29、如何去除 HK09 中的指数 GCD 运算

如何去除 HK09 中的指数 GCD 运算

一、引言

在公钥加密领域，Hofheinz 和 Kiltz 基于 Blum - Goldwasser 加密（BG84）在 2009 年的 Eurocrypt 会议上提出了 HK09 方案，这是首个在标准模型下基于因式分解假设的实用 IND - CCA（选择密文攻击）安全的公钥加密方案。BG84 方案在因式分解假设下是 IND - CPA（选择明文攻击）安全的，而 HK09 为了达到 IND - CCA 安全，采用了著名的 All - But - One 技巧，该技巧在 IND - CCA 安全加密方案的构建中被广泛使用。

后来，Wee 将 HK09 的技巧推广到可提取哈希证明系统，并提出了一个概念上更简单但效率较低的 HK09 变体。Mei 和 Lu 等人也对 HK09 的效率进行了改进。Mei 等人将 HK09 实例化到半光滑子群，并提出了 ElGamal 风格的变体；Lu 等人则在封装和解封装效率之间进行了权衡，提高了解封装效率。

然而，HK09 的解封装算法需要使用 Shamir 的指数 GCD 算法来计算 $g^{\mu 2^{l_H}}$，这影响了解封装效率。之前去除指数 GCD 运算的方法存在一些缺点，如 [9] 中的方法导致安全归约宽松，[10] 中的方法增加了密钥大小。因此，如何在保持密钥大小和安全归约复杂度的同时去除指数 GCD 运算成为一个有趣的问题。

二、定义

1. 概率过程表示
   • $x \stackrel{R}{\leftarrow} X$ 表示 $x$ 是根据分布 $X$ 采样得到的。