70、盆景树：格基委托与密码学应用

盆景树：格基委托与密码学应用

1. 复杂度与开放问题

在我们的方案中，盆景树的构造和应用涉及到一些重要的定量细节。多个关键量依赖于树的深度，例如树中格的维度会随深度线性增长，而陷门基的大小大致随维度呈二次方增长。

在分层身份基加密（HIBE）方案里，密文向量的维度至少会随加密身份的深度线性增长。同时，由于每次委托时进行的基随机化操作，用户陷门基的欧几里得长度会随其在树中的深度（更准确地说，是委托链的长度）呈几何级数增长。为保证正确解密，相关学习误差（LWE）问题中的逆噪声参数 1/α 以及底层最坏情况格问题的近似因子必须随基长度增长。具体而言，深度为 d 的分层结构大致对应于最坏情况格问题的 $n^{d/2}$ 近似因子，其中 n 是维度。鉴于格问题即使在亚指数因子范围内也被认为难以近似，该方案在深度达到 $d = n^c$（$c < 1$）时仍可能保持安全。

我们的 HIBE 方案在全自适应身份攻击下能保证安全性，但需要大密钥，且安全归约较为宽松。攻击模拟会将一个（隐式的）盆景树划分为受控分支和无向分支。这么做是希望所有用户密钥查询都指向受控分支（以便模拟能推导出相应的密钥），而目标身份指向无向分支（从而可将攻击转化为对 LWE 问题的攻击）。这种模拟方法（在某些文献中称为“分区策略”）在一定程度上需要猜测攻击者的用户密钥和挑战查询，导致安全归约较为宽松。

相比之下，近期的一些工作在各种假设下为基于配对的（H）IBE 实现了紧密归约（在某些情况下甚至使用小密钥），GPV IBE 的一个变体（在随机预言机模型下）也有紧密归约，但这些方法似乎无法应用到我们的场景中。本质问题在于，我们的模拟器需要为每个查询身份生成一个“主陷门”，这使得将挑战问题嵌入攻击者的