64、可加同态 UC 承诺方案的复杂性解析

可加同态 UC 承诺方案的复杂性解析

1. 引言

承诺方案就如同一个安全上锁的盒子，发送方 Ps 可以将秘密放入盒中，封好后发送给接收方 Pr，从而向其隐藏秘密。由于接收方无法查看盒内，我们称该承诺具有隐藏性；又因为发送方已交出盒子，无法改变主意，所以承诺也具有约束性。这些简单却强大的特性在无数密码学协议中都不可或缺，尤其是在保障针对恶意对手的安全性时，对手可能会随意偏离当前协议。

在独立模型中，承诺方案在通信和计算方面都能做到非常高效，并且完全可以基于单向函数的存在来构建。例如，可以通过像伪随机生成器这样的低成本对称密码学来构造。

本文提出了一种在 Canetti（2001）提出的 UC 框架下安全的可加同态承诺方案，该模型考虑了在并发和异步环境中运行的协议。最初的 UC 安全承诺方案在一些研究中作为可行性结果被提出，同时也表明 UC 承诺在标准模型中无法实例化，需要某种形式的设置假设，如公共参考串（CRS）。此外，在这种模型中构建 UC 承诺意味着需要公钥密码学。在 UC 环境中，之前提到的隐藏性和约束性分别被增强了可欺骗性和可提取性的概念。简单来说，如果一个承诺可以使用特殊的陷门信息打开为任何消息，那么该方案具有可欺骗性；如果可以使用特殊陷门信息从承诺中高效提取底层消息，那么该方案具有可提取性。

基于上述原因，UC 承诺的效率明显低于独立模型中的构造。不过，文献中已经提出了大量的改进方案，考虑了不同的数论硬度假设、设置假设类型和对抗模型。直到最近，本文所考虑的对抗模型中最有效的方案包括在 CRS 模型中的一些方案以及在随机预言机模型不同变体中的一些方案。

2. 相关工作

• OT -