53、抗选择密文选择性开启攻击的加密方案

抗选择密文选择性开启攻击的加密方案

在当今的数字通信中，数据安全是至关重要的。当多个小型设备向单个接收器发送加密数据时，若存在一个能自适应破坏部分设备的攻击者，未被破坏设备的密文是否还能保持安全呢？传统的加密安全概念，如IND - CCA安全，在这种场景下似乎并不足以保障数据安全。接下来，我们将深入探讨这个问题，并介绍一种新的解决方案。

传统加密安全概念及其局限性

一般来说，公钥加密的安全概念是选择密文攻击下的密文不可区分性（IND - CCA）。在IND - CCA安全中，即使攻击者可以访问解密预言机，也无法分辨两个由其选择的消息中哪一个被加密了。这种安全概念非常有用，一方面它本质上体现了对抗主动攻击的安全信道概念；另一方面，基于标准数论假设可以构建高效的IND - CCA安全加密方案。

然而，在现实场景中，IND - CCA安全并不总是能提供足够的安全保障。例如，大量小型设备使用接收器的公钥加密数据并发送给接收器，攻击者可以自适应地破坏部分设备，并获取这些设备的完整内部状态，包括之前加密时使用的随机数。在这种情况下，攻击者可以要求对部分密文进行选择性开启，那么未开启的密文是否还能保持安全呢？直观上，一个安全的公钥加密系统应该保证攻击者无法从已揭示的明文之外推断出未被破坏设备发送的明文信息，但IND - CCA安全在这种场景下似乎无法直接发挥作用。

选择性开启攻击下的安全加密方案现状

目前，对于选择性开启攻击下安全的公钥加密方案（SOA安全）的研究还比较有限。已有研究表明，每个有损加密方案对于被动（即仅进行窃听）攻击者是SOA安全的，这提供了一种通用的SOA安全加密构造方法，并且可以实现较为高效的实例化。但对于设计对抗主动攻击者的SO