64、密码学中的密钥封装与函数秘密共享技术

密码学中的密钥封装与函数秘密共享技术

1. OCAKE - ElGamal 协议分析

OCAKE - ElGamal 协议在特定情况下与 OEKE 协议等价，即当使用从 ElGamal 派生的 KEM 时。不过，该协议存在一些局限性：
- 不能像 OEKE 那样移除对公钥 pk 的加密而仅保留对密文 c 的加密。因为严格遵循其框架需要一个完全匿名的 KEM，否则客户端可能利用解密时错误构造的密文间隙进行子集攻击。而且在量子安全 KEM 的背景下，目前没有能实现完全匿名的方案，所以严格的 OEKE 框架在长期可用性方面并非理想选择。
- 该协议仅对静态破坏具有安全性。若允许对手进行自适应破坏，对手可在客户端计算 Decaps 之前，在接收到 (c, Auth) 时破坏客户端，从而获取私钥 sk，进而区分模拟过程。
- 之后添加客户端认证以实现相互认证是可行的。在推导会话密钥之前的证明过程中，会大量使用技巧来提取私有信息或发送不可区分的随机元素，客户端可能发送诚实认证、完全不可区分的认证或可识别的错误认证。

2. Crystal - Kyber 的安全特性

Crystal - Kyber 具有以下重要的安全特性：
- 不可区分性 ：在参数 (k, η, q, n) 下，Kyber 是不可区分的 KEM，满足不等式：Advind _Kyber (A) ≤ Advd - mlwe _k,k,η (t) + Advd - mlwe _{k + 1,k,η} (t)。
- 匿名性 ：在 C = R