅仅是一种逻辑功能的划分，实际实现时可以全部或部分集成到一个物理实体上，也可以物理上分开。且这些单元可以全部以软件通过处理元件调用的形式实现；也可以全部以硬件的形式实现，还可以部分单元以软件通过处理元件调用的形式实现，部分单元以硬件的形式实现。在实现过程中，上述方法的各步骤或以上各个单元可以通过处理器元件中的硬件的集成逻辑电路或者软件形式的指令完成。

例如，以上这些单元可以是被配置成实施以上方法的一个或多个集成电路，例如：一个或多个特定集成电路 (Application Specific Integrated Circuit， ASIC) ，或，一个或多个微处理器 (digital signal processor, DSP) ，或，一个或者多个现场可编程门阵列 (Field Programmable Gate Array, FPGA) 等。再如，当以上某个单元通过处理元件调度程序的形式实现时，该处理元件可以是通用处理器，例如中央处理器 (Central Processing Unit, CPU) 或其它可以调用程序的处理器。再如，这些单元可以集成在一起，以片上系统 ( system-on-a-chip , S0C) 的形式实现。

作为另一种可选的变形，本申请实施例提供一种密钥协商装置，示例性地，可以为一种芯片，该装置包括处理器和接口，该接口可以为输入 /输出接口。其中，处理器完成上述图 6中处理单元 610，接口完成上述图 6中收发单元 620。或处理器完成上述图 7中处理单元 720的功能，接口完成上述图 7中收发单元 710的功能。该装置还可以包括存储器，存储器用于存储可在处理器上运行的程序，处理器执行该程序时实现上述如图 2所示实施例的方法。

基于以上实施例，本申请实施例还提供了一种通信设备，参阅图 8所示，该通信设备 800中包括：收发器 801、处理器 802、存储器 803。其中，存储器 803用于存储计算机程序；处理器 802调用存储器 803存储的计算机程序，通过收发器 801执行上述如图 2所示的方法实施例中第一设备的步骤或第二设备的步骤。其中，处理器可以是 CPU，网络处理器 (network processor, NP)，硬件芯片或者其任意组合。存储器可以包括易失性存储器 (volatile memory)，例如随机存取存储器 ( random access memory , RAM ) , 也可以包括非易失性存储器 (non-volatile memory) , 例如只读存储器 (read-only memory， ROM)，快闪存储器 (flash memory) ，硬盘 (hard disk drive, HDD) 或固态硬盘 (solid-state drive， SSD) ，存储器还可以包括上述种类的存储器的组合。

可以理解的，上述图 6或图 7所示实施例中的装置可以以图 8所示的通信设备 800实现。具体的，图 6中处理单元 610可以由处理器 802实现，收发单元 620可以由收发器 801实现。图 7中处理单元 720可以由处理器 802实现，收发单元 710可以由收发器 801实现。通信结构 800的结构并不构成对本申请实施例的限定。

本申请实施例提供一种密钥协商系统，包括第一设备和第二设备。示例性地，该系统可以包括两个如图 8所示的通信设备，其中，一个设备用于执行上述如图 2所示的方法实施例中第一设备的步骤，另一个设备用于执行上述如图 2所示的方法实施例中第二设备的步骤。

本申请实施例还提供一种计算机可读存储介质，该计算机可读存储介质存储有计算机程序，当该计算机程序在计算机上运行时，使得计算机执行上述如图 2所示实施例的方法。

综上所述，本申请实施例提供的方法只在协商时生成和使用一个临时的 KEM公钥对，通信双方共执行 2次 KEM加解密操作，以及一些简单的承诺操作。因此，与现有技术中提到的 Kyber协议和系统参数优化后的量子协议相比，在一定程度保证安全的情况下效率提高明显，且实施简便。

另外，目前量子安全的密码系统公私钥尺寸都比较大，这些量子安全 AKE需要通信双方持有长期使用的量子安全公私密钥对，对设备的存储能力也是一个挑战。但本申请实施例提供的方法不需要存储公私密钥对，每次密钥协议所用到的 KEM公私密钥对都是临时的，一次使用完后即可刪除，可以有效节省设备的存储空间。

本领域内的技术人员应明白，本申请实施例可提供为方法、系统、或计算机程序产品。因此，本申请实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、 CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本申请实施例是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和 /或方框图来描述的。应理解可由计算机程序指令实现流程图和 /或方框图中的每一流程和 /或方框、以及流程图和 /或方框图中的流程和 /或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和 /或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和 /或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和 /或方框图一个方框或多个方框中指定的功能的步骤。

显然，本领域的技术人员可以对本申请实施例进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请实施例的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims

权利要求

1、一种密钥协商系统，其特征在于，包括第一设备和第二设备，其中：

所述第一设备用于采用密钥生成算法生成一个公私钥对，向所述第二设备发送所述公私钥对中的公钥；

所述第二设备用于根据接收到的所述公钥采用封装算法选取原始密钥，根据所述公钥和所述原始密钥采用所述封装算法获得密文，以及根据第一比特串和随机数采用承诺算法获得承诺值和打开值，向所述第一设备发送所述密文和所述承诺值，所述第一比特串为随机比特串；以及，根据所述原始密钥中的部分比特确定第二比特串，根据所述第一比特串和所述第二比特串计算得到第一结果；

所述第一设备还用于根据所述公私钥对中的私钥和接收到的所述密文采用解封装算法获得所述原始密钥，并根据所述原始密钥中的所述部分比特确定所述第二比特串；根据所述第二比特串和所述第一结果计算得到第二结果，向所述第二设备发送所述第二结果；所述第二设备还用于在所述第一比特串与接收到的所述第二结果相同的情况下，向所述第一设备发送所述打开值并生成用于与所述第一设备通信的会话密钥，其中所述第一比特串与所述第二结果相同表示所述第二设备对所述第一设备认证成功；

所述第一设备还用于根据接收到的所述打开值和所述承诺值对所述第二设备进行认证，得到认证结果，所述认证结果用于指示所述第一设备对所述第二设备认证成功，并生成用于与所述第二设备通信的会话密钥。

2、如权利要求 1所述的系统，其特征在于，所述第二设备具体用于采用第一算法对所述第一比特串和所述第二结果进行计算，以得到第一结果；

所述第一设备具体用于采用所述第一算法对所述第二比特串和所述第一结果进行计算，以得到第二结果；

所述第一算法为异或运算、模加法运算、模减法运算、模乘法运算中的任意一种运算或多种运算的组合。

3、如权利要求 1或 2所述的系统，其特征在于，所述第一设备还用于在所述第一设备生成用于与所述第二设备通信的会话密钥后，刪除所述公私钥对；当发起与所述第二设备重新执行密钥协商，或者，当发起与第三设备执行密钥协商，重新生成一个公私钥对。

4、如权利要求 1-3任一项所述的系统，其特征在于，所述第二设备还用于在所述第二设备生成用于与所述第一设备通信的会话密钥后，刪除所述公钥；当发起与所述第一设备重新执行密钥协商，或者，当发起与第四设备执行密钥协商，生成一个公私钥对。

5、如权利要求 1-4任一项所述的系统，其特征在于，所述第一设备具体用于根据所述第一设备的身份标识符、所述第二设备的身份标识符、所述公钥、所述密文、所述承诺值、所述打开值、所述原始密钥、所述第二结果中的一个或多个参数生成用于与所述第二设备通信的会话密钥；

6、一种密钥协商方法，其特征在于，包括：

第一设备采用密钥生成算法生成一个公私钥对，向第二设备发送所述公私钥对中的公钥；

所述第一设备接收密文和承诺值，所述密文是根据所述公钥和原始密钥采用封装算法获得的，所述原始密钥是根据所述公钥采用所述封装算法选取的，所述承诺值是根据第一比特串和随机数采用承诺算法获得的，所述第一比特串为随机比特串；

所述第一设备获取第一结果，所述第一结果是根据所述第一比特串和第二比特串计算得到的，所述第二比特串是根据所述原始密钥中的部分比特确定的；

所述第一设备根据所述公私钥对中的私钥和所述密文采用解封装算法获得所述原始密钥，并根据所述原始密钥中的所述部分比特确定所述第二比特串；

所述第一设备根据所述第二比特串和所述第一结果计算得到第二结果，向所述第二设备发送所述第二结果；

所述第一设备接收打开值，其中，所述打开值是在所述第一比特串与所述第二结果相同的情况下所述第二设备向所述第一设备发送的，所述打开值是根据所述第一比特串和所述随机数采用所述承诺算法获得的；

所述第一设备根据所述打开值和所述承诺值对所述第二设备进行认证，得到认证结果，所述认证结果用于指示所述第二设备对所述第二设备认证成功，并生成用于与所述第二设备通信的会话密钥。

7、如权利要求 6所述的方法，其特征在于，所述第一设备根据所述第二比特串和所述第一结果计算得到第二结果，包括：

所述第一设备采用第一算法对所述第二比特串和所述第一结果进行计算，以得到第二结果；

8、如权利要求 6或 7所述的方法，其特征在于，在所述第一设备生成用于与所述第二设备通信的会话密钥后，还包括：

所述第一设备刪除所述公私钥对；

当所述第一设备发起与所述第二设备重新执行密钥协商，或者，当所述第一设备发起与第三设备执行密钥协商，所述第一设备重新生成一个公私钥对。

9、如权利要求 6-8任一项所述的方法，其特征在于，所述第一设备生成用于与所述第二设备通信的会话密钥，包括：

所述第一设备根据所述第一设备的身份标识符、所述第二设备的身份标识符、所述公钥、所述密文、所述承诺值、所述打开值、所述原始密钥、所述第二结果中的一个或多个参数生成用于与所述第二设备通信的会话密钥。

10、一种密钥协商方法，其特征在于，包括：

第二设备接收公钥，所述公钥为采用密钥生成算法生成的一个公私钥对中的公钥；所述第二设备根据所述公钥采用所述封装算法选取原始密钥，根据所述公钥和所述原始密钥采用所述封装算法获得密文，以及根据第一比特串和随机数采用承诺算法获得承诺值和打开值，向所述第一设备发送所述密文和所述承诺值，所述第一比特串为随机比特串；所述第二设备根据所述原始密钥中的部分比特确定第二比特串，根据所述第一比特串和所述第二比特串计算得到第一结果；

所述第二设备接收第二结果，所述第二结果是根据所述第二比特串和所述第一结果计算得到的；

所述第二设备在所述第一比特串与所述第二结果相同的情况下，向所述第一设备发送所述打开值，并生成用于与所述第一设备通信的会话密钥，其中所述第一比特串与所述第二结果相同表示所述第二设备对所述第一设备认证成功。

11、如权利要求 10所述的方法，其特征在于，所述第二设备根据所述第一比特串和所述第二比特串计算得到第一结果，包括：

所述第二设备采用第一算法对所述第一比特串和所述第二比特串进行计算，以得到第一结果；

12、如权利要求 10或 11所述的方法，其特征在于，在所述第二设备生成用于与所述第一设备通信的会话密钥后，还包括：

所述第二设备刪除所述公钥；

当所述第二设备发起与所述第一设备重新执行密钥协商，或者，当所述第二设备发起与第三设备执行密钥协商，所述第二设备生成一个公私钥对。

13、如权利要求 10-12任一项所述的方法，其特征在于，所述第二设备生成用于与所述第二设备通信的会话密钥，包括：

所述第二设备根据所述第一设备的身份标识符、所述第二设备的身份标识符、所述公钥、所述密文、所述承诺值、所述打开值、所述原始密钥、所述第二结果中的一个或多个参数生成用于与所述第一设备通信的会话密钥。

14、一种密钥协商装置，其特征在于，包括：

处理单元，用于采用密钥生成算法生成一个公私钥对；

收发单元，用于向第二设备发送所述公私钥对中的公钥，接收密文和承诺值，所述密文是根据所述公钥和原始密钥采用封装算法获得的，所述原始密钥是根据所述公钥采用所述封装算法选取的，所述承诺值是根据第一比特串和随机数采用承诺算法获得的，所述第一比特串为随机比特串；

所述收发单元，还用于获取第一结果，所述第一结果是根据所述第一比特串和第二比特串计算得到的，所述第二比特串是根据所述原始密钥中的部分比特确定的；

所述处理单元，还用于根据所述公私钥对中的私钥和所述密文采用解封装算法获得所述原始密钥，并根据所述原始密钥中的所述部分比特确定所述第二比特串；根据所述第二比特串和所述第一结果计算得到第二结果；

所述收发单元，还用于向所述第二设备发送所述第二结果；接收打开值，其中，所述打开值是在所述第一比特串与所述第二结果相同的情况下所述第二设备向所述第一设备发送的，所述打开值是根据所述第一比特串和所述随机数采用所述承诺算法获得的；所述处理单元，还用于根据所述打开值和所述承诺值对所述第二设备进行认证，得到认证结果，所述认证结果用于指示所述第二设备对所述第二设备认证成功，并生成用于与所述第二设备通信的会话密钥。

15、如权利要求 14所述的方法，其特征在于，所述处理单元具体用于：采用第一算法对所述第二比特串和所述第一结果进行计算，以得到第二结果；所述第一算法为异或运算、模加法运算、模减法运算、模乘法运算中的任意一种运算或多种运算的组合。

16、如权利要求 14或 15所述的装置，其特征在于，所述处理单元，还用于：在生成用于与所述第二设备通信的会话密钥后，刪除所述公私钥对；当发起与所述第二设备重新执行密钥协商，或者，当发起与第三设备执行密钥协商，重新生成一个公私钥对。

17、如权利要求 14- 16任一项所述的装置，其特征在于，所述处理单元，具体用于：根据所述第一设备的身份标识符、所述第二设备的身份标识符、所述公钥、所述密文、所述承诺值、所述打开值、所述原始密钥、所述第二结果中的一个或多个参数生成用于与所述第二设备通信的会话密钥。

18、一种密钥协商装置，其特征在于，包括：

收发单元，用于接收公钥，所述公钥为采用密钥生成算法生成的一个公私钥对中的公钥；

处理单元，用于根据所述公钥采用所述封装算法选取原始密钥，根据所述公钥和所述原始密钥采用所述封装算法获得密文，以及根据第一比特串和随机数采用承诺算法获得承诺值和打开值；所述收发单元，还用于向所述第一设备发送所述密文和所述承诺值，所述第一比特串为随机比特串；

所述处理单元，还用于根据所述原始密钥中的部分比特确定第二比特串，根据所述第一比特串和所述第二比特串计算得到第一结果；

所述收发单元，还用于：接收第二结果，所述第二结果是根据所述第二比特串和所述第一结果计算得到的；

所述处理单元，还用于：在所述第一比特串与所述第二结果相同的情况下，生成用于与所述第一设备通信的会话密钥，其中所述第一比特串与所述第二结果相同表示所述第二设备对所述第一设备认证成功；所述收发单元，还用于向所述第一设备发送所述打开值。

19、如权利要求 18所述的装置，其特征在于，所述处理单元，具体用于：

20、如权利要求 18或 19所述的装置，其特征在于，所述处理单元，还用于：在生成用于与所述第一设备通信的会话密钥后，刪除所述公钥；当发起与所述第一设备重新执行密钥协商，或者，当发起与第三设备执行密钥协商，生成一个公私钥对。

21、如权利要求 18-20任一项所述的装置，其特征在于，所述处理单元，具体用于：根据所述第一设备的身份标识符、所述第二设备的身份标识符、所述公钥、所述密文、所述承诺值、所述打开值、所述原始密钥、所述第二结果中的一个或多个参数生成用于与所述第一设备通信的会话密钥。