伪随机函数及基于伪随机函数的CPA不可区分私钥加密方案

CPA不可区分实验$Priv{K}_{\mathrm{A},\Pi }^{cpa}(n)$

• 定义

  1. 生成密钥$k\leftarrow Gen(1^n)$
  2. 输入$1^n$给$\mathrm{A}$，$\mathrm{A}$可以访问$En{c}_k(\cdot )$预言机(即它可以加密任何它选择的消息)，输出一对等长的消息$m_0,m_1$
  3. 选择一个随机比特 b ← { 0 , 1 } b \leftarrow \{0, 1\} b←{ 0,1}，计算密文$c\leftarrow En{c}_k(m_b)$，交给$\mathrm{A}$
  4. $\mathrm{A}$依然可以访问$En{c}_k(\cdot )$预言机，(在多项式时间内)加密任何它选择的消息，输出一个比特$$\begin{gathered} b^{{ \\ }^{\prime }} \end{gathered}$$
  5. 如果$$\begin{gathered} b^{{ \\ }^{\prime }}=b \end{gathered}$$，实验输出$1$，否则输出$0$。如果$Priv{K}_{\mathrm{A},\Pi }^{cpa}(n)=1$，则$\mathrm{A}$成功

• 理解

  在这个实验中，$\mathrm{A}$被赋予了更强的能力：它可以加密任何它希望的明文

  注意到生成密钥是本实验的第一步，这也是为$\mathrm{A}$提供的，它可以根据${\mathrm{A}}^{En{c}_k(\cdot )}$来选择它输出的消息$m_0,m_1$

  显然，任何确定性加密无法通过本实验，它只需要通过访问预言机就可以知道哪条消息被加密了

CPA不可区分性

• 定义

  对称密钥加密方案$\Pi =(Gen,Enc,Dec)$，如果对所有概率多项式敌手$\mathrm{A}$，存在一个可忽略函数$negl$，使得
  $$Pr[Priv{K}_{\mathrm{A},\Pi }^{cpa}(n)=1]\le \frac{1}{2}+negl$$
  则称$\Pi$具备CPA条件下的不可区分性

伪随机函数

• 定义

  令 F : { 0 , 1 } ∗ × { 0 , 1 } ∗ → { 0 , 1 } ∗ F: \{0, 1\}^* \times \{0, 1\}^* \rightarrow \{0, 1\}^* F:{ 0,1}∗×{ 0,1}