18、CCA安全与认证加密：原理、定义与方案分析

CCA安全与认证加密：原理、定义与方案分析

1. 引言

在现代密码学中，加密方案的安全性至关重要。面对各种攻击手段，如选择密文攻击（CCA），我们需要定义合适的安全概念来评估加密方案的安全性。同时，为了同时实现消息的保密性和完整性，认证加密的概念应运而生。

2. CCA安全的定义

要理解一个加密方案在选择密文攻击下的安全性，我们需要明确两个关键要素：攻击者的能力和成功攻击的定义。

2.1 攻击者能力与成功攻击的定义

• 攻击者能力 ：攻击者不仅能够获得其选择的消息的加密结果（如选择明文攻击），还能获得其选择的密文的解密结果（除挑战密文外）。形式上，攻击者可以访问加密预言机 $Enc_k(·)$ 和解密预言机 $Dec_k(·)$。
• 成功攻击的定义 ：给攻击者一个挑战密文 $c$，它是对两个可能消息 $m_0$ 和 $m_1$ 之一（等概率选择）进行加密得到的。如果攻击者能够以显著优于 1/2 的概率确定是哪个消息被加密，那么我们认为该方案被破解。

2.2 CCA不可区分性实验

对于任何私钥加密方案 $\Pi = (Gen, Enc, Dec)$、攻击者 $A$ 和安全参数 $n$，定义 CCA 不可区分性实验 $PrivK^{cca}_{A,\Pi}(n)$ 如下：
1. 运行 $Gen(1^n)$ 生成密钥 $k$。
2. 给 $A$ 输入 $1^n$ 并提供对 $Enc_k(·)$ 和 $Dec_k(·)$ 的预言机访问。$A$ 输出一对等长消