48、低密钥数量的公钥广播加密方案解析

低密钥数量的公钥广播加密方案解析

1. 哈希查询与参数分布

在进行查询时，如果该查询之前已经被执行过，我们会返回之前存储的该查询的哈希值。对于其他未查询过的输入，我们会返回群 (G) 中的随机值。

我们需要检查归约过程中参数的分布与系统中参数的分布是否一致。由于其他参数的分布是正确的，所以我们只检查与 (\alpha) 相关的参数。因为 (\tau, w_1, w_2, \ldots, w_L) 是随机选取的，所以 (g^{a(\alpha)}_i)（(0 \leq i \leq L)）在 (G^{L + 1}) 上是均匀分布的。由于随机预言机模型的存在，其对应的系统参数在 (G^{L + 1}) 上也是均匀分布的。同样，因为 (\kappa, \mu_1, \mu_2, \ldots, \mu_L) 是随机选取的，(h^{\alpha}) 和 (g^{r_i, \alpha})（(1 \leq i \leq L)）在 (G^{L + 1}) 上也是均匀分布的，这与对应的系统参数的分布相同。

消息头中的 (g^r) 和公钥中的 (g^{\rho}) 在群 (G) 上都是均匀分布的，因为它们分别由给定输入 (g^c) 和 (g^a) 设置。由于会话密钥 (m) 是从 (G_1) 中随机选取的，所以 (m\hat{e}(g^{\rho}, h^{\alpha})^r) 在 (G_1) 上是均匀分布的，我们将其设置为一个随机值 (y \in G_1)。即使我们不知道 (m) 的具体值，这也不会影响归约过程。其他参数依赖于上述讨论的内容，我们可以验证它们的计算都是正确的，所以归约过程保留了正确的分布。

如果被撤销的用户以概率 (\epsilon) 从消息头中计算出会话