身份基加密方案的安全性证明

在上一篇博客中，介绍了Boneh-Franklin的基于身份的加密方案，准确地说，是介绍了Boneh-Franklin论文^[1]中最基础的方案——BasicIdent。在这篇博客中，主要论述BasicIdent可以抵抗选择明文攻击(chosen plaintext attacks, CPA)，但不可以抵抗选择密文攻击(chosen ciphertext attacks)。

上篇博客地址

前置知识

归约

存在两个问题$P1$和$P2$，算法$M1$可以解决问题$P1$。如果能构造出另一个算法$M2$用来解决问题$P2$，其中$M1$是$M2$的子程序。这时$P1$归约到了$P2$。^[2]

例如对方案1进行安全性证明：

• 将方案1归约到方案2
• 假设：存在攻击者$\mathcal{A}$可以攻破方案1
• 因此存在攻击者$\mathcal{B}$可以攻破方案2
• 方案2是已证明安全的方案，或者是困难问题，或者是一密码本源
• 存在矛盾，假设不成立，方案1是安全的。

注意：reduction的中文翻译应该是“归约”而不是“规约”。

Bilinear Diffie-Hellman (BDH)问题

$e$是一个双线性映射：$G_1\times G_1⟶G_2$。$P$是$G_1$的生成元，$e(P,P)$是$G_2$的生成元，$G_1$和$G_2$的阶都为$p$。给定一个元组$<P,aP,bP,cP>$，其中$a,b,c$是从$Z_p^{\ast }$中随机选取的元素。计算$e(P,P{)}^{abc}$就是BDH问题。

攻击者$\mathcal{A}$解决BDH问题的优势定义如下：
$$Ad{v}^{BDH}(\mathcal{A})=Pr[\mathcal{A}(P,aP,bP,cP)\Rightarrow e(P,P{)}^{abc}]$$
如果$\mathcal{A}$在$t$时间内，$Ad{v}^{BDH}(\mathcal{A})<ϵ$，则称BDH问题是$(ϵ,t)$-困难。

CPA安全性证明

安全证明的整体思路就是，先将BasicIdent归约到一个非基于身份的加密方案BasicPub，再将BasicPub归约到BDH问题。

BasicPub方案

• 产生密钥：
  • 哈希函数 H 2 : G 2 → { 0 , 1 } n H_2:G_2 \rightarrow \{0,1\}^n H2​:G2​→{ 0,1}n；
  • $P$是$G_1$的一个生成元；
  • 随机选取$s\stackrel{R}{\leftarrow }{Z}_p^{\ast }$，并计算$P_{pub}=sP$；
  • 随机选择$Q_{id}\stackrel{R}{\leftarrow }{G}_1^{\ast }$；
  • 私钥$d_{id}=s{Q}_{id}$，公钥$pk=<P,P_{pub},Q_{id},H_2>$。
• 加密：
  • 明文 M ∈ { 0 , 1 } n M \in \{0,1\}^n M∈{ 0,1}n；
  • 随机选取$r\stackrel{R}{\leftarrow }{Z}_p^{\ast }$；
  • $U=rP,V=M\oplus H_2(e(Q_{id},P_{pub}{)}^r)$，密文$C=<U,V>$
• 解密：
  • $V\oplus H_2(e(d_{id},U))=M$

可以看出BasicPub方案与BasicIdent方案的不同之处在于，公钥$Q_{id}$的选取方式不同。在BasicPub方案中，$Q_{id}$是从$G_1^{\ast }$中随机选取的元素，因此没有了与$id$之间的联系。

非形式化的证明

首先很容易看出BasicIdent方案是概率性的加密方案，这是公钥加密方案满足CPA安全性的必要条件^[3]

${\mathcal{A}}_1$是BasicIdent方案中IND-ID-CPA的攻击者；${\mathcal{A}}_2$是BasicPub方案中IND-CPA的攻击者；$\mathcal{B}$是用来解决给定BDH问题的算法。

规约过程总共分两步：第一步，定义Game1，${\mathcal{A}}_1$被用来构造${\mathcal{A}}_2$；第二步，定义Game2，${\mathcal{A}}_2$被用来构造$\mathcal{B}$。如果${\mathcal{A}}_1$对于攻破BasicIdent有不可忽略的优势，那么$\mathcal{B}$对于解决BDH问题有不可忽略的优势。然而BDH问题是计算困难问题，因此不存在这样的$\mathcal{B}$以及${\mathcal{A}}_1$和${\mathcal{A}}_2$。

在Game2中，$\mathcal{B}$是受挑战者，${\mathcal{A}}_2$攻击者。$\mathcal{B}$运行BasicPub的密钥生成算法，将$pk=<P,P_{pub},Q_{id},H_2>$给 A 2 \mathcal{A}_2