50、带辅助输入的公钥加密方案

带辅助输入的公钥加密方案

1. 引言

现代密码算法设计时假定密钥是完全保密且独立选择的。然而在实际中，由于各种原因，如密码算法物理实现的侧信道攻击，或多个应用使用相同密钥或随机源，密钥信息可能会泄露。

近年来，密码学界设定了新目标，构建抵御大规模侧信道攻击的物理安全通用理论。目前已有大量工作定义了不同类型的侧信道攻击，并设计了能抵御这些攻击的密码原语。本文聚焦于“内存泄漏”导致的侧信道攻击，攻击者选择一个高效可计算的函数 $h$（可能依赖系统公共参数），并获取 $h$ 作用于私钥 $SK$ 的结果。为保留一定保密性，需限制攻击者选择“不完整泄露秘密”的函数 $h$，但如何清晰通用地建模这一约束是挑战，目前已有多种模型尝试解决此问题。

• Akavia 等人的模型 ：泄漏函数 $h$ 是任意多项式时间可计算且输出长度有界的函数。设私钥 $SK$ 的长度（或最小熵）为 $k$，限制 $h$ 输出 $\ell(k) < k$ 比特，确保泄漏不会完全暴露私钥。在学习误差问题（LWE）难解的假设下，Regev 的公钥加密方案能抵御 $\ell(k)$ 长度有界的泄漏函数，只要 $\ell(k) < (1 - \epsilon)k$（$\epsilon > 0$ 为常数）。
• Naor 和 Segev 的工作 ：放宽了对 $h$ 的限制，允许攻击者观察到的泄漏比私钥长，但观察 $h(SK)$ 后私钥的最小熵最多下降 $\ell(k)$ 比特，即“噪声泄漏要求”。在决策 Diffie - Hellman（DDH）假设下，他们构建了能抵抗噪声泄漏的公钥加密方案，只要 $\