混合加密

传统组合可先产生随机内容密钥，再用接收者公钥保护它，以对称方式加密正文。另一类设计通过密钥封装机制同时产生共享秘密和封装结果，再派生实际内容保护所需材料。前者不能被当成所有现代混合方案的唯一流程。

这种安排使公钥机制的密钥管理特点与对称保护结合，正文不必逐字直接执行公钥运算。封装结果、算法参数和内容密文仍要按明确格式传送；缺少任何必要上下文，接收者并不能靠“知道这是混合加密”自动还原流程。

参考：[1]

RFC 9180的HPKE把一套密码组合定义为KEM、KDF、AEAD三者的选择。KEM建立共享秘密，KDF结合上下文派生密钥与nonce材料，AEAD保护内容及相应关联数据；三者承担不同的接口约定。

HPKE还区分基础模式、预共享密钥模式、发送者密钥认证模式及组合模式。基础模式能够加密给接收者，却不因此证明哪一个发送者生成了消息；接收公钥与身份的绑定以及选用哪种模式，仍需由应用规定。

参考：[1]

RFC 9180未把针对接收端长期秘密泄露的前向保密纳入保证，也不自行恢复消息丢失或重排。同一上下文的顺序处理提供一定重放约束，却不构成通用的跨上下文防重放。应用仍须定义消息序列、重试、密钥标识和错误处理，不能把底层保密性扩展成所有会话保证。

“混合”在文献中还可能描述传统与后量子等多个密钥建立机制的组合。那与此处公钥加对称内容保护的含义不同；同一术语不足以说明使用了哪些算法、哪些安全假设或哪个组件失效后仍有什么保证。

参考：[1] [2]