48、随机预言机方案：Fujisaki - Okamoto混合加密与PSS签名

随机预言机方案：Fujisaki - Okamoto混合加密与PSS签名

1. OAEP加密与解密概述

OAEP（Optimal Asymmetric Encryption Padding）加密使用陷门置换T.Eval和随机预言机G、H对消息m进行加密，同时使用T.Inv进行解密。加密过程中，随机数r和消息m经过一系列操作生成密文c。解密时，若z = 0… 0，则输出消息m；否则，输出错误信息⊥。由于预言机H和G的特性，值z∗很可能不同于0ℓ0，导致解密返回错误符号⊥。

OAEP的形式化安全论证较为复杂，目前只有在陷门置换具有部分域单向性时，才能给出有效的安全证明。RSA函数就具备这种部分域单向性。

2. Fujisaki - Okamoto混合加密方案

2.1 方案概述

Fujisaki和Okamoto提出了一种混合加密方案，将非对称加密方案PKE和对称加密方案SE结合，使用两个随机预言机G和H。该方案（FO变换）的优势在于能将具有弱单向性的公钥加密方案提升为实现IND - CCA（Indistinguishability under Chosen Ciphertext Attack）安全的强方案。而且，方案效率较高，长消息使用对称加密，公钥加密仅用于加密固定长度的较短字符串。

2.2 加密过程

要加密消息m，需执行以下步骤：
1. 随机选取一个值σ ←$ {0, 1}ℓσ。
2. 计算csym ← SE.Enc(G(σ), m)，即使用G(σ)作为对称加密密钥对消息m进行加密。
3. 计算casym ← PKE.Enc(pk, σ; H(σ, csym))