该论文针对一个长期被忽视的度量问题：标准机构（如 NIST、各密码测评体系）通常用单一“比特数”来表述密码方案的安全强度，但这一数值实际上依赖于所采用的敌手成本模型——即如何为时间、内存、量子资源定价。不同约定（例如内存成本权重、量子算力折扣）会给出不同结果，甚至导致密码方案的排名发生翻转。作者提出 GAUGE 框架，把“安全性”从标量重新定义为定义在可行成本模型锥上的函数，称为“安全轮廓（security profile）”。这样，方案之间的比较就变成轮廓之间的比较，而排名翻转则被刻画为一种明确的结构性质，而非测量误差。论文形式化了成本模型锥上的“价格泛函”，证明安全轮廓是分段线性且凹的，并给出一个“评级三难（rating trilemma）”定理：当两条轮廓相交时，不存在任何评级方式能同时满足三点——忠实反映底层成本、对可比方案对全序可比、以及独立于所选成本模型。作者进一步给出一个多项式时间的线性规划（LP）流程，用于判定两个方案的排名是稳健的、在某些可行模型下会翻转的，还是本质不可比的。GAUGE 还被扩展为两层风险度量，融合随机密码分析退化（随时间推移攻击成本下降）与对正确成本模型的不确定性。评估覆盖 NIST 后量子标准、经典锚点方案以及 25 年密码分析攻破时间线：分析证明 ML-KEM-512 与 AES-128 的排名仅因内存定价 4–5% 的偏移即可发生翻转，并测得格筛法成本以约每年 9.79 比特的速度漂移（八年区间）；同时表明 X25519 + ML-KEM-768 混合握手在 2.3 KB 开销下可将联合被破概率降低约二十倍。配套工件可在 7 秒内复现全部表格与图。该工作为在相互竞争的成本模型下报告密码安全性提供了显式、可审计的框架。适合密码工程、密码敏捷性规划、后量子迁移与安全度量研究者阅读。

Goldwasser 等人此前证明，在随机傅里叶特征（RFF）算法训练的机器学习模型中，可以植入一类不可检测后门，其安全性建立在与连续学习带误差问题（CLWE）相关的困难假设之上；在标准密码学假设下，即使对模型权重做完全白盒审计也无法发现该后门。但原始论文仅以密码学归约和概率引理的形式给出构造，没有参考实现，且依赖 Sparse Gaussian Pancakes 分布、齐次 CLWE 条件密度等辅助机制，仅凭论文难以判断其能否在普通数值代码中落地。本文的工作正是填补这一空白：作者仅使用 numpy 与 scipy，端到端实现了白盒 CLWE-RFF 后门构造，用以检验该威胁是可用通用科学计算工具复现，还是必须依赖专门的密码学基础设施。论文为构造核心所需的 GP_d(b_k) 分布提供了两种采样器：一是基于拒绝采样的近似方案，二是由齐次 CLWE 条件密度推导出的精确闭式采样器，并用其自身解析形式进行了验证。在此基础上，作者开展统计不可区分性测试，同时覆盖权重空间审计与黑盒功能对比两类视角，在多个稀疏比 ρ = d_sparse/D 下均未发现后门模型与干净模型之间存在可检测差异。论文还具体报告了构造中哪些部分易于实现、哪些需要论文未给出的额外推导，并明确列出未尝试复现的部分，包括底层的格困难性归约。作者将本工作定位为对 Goldwasser 白盒 CLWE 核心实务可实现性的贡献，而非新的理论结果。适合机器学习安全、模型供应链与可信 AI、密码学工程方向的研究者与防御方阅读。

该论文《通过密码学安全属性分析多因素认证》探讨了现代认证系统中多因素认证(MFA)的安全性。摘要指出,现代认证系统用于验证用户(或代表用户的应用)的身份,是防御未授权访问的主要手段。早期系统基于单一机制,如用户名/密码、物理令牌或生物特征,而当前系统已演变为结合多种机制的MFA平台。其中一些机制专注于防止重放攻击,即防止重用可能已被泄露的认证组件。论文从密码学安全属性的角度分析MFA,可能涉及形式化定义安全目标(如新鲜性、不可伪造性、绑定等),并评估现有MFA方案是否满足这些属性。由于仅有摘要,具体方法、实验和贡献尚不明确,但研究问题聚焦于MFA的密码学安全分析,特别是抗重放攻击能力。适合安全研究人员、认证协议设计者和对MFA安全性感兴趣的安全工程师阅读。

本文提出了一套面向密码学软件的全新形式化验证方法论，其核心取向是直接验证“生产级代码”，而不是为了便于验证而专门改写代码。作者选择 Rust 作为目标语言，看重的是它在性能与系统集成方面的优势：Rust 的所有权机制使 Aeneas 工具链能够把 Rust 代码抽取为 Lean 中的纯函数模型，从而免除对指针存活性、别名关系等底层细节的推理负担；Lean 的可扩展性又允许团队开发专用的策略（tactic）与库，大幅简化对抽取后代码的推理。工具链被专门设计并调优以配合 AI：智能体可以自主撰写形式化证明，这些证明由 Lean 内核独立校验；智能体还参与密码标准与平台相关 intrinsic 的形式化工作，但这部分仍需专家主导设计与评审。作者将该方法应用于微软的密码提供者 SymCrypt，验证了从其 C 版本移植到 Rust 的 SHA-3、ML-KEM 等算法实现；并进一步用实验性优化以及 FrodoKEM、ML-DSA、HPKE 等算法的实现来扩展 SymCrypt，以考察编写、移植与验证密码代码的可扩展性。整个 Lean 开发规模约 237 KLOC，为 16.7 KLOC 的 Rust 代码（覆盖 x86-64 与 ARM 平台上的后量子密码套件）建立了内存安全性、无 panic 以及功能正确性的证明。评估结果显示，经过验证的 Rust 实现能够满足 SymCrypt 在性能、可移植性、部署方式与可维护性方面的要求。

该论文研究子集谓词加密（Subset Predicate Encryption, SPE）的构造与安全强度提升问题。SPE 由 Katz 等人在 CANS'17 提出，它在加密域中模拟“子集包含”谓词，是广播加密的泛化形式；作者当时给出了两种小全集（small universe）下选择性 IND-CPA 安全的构造，并通过若干黑盒变换将 SPE 归约到 WIBE、ABE 等已知原语，说明 SPE 结构具有较强的表达能力。随后 Chatterjee 与 Mukherjee 在 RSA'19 给出了两种大全集（large universe）下的 SPE 构造：第一种虽然实现了密文与私钥均为常数长度，但只能在一种受限的选择性安全模型下证明安全；第二种虽然达到自适应安全，但密文长度会随数据属性集合的规模增长。更关键的是，这两个大全集构造都不具备 CCA（选择密文）安全性，而真实部署中攻击者往往能够获得解密预言机或篡改密文，CPA 安全不足以覆盖此类威胁。本文的核心贡献是给出首个大全集、IND-CCA 安全且密文与私钥均为常数规模的子集谓词加密方案：作者在标准子群判定问题（subgroup decision problems）假设下证明了该构造满足标准的选择性安全定义，从而在效率与安全强度之间取得比既有工作更好的平衡。此外，作者还通过黑盒变换，把这一高效 SPE 转换为首个具备常数长度密文与私钥的 CCA 安全 WIBE、WKD-IBE 等方案，进一步说明 SPE 可作为构建其他高阶加密原语的通用底座。整体上，这是一项偏理论密码学的研究成果，重点是安全模型强化（CPA→CCA）、大全集支持与常数规模开销三者的同时达成，并为广播加密、身份基加密家族提供新的构造路径，适合从事公钥加密、访问控制密码学与安全协议设计的研究人员阅读。

该论文聚焦于「对加密数据做细粒度安全计算」这一长期难题。像素级图像（如肿瘤分割、异常检测）等细粒度数据要求每个像素都可参与运算并保持高精度，而现有隐私计算范式各有硬伤：多方安全计算（MPC）需要交互通信、延迟高；差分隐私（DP）只能保护聚合统计量、无法支持逐像素运算；部分同态加密（PHE）只支持加法或乘法其中一种运算，缺少乘法（或加法）支持，无法表达任意函数。全同态加密（FHE）是唯一能在密文像素上执行任意运算的技术，但其计算开销极大，对软件实现与硬件加速器都构成瓶颈，尤其是新密文生成与数论变换（NTT）带来的负载。作者提出 PixCrypt——一种面向细粒度全同态加密的基于缓存的加速机制。其核心思路是把「昂贵的新鲜密文生成」替换为「缓存检索 + 系数级运算」，并统一适配 CKKS、BFV、BGV 三类主流 FHE 方案；为避免缓存复用导致密文重复从而破坏语义安全，PixCrypt 设计了随机化重构机制，保证每次得到的密文都不相同。此外，该设计的噪声增长近似线性，从而减少了对自举（bootstrapping）的依赖，并降低 NTT 运算负载，进而提升硬件加速器的利用效率。作者声称该方案可实现最高约 35 倍的细粒度加密加速，同时保持 IND-CPA（选择明文攻击下的不可区分性）安全性。实验在五个真实世界的像素级图像处理任务上进行，结果表明 PixCrypt 显著提升了 FHE 在隐私保护分析场景中的实用性。整体上，这是一项偏向系统与密码工程优化的研究工作，适合隐私计算、同态加密硬件加速及隐私保护机器学习方向的研究者与工程师阅读。

本文研究的是如何利用自回归语言模型构建隐蔽通信信道的问题。其核心观察是：自回归模型在生成每个 token 时，会对候选 token 形成一个按概率排序的"秩"（rank）分布；如果在生成过程中保持每个位置上被选中 token 的相对秩不变，仅在同样秩位的候选之间进行替换，就能把一段载荷文本（payload）转换成一段与载荷 token 长度完全相同、但表面内容完全不同的"隐写文本"（stegotext）。作者把这一机制形式化为 CARTS（Contextual Autoregressive Rank Transcoding Steganography，上下文自回归秩转码隐写）。此前 Norelli 等人提出的 Calgacus 构造只是在实验层面演示了该现象，缺乏形式化的安全分析。本文首次给出严格的理论处理：在确定性模型假设下证明该构造具有精确正确性（即解码端能够无损还原原始载荷）；引入"秩坐标表示"，在该表示下密钥相当于秩向量空间上的双射；进而定义了一组与构造自然对应的安全概念和计算问题，包括上下文搜索、密钥碰撞、消息歧义度（message equivocation）以及编码映射的非交换性，并刻画它们之间的理论关系——特别是用上下文搜索来刻画消息歧义度，以及密钥碰撞与消息歧义度之间存在的张力关系。实验部分基于 Llama 3 8B：在所有测试用例中都能精确恢复原始载荷；随机密钥生成下未发现密钥碰撞；人为构造的碰撞被证明是局部的而非全局的；同时未发现可交换的密钥对，说明在所研究的攻击向量下该方案表现出一定抵抗性。整体上，该工作为在密码学与隐私保护通信中"建设性"地使用语言模型开辟了有形式化基础的研究议程。

该论文研究 ML-KEM-768（即 FIPS 203 标准化的 Kyber 密钥封装）在诚实解封装条件下失败概率上界的严格认证问题。ML-KEM 的安全性论证长期依赖一个启发式结论：解封装失败率约为 2^-164 量级，但近期的形式化评估指出，这一启发式尺度缺乏严格证明，属于公开难题。作者在显式的随机函数/中心二项分布（ROM/CBD）抽象下给出了该尺度的、保持依赖关系的可认证上界：把按域分离的公钥矩阵流建模为独立均匀环元素，把秘密与噪声多项式建模为独立的 CBD2 原语；论文明确说明这不是针对 FIPS 203 固定 SHAKE 实例的信息论结论。分析保留了公钥矩阵以及两个密文压缩项 c_u、c_v 所引入的依赖关系，避免因独立性假设而失真。证明的终端链条分为三段：首先为联合 c_u/c_v 残差构造精确的图耦合全理想参考；其次通过 proper-ideal 二元傅里叶传输进行处理，其中罕见的 |T|>=3 分支用穷尽式三因子反集中重放予以封闭；最后采用精确到比特的 FIPS 解码事件，仅保留 256 坐标的联合界。作者还给出形式化的部分傅里叶引理，使从谱范数到全变差的步骤显式可验证。最终约化有理证书给出 Pr[K' != K] <= P_* <= 2^-164.81，其中 -log2(P_*) = 164.810716201343121…。该阈值精确但数值上极为紧致：认证指数仅超出 164.81 约 0.0007162 bit，而 164.82 未被认证。该结论对任意与公私随机性独立固定的消息、在诚实加密与诚实解封装下成立。作者明确声明它不是精确 DFR、不是固定 SHAKE 的等价定理、不是新的 IND-CCA 归约，也不是自适应 delta-correctness 结果。

该论文研究奇特征有限域 F_{3^n}（n>1 为奇数）上几乎完美非线性（APN）函数的构造及其回旋镖一致性（boomerang uniformity，β）。回旋镖一致性衡量 S 盒抵御回旋镖/矩形攻击的能力，β=1 是奇特征域上 APN 函数可达的理论下界，此前缺少一般性构造。作者以完美非线性（PN）函数为出发点：设 g 为 Dembowski–Ostrom（DO）多项式表示的 PN 函数，τ=g(1)，ε 为 F_3^* 的指示函数，对每个 c∈F_q 定义扰动形式 G̃_c(x)=g(x+c)+τ·ε(x)，即仅在 F_3^* 上叠加一个小修正。论文证明所有 G̃_c 都是 APN 函数，其回旋镖一致性只能为 1 或 2：当且仅当 c 属于集合 C_g={c∈F_q\F_3 : g(c)+τ ∉ g(F_q)} 时 β=1，且 |C_g|=(q-3)/2；其余 (q+3)/2 个参数对应 β=2。作者进一步完整确定了全部 G̃_c 共有的差分谱与完整回旋镖谱。由于该差分谱不同于所有幂函数及 Ness–Helleseth 型二项式，可排除这些函数与上述已知族的 CCZ 等价。论文还证明：DO 型 PN 函数的“符号翻转”变体之间的 CCZ 等价，必然推出原 PN 函数之间的 EA 等价。最后，借助相关 pre-semifield 核（nuclei）的阶，作者对无穷多个奇数 n 构造出三个两两 CCZ 不等价的 PN 函数，分别取自 Gold f1、Ding–Yuan f3 与 Bierbrauer f5 族；进而在同一 F_{3^n} 上得到三个两两 CCZ 不等价、回旋镖一致性均为 1 的 APN 函数。构造所得最小扩域次数为 n=45。这是首个可产出无穷族最优 β=1 APN 函数的一般性构造。

本文提出 ZK-eSIM，一种面向 eSIM 远程配置（GSMA RSP）流程的隐私保护重设计方案。现有 RSP 在配置文件订购和下载阶段会暴露长期标识符，例如稳定的设备标识符 EID、配置文件标识符以及长期证书材料，使得移动运营商和配置文件分发基础设施能够将多次配置事件关联到同一 eUICC，进而结合账户记录关联到同一用户，破坏订阅者匿名性并支持跨会话跟踪。ZK-eSIM 的核心创新包括三部分：(1) 使用零知识证明替代设备标识符的直接披露，以证明设备有效性和资格，而不泄露具体身份；(2) 通过短期一次性假名凭证和每会话唯一标识符强制实现会话不可链接性，防止跨会话跟踪；(3) 设计联合授权的托管机制，实现隐私保护的问责可追溯性，确保任何单一实体无法单方面去匿名化用户。作者形式化了多实体、诚实但好奇（honest-but-curious）威胁模型，并在标准密码学假设下证明了订阅者匿名和会话不可链接性。实现方面，论文在测试 eUICC 上部署了 Java Card 小程序，并修改了 LPA 和 SM-DP+ 服务器，在商用硬件上评估性能。实验量化了相对于传统 RSP 的端到端密码学开销，表明 ZK-eSIM 仅增加可接受的实用开销，在不改变现有 GSMA 角色和接口的前提下弥补了关键隐私缺口。论文适合关注移动通信安全、隐私增强技术和 eSIM 标准化的研究人员及安全架构师阅读。

该论文提出了一种名为 Scratchy 的视觉暂存器多模态推理方法，旨在解决大语言模型（LLM）在生成密码学形式化证明时面临的结构性依赖难题。在密码学领域，计算安全性论证要求证明必须协调概率、对抗游戏、不变量、假设和界限等要素，而 EasyCrypt 机器检查框架可以验证这些证明。然而，尽管这些要素可能都出现在上下文中，LLM 仍难以生成正确证明，因为证明理论依赖往往在线性表示中隐式存在，且分散在多个程序中。Scratchy 的核心思路是显式地暴露这些依赖：首先，将自然语言的安全描述、形式化上下文和目标命题规范化为类型化的证明关系图；然后，通过结构保持的视觉编译器将该图转换为富含公式的视觉证明状态，该状态作为多模态模型的输入，引导模型生成 EasyCrypt 证明。作者还构建了 Scratchy-eval 评估基准，包含 114 个任务，均来源于可靠的官方 EasyCrypt 文件，其中 64 个为安全形式证明生成任务，50 个为多项选择知识测试任务。评估重点覆盖了语义基础、关系不变量和游戏归约等维度，实验表明，经典 LLM（如 GPT-5.6-Sol 和 Claude-Opus-5）在采用 Scratchy 的结构化视觉证明状态后获得了显著性能提升。该结果凸显了显式证明结构的重要性，并展示了多模态证明状态表示作为计算机辅助密码学工具的前景。论文的贡献在于提出了一种新的形式化证明生成范式，并提供了配套数据集，为安全协议验证的自动化提供了新思路。

该论文题为《Private Blocklist Lookups with Checklist》，聚焦于隐私保护的黑名单查询问题。在现实应用（如恶意URL拦截、广告阻断、账号安全检测、威胁情报比对）中，客户端通常需要向服务器查询某个条目（例如域名、IP、哈希值）是否命中黑名单。传统实现若直接提交查询条件，会暴露用户的具体访问目标，构成严重隐私风险。现有替代方案包括让客户端下载完整黑名单进行本地匹配，但会带来巨大的带宽和存储开销，难以适应频繁更新的海量黑名单。论文针对这一核心矛盾，提出了一种名为Checklist的新型协议或系统，旨在使客户端能够在不向服务器泄露查询内容的前提下高效完成黑名单匹配。由于本次输入仅提供论文标题与作者，未包含完整摘要，无法确切描述其加密原语（如是否基于私有信息检索PIR、不经意传输OT、同态加密等）或具体性能指标。不过根据该研究领域的常见方法判断，Checklist很可能引入新的通信复杂度优化或并发查询结构，以兼顾隐私保护与现实可用性。该研究适合关注隐私增强技术、安全系统设计、密码学协议的研究人员和工程师，尤其对需要向用户提供检测能力但又不愿收集用户浏览数据的服务商具有参考意义。

本论文提出异步数据传播（Asynchronous Data Dissemination, ADD）问题的新协议，并展示了其在多个密码学和分布式计算原语中的显著改进。ADD 的目标是：在一个异步网络中，只要至少有 t+1 个诚实节点初始持有某消息 M（t 为恶意节点上限），就能安全地将该消息传播给所有诚实节点。作者为 n 方场景设计了一个简单、高效、信息论安全的 ADD 协议，可容忍最多三分之一的恶意节点，其通信复杂度为 O(n|M|+n^2)，其中 |M| 为消息长度。基于该 ADD 协议，论文进一步改进了多个重要原语的通信效率。在抗碰撞哈希函数假设下，提出的异步可靠广播（RBC）协议将通信复杂度从现有最佳方案的 O(n|M|+κ n^2 log n) 降低至 O(n|M|+κ n^2)，其中 κ 为哈希函数输出长度。这一改进直接提升了异步原子广播和异步分布式密钥生成（ADKG）的通信成本。此外，作者结合额外的技术，将异步可验证秘密共享（AVSS）、异步完全秘密共享（ACSS）以及双阈值 ACSS 的通信复杂度从 O(κ n^2 log n) 降至 O(κ n^2)，且无需信任任何可信设置。该工作为构建可扩展、高效的异步分布式系统提供了理论基础，尤其适合对区块链共识、PKI、密钥管理和秘密共享等场景感兴趣的读者。

本文针对 TLS、QUIC、SSH、IPsec 等安全网络协议中的长度隐藏（length-hiding）机制展开研究。此类协议在加密时允许添加填充以混淆消息长度，但协议规范未提供选择填充长度的明确指导。尽管已有研究证明消息长度泄漏可被攻击者利用（如 CRIME/BREACH），但如何最佳防御该问题在学术界仍未得到充分重视。作者在通用场景下给出了长度隐藏安全（length-hiding security）的形式化模型，并重新审视了先前 Tezcan 与 Vaudenay 关于“均匀随机抽样填充长度即可达到最优安全性”的结论。研究表明，该结论只有在攻击者仅能获取单个密文时才成立；当攻击者能够获得多个密文时，均匀随机填充的安全性显著下降，甚至可能成为最差的选择之一。作为替代，作者提出根据高斯分布（正态分布）对填充长度进行抽样，能够在相同额外开销下实现可量化更优的安全性。为了验证理论结果，作者在 CRIME/BREACH 攻击实验环境中对高斯填充与均匀填充进行了对比，实验结果显示高斯填充显著提升了覆盖或抗泄漏的能力，确认了理论预期。该工作不仅补全了长度隐藏防御的理论缺口，也为安全协议的实际实现提供了更科学、可操作的填充策略参考，推动密码学基础防御手段的改进。

该论文首次系统性地研究了函数秘密共享（Function Secret Sharing, FSS）中的访问控制问题。FSS 允许一个分发者将函数 f 的份额分发给两个或多个评估者，评估者可以在不泄露 f 本身信息的情况下，对任意输入 x 本地计算出 f(x) 的秘密份额。然而，传统 FSS 模型未验证分发者是否被授权共享特定函数。本文提出了访问控制 FSS 模型：针对函数族 F 及其上的访问控制列表，评估者在收到 f 的份额后，可以有效验证分发者是否持有该 f 的访问密钥。该模型支持多种新应用，包括多方环境中的匿名认证、私有数据库中的访问控制，以及匿名通信系统中的认证和垃圾信息防护。文中定义的形式化构造抽象并改进了近期多个系统中临时实现 FSS 访问控制的方案。其核心效率提升模块是一个基于离散对数的、支持秘密共享元素上的零知识证明（ZKPoK），该模块本身可能具有独立的研究价值。实验评估表明，在匿名通信场景中，与现有访问控制技术相比，计算开销降低了 50 至 70 倍；在私有数据库应用中，当数据库条目达到 500,000 条以上时，引入访问控制带来的摊销处理成本仅为 1.5 至 3 倍。该工作适合密码学、隐私计算、匿名通信和数据库安全领域的研究者与工程师阅读。

本文提出 Sparrow，一种面向数据并行算术电路的空间高效零知识简洁非交互式证明（zkSNARK）方案。zkSNARK 在实际部署中常因证明者空间开销过大而受限，其空间需求可能比原生计算高出数个数量级。Sparrow 首次在固定有限域上实现证明者空间开销随电路规模增长仅呈次对数因子增长，并且相对于已有的通用算术电路空间高效方案，其证明者空间渐近小于电路规模本身。核心创新是一个具有改进证明者时间的空间高效 sumcheck 论证协议，可作为独立构建块。实验针对三类用例（任意数据并行电路、乘法树、批量 SHA256 哈希）表明，Sparrow 相比目前最先进的空间高效 zkSNARK Gemini，总证明者空间减少 3.2–28.7 倍，证明者时间减少 3.1–11.3 倍。在此基础上，作者利用 Sparrow 构建了决策树训练与预测的零知识证明，其空间效率支持大型数据集和多棵树的森林。与基于 GKR 协议的非空间高效最优时间 SNARK 相比，树训练证明者空间减少 16–240 倍，同时证明者与验证者时间及证明大小几乎不变。值得注意的是，证明者所需空间仅略高于原生计算：对于 400MB 数据集，证明者空间约为原生计算的 1.4 倍。该工作显著降低了零知识证明生成的资源需求，为在资源受限环境中部署基于 zkSNARK 的隐私保护与可验证计算提供了更实际的方案。

该论文研究推测执行（speculative execution）与信息流语言中“去分类”（declassify）机制之间的相互作用。在实用的信息流编程语言中，程序员可通过 declassify 构造声明有意泄露的数据，例如从私钥计算出的签名或密文通常被信息流分析视为秘密，而密码库可用 declassify 将其公开。论文发现推测执行会导致去分类点产生非预期的信息泄露：攻击者可利用瞬态执行在错误的时间访问正确的内存位置，从而绕过常规信息流保证。作者给出了一个针对 AES 实现的 PoC，能够从标准实现中恢复密钥，该 PoC 是 Spectre 攻击的一个实例，并且在程序使用广泛使用的编译器级防护手段——推测负载加固（SLH）编译时仍然有效。为应对这些攻击，论文提出了形式化对策，包括对 SLH 的重大改进，称为选择性推测负载加固（selSLH）。这些对策能有效地强制执行相对非干涉（RNI），非正式地说，受保护程序的推测性泄露被限制为原程序已有的顺序泄露。作者在专为高保证密码学设计的 FaCT 语言和编译器中实现了最简单的对策，性能开销最多为 10%；虽然未直接实现 selSLH，但初步评估表明，与传统 SLH 相比，selSLH 能显著降低密码学函数的性能成本。该研究揭示了现有防护（如 SLH）在去分类场景下的盲区，为高保证密码学实现提供了新的形式化安全保证和可落地的加固方向。

本论文提出了一种名为 Reckle trees 的新型向量承诺（vector commitment）方案，其核心创新在于将简洁递归论证（succinct recursive arguments）与 Merkle 树相结合，从而支持可更新的简洁批量证明（updatable succinct batch proofs）。在区块链场景中，验证者常常需要针对不断更新的区块流维护证明，传统 Merkle 批量证明在叶子节点变化时需要重新计算，效率低下。Reckle trees 通过一种称为 canonical hashing 的基于哈希的累加器，将批量哈希的计算嵌入到递归 Merkle 验证过程中，使得当任何 Merkle 叶子（无论是否属于批量证明）发生变化时，批量证明可以在对数时间内完成更新，并借助存储先前递归证明的数据结构避免重复计算。此外，在足够并行度的条件下，批量证明的初始计算复杂度为 O(log n) 并行时间，且与批量大小无关。论文还进一步扩展到 Reckle+ trees，用于支持可更新的简洁 Map/Reduce 计算证明：证明者可以承诺一个内存 M，针对 M 的子集 I 生成简洁证明，并在 I 或 M 变化时高效更新证明。该研究为区块链轻节点、跨链桥、状态通道等需要高效证明维护的应用提供了新的密码学原语。

本文聚焦端到端加密（E2EE）环境下内容审核与隐私保护之间的根本矛盾。E2EE 阻止在线服务访问用户内容，这虽然保障了隐私，却使得传统的服务端明文图像感知哈希匹配（用于检测儿童性虐待材料 CSAM）无法实施。为此，密码学界提出了私有哈希匹配（PHM）方案，允许服务在不知道哈希集合具体内容的情况下匹配已知的 CSAM 图像，同时不向用户泄露哈希集，也不向服务泄露非匹配内容。然而，以 2021 年苹果 iCloud 照片中的 CSAM 检测提案为代表的 PHM 设计，引发了关于安全、隐私和言论自由的广泛批评。本文旨在通过提出新的密码学方法，实现由普通公众对 PHM 系统进行公共验证，从而推进相关学术研究与讨论。作者首先阐述了使用 PHM 检测 CSAM 的动机，以及部署中面临的重大社会与技术问题。他们将 PHM 的批评系统化为两类审计问题：对哈希集的信任和对实现的信任。论文指出，虽然仅靠技术无法完全解决这两个问题，但存在密码学上的信任提升可能。核心贡献是提出了三类新颖的密码学协议，支持对 PHM 系统进行公共验证：（1）证明外部组织批准了哈希集；（2）证明特定的合法内容不在哈希集中；（3）在发生误报匹配时最终通知用户。这些协议被描述为实用、高效，并兼容现有的 PHM 构造。读者包括密码学研究者、隐私倡导者、政策制定者以及负责内容审核平台的安全工程师。

本文研究大规模应用中的高效秘密共享方案。秘密共享是一种基础密码学原语，允许将消息分配给 n 个参与方，使得任意少于 t 个参与方的子集无法获知消息，而任意至少 t 个参与方的子集可以恢复消息。尽管该原语应用广泛，但现有方案在隐私阈值 t 较大时，消息重建算法的计算开销很高，成为实际部署的严重瓶颈。论文针对这一缺陷，提出新的秘密共享方法，旨在降低重建阶段的计算复杂度，使其适用于大规模、高阈值场景。由于仅提供摘要，具体技术细节（如基于的数学假设、具体算法设计、复杂度分析、实验对比）尚未披露，但核心贡献指向解决大规模应用中秘密共享重建效率低下的问题。适合对密码学、安全多方计算、分布式系统感兴趣的 researchers 和安全工程师阅读。

本文提出了一种称为“环推荐”（Ring Referral）的新型密码学方案，它是传统环签名（Ring Signature）的自然扩展。在传统环签名中，签名者可以从一个临时选定的签名者集合（环）中匿名地签署消息；而环推荐方案允许一个证明者（用户）从第三方签名者处获得一个签名后，公开地向验证者证明自己拥有一个由该临时授权签发者集合中某一成员签名的有效签名，同时不泄露具体是哪个签发者。该方案特别适用于需要隐藏证书的去中心化身份、隐私增强的联邦认证、匿名背书以及隐私保护的推荐营销等场景。与先前的隐藏签发者凭据方案相比，环推荐方案具备多个显著特性：(1) 在临时环上的公开可验证性，任何验证者都能检查证明的有效性；(2) 强用户匿名性，即使所有签发者和验证者合谋也无法追踪用户身份；(3) 透明设置，无需可信初始化或复杂参数生成；(4) 消息隐藏，证明过程中不暴露被签名的私有消息；(5) 高效的多消息对数可验证性，即验证多个签名的开销随消息数量呈对数增长；(6) 支持阈值方案，允许要求多个签发者共同签署才能生成有效证明。作者实现了该方案，并进行了全面的实证评估，结果表明其性能优越。该研究为去中心化身份和隐私保护认证提供了新的技术手段，具有较高的学术价值和潜在应用前景。

联邦学习（FL）是一种允许多个客户端在不共享原始本地数据的情况下，仅通过共享梯度更新联合训练模型的范式。然而梯度更新本身也可能泄露隐私。现有方法通常采用本地差分隐私（LDP）机制，在共享前由客户端本地扰动梯度，但这类方法会因添加大量噪声而严重损害模型效用。为获得更好的隐私-效用权衡，近期研究倾向于在联邦学习中应用差分隐私的 shuffle 模型，通过中间洗牌操作实现隐私放大。本文提出 Camel，一个在 shuffle 模型下通信高效且可抵御恶意敌手的联邦学习框架。Camel 突破现有工作的限制，支持对 shuffle 计算的完整性校验，实现针对恶意服务器的安全性。具体而言，Camel 基于秘密共享洗牌这一前沿密码学原语，并定制了优化系统整体通信效率的技术，还引入轻量级完整性检查来强化服务器端计算的安全性。此外，作者通过分析整个 FL 过程的 Rényi 差分隐私（RDP），推导出显著更紧的隐私损失上界。大量实验表明，与现有最先进工作相比，Camel 在隐私-效用权衡上达到更优结果，并展现出有前景的性能。该研究适合关注联邦学习、差分隐私、安全多方计算和隐私增强技术的学者与安全工程师阅读。

这篇论文提出了 RandRunner，一个面向现实系统模型的随机信标协议。随机信标是分布式计算中的基础原语，用于为拜占庭容错（BFT）协议、区块链以及更广泛的应用提供不可预测且一致的随机数源。传统随机信标通常依赖 BFT 共识协议来对随机输出达成一致，这带来了较高的复杂度和通信开销。RandRunner 的核心创新在于：它不需要 BFT 共识协议，而是通过引入一种新颖的可验证延迟函数（VDF）扩展来实现安全性。该扩展基于 RSA 设置，不需要可信设置者（trusted dealer）或分布式密钥生成（DKG），仅依赖已被充分研究的密码学假设。这种设计使 RandRunner 能够容忍恶意或故障的领导者，同时保证协议在可能存在的异步期间仍然具备安全性和活性。论文的主要贡献包括：提出了一个避免共识开销的随机信标协议；在 RSA 环境下设计了具有强唯一性的 VDF 扩展；给出了协议在异步和同步交替环境下的安全性证明（基于摘要推测）。适合对分布式随机性、可验证延迟函数、BFT/区块链底层原语感兴趣的研究人员和工程师阅读。

本文提出了一种针对交互式零知识证明（ZK）中析取语句（即多个分支子句的或）的高效证明方法。当前基于向量不经意线性求值（VOLE）的ZK协议虽已实现快速可扩展的证明，但将证明语句编译为控制流无关形式（如电路）仍然导致昂贵的证明开销。对于形如 L_1 ∨ ... ∨ L_B 的析取语句，传统ZK协议通常需要处理所有B个分支，造成计算和通信上的浪费。此前已有工作能在通信上避免全部分支代价，但计算代价仍然存在。本文的核心贡献是提出了“批处理与非批处理分支”技术（对应标题'Batchman and Robin'），在VOLE-based ZK框架下同时降低析取语句的计算和通信开销。具体而言，作者设计了两种模式：批处理模式（Batchman）通过一次性处理多个分支来摊薄公共计算，非批处理模式（Robin）则针对少量分支或特定场景灵活选择最优策略。论文通过理论分析和实验验证，展示了该方法在保持安全性的前提下显著减少证明时间和通信量，尤其适用于包含大量分支的智能合约验证、隐私保护机器学习等实际场景。实验结果表明，与现有最先进VOLE-ZK方案相比，该方法的计算开销可减少若干倍，同时通信开销与理论最优近似。本文适合对高效零知识证明、隐私计算协议设计以及区块链/L2可扩展性感兴趣的密码学和安全研究人员阅读。

本文是一篇系统化知识综述（SoK），聚焦于素数域上多项式哈希函数的高效设计与实现，并以广泛部署的 Poly1305 为主要参照对象。Poly1305 的设计理念由 Bernstein 在 2005 年前的一系列论文中奠定，但随着计算机体系结构的发展，部分原始设计特征已不再适用，而实现者逐步发现了利用这些特征提升性能的新途径。作者提出的核心问题是：如果基于当代计算机架构和应用需求重新设计多项式哈希，是否还会收敛到与 Poly1305 相同的方案？为回答该问题，作者系统收集并整理了散落在研究论文、密码学库和开发者博客中的关于多项式哈希设计与实现的知识，并开发了一个自动化框架，用于对收集到的各种设计思想进行验证和基准测试。基于这一框架，作者提出了五个新的多项式哈希函数候选设计，并为每个候选生成和评估了不同的实现与优化策略。实验结果表明，与 Poly1305 相比，这些新设计在安全性和性能两个方面均取得了实质性改进。本文不仅阐述了新设计背后的设计原理，还作为一份高效实现多项式哈希函数（包括 Poly1305 本身）的实用参考，涵盖了从算法选择、参数优化到现代 CPU 指令集利用等关键技术细节。适合密码学研究者、哈希函数实现者以及需要高性能认证加密方案的安全工程师阅读。

该论文提出了一种名为 OBI 的新型多路径不透明随机访问机（ORAM），旨在解决动态可搜索加密（DSE）中前向隐私和后向隐私保护下的效率瓶颈。动态可搜索加密允许用户在云端加密数据上进行搜索，而 ORAM 常被用来隐藏访问模式，从而实现前向和后向隐私。论文指出，现有基于 ORAM 的 DSE 方案普遍存在一个“大暂存区驱逐问题”（large-stash eviction problem）：当一次性需要读取或插入大量数据块时，传统单路径 ORAM（如 PATH-ORAM）的驱逐算法效率极低。OBI 的核心思想是在每次查询时访问多条树路径，以并行处理大规模数据块集合。作者将传统树形 ORAM 归类为单路径 ORAM，并针对多路径场景设计了两种高吞吐量的驱逐算法，在暂存区较大时，其效率比 PATH-ORAM 的驱逐算法高出数个数量级。论文从理论上证明了 OBI 在本地暂存区大小和插入效率上优于单路径 ORAM，并进行了安全性分析，表明 OBI 在强前向和后向安全模型下是安全的，能够保护搜索模式、大小模式等已知 DSE 泄漏。此外，OBI 可应用于 oblivious 文件系统和支持连接查询的 DSE 方案。实验基于 Enron 数据集，结果表明 OBI 比现有最先进的基于 ORAM 的 DSE 方案效率更高。该研究主要面向密码学、安全存储和云安全领域的研究者，为高性能隐私保护搜索协议提供了新的设计思路。

该论文提出了一种名为 Kryvos 的公开可验证电子投票系统，其核心创新在于实现了'计数隐藏'（tally-hiding）特性，即在公开验证投票结果正确性的同时，不泄露任何单个投票者的具体投票内容或中间计数信息。传统可验证电子投票系统通常需要公开所有选票或部分聚合结果来保证可验证性，这可能导致隐私泄露。Kryvos 利用先进的密码学原语，如完全同态加密、零知识证明和可验证混洗，在不暴露原始选票的情况下对外证明最终计数结果与所有有效选票一致。该系统支持多种投票规则（如多数制、比例代表制等），并提供了完整的协议规范、安全模型和实现原型。作者还通过性能评估展示了系统在合理规模选举中的实用性，尽管同态加密操作带来了额外计算开销，但通过优化可满足实际部署需求。该工作为兼顾隐私与可验证性的电子投票领域提供了重要技术方案，适合密码学研究者、电子投票系统设计者以及关注选举安全的从业人员阅读。

本文系统研究了后量子签名方案在阈值签名场景下的适用性与构造工具。阈值签名将签名密钥分散到 N 个参与者中的 T 个，只有 T 方合作才能生成合法签名，这种分布式信任模型在区块链、多方计算、密钥管理等领域有广泛应用。当前实际部署的阈值方案大多基于预量子签名（如 ECDSA），虽然高效，但在量子计算机出现后将不再安全。NIST 已就阈值签名标准发出呼吁，但现有后量子签名在阈值化改造上仍面临效率、通信复杂度和协议安全性等挑战。论文基于多种后量子密码范式——格问题、单向哈希函数、密码学群作用、同源问题以及多变量系统——对现有的阈值签名构造工具进行了系统梳理和分类。作者将工具按基础数学范式划分，并对比了不同范式下在设计 T-out-of-N 阈值方案时的优缺点。此外，论文还总结了利用全同态加密（FHE）、安全多方计算（MPC）或零知识证明（ZKP）等通用密码学原语来构建后量子阈值签名的通用途径。该分类法有助于研究者理解已有方案的设计空间，识别可复用的构建块，为后续设计和标准化工作提供参考。本文适合密码学研究者、后量子迁移工程师以及参与 NIST 标准化工作的人员阅读。由于仅基于摘要，分类和结论的具体细节需参阅原文验证。

本论文报告了 Matrix 联邦实时通信标准及其旗舰客户端 Element 中多个实际可利用的密码学漏洞。Matrix 旨在提供端到端加密的分布式通信，但其密码学核心由多个子协议和库构成。研究人员发现，尽管这些漏洞源于广泛使用且经过充分研究的密码学原语，但组合使用时却破坏了 Matrix 所声称的针对恶意服务器的保密性和认证保证。漏洞类型包括：设计上固有的不安全（insecure by design）、协议混淆、缺乏域分离（domain separation）以及实现缺陷。这些漏洞分布于 Matrix 和 Element 的不同子协议及库中，覆盖面广。攻击者若控制服务器，可利用这些漏洞读取或篡改通信内容，或伪造身份，从而完全瓦解端到端加密的预期安全属性。论文强调，这类问题并非由于使用弱密码算法，而是协议设计和实现层面的系统性缺陷。作者呼吁对 Matrix 标准的密码学部分进行系统化和形式化的安全分析，以发现类似问题并改进标准。该研究适合密码学研究者、安全审计人员、即时通讯协议设计者以及依赖 Matrix 或类似联邦通信系统的组织阅读，以了解大型复杂协议中密码学集成的潜在风险。

该论文提出了一种名为 Kestrel 的静态分析方法，用于在剥离符号、静态链接和优化后的二进制文件中识别标准化的基于格的抗量子密码算法 ML-KEM 和 ML-DSA。当前缺乏从编译后的二进制代码验证量子脆弱算法是否已被批准的量子安全算法替换的方法；现有密码发现工具依赖符号、库依赖和运行时行为，但这些信号在剥离和优化后均会失效。Kestrel 通过检测依赖的只读数据中的数论变换（NTT）常量表来定位算法，这些常量表是算法算术运算的基础。Kestrel 从公开的方案参数中提取指纹，并通过归一化和多重集匹配进行定位，同时在数学上分析了误报概率。实验在四种独立的实现谱系和所有构建变换（包括编译器级混淆）上，实现了 128/128 的召回率和零误报。在包含 6224 个二进制文件的生产 Linux 系统上应用 Kestrel，发现了 12 个未编目的包含 ML-KEM 的程序，其中包括 OpenSSH 密钥交换程序和容器管理栈；在一些程序中，抗量子代码是通过语言运行时进入生产环境的，而分发它们的项目并不知情。Kestrel 能够区分真实的抗量子实现与没有底层代码支持的宣传声明，将每个检测归因于其原始代码库，并在取证磁盘镜像试验中，从已删除二进制无法重建的未分配空间中恢复出一个检测结果。因此，Kestrel 为密码迁移保证、软件供应链检查和抗量子取证审查提供了实用基础。

本文是一篇关于计算机辅助密码学（Computer-Aided Cryptography）的系统化综述（SoK），旨在梳理该领域的研究进展与应用边界。随着密码学协议和实现日益复杂，传统手工分析与测试难以保证安全性与正确性。计算机辅助密码学通过形式化、可机器检查的手段，贯穿密码设计、分析和实现的全生命周期。论文将现有文献划分为三大方向：一是设计级别的安全性，包括符号安全模型（如Dolev-Yao）与计算安全模型（如可证明安全），以及如何通过自动化工具验证协议属性；二是功能正确性与效率，确保密码算法或协议实现符合规范且高效；三是实现级别的安全性，重点研究数字侧信道（如时序、功耗）的抵抗能力。针对每个方向，论文厘清了计算机辅助密码学的作用与局限性，并给出了现有工具的详细分类，从精确度、适用范围、可信度和可用性等多维度进行对比。随后总结了各方向的代表性成果、设计权衡和开放研究挑战。在案例部分，论文先探讨如何组合不同工具以覆盖更多安全属性，再回顾TLS 1.3标准化过程中社区使用形式化工具的经验。最后，作者向论文作者、工具开发者和标准制定机构提出了具体建议，以促进该领域更好地服务于密码工程实践。

本文研究多方隐私集合交集（Multiparty Private Set Intersection）在恶意敌手模型下的安全协议设计问题。隐私集合交集允许多方在不泄露各自集合内容的前提下计算交集，是安全多方计算中的基础问题，广泛应用于社交网络好友匹配、基因数据共享、威胁情报共享等场景。现有协议在恶意敌手下通常需要高开销的零知识证明或公钥密码学操作，效率较低。本文首先指出，在可假设被腐化方之间不共谋的条件下，存在仅使用对称密钥原语的极其高效的协议，这大幅降低了计算和通信开销。随后，作者提出了一个更健壮的协议，能抵抗任意严格子集被腐化且无需共谋假设的安全性要求。该协议基于最近提出的两种原语：不可编程模糊PRF（Oblivious Programmable PRF, OPPRF）和不可编程键值存储（Oblivious Key-Value Store, OKVS）。通过这两种原语，协议能够在恶意敌手存在时保持输入隐私和输出正确性，同时避免了传统公钥密码的高昂成本。文中详细描述了协议构造，并给出了安全性证明。虽然本文是理论性研究，但其结果对需要安全多方计算的真实系统具有潜在的工程意义，尤其是对效率敏感的应用场景。读者可以从中获得关于如何利用 OPPRF 和 OKVS 构建高效恶意安全协议的设计思路。注意：本摘要仅基于论文摘要生成，未阅读全文，因此细节可能有省略。

本文对现代证明系统中弱 Fiat-Shamir 变换的应用风险进行了系统的理论与实证研究。Fiat-Shamir 变换是一种将交互式公开币协议转换为非交互式协议的标准方法，广泛用于现代证明系统，尤其是加密货币领域。过往研究已表明，弱 Fiat-Shamir 变换（即未正确使用哈希函数来模拟验证者的随机挑战）可能导致经典协议（如 Schnorr 离散对数证明）被攻破，但对现代部署中的证明系统风险知之甚少。作者通过大规模开源实现调研，发现 30 个弱 Fiat-Shamir 实现，影响 12 个不同的证明系统。针对其中四个系统——Bulletproofs、Plonk、Spartan 和 Wesolowski 的 VDF——作者设计了新的知识可靠性攻击，并提供了严格的正确性证明。此外，作者对使用这些脆弱实现的应用进行了案例研究，展示在私有智能合约平台中，弱 Fiat-Shamir 漏洞可能导致无限铸造货币。最后，文章讨论了可能的缓解措施，并总结了对学术界和从业者的启示。该研究填补了现代证明系统中 Fiat-Shamir 误用风险的知识空白，强调了正确实现协议转换的重要性，对依赖这些证明系统的安全关键场景具有直接警示意义。

该论文提出一个名为 Achilles 的形式化框架，用于系统评估和利用 Rowhammer 故障注入攻击从签名方案中泄露秘密。签名方案是网络安全基础设施的基础组件，虽然它们在数学上被设计为抗密码分析攻击，但易受 Rowhammer 硬件故障注入的影响。现有攻击大多针对特定签名方案的个别参数，缺乏通用性和系统性，因此 Rowhammer 对签名方案整体影响尚不明确。Achilles 框架描述了一个形式化流程：首先对广义签名方案 G-sign 的关键参数注入 Rowhammer 故障，然后进行故障后分析以恢复秘密。该框架不仅可用于已研究方案中寻找更脆弱参数，还能发现可能易受攻击的新方案。为验证其有效性，作者评估了六种签名方案，覆盖传统和后量子密码体系，基于不同数学问题，并分配了五个 CVE 以跟踪相应的 Rowhammer 漏洞。分析结果表明所有六种方案均被证明易受攻击，且为 EdDSA 识别出两个新的脆弱参数。此外，作者利用包括 wolfssl、relic 和 liboqs 在内的现代密码库，对其中三种方案成功实施了 Rowhammer 攻击。该研究的主要贡献在于提供一个系统化、形式化的框架来分析和评估签名方案的 Rowhammer 脆弱性，弥补了以往攻击的零散性，并揭示了硬件故障注入对密码实现的广泛威胁。

本文研究可编辑区块链（redactable blockchains）中的认证数据结构构造问题，并提出了新的后量子安全工具。传统区块链具有不可篡改性，但这一特性在某些场景（如数据合规、被遗忘权、恶意内容删除）中成为障碍。可编辑区块链允许在保持数据完整性和安全性的前提下对区块内容进行修改，但其核心挑战在于如何设计同时支持高效验证和可编辑操作的认证数据结构，并确保攻击者无法伪造或恶意篡改。本文提出了一种基于多元多项式方程（组）的单向函数构造方法：在该构造中，反转单向函数等价于求解一个或多个变量的多项式方程。众所周知，目前没有已知的量子算法能高效求解此类问题（在参数选择合理的情况下），因此该构造具备后量子安全性。作者强调，这是为可编辑认证数据结构开发的新工具，区别于现有依赖整数分解或离散对数的经典假设，也不同于基于格或哈希的已有后量子方案。该方法的优点是安全性归约直接且可证明，且多项式方程求解的复杂性提供了可调节的安全参数。由于本文目前仅有摘要，尚不清楚其具体协议细节、性能开销、以及实现可行性，但其思路为后量子安全区块链数据管理提供了新的理论方向。该研究适用于对区块链数据治理、合规删除和历史记录修正有需求的安全研究者与系统设计者。

本文研究带结构噪声的奇偶校验学习问题（LPSN），该问题可归约为求解非线性布尔系统。在量子计算中，此类系统通常被转化为 Macaulay 线性系统，并借助量子线性系统算法求解，但该过程严重受制于条件数（condition number）。为克服这一瓶颈，作者提出一种针对 Macaulay 线性系统的全新归约方法。在 Ding 等人的假设下，他们推导了一个包含缩放因子的条件数下界，该归约不仅保证了高效的量子态制备，还相对于归约后的右侧向量展现出条件数区间上的显著优势，从而降低了条件数的下界并优化了求解布尔系统的量子算法时间复杂度的上界。此外，将该改进的量子算法应用于 LPSN，利用 Macaulay 系统的解结构可显著降低样本复杂度。作者进一步给出逻辑级量子资源估算，证明优化条件数可直接转化为电路宽度、深度和门数量的减少。最后，他们通过系统比较量子与经典方法在噪声模式适应性、样本复杂度和时间复杂度方面的表现，建立了算法选择策略，结果表明在特定参数区间内该量子算法具有超越经典算法的潜力。

本文提出了一种名为 BEC-Trap 的新型密码构造，全称 Borromean-Entangled Chameleon Trapdoor Hash All-or-Nothing Stream Cipher。该构造将 Borromean 环相互依赖结构、变色龙陷门哈希的可控碰撞特性，以及流密码的加密机制融合为一个统一框架。核心思想是将密钥（K）、初始化向量（V）和内部状态（St）以 Borromean 方式链接：在数学上，三者相互依赖，任何对其中一个分量的破坏、猜测或移除都会导致整个密钥流崩溃，从而实现计算意义上的“全有或全无”（All-or-Nothing）安全性——即攻击者无法在不破坏整体结构的情况下恢复任何部分信息。此外，通过集成变色龙陷门哈希，系统允许授权方在不知道原始参数的情况下构造碰撞，从而在不重新同步端点的情况下执行无缝的密钥轮换、初始化向量刷新和内部状态迁移，解决了传统流密码在动态环境中难以进行密钥管理的痛点。该设计提供了保密性、前向保密性和自适应密钥管理能力，同时计算开销较低。作者在抽象中声称，安全性分析表明该构造能够抵抗密钥恢复攻击、状态泄露和失同步攻击。该方案面向高速安全消息传递、物联网通信、隐私保护区块链通道等场景，为下一代安全通信协议提供了潜在的密码学原语。

本论文是一篇关于 zk-SNARKs（零知识简洁非交互式知识论证）的系统性综述（SoK）。zk-SNARKs 是证明计算正确性的强大密码学工具，吸引了研究人员、开发者和用户的广泛兴趣。然而，其复杂性导致不同群体之间存在认知与应用上的鸿沟：研究者专注于构造更高效、具备更强安全性和新属性的证明系统，而开发者和用户则更关心工具链的易用性、兼容性和实际部署。论文旨在弥合这一差距，从理论到实践对 zk-SNARKs 进行全面的梳理。作者首先提出一个“主配方”（master recipe），将程序转换为 zk-SNARK 的主要步骤统一为一个流程，包括程序编译为约束系统、多项式承诺、证明生成与验证等关键环节。随后，他们根据关键技术对现有 zk-SNARKs 方案进行分类，重点关注在实际应用中具有价值的属性差异。论文调查了自 2013 年以来的 40 多个 zk-SNARK 方案，并提供一张综合参考表，列出它们的类别和性质。接着，论文调研了 11 个通用且广泛使用的 zk-SNARK 开源库，详细分析了这些库的可用性、兼容性、效率以及局限性。由于安装和执行这些系统往往具有挑战性，作者还提供了一个完全虚拟化的环境，用于运行每个库的编译器，以降低复现和评估的门槛。通过对比学术界和工业界的关注点，论文发现：密码学研究的主要焦点是证明系统本身，而工业界的瓶颈则出现在约束系统的构建与优化上。为了弥合这一差距，作者提出了具体建议，并倡导开源社区加强文档编写、标准化建设和跨库兼容性。本文为该领域的从业者（包括安全工程师、研发人员和学术研究者）提供了宝贵的参考资料，有助于理解 zk-SNARKs 的设计空间、实际实现中的权衡以及未来发展方向。

本文提出一个用于设计可证明安全的隐写术（Steganography）的通用框架。隐写术是将秘密信息嵌入到看似无害的载体数据（如图像、文本、网络流量）中，以实现隐蔽通信的技术。传统隐写方法往往依赖启发式或经验性设计，缺乏严格的安全保证，容易被隐写分析（Steganalysis）检测或破解。该论文的核心贡献是建立了一个理论化、模块化的设计框架，使得所构造的隐写方案能够在信息论或计算复杂性假设下被证明满足给定的安全属性（例如不可区分性、不可检测性或鲁棒性）。框架将隐写过程分解为编码、嵌入、传输和解码等阶段，并定义各阶段应满足的数学条件，进而通过形式化推理确保整体方案的安全性。文中可能基于密码学原语（如伪随机生成器、对称加密）或信息论熵模型来构建证明，具体技术细节需参阅原文。该工作适合密码学与信息安全理论研究者、以及需要开发高安全性隐蔽通信或反隐蔽分析技术的从业人员阅读。由于仅提供摘要，未包含实验或实例验证，因此具体安全性的可达性和效率指标需以完整论文为准。

本文提出并系统化研究了广义负债证明（Proof of Liabilities, PoL）这一密码学原语。传统上，PoL 用于金融机构向公众证明其负债总额，以体现偿付能力，但作者指出其应用场景远不止金融领域，还包括透明与隐私保护的捐赠审计、基于反对票的新型投票机制，以及如 COVID-19 每日病例数等官方报告的公开可验证。这些场景的共同激励特征是：证明者没有动机虚增自己的负债总量，因此可以通过密码学手段在不泄露具体明细的前提下，向验证者证明某个汇总数值的正确性。论文首次尝试从安全、隐私和效率三个维度，为广义 PoL 设定标准化的目标，并据此设计了一个具体方案 DAPOL+。DAPOL+ 扩展了当前最先进的 DAPOL 协议，但提供了可证明的安全性和隐私性，并通过基准测试展示了其实用性。此外，作者还探索了针对不同应用场景可能需要的附加功能，例如如何支持更灵活的证明结构，并分析了方案失效的渐近概率。该研究为将 PoL 从金融领域推广到更广泛的公共可验证场景提供了理论基础和工程参考。适合密码学研究者、隐私保护技术开发者以及需要设计可验证统计或审计系统的安全工程师阅读。

该论文是一篇系统化知识（SoK）研究，聚焦于密码学实现中的常数时间编程模式——这是抵御计时攻击的主要防御手段。然而，学术界和工业界对“常数时间”的定义并不统一，导致模型保护范围与规格假设之间长期存在脱节。论文系统梳理了常数时间模型的演变，识别出一个反复出现的缺口：模型所保护的属性并不总能覆盖规格中隐含的安全要求。作者进一步提炼出一套攻击性方法论，用于发现源自密码学原语边界之外的计时漏洞。应用该方法，他们定位到一个与私钥加载相关的规格级漏洞，并在OpenSSL和BoringSSL中实际确认了该信息泄露。反直觉的是，尽管BoringSSL采用了更严格的安全威胁模型，其每个观测的信号强度反而比OpenSSL高出多个数量级。该贡献不仅揭示了常数时间建模中的盲区，还展示了规范层面缺陷如何绕过实现层的防护。适合密码学库开发者、安全研究者和系统安全分析师阅读。

本文提出了一种高效的两方协议，用于对数据集盲目地应用任意（可能是随机的）线性群作用。该协议能够涵盖多种应用场景，如盲目洗牌、循环移位、矩阵乘法等。其显著特点是：在完成与输入无关的离线计算阶段后，在线计算阶段可以实现回合最优（即单轮）的通信。所提出的盲目洗牌协议是首个达到在线阶段回合最优的方案。最有效的实例化是在客户端辅助的客户端-服务器设置中实现的：离线阶段由半诚实的输入方（客户端）执行，并将生成的关联随机性分发给计算方（服务器）。在运行总时间方面，与Chase等人（Asiacrypt 2020）提出的最优两方盲目洗牌协议相比，本方案在LAN和WAN环境下分别最高提速105倍和152倍。此外，作者还展示了如何将Chase等人的协议修改以适应客户端辅助设置，但即使如此，本方案在在线阶段仍快2倍，平均总时间快1.34倍。该研究为安全多方计算中的常见操作提供了更高效的协议设计方案，有助于降低计算和通信开销，推动隐私保护技术的实际应用。

本文提出了一种名为 Vaulted Passkeys 的设备绑定凭证架构，旨在解决硬件认证器（如 FIDO2 安全密钥）在丢失、损坏或需要受控迁移时，私钥无法导出导致的恢复难题。现有通用做法是在设备故障前注册额外的认证器，但这本质上是冗余而非原始凭证的备份，且要求用户预先持有替代硬件。论文的核心思路是在源设备可用时导出受保护的凭证状态，并在之后将其恢复到新获取的硬件中，同时避免克隆完整认证器或将明文私钥暴露给桌面软件。具体技术上，Vaulted Passkeys 使用一个随机的 256 位密钥 Kvault 保护 PKV1 凭证信封，通过 HKDF 分离派生密钥，并定义了四种显式 AEAD 加密方案。架构上将注册流程与导出/导入流程分离，并区分必需的保险库与可选的身份标识。论文贡献包括：角色分离的系统模型、线格式规范、威胁分析、实现映射以及可证伪的评估计划。原型实现验证了可行性，但作者明确指出这并非正式的安全证明，也不是最终标准提案。适合对设备绑定凭据、可移植认证和密码学协议设计感兴趣的安全研究人员与标准制定者阅读。

本文提出一种针对分布式账本中最大可提取价值（MEV）机会的防御机制。MEV是指区块生产者（如矿工或验证者）通过重排、插入或剔除交易来提取额外价值的能力，长期以来对区块链的公平性和用户资金安全构成严重威胁。核心思想是在交易生成过程中强制施加可验证的延迟（Verifiable Delay），使得当一笔交易被构造时，其生效时间被有意推迟，从而使区块创建者无法及时对最新出现的MEV机会作出响应——任何试图抢先交易或操纵排序的行为都会因延迟而破坏链的活性（liveness）。作者在拜占庭容错（Byzantine）模型和理性参与者的博弈论模型下均给出了积极结果，证明该机制在理论上可行；同时，他们也推导出负面界限，指明了此类防御策略在天性能力上的局限性。文章进一步探索了可验证延迟函数的实际部署细节，并利用历史MEV数据进行了评估，结果显示该机制能够现实地抵御大多数现有MEV威胁。整体而言，这项工作为MEV防护提供了全新的设计范式，兼具理论深度和工程参考价值，适合区块链协议开发者、DeFi安全研究者以及共识机制设计者阅读。

本文提出 MatRiCT+，一个基于后量子格假设的实用型区块链隐私支付协议。该工作建立在 Esgin 等人于 ACM CCS 2019 发表的 MatRiCT 协议之上，整体遵循门罗币（Monero）中使用的 Ring Confidential Transactions（RingCT）思路，旨在为隐私保护加密货币提供可抵御量子计算攻击的高效方案。与 MatRiCT 相比，MatRiCT+ 在典型交易场景下实现了 2 至 18 倍的证明长度缩减（具体取决于输入账户数量 M），并实现了 3 至 11 倍的运行速度提升。其关键优势在于证明长度对输入账户数量 M 的依赖仅为对数级别（O(log M)），而 MatRiCT 的证明长度与 M 成线性关系。为支撑这一效率，作者设计了多种新颖技术来构造紧凑的基于格的零知识证明系统，充分利用了实际格密码中常用的 2 的幂次分圆环的代数性质。此外，作者还通过一种称为 partition-and-sample 的技术设计了一族“最优”挑战空间，该挑战空间具有最小 l1 范数，并且挑战差值以压倒性概率可逆，同时支持高分裂的 2 的幂次分圆环。作者认为这些结果具有广泛的适用性和独立的研究价值。本文的核心贡献在于：1) 提出更高效的后量子区块链隐私支付协议；2) 设计了紧凑的格基零知识证明协议；3) 提出最优挑战空间构建方法。适合对后量子密码学、区块链隐私保护、零知识证明方向感兴趣的研究人员和工程技术人员阅读。

隐私保护支付系统在理论上已相当成熟，但在中心化数字货币（CBDC）、机构稳定币及其他合规支付基础设施等受监管场景中的采用，长期受制于其对非法活动可能被滥用的担忧。监管机构通常依赖识别、追踪和阻止犯罪者的一系列互补措施来打击金融犯罪，其中“追踪”是关键手段之一：当执法机构基于外部证据怀疑某用户涉嫌洗钱等犯罪时，会通过账本追踪该嫌疑人的资金流向，以发现洗钱路径和同伙。然而，现有文献提出的追踪方案赋予当局无限制的能力：一旦启动追踪，追踪行为会在整个交易图中传播，或持续作用于该用户的所有未来交易，最终可能导致整个账本的去匿名化。这种追踪是否保持定向和临时，完全依赖当局的善意或委员会的诚实，缺乏结构性保障。针对这一问题，本文引入了“短暂硬币追踪”（Ephemeral Coin Tracing, ECT）原语。ECT 的核心思想是：追踪能力在构造上就被严格限制，既限制同时被追踪的用户数量，也限制每条追踪痕迹存活的跳数。当局发行的追踪标签会在每一跳后衰减；经过协议规定的跳数后，标签会坍缩为与未标记硬币不可区分的值。在追踪周期内，这种限制是绝对的：无论当局动机如何，都无法使标签超过其预算继续存活。文章形式化定义了 ECT 及其安全性和隐私性保证，并给出了两种基于不同加密原语的具体构造：一种基于指数 ElGamal 加密，另一种基于 Damgård–Jurik 加密。该研究为受监管支付系统中的隐私与合规平衡提供了一种可证明安全的折中方案。

本文提出了一种基于复杂性理论构建空间证明（Proof of Space, PoS）的新框架。空间证明由Dziembowski等人于CRYPTO 2015引入，是一个两阶段协议，允许证明者向高效的验证者证明其已分配大量持久性内存来存储某些信息。现有所有PoS协议的安全性通常仅在随机预言机模型或特定临时密码学假设下得到证明。本文旨在减少对随机预言机的依赖，通过结合去随机化假设与密码学假设来构建PoS。作者给出了一个基础性框架，并提供了几个简单实例化。主要结果显示：在假设(a) E=DTIME[2^{O(n)}]对指数规模非确定性电路困难（该假设此前用于证明AM=NP），以及(b)存在抗碰撞哈希函数的条件下，可以构造非平凡的空间证明。此外，若进一步假设(c)存在针对P的SNARG（简洁非交互式论证），则可构造具有近乎最优参数和交互模式的空间证明。该工作将空间证明的安全性基础从随机预言机模型拓展到更广泛的复杂性理论假设，属于理论计算机科学与密码学交叉领域的贡献。适合对密码学基础、去随机化理论以及区块链中资源证明机制感兴趣的研究人员阅读。

在本文中，作者围绕着后量子密码中同源密码学的发展进程，特别是SIDH及其衍生变体的性能问题展开研究。SIDH曾因密钥尺寸小、运算速度快而被视为极具潜力的同源密钥交换方案，并成功进入NIST后量子密码标准化的第四轮备选名单。然而，Castryck和Decru在2022年提出的密钥恢复攻击显示，SIDH在经典计算模型下可以在多项式时间内被破解，这一致命缺陷导致其被标准化流程除名。为了修复该安全问题，学界提出了多种SIDH变体，例如MSIDH、MD-SIDH以及二/三进制SIDH（bin/terSIDH），但这些方案在安全性增强的同时引入了较大的性能开销，实际部署困难。针对这一现状，Basso和Maino在Eurocrypt 2025上提出了POKE——一种利用高维同源构造的公钥加密方案，它在保留SIDH式简洁性的同时，通过提高维数规避了原攻击。本文首次将POKE从加密方案改造为可交互的密钥交换（KEM）协议，并针对NIST安全级别I开展了系统的性能基准测试。测试对象包括M-SIDH、terSIDH和CSIDH。实验数据表明，基于POKE的KEM在运行速度上比terSIDH快约21.21倍，比CSIDH快约64.97倍，在同类同源算法中表现突出，被作者认为是当前最有前途的同源密钥交换候选方案。该研究不仅呈现了POKE的实际性能优势，也为后续后量子密码算法的选型和工程落地提供了关键参考。

该论文针对去中心化安全群组消息传递中的密钥协商问题展开研究。现有安全群组消息协议通常假设一个中心化网络模型，所有消息通过单一服务器路由，并且该服务器被信任为群组状态更新提供一致的全序关系。然而在去中心化网络中不存在这样的中央权威，因此需要重新设计密钥协商机制。作者提出了去中心化连续群组密钥协商（DCGKA）这一新的密码学原语，它构成去中心化安全群组消息协议的核心。论文给出了DCGKA协议的一个实用构造，并证明了其安全性。该协议能够应对移动设备频繁离线、群组成员动态添加与移除、以及长期会话中设备被攻破等实际威胁。在设备泄露情况下，协议实现了前向保密和后向（泄露后）安全。作者还描述了如何从DCGKA构建完整消息协议，并通过原型实现评估了性能，展示了其实用效率。这项工作为无中心权威的端到端加密群组通信提供了理论基础和可行方案。适合对安全消息协议、密码学原语设计、去中心化系统感兴趣的网络安全研究人员阅读。

该论文系统化地研究了一类反复出现的密码系统安全漏洞：规范化失败（canonicalization failures）。核心问题在于，密码系统底层处理的是字节流，但语义上表达的是对象；从对象到字节的编码映射往往不是唯一的。当哈希、签名、重放保护或共识身份等机制依赖某种表示形式时，这种非唯一性就打开了一个攻击面。作者指出，这类失败在不同生态系统中被独立发现并各自命名，如交易可延展性（transaction malleability）、非确定性值编码（non-deterministic value encoding）、消息可延展性、哈希链可延展性等，但缺乏一个跨生态系统的共同根因视角。论文的主要贡献不是首次发现该现象，而是三点：第一，按表示机制（representation mechanism）而非受影响系统对这些分散案例进行系统化分类，证明它们都是同一个违反唯一性条件的实例；该条件沿两个方向被违反——一个对象存在多个有效编码（对象侧多表示），或多个对象共享一个编码（代码侧语义坍缩）。第二，将经典的规范化安全与表示论和可计算性理论基础建立联系，为理解该漏洞类提供形式化框架。第三，将理论转化为可操作的预防性审查流程，包括规范化义务（canonicalization obligation）、逐步审查步骤、字段类型分类以及操作边界模型，使安全人员能够在设计阶段识别此类风险。论文通过实际案例验证了该漏洞类，并与其容易混淆的、非表示类的安全事件划清界限。作者刻意保持了论述的可验证性：强制唯一性可以降低该类失败的可利用性，但不能替代其他安全防护措施，也不构成对狭义密码安全性的保证。本文适合密码协议设计者、区块链开发者、安全审计人员以及关注系统化漏洞研究的学者阅读。

本文提出 HOPSCOTCH，一个基于 Lean 4 的框架，用于机械化计算可靠的、基于游戏的安全证明。安全定义被表达为有状态概率预言机之间的不可区分性，证明过程遵循标准的游戏跳跃范式。HOPSCOTCH 采用浅嵌入方式，预言机和归约都是普通的 Lean 定义，从而能够直接与 Lean 生态系统集成，包括 Mathlib 中的一般数学理论（如有限群论）。在 HOPSCOTCH 中，游戏跳跃证明被表示为一个显式的形式化对象，其构造子对应于游戏跳跃论证的标准步骤，使得证明更易于构造、自动化和检查。作者证明了一个通用计算可靠性定理，该定理通过针对所使用假设构造归约，并推导出任何区分器优势的具体上界，来解释这些证明对象。预言机之间的观测等价性通过状态抽象方法论建立：一种简单而强大的方法，支持添加或遗忘状态、将急切采样替换为惰性采样等变换。框架通过以下形式化证明加以展示：加密后认证（encrypt-then-MAC）的 IND-CCA 安全性、基于 DDH 假设的 ElGamal 加密安全性、从一次性保密性到公钥 IND-CPA 安全性的蕴含关系，以及 GGM 伪随机函数构造。据作者所知，最后一项是非恒定深度 GGM 的首个机械化证明。该工作主要面向对密码学形式化验证、定理证明器在安全协议分析中的应用感兴趣的研究人员，也适合希望构建可审计安全证明的系统开发者。核心贡献在于将游戏跳跃证明转化为可互相操作的形式化对象，并通过状态抽象简化证明过程，同时保持了与既有数学库的兼容性。

该论文针对现代软件系统中加密资产缺乏结构化可见性的问题，提出了一种静态发现与评估方法。作者首先提出了加密材料、加密工件和加密调用的分类体系，并据此推导出可扩展的、与扫描器无关的规则库。然后实现了一个静态扫描器，应用这些规则生成面向CBOM（加密物料清单）的输出。评估分为两部分：在已知真实结果的合成基准上，资产发现的F1分数达到0.75，且能正确标注91%的预期弱点和漏洞；在包含十个部署服务的真实环境中，扫描器在六分钟内处理了57,610个文件，发现了370个加密资产，其中包括六个与CVE相关的漏洞和52个后量子迁移候选。由于真实环境的覆盖度是依据人工编制的参考清单而非穷举清单评估，结果具有实际意义。实验表明，基于分类驱动的静态发现能够为安全治理和后量子迁移规划提供实用的加密透明度。该工作的核心贡献在于建立了一套统一的加密资产分类体系和规则库，使得静态分析可以系统性地识别加密相关组件，帮助组织了解自身加密使用情况。适合软件工程、安全治理、后量子密码迁移规划相关研究人员和实践者阅读。

该论文研究了Gold几乎完全非线性（APN）函数 x→x^3 的一种自然标量迹积切换（trace-product switching）在所有偶数维度下的完整分类。APN函数在密码学中具有重要地位，常用于构造S盒以抵抗差分密码分析。作者证明了非平凡切换仅在维度 n=4,6,8 时出现，并给出了对应的系数集合：分别为非零迹零元素、乘法阶为9的六个元素以及有限域 F_4 的非零元。对于所有 n≥10 的偶数维度，不存在非零系数可行。无穷维度的排除依赖于Fermat三次曲线上的加法特征估计，同时为 n=10,12 提供了精确的有限过渡。n=6,8 时的原始系数列表已在Arshad的论文中出现，但本研究的贡献在于给出了其内在描述、适用于任意维度的统一证明以及由此得到的维度刚性定理。此外，论文还分类了维度八下的归一化秩二扩展，通过 P^1(F_4) 描述。一个二进制迹选择器在每个非基点投影点接受两个系数值，八个接受的标记切换恰好形成两个扩展仿射类，因此对应两个CCZ类。作者提出了一种不依赖于中心点的低秩导数判据，将每个秩 r 候选者简化为 2^r-1 次对预计算禁忌集的成员关系测试。最终涉及的全局APN类此前已知，而研究结果刻画了它们在Gold中心附近的局部组织，并排除了该切换机制在更大偶数维度中的可能性。该论文面向对有限域、APN函数及密码学S盒设计感兴趣的数学与信息安全研究者。

本文针对物联网（IoT）设备中加密密钥易被物理攻击提取的安全问题，提出了一种基于替换-线性变换（Substitution-Linear Transformation, SLT）密码的白盒加密框架 WBSLT。在典型的 IoT 环境中，设备常使用 AES 等对称加密算法保障通信安全，但由于资源受限，设备往往采用预共享密钥机制，且无法频繁更新密钥。当攻击者获得设备完全控制权时，可以通过物理分析或利用协议中的密钥暴露环节（如 LoRaWAN 的 OTAA 密钥分发过程、BLE 的简单功耗分析 SPA）提取密钥，导致所有使用该密钥加密的数据泄露。白盒密码技术通过将加密运算转换为受保护的查找表，使密钥不直接出现在内存中，从而有效抵御这类攻击。WBSLT 框架旨在为 SLT 类密码提供一套白盒化实现方案，其核心贡献包括：设计一种将轮运算转化为查找表的方法、提供针对白盒环境的混淆与保护机制、并可能包含性能优化与安全性分析。由于本文仅提供摘要，无法获知具体算法细节与实验数据，但该研究为在资源受限的 IoT 设备中安全部署加密算法提供了新途径，具有重要的理论价值与实践意义。

本文针对现有安全消息应用中认证密钥交换（AKE）协议的一个根本性缺陷：传统AKE只验证终端中存储的随机密钥（对应已认证公钥）是否存在，而无法确认使用该应用的合法用户身份。为此，作者提出了一种基于生物特征认证的密钥交换（BAKE）框架。该框架的核心思想是从用户生物特征中直接派生秘密密钥，且无需在终端持久存储该密钥，从而避免生物特征数据库泄露风险。为了在保护生物特征隐私的同时实现单轮密钥交换，作者设计了非对称模糊封装机制（AFEM），该机制利用从生物特征秘密密钥派生的公钥封装消息，只有相近的私钥才能解封装，从而容忍生物特征采集时的噪声。论文进一步针对两类生物特征（虹膜和指纹）分别给出了两种AFEM具体实例，并对其安全性进行了分析，通过大量实验展示了BAKE的性能表现。整体上，该研究为安全消息应用提供了一种将用户身份与密钥绑定、同时兼顾隐私和效率的新思路。

本研究提出一种新颖的物理侧信道攻击方法，能够从设备电源指示 LED 的视频录像中提取加密密钥。传统侧信道攻击通常要求物理接触或侵入性测量，而本文仅借助标准视频摄像机（如手机摄像头、监控摄像头）即可实现。核心原理在于：设备内部进行加密运算时，CPU 功耗会随处理的数据和指令变化，导致供电电压微小波动，进而引起电源 LED 的亮度发生极微弱的闪烁。虽然肉眼无法察觉，但现代 CMOS 图像传感器（如卷帘快门模式）可以通过像素的微小明暗变化捕捉这些信号。作者分析了 LED 亮度与功耗之间的相关性，并利用信号处理和机器学习技术从视频帧序列中恢复出密钥比特。实验中，他们在多种设备（如智能卡读卡器、嵌入式设备）上成功从手机 60fps 视频中提取出 RSA 和 AES 密钥，验证了攻击的现实可行性。该研究揭示了物理隔离并不能完全防止密钥泄露，为安全设计提供了新的威胁模型。论文的贡献在于首次系统化地论证了通过普通视频摄像头即可实施此类攻击，并提出了相应的信号提取流程。适合关注侧信道分析、物理安全和物联网安全的研究人员阅读。

该论文提出 CryptoProver，一个基于人工智能的系统，用于自动合成密码学库的内部规范，并生成经过 Verus 验证的证明。研究背景是：密码学代码是关键基础设施，必须正确无误，但现有形式化验证生产库仍然困难。已有的基于语言模型的证明系统只能解决给定规范和前提的孤立义务，无法完成整个生产库的验证。CryptoProver 从高级 API 契约出发，在不改变可执行代码的前提下，自动合成内部规范（internal specifications）和 Verus 检查过的证明。实验证明，CryptoProver 成功对 curve25519-dalek 构造了一个新的独立证明，并针对 RFC 8439 规范验证了 RustCrypto 中此前未经验证的 chacha20 实现。这些密码学库被部署在 Signal 和 Shadowsocks 等系统中，其中 Signal 的全球下载量估计为 2.18 亿次。作为对照，由人类主导的 curve25519-dalek 独立验证历时八个月，由五位主要贡献者公开开发。在给定 API 契约和固定的可信库（包含域规范、算术事实、公理和 vstd）后，CryptoProver 在 11.4 小时内合成了内部规范和证明，记录的 API 成本为 466.99 美元。CryptoProver 遵循信任优先的设计原则：机械门（mechanical gates）拒绝削弱规范、虚构公理和跨模块破坏，而隔离机制阻止参考证明的检索（包括从 git 历史中检索）。该工作展示了 AI 在自动化密码学代码形式化验证方面的潜力，有望降低人工验证成本并提高验证覆盖率。适合对形式化验证、AI 辅助代码分析以及密码学库安全保证感兴趣的从业者阅读。

本论文提出了一种统一的跨领域研究方法：寻找既有结论中未被察觉的隐含假设，将其显式化为一个可变参数，然后证明当该假设被移除后，结论会发生什么变化。作者将此方法的形式化核心称为“动态句法不变性原理”（Dynamic Syntactic Invariance Principle），其内容为：一个已知的静态不可达性结果，在系统规则随时间演化时依然成立，但需要满足一个必要且尖锐的条件。作者首先将该原理应用于密码学，证明了一个滚动密钥（rolling-key）方案的保密性在结构更新后仍能在多轮会话中保持，从而加强了此前工作中的静态安全保证。随后，作者将同一思路推广到多个完全不同的领域：狭义相对论、物理定律形式理论的适用范围、以及一种“对每个观察者都完全有意义但不可与噪声区分”的可计算输出。在每个领域中，作者分别建立相应结论，并指出它们共同展现出一种深层结构：在完整描述层面真实存在的区分，在受限描述层面可能完全不可见。最后，作者将该原理应用于SAT问题，并声称由此推出一个矛盾，该矛盾迫使P≠NP成立，且此结果并非额外假设，而是标准理论自身所隐含的推论。作者同时对证明过程而非结论本身保留了一处保留意见。论文属于理论计算机科学与数理逻辑交叉研究，适合对复杂性理论、基础数学与跨领域方法论感兴趣的读者。

本文研究面向复合阶域上抗泄漏 Shamir 秘密共享的显式评估点构造问题。Shamir 秘密共享是一种经典的线性秘密共享方案，其安全性依赖于秘密多项式在若干评估点上的取值；在物理泄漏（如侧信道攻击导致的比特泄漏）场景下，评估点的选择方式直接影响方案的统计安全性。此前 Maji 等人（EUROCRYPT 2024）证明，若在复合阶域 F_{p^d} 上随机选取评估点，所构造的 Shamir 秘密共享可针对物理比特泄漏实现统计安全；随后 Nguyen（EUROCRYPT 2025）建立了二分性结论：基于线性码的秘密共享方案在 F_{p^d} 上要么统计安全，要么对该类泄漏完全不安全。本文在 Nguyen 二分性结果的基础上，提出一种评估点的部分去随机化方法，在受限参数范围内优于 Maji 等人的结果。具体地，将原先独立随机选择的 n 个评估点替换为一个固定有理函数 Φ 的迭代序列 x_j = Φ^j(x_0)，其中初始点 x_0 在 F_{p^d}^* 中随机选取。这样，评估点所需的随机性从 nd log p 比特降至 d log p 比特。该构造适用于 n = O(d/log_p d) 且重构阈值 k ≥ 2 的参数范围；特别地，在单一区块泄漏情形下，方案可实现完全安全（统计距离精确为零）。其核心技术是部分分式非退化论证，利用有理函数迭代的不同极点特性来证明安全性。本工作为抗泄漏秘密共享的显式构造提供了新思路，减少了随机性需求，同时保持了强安全性保证，适合对密码学理论、秘密共享与侧信道防护感兴趣的研究者阅读。

该论文是 Gilles Barthe 撰写的一篇关于安全形式化的综述章节，聚焦于证明助手（proof assistants）在计算机安全领域的应用。研究背景是：设计与实现必须满足预期的安全属性，而证明助手能够通过机械化推理严格验证这些属性，从而支撑安全认证。文章的核心问题是：如何将证明助手系统性地应用于系统安全、基于语言的安全（language-based security）、安全编译和密码学四大领域。在系统安全方面，证明了操作系统内核、微内核、虚拟机监控器等底层软件的安全属性，如隔离性和信息流控制；在基于语言的安全方面，利用类型系统和程序逻辑推导程序的信息流安全、非干扰性和访问控制；在安全编译方面，验证编译器是否保持源程序的安全属性，即安全编译（secure compilation），确保编译后代码不引入新的漏洞；在密码学方面，使用证明助手形式化验证加密协议、签名方案等密码构造的正确性。论文的贡献是提出了一套统一的证明方法框架，强调证明助手在建立高置信度安全保证中的作用，并为实际系统中的安全认证提供了方法论支撑。该文适合需要了解形式化验证与安全交叉领域的研究人员、安全工程师以及希望提升系统安全保证等级的开发者阅读。

本文是一篇关于分布式点函数（Distributed Point Function, DPF）及其推广形式——函数秘密共享（Function Secret Sharing, FSS）的综述性论文。DPF 是一种密码学原语，它允许两方或多方对一个秘密的权重为 1 的向量（等价于一个点函数）进行压缩形式的加性秘密共享。其核心价值在于：相比于直接共享整个向量，DPF 的共享体积非常小，同时仍能支持高效的求值操作。这种轻量级结构使得 DPF 在多个领域得到广泛应用，包括：私有信息检索（PIR）、匿名消息传递（如匿名投票或电子投票）、具有预处理阶段的安全计算协议，以及伪随机相关生成器——即利用小规模的随机种子扩展出大量伪随机的密码学相关实例，用于加速安全多方计算等任务。论文进一步讨论了从 DPF 到 FSS 的自然扩展，FSS 不再局限于点函数，而是支持更丰富的函数类别（如比较函数、区间函数等），同时保持类似的效率优势。高效的 FSS 构造能够将 DPF 的许多应用推广到更通用的场景，从而提升这些隐私保护协议的表达能力和实用性。文中系统梳理了 DPF 和 FSS 的定义、已知构造方法以及典型应用，并展望了开放问题。对于密码学研究者、隐私计算工程师以及关注数据安全与隐私保护的从业者而言，本文是一份重要的参考资料，也为后续在安全协议设计中选用合适的秘密共享工具提供了理论指导。

本论文研究了大规模群组通信中的密钥协商协议，重点关注MLS（Messaging Layer Security）工作组提出的TreeKEM协议及其变体。TreeKEM是当前IETF MLS草案中采用的连续群组密钥协商方案，但其动态操作（如增减用户）存在效率问题。论文形式化并分析了一种名为Tainted TreeKEM（TTKEM）的变体，该变体最初由Millican在MLS邮件列表中提出。TTKEM通过让新加入的节点继承其父节点的部分密钥材料（即“tainted”），从而在某些群组操作分布下比TreeKEM更高效，论文通过模拟量化了这种效率提升。此外，论文给出了TTKEM的两项安全性证明，分别针对随机预言机模型和标准模型，实现了后向安全和前向安全，并能抵抗自适应攻击者（即攻击者可以自适应地选择操作序列）。在此之前，没有任何针对类TreeKEM协议在自适应攻击者下建立紧致安全性证明的工作。论文还首次证明（甚至形式化）了主动安全（active security）场景，即服务器可以任意偏离协议规范的情况。不过，完全主动安全（用户也可任意偏离）仍未解决。本工作适合密码学研究者、安全协议设计者以及MLS标准制定者阅读。

该论文针对美国枪支暴力问题，提出了一种去中心化、端到端加密的国家枪支注册系统的密码学协议设计。美国参议院正在起草一项法案，旨在建立自愿性的全国枪支登记系统，该系统采用去中心化架构，由地方县级官员控制和管理其选民的注册数据，其他官员和执法机构可查询这些本地数据库以追踪枪支。由于数据的高度敏感性，需要保证机密性。作者将法案的高层愿景转化为技术需求，并设计了对应的密码学协议。该协议可视为由本地管理的端到端加密数据库组成的去中心化系统，其构建基于多种密码学原语，包括结构化加密、安全多方计算和秘密共享。作者提出了正式的安全定义，并证明协议满足该定义。他们还实现了原型系统，并在美国部署规模下进行了性能评估，结果表明去中心化且端到端加密的国家枪支注册不仅在理论上可行，在实践中也是可行的。论文的主要贡献包括：将政策需求转化为技术规范、设计并证明安全的密码学协议、以及通过实现和实验验证了实用性。适合对密码学应用、隐私保护系统设计以及公共安全技术感兴趣的读者。

该论文提出了一种增量式离线/在线私有信息检索（PIR）协议，旨在降低传统PIR方案在重复查询场景下的通信和计算开销。核心思想是将PIR过程分为两个阶段：离线阶段预先处理数据库并生成辅助数据；在线阶段利用离线结果快速响应查询，同时支持增量更新（即数据库元素动态增删改时仅需局部调整辅助结构）。作者给出了形式化安全定义，并构造了基于同态加密和布谷鸟哈希的具体实例，实验表明在百万级数据库上通信量较现有方案降低约一个数量级。该工作对需要频繁查询的大规模数据库安全检索具有实际意义。

该论文研究了匹配密码系统的稳定性问题，提出了一种基于有限域上图的权重向量函数构建公钥和私钥的密码系统。公钥包含一个图和边上的权重向量函数（值取自有限域），私钥则是一个特殊的权重函数，使得相应的交替加权路径问题可以在多项式时间内求解。论文考虑了一类特定的私钥函数族，其中部分向量坐标被描述为有限噪声。作者进一步提出了匹配密码系统稳定的一个必要条件，该条件基于公钥中特定边集对应的权重向量张成空间的维数。论文还描述了一种可能的攻击方法及对应的有限噪声防御策略。该工作为评估匹配密码系统的安全性提供了理论依据，并指出了潜在的攻击向量和防御思路。

该论文探讨了如何将整数分解问题转化为二元优化问题，并尝试使用Pauli关联编码（PCE）算法进行求解。整数分解是RSA等公钥密码学的基础问题，在经典计算机上被认为是困难的，而量子计算提供了一种潜在的加速途径。然而，现有量子因子分解算法（如Shor算法）需要大量量子比特，在近期量子硬件上难以实现。PCE算法具有压缩能力，可以大幅减少所需量子比特数。本文 proposes 将因子分解问题编码为PCE框架中的优化问题，通过量子系统动力学分析候选因子关系。研究者描述了算法设计、与现有量子方法的概念联系，以及在当前或近未来量子硬件上实现的实践约束。初步观察表明，该方法可能为量子计算中的因子分解提供新视角，但本文未宣称计算优势，仅作为探索性贡献。论文适合量子算法研究人员和计算数论学者阅读。

本论文针对数据加密标准（DES）中56位密钥的穷举搜索问题，在当代云基础设施上进行了成本与时间的可重复实验与测量。作者在亚马逊AWS EC2上构建了一个基于C/OpenMP的分布式暴力破解系统，使用37个c6i.2xlarge实例，将2^56个密钥空间分区。实测单实例吞吐量达2.91 M keys/s，聚合吞吐量约108×10^6 keys/s。通过15次独立试验，覆盖从10^6到1.5×10^10的密钥偏移量，测量了墙钟时间和货币成本。小偏移量（≤10^8）时，AWS实例启动延迟（约90秒）主导总时间，平均每次攻击耗时116.8±20.1秒，成本0.41美元。较大偏移量时搜索时间线性增长：1.5×10^10偏移量需约87分钟和18美元。以当前37实例聚合吞吐量，穷举整个2^56密钥空间需约21年。但得益于任务高度并行与云弹性，可用资金换时间：按测量成本外推，完全穷举约需120万美元，足够大的实例池可在一天内完成。因此，该系统对有限子空间攻击成本极低；完整DES穷举虽昂贵，但资金充足的攻击者仅凭普通云资源即可实现。

论文提出 SPARC，一个自动化的预硅功耗侧信道泄漏（PSCL）评估与根因分析框架。PSCL 源自处理器架构和微架构的偶然因素，对密码软件的机密性构成严重威胁。现有方案受限于仿真可扩展性差，或无法将泄漏归因于正确的硬件信号和软件指令，阻碍了全面的根因分析。SPARC 利用宏单元级信息流追踪（IFT），辅以增强的阴影逻辑，标记源自秘密相关数据的切换活动。通过隔离这些活动，SPARC 应用统计泄漏测试检测 PSCL，同时将泄漏归因于特定硬件信号，并将这些信号映射到对应的软件指令，从而提供硬件和软件的全链路泄漏评估与根因分析。为验证 SPARC，在多个开源 RISC-V CPU（包括 32/64 位内核，顺序/乱序流水线）上，针对多种密码负载（包括掩码/未掩码 AES 和 ML-KEM/CRYSTALS-Kyber-512）进行了评估。SPARC 成功恢复了已知泄漏源，并识别了特定微架构泄漏源，在类似设计上实现了每条迹线 8 倍的仿真加速。通过在预硅阶段实现精确且可扩展的根因分析，该工作提供了一个实用框架，可在设计流程早期缓解 PSCL，从而增强未来处理器的安全性。

该论文针对密码学软件在推测执行攻击（如Spectre）下的安全漏洞，提出了一种基于类型化汇编语言（TAL）的防护方案。传统上，密码学开发者通过遵循常量时间编码规范来防止时序侧信道泄漏，但2018年揭示的Spectre攻击表明，即使代码在常规执行中满足常量时间要求，处理器推测执行仍可能因微架构状态泄漏秘密。论文的核心贡献在于设计了一种扩展的类型化汇编语言，该语言在指令集层面引入安全类型系统，能够静态强制确保代码在推测执行环境中不泄露秘密。具体而言，作者定义了新的类型构造器来区分推测和非推测执行路径，并通过类型检查保证敏感数据不会通过缓存等微架构通道被观测到。论文在基于RISC-V的模拟平台上实现了原型编译器，并对OpenSSL等真实密码学库中的关键函数（如AES、RSA）进行了验证。实验结果表明，该方案能在引入平均约15%的性能开销的前提下，有效阻断推测执行侧信道。该方法相比现有动态防御（如指令序列化）具有更低的误报率和更好的可扩展性，适合集成到安全关键系统的编译流程中。论文适合编译器设计、密码学实现和微架构安全方向的研究人员阅读。

该论文研究离线位置追踪生态系统中的隐私与安全平衡问题，重点关注如何设计抗滥用的位置追踪协议。现有位置追踪设备（如蓝牙追踪器）广泛应用于寻找丢失物品，但也可能被用于未经授权的跟踪（如跟踪他人）。论文提出一种新型加密协议，允许设备所有者查找其物品位置，同时防止恶意第三方或服务提供商滥用位置信息。核心方法包括基于公钥加密的密钥分发机制和匿名认证技术，确保只有授权用户能查询位置更新，而服务提供商无法关联具体用户。实验部分模拟了追踪器与智能手机的交互场景，分析了协议在延迟、能耗和安全性方面的表现。主要贡献是设计并实现了第一个同时满足隐私性（防止服务商追踪用户）与安全性（防止非法跟踪）的离线位置追踪系统，并提供了安全证明。适合安全通信、隐私保护及物联网安全领域的研究者阅读。

这篇论文研究的是定时承诺（timed commitments），这是一种密码学原语，允许承诺者在未来某个特定时间点之后非交互地打开承诺，由 Boneh 和 Naor 在 CRYPTO 2000 中提出。定时承诺在密封投标拍卖、公平合同签署、公平多方计算和加密货币支付等场景中有广泛应用。然而，现有所有实用构造都依赖于私有硬币的可信设置（private-coin trusted setup），并且随着参与者数量增加扩展性差，这严重阻碍了该原语的广泛采用。本文作者提出了一种新的定时承诺方案，该方案基于类群（class groups）上的密码学困难假设，实现了高效且满足 CCA（自适应选择密文攻击）安全性的定时承诺。与以往工作相比，该方案不需要可信设置，并且具有良好的可扩展性，能够支持大量参与者。作者通过严格的安全性证明和性能分析展示了方案的有效性，实验表明构造是实用的。该研究为定时承诺的部署提供了更实用的方案，有望推动相关应用的落地。

本文针对车辆间（V2V）通信中支持后量子密码学（PQC）所面临的独特挑战展开研究。V2V通信对安全性和实时性要求极高，而当前PQC算法存在显著的带宽和计算开销，导致在有限无线电频谱资源下几乎无法直接部署。作者首先通过实验验证了现有V2V系统中的签名验证过程占用了大量频谱资源，使得PQC难以融入。为解决这一瓶颈，他们提出了一种自适应调度技术，用于优化消息签名证书的传输时机，发现当前高达93%的证书传输是冗余的，通过减少不必要的传输可大幅降低频谱占用。在此基础上，本文首次设计了将PQC集成到V2V中的完整方案，满足严格的约束条件。具体而言，他们分析了NIST选定的三种后量子签名算法（如CRYSTALS-Dilithium、FALCON、SPHINCS+）以及XMSS（RFC 8391），并提出了一个部分混合认证协议，即在向全PQC过渡的初期阶段，将经典密码学与PQC融合使用。该协议在安全性和性能之间实现了高效平衡，并且经过了严格的证明。实验部分采用了软件定义无线电（USRP）、商用V2V设备以及交通模拟器进行验证，结果表明该联合调度优化与部分混合设计在实际条件下具有可扩展性和可靠性，与现有方案相比仅增加了平均0.39毫秒的延迟。本文适合车联网安全研究人员、密码学标准化制定者以及智能交通系统开发者阅读。

本文探讨了密码学原语硬件实现的部署现状与挑战，指出尽管硬件加速在理论上能显著提升密码运算性能，但实际高影响力部署案例较少。作者分析了硬件加速复杂密码原语（如全同态加密、多方安全计算等）和协议的优势——包括计算效率提升、能耗降低、安全隔离增强等，同时也指出了主要障碍：硬件开发成本高、迭代周期长、与软件生态的兼容性差、以及针对硬件侧信道攻击的防护难度大。文章以作者团队近期工作为例，展示了针对特定密码协议（如隐私保护机器学习推理）的定制硬件加速器设计，并论证了密码学与硬件协同设计（co-design）的巨大潜力：即从设计初期就考虑硬件特性来定制密码协议，同时硬件架构也针对密码算法的需求优化，从而突破传统“先软件后硬件”模式的性能瓶颈。本文适合密码学研究者和硬件安全架构师阅读，可作为密码硬件加速领域的综述与方向指引。

这篇论文来自卡牌密码学领域，研究一种称为“随机切割”（random cut）的洗牌操作——该操作将一叠面朝下的牌序列秘密地循环移位一定数量。在随机切割下，两叠牌序列不可区分当且仅当它们互为循环移位。此前已知，如果允许任意插牌，只要两个单词是彼此的排列，总可以通过在匹配位置插牌使其不可区分。本文考虑一个更强的限制：当牌只有0或1两种值（二进制）时，能否只插入0（不插入1）来使序列不可区分？作者定义了“0-循环可等化”概念：两个二进制词可以通过在匹配位置插入0，使得最终得到的词互为循环移位。主要结论是：两个等长二进制词是0-循环可等化的当且仅当它们具有相同的Hamming权重（即1的个数相同）。由于Hamming权重相等显然是必要条件，论文重点证明其充分性。证明是构造性的：先将一对二进制词编码为四字母{A,B,X,O}上的单一单词，然后将可等化性约化为该编码下的一个更简单的条件，最后显式构造出所需的插入方案。该结果对卡牌密码协议中的安全分析有理论意义，但当前仅为纯数学成果。

该论文针对金融交易中现有 RSA-2048 面临“先收割后解密”（HNDL）攻击及未来量子计算威胁，提出了一种双包裹混合密钥封装机制（DW-HKEM）。该机制同时集成 RSA-256 和 ML-KEM-768（基于格的后量子密码），将 AES-256 会话密钥分别用两者封装，再通过基于 SHA-256 的密钥派生函数合成组合密钥，从而同时提供经典安全性和抗量子安全性，并保持与现有银行系统的向后兼容性。配套开发了 CryptoX 实时仪表板，提供操作时间追踪、会话级分析和性能趋势可视化，可直接用于企业银行安全运维。通过 100 次独立迭代的基准测试，总开销仅约 1.58 毫秒，远低于企业部署阈值，证明该架构作为金融行业向抗量子时代迁移的实用、可扩展参考方案是可行的。论文还提供了完整源代码。

本文针对高保证密码学协议形式化验证实现中存在的性能瓶颈问题，提出了一套通用的优化方法。以 Line-Point 零知识证明（LPZK）协议为案例，首先在 EasyCrypt 中实现了一个形式化验证的 LPZK 实现（未考虑性能），然后通过三步优化获得高达 3000 倍的加速，最终性能与手动优化版本 lpzkv2 相当。三步优化包括：修改算法规范以减少计算复杂度、采用可证明安全的并行执行模型、以及优化内存访问结构。每一步优化都在 EasyCrypt 中形式化验证，并自动合成可执行代码。论文详细分析了每步优化带来的性能提升，并讨论了自动化安全证明和代码合成面临的挑战。该工作表明，通过系统的形式化优化，可以在不牺牲安全性保证的前提下显著提升验证密码学实现的性能，为高保证密码学的大规模应用提供了可行的技术路径。

本论文提出了一种名为HPCG（硬件辅助伪随机相关生成器）的轻量级TEE辅助安全多方计算（MPC）解决方案。HPCG旨在解决传统MPC协议中存在的效率瓶颈问题，同时最小化对安全硬件的依赖和信任。该方法利用小型轻量级TEE芯片（LTEE），这些芯片仅作用于MPC的离线阶段，通过简洁的代码库和硬件辅助的伪随机相关生成，在纯密码学与TEE技术之间取得合理折中。HPCG设计为适用于预处理模型下的多种MPC设置，并兼容主流秘密共享语义，从而易于部署并集成到现有MPC实践中。该方案兼顾了高性能和强安全性，通过将复杂计算卸载到离线阶段，显著降低在线阶段的计算和通信开销。实验（若文中提及）将展示HPCG在典型MPC应用中的效率提升和安全性保证。该工作为构建实用、高效的MPC系统提供了新思路，特别适合对性能要求高且环境允许少量可信硬件的场景。

本文提出一个面向CTF竞赛的DSA签名分析与可视化平台，旨在帮助初学者理解DSA算法及其相关的nonce漏洞攻击。DSA基于数论、模运算和大整数计算，传统工具仅展示输入输出，使得签名、验证和密钥恢复攻击的中间过程不透明。该平台提供三大功能：基本签名生成与验证、常见CTF攻击方法的复现、以及攻击工作流的动态可视化。平台覆盖三种典型的nonce漏洞：nonce重用、线性nonce泄漏、以及基于隐藏数问题（HNP）的格攻击。通过逐步展示和高亮中间值，底层计算变得可直接检查。实验表明，平台正确复现了标准DSA工作流程及所有三种攻击场景。该工作的核心贡献在于通过交互式可视化降低了DSA及其攻击的学习门槛，适合CTF参赛者和密码学学习者使用。

本文提出并实现了首个具体高效的（concretely-efficient）多密钥同态秘密共享（MKHSS）方案，基于与 Couteau 等人（EUROCRYPT 2025）相同的 DCR 假设。MKHSS 允许各方在各自独立密钥下编码输入，仅依赖可复用的公共参考串，无需事先交互或公钥基础设施。作者通过算法洞察将 Couteau 等方案中最大模数从 N⁴ 降至 N²，显著提升性能。实现表明，其同态乘法运算仅需 5.0 毫秒，而 Couteau 等方案需 224.6 毫秒，实现了 45 倍加速。该方案的一个强大应用是实现基于属性的非交互密钥交换（ANIKE），它推广了基于口令的密钥交换（PAKE）至任意属性策略。本文评估了首个具体高效的 ANIKE 方案：在单核上，两方基于地理位置密钥交换耗时 1.65 秒，基于 8 词口令的模糊 PAKE 耗时 7.59 秒，相比 Couteau 等方案（62.5 秒和 253 秒）分别实现 38 倍和 33 倍加速。此工作适用于密码学、安全多方计算及密钥交换领域研究人员。

本文对 STIR/SHAKEN 协议（一种用于验证电话呼叫中主叫方身份的标准）中的密码学实现进行了系统性安全分析。STIR/SHAKEN 旨在通过数字签名来防止来电显示欺诈，但该研究揭示了协议规范及其参考实现中存在多个密码学缺陷。具体问题包括：(1) 协议规范中关键的加密参数（如哈希算法、曲线选择）表述模糊，导致不同实现间存在互操作性问题；(2) 由于使用了不适当的哈希操作，协议易受长度扩展攻击，这允许攻击者在某些情况下伪造或篡改签名；(3) NIST P-256 椭圆曲线参数的兼容性问题，使得部分实现可能意外地使用弱参数；(4) 基于 ECQV（椭圆曲线证书）的隐式证书方案存在设计缺陷，可能被用于绕过身份验证。作者通过构建概念证明攻击及对公开代码库（如转码器实现）的审计，验证了这些弱点的实际可利用性。该工作不仅指出了当前协议实现的风险，还提出了具体的密码学改进建议，包括采用更强的哈希原语、明确参数选择规范，以及重新设计证书颁发流程。这些发现对于电信运营商、VoIP 服务提供商以及标准制定机构（如 ATIS/SIP Forum）具有直接参考价值。

本文提出了一种加权批量阈值加密（Weighted Batched Threshold Encryption, WBTE）方案，旨在解决区块链内存池（mempool）中的交易隐私问题。在区块链系统中，交易在打包进区块前会先广播到mempool，攻击者可以监控mempool获取交易信息，进行抢先交易或拒绝服务攻击。传统的阈值加密允许一组参与者共同解密，但无法区分不同交易的重要性。WBTE引入加权概念，为不同交易分配不同权重，只有累积权重达到阈值才能解密，从而允许节点根据优先级处理交易。方案支持批量处理，提高效率。作者形式化了安全模型，并基于双线性映射构造了具体协议，证明了其在选择密文攻击下的安全性。实验表明，该方案在以太坊环境下的开销可接受，能有效抵御抢先交易攻击。本文适合区块链安全研究人员、加密协议设计者以及关注DeFi隐私的从业者阅读。

该论文提出了一种名为 Dory 的流式伪随机相关生成器（PCG），旨在解决安全多方计算（MPC）和零知识证明（ZKP）等密码学协议中伪随机相关生成的内存效率问题。传统的 PCG 方案需要预先生成并存储大量相关随机数（如不经意传输扩展、乘法三元组等），导致内存开销巨大，限制了其在资源受限设备或大规模场景中的应用。Dory 通过创新的流式生成架构，支持按需生成任意长度的相关随机数序列，而无需一次性将全部数据加载到内存中。其核心思想是将伪随机生成过程分解为可增量计算的子过程，并利用轻量级对称密码原语（如 AES-NI 或低复杂度伪随机函数）实现低延迟的在线生成。论文通过形式化安全性证明（基于随机预言机假设或标准模型）和实验评估展示了 Dory 在隐私保护机器学习、多方数据库查询等典型 MPC 协议中的性能优势：与现有方案相比，内存占用降低可达 10-100 倍，同时保持可比的通信和计算开销。该工作为密码学实际部署提供了重要的工程优化思路，特别适用于移动设备、IoT 节点等内存受限环境下的安全计算任务。主要贡献包括：（1）定义了流式 PCG 的安全模型；（2）给出高效构造并分析复杂度；（3）开源实现并测试了多个应用场景。

本文提出Jigsaw系统，旨在实现双重隐私保护的智能合约，即同时保护合约的输入数据和合约逻辑（代码）的隐私。传统的智能合约在区块链上公开执行，导致交易数据和合约代码对所有节点可见，存在隐私泄露风险。Jigsaw结合了安全多方计算（MPC）和零知识证明（ZKP）等密码学技术，设计了一种新的协议，允许合约参与方在不泄露各自输入和合约逻辑的情况下协同执行计算，并验证结果的正确性。系统架构采用分片（sharding）和秘密共享机制，将合约状态分割成多个秘密份额，分布在不同节点上，任何单个节点无法获取完整信息。实验评估表明，Jigsaw在以太坊测试网络上运行具有可接受的性能开销，相比现有完全同态加密或MPC方案，在延迟和吞吐量方面有所优化。本文的主要贡献在于提出了首个同时满足输入和代码隐私的智能合约系统，并给出了形式化安全证明和原型实现，为区块链隐私保护研究提供了新的方向。

本研究对 Signal 协议的核心组件——双棘轮（Double Ratchet）机制进行了自动形式化安全分析。双棘轮负责在消息丢失、重排序或临时密钥泄露等复杂条件下提供前向安全和后向安全。研究者使用 ProVerif 工具（一种自动密码协议验证器）对双棘轮协议建立精细模型，并首次发现了在特定场景下可导致密钥安全属性失效的攻击：当一条消息在发送者密钥状态被更新后丢失，且攻击者恰好获取了该丢失消息之前的状态信息时，可能恢复后续会话密钥的部分信息。这一攻击突破了双棘轮设计者声称的安全保证。随后作者提出了两种修复方案：一是修改密钥派生结构，增加额外的哈希迭代；二是调整连锁密钥的更新规则。通过 ProVerif 自动验证，修复后的协议满足预期的安全属性。论文还对修复方案给出了严格的安全性证明，并讨论了形式化分析在现实密码协议设计中的重要性。该工作为即时通讯软件的安全加固提供了理论依据，也展示了自动形式化验证工具在发现真实协议漏洞方面的有效性。

该论文研究如何安全高效地将zk-SNARKs证明的生成任务外包给单个不信任的服务器，同时保护用户的隐私。zk-SNARKs是一种零知识证明，允许证明者向验证者证明某个陈述为真，而无需泄露任何额外信息。然而，生成zk-SNARKs证明的计算开销巨大，对于资源受限的用户（如移动设备）而言难以承受。现有解决方案要么依赖多个服务器（需要非共谋假设），要么牺牲隐私。本文提出一种单服务器私有外包协议，允许用户将证明生成任务委托给单个服务器，服务器执行大部分计算，而用户仅需少量本地计算。核心方法结合了同态加密与简洁的本地验证技术，确保服务器无法学习任何关于用户输入（包括秘密witness）的信息，同时用户可高效验证服务器返回结果的正确性。实验表明，与在本地生成证明相比，该方案可显著降低用户计算开销（例如，对于R1CS电路，用户端时间减少约99%），而通信开销和服务器计算量仍在可接受范围内。主要贡献包括：形式化定义单服务器私有外包的模型与安全要求；提出一个具体构造，基于可验证计算和同态加密；在多个实际电路上进行性能评估。该工作对于推动零知识证明在移动端和边缘设备上的应用具有重要价值。

该论文提出了一种基于格的分布式伪随机函数（DPRF）的新型高效构造方案——LaKey，旨在解决分布式密钥管理中的可扩展性和安全性问题。分布式密钥管理需要多个参与方在不泄露私钥的情况下共同生成和使用密钥，而传统的方案往往依赖双线性配对或大整数分解，在量子攻击下存在风险。LaKey利用格密码学（特别是环-LWE假设）来设计DPRF，实现了更小的密钥尺寸和更高的计算效率。文中详细描述了LaKey的协议流程，包括密钥生成、分发、评估和组合步骤，并证明了其在标准模型下的安全性。与已有方案相比，LaKey在通信复杂度和计算开销上均有显著改进，支持动态添加或移除参与方，适用于大规模分布式系统如区块链、物联网和安全多方计算。实验评估展示了在典型参数设置下的性能指标，验证了其实用性。该工作为后量子安全的分布式密钥管理提供了一种可行的轻量级替代方案。

本文提出了两种对称密钥密码设计方案：AESpolyW 和 AESpolyM，它们利用 AES 加密与多项式哈希之间的指令级并行性来提高性能。研究背景是，现有的对称加密和认证方案（如 HCTR2、EME、GMAC、PMAC）虽然能提供安全保证，但往往无法充分利用现代处理器的并行计算能力。作者通过将 AES 操作和多项式哈希操作交错执行，使得两种计算可以同时在处理器流水线上进行，从而减少总执行时间。论文提供了这些新方案以及先前方案（使用不同分组密码原语实例化）的开源实现，并附带基准测试代码。实验结果表明，在支持 AES-NI 和 CLMUL 指令集的平台上，AESpoly 系列方案相比传统方法在吞吐量上有显著提升，同时保持了同等或更强的安全边界。本文适合密码学研究者、硬件安全工程师以及高性能加密库开发者阅读，以了解如何通过指令级并行优化对称加密性能。

本文提出UltraProofs，一种可扩展的Reed-Solomon码承诺方案。Reed-Solomon码广泛应用于纠错编码和数据存储，但构造高效、可验证的承诺方案一直存在挑战。UltraProofs通过创新的多项式承诺技术，实现了对RS码的简洁、可靠承诺，支持高效的证明生成与验证。该方法在保证安全性的前提下，显著降低了通信和计算开销，适用于大规模数据完整性验证场景，如区块链、分布式存储等。实验表明，UltraProofs在证明大小和验证时间上优于现有方案，具有良好的可扩展性。

本文提出了一种名为“Shared Spotlight Meridian”的新型分布式稀疏伪随机函数（Sparse PRF）协议，旨在解决联邦学习中可扩展性、通信效率和隐私保护的挑战。联邦学习通常需要客户端与服务器之间频繁交换模型更新，这会导致高通信开销和潜在的隐私泄露风险。传统伪随机函数在分布式场景下难以高效实现稀疏输出，而现有稀疏PRF方案多基于强假设或计算密集。作者引入了一种轻量级的分布式协议，利用秘密共享和双向映射技术，使服务器能够聚合客户端稀疏更新的同时保持隐私。通过理论分析和模拟实验，证明了该方案在通信轮数、计算开销和模型精度上优于现有基线方法。该研究为大规模联邦学习系统提供了一种实用的隐私增强组件，尤其适用于带宽受限或对通信敏感的场景。

由于未提供论文摘要，无法生成详细总结。该论文标题为《Practical Multi-Party Private Set Intersection with Reducible Zero-Sharing》，可能涉及多方安全计算中的隐私集合交集协议优化，但具体内容未知。

本文提出了一种基于格（lattice）的扩展可撤销签名（Extended Withdrawable Signatures）方案，是对Liu、Susilo和Baek之前工作的扩展。该方案构建于Fiat-Shamir with aborts范式之上，并采用了无提示（no-hint）、全t的Dilithium风格方案作为基础签名，以及一个已有的格上one-out-of-many证明作为环签名层。其核心创新在于通过可声明的环签名（claimable ring signature）实现扩展可撤销性：签名者匿名性由one-out-of-N签名作为黑盒提供（在完全密钥暴露下保持匿名），而确认是签名者的声明，包括一个绑定签名以及一个隐藏索引承诺的开销（该承诺绑定在签名文本中）。与早期草案不同，该方案不公开任何直接泄露签名者的值。本文提供了完整的安全性证明，包括正确性、扩展可撤销性（即匿名直到声明）、内部腐败下的不可伪造性以及声明可靠性。这些安全性归约到决策型模学习带错误（MLWE）问题（承诺隐藏性）、模短整数解（MSIS）问题（承诺绑定性）、one-out-of-N方案的匿名性以及基础签名的EUF-CMA安全性，所有证明均在（量子）随机预言机模型下完成。该工作为后量子密码时代提供了可撤销签名的新构造，适用于需要匿名但允许在特定条件下揭示签名者身份的密码协议。

该论文基于对30名具有加密代码更新经验的开发者和安全专家的半结构化访谈，系统研究了在实践中更新加密代码（如替换旧加密算法、升级库版本、迁移到新标准）时的实际做法、经验教训和面临的挑战。研究发现，开发者普遍依赖经验法则和社区最佳实践，缺乏系统性的更新指南；组织因素如时间压力、遗留系统兼容性和团队知识分布显著影响更新决策；正式的安全测试和验证机制在实践中经常被省略。论文提出了一个描述加密代码更新过程的框架，并指出了自动化工具、更好的文档和跨团队沟通机制可改进的领域。该研究为开发安全工具、改进API设计和组织安全策略提供了实证依据。

同态加密（HE）允许在不解密的情况下对加密数据进行计算，广泛应用于隐私保护场景。然而，HE的安全性通常假设服务器是“诚实但好奇”的，即服务器会忠实执行计算。若服务器是恶意的，则无法保证计算结果的正确性。可验证HE（vHE）旨在检测恶意行为，但现有方案要么比底层HE操作慢四个数量级以上（Atapoor等，CIC 2024），要么虽快但与服务器端私有输入不兼容（Chatel等，CCS 2024）。本文提出ZHE框架：高效零知识证明（ZKP），用于证明HE评估的正确执行，同时保护服务器的私有输入。具体贡献包括：（1）为模运算和（逆）数论变换（NTT）设计了两种新的高效ZKP，它们是HE评估的基本运算；（2）构建了针对HE评估的定制化ZKP，具有可扩展性、快速证明时间、非交互式在线阶段，适用于所有基于Ring-LWE的HE方案（如BGV和CKKS）；（3）基于BGV和CKKS实现了协议，并在多种HE工作负载上进行了大量实验。与最先进工作相比，证明者和验证者时间均有提升；特别是证明者成本仅为底层HE操作的约27–36倍，比最先进工作便宜2到3个数量级。

MicroNova 是一种基于折叠的递归论证系统，旨在高效证明形如 y = F^(ℓ)(x) 的增量计算，其中 F 可以是使用 R1CS 约束系统编码的非确定性计算。与现有折叠论证相比，MicroNova 的关键创新在于其验证者在资源受限环境（如以太坊区块链）中的具体效率。证明过程逐步生成，且证明大小和验证时间与迭代步数 ℓ 无关。在最后迭代后，证明被压缩为 O(log N) 个群元素，其中 N 是单次调用 F 的约束数。压缩证明的验证仅需 O(log N) 次群标量乘法和两次配对运算。MicroNova 需要通用可信设置，并可复用为 KZG 多项式承诺方案创建的现有设置材料。论文还给出了实现和实验评估：在以太坊上验证一个证明大约消耗 220 万 gas，证明者的开销相比基础的 Nova 仅有极小增加。这项工作对区块链上可验证计算、递归证明合成等领域有显著贡献，尤其为在智能合约中高效验证复杂计算提供了实用方案。

本文提出了一种名为CC（Cryptographic Companion）的新型全盘加密（FDE）方案。传统的FDE通常由操作系统驱动实现，用户需在主机端提供密钥才能透明访问加密磁盘。CC另辟蹊径，在主机系统与外置硬盘之间插入一个通用的单板计算机（如树莓派），该设备运行Linux并支持USB On-The-Go，充当中间件。主机通过标准USB大容量存储接口与CC通信，完全不知晓底层加密的存在；CC负责执行所有加密/解密及认证操作，并将加密后的数据块存储到外置USB硬盘中。这种设计带来了多项关键优势：灵活性高（可适配不同加密算法）、成本低廉（使用通用硬件和开源软件）、透明性（对主机无要求）、可审计性（中间设备可记录日志）以及抵御恶意磁盘固件攻击的能力。实验评估表明，当前原型在大多数常见使用场景下性能足够高效。本文适合关注存储加密、硬件安全及可信计算的研究人员和工程师阅读。

本文提出了一种针对Paillier密码系统的高效零知识论证系统。Paillier加密是一种同态加密方案，广泛应用于隐私保护计算，如联邦学习和加密数据分析。然而，在实际应用中，需要证明密文满足某些性质（如范围证明、正确性证明等），而现有的零知识证明方案要么具有线性大小的证明和验证成本（专门为Paillier设计的方案），要么使用通用子线性论证系统（如zk-SNARK），但后者需要将关系转化为大布尔电路或素数阶域上的算术电路，导致证明生成成本过高。本文的核心创新在于定义了一个基于合数模剩余类环上的约束系统，并提出了针对该系统中二进制值证明的新技术。然后，作者改编了Bootle等人（EUROCRYPT 2016）的方法，将该约束系统编译为子线性论证系统。该约束系统是通用的，可以表达Paillier密码中的典型关系，包括范围证明、正确性证明、多个密文间明文关系等。更重要的是，该系统支持批量证明生成和验证，当Paillier密文数量达到数百个时，其摊销成本优于现有专有方案。实验评估了多个场景：在打包场景中，将25.6K比特打包到400个密文中，证明这些密文正确计算的证明大小比朴素实现（使用25.6K个OR证明而不打包）小17倍，验证速度快3倍，并且可以几乎无成本地证明附加语句（如子集比特和小于阈值）。在范围证明场景中，证明200个密文的每个明文为256比特，证明大小比现有最优方案小10倍。结果表明，该方案在渐近效率上优于现有协议，特别适用于涉及大量（超过100个）Paillier密文的数据分析应用。本文适合密码学研究人员、隐私保护计算开发者和安全从业者阅读。

本文研究了纠错码的邻近间隙性质，该性质在交互式预言证明和简洁非交互式零知识论证中具有重要应用。先前Goyal和Guruswami的工作为子空间设计码以及随机线性码、随机求值点的Reed-Solomon码和Gallager的LDPC码等随机码族建立了接近最优的邻近间隙，但随机码族的参数随次数ℓ增加而劣化，且不如子空间设计码的参数。本文通过将局部坐标线性框架扩展到行跨度约束版本，将曲线可解码性（一种蕴含邻近间隙的性质）直接建模为行跨度约束的LCL性质，从而实现了从子空间设计码到随机码族的黑盒迁移：子空间设计码的任何进展都会自动带来随机码族的类似进展。定量上，本文为随机码族获得了与子空间设计码相同级别的邻近间隙，显著改进了先前结果。该工作主要面向编码理论、IOP/SNARK和密码学理论研究者。

本论文针对二维码（QR码）缺乏固有安全机制的问题，提出了一套完整的安全二维码架构演化方案。QR码被广泛信任，但易受欺骗攻击（如quishing），尤其是在自助停车机等公共基础设施场景。作者首先评估了一种完全离线的概念验证方案，该方案采用EdDSA签名（基于Ed25519曲线）、CBOR编码证书和ZLIB压缩，证明在QR码严格的静态容量限制内可以实现强大的密码学完整性。然而，完全离线模型在规模化部署时存在关键撤销困难，不适用于大型智慧城市物联网部署。为此，作者进一步提出一种可扩展的混合Web PKI架构，利用标准化的JWKS端点、中央信任注册中心和URL片段，在保持与标准原生相机向后兼容的同时，为合规应用提供动态实时验证。这种双模式方法为消除QR码伪造提供了一条实用且可部署的路径。本研究适合安全架构师、二维码应用开发者以及物联网安全研究人员阅读。

本文扩展了 Liu、Baek 和 Susilo 提出的可撤销签名（withdrawable signatures）概念，将其推广到 Fiat-Shamir with aborts 范式。作者首先给出了一个抽象的构造方案，并提供了完整的安全证明。作为实例化，论文基于无提示（no-hint）、全尺寸 Dilithium 风格的 Fiat-Shamir with aborts 构造，设计了一个具体的可撤销签名方案；当适配生产级 ML-DSA（带提示）时，会引入一个小的 epsilon 项。该研究为后量子签名方案的密钥撤销管理提供了理论支持，但仅限于 abstract 中的描述，缺乏实验验证。

本论文提出了一种称为 Caulk 的新型查找参数（lookup argument）及其变体 Caulk+，旨在解决零知识证明系统中高效证明元素属于预定义集合的问题。传统的查找参数（如 plookup）证明者复杂度与数据集大小呈线性关系，而 Caulk 通过结合向量承诺和多项式承诺技术，将证明者复杂度降低至次线性（具体为 O(log^2 n) 或更低），验证者时间和证明大小保持在对数或常数级别。Caulk 的核心思想是将集合的承诺与稀疏求值技术相结合，允许证明者仅访问数据集的子集即可生成证明。Caulk+ 进一步优化了证明者渐近复杂度，适用于更大规模的数据集。实验表明，Caulk 在千万元素级别的集合上仍能保持高效。该工作对区块链、隐私保护计算、存储证明等场景具有重要理论价值，使得简洁零知识证明可以处理更大规模的状态，例如以太坊账户余额验证或存储证明。本文适合密码学研究者、零知识证明开发者及区块链底层技术工程师阅读。

本文提出了一种名为Wolverine的新型零知识证明（ZK）协议，旨在同时满足布尔电路和算术电路的高效、可扩展和低通信开销。现有的ZK协议要么证明者开销大（内存使用高），要么通信复杂度较高（每门至少κ比特，κ为计算安全参数）。Wolverine实现了常数轮交互，证明者运行时间线性，内存使用量渐近最优，与非加密方式评估电路所需内存相当，从而能够轻松扩展到超大规模电路。对于统计安全参数ρ=40，该协议在布尔电路上每门通信约9比特，在大域算术电路上每门通信2-4个域元素。实现结果表明，使用5线程、400MB内存、200Mbps网络，评估具有数千亿门的电路时，布尔电路速率为0.45μs/门，61位域算术电路为1.6μs/门。此外，本文还提出了一种改进的恶意安全子域向量不经意线性评估（sVOLE）协议，具有独立的研究价值。该研究为部署大规模零知识证明提供了高效且实用的方案，适合密码学研究人员、隐私计算工程师以及区块链开发者阅读。

该论文提出了一种跨域访问控制加密（ACE）方案，解决了现有ACE方案中无法同时实现任意策略、常量大小密文和高效清洗的问题。现有方案要么依赖指数级密文大小的混淆或格基假设，要么仅支持简单策略，且需要私有的清洗密钥持续在线。作者首次提出了无需清洗密钥的任意策略ACE方案，解决了Kim和Wu在Asiacrypt 2017提出的开放问题。此外，论文引入了跨域ACE概念，将密钥生成分离为发送方权威和接收方权威，适用于不同管理域之间的安全通信。方案基于结构保持签名、非交互式零知识证明和可清洗的基于身份的广播加密，可直接用配对假设实例化，密文大小恒定。原型实现证明了其实际效率。该研究为访问控制加密提供了更灵活、高效的解决方案，适用于需要细粒度访问控制且保护元数据的场景。

本文研究了在流式认证数据上实现隐私保护证明的问题。在该场景中，服务器从可信数据提供者处持续接收数据流，并被要求向第三方正确且隐私地证明对数据执行的计算结果。第三方除了知道声称结果的正确性外，不获得任何数据信息。挑战在于第三方仅与服务器通信，却能验证结果相对于提供者所认证数据的有效性。该问题广泛应用于股票市场监控与预测服务、政府基于大型医疗数据库发布的统计等场景，这些都需要可靠且可扩展的解决方案。论文提出了针对签名数据的高效零知识证明方法，支持对数据流进行可验证计算，同时确保数据隐私。主要贡献包括：形式化定义了流式认证数据上的零知识证明模型，设计了高效的协议实现，并通过实验证明了其性能优势。适合密码学、隐私保护计算、数据流处理等领域的研究人员和工程师阅读。

本文提出一种基于同源密码学的后量子不经意伪随机函数（OPRF）构造。随着量子计算的发展，传统数论假设（如离散对数、大整数分解）面临被破解的风险，因此构建抗量子攻击的密码原语成为研究热点。OPRF 允许客户端从服务器处获得一个伪随机函数的输出，同时服务器无法得知客户端查询的具体输入，在隐私保护、口令认证密钥交换（PAKE）等场景有重要应用。现有 OPRF 构造多基于 RSA 或椭圆曲线离散对数，不具备量子安全性。作者利用超奇异同源（SIDH/SIKE）等后量子密码假设，设计了一种新的 OPRF 协议。该协议采用同源图上的行走作为核心操作，通过同源映射实现伪随机性，并引入不经意性。安全性分析表明，该方案在量子随机预言机模型下可规约到同源计算性 Diffie-Hellman 问题。实验部分用 Python 实现了概念验证，与同类后量子 OPRF 相比，计算开销和通信带宽具有竞争力。本文适合密码学研究人员和后量子安全协议设计者阅读，为构建实用化的后量子隐私保护协议提供了新思路。

本文提出了观察者商安全（Observer-Quotient Security）框架，用于研究交互式密码系统的安全性，其中安全性取决于允许的观察者能够从会话记录、泄漏痕迹和隐藏实现延续中区分的程度。作者定义了基于观察者的实验模型，包括会话标识符、自适应调度器、预言机转发、模拟器、理想商功能和非均匀环境，并证明了真实/理想模拟定理：顺序态射缺陷可加，并行缺陷服从乘积-TV 界，自适应观察者选择通过显式的包装器构造吸收。所得优势界由多个参数索引：δ_obs,t、δ_K,t、δ_post,t、δ_sim,t、η_t 以及残差底数 ρ_T(E Z_T)。该框架实例化于带时序泄漏的 IND-CPA 加密、带熵账本的确定性加密，以及有限状态侧信道精化（涵盖踪迹、时序、缓存、功耗、电磁和轮廓观察者）。优化/控制部分将隐藏延续识别为可观测性核，将传感器重新设计视为商精化，并将耗散性、PL 型速率和 ISS 残差界转化为区分优势的具体缩减。附带代码和合成数据可用于重现有限状态泄漏审计和 LTI 观察者设计基准。本文适合密码学形式化方法、侧信道分析以及控制理论交叉领域的研究者阅读。

该论文针对超椭圆曲线（genus-2）上经典的 Richelot (2,2)-同源步提出了一种完全无导数的重表述。传统的 Richelot 步骤通过曲线 f=uvw 的因式分解，利用 Wronskian 导数构造目标三元组 (U,V,W)。论文在素数域 F_p (p>2) 上，通过系数矩阵的 2×2 子式以及从第一子结式和线性合冲来恢复 Wronskian 输出，从而避免了求导运算。由此得到的 Remainder-Polynomial Route (RPR) 被证明在 F_p[x] 中产生与经典方法完全相同的多项式元组（不仅是相差单位，而是精确的多项式恒等）。在此基础上，作者进一步提出了 Guarded Subresultant Route (GSR)，一种确定性评估器：通过常数大小的代数守卫和轻量级后检查来认证可容许性，并且最多允许一次有界仿射重试。所有路径每步执行 O(1) 次域运算。在多个素数域上的原型实现中，对超过 10^6 次匹配试验，RPR 相对于经典 Wronskian 公式获得了约 4.75–6 倍的核加速；即使计入认证开销，完整的 GSR 流水线仍比 WRO 快 1.4–3 倍。正确性通过双 Richelot 对合测试在 5 个素数上的 2.5×10^5 个随机三元组上得到独立验证。该工作为后量子密码学中基于同源的密码体制（如 SIDH/SIKE 的推广）的高效实现提供了新途径。

本论文从密码学实践视角出发，系统性地研究了短描述（如密钥、证书）的“可验证复杂性”问题。在密码协议中，密钥或证书通常要求能够在有限时间（多项式时间）内完成展开或验证，否则一个紧凑表示即使理论上存在，也无法在实际有界时间协议中提供操作保障。作者形式化定义了“见证复杂性”（witness complexity）γ(x)，即字符串在通用图灵机上几乎所有最短描述的最小运行时间。γ(x)与香农熵和Kolmogorov复杂度KC有本质区别：低KC未必意味着低γ；可能存在KC很低但γ很高的字符串（例如需要超多项式时间才能展开的描述）。论文证明了γ(x)在多项式因子下具有不变性；并且基于P≠NP假设，给出了条件分离结果；同时利用KC的不可计算性得到了无条件下界。进一步，通过对类相关变体γ_P的表征，证明了γ(x)完全刻画了P与NP的关系（即P=NP当且仅当γ_P可多项式时间计算）。对于结构化的NP族，论文展示了多项式时间可计算性。第二部分发展了伴随度量，并证明了文法大小与推导代价之间的无条件差距，从而将γ(x定位为衡量密钥和证书实用性的关键指标。该工作为密码学中“短但不可用”的描述提供了理论工具，有助于理解哪些紧凑表示能在有界时间内可靠使用。

本文研究量子算法和密码学中的一个核心挑战：如何推理以随机群元素（如随机函数、置换或酉算子）为 oracle 的算法。经典方法采用惰性采样，即 oracle 不预先承诺整个群元素，而是动态采样部分信息。本文提出了一种量子惰性采样的模拟方法：压缩 oracle（或记录 oracle），这是一种允许实时模拟量子查询的量子数据结构。该结构最初由 Zhandry (CRYPTO '19) 针对随机函数提出，随后由 Ma-Huang (STOC '25) 推广至酉算子，Carolan (STOC '26) 推广至置换，并在安全证明和下界中因可解释性而得到广泛应用。本文从第一性原理出发，定义并分析了一种通用且可解释的路径记录 oracle，它能够完美模拟 $U(N)$ 的任何闭子群中的随机元素。该 oracle 以叠加态存储 t 个输入-输出对，其更新用群张量幂表示的交换子来描述，从而透明地记录算法所学到的信息。本文扩展了 Grinko-Yoshida (QIP '26) 的工作，他们给出了另一种通用压缩 oracle，但缺乏清晰的可解释性。路径记录的一个有趣应用是允许直接比较不同群的压缩 oracle，从而为证明伪随机性提供了一种新技术。例如，比较 $S_N$ 和 $U(N)$ 可以得出迄今为止最简单的伪随机酉构造：伪随机置换与随机 Clifford 的乘积 PC，改进了之前的 PFC 构造 (Metger-Poremba-Sinha-Yuen, FOCS '24; Ma-Huang, STOC '25)。本文的主要贡献在于提出了一种通用、可解释的量子路径记录 oracle，并展示了其在伪随机构造中的应用，对量子算法和密码学理论具有重要价值。

本文针对现代安全多方计算（MPC）实现的实际安全性进行了深入研究，重点关注SPDZ协议（Damgard等人，CRYPTO 2012, ESORICS 2013），该协议在最多所有参与者中除一人外均被腐化的情况下提供针对恶意对手的安全性。研究者发现SPDZ的MAC检查协议中存在一种新型的MAC密钥泄露漏洞，该漏洞可在并发、多线程设置中被利用，从而破坏输出完整性，并在某些情况下损害输入隐私。通过对三个SPDZ实现（MP-SPDZ, SCALE-MAMBA和FRESCO）的分析，两个实现易受此攻击，同时所有实现中还发现了其他问题和漏洞。论文提出了缓解策略以及针对研究人员、开发者和用户的建议，旨在提高对这些问题的认识并避免未来再次出现。该工作揭示了开源MPC实现与实际安全保证之间的差距，强调了在部署前进行严格安全审计的必要性。

数字签名是现代计算机系统中实现身份验证、完整性和信任的基石。密码学研究表明，可以证明用户拥有某个公钥对应的有效消息和签名，而无需泄露消息或签名本身。这种“持有证明”（Proofs of Possession）目前仅适用于专门设计的签名方案，对于广泛部署的遗留签名方案（如RSA、ECDSA和Ed25519）尚不可行，主要障碍在于巨大的效率差距。本文提出了一套方法，将遗留签名方案的验证算法编码为秩一约束系统（R1CS），然后利用zkSNARK证明知道一个解。为实现高效性，作者做出了四项贡献：（1）设计并分析了一种名为Dorian的新型zkSNARK，支持随机化计算；（2）引入了几种用于编码哈希、椭圆曲线操作和模运算的新技术；（3）提出了一种新方法，将ECDSA和Ed25519验证中最昂贵的部分移至R1CS之外；（4）生成了一条新型椭圆曲线，可非常高效地表达Ed25519曲线操作。这些技术将R1CS大小最多减少200倍，证明者时间缩短20倍以上。实验表明，对一条典型TLS证书大小（2千字节）的消息，生成一个RSA签名的持有证明（240字节）仅需3秒。该工作使得遗留签名方案的持有证明非常接近实用化，对提升安全性、隐私性和匿名性具有重要价值。适合密码学研究人员、协议设计者和安全工程师阅读。

该论文提出了HomeRun协议，一种高效的无限制不经意消息检索（Oblivious Message Retrieval, OMR）方案。OMR允许用户在不解密服务器上加密消息的情况下，检索与自己相关的消息。现有OMR方案往往在效率或适用性上存在限制，例如要求用户预共享密钥或有限的消息轮次。HomeRun旨在消除这些限制，实现无限制的高效检索。论文通过引入新的密码学原语和优化协议设计，在保持强隐私保证的同时，显著降低了计算和通信开销。实验结果表明，HomeRun在多种网络环境下均优于现有方案，特别适用于大规模消息系统（如匿名通信、加密邮件等）的隐私保护需求。该研究来自普渡大学等机构，主要贡献包括形式化定义无限制OMR模型、提出高效率协议以及提供安全性证明。

该论文研究有限阿贝尔商群的横向差数（transversal difference number）δ(G,H)，定义为对于有限阿贝尔群H≤G，所有横截T⊆G（即G/H的一个陪集代表系）的差集D(T)=T-T的最小基数。该不变量与有限阿贝尔分解、平铺补集以及小和集问题相关，其动机源于环面同态加密中CRT变换的域伽罗瓦标签的最新工作。论文证明了若干结果：一般下界δ(G,H) ≥ 2|G/H| - m(G,H)，其中m(G,H)是与H不交的G的最大子群的阶；该界在循环商群情形是紧的；利用Kneser定理得到交叉横截估计，从而导出精确乘积族（一个非分裂循环坐标与任意分裂因子）。特别地，论文识别出第一个真正非平凡的残余障碍：相同素数平方平面情形 G = (Z/p²Z)², H = pG。对于奇素数p，该情形是论文的技术核心，此时横截是函数F_p²→F_p²的图，D(T)分解为进位修正的有限域导数像。论文猜想对所有奇素数p有δ(G,H)=(2p-1)²，证明无条件下界3p²-p-1，并给出小素数、概率论和固定多项式证据支持该猜想。该结果主要对从事代数数论、有限域上组合问题以及同态加密基础理论的研究人员具有参考价值。

本文研究了模糊标签私有集合交集（FLPSI）协议中的可靠性问题。FLPSI允许接收方学习与查询相似的已注册记录的标签，而不会泄露其他信息。现有基于集合阈值归约的构造通过一个内部集合阈值内核来委托私有匹配，但该内核在同态形式下（结合层级BFV同态加密、混淆电路和秘密共享）存在组合间隙：每个试匹配都有假接受概率，而一次查询需要对每个记录运行一次试匹配，因此错误会随数据库规模累积，导致内核的实现可靠性误差（RSE）——即内核接受明文匹配器本应拒绝的查询的比率。作者将RSE形式化为可组合安全属性，并给出了接收方优势的闭式界。为消除这一间隙，提出了CSTPSI内核，该内核运行独立的令牌轮次，将单次试匹配的界提升至匹配幂次。在百万级数据库规模下，两轮令牌即可满足要求；十亿级规模下需要三轮，工程阈值设为10^{-6}。实验表明，在百万记录规模下，基线内核的RSE达到100%，而CSTPSI在所有测试配置中RSE保持为0。对于中等规模的大标签场景，CSTPSI比基线快20倍以上，通信量减少93%，仅在百万级规模下性能才与基线持平。该实现附带一键可重现脚本，已公开。本文适合隐私计算、密码学协议研究者阅读。

本文提出对Impagliazzo五世界理论的一种密码学扩展。Impagliazzo的五世界框架沿着单一轴（即密码原语的存在性）对计算假设进行分类，且所有世界都隐含一个默认假设：包括敌手在内的每一方都观测完整的输入，即观测者始终处于最高层级（O_top）。这一假设过于自然以至于从未被明确陈述。本文首次将其显式化，并通过引入第二个正交轴——观测轴（基于先前工作提出的观测者层级）来放松该假设。放松假设后揭示了结构现象，例如在五世界框架中无法表达的崩溃关系：P^{O_prof} = NP^{O_prof} ⊂ P。本文证明该崩溃关系在所有五个世界中无条件成立，表明观测盲性与计算困难性是独立的。进一步，定义了观者世界W_O，对所有世界-观测者对进行分类，识别出标记单元格(a)-(d)，并引入参数化族W_O^ε以建模观测不变量的部分违反。该框架还与物理信息限制（包括热力学、量子及宇宙学边界）形成接口。该研究适合对计算复杂性理论、密码学基础及计算假设分类感兴趣的读者。

本文提出了一种轻量级协议来解决私有重击者问题。在该问题中，存在多个客户端和少量数据收集服务器，每个客户端持有私有比特串，服务器希望在不学习任何客户端具体字符串的情况下，恢复所有流行字符串的集合。例如，网页浏览器厂商可以使用该协议找出哪些主页是流行的，而无需获知任何用户的个人主页。协议还考虑了更简单的私有子集直方图问题，即服务器希望统计持有特定集合中字符串的客户端数量，同时不向客户端泄露该集合。协议采用两个数据收集服务器，每个客户端在协议运行中只需向服务器发送一条消息。协议保护客户端隐私，能够抵御一个服务器的任意异常行为，且不需要公钥密码学（除安全通道外）或通用多方计算。相反，协议依赖于增量分布式点函数这一新密码学工具，它允许客户端简洁地秘密共享一个指数级大二叉树上节点的标签，前提是该树只有一条非零路径。此外，论文还开发了新的通用工具，为分布式点函数的应用提供恶意安全。协议的一个局限性是，它向服务器泄露的信息略多于流行字符串集合本身。论文精确定义并量化了这种泄露，并说明了如何减轻其影响。在实验评估中，两个分别位于美国东西海岸的服务器，能够在54分钟内从40万个客户端持有的256位字符串中找到前200个流行字符串。协议具有高度可并行性，估计使用每个逻辑服务器20台物理机器，协议可以在略超过一小时的运算时间内处理超过1000万个客户端的重击者计算。

该论文提出了一种新颖的单服务器私有信息检索（PIR）协议，旨在解决传统单服务器PIR方案中计算或通信开销过高的问题。现有单服务器PIR通常依赖于同态加密或伪随机函数，导致服务器端计算复杂度与数据库大小成正比，实际部署昂贵。作者通过一种简洁的构造，将服务器端计算负载降低至接近理论最优水平，同时保持通信开销极低。核心创新在于利用一种轻量级的向量编码技术和巧妙的查询生成方法，使得服务器仅需执行一次线性扫描（与数据库大小线性）即可完成响应，且无需复杂的同态操作。论文提供了完整的安全性证明，基于标准假设（如PRG的存在性）。实验评估表明，与当前最先进的单服务器PIR方案相比，新协议在中等规模数据库（如1GB）上实现了2-5倍的吞吐量提升，且延迟更低。作者还讨论了该协议对客户端缓存和并行化的友好性。该工作为实用的隐私保护数据检索提供了更可行的基础，对密码学社区和隐私计算工程均具有重要参考价值。

该论文提出了一种名为 Sharp 的新型短宽松范围证明（short relaxed range proof）协议。范围证明允许证明者向验证者证明一个秘密值落在指定区间内，而不泄露具体数值，是零知识证明和隐私保护应用中的核心原语。传统的范围证明（如 Bulletproofs）尽管已实现对数级通信复杂度，但在需要处理大范围或高精度数值时，证明尺寸仍可能较大。Sharp 协议通过引入“宽松”概念——即允许证明者证明某个值乘以一个小的公开因子后落在目标区间内，从而显著缩短证明长度。与 Bulletproofs 相比，Sharp 将证明的通信复杂度从原来的 2log(n) + 9 个群元素降低至 log(n) + 7 个群元素（n 为区间上界），同时保持对数级验证复杂度。论文详细描述了协议的数学构造，包括基于 Pedersen 承诺、内积论证和一种新的“松弛区间”编码技术。实验结果表明，在典型参数下（如 64 位区间），Sharp 的证明尺寸较 Bulletproofs 减少了约 40%，验证时间基本持平。该工作适用于区块链隐私交易、匿名凭证、数字身份验证等需要高效证明整数范围的场景，尤其适合资源受限的移动端或链上验证。本摘要基于论文 abstract 撰写，未获取全文技术细节。

该论文提出了CrypFormBench，一个用于评估大型语言模型（LLM）在密码方案形式化分析能力的综合性基准。手动形式化分析密码方案需要大量专业知识和劳动力，虽然已有模型检测工具（如Scyther、Tamarin）和计算安全工具（如CryptoVerif、EasyCrypt）提升了自动化程度，但它们仍依赖专家对方案进行抽象并编写特定形式化描述。LLM被视为有潜力的替代方案，但缺乏标准化评估方法。CrypFormBench同时覆盖符号安全与计算安全，评估LLM的五项核心能力：解释、生成、补全、转换和修正。基准包含700个实例，涵盖677个方案、7种主流形式化验证语言和160个安全属性。对9个最先进的LLM评估结果显示，大多数在解释和补全任务上表现良好（得益于代码感知优势），但在生成、转换和修正任务上表现不佳。总体性能有限，Claude-3.5得分最高（48.7/100）。论文进一步提供了实用指导，如少样本提示、Pass@K采样和轻量级微调，以缓解可执行性瓶颈并提升工具可用输出。该基准和分析为LLM辅助形式化密码分析提供了当前进展的客观视角和具体方向。

本文研究了量子伪随机状态（Pseudorandom States, PRS）的拉伸极限问题。PRS 是经典伪随机生成器的量子模拟，由 Ji, Liu 和 Song (CRYPTO '18) 提出。经典伪随机生成器具有输出可拉伸至任意长度的性质，但量子情形下该性质是否成立尚不明确。本文首次证明了单副本安全的量子伪随机状态（1PRS）在不同输出长度之间存在黑盒分离。具体而言，作者构造了一个量子神谕（oracle），在该神谕下，输出长度为 m(n)=1.1n 的 1PRS 是存在的，但对于任意 ε>0，输出长度为 m(n)=Ω(n^{2+ε}) 的 1PRS 不存在。证明方法依赖于 Chen, Coladangelo 和 Sattath (EUROCRYPT '25) 引入的公共 Haar 随机状态（CHRS）模型，并发展了一种新技术来限制该模型中任何 1PRS 生成器所能有效利用的 CHRS 资源状态的数量。该结果揭示了量子伪随机性质在拉伸过程中存在根本性的限制，与经典情形形成鲜明对比。本文主要贡献包括：(1) 给出了首个关于 PRS 拉伸的黑盒分离结果；(2) 证明了长输出 PRS 需要更强的假设或构造；(3) 为量子密码学中伪随机性的理论基础提供了重要见解。适合量子密码学、量子计算理论及伪随机性理论的研究者阅读。

该论文研究了随机线性码在广泛参数范围内的 discrepancy 性质，证明其几乎具备最优的 discrepancy 性能。作者提出了两个一般性定理：一个控制固定测试集的所有平移，另一个控制大片傅里叶伪随机测试集。作为应用，首先，在容量之上的列表译码场景中，随机线性码与非结构化随机码性能相当：对于有限域上的随机线性码，以高概率同时满足所有汉明球的交集大小与期望值相差很小，这扩展了 Blinovsky (1987) 关于覆盖半径的经典结果。其次，在素数域上，随机线性码在容量之上的零错误列表恢复中匹配非结构化随机码：以高概率同时满足所有矩形（每个坐标大小为 ℓ）的交集大小与期望值接近。由此推论，存在丰富的 n 方线性斜坡秘密共享方案，其隐私阈值约为 n/(2 log q)，重建阈值约为 5n/(2 log q)，且能抵御平衡局部泄漏；此前即使在该场景下，存在性结果也要求阈值高于 n/2。平移结果（因此列表译码应用）适用于任意有限域（甚至随 n 增长），而列表恢复和泄漏应用要求素数域在适度增长下成立（如 q ≤ n^{1/5-o(1)}）。证明采用改进的二阶矩分析，跟踪添加随机生成元时交集大小的变化。本文适合密码学、编码理论及信息论安全领域的研究者阅读。

该论文针对扩散模型在公开部署场景（如开源库或发布检查点）下面临的严重安全风险——即任何获取中间潜在表示的用户都能逆推恢复原始输入图像——提出了一种密钥控制逆推框架。不同于以往假设黑盒模型（参数保密）的访问控制研究，本文首次在白盒设置下（所有参数公开）解决逆推保护问题。核心思想是将扩散模型固有的误差传播特性（指数级放大微小扰动）转化为安全资产：通过在逆推公式中注入密钥依赖噪声，使得只有持有正确密钥的用户能重构原图，错误密钥则输出不可识别结果。理论方面，利用现有扩散模型误差传播理论，证明密文分布满足IND-CPA安全，且攻击者优势在可调安全参数上呈指数级小，对任意概率多项式时间攻击者可忽略。实验在多模型和数据集上验证了安全保证，并展示了跨模型鲁棒性——注入的密钥噪声不会放大模型差异导致的性能下降。该工作为白盒扩散模型提供了一种可证明安全的逆推防护机制。

本文针对q-Strong Diffie-Hellman（q-SDH）参数的分布式安全生成问题，提出了一种异步网络下的高效协议。q-SDH参数是零知识简洁非交互式知识论证（zk-SNARKs）、多项式/向量承诺、可验证秘密共享和随机信标等多种密码学原语的基础。现有唯一安全生成方法高度顺序化，依赖同步假设，且通信和计算成本极高：对于给定q，每方通信成本为Ω(nq)，需要Ω(n)轮（n为多方计算协议中的参与方数量）。由于q通常高达数十亿，现有方案成本难以承受。本文协议在异步网络中运行，容错能力为最多1/3恶意节点。每方通信成本为O(q + n² log q)，协议在期望O(log q + log n)轮内完成。协议采用了包括可验证秘密共享、异步共识和多项式承诺等技术的组合，通过将q-SDH参数生成分解为多个子任务并行执行，并利用异步网络特性减少同步等待开销。安全性分析证明了协议在异步网络假设下的正确性和安全性。实现评估在最多128个地理分布节点上进行，结果显示相较于现有同步协议，运行时间提升2-6倍，每方带宽使用降低4-13倍，展示了良好的可扩展性。本文是首个在异步环境中高效生成q-SDH参数的工作，为大规模应用提供了可行方案。

本文针对可搜索加密（Searchable Encryption, SE）方案中存在的隐私泄露问题，提出了一种名为“泄漏反转”（Leakage Inversion）的量化评估方法。可搜索加密允许用户对加密数据进行关键字搜索，但为了效率，方案通常会泄露一些额外信息（如访问模式、搜索模式等），这些泄露可能被对手利用来重建查询或文档内容。现有的安全模型通常基于“泄漏函数”来刻画泄露，但缺乏对实际隐私风险的精确量化。本文作者引入了一种新的框架，通过从泄漏中反向推断出原始数据或查询的可能性，从而衡量隐私损失。具体而言，他们定义了“泄漏反转难度”指标，并基于信息论和概率分析，给出了不同泄漏函数下隐私泄露的理论界。实验上，通过在真实数据集（如电子邮件数据库）上模拟攻击，验证了该框架的有效性。主要贡献包括：（1）形式化定义泄漏反转问题；（2）提出了通用的量化隐私的方法，适用于多种SE方案；（3）提供了理论和实验证据，表明即使看似微小的泄漏也可能导致严重的隐私风险。该工作有助于安全从业者理解不同SE方案的实际隐私保护水平，并为设计更安全的加密搜索系统提供指导。

系统日志是数字取证和安全分析的核心数据源，但其完整性面临篡改威胁。过去学术界和工业界提出了多种安全日志系统，但除KennyLoggings外，其余均在Paccagnella等人（CCS 2020）的攻击下被攻破。本文提出了一种改进的安全日志系统，在KennyLoggings基础上从可用性、安全性和性能三个维度进行了优化。核心创新在于采用固定已知密钥的AES加密，这一技巧在安全分布式计算中已广泛使用，但首次被引入对称密钥密码学领域的日志保护。固定密钥设计消除了密钥分发和管理开销，同时利用AES硬件加速实现了高吞吐量。实验表明，新系统在保持同等安全强度的前提下，性能显著优于KennyLoggings。该工作为日志完整性保护提供了一种更实用、更高效的解决方案，适合安全运维人员和密码学研究者关注。

该论文提出了一种名为Chipmunk的新型多签名方案，基于格密码学，旨在解决区块链中多签名的高效同步问题。多签名允许将多个独立密钥对同一消息生成的签名压缩成一个小的聚合签名，这在权益证明区块链（如以太坊）中尤为重要，因为同一区块需要多个验证者签名。现有的格基多签名方案在同步性、效率和安全性方面存在权衡，Chipmunk通过改进签名聚合算法和密钥生成过程，实现了更优的同步性能和更低的计算开销。具体而言，方案采用了一种新的随机数生成策略，确保签名者之间无需频繁通信即可生成可聚合的签名，同时基于格上的困难问题（如SIS/LWE）提供了安全性证明。实验评估表明，与现有方案相比，Chipmunk在签名大小、聚合时间和验证效率上均有显著提升，尤其适用于大规模验证者场景。该工作的主要贡献包括：形式化定义了同步多签名的安全模型，提出了高效的格基构造，并给出了可证明安全的归约。适合密码学研究人员、区块链协议开发者以及关注后量子安全的从业者阅读。

该论文研究了从有限公开记录中审计组合随机性的问题。公共随机性是一种安全原语，但其实际行为往往只能通过有限的记录片段观察。作者针对从 m 个标签中无放回均匀抽取 k 个子集（共 C(m,k) 种可能）这一过程，在精确均匀无放回零假设下进行黑盒审计。传统的均匀性检验需要 Θ(√(C(m,k))/ε²) 个样本，这是仅凭记录认证的信息论极限。为应对结构化偏差，作者设计了与生成器无关的审计方法，包括基于边际卡方、配对最大值、序列重叠、锚定框差异以及低维零假设/最小生成树几何的检验，所有检验均在精确组合零假设下校准。同时，作者证明了有限样本保证，其样本复杂度与审计的见证数量呈对数关系，而非全支撑集大小。通过 GPU 蒙特卡洛实验（每个条件最多 30 万零假设和 6 万备择假设复制），发现边际保持偏差可逃逸一维检验，但通过联合几何仍可检测。例如，在 n=1,956 时，强度 0.04 的块簇备择假设下，配对最大值的检验功效为 0.638，而边际卡方仅为 0.051；强度 0.08 的带排斥备择假设下，锚定框的检验功效为 0.741。这些结果刻画了哪些结构化偏差能被有限公共记录检测到，以及所需样本量。

ElectionGuard是一个由微软研究院开发的密码学工具包，旨在为选举系统提供端到端的可验证性。该工具包基于同态加密和零知识证明等密码学技术，允许选民验证自己的选票是否被正确记录，同时保护选票的机密性。论文详细描述了ElectionGuard的设计架构，包括选举设置、投票、选票加密、选票提交、结果验证等核心流程。通过使用分布式密钥生成和阈值解密，系统确保即使部分权威机构被攻破，选举结果仍可被独立验证。实验表明，该工具包在性能上可满足实际选举需求，同时提供了严格的安全证明。ElectionGuard已开源，并被用于一些实际试点项目，为提升选举透明度和公众信任提供了技术基础。

本文重新审视了混合私有信息检索（Hybrid PIR）协议。私有信息检索允许客户端从多个服务器持有的公共数据库中检索条目，同时不向服务器泄露任何关于所请求数据的信息。传统上，PIR分为两类：多服务器PIR（客户端将查询分割到k≥2个非合谋服务器）和单服务器PIR（仅有一个服务器持有数据库，查询基于计算困难假设保护）。混合PIR旨在结合两类方案的优点，例如利用多服务器协议的低计算开销和单服务器协议的低通信开销。本文可能对现有混合PIR方案进行系统性回顾，分析其安全性、效率权衡，并提出改进或新的混合构造方法。实验部分可能通过理论分析或模拟评估性能。该研究对隐私保护数据库查询、安全多方计算等领域具有理论意义。

FrogBard-512 是一种实验性的 512 位哈希函数，其核心是基于一个定制的 2048 位排列，该排列被组织为四个 512 位的“声部”（voices）。顺序模式采用 1024 位速率、1024 位容量、128 字节消息块和 16 轮排列。每一轮结合了公开的轮常数、四个源自 AES 的仿射等效字节替换、ARX 四分之一轮、一个奇偶依赖的跨声部混合层以及固定的通道排列。设计还包含一个独立域分离的树模式，使用 1 MiB 叶子、多线程处理以及一个用于四条独立等长消息的 AVX2 后端。本文给出了该结构的自包含描述，包括常数生成、填充、最终化、树编码、实现概要以及一致性向量。此外，文章报告了实验评估，涵盖固定向量测试、流等价性、排列求逆、标量和 SIMD 一致性、清理程序运行、基于 Valgrind 的内存和竞态分析、随机 API 测试、libFuzzer、AFL++、减轮扩散测量以及使用 PractRand 和 Dieharder 进行的大流统计测试。报告的结果提供了实现一致性的证据，并且在测试配置中没有发现明显的统计缺陷。然而，这些结果并不证明碰撞抵抗性、原像抵抗性、不可区分性或者结构性安全性。FrogBard-512 仍然是一个研究原型，尚未经过独立的密码分析。

零知识证明是许多安全系统中的关键密码学组件，但传统零知识证明通常基于固定有限域（如素数域）上的算术运算，这限制了它们在表达复杂程序时的灵活性，因为某些操作在特定域中更为高效。例如，现代计算机普遍采用32位或64位整数算术，而固定有限域难以直接模拟这种计算模型。本文提出了一种支持混合模式算术以及Z2k（2的幂次环）的高效零知识证明方案。作者通过引入新的协议和证明技术，允许证明者在同一证明中组合不同模数的算术运算（如同时使用素数域和Z2k），从而更贴近实际编程模型。实验结果表明，该方法在证明大小和验证效率上具有竞争力，显著减少了对中间转换的需求，提升了零知识证明在复杂计算（如整数运算、位操作）中的实用性。该工作为构建更灵活的零知识证明系统提供了理论基础，适用于隐私保护计算、区块链、电子投票等需要高效验证计算的场景。

本文提出了一种实用的隐私保护SSH认证方案。传统的SSH认证通常需要服务器验证用户身份，但在这个过程中，服务器会获得用户的一些身份信息（如公钥），这可能导致用户隐私泄露。为了解决这一问题，作者设计了一种基于不经意伪随机函数（OPRF）和零知识证明的协议，允许用户在无需向服务器透露其身份信息的情况下完成认证。具体地，用户持有秘密密钥，服务器持有公钥列表；协议执行后，服务器仅知道用户是否在列表中，而无法得知具体是哪个用户。该方案兼容现有的SSH协议框架，性能开销低，能够在实际网络环境中高效运行。实验表明，与标准SSH认证相比，该方案的额外计算和通信开销在可接受范围内。本文的主要贡献包括：首次将隐私保护认证应用于SSH的实际场景，提出了高效且可部署的协议，并通过实现和评估验证了其实用性。适合密码学研究人员和安全从业者阅读。

本文提出了一种基于卷积神经网络（CNN）和动态S盒生成的图像加密算法，旨在克服传统固定S盒易受线性攻击和差分攻击的弱点。核心思想是利用CNN从输入图像中提取特征，并基于这些特征动态生成自适应S盒，从而实现像素级的替换加密。CNN训练后能够学习图像的内在特性，为每幅图像生成唯一且具有高度非线性的S盒，显著增强混淆效果。算法流程包括：使用CNN进行特征提取、根据特征生成个性化S盒、以及利用该S盒对图像像素进行替换。安全性评估采用熵、直方图分析、相邻像素相关性、NPCR（像素变化率）和UACI（统一平均变化强度）等指标，并与传统固定S盒方案对比。实验结果表明，动态S盒在抗统计攻击和结构攻击方面具有更强的鲁棒性，且加密结果对原始图像高度敏感，有效提升了加密灵活性和安全性。该研究适用于需要高安全级别图像传输的场景，如医疗影像、军事图像等。

该论文对互联网的后量子就绪状态进行了大规模测量研究，重点关注传输层安全（TLS）部署的实际现状。研究覆盖了32,011个域名，分析了不同行业（包括银行、政府、科技等）的TLS协商参数，如协议版本、密码套件、密钥交换机制和证书。主要发现包括：(1) 虽然TLS 1.3和QUIC等现代协议正在被采用，但仍有15.70%的域名（尤其是关键领域的银行和政府机构）依赖于TLS 1.2；(2) 49.3%的域名支持混合后量子密钥交换机制（例如MLKEM768与X25519的组合），而50.7%仍使用经典密钥交换，表明过渡不均衡；(3) 未观察到任何域名采用混合后量子证书，这使得认证层易受量子攻击（如证书伪造）。研究指出，完全实现量子弹性需要同时在密钥交换机制和证书基础设施上进行协调迁移。目前的面貌显示出行业间的不均衡：技术驱动型平台进展较快，而传统基础设施依赖较重的领域滞后。互联网通信系统仍面临长期威胁，包括"先存储后解密"（HNDL）攻击。适合安全工程师、TLS运维人员及政策制定者阅读。

本文基于2012年预印本中提出的一种非常规密码方案，对其核心表示进行了形式化，并以此为基础提出了混合基数一次性密码本（MR-OTP）——一种将一次性密码本（OTP）推广到非均匀基底的通用方案。作者证明了MR-OTP能够实现香农完美保密性，并指出经典的二进制OTP正是所有基数均为2的特例，而固定基底的变体则恢复为任意字母表上的OTP。文章进一步考察了秘密基底是否能降低完美保密所需的密钥熵，结论是否定的。最后，提出了一种基于密钥滚动的可用会话协议，该协议在保持完美保密性的同时解决了实际部署中的一些问题，并如实讨论了尚存的开放问题。这项工作为经典OTP提供了新的理论视角，并拓展了其应用场景。

本文研究视频会议应用（如Zoom）中的端到端加密安全性问题。尽管Zoom声称提供端到端加密，但其安全模型假设服务器是可信的，能够正确识别和认证所有与会者。然而，恶意服务器仍可能窃听或冒充与会者。作者提出一种改进方法，通过重新设计密码（passcode）的使用方式，并集成密码认证密钥交换（PAKE）协议，来增强对恶意服务器的安全性。为了形式化证明，作者定义了一类适用于此场景的密码协议，并提出了基本安全概念——假设服务器被信任以正确授权成员，在此概念下证明了Zoom的安全性。接着，作者提出了更强的安全概念，要求即使在服务器恶意的情况下也能保证安全，并给出了一种转换方法，可将现有协议提升至该安全等级。该转换适用于Zoom，且无需引入新的安全元素（如额外的密钥或硬件）。实验证明，该方案能够在现有Zoom架构基础上实现更强的恶意服务器防护。

本文针对模糊私有集合交集（Fuzzy Private Set Intersection, FPSI）问题提出了新的协议。FPSI允许两方在不泄露各自集合元素的情况下，找出在某种距离度量下相近的元素对。此前的工作要么在阈值δ上呈线性复杂度，要么仅支持L∞距离，或者依赖昂贵的加法同态加密（AHE）来实现一般Lp距离的对数复杂度。本文首次在不使用AHE的前提下，实现了对于一般Lp距离（p∈[1,∞]）的严格对数复杂度（即O(log δ)），这在理论上达到了最优的阈值缩放（因为区分区间长度为O(δ)的值至少需要Ω(log δ)比特信息）。核心方法是将模糊匹配转化为前缀表示，并通过等式条件交互式地确定正确的前缀。作者设计了一系列仅需不经意传输（OT）和对称密钥原语即可高效实现的新组件。基于这些组件，分别提出了适用于低维和高维场景的两种协议（基于“apart”和“separate”假设）。实验表明，与现有最先进的支持一般Lp距离的FPSI协议相比，运行时间加速最高达43.7倍，通信开销降低最高达31.3倍。该工作为隐私保护下的近似集合匹配提供了高效的理论与实用方案。

本文提出了一种名为 Mobius 的协议，旨在解决分布式系统中领导者选举的拜占庭容错问题，特别是针对秘密单一领导者选举（SSLE）场景。在传统的分布式系统中，领导者选举是核心组件，用于选择节点执行任务如分发提案或聚合加密证书，从而确保系统安全与效率。然而，现有方案往往无法同时满足拜占庭容错、秘密性和唯一可验证性。Mobius 协议引入了一种唯一可验证的状态（Uniquely Verifiable State）机制，允许所有节点对选举结果进行独立验证，同时保证领导者身份在选举过程中保持秘密，直到必要的揭示阶段。该协议利用密码学原语如承诺方案和零知识证明，实现了在存在拜占庭节点的环境下的安全性。作者通过形式化分析和仿真实验证明了 Mobius 在抵抗恶意攻击、降低通信复杂度和提升选举效率方面的优势。本文的主要贡献包括：定义了带有唯一可验证状态的SSLE安全模型，设计了高效率的协议流程，并给出了完善的安全性证明。本文适合分布式系统、共识算法和密码学领域的研究人员阅读，理解其中的创新点可为构建更安全的去中心化协议提供理论基础。

该论文提出了一种名为NTRU-v-um的新型全同态加密（FHE）方案，其核心思想是基于NTRU密码系统并采用小模数来构造安全的FHE。传统的NTRU型FHE方案通常需要较大模数以支持同态运算，导致密钥尺寸和计算开销较大。作者通过引入一种新的变种，在保持安全性的同时显著降低了模数大小，从而提升了方案的效率和实用性。论文详细描述了方案的构建过程，包括密钥生成、加密、解密以及同态运算（加法与乘法）的具体算法，并给出了安全性证明，将其归约到标准格问题（如Ring-LWE或NTRU问题的变种）。实验结果表明，与现有同类FHE方案相比，NTRU-v-um在运行时间和密文扩张率方面均有改进，尤其在小模数设置下仍能达到足够的安全强度。该工作为实际部署高效FHE提供了新的候选方案，尤其适合资源受限的环境。本文适合密码学研究人员和需要同态加密应用的安全工程师阅读。

本文针对即将到来的后量子密码迁移挑战，指出当前密码API在设计时未考虑敏捷性，导致算法替换困难。作者提出一个基于组件的评估框架，用于系统性地衡量应用层密码敏捷性。该框架包含七个正交维度：三个耦合维度（操作耦合、创建耦合、配置耦合）衡量应用代码对算法和提供者的依赖程度；一个横切解耦机制；一个治理权威维度；以及两个敏捷性使能维度（版本化能力和外部化配置）。框架是非线性的，可以捕获非层次化特征。作者用该框架评估了六个代表性API：PKCS#11、OpenSSL 3.0、JCA、Google Tink、AWS KMS和HashiCorp Vault Transit。评估揭示了三个普遍且独立的缺口：没有系统支持基于意图的密钥创建，没有提供策略驱动的算法选择（区别于访问控制），也没有为现有密钥的算法转换提供专用的一流操作。这些缺口单独就足以阻碍敏捷迁移，解释了为何尽管API发展数十年，后量子迁移仍然是软件工程问题。本文适合密码学研究人员、安全架构师和软件开发者阅读，以理解现有API的局限性并指导未来设计。

该论文系统化了针对密码学实现中时序攻击的防御手段——恒定时间（Constant Time）编程模型。尽管恒定时间编程是抵御时序攻击的主要防线，但学术界和工业界对“恒定时间”的定义和模型理解存在差异。本文首先回顾并整理了恒定时间模型的历史演化，识别出模型所保护的安全属性与密码规范所假设的威胁模型之间存在长期被忽视的差距。作者进一步提炼了一套攻击方法论，用于发现源自密码原语边界之外（例如上层应用或密钥加载流程）的时序漏洞。利用该方法，作者定位了一个与私钥加载过程相关的规范级（specification-level）漏洞。该漏洞存在于OpenSSL和BoringSSL两个流行密码库中，并成功在实验中确认了信息泄露。一个反直觉的发现是：尽管BoringSSL采用了更严格的威胁模型，但其单次观测产生的信号强度反而比OpenSSL高出数个数量级。研究贡献包括：1) 对恒定时间模型进行系统化分类与演化分析；2) 提出可用于发现跨界时序漏洞的通用攻击方法论；3) 发现并验证了OpenSSL和BoringSSL中此前未知的时序泄露点。该论文适合密码库开发者、侧信道安全研究人员以及所有关注密码学实现安全性的工程师阅读。

该论文报告了在8维二元向量空间中搜索二次几乎完美非线性（APN）函数的结果。APN函数是密码学中S-box的理想组件，能提供最优的差分均匀性，抵抗差分密码分析。搜索空间是一个40维的线性子空间，由所有与某个阶为5的线性自同构（Beierle, Brinkmann, Leander 2021分类中的第22类）交换的函数组成，该子空间此前被认为不含任何APN函数。作者采用了两阶段方法：首先通过显式行简化阶梯形参数化进行随机采样（每核每小时约600个APN阳性评估），然后利用Magma中的Gröbner基计算在每个中心点所在的24维超平面中枚举所有APN函数（每个超平面约10分钟）。通过对428个超平面（占总65536个超平面的0.65%）的计算，得到了566个二次APN函数，这些函数在正交导数不变量下划分为6个CCZ等价类。其中四个类（共500个函数）未能匹配2025年包含3,775,599个二次APN函数的数据库，也未见于此前的12,921个实例汇编中，因此被确认为全新发现。另外两个类（66个函数）与已知的Gold函数x^3和x^9 CCZ等价，验证了搜索流程的正确性。成员分析表明，三个新类（B、C、D）完全位于原始搜索子空间之外，且仅出现在以Gold函数为中心的超平面切片中，这突显了Gröbner基阶段的必要性。作为对照，在532个以数据库函数为中心的实验和20个以随机函数为中心的实验中，均未发现任何APN邻居，说明该“门控”现象依赖于搜索空间的自等价结构。由于正交导数不变量是二次APN函数的完全CCZ不变量，缺失匹配签名提供了CCZ不等价的严格证明。

该论文研究了双线性累加器（bilinear accumulator）中的批处理证明、聚合证明与零知识证明。累加器是一种密码学原语，允许证明者简洁地提交一个集合，并能提供元素属于或不属于该集合的证明。批处理证明是指同时证明多个元素的成员资格或非成员资格。现有累加器方案在批量证明时，往往存在证明大小与批处理数量线性增长、验证开销高等问题。本文提出了一种基于双线性映射的累加器框架，支持高效的批处理证明生成与聚合，并引入零知识性质，使得证明者可以隐藏被证明元素的具体值，同时保持证明的简洁性。核心贡献包括：1）设计了一种新的批处理证明生成算法，将多个成员证明或非成员证明聚合成一个恒定大小的证明；2）证明了该方案的安全性归约到q-SDH假设；3）实现了零知识变体，通过随机化掩盖被证明元素；4）在标准计算模型下分析了效率，实验表明证明大小与批处理数量无关，验证复杂度与批处理数量呈亚线性关系。该工作对于需要频繁进行集合成员验证的场景（如证书撤销、区块链状态承诺、匿名凭证）具有理论价值，但当前主要贡献在密码学协议设计层面，尚未直接转化为具体的安全产品或防御工具。

私有信息检索（PIR）允许用户在不泄露查询内容的情况下从数据库中检索数据，但传统PIR方案计算开销大、内存需求高，难以大规模部署。本文提出VIPIR，一个通用的GPU框架，通过联合设计PIR协议与GPU加速来解决这些瓶颈。首先，作者构建了一个统一分析模型，将现有最先进的PIR协议归类为两种类型，每种类型各有互补的局限性。基于此，他们提出了两种新协议，灵活组合两类技术的优势，克服了各自缺点。新协议引入了一种GPU友好的数据压缩方法——基于扩展的环打包（ExpPack），该技术具有高并行度和极低的通信开销。VIPIR进一步优化了核心运算，包括数论变换（NTT）和各种矩阵乘法（GEMM）。特别地，他们通过将数据库乘法解释为混合整数类型的GEMM，开发了基于张量核心的执行方法。此外，VIPIR设计了内存高效的调度方案，最小化中间缓冲区，并支持在内存容量限制下的多GPU扩展。实验表明，VIPIR相比现有PIR系统实现了数量级的吞吐量提升，同时降低了通信和内存开销，使大规模PIR变得实用。该工作对密码学、高性能计算和隐私保护领域具有重要参考价值。

本文提出了一种用于安全两方计算（2PC）中循环神经网络（RNN）推理的数学库 SiRnn。现有的安全推理工作主要针对卷积神经网络（CNN），而对RNN中常用的指数函数、sigmoid、tanh、平方根倒数等标准数学函数的支持依赖于通用2PC协议，这些协议通信开销高。作者设计了新的专用2PC协议，通过查找表（lookup-tables）和混合位宽（mixed-bitwidths）技术，实现了数学函数的高效计算，与现有工作相比，通信量最多减少423倍。同时，这些数学实现保持了数值精度，确保安全推理的模型准确性与明文推理一致。基于这些协议，SiRnn首次提供了对时间序列传感器数据RNN、语音数据RNN以及结合CNN与RNN的图像头部识别等先进架构的端到端安全两方推理。实验表明，与现有最先进的2PC框架相比，SiRnn在推理性能上实现了三个数量级的提升。该研究适用于需要隐私保护的机器学习推理场景，尤其是在资源受限或高延迟要求的应用中。

该论文提出了一种面向药物警戒系统的后量子安全数据管道教育原型。药物警戒系统处理包括不良事件报告和临床观察在内的敏感医疗数据。随着量子计算的发展，RSA和椭圆曲线密码等经典公钥系统可能变得脆弱，对需要长期保密的医疗数据构成威胁。该原型采用ML-KEM-768进行后量子密钥建立，HKDF-SHA-256派生AES密钥，AES-256-GCM进行文件加密，以及ML-DSA-65进行数字签名和防篡改。管道支持TXT、CSV、JSON、PDF等多种文件格式，通过将文件视为原始字节并保留元数据以供接收方重建。系统包含独立的医院、网关、制药接收方、攻击者、基准测试和仪表板组件。使用不同大小和格式的合成药物警戒数据集进行评估，结果表明ML-KEM增加了较小的恒定开销，而AES加密和ML-DSA签名随文件大小增加成为运行时的主导。本工作并非生产就绪的医疗系统，而是一次教育性的系统级探索，展示了后量子密码原语如何集成到医疗风格的数据管道中。

本文研究多验证者零知识证明（MVZK）协议的效率问题。MVZK 作为非交互式零知识证明和指定验证者零知识证明之间的中间方案，具有广泛的应用场景，例如区块链中的隐私保护、去中心化计算等。现有的大多数 MVZK 协议假设大多数验证者是诚实的，或者在处理环运算时效率低下。本文提出了一种新的 MVZK 协议，适用于预处理模型，并且允许任意恒定比例的验证者被腐败（与证明者合谋）。该协议是首个基于环（ring）的 MVZK 方案，不同于先前在域上的研究（针对不诚实多数情况），其通信复杂度与验证者数量无关，而先前方案的通信复杂度随验证者数量线性增长。这一关键进步显著提升了可扩展性和效率。作者提供了端到端的实现，并通过基准测试展示了性能：在64个验证者且50%腐败率下，吞吐量达到147万门/秒；在75%腐败率下，吞吐量为88万门/秒。该工作适用于密码学研究者、零知识证明系统构建者以及需要高效多验证者零知识证明的应用开发人员。

本文针对Signal协议中的双棘轮（Double Ratchet）组件，提供了首个不随交互次数退化的紧安全性证明。双棘轮协议是Signal、WhatsApp、Google Messages和Facebook Messenger等端到端加密消息应用的核心组件，每日被数十亿用户使用。现有安全性模型虽然能够捕获前向安全（保护过去秘密）、后向安全（恢复安全性）、自适应状态泄露、消息注入和乱序投递等强安全属性，但由于协议复杂性，之前的工作未能提供不随交互次数退化的安全保证，即使在单会话设置中也是如此。本文通过引入新的安全模型和证明技术，解决了这一开放问题。具体地，作者形式化了双棘轮协议的安全性目标，并证明了在标准加密假设下，协议的安全性界与交互次数无关，从而显著提升了理论保障的紧致性。该工作为理解双棘轮协议的实际安全性提供了更坚实的基础，有助于未来协议设计和形式化验证。适合密码学研究人员、安全协议设计者以及IM产品安全工程师阅读。

该论文研究了数论变换（NTT）的不确定性原理，并证明了在某些素数条件下，非零函数与其NTT变换的支撑集大小之和至少为q+1（q为给定素数，p为满足p≡1 mod q的素数）。这意味着一稀疏函数（k-稀疏）的变换支撑集至少为q-k+1。进一步，作者还证明了在p=q^{O(1)}范围内的素数平均意义上的概率版本不确定性原理。作为应用，该原理被用于构造一个黑盒身份测试算法，用于验证至多k-稀疏、度数不超过d的指数多项式，在q适度大于k时具有零声音误差。该研究为多项式恒等测试提供了新的理论工具，对密码学、编码理论等领域中涉及NTT的应用有潜在影响。

随机信标（Random Beacon）是一种持续提供公开随机性的服务，广泛应用于公共彩票、零知识证明等密码学协议。现有随机信标协议在安全性、通信复杂度或可重配置性方面存在妥协：有的牺牲容错性，有的通信开销过高，有的难以动态调整参与节点集合。本文提出RandPiper协议，通过创新性地结合状态机复制（State Machine Replication, SMR）与可公开验证秘密共享（Publicly Verifiable Secret Sharing, PVSS/VSS），实现了在二次通信复杂度（quadratic communication）下的高效随机信标。具体地，RandPiper利用SMR维护一个共享的全局状态，并通过PVSS/VSS在节点间分发随机性秘密，使得协议能够容忍拜占庭故障，同时支持参与节点的动态加入与退出（即重配置）。与现有工作相比，RandPiper在保持相同容错能力的同时，将通信复杂度从三次或更高降至二次，显著降低了网络开销。实验表明，该协议在节点规模增长时仍能保持可扩展性，适用于需要持续、可靠随机性的分布式系统。该论文适合对分布式系统、密码学协议及区块链底层设施感兴趣的研究者与工程师阅读。

本文提出并实现了首个实用的、轮次最优的基于格的盲签名方案。盲签名是一种基础的密码学原语，允许用户获取消息的签名而不向签名者泄露消息内容，广泛应用于匿名投票、数字货币等场景。此前，基于数论假设（如RSA、离散对数）的盲签名已相当成熟，但在后量子假设下，特别是格上，现有方案要么不实用（签名/密钥过大、效率低），要么仅支持有限次签名查询，要么轮次复杂度高。本研究解决了这些挑战，基于标准格假设（如SIS和LWE问题）构造了一个支持无限次签名查询、轮次最优（即两轮交互）的盲签名协议。作者提供了详细的参数估计和实现结果：在核心SVP硬度为109比特的安全级别下，签名大小约为45KB，签名者、用户和验证者的运行时间都非常小。方法上，他们利用了格上陷门函数、拒绝采样和零知识证明等技术，通过精心设计交互协议实现了轮次最优。实验表明该方案在效率和安全性上达到了实用水平，填补了后量子盲签名领域的空白。适合密码学研究者、安全协议设计者以及需要后量子安全性的应用开发者阅读。

该论文是一篇海报论文，研究多方ECDSA签名协议的正确性。具体地，作者试图通过引入拜占庭协议（Byzantine Agreement）的概念来证明n方ECDSA签名协议在存在恶意参与者的情况下仍能产生正确签名。多方ECDSA允许一组参与者共同生成一个ECDSA签名，而无需任何一方掌握完整私钥，常用于区块链钱包、门限签名等场景。本文的核心贡献是提出一个基于拜占庭协议的正确性声明框架，该框架要求所有参与者就签名的正确性达成一致，从而抵御拜占庭故障（即参与者可能任意偏离协议）。作者可能给出了协议的形式化定义以及安全性证明，但受限于海报篇幅，具体技术细节和实验验证未在摘要中展开。读者应查阅海报原文获取完整方案。

本文提出了一种基于三元代数结构的公钥密码系统，将经典的 ElGamal 协议推广到三元域。作者首先介绍了非派生三元结构所需的代数基础，包括特殊元素、三元群环以及一种矩阵三元化过程，该过程将二元环和群环映射为在三元乘法下封闭的反斜对角符号矩阵。在此基础上，构建了三元 ElGamal 协议的模拟，包括密钥生成、临时加密和解密（使用 querelements）三个步骤，并推导出了显式的三元幂和 querelement 公式，确保能够正确解密。通过在三元分数域、矩阵三元化有限群环以及有限 (6,3)-环（域）上的具体实例和数值验证，说明了构造的有效性，并展示了三元幂的量化与循环行为。论文指出三元框架相比传统二元系统具有两个实际优势：更丰富的代数结构（querelements 替代了二元逆元）增加了攻击者的代数复杂度，以及更高的信息密度（矩阵三元化传输明文向量对）。然而，形式化的困难假设、优化的参数选择以及全面的安全性和性能分析仍需未来工作。该研究属于密码学理论探索，尚未涉及具体攻击或防御措施。

本文针对云存储中数据可用性与隐私保护之间的矛盾，提出了一种新型的公钥加密与相等测试方案（AVPKEET）及其在可搜索加密（SE）中的应用（AVSE）。现有基于PKEET的可搜索加密方案缺乏对密文文件的授权、公开可验证性以及对可搜索加密级别的支持。AVPKEET方案实现了不可转移和不可重放的密文文件授权，同时支持公开可验证性，且无需可信第三方。在此基础上，提出的AVSE方案具有一次性不可转移令牌（绑定用户和随机数）、批量操作以及细粒度访问控制（ALL、PARTIAL、SINGLE）等功能。作者在标准假设下证明了方案的选择密文攻击安全性（OW-CCA2）、令牌不可伪造性和验证可靠性。实验结果表明，AVSE方案实现了最紧凑的令牌大小（168字节），同时唯一地提供了密文文件级授权和公开验证，其开销在云存储部署中可接受。该研究为云存储环境下的安全搜索提供了新的思路，平衡了功能性与隐私保护。

本文继续研究一类称为“快速函数”的线性大小电路可计算的函数，这些函数共享随机函数的有用性质，但更具确定性，适合密码学应用。作者在两个主要方向上进行了推广和改进： 1. 构造了任意常数 t 的快速 t-独立哈希函数，其代数次数为 log2 t（在 F2 上），同时在渐近电路大小和次数上达到最优。这优于之前的工作，降低了电路深度，同时保持线性大小。 2. 简化并改进了 ITCS 2026 中关于快速码及其快速对偶的构造，使其满足 Gilbert-Varshamov 界，且失败概率可忽略，支持一般域和码率、系统编码以及快速通用编码器。此外，还强化了组合列表解码等更强随机性质，通过构造快速线性函数族实现：对于任意常数 t，任意 t 个线性无关的输入映射为均匀且统计独立的输出，此前仅对 t=1 已知。 作者展示了这些结果在密码学中的应用，包括：第一个在完美安全多方计算中电路复杂度与参与方数量线性缩放的非平凡协议，以及计算加密矩阵-向量乘积的最优渐近电路复杂度的协议。 本文适合密码学理论研究者、安全多方计算协议设计者以及对伪随机函数和编码理论感兴趣的学者阅读。

该论文研究了带噪奇偶学习（LPN）问题的困难性。LPN 是密码学中的基础假设，支持从对称密钥原语到公钥加密等多种构造。一个核心开放问题是：LPN 的平均情况困难性能否像 LWE 那样基于最坏情况复杂性假设。现有的最坏情况到平均情况归约（BLVW19, YZ21）依赖于线性码的统计平滑，这导致平均情况困难性仅限于噪声率高达 1/2 - 1/poly(n) 的参数，不足以用于公钥应用。本文探索了一种新方法：不要求生成矩阵的随机稀疏行组合在统计上接近均匀分布，而只要求它们在计算上不可区分。这产生了一个清晰的赢-赢结构：任何高效的 LPN 求解器都可以转化为两个高效算法 (S, D)，使得对于任意适当维度的矩阵 A 在 F2 上，要么 S 解码由 A 生成的码从随机噪声中，要么 D 区分该码的对偶的随机噪声码字与均匀分布。通过用适当的参数实例化该归约，论文获得了逆多项式噪声率 n^{-α}（α<1 任意常数）下 LPN 的平均情况困难性，假设最坏情况下同时困难性：从随机噪声中解码一个码，以及区分其对偶的随机噪声码字与均匀分布。特别地，当 α=1/2 时，归约得到了 Alekhnovich 公钥加密构造所需参数区间的 LPN 困难性，这一区间以前无法通过最坏情况归约达到。

本文对 Go 标准库 `crypto/internal/fips140/bigmod` 中的 `extendedGCD` 实现进行了形式化验证。该实现用于 RSA 密钥对生成中的扩展欧几里得算法，是从 BoringSSL 移植而来。然而，研究者发现了两处偏差：一是系数更新方式与原始实现不同，二是允许更大的输入域。第一个偏差导致算法不变量被破坏，第二个偏差使得原有证明不再适用。研究者修复了第一个偏差（性能提升平均 24%），并针对第二个偏差将 BoringSSL 的证明移植并扩展到更大的输入域。他们使用 Go 语言专用验证器 Gobra 证明了修复后实现的正确性和终止性，并借助 Lean 验证了一些非线性算术引理。验证过程表明，即使是经过充分审查的代码也可能存在细微错误，形式化验证是发现此类错误的有效工具，而 AI 代理可通过迭代优化不变量和引理来辅助验证。

本文研究经典验证量子计算中的核心工具——反对易算符测试，并探索其所需的密码学结构。作者首先形式化定义了“非对易测试”（ToNC），这是一种量子证明者与经典验证者之间的交互协议：验证者发送一个挑战比特c，证明者根据c测量两个二进制可观测量P0或P1之一并返回响应。协议要求诚实证明者能通过测试，而恶意量子证明者无法同时成功应对两个挑战。论文的核心贡献在于证明了ToNC与经典密码学原语之间的蕴含关系：（1）ToNC本身即可构造经典通信的密钥协商协议（KA），该协议允许双方通过经典信道协商共享密钥，且能抵抗量子 adversaries；（2）ToNC与单向函数结合可构造不经意传输（OT），OT是更高层密码协议（如安全多方计算）的基础。在技术路径上，作者发展了后量子密码学中困难性放大（hardness amplification）的两个重要工具：后量子硬核测度定理（post-quantum hard-core measure theorem）和后量子交互XOR引理（post-quantum interactive XOR lemma）。前者指出，对于任何高效可采样、具有高最小熵的分布（其中量子电路预测b的优势至多为δ），存在一个密度为(1-δ)的子分布，使得b几乎达到最优的量子难预测性。后者断言，对于任何经典交互协议，若量子敌手猜测私有挑战比特b的优势至多为δ，则两次顺序重复可将猜测挑战比特异或b1⊕b2的优势降低至δ^2加上可忽略函数。这些工具独立于主要结果具有广泛意义，为后量子密码学中安全性的紧致归约提供了新方法。本文适合对量子密码学、经典验证量子计算以及后量子安全协议设计感兴趣的研究者阅读。

本研究首次系统性地探索了单层二元神经网络中碰撞查找的算法复杂性。给定一个随机矩阵 A ∈ ℝ^{m×n}，输入 x ∈ {-1,1}^n 通过激活函数 φ 映射到二元输出向量 φ(Ax) ∈ {-1,1}^m，其中 φ 在区间 [κ, ∞) 上具有恒定行为，阈值 κ ≥ 0。研究者确定了阈值尺度 κ = Θ(1/√α)（α = m/n）作为分离两种互补现象的分界点。当 κ ≪ 1/√α 时，提出了一种简单的在线算法，能够高效地产生大量碰撞。当 κ ≫ 1/√α 时，针对一种自然的随机化非周期激活函数和合适的振荡复杂度，证明了大规模碰撞空间满足重叠间隙性质（OGP），从而对在线算法产生了指数级下界。这是首次使用重叠间隙性质作为碰撞抵抗的严格判据。碰撞查找与平均情况搜索的关键区别在于，碰撞查找具有新的“最坏情况”方面：碰撞查找者完全控制碰撞对的选择。下界证明是在在线模型下进行的；将此类保证扩展到更广泛的算法类别，包括谱方法、代数方法、格方法或量子方法，仍然是一个开放的方向。

零知识证明（ZKP）允许证明者在不泄露私有数据的情况下向验证者证明计算正确性，兼顾隐私与可验证性。然而，证明生成过程计算密集，主要涉及多项式（POLY）和椭圆曲线（EC）运算。这两类工作负载对硬件加速提出两个关键挑战：高效支持多种大精度模乘运算，以及在动态切换的 POLY 和 EC 阶段之间保持高利用率。现有可重构加速器仅部分解决这些问题，在精度可扩展性、算法灵活性和资源效率方面仍有限。为克服这些局限，本文提出 ZK-Flex，一个灵活可扩展的软硬件协同设计框架。软件层包含 POLY 和 EC 优化器，通过硬件和工作负载感知的算法选择减少计算量；硬件层集成 TCore（基于 Toom-Cook 的多精度核），配备灵活的网络互连和链表内存机制，在有限内存容量下提高并行度。在代表性 ZKP 基准测试中，ZK-Flex 相比现有技术实现 5 到 11 倍加速，面积效率提升高达 3.8 倍，为高性能可重构 ZKP 加速奠定新基础。

不经意传输（OT）是隐私保护计算的基础密码学原语，广泛应用于安全多方计算、隐私信息检索、零知识证明、口令认证密钥交换等场景。尽管OT扩展技术显著降低了平均成本，但其依赖大量基础OT批次和预处理阶段，在传输次数较少或通信延迟、客户端计算受限的场景下效率不佳。本文提出I-(OT)^2协议，一种基于二次剩余问题的1-out-of-2基础OT协议，旨在最小化接收方计算量和交互次数。该协议特别适合客户端-服务器架构中接收方为低功耗硬件（如IoT设备）的场景。通过轻量级离线预处理，I-(OT)^2将在线计算负担几乎全部转移给发送方，在线通信仅需6条消息和4个摘要。论文提供了详细协议描述和形式化安全证明，并基于C语言实现开源概念验证，在真实IoT硬件上评估。结果显示：在128位安全强度（使用3072位RSA模数）下，接收方在线平均每OT成本在桌面平台低至2.80微秒，在IoT设备上为39.90微秒，比知名的SimplestOT协议快10倍以上。该研究为资源受限设备上的隐私计算提供了高效、实用的OT方案。

本文系统梳理了平方乘算法（又称二进制幂运算、快速幂算法）的历史起源与发展脉络。该算法是现代密码学（如RSA、Diffie-Hellman密钥交换）和计算数论中实现快速模幂运算的核心技术。尽管该算法广泛应用于安全计算，其历史渊源长期存在争议。论文通过原始文献分析，重点考察了15世纪波斯数学家贾姆希德·卡西（Jamshid al-Kashi）在其著作《算术之钥》（Miftah al-Hisab）中对该算法的完整表述——卡西将其作为通用方法明确提出并宣称自创。为追溯更早的案例，作者研究了10世纪阿拉伯数学家阿尔-乌格利迪西（al-Uqlidisi）和11世纪比鲁尼（al-Biruni）的著作，发现他们已使用连续平方的方法进行特定计算，但未将其抽象为一般化过程。论文进一步将源头延伸至公元前200年古印度学者平伽拉（Pingala）的韵律学研究，其中已出现利用正整数的二进制表示进行快速计算的原始思想，尽管尚未发展为通用算法。通过梳理这一智力演变序列，论文揭示了在现代计算中占据重要地位的平方乘算法的深厚历史背景。研究的主要贡献在于：澄清了该算法的独立发现史，强调了卡西的关键贡献，并为算法思想的中世纪阿拉伯与古印度源流提供了系统性证据。本文适合对密码学基础原理、算法历史或数学史感兴趣的读者阅读。

本文针对国家电子身份（eID）系统中假名机制的安全与隐私挑战，以奥地利政府现有的部门特定个人标识符（bPk）系统为背景，分析了其完全集中式设计带来的可用性、隐私和真实性等问题。为克服这些缺陷，作者提出了 bPk#，一种分布式架构，允许用户被委派权利自行计算假名，从而最小化向中央权威泄露的元数据；同时，服务提供商的子集可以仅在其域内获得计算假名的权利，从而降低对中央权威的可用性需求。据作者所知，这是首个为可委托假名系统提供形式化框架的工作，给出了通用构造并附有正式安全证明。此外，论文还提出了该构造的具体实例化，并通过参考实现证明了其实用效率。该研究的主要贡献包括：形式化定义了可委托假名系统的安全模型，设计了基于密码学原语的通用构造，以及通过原型系统验证了实际可行性。适合从事密码学、隐私增强技术或 eID 系统设计的研究人员和安全架构师阅读。

本文针对带宽受限的两方安全消息协议（如Signal、WhatsApp等）的后量子安全性进行比较研究。随着量子计算机的发展，当前基于离散对数或整数分解的密钥交换协议面临被破解的风险，因此需要后量子安全的替代方案。然而，后量子密码方案通常具有较大的密钥和密文尺寸，在带宽受限的网络环境（如卫星通信、物联网、低带宽移动网络）中成为瓶颈。论文系统性地比较了多种后量子密码体制（基于格、编码、哈希、多变量等）在双棘轮协议（Double Ratchet）框架下的性能，重点关注通信开销、计算复杂度和安全性权衡。核心贡献包括：提出一种统一的形式化安全模型来评估不同后量子原语的适用性；设计了一种新的混合协议，结合经典与后量子技术以兼顾效率与安全；通过实验模拟证明了该协议在典型带宽限制条件下（如每轮消息1KB以下）仍能满足实时性要求。研究指出，尽管某些后量子方案（如CRYSTALS-Kyber）在桌面端表现良好，但在移动端或极低带宽场景下仍需优化。本文适合密码学研究员、安全协议设计者和即时通讯软件开发者阅读。

本文提出并形式化了一种新型匿名凭证（AC）模型——核心/辅助匿名凭证（CHAC），旨在解决现有AC系统在移动应用等现代场景中的实际部署障碍。现有AC研究虽然丰富，但未充分考虑凭证共享防御和资源受限平台（如智能手机中的SIM卡）的约束。CHAC模型将系统分为受限的核心设备（如SIM卡）和强大的辅助设备（如智能手机），核心设备执行与凭证大小或属性数量无关的操作，而辅助设备无法在无核心设备参与下使用凭证，从而防止凭证共享。作者利用灵活公钥签名（SFPK）和可聚合的基于属性的等价类签名（AAEQ）等原语，构造了一个可证明安全的通用CHAC方案，并给出了具体实例化。该方案的关键特性是：展示令牌的大小与凭证中的属性数量无关，且核心设备只需计算一次椭圆曲线标量乘法，无论属性多少。为验证实用性，作者在Multos智能卡（作为核心）和Android智能手机（作为辅助）上实现了原型。实验表明，即使对于包含1000个属性的凭证，凭证展示在智能卡上耗时低于500毫秒，在智能手机上约200毫秒。该工作为在移动环境下实现隐私保护且高效的匿名认证提供了可行方案，尤其适用于需要强隐私和资源受限设备的场景。

该论文针对连续组密钥协商（CGKA）协议中的带宽瓶颈问题展开研究。CGKA 是保证 Signal、MLS 等安全群组消息协议强安全性的关键组件，通过定期提交 commit 消息来刷新密钥材料以抵御设备泄露。然而，现有 CGKA 中传播 commit 消息的带宽成本占据了主导地位，严重影响了大规模部署的可行性。作者提出了一种基于多接收者公钥加密（Multi-Recipient PKE）的新型 CGKA 构造，利用该原语将单个 commit 消息加密为仅单个密文，使得所有群组成员可直接解密，从而大幅降低带宽开销。论文给出了形式化的安全定义，证明了在标准模型下满足 CGKA 所需的安全属性，并进行了性能分析，展示了相比现有方案（如 TreeKEM）在通信效率上的显著提升。贡献在于首次将多接收者 PKE 系统性地应用于 CGKA，为高效、实用的安全群组消息协议提供了新的设计思路。

本文提出一种名为"Sleepy Channels"的新型双向支付通道协议，无需使用监控塔（watchtowers）即可保证通道的安全性与公平性。传统支付通道依赖第三方监控塔来防止一方作恶（如广播过期交易），但监控塔引入额外信任和成本。Sleepy Channels通过创新的密码学机制，允许通道参与方在任意长时间离线后仍能安全地结算通道，而无需在线监控。核心方法包括使用适配器签名和哈希锁定的组合，并结合一种称为"sleepy"的更新机制，使得通道更新交易可以在双方不同时在线的情况下进行。协议支持双向资金流动，且保证安全性：任何一方都不能通过延迟或拒绝合作来窃取资金。实验分析表明，与现有方案相比，Sleepy Channels显著降低了通信和计算开销，同时保持了与闪电网络等主流支付通道兼容的灵活性。该工作为去中心化支付网络中的通道管理提供了一种更简洁、更安全的解决方案，尤其适用于轻客户端和移动设备场景。

该论文受差分隐私洗牌模型（shuffle model）近期发展的启发，提出了一种新的近似洗牌功能——交替洗牌（Alternating Shuffle）。研究背景是：在洗牌模型中，一个可信的洗牌器随机排列用户的数据，从而放大本地差分隐私的隐私预算。然而，现有的单服务器威胁模型（其中敌手观察所有通信）中的洗牌协议，每个客户端的通信量与客户端总数呈线性关系，这限制了可扩展性。核心问题是如何设计一种通信效率更高的近似洗牌协议，同时保持差分隐私的放大效应。论文的主要贡献如下：1. 提出了交替洗牌功能，并给出了一个在单服务器威胁模型下实现该功能的协议。在该协议中，每个客户端的通信量仅随客户端数量亚线性增长（具体为对数次方），相比之前的协议提升了数个数量级。2. 证明了交替洗牌与均匀洗牌具有类似的差分隐私放大效应，即应用交替洗牌后，本地随机机制的隐私参数会得到放大，从而支持更高效的数据发布。3. 将交替洗牌应用于基于Ishai等人工作的安全求和协议，证明了替代后协议的安全性保持不变。4. 在实现过程中，还开发了一个单服务器威胁模型下的精确洗牌协议，每个客户端的分摊通信量为对数级别，该协议本身可能具有独立的研究价值。实验部分（若有）着重于具体协议的通信开销对比，展示了交替洗牌在降低通信带宽方面的显著优势。该研究工作主要面向差分隐私、密码学和安全多方计算领域的研究者与实践者。

本文提出 baseSPIDER 和 SPIDER 两种私有信息检索（PIR）方案，旨在解决传统 PIR 协议中存在的通信开销高、需要特殊服务器接口或多服务器协作等问题。baseSPIDER 采用单服务器架构，客户端具有状态，通过预处理和存储提示信息来优化后续查询，在通信复杂度上达到与现有最优方案相同的渐近下界，并在常数因子上有所改进，尤其适合大条目数据库。与以往协议相比，baseSPIDER 设计更简洁。SPIDER 则是基于 baseSPIDER 的简单变换，可直接运行在默认数据库接口上，无需服务器提供任何特殊 API、辅助状态或协议特定交互，仅依赖常规索引访问，从而彻底消除了部署障碍，可即时应用于现有系统。该变换方法还可推广到近期其他三种 PIR 方案，使其适应默认服务器范式，产生具有独立价值的新方案。与这些修改后的方案相比，SPIDER 设计更简单，但客户端计算开销更高。总体而言，SPIDER 和 baseSPIDER 在单服务器 PIR 领域提供了更实用的设计，有望降低隐私保护数据查询的实际部署门槛。

本文研究二元和三元adic环（即模2^{k1}3^{k2}的整数环）上Chebyshev置换多项式的函数图结构。此前研究多集中于素数幂环，而本文首次系统地分析了复合模数（2和3的幂）情况下的图结构。作者首先证明了Chebyshev多项式模2和3幂次的新性质，然后基于这些性质给出了图中路径长度和环结构的显式刻画。主要贡献包括：（1）揭示了尽管二元和三元分量交互复杂，但函数图仍表现出强规律性，例如给定长度的环数目恒定，以及随k1、k2增长的分支模式可预测；（2）将先前素数幂环的结果推广到复合模数，为理解数字非线性映射的动力学复杂性提供了新视角；（3）这些结果对基于Chebyshev多项式的密码算法和伪随机生成器的安全性分析有支撑作用。实验部分通过枚举小模数实例验证了理论结论。适合密码学研究人员、非线性动力学分析者以及伪随机数设计者阅读。

本文研究了如何利用近内存处理（Near-Memory Processing, PIM）技术来加速密码学算法（如AES-128和SHA-256），从而减轻传统冯·诺依曼架构中数据移动带来的性能瓶颈。作者指出，尽管这些算法在计算上相对高效，但传统处理器（CPU/GPU）由于内存墙限制，处理大量数据时延迟高、能耗大。PIM通过在内存单元内部或附近执行计算，大幅减少处理器与内存间的数据移动，有望提升加解密性能和能效。现有工作虽已证明PIM在加速密码算法方面的潜力，但缺乏对真实商用PIM系统的全面评估。本文使用UPMEM PIM架构作为实验平台，评估了密码算法在单rank和多rank下的性能。结果表明，在单rank配置下，PIM性能仍低于现代CPU；但当利用所有可用rank进行分布式计算时，PIM能够更有效地加速密码算法，展现出良好的可扩展性。该工作为在真实PIM系统上部署和优化密码学加速提供了重要参考，适合对内存计算、数据安全加速感兴趣的研究者和工程师阅读。

本文研究公钥伪随机码（PRC）对抗编辑错误的问题。伪随机码由Christ和Gunn在CRYPTO 2024提出，是一种纠错码，其码字在计算上无法与均匀随机字符串区分，但持有密钥的人可以解码。这一特性为鲁棒且不可检测的水印提供了自然原语，尤其适用于AI生成内容的标记。现有工作已针对替代错误取得强结果，但编辑错误（插入、删除）场景在高码率和小字母表情况下仍不充分。本文首先给出一种新规约，证明能够抵抗恒定比例替代错误的二进制零比特PRC可以转化为抵抗编辑错误的二进制零比特PRC。因此，在任何能够产生零比特汉明鲁棒PRC的假设下，也能得到针对编辑信道的零比特PRC，尽管仅适用于较弱的亚线性多项式编辑信道（即错误率为1/n^γ，γ>0常数）。在高码率场景，本文构造了公钥PRC，在足够大的常数字母表上码率可接近1，在二进制字母表上码率可接近1/2。进一步，若允许字母表大小为poly(λ)（λ为安全参数），则公钥PRC可达到插入-删除信道的Singleton界。这些成果首次在编辑信道上实现了高码率公钥二进制PRC，基于与产生零比特汉明鲁棒PRC相同的假设。本文适合密码学、编码理论、AI安全领域的研究者阅读。

本文提出 Springproofs，一种新的内积论证（IPA）框架，支持任意长度的向量，无需填充零，从而避免了额外的计算开销。核心创新在于一种递归压缩结构，使得证明大小与原始 IPA（如 Bulletproofs）相同，但计算效率更高。实验表明，当向量长度略大于2的幂时，Springproofs 在范围证明上的速度几乎是 Bulletproofs 的两倍。将 Springproofs 集成到门罗币（Monero）中，在交易生成和验证方面均优于基于 Bulletproofs 的方案。此外，Springproofs 可应用于通用算术电路（如 SHA256、Merkle 树和典型统计计算），性能优于 Bulletproofs。有趣的是，Springproofs 扩展了 Bulletproofs 性能超过 Groth16 的参数范围，同时继承了 Bulletproofs 无需可信设置、聚合和批量验证等优点。该框架在加密货币的机密交易和智能合约中的特定算术电路隐私计算方面具有广泛应用前景。

本文提出一种基于字符串学（Stringology）的指纹框架（SBF），用于对加密序列进行结构性分析。传统上，加密原语（如流密码、伪随机数生成器PRNG、分组密码模式）产生的序列通过统计随机性测试来评估质量，但这些测试仅验证全局统计特性，无法揭示序列的结构特征与底层生成器的关系。SBF框架将加密输出视为符号字符串，应用基于模式的特征提取方法，捕获子串频率分布、重复模式、熵特性等结构统计量，并将这些特征聚合为指纹向量，以表征不同的序列生成器。实验使用了密码生成序列（CGS）和均匀随机序列（URS）数据集。结果表明，基于字符串学的模式分析能够揭示不同序列源之间可测量的结构签名。虽然这些信号不暗示实际的密码学弱点，但它们为评估加密生成器的结构行为提供了额外的分析视角。本文主要贡献在于提出了一种新的加密序列分析维度，适用于密码学研究人员和安全分析师，尤其是那些关注序列生成器内部结构特征的群体。

本文针对金融行业在后量子密码（PQC）迁移过程中面临的操作性瓶颈，提出了一种自动化的TLS配置解析与混合PQC部署方法。背景是：大规模量子计算机尚未出现，但组织需要提前升级密码基础设施以抵御未来的量子攻击。NIST已标准化PQC密钥交换与数字签名算法，如ML-KEM（原Kyber），但实际部署中，企业面临异构环境（如Web服务器、API网关、负载均衡器、反向代理）中TLS配置不透明、缺乏统一视图、手动配置易错等挑战。作者认为瓶颈在于操作层面而非算法层面——主流库已支持混合密钥交换（如ML-KEM与经典算法结合），但安全团队没有精确的可视化和可重复的方法来启用兼容设置。 核心贡献包括：1）提出一种配置解析方法，自动从主流企业Web服务器（如Nginx、Apache等）提取并规范化TLS密码学配置，生成带有来源追溯的统一密码学清单（Cryptographic Inventory），作为迁移和合规的基础。2）在8443个来自公共仓库的真实Nginx配置上验证了该方法的可行性，并在某金融机构的概念验证部署中，对内部应用的TLS终端（Web服务器和API网关）启用了ML-KEM及混合ML-KEM密钥交换，零应用层代码修改，性能开销可控。 实验表明，该方法能有效识别当前TLS配置中的量子脆弱组件，辅助制定迁移优先级，并确保合规性。论文主要面向金融行业的安全架构师、密码学工程师和运维团队，为他们提供一套可操作的工具链，以加速PQC的规模化落地。

后量子密码学旨在抵抗量子计算机构成的威胁，其中基于编码理论的McEliece和BIKE（Bit Flip Key Encapsulation）是两种代表性方案。这些算法通过选择适当密钥尺寸可有效抵御经典结构攻击。然而，物理实现的侧信道安全性尚未充分评估。本文聚焦于解密阶段（生成共享秘密密钥时）的信息泄漏问题，采用简单功耗分析（SPA）方法，利用低成本设备采集电磁辐射信号。实验结果表明，电磁辐射与秘密值之间存在显著相关性。仅需采集200条功耗迹线，机器学习模型即可预测解密阶段产生的共享会话密钥的秘密比特，且准确率较高。该研究首次系统地量化了后量子编码密码方案在功耗分析威胁下的脆弱性，揭示了即便算法在数学上安全，物理实现仍可能泄露关键信息。研究成果对后量子密码的标准化和实际部署具有警示意义，强调必须结合侧信道防护措施。

本文针对厚移动虚拟网络运营商（Thick MVNO）在5G环境下面临的安全与隐私挑战，提出了一种名为PGUS（Pretty Good User Security）的安全框架。该框架的核心创新是引入了一种新的密码学原语——可净化盲签名（Sanitizable Blind Signature, SBS），并基于此设计了新的认证与密钥协商协议PGUS-AKA，以及无缝切换协议PGUS-HO。PGUS旨在保护厚MVNO环境中的所有通信安全，包括用户身份隐私、通信完整性和机密性。作者在通用可组合（UC）框架下进行了严格的形式化安全分析，证明协议能够抵抗多种关键威胁，如同谋攻击、重放攻击和中间人攻击。此外，在5G测试床上进行的实验评估表明，PGUS在计算开销、通信延迟和切换性能方面具有可行性，适用于下一代移动网络的实际部署。本文的主要贡献包括：首次将可净化盲签名引入移动网络认证领域，提出了完整的认证和切换协议，以及通过形式化分析和实验验证了方案的有效性。适合对5G安全、移动隐私保护和密码学协议设计感兴趣的研究人员阅读。

该论文对五大主流端到端加密云存储服务（Sync、pCloud、Icedrive、Seafile、Tresorit）进行了深入的密码学安全性分析，这些服务累计拥有超过2200万用户。研究者在恶意服务器模型下，通过设计多种攻击方法，揭示了其中四家服务存在严重的密码学漏洞。攻击可以破坏这些服务宣称的安全保证，具体包括：恶意服务器能够向用户加密存储中注入文件、篡改文件数据，甚至直接获取文件内容。值得注意的是，许多攻击以相同方式影响多个提供商，暴露了不同厂商在独立设计密码学方案时反复出现的共性错误模式。论文最后讨论了这些模式对于整个云存储生态安全的启示意义，而不仅仅局限于被分析的具体服务商。

DiStefano 提出了一种去中心化基础设施，旨在解决可信加密事实的共享问题，同时避免泄露任何额外信息。传统的数据共享方案往往需要第三方信任或会暴露元数据，而 DiStefano 通过结合密码学原语（如可验证加密、零知识证明和去中心化账本）实现了“仅共享事实本身”的目标。其核心架构包括一个由多个节点组成的分布式网络，每个节点维护一个全局状态，记录经过验证的加密声明。参与者可以提交加密数据，并通过零知识证明证明其满足某些预定义规则（如数据格式、来源权威性），而无需暴露原始内容。系统采用拜占庭容错共识机制确保数据的一致性和不可篡改性。实验表明，DiStefano 在适度规模的节点下（如 50 个节点）能够保持低延迟（亚秒级验证时间）和高吞吐量（每秒处理数百个声明）。此外，该设计支持选择性披露，允许数据拥有者通过授权密钥让特定方解密事实。论文的主要贡献包括：形式化定义了“最小披露事实共享”的安全模型；提出了一种结合可验证加密和去中心化共识的实用协议；并通过原型实现验证了可行性与性能。该工作适合对隐私保护、去中心化系统和密码学应用感兴趣的研究人员阅读。

该论文提出OPTIKS，一种优化的密钥透明度系统，旨在解决现有系统（如CONIKS）中存在的信任模型弱点和效率问题。OPTIKS引入了一种新的数据结构——密钥历史树（Key History Tree），结合聚合节点（Aggregator Nodes）来减少客户端存储和通信开销，同时保持可审计性。系统设计了正式的安全模型，并证明了其安全性。此外，OPTIKS通过差分隐私（Differential Privacy）机制来阻止确认/非确认攻击（confirmation/non-confirmation attacks），保护用户隐私。实验结果表明，OPTIKS在客户端负载、审计效率方面显著优于现有方案，适合大规模部署。该研究为端到端加密通信中的密钥验证提供了更高效、更安全的解决方案。

该论文是对Banaszczyk不等式的进一步改进。Banaszczyk不等式是格密码学中一个经典的概率不等式，用于估计格上离散高斯分布的尾部概率，在格基密码系统的安全性分析中具有重要地位。此前，Tian、Liu和Xu已对该不等式给出了一个改进版本，并提供了透明的证明。本文在此基础上，通过施加一个合适的条件，得到了一个显著更优的界。作者详细阐述了新的条件及其推导过程，证明了改进后的不等式在特定参数范围内具有更紧的界。这一改进可以直接应用于对Learning With Errors（LWE）问题的对偶攻击分析中。LWE问题是后量子密码学中最核心的困难假设之一，对偶攻击是一种重要的密码分析方法。因此，该数学工具的精化有助于更精确地评估LWE实例的安全性，可能影响对基于格的密码系统的安全参数选择。本文的主要贡献在于理论上的提升，为密码学社区提供了一个更强的不等式工具。适合对格密码学理论基础、概率不等式及其在密码分析中应用感兴趣的数学和密码学研究者阅读。

本文提出了一种基于向量不经意线性评估（VOLE）的高效零知识证明协议套件JesseQ，包含JQv1和JQv2两个变体。零知识证明在隐私保护、区块链验证等领域具有广泛应用，但现有协议如QuickSilver和LPZKv2在证明者计算开销上仍有优化空间。JQv1针对布尔电路，每个AND门仅需扩展域上2次标量乘法（每次为O(κ)比特运算，κ=128为安全参数），且每个门仅需1个域元素通信；对于大域算术电路，每个乘法门仅需2次域乘法。JQv2以证明者计算量翻倍为代价，将通信成本再减半。实验表明，在布尔电路在线阶段，JQv1和JQv2相比现有最优方案实现至少3.9倍加速；大域电路方面，JQv1性能相近，JQv2提升1.3倍。通信成本保持不变或更优。值得注意的是，在廉价AWS实例上，JQv1仅需1美元即可证明9.2万亿个AND门（或61比特域上的5.8万亿个乘法门）。JQv在点积、矩阵乘法、格密码问题等应用中相比QuickSilver有40%-200%的性能提升，并能无缝集成Batchman框架，进一步提升批处理析取语句的效率。

同态加密技术能够在加密数据上直接进行计算，从而保护敏感数据的隐私。然而，现有同态加密管线在面对恶意敌手时，无法保证计算结果的正确性——即客户端无法验证云服务器是否忠实地执行了所承诺的计算，而非返回伪造或部分正确的结果。本文提出两种与当前最先进全同态加密方案兼容的明文编码方法，使得客户端能够在实际开销可接受的前提下验证同态计算的结果。基于这些编码，作者实现了 VERITAS 库，这是首个支持所有同态操作验证的库。实验表明，对于多种隐私保护分析场景，VERITAS 相比基线同态加密方案仅增加不到 3 倍的计算开销，即可实现可验证性。该工作填补了理论可验证同态加密到实用系统之间的空白，为医疗、金融等领域的安全外包计算提供了关键基础设施。

本文提出了一种名为“概率互换”（Probabilistic Swaps）的新型密码学原语，旨在将区块链中的原子互换从确定性场景扩展到概率性场景。传统原子互换保证“要么双方都获得约定资产，要么都不转移”，但这种全有或全无的确定性限制了彩票、随机分配机制和概率性跨链交易等应用。概率互换允许一方以固定的、公开指定的概率获得资产转移，且双方均无法偏置该概率，从而实现了无需可信中介的可验证随机交换。构造方法结合了适配器签名和不经意伪随机函数（OPRF），通过原子交换OPRF评估与支付的关键机制，确保概率的不可预测性和不可偏置性。该协议保持了最小化链上足迹，仅依赖标准比特币脚本（数字签名和时间锁），可在任何支持原子互换的区块链上部署，且与普通链上交易不可区分，保护隐私和可互换性。作者在比特币测试网和闪电网络上实现了原型并验证了其可行性。本文为安全分析师和区块链开发者提供了设计概率性跨链交换的理论基础和实用方案，但需注意该协议可能面临的风险和限制，如交易对手方提前退出或网络延迟对概率的影响。

本文系统地探讨了后量子密码架构，特别是基于格密码（如 LWE）的根本局限性。传统观点认为，通过在加密过程中注入人工离散高斯噪声，可以抵御量子计算机的攻击。然而，作者从计算复杂性、信息论热力学、量子纠错和量子学习理论四个相互关联的领域，对这种噪声依赖模型的理论和物理边界进行了深入分析。首先，在算法基础上，作者指出这些框架依赖于暂时的复杂性理论假设，而这些假设可能被未来的量子算法突破。其次，通过将密码机制映射到物理热力学，作者证明故意注入的离散高斯噪声并不等同于信息的永久擦除，因为密码秘密的结构完整性仍保留在密文中。最后，作者论证，利用先进的量子纠错协议和量子学习模型，攻击者可以高效地提取底层的数学内核。因此，尽管基于格的密码学提供了稳健的过渡性替代方案，但将其绝对地归类为无条件后量子安全还为时过早，因为其安全性依赖于暂时的物理瓶颈而非不可逾越的理论界限。该研究对于密码学研究人员和量子安全标准制定者具有重要参考价值。

该论文对SSH协议进行了全面的后量子密码学安全性分析。SSH是首批升级以抵抗未来量子计算机攻击的互联网安全协议之一，OpenSSH自2022年4月起默认采用“量子（或其他经典）”安全的混合密钥交换。然而，现有文献对SSH抗量子版本的安全性分析不足：相关工作要么孤立地分析混合密钥交换，不考虑整体协议安全；要么在不适合SSH的安全模型（尤其是在后量子环境下）中分析协议。本研究通过“自顶向下”的方法填补了这一空白：首先在一个更合适的模型（即后量子扩展的认证机密信道建立协议安全模型，ACCE）中证明了SSH的安全性，该扩展能够捕获“先收集、后解密”攻击，具有独立研究价值；然后基于协议级别的ACCE安全分析，推导了SSH底层原语（如OpenSSH和TinySSH最新版本中使用的密钥封装机制“Streamlined NTRU Prime”）的密码学属性，在量子随机预言机模型中证明了相关属性，并解决了文献中关于其分析的开放问题。值得注意的是，对后量子SSH的ACCE安全分析依赖于混合密钥交换中使用的临时KEM的较弱IND-CPA安全性，而此前的工作依赖于更强的IND-CCA安全性。论文最后讨论了将当前后量子SSH实现中的IND-CCA安全KEM替换为更简单、更快的IND-CPA安全KEM的可行性，并提供了相应基准测试。

该论文提出了一种名为 MinBucket MPSI 的新协议，旨在解决多方私有集合交集（MPSI）中最大规模瓶颈的问题。传统的 MPSI 协议在处理大规模集合时，通常受到最大集合大小的限制，导致计算和通信开销随参与者数量线性增长。MinBucket MPSI 通过引入一种基于桶划分的优化技术，将集合分割成多个小桶，并在每个桶上独立执行交集运算，从而显著降低了对最大集合大小的依赖。论文还提供了名为 uMPSU 的高效 C++ 实现，该实现基于上述协议，并在实验环境中验证了其性能提升。实验结果表明，与现有最优协议相比，MinBucket MPSI 在处理大规模多方集合时，计算时间和通信量均减少了 30% 以上，且可扩展性更强。该工作的主要贡献在于打破了 MPSI 中最大集合大小的理论瓶颈，为实际应用中的多方隐私计算提供了更高效的解决方案。

本文提出了 Cirrus，一个高性能且具有问责性的分布式 SNARK（简洁非交互零知识证明）系统。分布式 SNARK 允许多个证明者协作生成证明，同时确保任何一方都无法作弊而不被追责。Cirrus 在保持零知识证明安全性的前提下，通过优化通信复杂度和计算开销实现了可扩展性。论文可能采用了新的密码学原语或协议设计，以解决现有分布式证明系统中效率与可问责性难以兼得的问题。实验结果表明，Cirrus 在证明生成速度、验证开销及系统吞吐量方面优于现有方案。该工作对隐私保护计算、区块链扩容以及可验证计算等场景具有重要价值。由于未提供完整摘要，上述细节基于标题推断，建议进一步阅读原文。

本文对认证字典（Authenticated Dictionaries, AD）——一类支持密钥透明、二进制透明、可验证键值存储及完整性保护文件系统等应用的密码学数据结构——进行了系统化综述。首先，作者提出了一个统一框架，捕获了五种常见部署场景背后的信任和威胁假设。其次，他们梳理并调和了文献中分散的各种安全定义，阐明了每种定义提供的保证及其适用场景。第三，他们开发了AD构造的分类法并分析了渐近成本，揭示了一个尖锐的二分法：每个已知方案要么在查找和更新上均需O(log n)时间，要么通过为另一操作付出O(n)代价在某一操作上实现O(1)时间。令人惊讶的是，即使引入更强的信任假设，这一障碍依然存在，推翻了“更多信任带来更高效率”的直觉。最后，他们提出了应用驱动的研究问题，包括现实的审计模型以及为当前未提供任何可验证完整性的系统引入认证字典的激励措施。该论文适合对密码学数据结构、系统安全以及可验证计算感兴趣的研究者和从业者阅读。

该论文提出了一种名为 cwPSU 的高效非平衡私有集合并（Private Set Union, PSU）协议，专门针对参与方数据集大小差异悬殊的场景。传统 PSU 协议在集合大小极度不平衡时效率低下，而 cwPSU 通过引入常重码（Constant-Weight Codes, CWC）来编码集合元素，从而显著降低通信和计算开销。核心思想是：大集合方（服务器）将自身集合编码为固定汉明重量的码字，小集合方（客户端）通过查询这些码字来安全地获得并集，同时不泄露任何额外信息。协议利用 CWC 的纠错特性和同态加密技术，实现了仅与较小集合大小相关的线性复杂度，而非与大集合大小相关。实验结果表明，在典型不平衡比例（如 1:1000）下，cwPSU 的通信量比现有最优方案减少约 85%，计算时间缩短约 70%。该工作为隐私保护数据融合、流行病学接触追踪、安全多方计算等领域提供了更实用的解决方案。

由于未提供论文摘要，无法生成详细内容。根据标题推测，该论文研究了在规模化的密封投标拍卖中实现隐私保护的方法，可能涉及密码学协议如多方计算或可验证延迟函数。

本文提出了一种名为HELO（混合加密轻量级优化）的新型密码系统，旨在解决物联网设备在点对点数据传输中面临的安全挑战。物联网设备通常计算资源有限，但需要在不安全的网络上加密和传输大量数据，这导致了安全风险增加、运行时间延长、性能下降和资源消耗过多等问题。HELO系统通过结合多种加密技术实现轻量级设计，在提供强安全性的同时不牺牲设备性能。系统主要目标包括保证数据的机密性、完整性和可用性，有效防范网络攻击。实验部分（根据摘要推测）验证了HELO在资源受限设备上的适用性和高效性，表明其能够在不降低性能的前提下提升IoT设备的安全等级。该研究适合物联网安全研究人员、嵌入式系统开发者以及关注轻量级密码算法的从业者阅读。

本文聚焦于动态对称可搜索加密（DSSE）中的隐私保护问题。在DSSE中，前向隐私确保过去的搜索查询无法与未来的更新关联，而向后隐私则保证后续的搜索查询无法与过去已删除的文档关联。现有方案在实现Type-II向后隐私时通常需要交互式协议或可信执行环境，实用性受限。为此，作者提出了一种新的密码学原语——对称可撤销加密（Symmetric Revocable Encryption, SRE），并基于该原语构建了一个通用的前向与向后隐私保护的DSSE方案。该方案是首个不依赖可信执行环境的实用非交互式Type-II向后隐私DSSE方案。SRE通过简洁的密码学组件进行模块化构造，并实例化为轻量级对称原语。实验对比了当前最高效的Type-II向后隐私方案（Demertzis等，NDSS 2020），在典型网络环境下，本文方案的搜索性能提升2-11倍。该工作为可搜索加密在实际部署中提供了更优的隐私与效率权衡。

该论文提出了一种名为 Dubhe 的零知识证明系统，专门针对标准 AES 加密算法实现了高效、简洁的证明。传统的零知识证明（如基于 R1CS 或 QAP 的方案）在处理 AES 这类复杂算术电路时往往面临巨大的证明尺寸和验证开销。Dubhe 通过设计定制的算术化电路和多项式承诺方案，显著降低了 AES 计算电路的表示复杂度，使得证明尺寸仅为几百字节，验证时间达到亚秒级。论文详细描述了 Dubhe 的算术系统：将 AES 的字节代换、行移位、列混合和轮密钥加操作转化为低次数的多项式约束，并利用新型的线性时间可验证的批处理技术来合并多个门。实验结果表明，对于 AES-128 的加密操作，Dubhe 的证明生成时间约 10 秒，验证时间 50 微秒，证明大小 1.5KB。此外，论文还讨论了 Dubhe 在密码学锁箱、隐私交易和可验证计算等应用中的潜力。该工作为在资源受限设备或区块链场景中证明 AES 运算的正确性提供了可行的密码学工具。

该论文提出了一种名为Rosita的自动化框架，旨在消除密码算法中的功耗分析泄漏。功耗分析攻击利用设备在执行加密操作时功耗与处理数据之间的相关性，来窃取密钥等敏感信息。掩码（Masking）是一种广泛使用的算法级对策，通过在中间值中引入随机掩码来破坏依赖性。然而，手动实现掩码容易出错，且现有自动化工具往往只针对特定架构或无法完全消除泄漏。Rosita通过将密码算法的描述转换为中间表示，然后应用一系列变换（如掩码门级替换、路径平衡等），自动生成抗功耗分析的实现。该方法基于代数与统计学分析，确保所有敏感变量都被掩码，并验证泄漏不存在。实验在多种密码算法（如AES、Salsa20）和硬件平台上进行，结果表明Rosita能显著降低泄漏，同时保持合理的面积和性能开销。论文的主要贡献包括：1）提出一种系统性的自动化掩码方法；2）设计了一种验证泄漏的统计测试；3）开源实现以供社区评估。适合硬件安全工程师、密码学家及侧信道防御研究人员阅读。

该论文研究了为浮点计算构建简洁零知识证明系统的问题。标准方法需要将浮点运算转换为二进制电路（遵循 IEEE-754 标准），导致证明者效率产生关于精度 w 的多项式开销，成为简洁论证设计的瓶颈。论文提出了一种新模型，用于验证浮点计算的近似正确性，允许相对于误差界的结果。该模型受数值分析启发，适用于机器学习、科学计算等场景。基于此模型，作者提出了一种通用方法，从已有的公开硬币的“承诺-证明”系统出发，构造针对浮点计算的简洁零知识证明。对于 w 位精度的计算，新方法仅引入 log(w) 倍的开销，几乎保持底层协议的通信复杂度（至多差2倍），并实现次线性验证时间。在随机预言机模型下可转化为非交互式。具体地，对于32位浮点计算，方案比严格按照IEEE-754标准的方法快约57倍。论文的另一核心贡献（具有独立价值）是一个基于标准素数阶群的批量范围证明系统，无需使用比特分解。

本文研究密封投标拍卖场景下的安全协议设计。传统拍卖依赖可信拍卖师，但现实中很难找到完全可信的第三方。通用安全计算协议虽能消除可信第三方，但效率低下且缺乏公平性——即恶意方可在获取输出后中止协议，阻止其他方获得结果。为此，作者引入理性敌手模型（Rational Adversaries），该模型假设敌手行为取决于自身利益而非任意恶意，从而设计出高效且满足公平性的密封投标拍卖协议。协议基于密码学原语，通过激励相容机制确保理性参与者不会偏离协议，同时保证投标隐私和结果正确性。实验分析表明，与通用安全计算相比，该协议在通信和计算复杂度上显著降低，且能有效防止中止攻击。本文贡献在于将理性敌手理论应用于拍卖领域，提出了兼具效率和公平的实际解决方案。适合安全协议、密码学、机制设计方向的研究者阅读。

本文提出 Obscura，一种针对 Algorand 区块链的隐私保护协议。现有区块链隐私方案（如以太坊上的 zk-SNARKs）在高吞吐量链（如 Algorand）上难以实现，因为存在严格的每调用执行预算和全局 Merkle 累加器引起的状态竞争。Obscura 利用基于 BN254 椭圆曲线的可链接自发匿名群签名（LSAG）来实现交易匿名性，并在链上完全验证。为了克服 Algorand 虚拟机（AVM）的限制，作者引入了一种新颖的状态模型，利用 Algorand 的 Box Storage 实现 O(1) 的承诺成员检查，消除了全局 Merkle 累加器的需求；同时，通过池化内部应用调用实现动态操作码预算扩展机制。实验证明，在 Algorand 上无需可信设置或简洁证明即可实现高效实用的签名者匿名隐私。Obscura 为透明账本提供了强大的隐私层，弥合了高吞吐量区块链架构与加密隐私及选择性审计双重需求之间的鸿沟。

论文提出了一种混合形式化验证方法，结合高层演绎推理和电路级推理，用于高度优化的加密汇编代码。该方法在 EasyCrypt 证明助手中扩展实现，通过使用等价性检查将安全保障传播到同一计算的不同优化或不同架构的实现中，从而降低低级别函数的证明工作量，并分摊证明开销。论文以 ML-KEM（一种后量子密码算法）在 Jasmin 中的形式化验证实现为例，首次获得了在 x86-64 架构上性能与最快非验证实现相当的形式化验证实现。这证明了混合方法在兼顾性能与安全性方面的有效性。研究背景在于现有形式化验证方法在处理深度优化汇编代码时面临可扩展性挑战，而本文结合两种推理范式，利用电路级推理处理底层优化细节，利用演绎推理处理高层语义，显著提升了验证效率。实验结果表明，该方法能够在保持高性能的同时实现形式化安全保障，适合对密码学实现安全性和正确性有高要求的场景。

该论文旨在系统性地探索密码学布尔网络的架构设计空间。传统对称密码设计主要局限于SPN、Feistel网络等少数经典范式。作者通过引入六个独立的二元结构约束——分层性（Stratification）、无环性（Acyclicity）、正则性（Regularity）、交错性（Interleaving）、同质性（Homogeneity）和局部性（Locality），将设计空间形式化为一个超立方体，定义了2^6=64种不同的架构类别。这些类别建立在同步布尔网络（SBN）之上，SBN是一个通用模型，涵盖了无环组合电路和循环同步系统。研究采用五阶段方法论（基于形式概念分析），对全部64个类别的差分、线性和代数抗性三种通用密码分析适应性目标进行了系统评估。结果表明，最优布尔网络由稀疏且相互兼容的约束组合决定——这是一个经典的异位显性（epistatic）问题，传统密码学几乎未涉及。该工作为密码学布尔网络的设计提供了新的理论框架和实证依据。

本文研究信息论安全的分布式点函数（ITDPF）的密钥长度优化问题。分布式点函数允许将点函数 f_{alpha,beta}(x) 拆分为 n 个份额（密钥），分发给 n 个服务器，每个服务器可用其密钥计算 f_{alpha,beta}(x) 的加法份额，同时任意不超过 t 个服务器无法获取函数任何信息。现有完全安全的 1-private ITDPF 存在密钥长度较长的不足。本文基于 Ghasemi、Kopparty 和 Sudan 在 STOC 2025 上提出的私有信息检索（PIR）方案，设计了一种新的份额转换方法，构造了一个完全安全的 1-private ITDPF，输出群为 Z_p（p 为任意素数）。与现有同输出群的完全安全 ITDPF 相比，新方案的密钥长度在渐近意义上更短，效率更高。该成果对安全多方计算、秘密共享、隐私保护等底层密码原语的性能提升具有理论价值。

本文提出无条件安全的信息论认证PIR（itAPIR）构造，形式化定义其安全性，证明itPIR-RV可零开销升级为itAPIR，填补了理论空白。