9、后量子认证加密的安全模型

后量子认证加密的安全模型

1. 引言

认证加密（AE）是现有互联网基础设施的关键组成部分，许多广泛使用的协议，如TLS、SSH和IPsec，都依赖AE来实现其基本功能。然而，目前关于如何以可证明安全的方式结合后量子认证和加密方案的文献相对较少。一些工作处理了后量子认证密钥交换的问题，但没有在密钥交换之外对AE进行独立讨论。

本文提出了一种用于评估后量子环境下认证加密方案安全性的安全模型。该模型基于经典的Bellare - Namprempre认证加密安全模型，并结合了Boneh和Zhandry的修改，以应对量子对手的消息认证。同时，给出了一个通用构造，用于从任何抗量子对称密钥加密方案和任何可将经典安全归约到量子计算难题的认证方案（数字签名方案或MAC）生成认证加密协议。

1.1 研究重点

本文重点在于构建保密性和认证原语的通用组合，而非像CAESAR竞赛中的专用认证加密模式。理解组合原语被认为是自然的第一步。

2. 安全定义

2.1 对称密钥加密方案和数字签名的安全定义回顾

• IND - qCPA ：对称密钥加密方案E = (Enc, Dec)在量子选择消息攻击下不可区分（IND - qCPA安全），如果没有高效对手A能在以下游戏中获胜，获胜概率至多为1/2 + ϵ。
  1. 密钥生成 ：挑战者选择随机密钥k和随机比特b。
  2. 查询 ：A可以进行两种类型的查询。