39、加密属性匿名凭证方案详解

加密属性匿名凭证方案详解

1. 假设与方案调整

• 假设 2 ：若用户 $U’$ 在对自适应选择的 $\left(x_{ji}^*\right) {i = 1}^{l - 1}$（$j = 1, \cdots, K$）进行 $K\geq0$ 次任意交错执行图 1 中的协议后，产生一个元组 $(h’, (c_i’) {i = 1}^{l}, \alpha, z’, (z_i’) {i = 1}^{l}, c’, r’)$，那么这个元组不满足式 (2)，或者以压倒性概率存在一个 $j\in{1, \cdots, K}$，使得 $U’$ 知道值 $(\delta_i) {i = 1}^{l}$，满足 $(c_i’) {i = 1}^{l} = \left(c {ji}(g, f)^{\delta_i}\right)_{i = 1}^{l}$。
• 方案调整 ：可以将方案调整为所有参与方仅了解加密信息 $(c_i^*) {i = 1}^{l - 1}$ 的场景。此时，发行者计算 $h$ 需要秘密值 $(y_i) {i = 1}^{l}$ 和 $\lambda$，需将发行者 $I$ 和验证者 $V$ 的角色统一。调整方式为：在图 1 中，发行者计算 $(c_i)_{i = 1}^{l - 1}$ 和 $h$ 如下：
• $(c_i \leftarrow c_i^* \cdot (g^{r_i}, f_i^{f r_i}))_{i = 1}^{l - 1}$
• $h \leftarrow D(c_1