16、无可信设置的欧几里得环安全累加器

无可信设置的欧几里得环安全累加器

1. 引言

密码学累加器在公钥基础设施、匿名凭证系统等众多场景中极为有用。对于文档集 S，服务器能计算出短摘要 Dig(S)，并为候选文档 m 提供简洁的（非）成员证明 Proof(m, S)。通过验证算法 Ver，可判断 m 是否属于 S。累加器需具备抗碰撞性，即难以构造出三元组 (m, S, p)，使得 m 不属于 S，但 Ver(m, Dig(S), p) 返回 Member。

基于哈希树可构建抗碰撞累加器，但（非）成员证明较长。RSA 累加器更简洁且被证明具有抗碰撞性，但存在问题：无法依赖累加方（如证书颁发机构）诚实地生成 Dig(S) 值。证书颁发机构可能发布特定的 d，之后为选定元素 m 生成成员和非成员证明。

为解决此问题，提出累加器需具备不可否认性，即难以生成元组 (m, d, p, p)，使得 Ver(m, d, p) 返回 Member，而 Ver(m, d, p) 返回 NotMember。此前基于哈希搜索树构建了不可否认累加器，虽无陷门且对恶意服务器安全，但（非）成员证明长度与 S 的大小呈对数关系。

2007 年，Li、Li 和 Xue 展示了如何为 RSA 累加器构建短非成员证明，但 RSA 累加器的服务器可自行生成 RSA 模数 n，知晓其因子分解后能轻易破解累加器，该构造仅在可信设置模型下安全。我们的目标是摆脱可信设置假设，并达到与 RSA 累加器相当的效率。

2. 抗碰撞和不可否认的累加器

• 累加器定义 ：设 M、D 和 P 分别为消息集、摘要集和证明集。一个由概率多项式时间（PPT）算法组成的四元组