55、从半诚实到恶意不经意传输：黑盒方法

从半诚实到恶意不经意传输：黑盒方法

1. 引言

现代密码学旨在设计难以破解的协议，其安全性基于计算困难性假设，主要分为特定困难性假设（如离散对数、因式分解和RSA）和一般困难性假设（如单向函数的存在）。使用这些假设构建安全的密码学任务有两种方式：黑盒使用（仅依赖原语的输入/输出行为）和非黑盒使用（利用原语的内部结构），这通过黑盒归约的概念来形式化。

黑盒归约是指从原语P到原语Q的高效构造，忽略Q的内部结构，仅将其作为“子程序”使用。如果安全性证明也是黑盒的，则称为完全黑盒归约。目前，对于大多数密码学任务，要么有到常见困难性假设的黑盒归约，要么证明了这种归约的不可能性，但仍有一些重要任务未能进行上述黑盒分类，不过这些任务大多有非黑盒归约。

Ishai等人首次提出了从不经意传输到“低级”原语（同态加密和增强陷门置换）的黑盒归约，但从不经意传输到半诚实不经意传输的黑盒归约问题仍未解决。理解这一点有助于解决非黑盒技术在密码学原语归约中是否优于黑盒技术的问题，并且非黑盒归约效率低，通信复杂度依赖于底层原语的计算复杂度，而黑盒归约则无此问题。

不经意传输是密码学中的基本原语，本文研究的是由Even、Goldreich和Lempel定义的二选一不经意传输。在该协议中，发送方输入两个秘密比特σ0和σ1，接收方输入索引i∈{0, 1}，协议结束时，接收方学习到σi，同时接收方不学习到σ1 - i，发送方不学习到i。不经意传输可用于密钥协商、合同签署协议和安全多方计算等。

1.1 可辩护隐私

可辩护隐私是Ishai等人引入的概念，是半诚实隐私和完全隐私之间的自然过渡。对于一个双方协议(A, B)，如果在交互结束时，即使作弊的A∗也不能同