16、任意单向密码系统的选择密文安全性

任意单向密码系统的选择密文安全性

1. 引言

近年来，公钥加密成为密码学的核心议题，尤其是针对选择密文攻击的安全性。此前，虽有众多密码学家努力，但实用的密码系统却寥寥无几。同时，也提出了众多安全概念，从单向性到选择密文攻击下的不可延展性等。

近期研究表明，在选择密文攻击下，这些安全概念等价，即“选择密文安全性”，它是最强大的实用安全概念。过去，加密方案的单向性或启发式安全常被认为足够，但一系列实际攻击让可证明安全性变得至关重要，选择密文安全性也成为加密方案的必备要求。

在相关工作方面，安全密码系统候选少的原因在于所需属性难以满足。1994 年前，仅有理论且不实用的方案。之后，Bellare 和 Rogaway 设计了 OAEP 填充，使 OAEP - RSA 成为长期以来唯一能抵御选择密文攻击的实用密码系统。近年来，许多基于决策问题的新方案被提出：
| 问题类型 | 相关方案 |
| ---- | ---- |
| 决策性 Diffie - Hellman 问题 | Tsiounis–Yung、Shoup–Gennaro、Cramer–Shoup 等提出的方案 |
| 决策性依赖 - RSA 问题 | 基于依赖 - RSA 问题的方案 |
| 高剩余问题 | Paillier–Pointcheval 提出的方案 |

Fujisaki–Okamoto 提出了通用变换，能将语义安全方案提升为选择密文安全方案，但决策问题通常依赖强假设，而单向方案基于较弱的计算问题。本研究独立于 Fujisaki–Okamoto 的工作，提出了更高效的变换，可从任何单向加密方案构建选择密文安全方案。

2. 公钥加