Lecture 7. CS-PKE and CCA2 Security

💡

Decisional Diffie-Hellman, DDH Problem/Assumption. 令

\mathcal{X}=\{\mathcal{X}_\kappa\},\mathcal{Y}=\{\mathcal{Y}_\kappa\}

，且

\mathcal{X}_\kappa:=\{(\mathbb{G},q,g)\leftarrow\mathcal{G}(1^\kappa);a,b,c\leftarrow\mathbb{Z}_q:(\mathbb{G},q,g,g^a,g^b,g^c)\} \\ \mathcal{Y}_\kappa:=\{(\mathbb{G},q,g)\leftarrow\mathcal{G}(1^\kappa);a,b\leftarrow\mathbb{Z}_q:(\mathbb{G},q,g,g^a,g^b,g^{ab})\}

DDH assumption: $\mathcal{X}\approx_c \mathcal{Y}$ ，即多项式敌手无法区分 $\mathcal{X},\mathcal{Y}$ 。

\begin{aligned}\textbf{Adv}_{\mathcal{G},\mathcal{A}}^\text{DDH}(\kappa)=\left|\text{Pr}[\mathcal{A}((\mathbb{G},q,g),g^x,g^y,g^z)=1]-\text{Pr}[\mathcal{A}((\mathbb{G},q,g),g^x,g^y,g^{xy})=1]\right|\end{aligned}

抗碰撞的哈希 (Collision Resistant Hashing). 一族函数 $\mathcal{H}=\{H:\mathcal{X}\rightarrow\mathcal{Y}\}$ 是抗碰撞的当且仅当对于任意 PPT 敌手 $\mathcal{A}$ ，下面的 advantage 是可忽略的：

\textbf{Adv}_{\mathcal{H},\mathcal{A}}^\text{cr}(\kappa)=\text{Pr}[H\leftarrow\mathcal{H},(x,x')\leftarrow \mathcal{A}(H):H(x)=H(x')\wedge x\ne x']

构造抗碰撞的哈希. 令 $\mathcal{G}$ 为一个群生成算法，我们如下构造抗碰撞的哈希：

$\text{Gen}(1^\kappa)$ : $(\mathbb{G},q,g)\leftarrow\mathcal{G}(1^\kappa);h\leftarrow \mathbb{G}$ ，返回 $(\mathbb{G},q,g,h)$ ；

令 $s=(\mathbb{G},q,g,h)$ ，那么 $H_s:\mathbb{Z}_q\times\mathbb{Z}_q\rightarrow\mathbb{G}$ 有如下形式 $H_s(x,y)=g^xh^y$ 。

💡

如果 $\mathbb{G}$  上的离散对数问题是困难的，那么上面构造的哈希是抗碰撞的。

【证明】

\begin{aligned}\textbf{Adv}_{\mathcal{H},\mathcal{A}}^\text{cr}(\kappa)=\text{Pr}\left[\begin{matrix}(\mathbb{G},q,g,h)\leftarrow\text{Gen}(1^\kappa)\\((x,y),(x',y'))\leftarrow\mathcal{A}(\mathbb{G},q,g,h)\end{matrix}:\begin{matrix}H_s(x,y)=H_s(x',y')\\\wedge (x,y)\ne(x',y')\end{matrix}\right]\end{aligned}

下面我们构造一个 PPT 敌手 $\mathcal{A}'$ 解决离散对数问题：给定 $(\mathbb{G},q,g,h)$ ，解 $\log_g h$ 。

容易发现，只要模拟 CR 实验给敌手 $\mathcal{A}$ 得到 $(x,y),(x',y')$ 后，我们有

g^xh^y=g^{x'}h^{y'} \Longrightarrow g^{x'-x}h^{y'-y}=1

假设 $h=g^t, t = \log_g h$ ，那么

g^{(x'-x)+t(y'-y)} =1 \Longrightarrow (x'-x)+t(y'-y) \equiv 0 \ (\text{mod } q)

于是，

\log_g h=t=\frac{x'-x}{y-y'} \text{ mod }q

从而解决离散对数问题，即

\textbf{Adv}_{\mathbb{G},\mathcal{A}'}^\text{dlp}(\kappa)=\textbf{Adv}_{\mathcal{H},\mathcal{A}}^\text{cr}(\kappa)

规约完成。

CPA 安全的 Cramer-Shoup PKE (CS-PKE) 方案.

$\text{Setup}(1^\kappa)$ :
- $(\mathbb{G},q,g_1,g_2)\leftarrow\mathcal{G}(1^\kappa)$
- $H\leftarrow\mathcal{H}$
- 返回 $pp=((\mathbb{G},q,g_1,g_2),H)$ ；

$\text{KeyGen}(1^\kappa)$ :
- $z_1,z_2\leftarrow\mathbb{Z}_q$
- $h=g_1^{z_1}g_2^{z_2}$
- 返回 $(pk,sk)$ ，其中 $pk=h,sk=(z_1,z_2)$

$\text{Enc}(pk,m)$ :
- $r\leftarrow\mathbb{Z}_q;u_1=g_1^r,u_2=g_2^r$
- $e=m\cdot h^r{\color{grey}=m\cdot g_1^{z_1r}g_2^{z_2r}=m\cdot u_1^{z_1}u_2^{z_2}}$
- 返回 $C=(u_1,u_2,e)$

$\text{Dec}(sk,c=(u_1,u_2,e))$ :
- 返回 $m=e\cdot u_1^{-z_1}u_2^{-z_2}$ 。

💡

如果关于

\mathcal{G}

的 DDH 假设成立，那么CS-PKE 是 CPA 安全的。

【证明】安全规约。

Game 0. 即为 $\textbf{Exp}_{\text{PKE},\mathcal{A}}^\text{CCA2}(\kappa)$ .

Game 1. 修改 Game 0 的 $\text{Enc}$ 中的表述为 $sk$ 表示的等价表述，见棕色部分；从敌手角度来看 Game 0 和 Game 1 完全相同.

\color{darkblue}\begin{matrix}\mathcal{C}& &\mathcal{A}\\pp\leftarrow \text{Setup}(1^\kappa)\\ (pk,sk)\leftarrow\text{KeyGen}(1^\kappa) & \stackrel{pp,pk}{\longrightarrow} \\\scriptsize z_1,z_2\leftarrow\mathbb{Z}_q\\\scriptsize h=g_1^{z_1}g_2^{z_2}\\\scriptsize pk=h,sk=(z_1,z_2)\\b\leftarrow\{0,1\}& \stackrel{(m_0,m_1)}{\longleftarrow}& \text{choose }m_0,m_1\\ C^*\leftarrow \text{Enc}(pk,m_b)& \stackrel{C^*=(u_1^*,u_2^*,e^*)}{\longrightarrow}& \\\scriptsize r^*\leftarrow\mathbb{Z}_q;u_1^*=g_1^{r^*},u_2^*=g_2^{r^*} \\\scriptsize e^*=m_b\cdot h^{r^*}{\color{brown}=m\cdot u_1^{*z_1}u_2^{*z_2}}\\\scriptsize C^*=(u_1^*,u_2^*,e^*)\\\mathcal{A}\text{ wins iff }b'=b & \stackrel{b'}{\longleftarrow} & \text{compute }b'\end{matrix}

Game 2. 观察发现，原来的 $(g_1=g,g_2=g^a,u_1^*=g_1^{r^*}=g^{r^*},u_2^*=g_2^{r^*}=g^{ar^*})$ 是一个 DDH couple，我们将这个 DDH couple 换回 random couple，即随机 $r_1^*, r_2^*$ ，令 $u_1^*=g_1^{r_1^*},u_2^*=g_2^{r_2^*}$ ，得到新的 Game 2. 根据 DDH 假设，PPT 敌手应该无法分辨 Game 1 与 Game 2 （若可以分辨，那么就可以以不可忽略的概率解决 DDH 问题）。

\color{darkblue}\begin{matrix}\mathcal{C}& &\mathcal{A}\\pp\leftarrow \text{Setup}(1^\kappa)\\ (pk,sk)\leftarrow\text{KeyGen}(1^\kappa) & \stackrel{pp,pk}{\longrightarrow} \\\scriptsize z_1,z_2\leftarrow\mathbb{Z}_q\\\scriptsize h=g_1^{z_1}g_2^{z_2}\\\scriptsize pk=h,sk=(z_1,z_2)\\b\leftarrow\{0,1\}& \stackrel{(m_0,m_1)}{\longleftarrow}& \text{choose }m_0,m_1\\ C^*\leftarrow \text{Enc}(pk,m_b)& \stackrel{C^*=(u_1^*,u_2^*,e^*)}{\longrightarrow}& \\\scriptsize r_{1,2}^*\leftarrow\mathbb{Z}_q;u_1^*=g_1^{r_1^*},u_2^*=g_2^{r_2^*} \\\scriptsize e^*=m_b\cdot u_1^{*z_1}u_2^{*z_2}\\\scriptsize C^*=(u_1^*,u_2^*,e^*)\\\mathcal{A}\text{ wins iff }b'=b & \stackrel{b'}{\longleftarrow} & \text{compute }b'\end{matrix}

注意到，在 Game 2 中，敌人赢的概率是 1/2。因为若令 $g_1=g,g_2=g^a$ ，那么有

e^*=m_b\cdot g_1^{r_1^*z_1}g_2^{r_2^*z_2}=m_b\cdot g^{r_1^*z_1+ar_2^*z_2} \quad \Longrightarrow \quad \log_g \frac{e^*}{m_b}=r_1^*z_1+ar_2^*z_2 \\ h=g_1^{z_1}g_2^{z_2}=g^{z_1+az_2} \quad \Longrightarrow \quad \log_g h=z_1+az_2

由于加密所用的 $r_1^*$ 大概率不等于 $r_2^*$ ，于是敌人眼中已有的信息 $\log_g h$ 不能提供任何有用的信息，且右边分布仍然保持均匀分布，因此敌人猜对的概率为 1/2。

于是，我们规约完成，即这样构造的 CS-PKE 具有 CPA 安全。

\text{Game 0}=\text{Game 1}\stackrel{\text{DDH}}{\approx}\text{Game 2}=\frac{1}{2}

CCA2 安全的 Cramer-Shoup PKE (CS-PKE).

$\text{Setup}(1^\kappa)$ :
- $(\mathbb{G},q,g_1,g_2)\leftarrow\mathcal{G}(1^\kappa)$
- $H\leftarrow\mathcal{H}$
- 返回 $pp=((\mathbb{G},q,g_1,g_2),H)$ ；

$\text{KeyGen}(1^\kappa)$ :
- $x_1,x_2,y_1,y_2,z_1,z_2\leftarrow\mathbb{Z}_q$
- $c=g_1^{x_1}g_2^{x_2},d=g_1^{y_1}g_2^{y_2},h=g_1^{z_1}g_2^{z_2}$
- 返回 $(pk,sk)$ ，其中 $pk=(c,d,h),sk=(x_1,x_2,y_1,y_2,z_1,z_2)$

$\text{Enc}(pk,m)$ :
- $r\leftarrow\mathbb{Z}_q;u_1=g_1^r,u_2=g_2^r$
- $e=m\cdot h^r{\color{grey}=m\cdot g_1^{z_1r}g_2^{z_2r}=m\cdot u_1^{z_1}u_2^{z_2}}$
- $\alpha=H(u_1,u_2,e)$
- $v=c^rd^{\alpha r}{\color{grey}=g_1^{x_1r+y_1\alpha r}g_2^{x_2r+y_2\alpha r}=u_1^{x_1+y_1\alpha}u_2^{x_2+y_2\alpha}}$
- 返回 $C=(u_1,u_2,e,v)$

$\text{Dec}(sk,c=(u_1,u_2,e,v))$ :
- $\alpha=H(u_1,u_2,e)$ ；
- 判断 $v=u_1^{x_1+y_1\alpha}u_2^{x_2+y_2\alpha}$ ，如果不满足返回 $\perp$ ；
- 返回 $m=e\cdot u_1^{-z_1}u_2^{-z_2}$ 。

💡

如果关于

\mathcal{G}

的 DDH 假设成立，且

\mathcal{H}

是抗碰撞的，那么CS-PKE 是 CCA2 安全的。

【证明】安全规约。

Game 0. 即为 $\textbf{Exp}_{\text{PKE},\mathcal{A}}^\text{CCA2}(\kappa)$ .

Game 1. 修改 Game 0 的 $\text{Enc}$ 中的表述为 $sk$ 表示的等价表述，见棕色部分；从敌手角度来看 Game 0 和 Game 1 完全相同.

\color{darkblue}\begin{matrix}\mathcal{C}& &\mathcal{A}\\pp\leftarrow \text{Setup}(1^\kappa)\\ (pk,sk)\leftarrow\text{KeyGen}(1^\kappa) & \stackrel{pp,pk}{\longrightarrow} \\\scriptsize x_1,x_2,y_1,y_2,z_1,z_2\leftarrow\mathbb{Z}_q\\\scriptsize c=g_1^{x_1}g_2^{x_2},d=g_1^{y_1}g_2^{y_2},h=g_1^{z_1}g_2^{z_2}\\\scriptsize pk=(c,d,h)\\\scriptsize sk=(x_1,x_2,y_1,y_2,z_1,z_2)\\ & \stackrel{C=(u_1,u_2,e,v)}{\longleftarrow}& \text{decryption queries}\\ m/\perp\leftarrow\text{Dec}(sk,C) & \stackrel{m/\perp}{\longrightarrow}\\ \scriptsize \alpha=H(u_1,u_2,e); \\ \scriptsize \text{if }u_1^{x_1+\alpha y_1}u_2^{x_2+\alpha y_2}\ne v \text{ then return }\perp \\ \scriptsize \text{else } m=e\cdot u_1^{-z_1}u_2^{-z_2}\\b\leftarrow\{0,1\}& \stackrel{(m_0,m_1)}{\longleftarrow}& \text{choose }m_0,m_1\\ C^*\leftarrow \text{Enc}(pk,m_b)& \stackrel{C^*=(u_1^*,u_2^*,e^*,v^*)}{\longrightarrow}& \\\scriptsize r^*\leftarrow\mathbb{Z}_q;u_1^*=g_1^{r^*},u_2^*=g_2^{r^*} \\\scriptsize e^*=m_b\cdot h^{r^*}{\color{brown}=m\cdot u_1^{*z_1}u_2^{*z_2}} \\ \scriptsize\alpha^*=H(u_1^*,u_2^*,e^*)\\\scriptsize v^*=c^{r^*}d^{\alpha^*r^*}{\color{brown}=u_1^{*x_1+y_1\alpha^*}u_2^{*x_2+y_2\alpha^*}} \\\scriptsize C^*=(u_1^*,u_2^*,e^*,v^*)\\ & \stackrel{C=(u_1,u_2,e,v)\ne C^*}{\longleftarrow}& \text{decryption queries}\\ m/\perp\leftarrow\text{Dec}(sk,C) & \stackrel{m/\perp}{\longrightarrow}\\ \scriptsize \alpha=H(u_1,u_2,e); \\ \scriptsize \text{if }u_1^{x_1+\alpha y_1}u_2^{x_2+\alpha y_2}\ne v \text{ then return }\perp \\ \scriptsize \text{else } m=e\cdot u_1^{-z_1}u_2^{-z_2}\\\mathcal{A}\text{ wins iff }b'=b & \stackrel{b'}{\longleftarrow} & \text{compute }b'\end{matrix}

Game 2. 处理哈希碰撞，当哈希值相等时不做处理；此时 Game 1 和 Game 2 的差别可以被哈希的抗碰撞性 bound，即 $\text{Game 1} \stackrel{CR}{\approx}\text{Game 2}$ .

\color{darkblue}\begin{matrix}\mathcal{C}& &\mathcal{A}\\pp\leftarrow \text{Setup}(1^\kappa)\\ (pk,sk)\leftarrow\text{KeyGen}(1^\kappa) & \stackrel{pp,pk}{\longrightarrow} \\\scriptsize x_1,x_2,y_1,y_2,z_1,z_2\leftarrow\mathbb{Z}_q\\\scriptsize c=g_1^{x_1}g_2^{x_2},d=g_1^{y_1}g_2^{y_2},h=g_1^{z_1}g_2^{z_2}\\\scriptsize pk=(c,d,h)\\\scriptsize sk=(x_1,x_2,y_1,y_2,z_1,z_2)\\ & \stackrel{C=(u_1,u_2,e,v)}{\longleftarrow}& \text{decryption queries}\\ m/\perp\leftarrow\text{Dec}(sk,C) & \stackrel{m/\perp}{\longrightarrow}\\ \scriptsize \alpha=H(u_1,u_2,e); \\ \scriptsize \text{if }u_1^{x_1+\alpha y_1}u_2^{x_2+\alpha y_2}\ne v \text{ then return }\perp \\ \scriptsize \text{else } m=e\cdot u_1^{-z_1}u_2^{-z_2}\\b\leftarrow\{0,1\}& \stackrel{(m_0,m_1)}{\longleftarrow}& \text{choose }m_0,m_1\\ C^*\leftarrow \text{Enc}(pk,m_b)& \stackrel{C^*=(u_1^*,u_2^*,e^*,v^*)}{\longrightarrow}& \\\scriptsize r^*\leftarrow\mathbb{Z}_q;u_1^*=g_1^{r^*},u_2^*=g_2^{r^*} \\\scriptsize e^*=m\cdot u_1^{*z_1}u_2^{*z_2} \\ \scriptsize\alpha^*=H(u_1^*,u_2^*,e^*)\\\scriptsize v^*=u_1^{*x_1+y_1\alpha^*}u_2^{*x_2+y_2\alpha^*} \\\scriptsize C^*=(u_1^*,u_2^*,e^*,v^*)\\ & \stackrel{C=(u_1,u_2,e,v)\ne C^*}{\longleftarrow}& \text{decryption queries}\\ m/\perp\leftarrow\text{Dec}(sk,C) & \stackrel{m/\perp}{\longrightarrow}\\ \scriptsize \alpha=H(u_1,u_2,e); \\\color{red}\scriptsize \text{if }\alpha=\alpha^*\text{ then return }\perp \\ \scriptsize \text{if }u_1^{x_1+\alpha y_1}u_2^{x_2+\alpha y_2}\ne v \text{ then return }\perp \\ \scriptsize \text{else } m=e\cdot u_1^{-z_1}u_2^{-z_2}\\\mathcal{A}\text{ wins iff }b'=b & \stackrel{b'}{\longleftarrow} & \text{compute }b'\end{matrix}

Game 3. 将 DDH couple 换成随机 couple，参考 CPA 安全的 Game 2，类似的可以说明 $\text{Game 2} \stackrel{DDH}{\approx}\text{Game 3}$ .

\color{darkblue}\begin{matrix}\mathcal{C}& &\mathcal{A}\\pp\leftarrow \text{Setup}(1^\kappa)\\ (pk,sk)\leftarrow\text{KeyGen}(1^\kappa) & \stackrel{pp,pk}{\longrightarrow} \\\scriptsize x_1,x_2,y_1,y_2,z_1,z_2\leftarrow\mathbb{Z}_q\\\scriptsize c=g_1^{x_1}g_2^{x_2},d=g_1^{y_1}g_2^{y_2},h=g_1^{z_1}g_2^{z_2}\\\scriptsize pk=(c,d,h)\\\scriptsize sk=(x_1,x_2,y_1,y_2,z_1,z_2)\\ & \stackrel{C=(u_1,u_2,e,v)}{\longleftarrow}& \text{decryption queries}\\ m/\perp\leftarrow\text{Dec}(sk,C) & \stackrel{m/\perp}{\longrightarrow}\\ \scriptsize \alpha=H(u_1,u_2,e); \\ \scriptsize \text{if }u_1^{x_1+\alpha y_1}u_2^{x_2+\alpha y_2}\ne v \text{ then return }\perp \\ \scriptsize \text{else } m=e\cdot u_1^{-z_1}u_2^{-z_2}\\b\leftarrow\{0,1\}& \stackrel{(m_0,m_1)}{\longleftarrow}& \text{choose }m_0,m_1\\ C^*\leftarrow \text{Enc}(pk,m_b)& \stackrel{C^*=(u_1^*,u_2^*,e^*,v^*)}{\longrightarrow}& \\\scriptsize \color{red}r_{1,2}^*\leftarrow\mathbb{Z}_q;u_1^*=g_1^{r_1^*},u_2^*=g_2^{r_2^*} \\\scriptsize e^*=m\cdot u_1^{*z_1}u_2^{*z_2} \\ \scriptsize\alpha^*=H(u_1^*,u_2^*,e^*)\\\scriptsize v^*=u_1^{*x_1+y_1\alpha^*}u_2^{*x_2+y_2\alpha^*} \\\scriptsize C^*=(u_1^*,u_2^*,e^*,v^*)\\ & \stackrel{C=(u_1,u_2,e,v)\ne C^*}{\longleftarrow}& \text{decryption queries}\\ m/\perp\leftarrow\text{Dec}(sk,C) & \stackrel{m/\perp}{\longrightarrow}\\ \scriptsize \alpha=H(u_1,u_2,e); \\\scriptsize \text{if }\alpha=\alpha^*\text{ then return }\perp \\ \scriptsize \text{if }u_1^{x_1+\alpha y_1}u_2^{x_2+\alpha y_2}\ne v \text{ then return }\perp \\ \scriptsize \text{else } m=e\cdot u_1^{-z_1}u_2^{-z_2}\\\mathcal{A}\text{ wins iff }b'=b & \stackrel{b'}{\longleftarrow} & \text{compute }b'\end{matrix}

Game 4 [Oracle]. 在解密时，如果不是 DDH couple，那么拒绝之（注意挑战者不一定需要 PPT，其可以是 oracle，因为后面没有规约了，都是信息论的角度）。从信息论意义上，敌手无法察觉这种改变，换句话说，就算在这个位置不添加拒绝条件，在下面检测 $u_1^{x_1+\alpha y_1}u_2^{x_2+\alpha y_2}=v$ 时也会拒绝的。

\color{darkblue}\begin{matrix}\mathcal{C}& &\mathcal{A}\\pp\leftarrow \text{Setup}(1^\kappa)\\ (pk,sk)\leftarrow\text{KeyGen}(1^\kappa) & \stackrel{pp,pk}{\longrightarrow} \\\scriptsize x_1,x_2,y_1,y_2,z_1,z_2\leftarrow\mathbb{Z}_q\\\scriptsize c=g_1^{x_1}g_2^{x_2},d=g_1^{y_1}g_2^{y_2},h=g_1^{z_1}g_2^{z_2}\\\scriptsize pk=(c,d,h)\\\scriptsize sk=(x_1,x_2,y_1,y_2,z_1,z_2)\\ & \stackrel{C=(u_1,u_2,e,v)}{\longleftarrow}& \text{decryption queries}\\ m/\perp\leftarrow\text{Dec}(sk,C) & \stackrel{m/\perp}{\longrightarrow}\\ \scriptsize \color{red}\text{if }\log_{g_1}u_1\ne\log_{g_2}u_2\text{ then return }\perp\\\scriptsize \alpha=H(u_1,u_2,e); \\ \scriptsize \text{if }u_1^{x_1+\alpha y_1}u_2^{x_2+\alpha y_2}\ne v \text{ then return }\perp \\ \scriptsize \text{else } m=e\cdot u_1^{-z_1}u_2^{-z_2}\\b\leftarrow\{0,1\}& \stackrel{(m_0,m_1)}{\longleftarrow}& \text{choose }m_0,m_1\\ C^*\leftarrow \text{Enc}(pk,m_b)& \stackrel{C^*=(u_1^*,u_2^*,e^*,v^*)}{\longrightarrow}& \\\scriptsize r_{1,2}^*\leftarrow\mathbb{Z}_q;u_1^*=g_1^{r_1^*},u_2^*=g_2^{r_2^*} \\\scriptsize e^*=m\cdot u_1^{*z_1}u_2^{*z_2} \\ \scriptsize\alpha^*=H(u_1^*,u_2^*,e^*)\\\scriptsize v^*=u_1^{*x_1+y_1\alpha^*}u_2^{*x_2+y_2\alpha^*} \\\scriptsize C^*=(u_1^*,u_2^*,e^*,v^*)\\ & \stackrel{C=(u_1,u_2,e,v)\ne C^*}{\longleftarrow}& \text{decryption queries}\\ m/\perp\leftarrow\text{Dec}(sk,C) & \stackrel{m/\perp}{\longrightarrow}\\ \scriptsize \alpha=H(u_1,u_2,e); \\\scriptsize \text{if }\alpha=\alpha^*\text{ then return }\perp \\ \scriptsize \cdots\\\mathcal{A}\text{ wins iff }b'=b & \stackrel{b'}{\longleftarrow} & \text{compute }b'\end{matrix}

类似地，写成方程组的形式，敌人原来只有 $c,d,v$ 三个方程组，有 $x_1,x_2,y_1,y_2$ 四个未知数，解空间为 1 维大小为 $q$ 。

\log_g c= x_1+ax_2 \\ \log_g d=y_1+ay_2 \\ \log_g v^*=r_1^*x_1+r_1^*\alpha^*y_1+ar_2^*x_2+ar_2^*\alpha^*y_2

即

\left[\begin{matrix}1& a \\ & & 1 &a \\ r_1^* & ar_2^* & r_1^*\alpha^*& ar_2^*\alpha^*\end{matrix}\right]\left[\begin{matrix}x_1\\x_2\\y_1\\y_2\end{matrix}\right]=\left[\begin{matrix}\log_g c \\ \log_g d \\ \log_g v^*\end{matrix}\right]

如果 $r_1=\log_{g_1}u_1\ne \log_{g_2}u_2=r_2$ 但 $u_1^{x_1+\alpha y_1}u_2^{x_2+\alpha y_2}=v$ ，那么就可以把这个方程组补充成 4 个，即

\left[\begin{matrix}1& a \\ & & 1 &a \\ r_1^* & ar_2^* & r_1^*\alpha^*& ar_2^*\alpha^* \\ r_1 & ar_2 & r_1\alpha & ar_2\alpha\end{matrix}\right]\left[\begin{matrix}x_1\\x_2\\y_1\\y_2\end{matrix}\right]=\left[\begin{matrix}\log_g c \\ \log_g d \\ \log_g v^*\\ \log_gv\end{matrix}\right]

系数矩阵的行列式满秩，就能解出来 $x_1,x_2,y_1,y_2$ ；相当于在原来 1 维的解空间中直接猜到了答案，由于解空间大小 $q$ 很大，这样的概率是可忽略的；因此可以视为没有这种情况，进而添加这个判断后，敌手也察觉不到区别，即 $\text{Game 3}\approx\text{Game 4}$ 。

Game 5 [Oracle]. 即然挑战者有无限的能力，我们自然可以不用私钥解密，直接解离散对数问题。显然从挑战者的角度来说 $\text{Game 4}=\text{Game 5}$ 。

\color{darkblue}\begin{matrix}\mathcal{C}& &\mathcal{A}\\pp\leftarrow \text{Setup}(1^\kappa)\\ (pk,sk)\leftarrow\text{KeyGen}(1^\kappa) & \stackrel{pp,pk}{\longrightarrow} \\\scriptsize x_1,x_2,y_1,y_2,z_1,z_2\leftarrow\mathbb{Z}_q\\\scriptsize c=g_1^{x_1}g_2^{x_2},d=g_1^{y_1}g_2^{y_2},h=g_1^{z_1}g_2^{z_2}\\\scriptsize pk=(c,d,h)\\\scriptsize sk=(x_1,x_2,y_1,y_2,z_1,z_2)\\ & \stackrel{C=(u_1,u_2,e,v)}{\longleftarrow}& \text{decryption queries}\\ m/\perp\leftarrow\text{Dec}(sk,C) & \stackrel{m/\perp}{\longrightarrow}\\ \scriptsize \text{if }\log_{g_1}u_1\ne\log_{g_2}u_2\text{ then return }\perp\\\scriptsize \alpha=H(u_1,u_2,e); \\ \scriptsize \text{if }u_1^{x_1+\alpha y_1}u_2^{x_2+\alpha y_2}\ne v \text{ then return }\perp \\ \scriptsize \color{red}\text{else } r=\log_{g_1}u_1;m=e\cdot h^r\\b\leftarrow\{0,1\}& \stackrel{(m_0,m_1)}{\longleftarrow}& \text{choose }m_0,m_1\\ C^*\leftarrow \text{Enc}(pk,m_b)& \stackrel{C^*=(u_1^*,u_2^*,e^*,v^*)}{\longrightarrow}& \\\scriptsize r_{1,2}^*\leftarrow\mathbb{Z}_q;u_1^*=g_1^{r_1^*},u_2^*=g_2^{r_2^*} \\\scriptsize e^*=m\cdot u_1^{*z_1}u_2^{*z_2} \\ \scriptsize\alpha^*=H(u_1^*,u_2^*,e^*)\\\scriptsize v^*=u_1^{*x_1+y_1\alpha^*}u_2^{*x_2+y_2\alpha^*} \\\scriptsize C^*=(u_1^*,u_2^*,e^*,v^*)\\ & \stackrel{C=(u_1,u_2,e,v)\ne C^*}{\longleftarrow}& \text{decryption queries}\\ m/\perp\leftarrow\text{Dec}(sk,C) & \stackrel{m/\perp}{\longrightarrow}\\ \scriptsize \alpha=H(u_1,u_2,e); \\\scriptsize \text{if }\alpha=\alpha^*\text{ then return }\perp \\ \scriptsize\cdots\\\mathcal{A}\text{ wins iff }b'=b & \stackrel{b'}{\longleftarrow} & \text{compute }b'\end{matrix}

Game 6 [Oracle]. 观察到本来 $e^*$ 也是均匀分布的（由循环群的性质保证），因此将 $e^*$ 直接替换成均匀采样，敌手也无法识别，得到 Game 6。于是 $\text{Game 5}\approx \text{Game 6}$ ；另外，在 Game 6 中，显然 $\text{Pr}[\mathcal{A}\text{ wins}]=0.5$ （因为挑战者根本就没看 $m_b$ ）。

\color{darkblue}\begin{matrix}\mathcal{C}& &\mathcal{A}\\pp\leftarrow \text{Setup}(1^\kappa)\\ (pk,sk)\leftarrow\text{KeyGen}(1^\kappa) & \stackrel{pp,pk}{\longrightarrow} \\\scriptsize x_1,x_2,y_1,y_2,z_1,z_2\leftarrow\mathbb{Z}_q\\\scriptsize c=g_1^{x_1}g_2^{x_2},d=g_1^{y_1}g_2^{y_2},h=g_1^{z_1}g_2^{z_2}\\\scriptsize pk=(c,d,h)\\\scriptsize sk=(x_1,x_2,y_1,y_2,z_1,z_2)\\ & \stackrel{C=(u_1,u_2,e,v)}{\longleftarrow}& \text{decryption queries}\\ m/\perp\leftarrow\text{Dec}(sk,C) & \stackrel{m/\perp}{\longrightarrow}\\ \scriptsize \text{if }\log_{g_1}u_1\ne\log_{g_2}u_2\text{ then return }\perp\\\scriptsize \alpha=H(u_1,u_2,e); \\ \scriptsize \text{if }u_1^{x_1+\alpha y_1}u_2^{x_2+\alpha y_2}\ne v \text{ then return }\perp \\ \scriptsize \text{else } r=\log_{g_1}u_1;m=e\cdot h^r\\b\leftarrow\{0,1\}& \stackrel{(m_0,m_1)}{\longleftarrow}& \text{choose }m_0,m_1\\ C^*\leftarrow \text{Enc}(pk,m_b)& \stackrel{C^*=(u_1^*,u_2^*,e^*,v^*)}{\longrightarrow}& \\\scriptsize r_{1,2}^*\leftarrow\mathbb{Z}_q;u_1^*=g_1^{r_1^*},u_2^*=g_2^{r_2^*} \\\color{red}\scriptsize e^*\leftarrow\mathbb{G} \\ \scriptsize\alpha^*=H(u_1^*,u_2^*,e^*)\\\scriptsize v^*=u_1^{*x_1+y_1\alpha^*}u_2^{*x_2+y_2\alpha^*} \\\scriptsize C^*=(u_1^*,u_2^*,e^*,v^*)\\ & \stackrel{C=(u_1,u_2,e,v)\ne C^*}{\longleftarrow}& \text{decryption queries}\\ m/\perp\leftarrow\text{Dec}(sk,C) & \stackrel{m/\perp}{\longrightarrow}\\ \scriptsize \alpha=H(u_1,u_2,e); \\\scriptsize \text{if }\alpha=\alpha^*\text{ then return }\perp \\ \scriptsize\cdots\\\mathcal{A}\text{ wins iff }b'=b & \stackrel{b'}{\longleftarrow} & \text{compute }b'\end{matrix}

综上，

\begin{aligned}\text{Game 0}&=\text{Game 1}\stackrel{\text{CR}}{\approx}\text{Game 2}\stackrel{\text{DDH}}{\approx}\text{Game 3}\\&\approx\text{Game 4}=\text{Game 5}\approx\text{Game 6}=\frac{1}{2}\end{aligned}

即 CS-PKE 是 CCA2 安全的。