Bằng chứng bảo mật cho TLS 1.x

Trong JKSS12, một bằng chứng cho quá trình bắt tay trong TLS-DHE 1.2 được đưa ra, giả sử (trong số những thứ khác) giả thuyết PRF-ODH trên PRF được sử dụng để lấy khóa.

Cũng có tuyên bố rằng, nếu TLS 1.2 được sửa đổi để theo sát hơn $\Sigma_0$ giao thức từ Canetti-Krawczyk; giao thức này có thể được chứng minh là an toàn theo giả định DDH (yếu hơn) thay vì giả định PRF-ODH (như trường hợp của giao thức IKE). Sửa đổi này có vẻ khá đơn giản, mặc dù không thể triển khai tại thời điểm xuất bản này.

Gần đây hơn, liên quan đến TLS 1.3, các bằng chứng hiện có vẫn thuộc giả thuyết PRF-ODH (xem ví dụ này luận án từ Dowling, trang 153).

Lý do đằng sau TLS 1.3 là gì và tại sao lại chuyển sang $\Sigma_0$các giao thức giống như đã không được thực hiện, như được đề xuất trong JKSS12 ? Giả thuyết DDH có vẻ thỏa mãn hơn giả định PRF-ODH (mạnh hơn), ngay cả khi chỉ dành cho "điểm chung về bảo mật" giữa TLS và IKE. Mối quan tâm của tôi chủ yếu liên quan đến TLS với DH tạm thời.