可证明安全——对称加密

计算安全性 (computational security)

达不到完美安全（无信息泄露），安全性基于计算的复杂性。对于一个高效的敌手（计算的时间不很长），其攻击成功的概率很低。具体来说，有以下两种正式定义：

具体方法

如果一个加密方案，对任意至多计算时间为 $t$ 的敌手，攻击成功概率不超过 $ϵ$，则称这个方案是 $(t,ϵ)-secure$。

很显然，这个定义并不是很直接，因为不好描述“任意敌手”。

渐进方法

首先，渐进方法定义了一个安全参数 $n$。通常来说，这个参数可以简单地理解为秘钥的长度。

如果一个方案，对于任意多项式时间的敌手，攻破成功的概率为可忽略量，则称该方案是安全的。

敌手本质是一个算法，多项式时间是指 $\exists k\in N$， 这个算法的复杂度是 $O(n^k)$。可忽略量是小于任何多项式的倒数，也就是说，对 $\forall k\in N$，攻破成功的概率为 $O(n^{-k})$。

安全等级

单次加密 EAV-secure

EAV-secure，是指在窃听攻击的情况下安全。

针对加密方案 $\Pi =(\text{Gen, Enc, Dec})$ 和敌手 $\mathcal{A}$， 首先定义实验 ${\text{PrivK}}_{\mathcal{A},\Pi }^{\text{eav}}(n)$

• 给敌手 $\mathcal{A}$ 安全参数 $n$，敌手输出两个等长的明文 $m_0$，$m_1$
• 通过 $\text{Gen}(1^n)$ 生成秘钥 $k$，并随机选择 b ∈ { 0 , 1 } b \in \{0, 1\} b∈{ 0,1}，计算密文 $c\leftarrow \text{Enc}(m_b)$，并将 $c$ 给 $\mathcal{A}$。
• $\mathcal{A}$ 输出 $b^{\prime }$。定义 ${\text{out}}_{\mathcal{A}}({\text{PrivK}}_{\mathcal{A},\Pi }^{\text{eav}}(n,b))=b^{\prime }$。
• 如果 $b^{\prime }=b$，则 ${\text{PrivK}}_{\mathcal{A},\Pi }^{\text{eav}}(n)=1$，否则 ${\text{PrivK}}_{\mathcal{A},\Pi }^{\text{eav}}(n)=0$。

对任意加密方案 $\Pi$，EAV-secure 有如下两个定义：
对任意多项式时间敌手$\mathcal{A}$，
$$\mathrm{Pr}[{\text{PrivK}}_{\mathcal{A},\Pi }^{\text{eav}}(n)=1]\le \frac{1}{2}+\text{negl}(n)$$
或
$$|\mathrm{Pr}[{\text{out}}_{}$$