29、自然sd - RCCA安全的公钥加密及长期安全时间戳

自然sd - RCCA安全的公钥加密及长期安全时间戳

1. 自然sd - RCCA安全的公钥加密

1.1 模拟过程

在模拟过程中，B将1k转发给AD。从AD处获取(m0, m1)后，B向GAME.DEM的加密预言机请求(m0, m1)以获得c∗。接着，B从KM中随机选择mk，计算σ∗ = MAC.Signmk(c∗)，并将χ∗ = (c∗, σ∗)发送给AD。

对于AD的解密查询χ = (c, σ)，若c = c∗，B使用mk检查MAC.Vermk(c∗, σ)是否等于1，若是则返回‘test’，其他情况返回⊥。最后，当AD输出˜b时，B也输出˜b。

该模拟是正确的，除非存在c ≠ c∗使得MAC.Ver(c, σ) = 1。用Forge表示此事件，有Pr[Forge] ≤ qD · AdvforgeMAC,AD。

1.2 DEMsd−rcca的安全性分析

假设存在一个可公开计算的关系使得DEM是pd - RCCA安全的，记为≡。由于底层MAC是秘密可检测但非公开可检测的，能够高效地为c伪造一个新的有效σ′，但(c, σ′)的有效性无法公开验证。然而，必须有(c, σ′) ≡ (c, σ)，否则(c, σ′)的解密结果为m，这意味着DEMsd−rcca对于这个≡不是pd - RCCA安全的。因为≡是可公开计算的关系，这意味着σ′的有效性可以公开验证，从而产生矛盾。

1.3 其他范式实现Sd - RCCA安全

还有其他使用MAC实现CCA安全混合加密的方法，如下表所示：
| 方法 | 组成 |
| ---- | ---- |
| 方法一 |