15、藤崎 - 冈本变换中的隐式拒绝：框架与新实现

藤崎 - 冈本变换中的隐式拒绝：框架与新实现

1. 引言

随着量子计算的发展，我们必须考虑能抵御量子攻击的密码学构造。美国国家标准与技术研究院（NIST）发起的后量子密码学（PQC）标准化项目，旨在寻找抗量子的公钥密码原语。在这种背景下，量子随机预言机模型（QROM）应运而生，用于捕捉量子攻击者执行哈希函数等公共密码组件的能力。

藤崎 - 冈本（FO）变换是构建抗选择密文攻击不可区分性（IND - CCA）安全的公钥加密（PKE）方案的重要方法。其核心思想是在解密算法中使用“重新加密”来验证密文的有效性，拒绝可能泄露私钥信息的无效密文，这种方式被称为显式拒绝。

然而，在QROM中证明通过FO变换得到的PKE方案的IND - CCA安全性极具挑战性，因为许多经典的随机预言机模型（ROM）证明技术无法直接应用于量子环境。例如，在ROM中，模拟器可以通过扫描随机预言机查询列表来验证密文的有效性，但在QROM中，由于量子攻击者可以在指数级多状态的叠加态上评估随机预言机，这样的查询列表并不存在。

为了解决密文有效性验证的问题，Hofheinz等人提出了FO变换的密钥封装机制（KEM）版本的“隐式拒绝”变体。在这种变体中，对于无效密文，解密算法返回一个伪随机密钥，而不是拒绝符号⊥。随后，Jiang等人证明了应用这些隐式拒绝变体得到的KEM在QROM中是IND - CCA安全的。目前，NIST宣布的KEM算法决赛入围者和第4轮提交的方案都采用了FO - KEM的隐式拒绝变体来实现QROM中的IND - CCA安全性。

但现有的隐式拒绝KEM在构造中需要引入额外的秘密信息，从设计角度来看，我们自然会思考是否有更好的方法来实现“隐式拒绝”。