【密码学百科】混合加密与 KEM/DEM 范式：ECIES 与 HPKE
内容提要
公钥加密无法直接加密大消息，因其明文长度和性能限制。混合加密结合公钥和对称加密，先用公钥加密会话密钥，再用该密钥加密数据。KEM/DEM范式将混合加密分为密钥封装和数据封装，确保安全性。HPKE是现代混合加密框架，支持灵活的算法选择，适应未来的后量子安全需求。
关键要点
-
公钥加密无法直接加密大消息，因其明文长度和性能限制。
-
混合加密结合公钥和对称加密，先用公钥加密会话密钥，再用该密钥加密数据。
-
KEM/DEM范式将混合加密分为密钥封装和数据封装，确保安全性。
-
HPKE是现代混合加密框架，支持灵活的算法选择，适应未来的后量子安全需求。
延伸解读
混合加密的优势
混合加密结合了公钥和对称加密的优点，解决了公钥加密在处理大消息时的性能瓶颈。通过先加密会话密钥，再用该密钥加密实际数据，混合加密不仅提高了加密效率，还确保了安全性。这种方法在现代通信协议中被广泛应用，如TLS和PGP，显示出其在实际应用中的重要性。
KEM/DEM范式的意义
KEM/DEM范式将混合加密分为密钥封装和数据封装，使得安全性分析更加清晰。通过独立分析KEM和DEM的安全性，工程师可以灵活选择和替换组件，适应不同的安全需求。这种模块化设计为未来的后量子安全需求提供了良好的基础，确保加密方案的长期有效性。
HPKE的未来展望
HPKE作为现代混合加密框架，具备灵活性和安全性，已被多种新一代互联网协议采用。其设计旨在消除常见的密码学误用，提供清晰的API语义。随着后量子KEM的标准化，HPKE能够平滑过渡到后量子时代，确保在量子计算威胁下的安全性，成为未来加密的默认选择。
延伸问答
为什么公钥加密不能直接加密大消息？
公钥加密对明文长度有严格限制，无法处理大消息，同时性能较低。
混合加密的基本原理是什么？
混合加密结合公钥和对称加密，先用公钥加密会话密钥，再用该密钥加密数据。
KEM/DEM范式的主要优势是什么？
KEM/DEM范式将混合加密分为密钥封装和数据封装，确保安全性可以独立分析和模块化组合。
HPKE与传统混合加密方案相比有什么优势？
HPKE提供了更高的灵活性、安全性和标准化，减少了误用的风险，成为现代混合加密的事实标准。
ECIES的工作流程是怎样的？
ECIES通过生成临时密钥对、计算共享秘密、导出对称密钥并加密明文，最终发送密文和临时公钥。
后量子KEM的标准化进展如何？
NIST已发布ML-KEM标准，基于模格的LWE问题，提供多种安全级别的参数集，适应后量子时代的需求。
