35、基于抗泄漏伪随机函数的抗泄漏认证加密

基于抗泄漏伪随机函数的抗泄漏认证加密

1 引言

带关联数据的认证加密方案（AEAD）是基础的密码学原语，它能让Alice向Bob发送密文，同时满足两个条件：一是Eve无法得知底层消息的任何信息；二是Bob能够检测到密文是否被篡改。近年来，AEAD方案的研究备受关注，比如CAESAR竞赛以及NIST轻量级密码学标准化进程。

近期，有多个旨在实现抗泄漏安全的AEAD方案被提出。Barwell等人指出，若加密方案和消息认证码（MAC）都具备抗泄漏能力，那么先加密后MAC的范式就能产生抗泄漏的AEAD方案，他们还引入了相应的安全概念。Degabriele等人进一步优化，提出FGHF′构造，表明可从在泄漏情况下兼具伪随机性和不可预测性的固定输入长度函数构建抗泄漏的加密方案和MAC。

不过，这也引出了两个问题：
- 在泄漏情况下，伪随机性和不可预测性之间有何关系？
- 能否从抗泄漏的伪随机函数构建抗泄漏的AEAD方案？

2 研究背景

2.1 符号说明

采用游戏框架，在游戏中，敌手可访问一个或多个预言机，用上标表示，如$A^O$。主要使用区分游戏，敌手需确定一个秘密比特$b$。若敌手正确猜出$b$，游戏输出为1，敌手获胜；否则输出为0，敌手失败。对于敌手$A$和游戏$G$，用$G^A \Rightarrow x$表示$G$与$A$交互时的输出为$x$；用$A^G \Rightarrow x$表示$A$在玩$G$时的输出为$x$。

2.2 密码学原语

• 认证加密方案（AEAD） ：由加密算法$Enc$和解密算法$De