公钥密码体制自Diffle和Hellman提出以来,广泛应用在加密、签名、密钥协商等密码学的理论研究和实际应用中,随之而来的公钥密码体制安全性问题也受到人们越来越多的关注和重视。人们迫切希望能够通过形式化证明的方法来证明公钥密码体制的安全性,并利用可证明安全的思想指导公钥密码体制的设计和应用。“安全性证明”,或者称为“可证明安全”的概念就是在这样的背景下被提出。公钥密码体制的发展遵循以下规律:密码学者从一个公认的数学难题研究出陷门单向函数,函数的正向运算能够轻易计算,但逆向运算在计算上是不可行的,除非是在知道某个陷门信息的情况下。这样的陷门单向函数被用来构造有效的公钥密码算法。密码学者希望这些公钥密码算法的安全性等价于求解它们所包含的陷门单向函数,或者等价于求解它们所基于的数学难题。然而,对于绝大多数公钥密码体制,上述等价关系被证明是不存在的。为了达到这一目的,密码学者针对一些著名的公钥密码体制进行了有效的改进,例如Bellare和Rogaway对RSA公钥密码体制提出了OAEP变换,Cramer和Shoup在ElGamal公钥密码体制的基础上提出了Cramer-Shoup公钥密码体制。他们在提出改进方案的同时,分别给出了改进方案的形式化安全性证明。证明结果显示,他们改进方案的安全性等价于求解它们所包含的陷门单向函数。本论文针对公钥密码体制安全性证明的若干关键技术进行系统研究,并利用可证明安全的思想指导实用的公钥密码算法的设计和改进。通过对已有安全性证明技术的研究和分析,优化和改进公钥密码体制在随机预言模型下的安全性证明方法;在可证明安全的思想指导下,设计一种可证明安全的密钥协商协议,并成功改进一种数字签名方案,使其在标准模型下达到适应性选择消息攻击的不可伪造安全性。本论文的主要研究内容和研究成果如下:一、论文深入研究了公钥密码体制安全性的相关数学定义、安全性证明的数学模型和安全性证明方法。主要研究在随机预言模型和标准模型下,通过“归约矛盾”的证明方法证明公钥密码体制的安全性,把对公钥密码体制的攻击归约到对公认的数学难题的求解。因为这些数学难题在多项式时间内不存在有效的解决方法,从而证明公钥密码体制对该攻击是安全的。基于标准模型的安全性证明,唯一依赖于公钥密码体制所包含陷门单向函数的困难性;而基于随机预言模型的安全性证明,还需假设公钥密码体制中使用的密码杂凑函数具有随机预言机的安全性质。二、论文研究了公钥密码体制基于随机预言模型的安全性证明技术和方法。对Bellare和Rogaway对f-OAEP公钥密码算法的安全性证明过程进行了有效改进,成功地修补了Shoup指出的他们证明过程中存在的缺陷。论文仔细研究Bellare和Rogaway的证明过程,分析他们证明过程存在缺陷的根本原因,并进行针对性的修复。相对于Bellare和Rogaway最初的证明,本文的证明方法简单完备,且与已有的改进证明方法相比更具一般性,满足陷门单向函数f是非RSA函数的一般情况。论文进一步研究了一系列OAEP变换的改进方案。针对Shoup指出的问题,结合混合加密的思想,论文提出了一种完备的改进方案——OAEP++,并研究在随机预言模型下对公钥密码算法f-OAEP++进行安全性证明的方法。三、在可证明安全的思想指导下,论文设计了一种基于RSA-OAEP公钥密码算法可证明安全并实用有效的密钥协商协议。论文分析了Diffie-Hellman密钥协商协议的一般形式,和一系列集成DSA数字签名的Diffie-Hellman密钥协商协议。研究发现,为了安全的协商密钥,协议双方秘密交换各自选取的随机数,通过对这些随机数的混合计算生成密钥,并实现双方认证、前向安全、密钥随机等安全属性。在本论文设计的协议中,协议双方各自选取两个随机数,作为OAEP变换的输入,利用对方的公钥通过RSA-OAEP算法进行加密,并将加密结果发送给对方。这样,协议双方既可以安全地交换两个随机数,又可以通过对方正确解密利用他公钥加密的密文并继续协议,从而完成对对方的身份认证。协议无需集成预共享口令或数字签名即可实现协议双方的身份认证,并且满足前向安全,密钥随机等安全属性,同时具有很好的计算性能和传输性能,是在RSA公钥密码体制下实现密钥协商的安全有效的方法。四、论文研究了公钥密码体制基于标准模型的安全性证明技术和方法。研究分析了Cramer-Shoup公钥密码体制,它是第一个实用有效,且在标准模型下可证明安全的公钥密码体制。分析发现,在实际应用中,离散对数函数可以代替密码杂凑函数,实现混合变换和消息完整性验证功能,并具有抗原像攻击、抗碰撞攻击等安全性。Cramer-Shoup公钥密码体制正是在ElGamal公钥密码体制的基础上,为达到适应性选择密文攻击的不可区分安全性,巧妙结合DDH问题进行消息完整性验证。在这种思想的指导下,论文对Chang数字签名方案进行了安全分析和改进,集成离散对数函数进行签名消息完整性验证。论文在标准模型下尝试对改进方案进行安全性证明。证明结果显示,改进方案具有适应性选择消息攻击的不可伪造安全性。结合本论文的研究内容和成果,论文最后对公钥密码体制安全性证明的进一步研究工作提出了几点展望。