35、从弱比特承诺实现高效字符串承诺

从弱比特承诺实现高效字符串承诺

1. 引言

1.1 承诺方案的安全放大

弱密码原语的安全放大是一个自姚期智开创性工作以来就被研究的基础问题。近年来，在各种场景下，针对多种原语的安全放大都有广泛研究，比如加密方案、承诺方案、不经意传输、消息认证码（MAC）、数字签名和伪随机函数（PRF）等。这些研究有的考虑信息论安全，有的考虑计算安全。不同原语的安全属性呈现出不同的交互场景，例如承诺方案比加密方案更具交互性，MAC 的选择消息攻击引入了不同类型的交互。在交互和计算场景下证明放大结果往往更具挑战性。

本文继续研究承诺方案的安全放大，聚焦于计算场景下的黑盒安全放大，安全需抵御概率多项式时间（PPT）主动敌手。起点是一个（弱）比特承诺方案 Com0，它具有 p - 隐藏性（没有 PPT 敌手接收者能以超过 (1 + p)/2 的概率正确猜出承诺比特）和 q - 绑定性（没有 PPT 敌手发送者能以超过 q 的概率以两种方式打开承诺），目标是将 Com0 转换为一个安全的承诺方案 Com，通过对 Com0 进行黑盒调用并实现两种属性的可忽略安全。

以往工作主要关注可行性结果，即对于哪些 p 和 q 值，安全放大是可行的。在信息论场景下，Damgård 等人表明当且仅当 p + q ≤ 1 - 1/poly(s) 时，黑盒转换是可能的；Halevi 和 Rabin 在计算场景下分析了该转换，证明当 p + q ≤ 1 - 1/polylog(s) 时黑盒转换可行；Holenstein 和 Schoenebeck 进一步将结果优化到最优，即在计算场景下，当且仅当 p + q ≤ 1 - 1/poly(s) 时，黑盒安全放大是可实现的。

然而，现有转换