伪随机性及基于伪随机性的窃听不可区分私钥加密方案

伪随机性

意义

• 通过相对短的随机种子，生成一个相对长的伪随机串
• 一个短的密钥就可以被用来加密长消息，突破了完善保密的限制

伪随机发生器

• 定义

  $G$为确定性多项式时间算法，$l(\cdot )$为多项式，$G$的输出以及满足的条件：
  ∀ s ∈ { 0 , 1 } n , G ( s ) = { 0 , 1 } l ( n ) \forall s \in \{0, 1\}^n, G(s) = \{0, 1\}^{l(n)} ∀s∈{ 0,1}n,G(s)={ 0,1}l(n)

  1. 扩展性：$\forall n,l(n)>n$

  2. 伪随机性：对任意多项式时间区分器$D$，存在可忽略的$negl$，满足
     $$|Pr[D(r)=1]-Pr[D(G(s))=1]|\le negl(n)$$
     $r$是从 { 0 , 1 } l ( n ) \{0, 1\}^{l(n)} { 0,1}l(n)中均匀随机选择的，$s$是从 { 0 , 1 } n \{0, 1\}^n { 0,1}n均匀随机选择的

  称$G$为伪随机发生器，$l(\cdot )$为$G$的扩展系数

• 理解

  1. $G$为什么是确定性算法？

     我们使用伪随机发生器的目的是由一个短的密钥产生长的伪随机串来加密信息。这样就不需要保留一个很长的密钥，而只需要保留短的密钥。因此，我们实际使用$G(k)\oplus m$来加解密信息。显然，如果$G$是非确定的，在加密和解密时产生了不同的$G(k)$，就违背了加密方案的基本正确性要求

  2. 伪随机性

     任意区分器无法在多项式时间内有效的区别真随机串$r$和伪随机串$G(s)$

构造安全加密方案

一个安全的定长加密方案

• 构造

  $G$是扩展因子为$l$的伪随机发生器。则一个消息长度为$l$的对称密钥加密方案$\Pi$：

  • $Gen$：输入$1^n$，输出随机密钥 k ← { 0 , 1 } n k \leftarrow \{0, 1\}^n k←{ 0,1}n
  • $Enc$：输入密钥 k ∈ { 0 , 1 } n k \in \{0, 1\}^n k∈{ 0,1}n，消息 m ∈ { 0 , 1 } l ( n ) m \in \{0, 1\}^{l(n)} m∈{ 0,1}l(n)，输出密文$c:=G(k)\oplus m$
  • $Dec$：输入密钥 k ∈ { 0 , 1 } n k \in \{0, 1\}^n k∈{ 0,1}n，密文 c ∈ { 0 , 1 } l ( n ) c \in \{0, 1\}^{l(n)} c∈{ 0,1}l(n)，输出明文$m:=G(k)\oplus c$

• 证明

  若$G$是伪随机发生器，则$\Pi$是窃听不可区分的

  设$Pr[Priv{K}_{\mathrm{A},\Pi }^{eav}(n)=1]=\frac{1}{2}+\epsilon (n)$，即证$\epsilon (n)$可忽略；$D$为多项式时间伪随机区分器

  1. $D$接受$w$作为输入， w ∈ { 0 , 1 } l ( n ) w \in \{0, 1\}^{l(n)} w∈{ 0,1}l(n)，且 w ∈ { r i } w \in \{r_i\} w∈{ ri​}或$w\in G(s)$，即$w$是真随机串或伪随机串

  2. $D$将$w$作为$Priv{K}_{\mathrm{A},\Pi }^{eav}(n)$中的密钥参与$\mathrm{A}$的窃听不可区分实验中

     当 w ∈ { r i } w \in \{r_i\} w∈{ ri​}，$\mathrm{A}$面对的是完美保密$\stackrel{\sim }{\Pi }$：
     $$Pr[Priv{K}_{\mathrm{A},\stackrel{\sim }{\Pi }}^{eav}(n)=1]=\frac{1}{2}$$

     当$w\in G(s)$，$\mathrm{A}$面对的是加密方案$\Pi$：
     $$Pr[Priv{K}_{\mathrm{A},\Pi }^{eav}(n)=1]=\frac{1}{2}+\epsilon (n)$$

  3. 当$\mathrm{A}$在窃听不可区分实验中成功时，$D$输出$1$，否则输出$0$

     当 w ∈ { r i } w \in \{r_i\} w∈{ ri​}，
     $$Pr[D(w)=1]=Pr[Priv{K}_{\mathrm{A},\stackrel{\sim }{\Pi }}^{eav}(n)=1]=\frac{1}{2}$$

     当$w\in G(s)$，
     $$Pr[D(G(s))=1]=Pr[Priv{K}_{\mathrm{A},\Pi }^{eav}(n)=1]=\frac{1}{2}+\epsilon (n)$$

  4. 因此有
     $$Pr[D(w)=1]-Pr[D(G(s))=1]=\epsilon (n)$$

  5. 因为$G$是伪随机发生器，所以
     $$\epsilon (n)\le negl(n)$$
     即，$\epsilon (n)$可忽略

     所以，该加密方案是窃听不可区分的

变长伪随机发生器

• 定义

  确定的多项式算法$G$，满足

  1. $G(s,1^l)$输出一个长度为$l$的字符串
  2. $$\begin{gathered} \forall s,l,l^{{ \\ }^{\prime }} \end{gathered}$$，$$\begin{gathered} l<l^{{ \\ }^{\prime }} \end{gathered}$$，$G(s,1^l)$是$$\begin{gathered} G(s,1^{l^{{ \\ }^{\prime }}}) \end{gathered}$$的前缀
  3. 定义$G_l(s)\stackrel{def}{=}G(s,1^{l(|s|)})$，对于每个多项式$l(\cdot )$，$G_l$是扩展因子为$l$的(定长)伪随机发生器

• 理解

  即为$G$增加了一个参数$l$，生成对应长度$l$的伪随机串，且满足对于同一个$s$，生成的短随机串是长随机串的前缀

一个安全的变长加密方案

• 构造

  $G$是一个变长伪随机发生器，则一个消息长度可变的加密方案$\Pi$：

  • $Gen$，输入安全参数$1^n$，输出随机密钥 k ← { 0 , 1 } n k \leftarrow \{0, 1\}^n k←{ 0,1}n
  • $Enc$，输入密钥 k ∈ { 0 , 1 } n k \in \{0, 1\}^n k∈{ 0,1}n，明文 m ∈ { 0 , 1 } ∗ m \in \{0, 1\}^* m∈{ 0,1}∗，输出密文$c:=G(k,1^{|m|})\oplus m$
  • $Dec$，输入密钥 k ∈ { 0 , 1 } n k \in \{0, 1\}^n k∈{ 0,1}n，密文 c ∈ { 0 , 1 } ∗ c \in \{0, 1\}^* c∈{ 0,1}∗，输出明文$m:=G(k,1^{|c|})\oplus c$

• 证明

  若$G$是变长伪随机发生器，$\Pi$是窃听不可区分的

  设$Pr[Priv{K}_{\mathrm{A},\pi }^{eav}(n)=1]=\frac{1}{2}+\epsilon (n)$，即证$\epsilon (n)$可忽略；$D$为多项式时间伪随机区分器

  1. $D$接受一个字符串 w ∈ { 0 , 1 } ∗ w \in \{0, 1\}^* w∈{ 0,1}∗作为输入

  2. 运行$\mathrm{A}(1^n)$生成一对消息的 m 0 , m 1 ∈ { 0 , 1 } ∣ w ∣ m_0, m_1 \in \{0, 1\}^{|w|} m0​,m1​∈{ 0,1}∣w∣

  3. 随机选择一个比特 b ← { 0 , 1 } b \leftarrow \{0, 1\} b←{ 0,1}，令$c:=w\oplus m_b$

  4. $\mathrm{A}$得到$c$，输出$$\begin{gathered} b^{{ \\ }^{\prime }} \end{gathered}$$。若$$\begin{gathered} b^{{ \\ }^{\prime }}=b \end{gathered}$$，则$D$输出$1$，否则输出$0$

     当$w$为真随机串，
     $$xPr[D(r)=1]=Pr[Priv{K}_{\mathrm{A},\stackrel{\sim }{\Pi }}^{eav}(n)=1]=\frac{1}{2}$$
     当$w$为伪随机生成器生成的串，即$w\in G(s,1^{|w|})$，

  $$Pr[D(G(s,1^{|w|}))=1]=Pr[Priv{K}_{\mathrm{A},\Pi }^{eav}(n)=1]=\frac{1}{2}+\epsilon (n)$$

  5. 因此有
     $$Pr[D(r)=1]-Pr[D(G(s,1^{|w|}))=1]=\epsilon (n)$$

  6. 因为$G(s,1^{|w|})$为伪随机发生器，所以
     $$\epsilon (n)\le negl(n)$$
     即，$\epsilon (n)$可忽略，

     所以，该加密方案是窃听不可区分的