11、理想密码模型下Linicrypt的碰撞抗性分析

理想密码模型下Linicrypt的碰撞抗性分析

在密码学领域，碰撞抗性和第二原像抗性是衡量密码程序安全性的重要指标。本文将深入探讨理想密码模型下Linicrypt程序的碰撞抗性和第二原像抗性，并介绍如何高效地判断程序是否具有碰撞结构。

1. 基本定义

• (q, ϵ)-碰撞抗性 ：若任意最多进行q = qE + qD次查询的预言机敌手A，在以下游戏中成功的概率至多为ϵ，则程序P是(q, ϵ)-碰撞抗性的。游戏规则为：(x, x′) ←AE,E−1(λ)；返回(x ≠ x′)且PE(x) = PE(x′)。
• (q, ϵ)-第二原像抗性 ：若任意最多进行q = qE + qD次查询的预言机敌手A，在以下游戏中成功的概率至多为ϵ，则程序P是(q, ϵ)-第二原像抗性的。游戏规则为：x ←Fk；x′ ←AE,E−1(x, λ)；返回(x ≠ x′)且PE(x) = PE(x′)。

2. 退化程序与碰撞结构

• 退化程序 ：程序P = (M, C)是退化的，当且仅当span({e1, …, ek+n}) ⊈ span({qK | (qK, qX, a) ∈C} ∪ {qX | (qK, qX, a) ∈C} ∪ {a | (qK, qX, a) ∈C} ∪ rows(M))。如果P是退化的，那么可以以概率1找到第二原像。
• 碰撞结构 ：设P = (M, C)是一个Linicrypt程序。P的碰撞结构是一个元组(i∗, c1, …, cn)