摘要 本系列文档对RFC 9497 Oblivious Pseudorandom Functions (OPRFs) Using Prime-Order Groups使用素数阶群的不经意伪随机函数定义的三种不经意伪随机函数协议OPRF / VOPRF / POPRF进行归纳梳理涵盖协议原理、算法流程、安全属性、辅助构件DLEQ证明、HashToGroup、HashToScalar并补充基于SM2的移植要点旨在为快速理解RFC 9497及国产化落地提供参考。关键词不经意伪随机函数、OPRF、VOPRF、POPRF、DLEQ、SM2主要参考文献 [1] RFC 9497. Oblivious Pseudorandom Functions (OPRFs) Using Prime-Order Groups. December 2023.[2] RFC 9380. Hashing to Elliptic Curves. August 2023.10. 辅助功能——HashToScalar10.1 HashToScalar函数概况HashToScalar(x)将输入值x映射到有限域上的一个元建议使用标准文档RFC 9380 Hashing to Elliptic Curves给出的方案。具体而言HashToScalar(x)是一类确定性密码学映射函数输入任意长度的字节串输出一个落在指定有限域内的标量值且输出在整个域上统计均匀分布。它是连接字节串数据与椭圆曲线群运算的基础桥梁所有需要将结构化信息转换为合法标量的协议环节都依赖该函数。在RFC 9497的OPRF协议体系中HashToScalar的应用场景包括DLEQ证明中挑战值c的派生DLEQ批处理机制中每组点对权重d_i的派生POPRF协议中公开输入info到调整标量m的映射确定性密钥派生DeriveKeyPair中种子到私钥的映射该函数需满足四项基础安全要求确定性相同输入永远得到相同输出保证协议双方可独立计算出一致结果均匀性输出在目标有限域上接近均匀分布不存在可利用的统计偏差抗碰撞找到两个不同输入映射到同一标量在计算上不可行不可逆已知输出标量无法反推原始输入内容注意与HashToGroup区分HashToScalar输出是有限域标量整数用作标量乘运算的乘数HashToGroup输出是椭圆曲线点用作群运算的输入元素二者功能不同不可混用。10.2 RFC 9497提供的P-256的HashToScalarRFC 9497的4.3节OPRF(P-256, SHA-256)给出的HashToScalar(x)基于RFC 9380的hash_to_field机制实现采用expand_message_xmd扩展消息从根源上保证输出的均匀性具体方案是底层哈希函数SHA-256使用RFC9380的hash_to_field函数见11.3 hash_to_fieldL 48即使用expand_message_xmd派生出L48字节的数据串消息扩展方式expand_message_xmd with SHA-256域分离标签DST HashToScalar- || contextString取模基准prime modulus Group.Order()即P-256的n值具体步骤构造域分离标签DST由固定前缀与协议上下文字符串拼接而成确保不同协议模式、不同密码套件的映射结果相互隔离。调用expand_message_xmd函数将输入消息与DST共同扩展为长度L48字节的均匀随机字节串。使用OS2IP函数将48字节的字节串转换为大整数。将该大整数对群阶n取模得到最终的标量结果。扩展长度L取48字节是因为P-256群阶为256位按照RFC 9380的设计规范额外增加128位安全余量总比特长度为256128384位对应48字节。使用更长的随机字节取模而非直接截断32字节转整数可以避免模数与2的幂不对齐带来的分布偏差保证输出在模n下的统计均匀性。10.3基于SM2的HashToScalar类似地国密适配方案对齐RFC 9497的设计框架将底层哈希替换为SM3取模基准替换为SM2的群阶n其余设计逻辑保持一致保证协议安全性与标准方案等价。具体地对SM2SM3而言HashToScalar(x)建议使用底层哈希函数SM3使用RFC9380的hash_to_field函数见11.3 hash_to_field扩展输出长度L 48即使用expand_message_xmd派生出L48字节的数据串消息扩展方式expand_message_xmd with SM3见11.6 expand_message函数域分离标签DST HashToScalar- || contextString取模基准prime modulus Group.Order()即SM2的n不是SM2的有限域素数p。n ≠ p二者不能混淆具体步骤构造与标准方案规则一致的域分离标签DST上下文字符串沿用OPRF(SM2,SM3)套件的生成规则。调用基于SM3实现的expand_message_xmd函数将输入消息扩展为48字节的均匀字节串。SM3为Merkle-Damgård结构哈希输出长度32字节分组长度64字节完全符合该函数的实现要求。使用OS2IP将扩展后的字节串转换为大整数。将大整数对SM2群阶n取模得到最终标量结果。提醒SM2的有限域素数p与群阶n是两个不同的大整数二者数值接近但不相等。10.4与相关函数的差异1与RandomScalar的区别HashToScalar是确定性函数相同输入永远得到相同输出用于需要双方一致计算的场景如证明验证、公开输入映射。RandomScalar是随机函数每次调用输出独立随机值用于需要保密的随机因子如盲化因子、证明承诺随机数。二者功能不可互换不能用RandomScalar生成挑战值也不能用HashToScalar生成盲化因子。2与普通哈希函数的区别普通SM3、SHA-256仅输出固定长度字节串不保证模n下的均匀性直接转整数使用会存在统计偏差。HashToScalar通过消息扩展与取模处理专门保证输出在目标有限域上的均匀分布是面向群运算的专用映射函数。