16、迈向存在身份泄露的匿名密文不可区分性

迈向存在身份泄露的匿名密文不可区分性

1. 引言

在传统公钥密码学中，每个用户自行生成公钥和私钥，还需从可信证书颁发机构获取将公钥与身份绑定的数字证书，证书可用于验证公钥所属人。

1984 年，Shamir 引入了基于身份的密码学概念。在基于身份的密码系统中，用户公钥就是身份信息，如人名、邮箱地址、组织名称等。与传统公钥密码学相比，基于身份的密码学的优势在于避免了公钥证书的分发，加密消息或验证签名的一方只需知晓对方身份。

不过，在基于身份的密码学中，基于身份的私钥由持有主私钥的密钥生成中心（KGC）生成。在多数基于身份的签名或加密方案中，人们对 KGC 寄予了高度信任，但这在现实场景中并不总是合适的。恶意的 KGC 可能出售用户的基于身份的私钥、代用户签名消息或解密密文，且可能不会受到法律追究，这就是密钥托管问题。

2. 背景知识

2.1 基于身份的加密

一个基于身份的加密（IBE）方案包含四个多项式时间算法：
- Setup ：输入安全参数 (1^{\lambda})，生成主公钥 (mpk)（包括消息空间 (M) 和身份空间 (I)）以及主私钥 (msk)。
- Extract ：输入 (mpk)、(msk) 和身份 (ID)，KGC 输出基于身份的私钥 (sk_{ID})。
- Enc ：输入 (mpk)、(ID) 和消息 (m)，输出密文 (C)。
- Dec ：输入 (mpk)、(ID)、(sk_{ID}) 和 (C