SPHF用于PAKE的主要优点是什么？

Question

我正在处理密码认证密钥交换(PAKE)。我注意到一些PAKE方案是建立在光滑投影散列函数(SPHF)之上的。我不明白为什么SPHF可以用来设计PAKE？

我能理解SPHF的定义，我知道它是指定验证者ZK的特例。但SPHF对PAKE的主要优点是什么？

Answer 1

SPHF是一个非常通用的工具，它们有大量的应用程序。它们在PAKE中的应用主要有三个方面：

• 首先，它们允许低互动性的PAKE.请注意，这是非常可取的，因为延迟是与web上的服务器通信时效率低下的主要原因之一。要查看它，请考虑一个具有指定验证者证明的构造:直观地说，每个玩家都可以向对方证明，比如说，某些承诺包含正确的密码。然后，双方可以在验证证明后进行标准密钥交换。然而，要使这种形式正式化，尤其需要几轮互动。SPHFs改进了这一点，因为对于PAKE，任何一方都不需要向对方证明他知道正确的密码:我们只想确保如果双方都知道相同的密码，他们就会得到相同的强密钥。直观地说，这完全符合SPHF的定义: SPHF给出了一些特定类型的指定验证器的证明，其中验证者和验证者在语句中具有相同的随机密钥，否则是独立的。为了使这成为一个真正的证据，证明者然后把他的钥匙发送给验证者，验证者检查这和她得到的钥匙是一样的。但是在PAKE应用程序中，不需要进行最后一次检查:哈希值可以直接用作强键，无需任何进一步的验证步骤。因此，这允许使用单轮PAKE (有关更多细节，请参见本论文)。
• 第二，它们可以建立在经过仔细研究的标准假设上，即DDH (以及它的变体，如DLIN)。相反，获得低交互性PAKE的自然替代方法(正如我已经指出的，出于效率原因这是非常可取的)将依赖于非交互式的零知识证明，而这种证明并不是从这样的研究过的假设中知道的(现有的有效NIZKs需要基于配对的密码学，或者随机甲骨文模型)。
• 第三，它们是非常代数的，这对于优化效率(因为可以使用批处理等各种技巧)和分析安全性都是一个很强的奖励。因此，SPHFs导致了标准模型中效率最高的PAKEs (每一方在一轮中只发送了6个组元素)，具有最高的安全概念(UC安全性，这意味着即使在任意并发设置下的安全性，以及一些更新的构造的完全自适应安全性)。