33、有界选择密文攻击中的并行解密查询

有界选择密文攻击中的并行解密查询

1. 引言

在密码学领域，构建能够抵御选择密文攻击（CCA）的公钥加密（PKE）方案是重要的研究课题。目前，构建CCA安全PKE方案的方法大致可分为两类：基于特定数论假设的构造和基于一般假设的构造。

基于特定数论假设的方法在理论和实践上都取得了成功。自Cramer和Shoup基于决策Diffie - Hellman（DDH）假设提出首个实用方案后，许多追求更小密文尺寸和基于更弱假设的IND - CCA2安全PKE方案被构建出来。

基于一般假设的方法主要在理论上取得了成功。若存在（增强型）陷门置换，就可通用地构建IND - CCA2安全PKE方案，此外还有一些从具有“更强”功能和/或安全性的原语构建IND - CCA2安全PKE方案的优雅通用构造。

然而，一个最基本的问题仍未解决：能否从任何语义安全（即IND - CPA安全）的PKE方案通用地构建出CCA（IND - CCA1或IND - CCA2）安全的PKE方案？目前，关于这个问题有一些负面和正面的结果：
- Gertner等人表明，若构造满足屏蔽属性，以黑盒方式仅从IND - CPA安全的PKE方案构建IND - CCA1安全的PKE方案是不可能的。
- Pass等人展示了如何从任何IND - CPA安全的PKE方案构建对选择明文攻击具有非延展性（NM - CPA）的PKE方案，其构造使用了一类非交互式零知识（NIZK）证明，且是非黑盒的。
- Cramer等人引入了有界CCA安全的概念，即对手可进行的解密预言机查询次数被某个预定值（如q）限制，记为q - CCA2。他们证明了对于任何多项式q，可从任何IND - CPA安全的方案以黑盒和屏蔽