理论分析：基于标识的加密方案的选择密文安全性及攻击情况

（1）代数安全。

在一般条件下，香农标准的信息安全对应于一个零互斥信息，该互斥信息介于密文（C）和明文信息（M）之间，例如，I（M；C）=0。这个条件暗示着攻击者必须猜测≤H（M）个标志来捕获数据。使用网络编码，如果攻击者能够猜测M个符号，那么剩余的K-M个符号需要被解码。由于每个接收的符号信息是源节点K个信息的线性组合，可以推断出每个接收者必须收到至少K个编码信息来恢复一个消息。因此，在随后的论证中看到，受限制的单个符号的秩序列不需要以很大的概率立即转换为可解码数据。在之前提到的方案中，每个中继节点能恢复一般的发送数据，然而在随后的方案中，任何节点不能恢复任何数据。

代数安全标准：随机线性网络编码支持的安全水平是由中继节点必须靠猜测来解码传输数据的符号数量决定的。从常规角度来看，

在式（5.12）中，ld表示能用高斯消元法恢复的消息数量。

要特别注意每个中继节点v的全局编码系数的秩和局部系数秩的不同。而且，随着越来越多的标识符变得不安全，网络编码的安全水平趋向于零。当有限域变得无限大的时候，每个可解码的标识符数量ld变为零。

对于足够大的有限域q，攻击者不能获得有意义信息的概率可以逼近计算为：

在上述等式中，k表示窃听能力，h表示所有的信道数量。

（2）选择密文安全。

对于公钥加密方案而言，选择密文安全（CCS）被视为标准安全。因此，基于标识的加密方案也是要求满足这个强安全需求的。然而，这种类型的安全定义必须进一步加强。这是由于当一个攻击者对一个基于标识身份的公钥ID发起攻击时，攻击者可能已经掌握了用户ID1，…，IDN的私钥，这其中的任何一个用户都可以成为被攻击对象。系统在这种攻击下应该仍然安全。因此，CCS必须允许攻击者获得私钥信息和用户标识IDi作为攻击选择。同时，攻击者将公共标识ID作为他攻击选择的挑战。

可以注意到，对接下来的游戏中的挑战者而言，如果非基于多项式的攻击者具有不可否认的优势，那么基于标识的加密方案是语义安全的。

设定：挑战者选取一个安全参数k，提供给攻击者系统参数params并且自己保留master-key。

阶段1：攻击者发出对q1，…，qm的查询，且查询qi是提取查询和解密查询中的任意一个。(www.xing528.com)

①提取查询＜IDi＞。挑战者通过运行设定算法生成私钥di，该私钥对应于公钥＜IDi＞。挑战者将私钥di发送给攻击者。

②解密查询＜IDi，Ci＞。挑战者通过运行提取算法生成私钥di，该私钥对应于用户IDi。然后，挑战者使用私钥di运行解密算法来解密密文。最后，挑战者发送明文给攻击者。

上述这些查询可能要求自适应，也就是说每个查询qi可以依赖于对q1，…，qi-1的响应。

挑战：一旦攻击者决定当阶段1结束的时候，它输出两个明文消息M0，M1∈M和一个标识ID，该标识ID正是它想挑战的。唯一的约束条件就是该标识ID并没有在阶段1的私钥提取查询中出现过。

挑战者随机选取一位b∈{0，1}并且设定Encrypt（params，IDi，Mb）。挑战者发送向攻击者发起挑战。

阶段2：攻击者发起更多的查询qm+1，…，qn，在这些查询中，查询qi是如下任意一个：

①提取查询用户群＜IDi＞中的用户IDj≠ID。挑战者像阶段1那样回应。

②解密查询中＜IDi，Ci＞≠＜ID，C＞。攻击者也像阶段1那样回应。

这些查询可能也会像阶段1要求的那样具有自适应性。

猜测：最后，攻击者输出一个猜测结果b＇∈{0，1}。当b=b＇时，攻击者将赢得挑战游戏。