2015 Diffie & Hellman —— 公鑰的革命：把鑰匙分一半給敵人#

「加密的千年常識：鑰匙必須秘密傳送。1976 年，兩位 史丹佛研究者論證：鑰匙可以公開一半。密碼學的 哥白尼時刻。」

案件檔案#

前因#

1970s 的悖論：電腦網路正在誕生，但密碼學假設先有一條 安全信道用來傳鑰匙——而網路本身就是不安全信道。 金鑰分發是軍事級難題（信使、保險箱）。謎題： 兩個從未謀面的人，如何在竊聽者眼皮下協商密鑰？

線索與推理#

線索一：1976 論文《New Directions in Cryptography》#

三大概念炸彈：

1. 公鑰/私鑰對：加密與解密用不同鑰匙
2. DH 金鑰交換：不解密任何東西，只「共同生產」密鑰
3. 數位簽章：私鑰簽、公鑰驗（身分的數學化）

線索二：DH 協議的數學#

公開：大質數 p、生成元 g
Alice：a 秘密，送 A = g^a mod p
Bob：  b 秘密，送 B = g^b mod p
共同：Alice 算 B^a = g^{ab}；Bob 算 A^b = g^{ab}   ✓
竊聽者：見 g, p, g^a, g^b，求 g^{ab} = 離散對數問題
  最佳已知演算法（數域篩）≈ 指數級難

交換律（(g^a)^b = (g^b)^a）+ 單向性（正算易、 反解難）——兩條數學性質支撐起整個數位經濟。

線索三：歷史的另一面#

• 英國 GCHQ 的 Ellis–Cocks（1970 年代初）內部早有等價 發明，但保密至 1997 年才解密——公開發表才是學科 的誕生：Diffie–Hellman 使密碼學從情報機關的手藝 變成公開科學。
• NSA 當年試圖壓制（2002 RSA 案的插曲）；1990s 密碼 出口管制之戰（PGP）皆由此案續寫。

線索四：安全性假設的精緻化#

CDH（計算性 DH）：求出 g^{ab} 難
DDH（判定性 DH）：分辨 g^{ab} 與隨機數難
  → 可證明語義安全（Yao 2000 案、GM 2012 案的
     不可辨識語言在此落地）

理論評析#

本案的偵探學：安全性的重心從「保密演算法」轉向 「保密鑰匙」（Kerckhoffs 原則的終極版）：

舊世界：系統保密（security by obscurity）→ 脆弱
新世界：演算法全公開、安全性 = 計算複雜度假設
  （1993 案的複雜度理論兌換為信任）

「公開的鎖、私藏的鑰」把密碼學從對稱的舞蹈變成 非對稱的建築。

後果#

• TLS 握手、SSH、VPN、Signal 協議的第一步皆為 DH 或其橢圓曲線版（ECDH）。
• 公鑰概念直接引發 RSA（2002 案）。
• 「密碼學的民主化」：個人也能持有軍用級保密—— 改變了隱私的政治結構。

關聯案件#

→ 2002-Rivest-Shamir-Adleman與RSA公鑰加密、2000-Andrew-Yao與偽隨機性及複雜度理論、1995-Manuel-Blum與計算不可辨識及密碼學