43、基于多可信机构的身份基加密的安全性与匿名性

基于多可信机构的身份基加密的安全性与匿名性

1. 引言

身份基加密（IBE）的概念最早由Shamir提出。在基于身份的密码学（IBC）中，像电子邮件地址或IP地址这样的任意标识字符串都可作为用户的公钥，而对应的私钥则由拥有系统主密钥的可信机构（TA）生成。例如，若Alice想给Bob加密消息，她只需知道Bob的标识符和系统公参即可。这种方式消除了公钥密码学中的证书及相关处理和管理开销。

直到Cocks的工作，以及Sakai、Ohigishi和Kasahara与Boneh和Franklin基于配对的解决方案出现后，才产生了高效且安全的IBE构造。Boneh和Franklin还提出了IBE的首个安全模型，并给出了在随机预言模型中安全的方案。此后，人们对IBE及相关密码原语的兴趣激增。

1.1 动机与贡献

历史上，匿名加密源于移动通信场景。在标准公钥环境中，实体B通过无线网络向用户A发送用A的公钥加密的消息密文（反之亦然）。A和B通常希望对能看到网络上所有密文的窃听者隐藏自己的身份。只有当密文不泄露用于创建它的公钥信息时，这才有可能实现，此概念在文献中被形式化为密钥隐私。

若使用IBE方案而非标准公钥方案，对应的概念是接收者匿名性，即密文不应泄露（预期）接收者的身份。在这种情况下，通常假设存在一个为系统中所有用户颁发密钥的全局TA，且所有密文都使用该TA的公参创建。除少数情况外，目前提出的IBE安全模型大多考虑单TA场景。

然而，也可设想存在多个独立TA（可能共享一些公共系统参数）的场景。在某些应用中，每个用户可能只有一个由某个TA颁发的私钥；而在其他应用中，用户可能针对同一标识字符串拥有多个由不同TA颁发的私钥。在这两种