9、后量子认证加密安全模型解析

后量子认证加密安全模型解析

1. 引言

认证加密（AE）是现有互联网基础设施的关键组成部分，像TLS、SSH和IPsec等广泛使用的协议，其基本功能都依赖于AE。然而，目前关于如何以可证明安全的方式结合后量子认证和加密方案的文献相对较少。部分研究虽处理了后量子认证密钥交换问题，但未对认证加密进行独立探讨，甚至有的直接使用RSA和DH作为长期认证密钥，认为短期内无需量子安全的认证方式。

本文提出了后量子环境下评估认证加密方案安全性的模型，该模型结合了经典的Bellare - Namprempre认证加密安全模型，以及Boneh和Zhandry为应对量子对手而做的改进。重点在于构建保密性和认证原语的通用组合，而非像CAESAR竞赛中的专用认证加密模式。

2. 安全定义

• IND - qCPA ：对称密钥加密方案E = (Enc, Dec)在量子选择消息攻击下不可区分（IND - qCPA安全），意味着没有高效对手A能在以下游戏中以超过1/2 + ϵ的概率获胜：
  1. 密钥生成 ：挑战者选择随机密钥k和随机比特b。
  2. 查询 ：对手A可进行两种查询：
     • 挑战查询 ：A发送两条消息m0, m1，挑战者回复c∗ = Enc(k, mb)。
     • 加密查询 ：挑战者选择随机性r，使用r对叠加态中的每条消息进行加密：
       [
       \sum_{m,c