68、加密方案中匿名性与鲁棒性的深入剖析

加密方案中匿名性与鲁棒性的深入剖析

1. 加密方案的匿名性与相关结论

在加密方案中，对称密钥加密方案的匿名性曾以密钥隐藏的名称被研究。有研究设计出了同时具备密钥隐藏和密钥绑定特性的IND - CCA安全对称密钥加密方案，由此引出一个重要结论：存在ANON - CCA的PKE/IBE方案以及(ANON - CCA + IND - CCA)的对称密钥加密方案，使得它们组合后的混合加密并非ANON - CCA。

不过，也有积极的结果。如果混合构造中的KEM组件是弱鲁棒的，那么最终的混合加密实际上是ANON - CCA的。像Boneh - Franklin IBE、Cramer - Shoup PKE和DHIES PKE等已知的ANON - CCA方案都是弱鲁棒的，将它们用于混合构造是安全的。这背后的直觉是，弱鲁棒性确保了解密算法在使用两个不同的秘密密钥解密密文时表现出可预测的行为，这种可预测行为与认证对称加密方案的安全性（如IND - CCA安全和密文完整性CTXT - INT）能很好地结合。

下面通过一个更强的结论进一步说明，考虑将ANON - CCA安全和IND - CCA安全合并为一个定义的AI - CCA安全概念。
- Claim 3.3 ：若混合构造的KEM组件PKE是(AI - CCA + WROB - CCA)的通用加密，E是一次性认证对称加密，那么得到的混合加密PKE′也是AI - CCA通用加密方案。
- 证明 ：通过一系列游戏来证明。
- Game 0 ：即AI - CCA游戏。挑战者生成随机比特b，挑战密文C∗ = (c∗