32、超越仿射函数的黑盒循环安全加密

超越仿射函数的黑盒循环安全加密

1. 引言

安全加密是密码学中最基础的任务之一，众多研究致力于对其进行定义和实现。在许多经典的安全加密概念中，通常假定待加密的明文消息与解密密钥相互独立。然而，随着时间的推移，人们发现某些情况下明文消息确实依赖于密钥。这种更具挑战性的场景被称为密钥相关消息安全（KDM 安全），近年来受到了广泛关注。

KDM 安全是相对于一类高效可计算函数 F 来定义的。具体而言，攻击者会获得公钥 $pk_1, …, pkn$，并可以访问一个预言机 O。当预言机接收到查询 $(i, f)$（其中 f 是 F 类中的函数，i 是索引）时，它会返回 $f(sk_1, …, sk_n)$ 在公钥 $pki$ 下的加密结果。如果攻击者无法区分预言机 O 和一个总是返回全零字符串加密结果的预言机，那么该方案就被认为是相对于 F 类的 KDM(n) 安全方案。特别地，在 KDM(1) 安全中，攻击者仅获得一个公钥 pk，并可以请求对相应私钥 sk 的函数进行加密。

此前的研究已经在多种计算假设下实现了 KDM 安全，但这些工作仅针对密钥的仿射函数实现了安全，对于更丰富的函数类的安全实现问题仍未得到解决。探索超越仿射函数的 KDM 安全具有实际意义，例如在备份过程中，硬盘上存储的密钥加密内容可能并非与密钥呈仿射关系。

2. 研究成果

我们提出了一种通用的变换方法来增强 KDM 安全。我们关注的是公钥加密方案，其中密钥生成算法先采样私钥，再通过某种可能随机化的函数生成公钥。若一个加密方案在私钥从具有最小熵 k 的任意分布中采样，且公钥计算使用完全随机数时仍能保证 KDM 安全，则称该方案为熵 - k KDM 安全方案。