35、双线性群上动态通用累加器的密码分析

双线性群上动态通用累加器的密码分析

1. 累加器相关定义

累加器涉及以下关键要素：
- 任意给定输入集 $Y$ 中元素累积得到的累加器值 $V_Y$。
- 任意累积元素 $y^ $ 的成员证明 $w_{y^ }$。
- 任意自由选择的非累积元素 $y^ $ 的非成员证明 $\overline{w}_{y^ }$。

通过使用秘密和公开的累加器密钥对 $(sk_{acc}, pk_{acc})$，此定义体现了某种构造的陷门特性。其中，秘密累加器参数 $\alpha$ 对应正式的累加器秘密密钥 $sk_{acc}$，而 $pk_{acc}$ 代表公开信息，即双线性群定义和用于公开证明验证所需的群元素。

2. α 基构造中碰撞抗性的破坏

在 $\alpha$ 基构造中，当多项式 $f_V(x) \in Z/pZ[x]$ 完全已知，或者等价地，所有累积元素的集合公开已知（通常情况如此）时，掌握单个非成员证明就足以破坏累加器方案的（假定）碰撞抗性。

在安全归约中，对于非累积元素 $y \in ACC \setminus Y_V$ 及其相对于累加器值 $V$ 的非成员证明 $\overline{w}_{y,V} = (C_y, d_y)$，元素 $\tilde{d}_y \in Z/pZ$ 需验证：
[
\left\lfloor f_V(x) - \tilde{d}_y \mod (y + x) \right\rfloor \equiv 0 \pmod{p}
]
这对应于 $\tilde{d}_y \equiv f_V(-y) \pmod