38、藤崎 - 冈本变换的完全非延展性研究

藤崎 - 冈本变换的完全非延展性研究

1. 游戏分析与分布关系

在游戏 G2 中，当敌手 B 查询哈希函数 H 时，H 会返回一个均匀密钥 K，并将形如 (c′, K) 的条目添加到列表 LD 中。随后，当对密文 c′ 调用解封装函数 Decaps(c∗)⊥ 时，由于 (c′, K) 存在于 LD 中，Decaps(c∗)⊥ 会返回与 H 相同的密钥 K。

在游戏 G3 里，当 B 查询 H 时，H 同样返回均匀密钥 K，并将形如 (m′, c′, K) 的条目添加到列表 LH 中。之后，当对 c′ 调用 Decaps(c∗)⊥ 时，因为 (m′, c′, K) 属于 LH，所以 Decaps(c∗)⊥ 也会返回密钥 K。因此，在这两个游戏中都有 H(m′, c′) = K = Decaps(c∗)⊥。

由于敌手区分 G2 和 G3 的唯一希望是触发 G3 中的 QUERY 事件，所以 B 区分 G2 和 G3 的概率受底层公钥加密（PKE）方案在 OW - PCVA 游戏中获胜概率的限制。

同时，有引理表明 GB3(λ) 与 KEMnm - cca2∗˜Π1,B,$(λ) 具有相同的分布。综合上述引理，能够得出 KEMnm - cca2∗˜Π⊥1,B(λ) 与 KEMnm - cca2∗˜Π⊥1,B,$(λ) 在计算上不可区分，即 KEMnm - cca2∗˜Π⊥1,B(λ) ≈c KEMnm - cca2∗˜Π⊥1,B,$(λ)。

下面通过表格总结两个游戏的主要操作：
| 游戏 | H 查询操作 | 解封装操作 |
| ---- | ---- | ---- |
| G2 | 返回均匀密钥 K，添加 (c′,