**橢圓曲線迪菲-赫爾曼密钥交換**（英語：，縮寫為），是一種匿名的密鑰合意協議（英语：）（Key-agreement protocol），這是迪菲－赫尔曼密钥交换的變種，採用橢圓曲線密码学來加強性能与安全性。在這個協定下，雙方利用由橢圓曲線密码学建立的公鑰與私鑰對，在一個不安全的通道中，建立起安全的共有加密資料。臨時ECDH（ECDH Ephemeral，ECDHE）能夠提供前向安全性。

密鑰建立協議
------

参见：椭圆曲线密码学
假设爱丽丝与鲍勃需要建立共享密钥，但他们之间唯一的信道可能被第三方伊夫窃听，此时可以使用椭圆曲线密码学。首先，需要事先提前约定域参数（質数域{\displaystyle F\_{p}}时为{\displaystyle (p,a,b,G,n,h)}，二元域F\_{{2}}时为{\displaystyle (m,f(x),a,b,G,n,h)}），它是公开信息，定义了所使用的椭圆曲线；然后，双方准备符合条件的密钥（在区间{\displaystyle [1,n-1]}随机一个整数作为私钥d，并与基点G相乘得到点{\displaystyle Q=dG}，即公钥），此时爱丽丝的密钥为{\displaystyle (d\_{A},Q\_{A})}，鲍勃的密钥为{\displaystyle (d\_{B},Q\_{B})}；接着，双方将自己的公钥{\displaystyle Q\_{A}}或{\displaystyle Q\_{B}}发送给对方；

爱丽丝计算点{\displaystyle (x\_{k},y\_{k})=d\_{A}Q\_{B}}，鲍勃计算点{\displaystyle (x\_{k},y\_{k})=d\_{B}Q\_{A}}，这就得到了双方的共享秘密x\_k（即该点的*x*坐标）。由于{\displaystyle d\_{A}Q\_{B}=d\_{A}d\_{B}G=d\_{B}d\_{A}G=d\_{B}Q\_{A}}，因此双方得到的x\_k是相等的。在实际应用中，常使用x\_k和其他相关参数作为一个密钥衍生函数（英语：）的输入，密钥为其输出。

在这个过程中，伊夫知道椭圆曲线的域参数，但爱丽丝只透露了她的公钥{\displaystyle Q\_{A}}，伊夫无法获得她的私钥{\displaystyle d\_{A}}，除非伊夫能够解决椭圆曲线上的离散对数问题，这个问题被认为是困难的。同理，鲍勃的私钥也是安全的。若伊夫要计算出双方的共享秘密x\_k，就需要求解迪菲-赫尔曼问题（英语：），而计算离散对数是此問題的已知最优解法，伊夫無法用其他方式直接解出共享秘密。

但是，如果双方使用的随机数生成器存在安全隐患，伊夫就可能预测私钥{\displaystyle d\_{A}}和{\displaystyle d\_{B}}。此外，上述的密钥交换是匿名的，双方没有进行身份验证。如果攻击者有能力篡改信息，就能冒充双方的身份。因此，有必要用其他的方式进行身分验证，例如公钥基础设施。

量子计算机
-----

如果攻击者拥有大型量子计算机，那么他可以使用秀尔算法解决离散对数问题，从而破解私钥和共享秘密。目前的估算认为：破解256位素数域上的椭圆曲线，需要2330个量子比特与1260亿个托佛利门。相比之下，使用秀尔算法破解2048位的RSA则需要4098个量子比特与5.2万亿个托佛利门。因此，椭圆曲线会更先遭到量子计算机的破解。目前还不存在建造如此大型量子计算机的科学技术，因此椭圆曲线密码学至少在未来十年（或更久）依然是安全的。但是密码学家已经积极展开了后量子密码学的研究。其中，超奇异椭圆曲线同源密钥交换（英语：）（SIDH）有望取代当前的常规椭圆曲线密钥交换（ECDH）。

註釋
--

1. ↑  NIST, Special Publication 800-56A, Recommendation for Pair-Wise Key Establishment Schemes Using Discrete Logarithm Cryptography （页面存档备份，存于）, March, 2006.
2. ↑  Certicom Research, Standards for efficient cryptography, SEC 1: Elliptic Curve Cryptography （页面存档备份，存于）, Version 2.0, May 21, 2009.
3. ↑  NSA Suite B Cryptography, Suite B Implementers' Guide to NIST SP 800-56A （页面存档备份，存于）, July 28, 2009.
4. ↑  Roetteler, Martin; Naehrig, Michael; Svore, Krysta M.; Lauter, Kristin.. 2017. arXiv:1706.06752 可免费查阅 [quant-ph].

|  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
| 

|  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
| 

|  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
| 

| * 
* 论
* 编
 公开密钥加密 |
| --- |
|  |
| 算法 | 

|  |  |
| --- | --- |
| 整数分解 | 
* Benaloh（英语：）
* Blum–Goldwasser（英语：）
* Cayley–Purser（英语：）
* Damgård–Jurik（英语：）
* GMR（英语：）
* Goldwasser–Micali（英语：）
* Paillier（英语：）
* Rabin（英语：）
* RSA
* Okamoto–Uchiyama（英语：）
* Schmidt–Samoa（英语：）

 |
|  |
| 离散对数 | 
* Cramer–Shoup（英语：）
* DH
* DSA
* ECDH
* ECDSA
* EdDSA（英语：）
* EKE（英语：）
* ElGamal
	+ signature scheme
* MQV（英语：）
* Schnorr（英语：）
* SPEKE（英语：）
* SRP（英语：）
* STS（英语：）
* SM2

 |
|  |
| 其他 | 
* AE（英语：）
* CEILIDH（英语：）
* EPOC（英语：）
* HFE（英语：）
* IES（英语：）
* Lamport（英语：）
* McEliece（英语：）
* Merkle–Hellman（英语：）
* Naccache–Stern（英语：）
* Naccache–Stern knapsack cryptosystem（英语：）
* NTRU
* NTRUEncrypt（英语：）
* NTRUSign（英语：）
* Three-pass protocol（英语：）
* XTR（英语：）

 |

 |
|  |
| 理论 | 
* 离散对数
* 椭圆曲线密码学
* Non-commutative cryptography（英语：）
* RSA problem（英语：）
* 陷门函数

 |
|  |
| 标准化 | 
* CRYPTREC（英语：）
* IEEE P1363（英语：）
* NESSIE（英语：）
* NSA Suite B（英语：）

 |
|  |
| 论题 | 
* 數位簽章
* 最优非对称加密填充（OAEP）
* 密钥指纹
* PKI
* 信任网络
* 密钥长度
* 后量子密码学

 |

 |

 |
|  |
| 

| * 
* 论
* 编
密码学 |
| --- |
|  |
| 
* 密码学历史
* 密码分析
* 密碼學主題列表

 |
|  |
| 
* 對稱密鑰加密
* 分组密码
* 流密码
* 公开密钥加密
* 密碼雜湊函數
* 訊息鑑別碼
* 随机数
* 隐写术

 |
|  |
| 
* 分类 分类
* 主题 主题
* 专题 专题

 |

 |

 |