79、重温保序加密：改进的安全分析与替代方案

重温保序加密：改进的安全分析与替代方案

1. 引言

保序对称加密（OPE）方案是一种确定性对称加密方案，其加密算法生成的密文能保留明文的数值顺序。2004年，OPE由Agrawal等人在数据库领域提出，作为支持对加密数据进行高效范围查询的工具。不过，直到最近，Boldyreva等人的论文才对OPE进行了首次正式的密码学处理，他们为OPE制定了安全要求，并提出了一种基于分组密码的高效方案，且该方案被证明满足其安全定义。

尽管有了一个被证明满足安全概念的OPE方案，但作者们仍警告在进一步研究其安全性之前，不宜将其用于实际。以他们提出的伪随机保序函数（POPF）这一安全概念为例，从直观上看，如果对OPE方案加密算法的预言机访问与对相同定义域和值域上的随机保序函数（ROPF）的预言机访问无法区分，那么该OPE方案就是安全的。这是对经典伪随机函数（PRF）概念在保序环境下的直接改编，但POPF定义在描述其安全类型时有些误导和令人困惑。对于随机函数，其行为很容易理解，新输入的输出是值域中的随机点，对手看到函数值时，除非该值与之前看到的重合，否则无法获得关于原像的任何信息。然而，随机OPF的情况则难以描述，它显然无法提供像随机函数那样强的安全性，但具体泄露了哪些数据信息以及保护了哪些信息并不明确，甚至加密是否具有单向性也不清晰。

尽管原作者警告存在未解决的问题，但该OPE方案仍立即受到了应用界的关注。虽然安全的OPE总比不加密要好，但在没有清晰安全理解的情况下实际使用可能非常危险，因此尽快澄清安全问题十分重要。本文将重新审视ROPF的安全性，分析它泄露和保护了底层数据的哪些信息，同时研究非OPE类但能实现高效范围查询且安全性更强的方案。

2. 研究ROPF安全性的新定义