题目：混合签密及其可证明安全性理论研究

随着计算机网络技术的飞速发展，各种网络服务已经渗透到日常生活的各个领域，这给人类活动既带来了极大便利也带来了前所未有的威胁。信息的存储、传输和处理越来越多地在开放网络上进行，容易遭受各种攻击手段的威胁。因此，信息安全已成为信息社会亟待解决的最重要问题之一。密码技术是保障信息安全的关键技术，最常用的是加密和签名。加密可以提供消息的机密性，使得任何非授权者不能得到消息内容；签名可以实现消息的真实性，接收者能够确定消息的发送者是谁。随着信息安全进一步发展，人们对网络传输数据的安全性要求越来越高，同时提供保密性和认证性的需求也越来越广泛。这说明加密或签名的单独使用远远不够，实际应用中往往需要整合加密和签名。

签密是目前公认的同时实现机密性和认证性的理想方法。现有的大多数签密方案都是在公钥环境下实现加密和签名过程，这样的签密方案通常要求被传输的消息取自某个特定集合，使得应用范围受到限制。为了实现任意长度消息的安全通信，Dent于2005年提出了由签密密钥封装机制（KEM）和密钥封装机制（KEM）组成的混合签密方案，签密KEM运用公钥技术封装一个对称密钥，DEM使用对称技术加密任意消息。混合签密允许其非对称部分和对称部分的安全需求完全独立，各自的安全性可以分开研究。自混合签密提出后，很快成为了密码学界的研究热点。与公钥签密技术相比较，混合签密技术在密码学应用中具有更高的灵活性和安全性。

针对混合签密机制中的方案设计和可证明安全性理论等关键问题，本论文对已有混合签密方案进行了深入研究和分析，并且借鉴身份密码学和无证书密码学的思想，给出了一个身份混合签密方案、一个可证安全的无证书混合签密方案、一个没有双线性对的无证书混合签密方案以及一个无证书的混合环签密方案的算法模型、形式化安全定义和相应的实例方案。进而对这些实例方案在随机预言模型中的可证明安全性理论进行了探索性研究。这些方案可以满足不同密码学应用需求。

本论文的主要研究工作包括以下几个方面：

1. 身份密码学使得用户公钥不需要从公钥证书中获得，而是直接使用标识用户身份的字符串，用户私钥由一个私钥生成器通过用户的公钥计算得出。在传统公钥密码系统中，获取一个合法公钥的计算和通信代价很昂贵，身份密码学中这部分代价几乎为零。本论文结合身份密码学和混合签密，给出了一个身份混合签密方案的算法模型和形式化安全定义，进而采用由三个相同素数阶的乘法循环群定义的双线性映射提出了一个身份混合签密实例方案。我们也证明了该方案在随机预言模型下满足co-BDH假设下的保密性和co-CDH假设下的不可伪造性。

2. 研究了已有无证书混合签密方案和双线性映射下的安全假设，在此理论基础上给出了使用双线性对的可证安全的无证书混合签密方案的算法模型和形式化安全定义。我们也设计了一个可证安全的无证书混合签密实例方案，进而说明了该方案的安全性可以归约为解决双线性Diffie-Hellman问题和计算性Diffie-Hellman问题的困难性。通过性能分析，我们发现该方案在计算复杂度和通信成本方面均优于同类方案，在密码学领域中应用前景良好。

3. 离散对数问题是个难解问题，目前还没有找到计算离散对数问题的多项式时间算法。离散对数密码系统具有较高的安全性，在一些安全机构和重要文件信息的保护问题中得到了广泛应用，比较著名的有Diffie-Hellman密钥交换协议、ElGamal公钥密码体制、美国官方使用的数字签名算法（DSA）及数字签密方案等。根据密码学应用需求，本论文将无证书混合签密技术扩展到离散对数系统，给出了没有双线性对的无证书混合签密方案的算法模型和形式化安全定义。我们也构造了一个没有双线性对的无证书混合签密实例方案，进而说明了在离散对数假设和计算性Diffie-Hellman假设该方案能完全抵制适应性选择密文攻击和适应性选择消息攻击。该方案具有存储空间小、实现效率高和安全性强等优点。

4. 环签密可以实现签密者的无条件匿名性，即任何人都无法追踪到签密者的身份。环签密生成过程中，真正的签密者任意选取一组成员（包含它自身）作为可能的签密者，用自己的私有密钥和其他成员的公钥对文件进行签密。和群签密不同的是，环签密不存在一个管理员，环中所有成员的地位相同，签密者的信息不会泄露。根据环签密在电子投票、电子选举、匿名通信等实际环境中的应用需求，本论文将环签密和混合签密同时应用于无证书环境，给出了无证书的混合环签密方案的算法模型和形式化安全定义。进而提出了一个无证书的混合环签密实例方案并给出了随机预言模型下的安全性证明。