密码学归约证明——ElGamal加密方案的CPA安全性

最新推荐文章于 2024-05-30 16:17:47 发布

皮皮罴

最新推荐文章于 2024-05-30 16:17:47 发布

阅读量1.1k

点赞数 2

分类专栏：现代密码学文章标签：密码学算法安全

本文链接：https://blog.csdn.net/weixin_65617488/article/details/128510917

版权

现代密码学专栏收录该内容

9 篇文章 3 订阅

订阅专栏

1. 判定性DDH问题与G相关是困难的

$\qquad$ 对任意的多项式时间算法 $A$ ，存在可忽略函数 $n e g l$ ，使得 $|Pr[A(G,q,g,g^x,g^y,g^z )=1]-Pr[A(G,q,g,g^x,g^y,g^{xy} )=1]|\leq negl(n)$ ，则称判定性 $DDH$ 问题与 $G$ 相关是困难的。
$\qquad$ 有关 $DDH$ 问题以及其他离散对数相关的信息本证明不做叙述。

2. ElGamal加密

$\qquad$ 设多项式时间算法 $G$ ，输入为 $1^n$ ，输出循环群 $\mathbb{G}$ ，群的阶为 $q$ ，生成元为 $g$ 。

$G e n$ ：获得 $(\mathbb{G},q,g)←G(1^n )$ ，均匀随机选择 $x\leftarrow \mathbb{Z}_q$ ，计算 $h=g^x$ 。公钥是 $(\mathbb{G},q,g,h)$ ，私钥是 $(\mathbb{G},q,g,x)$ 。
$E n c$ ：输入公钥 $(\mathbb{G},q,g,h)$ 和消息 $m\in G$ ，选择随机的 $y\leftarrow \mathbb{Z}_q$ ，输出密文 $\left \langle g^y,h^y\cdot m \right \rangle$ 。
$Dec$ ：输入私钥 $(\mathbb{G},q,g,x)$ 和密文 $\left \langle c_1,c_2 \right \rangle$ ，输出 $m=c_2/c_1^x$ 。

3. ElGamal加密的CPA安全性

$\qquad$ 如果 $DDH$ 问题相对于 $G$ 是困难的，则 $ElG ama l$ 加密方案 $\Pi$ 是 $CP A$ 安全的。

$\qquad$ 修改加密方案 $\Pi$ 为 $\Pi'$ ，用公钥 $(\mathbb{G},q,g,h)$ 加密消息通过选择随机的 $y\leftarrow \mathbb{Z}_q$ 和 $z\leftarrow \mathbb{Z}_q$ 来完成，并输出密文 $\left \langle g^y,g^z\cdot m\right \rangle$ 。

$\qquad$ 考虑算法 $D$ ，目标是解决与 $G$ 相关的 $DDH$ 问题：输入 $(\mathbb{G},q,g,g_1,g_2,g_3)$ ，

设 $pk=(\mathbb{G},q,g,g_1)$ ，运行 $A (p k)$ 得到消息 $m_0,m_1$ ；
选择随机比特 $b$ ，设 $c_1=g_2$ ， $c_2=g_3\cdot m_b$ ；
把密文 $\left \langle c_1,c_2 \right \rangle$ 给 $A$ ，输出 $b^{'}$ 。如果 $b^{'} = b$ ，输出 $1$ 。

$\qquad$ 分析 $D$ 的行为：

$D$ 的输入由 $G(1^n)$ 来获得 $(\mathbb{G},q,g)$ ，随机选择 $x,y,z\leftarrow \mathbb{Z}_q$ ，设 $g_1=g^x$ ， $g_2=g^y$ ， $g_3=g^z$ 。然后 $D$ 执行 $A$ ， $A$ 有公钥 $pk=\langle \mathbb{G},q,g,g^x\rangle$ 和密文 $\langle c_1,c_2 \rangle =\langle g^y,g^z\cdot m_b \rangle$ 。这种情况下， $A$ 作为 $D$ 的子程序所见情形与实验 $PubK_{A,\Pi'}^{eav} (n)$ 中相同，即 $Pr[D(\mathbb{G},q,g,g^x,g^y,g^z)=1]=Pr[PubK_{A,\Pi'}^{eav} (n)=1]=\frac{1}{2}$ 。
$D$ 的输入由 $G(1^n )$ 来获得 $(\mathbb{G},q,g)$ ，随机选择 $x,y\leftarrow \mathbb{Z}_q$ ，设 $g_1=g^x$ ， $g_2=g^y$ ， $g_3=g^{xy}$ 。然后 $D$ 执行 $A$ ， $A$ 有公钥 $pk=\langle \mathbb{G},q,g,g^x \rangle$ 和密文 $\langle c_1,c_2 \rangle=\langle g^y,g^{xy}\cdot m_b \rangle$ 。这种情况下， $A$ 作为 $D$ 的子程序所见情形与实验 $PubK_{A,\Pi}^{eav} (n)$ 中相同，即 $Pr[D(\mathbb{G},q,g,g^x,g^y,g^{xy} )=1]=Pr[PubK_{A,\Pi}^{eav} (n)=1]$ 。