Table Of ContentAsymmetric Cryptography
SCIENCES
Computer Science
Field Directors – Valérie Berthé and Jean-Charles Pomerol
Cryptography, Data Security, Subject Head – Damien Vergnaud
Asymmetric Cryptography
Primitives and Protocols
Coordinated by
David Pointcheval
First published 2022 in Great Britain and the United States by ISTE Ltd and John Wiley & Sons, Inc.
Apart from any fair dealing for the purposes of research or private study, or criticism or review, as
permitted under the Copyright, Designs and Patents Act 1988, this publication may only be reproduced,
stored or transmitted, in any form or by any means, with the prior permission in writing of the publishers,
or in the case of reprographic reproduction in accordance with the terms and licenses issued by the
CLA. Enquiries concerning reproduction outside these terms should be sent to the publishers at the
undermentioned address:
ISTE Ltd John Wiley & Sons, Inc.
27-37 St George’s Road 111 River Street
London SW19 4EU Hoboken, NJ 07030
UK USA
www.iste.co.uk www.wiley.com
© ISTE Ltd 2022
The rights of David Pointcheval to be identified as the author of this work have been asserted by him in
accordance with the Copyright, Designs and Patents Act 1988.
Any opinions, findings, and conclusions or recommendations expressed in this material are those of the
author(s), contributor(s) or editor(s) and do not necessarily reflect the views of ISTE Group.
Library of Congress Control Number: 2022941485
British Library Cataloguing-in-Publication Data
A CIP record for this book is available from the British Library
ISBN 978-1-78945-096-5
ERC code:
PE6 Computer Science and Informatics
PE6_5 Cryptology, security, privacy, quantum cryptography
Contents
Foreword . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xi
DavidPOINTCHEVAL
Chapter1.Public-KeyEncryptionandSecurityNotions . . . . . . . . 1
NuttapongATTRAPADUNGandTakahiroMATSUDA
1.1.BasicdefinitionsforPKE . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1.1.1.Basicnotation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1.1.2.Public-keyencryption . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1.1.3.IND-CPAandIND-CCAsecurity . . . . . . . . . . . . . . . . . . . 2
1.1.4.Otherbasicsecuritynotionsandrelations. . . . . . . . . . . . . . . 4
1.2.BasicPKEschemes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
1.2.1.Game-basedproofs . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
1.2.2.ElGamalencryption . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
1.2.3.SimplifiedCSencryption . . . . . . . . . . . . . . . . . . . . . . . . 8
1.2.4.Cramer–Shoupencryption . . . . . . . . . . . . . . . . . . . . . . . 11
1.2.5.OtherspecificPKEschemes . . . . . . . . . . . . . . . . . . . . . . 14
1.3.GenericconstructionsforIND-CCAsecurePKE . . . . . . . . . . . . 16
1.3.1.Hybridencryption . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
1.3.2.Naor–Yungconstructionandextensions . . . . . . . . . . . . . . . 19
1.3.3.Fujisaki–OkamotoandothertransformsintheROmodel. . . . . . 21
1.3.4.OthergenericconstructionsforIND-CCAsecurePKE . . . . . . . 23
1.4.Advancedtopics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
1.4.1.IntermediatenotionsrelatedtoCCA . . . . . . . . . . . . . . . . . 25
1.4.2.IND-CCAsecurityinmulti-usersettingandtightsecurity . . . . . 26
1.4.3.Key-dependentmessagesecurity. . . . . . . . . . . . . . . . . . . . 28
1.4.4.MoretopicsonPKE . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
1.5.References . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
vi AsymmetricCryptography
Chapter2.SignaturesandSecurityNotions . . . . . . . . . . . . . . . . 47
MarcFISCHLIN
2.1.Signatureschemes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
2.1.1.Definition. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
2.1.2.Examplesofpracticalschemes . . . . . . . . . . . . . . . . . . . . . 49
2.2.Unforgeability . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51
2.2.1.Discussion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51
2.2.2.Existentialunforgeabilityunderchosen-messageattacks . . . . . . 53
2.2.3.Unforgeabilityofpracticalschemes . . . . . . . . . . . . . . . . . . 54
2.3.Strongunforgeability . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56
2.3.1.Discussion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56
2.3.2.Strongexistentialunforgeabilityunderchosen-messageattacks . . 57
2.3.3.Strongunforgeabilityofpracticalschemes . . . . . . . . . . . . . . 58
2.3.4.Buildingstronglyunforgeableschemes . . . . . . . . . . . . . . . . 59
2.4.Summary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60
2.5.References . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60
Chapter3.Zero-KnowledgeProofs . . . . . . . . . . . . . . . . . . . . . . 63
IvanVISCONTI
3.1.Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
3.2.Notation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64
3.3.Classicalzero-knowledgeproofs . . . . . . . . . . . . . . . . . . . . . . 64
3.3.1.Zeroknowledge . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65
3.4.Howtobuildazero-knowledgeproofsystem. . . . . . . . . . . . . . . 68
3.4.1.ZKproofsforallNP . . . . . . . . . . . . . . . . . . . . . . . . . . 70
3.4.2.Roundcomplexity . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71
3.5.Relaxedsecurityinproofsystems . . . . . . . . . . . . . . . . . . . . . 72
3.5.1.Honest-verifierZK . . . . . . . . . . . . . . . . . . . . . . . . . . . 72
3.5.2.Witnesshiding/indistinguishability . . . . . . . . . . . . . . . . . . 73
3.5.3.Σ-Protocols . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 74
3.6.Non-black-boxzeroknowledge . . . . . . . . . . . . . . . . . . . . . . 75
3.7.Advancednotions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75
3.7.1.Publiclyverifiablezeroknowledge . . . . . . . . . . . . . . . . . . 76
3.7.2.ConcurrentZKandmore . . . . . . . . . . . . . . . . . . . . . . . . 77
3.7.3.ZKwithstatelessplayers . . . . . . . . . . . . . . . . . . . . . . . . 78
3.7.4.Delayed-inputproofsystems . . . . . . . . . . . . . . . . . . . . . . 79
3.8.Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80
3.9.References . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80
Contents vii
Chapter4.SecureMultipartyComputation . . . . . . . . . . . . . . . . . 85
YehudaLINDELL
4.1.Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 85
4.1.1.Anoteonterminology . . . . . . . . . . . . . . . . . . . . . . . . . 87
4.2.SecurityofMPC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 87
4.2.1.Thedefinitionalparadigm . . . . . . . . . . . . . . . . . . . . . . . 87
4.2.2.Additionaldefinitionalparameters . . . . . . . . . . . . . . . . . . . 89
4.2.3.Adversarialpower . . . . . . . . . . . . . . . . . . . . . . . . . . . . 89
4.2.4.Modularsequentialandconcurrentcomposition . . . . . . . . . . . 91
4.2.5.Importantdefinitionalimplications . . . . . . . . . . . . . . . . . . 92
4.2.6.TheidealmodelandusingMPCinpractice . . . . . . . . . . . . . 92
4.2.7.Anyinputsareallowed . . . . . . . . . . . . . . . . . . . . . . . . . 92
4.2.8.MPCsecurestheprocess,butnottheoutput . . . . . . . . . . . . . 92
4.3.FeasibilityofMPC . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 93
4.4.Techniques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94
4.4.1.Shamirsecretsharing . . . . . . . . . . . . . . . . . . . . . . . . . . 94
4.4.2.Honest-majorityMPCwithsecretsharing . . . . . . . . . . . . . . 95
4.4.3.Privatesetintersection . . . . . . . . . . . . . . . . . . . . . . . . . 97
4.4.4.Thresholdcryptography. . . . . . . . . . . . . . . . . . . . . . . . . 99
4.4.5.Dishonest-majorityMPC . . . . . . . . . . . . . . . . . . . . . . . . 100
4.4.6.EfficientandpracticalMPC . . . . . . . . . . . . . . . . . . . . . . 100
4.5.MPCusecases . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101
4.5.1.Bostonwagegap(Lapetsetal.2018) . . . . . . . . . . . . . . . . . 101
4.5.2.Advertisingconversion(Ionetal.2017) . . . . . . . . . . . . . . . 101
4.5.3.MPCforcryptographickeyprotection(UnboundSecurity;
Sepior;Curv) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 101
4.5.4.Governmentcollaboration(Sharemind) . . . . . . . . . . . . . . . . 102
4.5.5.Privacy-preservinganalytics(Duality) . . . . . . . . . . . . . . . . 102
4.6.Discussion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 102
4.7.References . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 103
Chapter5.Pairing-BasedCryptography. . . . . . . . . . . . . . . . . . . 107
OlivierBLAZY
5.1.Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108
5.1.1.Notations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108
5.1.2.Generalities . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108
5.2.Onesmallstepforman,onegiantleapforcryptography . . . . . . . . 109
5.2.1.OpeningPandora’sbox,demystifyingthemagic . . . . . . . . . . . 110
5.2.2.Anewworldofassumptions . . . . . . . . . . . . . . . . . . . . . . 112
5.3.Anewworldofcryptographicprotocolsatyourfingertips . . . . . . . 116
5.3.1.Identity-basedencryptionmadeeasy . . . . . . . . . . . . . . . . . 117
viii AsymmetricCryptography
5.3.2.Efficientdeterministiccompactsignature . . . . . . . . . . . . . . . 118
5.4.References . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119
Chapter6.BroadcastEncryptionandTraitorTracing . . . . . . . . . . 121
DuongHIEUPHAN
6.1.Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 121
6.2.SecuritynotionsforbroadcastencryptionandTT . . . . . . . . . . . . 123
6.3.OverviewofbroadcastencryptionandTT . . . . . . . . . . . . . . . . 125
6.4.Tree-basedmethods . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129
6.5.Code-basedTT. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 132
6.6.Algebraicschemes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 135
6.7.Lattice-basedapproachwithpost-quantumsecurity . . . . . . . . . . . 142
6.8.References . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 143
Chapter7.Attribute-BasedEncryption . . . . . . . . . . . . . . . . . . . 151
RomainGAY
7.1.Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151
7.2.Pairinggroups . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152
7.2.1.Cyclicgroups . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152
7.2.2.Pairinggroups . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 152
7.3.Predicateencodings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153
7.3.1.Definition. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153
7.3.2.Constructions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 154
7.4.Attribute-basedencryption . . . . . . . . . . . . . . . . . . . . . . . . . 156
7.4.1.Definition. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 156
7.4.2.Amodularconstruction . . . . . . . . . . . . . . . . . . . . . . . . . 158
7.5.References . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 165
Chapter8.AdvancedSignatures . . . . . . . . . . . . . . . . . . . . . . . 167
OlivierSANDERS
8.1.Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 167
8.2.Someconstructions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 169
8.2.1.Thecaseofscalarmessages . . . . . . . . . . . . . . . . . . . . . . 169
8.2.2.Thecaseofnon-scalarmessages . . . . . . . . . . . . . . . . . . . . 171
8.3.Applications . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 173
8.3.1.Anonymouscredentials . . . . . . . . . . . . . . . . . . . . . . . . . 173
8.3.2.Groupsignatures. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 176
8.3.3.Directanonymousattestations . . . . . . . . . . . . . . . . . . . . . 180
8.4.References . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 184
