CN114139175A - 一种高效的私钥可否认编辑方法 - Google Patents

Abstract

本发明公开了一种高效的私钥可否认编辑方法。本发明需要发送者与接收者共享相同的私钥，能在提供给攻击者密钥生成随机数或私钥的情况下将密文否认为编辑后明文的加密结果。本发明提出的私钥接收者可否认编辑方案满足双方案可否认性，即存在两套密码算法，其中否认算法支持否认密文但正常算法不支持。本发明的私钥接收者可否认编辑方案的密文长度和否认密钥长度比传统方案分别短一倍以上。提出的私钥可否认编辑方案主要基于本发明设计的高效单密钥私钥函数加密方案，以获得短的密文及否认密钥长度。通过公知的转换方法，本发明也将提出的私钥可否认编辑方案从接收者可否认性转换为发送者可否认性，但要求发送者与接收者额外一轮的交互。

Description

一种高效的私钥可否认编辑方法

技术领域

本发明属于密码学中的加密领域，涉及使用函数加密中的相关技术，具体表现为一种高效的私钥可否认编辑方法，即使在发送方/接收方被强制给出密钥生成随机数或加密随机数的情况下，能够将密文中的明文否认为另一个编辑后的明文。

背景技术

在1997年美密会上，Canetti等人引入了可否认加密(Deniable Encryption)的概念，使得即使发送者/接收者在加密通信之后，仍然能产生“否认”的(但与真实值不可区分的)随机数/私钥，打开密文为另一个不同的明文。可否认加密方案可从非交互的概念自然推广到交互的概念(在交互的情况，可否认加密也称为可否认交互通信)。可否认加密加强了传统的安全通信，使得即使发送者/接收者在之后被强迫泄露明文、随机数或私钥，仍然能够保证通信消息的机密性。可否认加密的一个直接应用是抑制投票贿选，其可否认性保证即使恶意实体贿赂了投票人，也无法确认投票是否满足指定要求。可否认加密满足非承诺性(Non-committing)，从而可应用到自适应的安全多方计算协议中。此外，可否认加密保证了在选择打开攻击下的安全性，也蕴含了不可强制安全多方计算(Incoercible MPC)的存在性。

Canetti等人提出了两类可否认性：第一种是完全可否认性，即发送者和接收者运行一套预先指定的密钥生成和加解密算法，过后可否认密文为其他的明文。第二种是双方案可否认性(也称为多分布可否认性)，允许有两套密钥生成和加解密算法，其中一套为可否认算法，另一套为正常算法，使得在可否认算法下加密的一个明文能被否认为在正常算法下加密的另一个明文。

我们自然期望设计满足完全可否认性的可否认加密方案。然而，设计该类加密方案是一个长期的公开问题。直到2014年，Sahai和Waters才解决该公开问题，基于不可区分混淆设计了发送者完全可否认的公钥可否认加密方案。Bendlin等人在2011年给出了关于接收者完全可否认性的不可能结果：不存在满足该类可否认性的可否认公钥加密方案，即任何接收者完全可否认的方案要求交互通信。然而，设计接收者完全可否认的交互方案一直保持是公开问题，直到2020年。具体地，Canetti等人给出了一个突破性的结果，基于压指数安全的不可区分混淆设计了双方完全可否认的可否认交互加密方案，不仅允许发送者和接收者可以否认密文，而且当否认的明文不同时保证无法区分谁在欺骗。尽管满足完全可否认性的可否认加密方案的公开问题已得到初步解决，然而已知的构造都依赖于不可区分混淆，即仅从理论上给出了完全可否认方案的解决方法，没有考虑其效率问题。本发明集中于设计具体高效的可否认加密方案，从而考虑更弱的可否认性—双方案可否认性。

在1997年，Canetti等人基于半透明集合设计了发送者可否认的双方案可否认公钥加密方案，其中半透明集合能够通过陷门置换和Hard-core谓词获得。如果我们用RSA陷门置换实例化该可否认加密方案，那么对于128比特安全等级，该方案每加密1个比特需要800字节的通信和256次RSA加密运算。从而，该可否认加密方案的效率仍然偏低。在2011年，O'Neill 等人一般化该设计思想，从双半透明集合设计了双方可否认的双方案可否认公钥加密方案，而且基于LWE困难假设提出了双半透明集合的实例。当他们的方案获得了更强的可否认性 (即允许发送者和接收者均能否认密文)，但他们方案的效率比Canetti等人给出的方案更低。

与发送者可否认加密方案比较，接收者可否认加密方案可能更被期望获得，也更难设计。根据Nielsen在2002年给出的不可能结果，接收者可否认加密方案的私钥至少需要跟明文一样长。为了解决该问题，目前有两种方法，其中一种方法是由Goldwasser等人在2017年提出的可否认编辑(Deniable Edit)方法，即限制否认后的明文为m′＝Edit(m,e)，其中m为原始的明文和e为编辑描述。从而，私钥长度与编辑描述长度|e|成线性关系，独立于明文的长度|m|。在许多的应用中，我们只需要否认明文m中的部分内容，而不是全部内容，使得可否认编辑已经足够满足这些应用的需求。如果定义

和

那么可否认编辑方案直接变为标准的可否认加密方案(尽管失去了效率优势)。因此，可否认编辑可以看作是可否认加密的一般化。尽管可否认编辑方法一定程度上限制了否认的能力，但是它提供了设计具体高效可否认加密方案的有效途径。

可否认加密可分为公钥可否认加密(发送者仅知道公钥，接收者生成公私钥)和私钥可否认加密(发送者和接收者共享相同的密钥)。一般而言，私钥可否认加密比公钥可否认加密更加高效。然而，上述大部分不可能结果不仅适用于公钥可否认加密，也同样适用于私钥可否认加密，使得私钥可否认加密并没有比公钥可否认加密更容易设计。目前，所有公知的可否认加密方案都是从理论上设计，没有考虑其具体效率。本发明以设计具体高效的可否认编辑方案为主要目标，致力于设计满足双方案可否认性的私钥可否认编辑方案(除非显示说明，本发明后续内容提及的可否认性均为双方案可否认性)。

发明内容

本发明的目的在于提供一种高效的私钥可否认编辑方法，具有密文长度短、否认密钥长度最优、解密速度快、否认算法计算效率高等特点和优势。

本发明的技术方案为：

一种私钥接收者可否认编辑方法DE＝(Gen,Enc,Dec,DenGen,DenEnc,DenDec,Deny)，其特征在于，包括以下两套加密方法：

·正常模式下私钥加密方法，由以下算法组成：

1)正常密钥生成算法DE.Gen(1^λ)：输入安全参数1^λ，输出一个私钥sk；

2)正常加密算法DE.Enc(sk,m)：输入私钥sk和明文m∈{0,1}ⁿ，输出一个密文c，其中正整数n表示明文m的长度；

3)正常解密算法DE.Dec(sk,c)：输入私钥sk和密文c，输出明文m；

·否认模式下私钥加密方法，由以下算法组成：

1)否认密钥生成算法DE.DenGen(1^λ)：输入安全参数1^λ，输出一个否认密钥dk；

2)否认加密算法DE.DenEnc(dk,m)：输入否认密钥dk和明文m∈{0,1}ⁿ，输出一个可否认密文c，其中正整数n表示明文m的长度；

3)否认解密算法DE.DenDec(dk,c)：输入否认密钥dk和密文c，输出明文m；

4)否认算法DE.Deny(dk,c,e)：输入否认密钥dk、密文c和编辑描述e∈{0,1}^l，输出一个随机数r_c,e满足：sk_c,e←DE.Gen(1^λ；r_c,e)和Edit(m,e)＝DE.Dec(sk_c,e,c)，其中DE.Gen(1^λ；r_c,e)表示用随机数r_c,e生成一个满足安全参数λ的私钥sk_c,e， Edit:{0,1}ⁿ×{0,1}^l→{0,1}ⁿ为公知的有效编辑函数，输入明文m∈{0,1}ⁿ和编辑描述e∈{0,1}^l，输出编辑后的明文Edit(m,e)，以及正整数l表示编辑描述长度。

对于否认模式下的密文c，即使在接收者受到胁迫必须给出密钥生成随机数的情况下，接收者可以利用否认算法，通过给出“伪造”的随机数r_c,e，将密文c加密的明文m否认为另一个编辑后的明文Edit(m,e)；胁迫者可以验证：通过随机数r_c,e和正常密钥生成算法产生的私钥sk_c,e可以通过正常解密算法解密密文c为明文Edit(m,e)。即当接收者受到胁迫时，将该随机数r_c,e发送给胁迫者；胁迫者通过该随机数r_c,e和正常密钥生成算法生成私钥sk_c,e，然后通过私钥sk_c,e和正常解密算法对否认模式下的密文c进行解密，得到编辑后的明文Edit(m,e)。

进一步的，私钥接收者可否认编辑方法是通过关于函数F_Edit、具有特殊加解密功能的单密钥私钥函数加密方案FE＝(Setup,Gen,Enc,Dec,SEnc,SDec)设计；对于编辑函数Edit:{0,1}ⁿ×{0,1}^l→{0,1}ⁿ，F_Edit:{0,1}^n+λ+l×{0,1}^λ+l→{0,1}ⁿ定义如下：

其中正整数λ为安全参数，n,l为正整数，m∈{0,1}ⁿ、y∈{0,1}^λ+l和k∈{0,1}^λ+l为字符串；私钥函数加密方案中加解密算法囊括了函数F_Edit的计算，从而包含了以上判断条件的执行；私钥接收者可否认编辑方法构造如下：

·正常密钥生成算法DE.Gen(1^λ)：随机选取y∈{0,1}^λ+l，对于每个i∈{1,2,…,λ+l}，随机选取

输出私钥

其中对于集合I，符号{x_w}_w∈I表示

w₁,…,w_n∈I表示集合I中的所有元素；

·正常加密算法DE.Enc(sk,m)：随机选取k∈{0,1}^λ+l，执行FE的特殊加密算法 c←FE.SEnc(sk,(m,k))，输出密文c；

·正常解密算法DE.Dec(sk,c)：执行FE解密算法m←FE.Dec(sk,c)，然后输出明文m；

·否认密钥生成算法DE.DenGen(1^λ)：执行FE的初始化算法msk←FE.Setup(1^λ)，输出否认密钥dk＝msk；

·否认加密算法DE.DenEnc(dk,m)：解析dk＝msk，随机选取k∈{0,1}^λ+l，执行FE的加密算法c←FE.Enc(msk,(m,k))，输出密文c；

·否认解密算法DE.DenDec(dk,c)：解析dk＝msk，执行FE的特殊解密算法 m←FE.SDec(msk,c)，输出明文m，其中仅运行算法FE.SDec(msk,c)中输出m的步骤，不执行输出k的步骤；

·否认算法DE.Deny(dk,c,e)：解析dk＝msk，执行FE的特殊解密算法 (m,k)←FE.SDec(msk,c)，计算

执行FE的密钥生成算法 sk_y←FE.Gen(msk,y)，输出r_c,e＝sk_y。

进一步的，针对函数F_Edit:{0,1}^n+λ+l×{0,1}^λ+l→{0,1}ⁿ、具有特殊加解密功能的单密钥私钥函数加密方案FE＝(Setup,Gen,Enc,Dec,SEnc,SDec)可通过公知的伪随机函数PRF以及混淆电路方案GC＝(Garble,Encode,Eval,Decode)设计；通过公知的方法将函数F_Edit表示为电路 C_Edit，FE＝(Setup,Gen,Enc,Dec,SEnc,SDec)构造如下：

·初始化算法FE.Setup(1^λ)：输入安全参数1^λ，随机选取msk←{0,1}^λ，输出主私钥msk。

·密钥生成算法FE.Gen(msk,y)：输入主私钥msk和y∈{0,1}^λ+l，解析

对于每个w₂∈I₂，计算

输出

其中I₂表示由电路C_Edit中第二部分电路输入线构造的集合(即输入y∈{0,1}^λ+l对应的电路输入线)，

表示输入y对应电路输入线w₂的比特，对于任意的字符串a,b，a||b 表示a与b的级联，对于任意的密钥key∈{0,1}^λ和消息m∈{0,1}^λ，PRF(key,m)表示公知的伪随机函数计算。

·加密算法FE.Enc(msk,x)：输入主私钥msk和x＝(m,k)∈{0,1}^n+λ+l，执行以下步骤：

1)随机选取r←{0,1}^λ，计算key:＝PRF(msk,r)；

2)对于每个w₁∈I₁，计算

其中I₁表示由电路C_Edit中第一部分电路输入线构造的集合(即x∈{0,1}^n+λ+l对应的电路输入线)；

3)对于每个w₂∈I₂，计算

和

4)执行算法

其中GC_Edit为电路C_Edit的加密版，

d分别表示编码和解码信息，I＝I₁∪I₂表示由电路C_Edit中所有电路输入线构造的集合；

5)执行算法

其中⊥表示空串；

6)对于每个w₂∈I₂，计算

和

其中

7)输出密文

·解密算法FE.Dec(sk,c)：输入函数私钥sk和密文c，执行以下步骤：

1)解析

和

2)对于每个w₂∈I₂，若等式

成立，则计算

否则计算

3)令

执行算法Z←Eval(GC_Edit,(X,Y))；

4)输出F_Edit(x,y)←Decode(d,Z)，其中根据以上函数F_Edit的定义，可知DE.Dec调用该解密算法后将输出m＝F_Edit(x,y)。

·特殊加密算法FE.SEnc(sk,x)：输入私钥sk和x＝(m,k)∈{0,1}^n+λ+l，执行以下步骤：

1)解析

2)随机选取r←{0,1}^λ，然后对于每个w₁∈I₁，随机选取

3)对于每个w₂∈I₂，若

则计算

否则随机选取

4)执行算法

5)执行算法

其中⊥表示空串；

6)对于每个w₂∈I₂，若

则计算

否则随机选取

7)输出密文

·特殊解密算法FE.SDec(msk,c)：输入主私钥msk和密文c，执行以下步骤：

1)解析

其中对于每个w₁∈I₁，

表示字符串x对应于输入线w₁的比特，

表示对应于输入线w₁关于比特

的标签；

2)计算key:＝PRF(msk,r)；

3)对于每个w₁∈I₁，计算

4)对于每个w₁∈I₁，若

则设置

否则设置

5)定义

解析x＝(m,k)，其中字符串x∈{0,1}^n+λ+l的前n比特设置为m和后λ+l比特设置为k；

6)输出x＝(m,k)。

进一步的，混淆电路方案GC＝(Garble,Encode,Eval,Decode)可由公知的方法构造，包括半门设计方法(Samee Zahur,Mike Rosulek,and David Evans.Two halves makea whole: Reducing data transfer in garbled circuits using half gates.InAdvances in Cryptology-Eurocrypt 2015,Part II,volume 9057of LNCS,pages 220-250.Springer,2015.)、切割与控制方法(Mike Rosulek and Lawrence Roy.Three halvesmake a whole beating the half-gates lower bound for garbled circuits.InAdvances in Crypology-CRYPTO 2021,volume 12825of LNCS,pages 94-124.SpringerInternational Publishing,2021.)等。为保证本发明方法描述的完备性，在说明书下文的第四节给出了基于半门设计方法的混淆电路方案具体构造。

进一步的，私钥接收者可否认编辑方法DE能转换为私钥发送者可否认编辑方法DE′，具体表现为：

·在正常模式下，发送者运行DE.Gen(1^λ)生成私钥sk，并与接收者共享该私钥sk；在否认模式下，发送者运行DE.DenGen(1^λ)生成否认密钥dk，并与接收者共享该密钥dk；

·在正常模式下，接收者随机选取s∈{0,1}ⁿ和运行正常加密算法c₁←DE.Enc(sk,s)，然后发送密文c₁给发送者，其中正整数n表示明文或随机数长度；在收到密文c₁后，发送者运行正常解密算法s←DE.Dec(sk,c₁)和计算密文

然后发送c₂给接收者；最后，接收者计算明文

·在否认模式下，接收者随机选取s∈{0,1}ⁿ和运行否认加密算法c₁←DE.DenEnc(dk,s)，然后发送c₁给发送者；在收到c₁后，发送者运行否认解密算法s←DE.DenDec(dk,c₁)和计算密文

然后发送c₂给接收者；最后，接收者计算明文

发送者可以运行否认算法r_c,e←DE.Deny(dk,c₁,e)，将明文m否认为编辑后的明文 Edit(m,e)。具体而言，当发送者受到胁迫时，他能将随机数r_c,e发送给胁迫者；胁迫者利用随机数r_c,e并运行正常密钥生成算法DE.Gen(1^λ；r_c,e)获得一个私钥sk_c,e，然后运行正常解密算法DE.Dec(sk_c,e,c₁)获得编辑后的随机数Edit(s,e)，进一步计算明文

其中e∈{0,1}^l表示编辑描述。

与现有技术相比，本发明的积极效果为：

具有显著更短的密文、最优的否认密钥长度、计算效率高等优势，可高效地否认密文加密的明文为另一个编辑后的明文。

附图说明

图1为本发明的正常模式下的算法流程图。

图2为本发明的否认模式下的算法流程图。

图3为私钥发送者可否认编辑方案流程图。

具体实施方式

具体来说，本发明包括以下四个方面的内容：

一、预备知识

1.符号

本发明用λ或1^λ表示安全参数。对于两个字符串a,b，a||b表示它们的级联。符号|x|表示字符串x的长度。对于字符串x∈{0,1}^*,x_i表示x的第i个比特，lsb(x)表示x的最低比特。符号x←S表示从有限集合S中均匀随机采样x；x←D表示根据分布D采样x。对于(随机)算法A，本发明用y←A(x)表示关于输入x运行算法A和获得输出y；用符号y←A(x；r)指定算法A所使用的随机数r。本发明用negl(·)表示一个未指定的可忽略函数，即对于任意的常数c≥0，negl(λ)＝o(λ^-c)，其中o表示公知的高阶无穷小渐进符号。对于集合S，符号{x_w}_w∈S表示

和w₁,…,w_n∈S表示集合S中的所有元素。

对于布尔电路C，根据公知的拓扑序，本发明对电路的每条线进行编号，使得每条线都有唯一标识的索引(假设从1开始编号)。电路C由一系列门组成，每个门可表达为(α,β,γ,T)，其中α,β是门输入线索引、γ是门输出线索引和T∈{XOR,AND}是门类型。符号I表示电路输入线索引的集合，O表示电路输出线索引的集合和W表示AND门输出线索引的集合。当考虑两个输入x,y时，本发明用I₁和I₂分别表示x和y对应的电路输入线索引集合，满足 I＝I₁∪I₂成立。

2.单密钥私钥函数加密定义

针对函数

(其中n₁,n₂,n₃为正整数)，单密钥私钥函数加密方案 FE＝(Setup,Gen,Enc,Dec,SEnc,SDec)由以下多项式时间算法组成：

·初始化算法FE.Setup(1^λ)：输入安全参数1^λ，输出一个主私钥msk；

·密钥生成算法FE.Gen(msk,y)：输入主私钥msk和

输出一个函数私钥sk_y；

·加密算法FE.Enc(msk,x)：输入主私钥msk和

输出一个密文c；

·解密算法FE.Dec(sk_y,c)：输入函数私钥sk_y和密文c，输出函数值f(x,y)；

·特殊加密算法FE.SEnc(sk_y,m)：输入函数私钥sk_y和明文m，输出一个密文c；

·特殊解密算法FE.SDec(msk,c)：输入主私钥msk和密文c，输出一个明文x。

在正确性方面，本发明要求对于每个安全参数λ、输入

和

以下成立：

Pr[f(x,y)＝FE.Dec(sk_y,FE.Enc(msk,x))cmsk←FE.Setup(1^λ),sk_y←FE.Gen(msk,y)]＝1，

其中Pr[X]表示事件X发生的概率。

在安全性方面，本发明要求：攻击者可以询问任意明文在主私钥msk下加密的密文，但至多获得单个函数私钥sk_y，然后攻击者不能区分FE.Enc(msk,x₀)与FE.Enc(msk,x₁)，其中 f(x₀,y)＝f(x₁,y)。

在特殊加密性方面，本发明要求：对于任意明文m，攻击者不能区分FE.Enc(msk,m)与FE.SEnc(sk_y,m)，即使攻击者能够获得函数私钥sk_y。在特殊解密性方面，本发明要求对于每个安全参数λ和明文

以下成立：

Pr[FE.SDec(msk,FE.Enc(msk,x))＝x|msk←FE.Setup(1^λ)]＝1。

3.伪随机函数

伪随机函数(Pseudorandom Function)PRF:{0,1}^λ×{0,1}^λ→{0,1}^λ：输入一个随机的密钥key和一个消息m，输出一个函数值τ＝PRF(key,m)。在安全性方面，本发明要求PRF的输出与均匀随机的值计算不可区分。伪随机函数是公知的标准函数。

二、私钥可否认编辑方案

为体现本发明的优势和特点，下面通过高效的私钥可否认编辑方案为具体实施例对本发明做进一步说明。

对于多项式时间的编辑函数Edit:{0,1}ⁿ×{0,1}^l→{0,1}ⁿ：输入明文m∈{0,1}ⁿ和编辑描述 e∈{0,1}^l，输出编辑后的明文Edit(m,e)，其中正整数n和l分别表示明文长度和编辑描述长度。本发明提出的私钥可否认编辑方案DE＝(Gen,Enc,Dec,DenGen,DenEnc,DenDec,Deny)由以下算法组成：

·正常模式下三个算法：

1)正常密钥生成算法DE.Gen(1^λ)：输入安全参数1^λ，输出一个私钥sk；

2)正常加密算法DE.Enc(sk,m)：输入私钥sk和明文m∈{0,1}ⁿ，输出一个密文c；

3)正常解密算法DE.Dec(sk,c)：输入私钥sk和密文c，输出明文m。

·否认模式下四个算法：

1)否认密钥生成算法DE.DenGen(1^λ)：输入安全参数1^λ，输出一个否认密钥dk；

2)否认加密算法DE.DenEnc(dk,m)：输入否认密钥dk和明文m∈{0,1}ⁿ，输出一个可否认密文c；

3)否认解密算法DE.DenDec(dk,c)：输入否认密钥dk和密文c，输出明文m；

4)否认算法DE.Deny(dk,c,e)：输入否认密钥dk、密文c和编辑描述e∈{0,1}^l，输出一个随机数r_c,e满足：sk_c,e←DE.Gen(1^λ；r_c,e)和Edit(m,e)＝DE.Dec(sk_c,e,c)。

在正确性方面，本发明要求对于每个安全参数λ和明文m∈{0,1}ⁿ，以下成立：

Pr[DE.Dec(sk,DE.Enc(sk,m))＝m|sk←DE.Gen(1^λ)]＝1-negl(λ)，

Pr[DE.DenDec(dk,DE.DenEnc(dk,m))＝m|dk←DE.DenGen(1^λ)]＝1-negl(λ)。

在选择明文安全性方面，本发明要求私钥加密方案(DE.Gen,DE.Enc,DE.Dec)以及(DE.DenGen,DE.DenEnc,DE.DenDec)满足公知的选择明文安全性，即在攻击者可以选择任意多项式数量明文，然后获得对应的密文情况下，攻击者仍然不能区分明文m₀与m₁加密后的挑战密文。

在接收者编辑可否认性方面，本发明要求：即使在攻击者可以选择任意多项式数量明文，然后获得对应的正常密文或可否认密文，并可获得密钥生成的随机数/私钥情况下，攻击者仍然不能区分直接加密Edit(m,e)获得的正常密文与明文m的否认密文。

本发明提出的私钥接收者可否认编辑方案是基于单密钥私钥函数加密方案设计。当采用本发明提出的高效单密钥私钥函数加密方案(见下一节)，本发明设计的私钥接收者可否认编辑方案将获得比Goldwasser等人提出方案显著更短的密文长度和否认密钥长度。此外，与 Goldwasser等人提出方案比较，本发明设计的私钥接收者可否认编辑方案更多支持否认算法输出密钥生成的随机数(即支持随机数否认，而不是更弱的私钥否认)，并简化了正常模式下密钥生成算法。

对于编辑函数Edit:{0,1}ⁿ×{0,1}^l→{0,1}ⁿ，定义函数F_Edit:{0,1}^n+λ+l×{0,1}^λ+l→{0,1}ⁿ如下：

其中m∈{0,1}ⁿ和k∈{0,1}^λ+l。给定关于函数F_Edit以及参数n₁＝n+λ+l、n₂＝λ+l和n₃＝n的单密钥私钥函数加密方案FE＝(Setup,Gen,Enc,Dec,SEnc,SDec)，本发明提出的私钥接收者可否认编辑方案构造如下：

1)正常密钥生成算法DE.Gen(1^λ)：随机选取y∈{0,1}^λ+l，对于每个i∈{1,2,…,λ+l}随机选取

输出

2)正常加密算法DE.Enc(sk,m)：随机选取k∈{0,1}^λ+l，执行FE的特殊加密算法 c←FE.SEnc(sk_y,(m,k))，输出密文c；

3)正常解密算法DE.Dec(sk,c)：执行FE解密算法m←FE.Dec(sk,c)，然后输出明文m；

4)否认密钥生成算法DE.DenGen(1^λ)：执行FE的初始化算法msk←FE.Setup(1^λ)，输出否认密钥dk＝msk；

5)否认加密算法DE.DenEnc(dk,m)：解析dk＝msk，随机选取k∈{0,1}^λ+l，执行FE的加密算法c←FE.Enc(msk,(m,k))，输出密文c；

6)否认解密算法DE.DenDec(dk,c)：解析dk＝msk，执行FE的特殊解密算法 m←FE.SDec(msk,c)，输出明文m，其中仅运行算法FE.SDec(msk,c)中输出m的步骤，不执行输出k的步骤；

7)否认算法DE.Deny(dk,c,e)：解析dk＝msk，执行FE的特殊解密算法 (m,k)←FE.SDec(msk,c)，计算

执行FE的密钥生成算法 sk_y←FE.Gen(msk,y)，输出r_c,e＝sk_y。

通过利用Canetti等人提出的转换方法，本发明将私钥接收者可否认编辑方案DE转换为私钥发送者可否认编辑方案DE′，具体表现为：

1)在正常模式下，发送者运行DE.Gen(1^λ)生成私钥sk，并与接收者共享该私钥sk；在否认模式下，发送者运行DE.DenGen(1^λ)生成否认密钥dk，并与接收者共享该密钥dk；

2)在正常模式下，接收者随机选取s∈{0,1}ⁿ和运行加密算法c₁←DE.Enc(sk,s)，然后发送密文c₁给发送者；在收到密文c₁后，发送者运行解密算法s←DE.Dec(sk,c₁)和计算密文

然后发送c₂给接收者；最后，接收者计算明文

3)在否认模式下，接收者随机选取s∈{0,1}ⁿ和运行否认加密算法c₁←DE.DenEnc(dk,s)，然后发送c₁给发送者；在收到c₁后，发送者运行否认解密算法s←DE.DenDec(dk,c₁)和计算密文

然后发送c₂给接收者；最后，接收者计算明文

发送者可以运行否认算法r_c,e←DE.Deny(dk,c₁,e)，将明文m否认为编辑后的明文 Edit(m,e)。根据可否认编辑方案DE的接收者可否认性，Edit(s,e)＝DE.Dec(sk_c,e,c₁)，其中sk_c,e←DE.Gen(1^λ；r_c,e)；从而，等式

成立，使得私钥可否认编辑方案DE′满足发送者可否认性。

图3给出了私钥发送者可否认编辑方案DE′的流程图。

三、高效的单密钥私钥函数加密方案

为体现本发明的特点和优势，下面通过高效的单密钥私钥函数加密方案为具体实施例对本发明做进一步说明。

本发明提出的单密钥私钥函数加密方案是基于伪随机函数PRF:{0,1}^λ×{0,1}^λ→{0,1}^λ以及混淆电路方案GC＝(Garble,Encode,Eval,Decode)设计。对于任意多项式时间函数

(其布尔电路表示为C_f)，本发明提出的单密钥私钥函数加密方案FE＝(Setup,Gen,Enc,Dec,SEnc,SDec)构造如下：

·初始化算法FE.Setup(1^λ)：输入安全参数1^λ，随机选取msk←{0,1}^λ，输出主私钥msk。

·密钥生成算法FE.Gen(msk,y)：输入主私钥msk和

解析

对于每个w∈I₂计算

输出

其中y_w∈{0,1} 表示输入y对应电路输入线w的比特。

·加密算法FE.Enc(msk,x)：输入主私钥msk和

执行以下步骤：

1)随机选取r←{0,1}^λ，计算key:＝PRF(msk,r)；

2)对于每个w∈I₁，计算

3)对于每个w∈I₂，计算sk_w,0:＝PRF(msk,w||0)和

4)执行算法

其中GC_Edit为电路C_Edit的加密版本，

d分别表示编码和解码信息；

5)执行算法

其中⊥表示空串；

6)对于每个w∈I₂，计算sk_w,1:＝PRF(msk,w||1)和

其中

7)输出密文

·解密算法FE.Dec(sk_y,c)：输入函数私钥sk_y和密文c，执行以下步骤：

1)解析

和

2)对于每个w∈I₂，若y_w＝0，则

否则

3)令

执行算法Z←Eval(GC_Edit,(X,Y))；

4)输出F_Edit(x,y)←Decode(d,Z)。

·特殊加密算法FE.SEnc(sk_y,x)：输入函数私钥sk_y和明文

执行以下步骤：

1)解析

2)随机选取r←{0,1}^λ，然后对于每个w∈I₁，随机选取

3)对于每个w∈I₂，若y_w＝0，则计算

否则随机选取

4)执行算法

5)执行算法

其中⊥表示空串；

6)对于每个w∈I₂，若y_w＝1，则计算

否则随机选取c_w←{0,1}^λ；

7)输出密文c＝(r,GC_Edit,d,X,{c_w}_w∈I2)。

·特殊解密算法FE.SDec(msk,c)：输入主私钥msk和密文c，执行以下步骤：

1)解析

2)计算key:＝PRF(msk,r)；

3)对于每个w∈I₁，计算

4)对于每个w∈I₁，若

则设置x_w:＝0，否则设置x_w:＝1；

5)输出

四、高效的混淆电路方案

为体现本发明的特点和优势，下面通过高效的混淆电路方案为具体实施例对本发明做进一步说明。本发明提出的私钥可否认编辑方案基于单密钥私钥函数加密方案设计，而单密钥私钥函数加密方案的设计依赖于混淆电路方案。

一个混淆电路方案GC＝(Garble,Encode,Eval,Decode)可由公知的方法构造，包括半门设计方法、切割与控制方法等。

为保证本发明方法描述的完备性，下文给出了基于半门方法的混淆电路方案具体构造。给定一个公知的哈希函数H:{0,1}^2λ→{0,1}^λ(满足循环相关强健安全性；可通过随机置换高效实现，可采用公知的分组密码实现随机置换)，本实施例给出以下混淆电路方案GC＝(Garble,Encode,Eval,Decode)：

·混淆算法

输入安全参数1^λ、电路C_Edit和关于所有电路输出线的0-标签

执行以下步骤：

1)随机选取△←{0,1}^λ，满足lsb(△)＝1，其中对于任意的字符串S，lsb(S)表示其最低比特位；

2)对于每个w∈I，计算

其中

表示公知的异或操作；

3)根据公知的电路拓扑序，对于每个电路门(α,β,γ,T)，其中α,β为门输入线、γ为门输出线和T∈{XOR,AND}表示门类型，计算如下：

·若T＝XOR，则

其中

表示关于输入线α的0-标签，

表示关于输入线β的0-标签；

·若T＝AND，则计算

和

设置比特

和

然后计算

进一步计算

最后计算

其中H:{0,1}^2λ→{0,1}^λ为公知的哈希函数，H(A,B)表示输入字符串 A∈{0,1}^λ和B∈{0,1}^λ，输出函数的计算结果；

4)输出混淆电路GC_Edit＝{G_w,0,G_w,1}_w∈W，编码信息

和解码信息

其中W表示由电路C_Edit中所有AND门的输出线构成的集合、O 表示由电路C_Edit中所有电路输出线构成的集合；

·编码算法

输入编码信息

第一部分输入x和第二部分输入y，执行以下步骤：

1)解析

2)计算

和

其中

表示输入x对应电路输入线w₁的比特，

为输入y对应电路输入线w₂的比特；

3)输出(X,Y)；

·计算算法Eval(GC_Edit,(X,Y))：输入混淆电路GC_Edit和输入编码(X,Y)，执行以下步骤：

1)解析GC_Edit＝{G_w,0,G_w,1}_w∈W和

其中t_w∈{0,1}表示关于电路输入线 w∈I的输入比特；

2)根据公知的电路拓扑序，对于每个电路门(α,β,γ,T)，计算如下：

·若T＝XOR，则

其中t_α,t_β,t_γ∈{0,1}为关于输入/输出线α,β,γ的比特值；

·若T＝AND，则

和

计算

3)输出

·解码算法Decode(d,Z)：输入解码信息d和关于电路输出线的标签集合

对于每个w∈O，计算

输出z＝{z_w}_w∈O，其中d_w∈{0,1}表示字符串d关于电路输出线w∈O的比特。

以上混淆电路方案实质上是Zahur等人提出的半门混淆电路方案从单个输入x到两个输入(x,y)的简单扩展。以上混淆电路方案满足正确性，即Decode(d,Z)＝C(x,y)；同时满足不可区分安全性，即攻击者不能区分

与

对于任意的输入x₀和x₁。

本发明不局限于以上实施方式，对于本领域的普通技术人员，在不脱离本发明原理与方法的前提下，还可以做出若干改进或变形，这些改进和变形也视为本发明的保护范围之内。本说明书中未详细描述的内容属于本领域专业技术人员公知的现有技术。

Claims (10)

1.一种高效的私钥可否认编辑方法，其特征在于，包括：

1)正常模式下私钥加密方法：

i.正常密钥生成算法DE.Gen(1^λ)：输入安全参数1^λ，输出一个私钥sk；

ii.正常加密算法DE.Enc(sk,m)：输入私钥sk和明文m∈{0,1}ⁿ，输出一个密文c，其中正整数n表示明文m的长度；

iii.正常解密算法DE.Dec(sk,c)：输入私钥sk和密文c，输出明文m；

2)否认模式下私钥加密方法：

i.否认密钥生成算法DE.DenGen(1^λ)：输入安全参数1^λ，输出一个否认密钥dk；

ii.否认加密算法DE.DenEnc(dk,m)：输入否认密钥dk和明文m∈{0,1}ⁿ，输出一个可否认密文c，其中正整数n表示明文m的长度；

iii.否认解密算法DE.DenDec(dk,c)：输入否认密钥dk和密文c，输出明文m；

iv.否认算法DE.Deny(dk,c,e)：输入否认密钥dk、密文c和编辑描述

输出一个随机数r_c,e满足：sk_c,e←DE.Gen(1^λ；r_c,e)和Edit(m,e)＝DE.Dec(sk_c,e,c)，其中DE.Gen(1^λ；r_c,e)表示用随机数r_c,e生成一个满足安全参数λ的私钥sk_c,e，Edit:

为编辑函数，根据输入的明文m∈{0,1}ⁿ和编辑描述

输出编辑后的明文Edit(m,e)，正整数

表示编辑描述的长度。

2.如权利要求1所述的方法，其特征在于，当接收者受到胁迫时，将该随机数r_c,e发送给胁迫者；胁迫者通过该随机数r_c,e和正常密钥生成算法生成私钥sk_c,e，然后通过私钥sk_c,e和正常解密算法对否认模式下的密文c进行解密，得到编辑后的明文Edit(m,e)。

3.如权利要求1或2所述的方法，其特征在于，否认密钥生成算法DE.DenGen(1^λ)通过执行初始化算法msk←FE.Setup(1^λ)，输出否认密钥dk＝msk；其中FE.Setup(1^λ)的算法流程为：根据安全参数1^λ，随机选取msk←{0,1}^λ，输出msk。

4.如权利要求3所述的方法，其特征在于，否认加密算法DE.DenEnc(dk,m)随机选取k∈{0,1}^λ+l，执行加密算法c←FE.Enc(msk,(m,k))，输出密文c；其中FE.Enc(msk,(m,k))的算法流程为：

1)根据输入的msk和

随机选取r←{0,1}^λ，计算key:＝PRF(msk,r)，其中PRF()表示伪随机函数；

2)对于每个w₁∈I₁，计算

其中I₁为电路C_Edit中输入

对应的电路输入线，电路C_Edit为函数F_Edit对应的电路，函数

的定义为：

其中正整数λ为安全参数，n,

为正整数，字符串m∈{0,1}ⁿ、

3)对于每个w₂∈I₂，计算

和

其中I₂为电路C_Edit中输入

对应的电路输入线，||为级联符号；

4)执行

其中GC_Edit为电路C_Edit的加密版，Garble()为混淆算法，

表示编码信息，d表示解码信息，I＝I₁∪I₂；

5)执行编码算法

输出X，其中

表示空串；

6)对于每个w₂∈I₂，计算

和

其中

7)输出密文

5.如权利要求4所述的方法，其特征在于，否认解密算法DE.DenDec(dk,c)通过执行特殊解密算法FE.SDec(msk,c)，输出明文m；其中FE.SDec(msk,c)的算法流程为：

1)根据输入的msk和密文c，解析

其中对于每个w₁∈I₁，

表示字符串x对应于输入线w₁的比特，

表示对应于输入线w₁关于比特

的标签；

2)计算key:＝PRF(msk,r)；

3)对于每个w₁∈I₁，计算

4)对于每个w₁∈I₁，若

则设置

否则设置

5)定义

解析x＝(m,k)，其中字符串

的前n比特设置为m和后

比特设置为k；

6)输出x＝(m,k)。

6.如权利要求5所述的方法，其特征在于，否认算法DE.Deny(dk,c,e)通过解析dk＝msk，执行特殊解密算法(m,k)←FE.SDec(msk,c)，然后计算

执行密钥生成算法sk←FE.Gen(msk,y)，输出r_c,e＝sk；其中FE.Gen(msk,y)的算法流程为：

1)根据输入的msk和

解析

其中

表示输入y对应电路输入线w₂的比特；

2)对于每个w₂∈I₂，计算

3)输出

7.如权利要求1或2所述的方法，其特征在于，正常密钥生成算法DE.Gen(1^λ)通过随机选取

对于每个

随机选取

最后输出私钥

8.如权利要求4所述的方法，其特征在于，正常加密算法DE.Enc(sk,m)随机选取

执行特殊加密算法FE.SEnc(sk,(m,k))，输出密文c，其中FE.SEnc(sk,(m,k))的算法流程为：

1)根据输入的私钥sk和

解析

2)随机选取r←{0,1}^λ，对于每个w₁∈I₁，随机选取

3)对于每个w₂∈I₂，若

则计算

否则随机选取

4)执行

5)执行

6)对于每个w₂∈I₂，若

则计算

否则随机选取

7)输出密文

9.如权利要求4所述的方法，其特征在于，正常解密算法DE.Dec(sk,c)通过执行解密算法m←FE.Dec(sk,c)，然后输出明文m，其中FE.Dec(sk,c)的算法流程为：

1)输入私钥sk和密文c，解析

和

2)对于每个w₂∈I₂，若等式

成立，则计算

否则计算

3)令

执行计算算法Z←Eval(GC_Edit,(X,Y))；

4)执行解码算法F_Edit(x,y)←Decode(d,Z)，然后输出F_Edit(x,y)。

10.一种私钥发送者可否认编辑方法，其特征在于，

·在正常模式下，发送者生成私钥sk，并与接收者共享该私钥sk；在否认模式下，发送者生成否认密钥dk，并与接收者共享该密钥dk；

·在正常模式下，接收者随机选取s∈{0,1}ⁿ和运行正常加密算法用私钥sk加密s获得密文c₁，然后发送密文c₁给发送者，其中正整数n表示明文或随机数长度；在收到密文c₁后，发送者运行正常解密算法用私钥sk解密密文c₁获得随机数s，计算密文

然后发送c₂给接收者；最后，接收者计算明文

·在否认模式下，接收者随机选取s∈{0,1}ⁿ和运行否认加密算法用否认密钥dk加密s获得密文c₁，然后发送c₁给发送者；在收到c₁后，发送者运行否认解密算法用否认密钥dk解密密文c₁获得随机数s，计算密文

然后发送c₂给接收者；最后，接收者计算明文

·当受到胁迫时，发送者运行否认算法用否认密钥dk、密文c₁和编辑描述

生成一个随机数r_c,e，然后将随机数r_c,e发送给胁迫者；胁迫者利用随机数r_c,e并运行正常密钥生成算法获得私钥sk_c,e，然后运行正常解密算法DE.Dec(sk_c,e,c₁)获得编辑后的随机数Edit(s,e)，进一步计算得到明文

Images