12、《计算机辅助密码学安全证明：从基础到应用》

《计算机辅助密码学安全证明：从基础到应用》

1. 游戏转换与证明简化

在密码学安全证明中，游戏转换是一种常见的技术。在游戏 G2 中，用于计算挑战密文的 $H(\hat{y})$ 值被替换为一个均匀选择的值。只有当敌手 $A_1$ 向 $H$ 查询 $\hat{y}$ 时，这种替换才会产生差异，而在两个游戏中发生这种情况的概率是相同的。因此，这两个游戏中任何事件发生概率的差异，被 $\hat{y} \in L_A$ 在 G2 中发生的概率所界定。这可以看作是游戏基本引理的语义变体，它避免了应用该引理语法对应物所需的代码插桩。

从 G2 到 G3 的转换采用了一种称为乐观采样的代码转换技术。不再是采样 $h$ 并定义 $\gamma = h \oplus m_b$，而是采样 $\gamma$ 并定义 $h = \gamma \oplus m_b$，然后将 $h$ 的定义作为死代码移除。这种转换在逻辑上是允许的，并且消除了敌手输出对挑战比特 $b$ 的依赖。

最后，通过展示一个将 $A$ 作为子过程的敌手 $B$，将问题归约到 LCDH 问题。游戏 LCDH 和 G3 的语义是一致的。根据前面的结论，敌手 $A$ 的优势可以被敌手 $B$ 解决 LCDH 问题的概率所界定。最终的证明草图约 250 行，比 CertiCrypt 中的证明短约 5 倍，而且更简单，接近纸笔证明。

2. EasyCrypt 概述

2.1 编程语言

EasyCrypt 使用一种类型化、概率性、过程式、命令式的语言来建模游戏。类型包括布尔值、整数、位串、对、列表、映射和用户定义类型。表达式由变量和运算符以常见方式构建，例如布尔值运算符包括常见的连接符、相等性