26、令牌控制公钥加密的通用构造

令牌控制公钥加密的通用构造

1. 引言

在令牌控制公钥加密（TCPKE）中，存在一个负责保管和释放令牌的实体。加密消息的人和预期的接收者都希望确保该实体能提供正确的令牌。若该实体试图抵制流程并向接收者提供错误令牌，接收者应能检测到这种不当行为。然而，此前的一些TCPKE方案并未考虑这一重要属性。实际上，某些特定的TCPKE方案在这方面是不安全的，恶意的“可信”方可以提供与有效令牌不同的虚假令牌，而接收者无法察觉，最终得到与原始消息不同的解密消息，这在实际应用中是不可接受的。

本文提出了一种基于陷门部分单向函数的简单、高效且通用的TCPKE方案构造方法，该方法满足所有必要的安全属性。新构造是对Fujisaki - Okamoto（FO）变换的轻微修改，且不增加计算开销，其形式化证明在随机预言机模型下成立。当使用El Gamal或RSA原语实现时，该转换产生的方案比以前提出的方案更高效。

2. 进一步应用

• 未来加密 ：由于同一个令牌可以控制多个密文或接收者的解密，TCPKE为向未来发送消息提供了一种非常高效的解决方案。发送者使用TCPKE方案，用相同的令牌和不同接收者的公钥加密多个消息，并将令牌和接收者可读取机密信息的日期提供给第三方。在指定时间，第三方公开宣布令牌，每个接收者都能读取消息。与基于身份加密的解决方案相比，该方案不影响消息的机密性，且所有通信都是离线的，而基于身份加密的方案需要更大的带宽、接收者与第三方之间的专用通道以及在线通信。
• “私人开启”承诺方案 ：具有强存在性令牌不可伪造性的TCPKE方案可以看作是一种承诺方案。发送者使用接收