2. 混合密钥协商核心概念与安全模型

混合密钥协商（Hybrid Key Agreement）要解决的是一个非常现实的过渡问题：在抗量子密码（PQC）尚未被长期充分验证、经典算法又面临量子威胁的时期，如何让一次密钥协商同时具备"经典安全"和"抗量子安全"两重保障。它的基本做法是让经典算法与抗量子算法并行运行，再把两路结果通过一个组合器（combiner）合并成唯一的会话密钥。理解这一节的关键，是搞清楚"并行"到底并行什么、"组合"到底组合什么，以及安全证明为什么必须建立在两套假设同时成立之上。

定义：并行协商、单密钥输出

混合密钥协商可形式化描述为：参与方 A、B 各自执行经典密钥协商 KA_classic（如 ECDH）与抗量子密钥协商 KA_pqc（如基于格的 ML-KEM），分别得到共享秘密 ss_c 与 ss_p，再计算会话密钥 K = Combiner(ss_c, ss_p, ctx)。注意三个要点：其一，两路协商是并行且独立的，任何一路失败或被攻破都不应导致另一路泄露；其二，组合器输出的是单一密钥，上层协议（如 TLS 记录层）只看到这一个密钥，无需感知混合结构；其三，ctx 是上下文绑定信息，通常包含协议标识、双方身份、算法标识与握手 transcript 哈希，用于防止跨协议、跨会话的重放与降级攻击。

一个常见的教学示例参数：ECDH 使用 X25519，PQC 使用 ML-KEM-768，组合器采用 HKDF-SHA256。计算过程为 K = HKDF-Extract(salt=transcript_hash, IKM = ss_c || ss_p)，再 Expand 出记录层所需的流量密钥。这里的 ss_c 为 32 字节，ss_p 为 32 字节，拼接后 64 字节作为 IKM 输入。示例中的长度与算法组合仅用于说明流程，实际部署需按协议规范确定。

组合器的作用：不是简单拼接

组合器是混合方案的安全枢纽，它至少要承担四项职责。第一，熵压缩与均匀化：两路共享秘密可能分布不均，直接拼接并不保证输出接近均匀随机，需经 KDF 提取。第二，抗单路失效：只要两路中至少一路对攻击者保密，组合输出就应保密，这是混合方案"双保险"语义的核心。第三，绑定上下文：把 transcript、身份、算法标识纳入输入，使攻击者无法通过篡改协商报文把双方降级到单一算法。第四，域分离：不同用途（握手密钥、应用流量密钥、导出密钥）使用不同 label，避免密钥复用。

安全假设：两套体系并行成立

混合方案的安全性建立在"至少一个分量算法安全"的逻辑上，但证明时必须同时建模两套假设。经典侧通常依赖 ECDH 的 CDH/DDH 假设或离散对数困难性；抗量子侧依赖格问题的困难性，如 MLWE（Module Learning With Errors）。设计时要明确回答：若量子计算机攻破 ECDH，ML-KEM 仍保密，则 K 保密；若未来格算法被经典算法攻破，X25519 仍保密，则 K 仍保密。这种"或"关系正是混合方案的价值所在，但也意味着组合器本身必须被证明能把"任一路保密"转化为"输出保密"。

IND-CCA 安全模型与混合安全证明框架

密钥协商协议的安全性通常用 IND-CCA（选择密文攻击下的不可区分性）模型刻画。直观地说，攻击者可以主动发起、篡改、重放握手报文，并多次查询会话密钥，但仍无法区分真实会话密钥与随机值。对混合方案，证明框架一般分三步走。

第一步，定义混合密钥封装/协商的 IND-CCA 游戏。挑战者运行协议，攻击者可查询任意会话的密钥；在挑战会话中，挑战者抛硬币 b，若 b=1 返回真实 K，否则返回随机密钥，攻击者输出猜测 b'，优势 Adv = |Pr[b'=b] - 1/2| 可忽略即视为安全。

第二步，做分量归约。把混合方案的安全性归约到"至少一个分量算法 IND-CCA 安全 + 组合器是安全 KDF"这一组合命题。典型做法是构造两个游戏序列：Game0 为真实混合；Game1 将其中一路共享秘密替换为随机值，由该分量算法的 IND-CCA 安全性保证不可区分；Game2 再将另一路替换为随机值。若组合器满足"双输入伪随机"性质，则 Game2 中输出密钥与随机不可区分，从而完成证明。

第三步，处理组合器与上下文。证明中必须显式建模 ctx 的绑定：若攻击者能改变 transcript 而不被检测，则可能触发降级。因此组合器输入需包含完整握手 transcript 的哈希，且协议层要对算法标识做认证。工程上，这对应"协商报文必须被签名或 MAC 保护"这一实现要求。

落地时的三个检查点

把上述概念落到实现，建议重点核对三处。其一，输入编码：ss_c 与 ss_p 拼接前必须固定长度或带长度前缀，避免"拼接歧义"导致不同会话产生相同 IKM。其二，降级防护：双方必须对"本次使用了哪些算法"达成一致并纳入 transcript，服务端不得因客户端不支持 PQC 就静默退回纯经典模式而不留痕。其三，密钥确认：在输出 K 后增加一次密钥确认（如 Finished 消息 MAC），确保双方确实计算出相同密钥，同时把握手 transcript 纳入确认范围。

混合密钥协商的本质，是用工程上的"并行 + 组合"换取密码学上的"双假设冗余"。组合器负责把冗余转化为单一密钥，IND-CCA 模型与归约证明负责说明这种转化在何种条件下成立，而实现层的编码、绑定与确认则决定证明假设是否真的被满足。三者缺一，混合方案就只是形式上的叠加，而非真正可依赖的安全过渡手段。