张 妤，黄周晶

（1.解放军信息工程大学 电子技术学院，河南 郑州450004；2.73671部队，安徽 六安237008）

0 引 言

密码协议复杂度和规模的日益增加使人们开始广泛认识到组合方法在设计和分析密码协议时的重要性。通用可组合安全分析模型［1］（UC模型）是用组合方法分析密码协议的成功范例，由Ran Canetti于2001年提出。在该模型中被证明具有某个安全性质的协议，当作为任意更大协议的组件时，或者和许多协议 （甚至未知协议）同时运行时，仍能保持该安全性质。这对于密码协议的模块化设计和分析，以及在复杂甚至不可预测环境中 （比如因特网）协议的分析，是非常有利的。因此，国内外已有不少对于UC模型的研究成果，密码协议研究者在UC模型下针对特定密码学任务进行研究，提出具有UC安全性的协议方案，如UC安全的电子现金［2］、零知识证明［3］、不经意传输［4］、签密［5］、安全多方计算［6］、数字签名［7］、认证及密钥交换［8－17］。

由此可见，自从UC模型提出以来直到现在，提出并证明具有UC安全性的密码协议方案是国内外绝大多数研究者所作的工作。UC安全性证明使用的是模拟证明方法（UC模拟并非其它学术领域中所提到的软件模拟，而是利用计算复杂性进行的一种抽象模拟），其核心和难点是构造模拟器。目前，模拟器的构造是针对不同理想功能和协议进行的，尚没有比较通用的方法可循。加之模拟器是使用交互式图灵机的形式描述的，不能直观反映模拟的本质内容，即便它模拟了一部分应该模拟的操作，但是是否精确地模拟了全部应该模拟的操作却不容易检查出来。……