49、单密钥到多密钥功能加密：多项式损失下的实现

单密钥到多密钥功能加密：多项式损失下的实现

1. 背景与问题提出

在功能加密（FE）领域，Waters等人构建了适用于P/poly电路的多密钥FE方案，即使攻击者能获取无界（多项式）数量的功能秘密密钥，该方案仍具备安全性。不过，Garg等人的工作假定了不可区分混淆（iO）的存在。

单密钥FE方案若其加密电路的大小相对于给定秘密密钥的电路呈亚线性增长，则称其具有弱紧凑密文。Ananth和Jain以及Bitansky和Vaikuntanathan指出，利用具有弱紧凑密文的单密钥FE可构建iO，进而构建多密钥FE，但这种转换会导致安全归约的指数级损失。

于是，我们提出问题：能否仅以多项式损失，从单密钥FE实现多密钥FE？

2. 研究成果

我们对上述问题给出了肯定答案，具体提供了一种从单密钥、紧凑FE到多密钥FE的通用转换方法。该转换具有以下两个额外特点：
1. 弱选择性安全适用性 ：即便起始的单密钥方案仅具有弱选择性安全，转换依然可行。弱选择性安全（Sel∗）限制攻击者在看到公共参数之前就确定挑战消息并发起所有功能秘密密钥查询。而我们得到的多密钥方案具有选择性安全。
2. 密文紧凑性提升 ：单密钥方案只需具有弱紧凑密文，转换得到的多密钥方案则具有完全紧凑的密文（与电路大小无关）。

与同期独立工作相比，Li和Micciancio也获得了类似结果，但采用了不同技术。他们的构造基于SUM和PRODUCT构建块，通过组合两个FE方案，输出不同安全和效率权衡的多密钥FE方案。不过，他们的多密钥FE方案继承了起始单密钥方案的安全和紧凑性属性