本文提出 Sparrow，一种面向数据并行算术电路的高空间效率零知识简洁非交互式证明（zkSNARK）方案。在部署 SNARK 的实践中，证明者的空间开销是主要障碍之一，往往远超本地计算的资源需求。针对这一问题，Sparrow 实现了两个显著特性：首先，对于给定有限域，随着电路规模增大，证明者的开销仅以亚对数倍数增长；其次，与先前适用于任意算术电路的空间高效 SNARK 方案相比，Sparrow 的证明者空间复杂度渐近地小于电路本身的大小。其关键构建模块是一种新的空间高效 sumcheck 参数，同时改善了证明者时间，这本身可能具有独立研究价值。实验部分覆盖了三种用例：任意数据并行电路、乘法树、批量 SHA256 哈希。结果表明，Sparrow 在证明者总空间上比之前最先进的空间高效 SNARK Gemini（Bootle 等人，EUROCRYPT'22）快 3.2 至 28.7 倍，在证明者时间上快 3.1 至 11.3 倍。此外，作者利用 Sparrow 的空间效率构建了树训练和预测的零知识证明，能够扩展到大型数据集和多棵树的森林。与基于 GKR 协议的非空间高效最优时间 SNARK 相比，在树训练中证明者空间减少 16 至 240 倍，同时保持基本相同的证明者和验证者时间以及证明大小。值得关注的是，Sparrow 的证明者所需空间与本地执行底层计算相当：例如，对于 400MB 的数据集，证明者所需空间仅比本地计算多 1.4 倍。该研究为大数据集上的零知识证明提供了实用的解决方案，适合密码学研究者、区块链隐私计算开发者以及需要验证大规模计算完整性的安全工程师阅读。

本文提出了一种名为 Reckle trees 的新型向量承诺（vector commitment）方案，其核心创新在于将简洁递归论证（succinct RECursive arguments）与 Merkle 树相结合，从而实现对批量证明（batch proofs）的高效更新。在区块链场景中，随着新区块不断产生，Merkle 树中的叶子节点会持续变化，传统的批量证明需要重新计算，成本高昂。Reckle trees 通过引入一种基于哈希的累加器（称为 canonical hashing），将批量哈希的计算嵌入到递归 Merkle 验证过程中。这种设计使得当任意 Merkle 叶子（无论是否属于当前批量）发生变化时，批量证明可以在对数时间（O(log n)）内完成更新，同时只需维护一个存储先前计算所得递归证明的数据结构。此外，在具备足够并行计算能力的前提下，批量证明的计算时间可达到 O(log n) 的并行复杂度，且与批量大小无关。基于 Reckle trees 的框架，作者进一步提出了 Reckle+ trees，将可更新且简洁的证明能力扩展到某些类型的 Map/Reduce 计算场景。具体而言，证明者可以对内存 M 进行承诺，并为针对 M 的某个子集 I 执行的 Map/Reduce 计算生成简洁证明；当 I 或 M 发生变化时，该证明可以高效更新。论文主要贡献包括：形式上定义了 Reckle trees 的安全性和更新算法，给出了具体构造，并通过实验或复杂度分析展示了其在区块链动态数据流中的实用优势。该研究面向密码学、区块链底层协议和可验证计算领域的研究者，尤其适用于需要动态维护证明的轻客户端、跨链桥和状态通道等场景。

本文是一篇关于分布式点函数（DPF）与函数秘密共享（FSS）的综述性论文。DPF是一种密码学原语，能够在两方或多方之间实现对秘密权重为1的向量（等价于点函数）的压缩加性共享。其核心优势在于构造轻量、通信高效，因此被广泛应用于各类安全计算场景，包括私有信息检索（PIR）、匿名消息传递、带预计算的安全计算，以及伪随机相关生成器（用于将小的相关种子扩展为大规模密码学相关性的伪随机实例）。文章系统性地梳理了DPF的定义、构造方法和典型应用，并进一步扩展到函数秘密共享（FSS），该扩展将点函数推广至支持更丰富的函数类。高效的FSS方案能够将DPF的大部分应用推广到更一般的场景。本文的主要贡献在于提供一个统一的视角，帮助读者理解DPF/FSS的底层构造逻辑、设计权衡及其在密码学协议中的关键角色。适合对安全计算、私有信息检索、匿名通信以及相关密码学原语感兴趣的研究人员和高级开发人员阅读。由于本文为综述性质，且仅基于摘要进行分析，未涉及具体实验数据，因此归类为纯研究性文献。

本论文研究了大规模群组通信中的密钥协商协议，重点关注MLS（Messaging Layer Security）工作组提出的TreeKEM协议及其变体。TreeKEM是当前IETF MLS草案中采用的连续群组密钥协商方案，但其动态操作（如增减用户）存在效率问题。论文形式化并分析了一种名为Tainted TreeKEM（TTKEM）的变体，该变体最初由Millican在MLS邮件列表中提出。TTKEM通过让新加入的节点继承其父节点的部分密钥材料（即“tainted”），从而在某些群组操作分布下比TreeKEM更高效，论文通过模拟量化了这种效率提升。此外，论文给出了TTKEM的两项安全性证明，分别针对随机预言机模型和标准模型，实现了后向安全和前向安全，并能抵抗自适应攻击者（即攻击者可以自适应地选择操作序列）。在此之前，没有任何针对类TreeKEM协议在自适应攻击者下建立紧致安全性证明的工作。论文还首次证明（甚至形式化）了主动安全（active security）场景，即服务器可以任意偏离协议规范的情况。不过，完全主动安全（用户也可任意偏离）仍未解决。本工作适合密码学研究者、安全协议设计者以及MLS标准制定者阅读。

该论文针对美国枪支暴力问题，提出了一种去中心化、端到端加密的国家枪支注册系统的密码学协议设计。美国参议院正在起草一项法案，旨在建立自愿性的全国枪支登记系统，该系统采用去中心化架构，由地方县级官员控制和管理其选民的注册数据，其他官员和执法机构可查询这些本地数据库以追踪枪支。由于数据的高度敏感性，需要保证机密性。作者将法案的高层愿景转化为技术需求，并设计了对应的密码学协议。该协议可视为由本地管理的端到端加密数据库组成的去中心化系统，其构建基于多种密码学原语，包括结构化加密、安全多方计算和秘密共享。作者提出了正式的安全定义，并证明协议满足该定义。他们还实现了原型系统，并在美国部署规模下进行了性能评估，结果表明去中心化且端到端加密的国家枪支注册不仅在理论上可行，在实践中也是可行的。论文的主要贡献包括：将政策需求转化为技术规范、设计并证明安全的密码学协议、以及通过实现和实验验证了实用性。适合对密码学应用、隐私保护系统设计以及公共安全技术感兴趣的读者。

该论文提出了一种增量式离线/在线私有信息检索（PIR）协议，旨在降低传统PIR方案在重复查询场景下的通信和计算开销。核心思想是将PIR过程分为两个阶段：离线阶段预先处理数据库并生成辅助数据；在线阶段利用离线结果快速响应查询，同时支持增量更新（即数据库元素动态增删改时仅需局部调整辅助结构）。作者给出了形式化安全定义，并构造了基于同态加密和布谷鸟哈希的具体实例，实验表明在百万级数据库上通信量较现有方案降低约一个数量级。该工作对需要频繁查询的大规模数据库安全检索具有实际意义。

该论文研究了匹配密码系统的稳定性问题，提出了一种基于有限域上图的权重向量函数构建公钥和私钥的密码系统。公钥包含一个图和边上的权重向量函数（值取自有限域），私钥则是一个特殊的权重函数，使得相应的交替加权路径问题可以在多项式时间内求解。论文考虑了一类特定的私钥函数族，其中部分向量坐标被描述为有限噪声。作者进一步提出了匹配密码系统稳定的一个必要条件，该条件基于公钥中特定边集对应的权重向量张成空间的维数。论文还描述了一种可能的攻击方法及对应的有限噪声防御策略。该工作为评估匹配密码系统的安全性提供了理论依据，并指出了潜在的攻击向量和防御思路。

该论文探讨了如何将整数分解问题转化为二元优化问题，并尝试使用Pauli关联编码（PCE）算法进行求解。整数分解是RSA等公钥密码学的基础问题，在经典计算机上被认为是困难的，而量子计算提供了一种潜在的加速途径。然而，现有量子因子分解算法（如Shor算法）需要大量量子比特，在近期量子硬件上难以实现。PCE算法具有压缩能力，可以大幅减少所需量子比特数。本文 proposes 将因子分解问题编码为PCE框架中的优化问题，通过量子系统动力学分析候选因子关系。研究者描述了算法设计、与现有量子方法的概念联系，以及在当前或近未来量子硬件上实现的实践约束。初步观察表明，该方法可能为量子计算中的因子分解提供新视角，但本文未宣称计算优势，仅作为探索性贡献。论文适合量子算法研究人员和计算数论学者阅读。

本论文针对数据加密标准（DES）中56位密钥的穷举搜索问题，在当代云基础设施上进行了成本与时间的可重复实验与测量。作者在亚马逊AWS EC2上构建了一个基于C/OpenMP的分布式暴力破解系统，使用37个c6i.2xlarge实例，将2^56个密钥空间分区。实测单实例吞吐量达2.91 M keys/s，聚合吞吐量约108×10^6 keys/s。通过15次独立试验，覆盖从10^6到1.5×10^10的密钥偏移量，测量了墙钟时间和货币成本。小偏移量（≤10^8）时，AWS实例启动延迟（约90秒）主导总时间，平均每次攻击耗时116.8±20.1秒，成本0.41美元。较大偏移量时搜索时间线性增长：1.5×10^10偏移量需约87分钟和18美元。以当前37实例聚合吞吐量，穷举整个2^56密钥空间需约21年。但得益于任务高度并行与云弹性，可用资金换时间：按测量成本外推，完全穷举约需120万美元，足够大的实例池可在一天内完成。因此，该系统对有限子空间攻击成本极低；完整DES穷举虽昂贵，但资金充足的攻击者仅凭普通云资源即可实现。

论文提出 SPARC，一个自动化的预硅功耗侧信道泄漏（PSCL）评估与根因分析框架。PSCL 源自处理器架构和微架构的偶然因素，对密码软件的机密性构成严重威胁。现有方案受限于仿真可扩展性差，或无法将泄漏归因于正确的硬件信号和软件指令，阻碍了全面的根因分析。SPARC 利用宏单元级信息流追踪（IFT），辅以增强的阴影逻辑，标记源自秘密相关数据的切换活动。通过隔离这些活动，SPARC 应用统计泄漏测试检测 PSCL，同时将泄漏归因于特定硬件信号，并将这些信号映射到对应的软件指令，从而提供硬件和软件的全链路泄漏评估与根因分析。为验证 SPARC，在多个开源 RISC-V CPU（包括 32/64 位内核，顺序/乱序流水线）上，针对多种密码负载（包括掩码/未掩码 AES 和 ML-KEM/CRYSTALS-Kyber-512）进行了评估。SPARC 成功恢复了已知泄漏源，并识别了特定微架构泄漏源，在类似设计上实现了每条迹线 8 倍的仿真加速。通过在预硅阶段实现精确且可扩展的根因分析，该工作提供了一个实用框架，可在设计流程早期缓解 PSCL，从而增强未来处理器的安全性。

该论文针对密码学软件在推测执行攻击（如Spectre）下的安全漏洞，提出了一种基于类型化汇编语言（TAL）的防护方案。传统上，密码学开发者通过遵循常量时间编码规范来防止时序侧信道泄漏，但2018年揭示的Spectre攻击表明，即使代码在常规执行中满足常量时间要求，处理器推测执行仍可能因微架构状态泄漏秘密。论文的核心贡献在于设计了一种扩展的类型化汇编语言，该语言在指令集层面引入安全类型系统，能够静态强制确保代码在推测执行环境中不泄露秘密。具体而言，作者定义了新的类型构造器来区分推测和非推测执行路径，并通过类型检查保证敏感数据不会通过缓存等微架构通道被观测到。论文在基于RISC-V的模拟平台上实现了原型编译器，并对OpenSSL等真实密码学库中的关键函数（如AES、RSA）进行了验证。实验结果表明，该方案能在引入平均约15%的性能开销的前提下，有效阻断推测执行侧信道。该方法相比现有动态防御（如指令序列化）具有更低的误报率和更好的可扩展性，适合集成到安全关键系统的编译流程中。论文适合编译器设计、密码学实现和微架构安全方向的研究人员阅读。

该论文研究离线位置追踪生态系统中的隐私与安全平衡问题，重点关注如何设计抗滥用的位置追踪协议。现有位置追踪设备（如蓝牙追踪器）广泛应用于寻找丢失物品，但也可能被用于未经授权的跟踪（如跟踪他人）。论文提出一种新型加密协议，允许设备所有者查找其物品位置，同时防止恶意第三方或服务提供商滥用位置信息。核心方法包括基于公钥加密的密钥分发机制和匿名认证技术，确保只有授权用户能查询位置更新，而服务提供商无法关联具体用户。实验部分模拟了追踪器与智能手机的交互场景，分析了协议在延迟、能耗和安全性方面的表现。主要贡献是设计并实现了第一个同时满足隐私性（防止服务商追踪用户）与安全性（防止非法跟踪）的离线位置追踪系统，并提供了安全证明。适合安全通信、隐私保护及物联网安全领域的研究者阅读。

这篇论文研究的是定时承诺（timed commitments），这是一种密码学原语，允许承诺者在未来某个特定时间点之后非交互地打开承诺，由 Boneh 和 Naor 在 CRYPTO 2000 中提出。定时承诺在密封投标拍卖、公平合同签署、公平多方计算和加密货币支付等场景中有广泛应用。然而，现有所有实用构造都依赖于私有硬币的可信设置（private-coin trusted setup），并且随着参与者数量增加扩展性差，这严重阻碍了该原语的广泛采用。本文作者提出了一种新的定时承诺方案，该方案基于类群（class groups）上的密码学困难假设，实现了高效且满足 CCA（自适应选择密文攻击）安全性的定时承诺。与以往工作相比，该方案不需要可信设置，并且具有良好的可扩展性，能够支持大量参与者。作者通过严格的安全性证明和性能分析展示了方案的有效性，实验表明构造是实用的。该研究为定时承诺的部署提供了更实用的方案，有望推动相关应用的落地。

本文针对车辆间（V2V）通信中支持后量子密码学（PQC）所面临的独特挑战展开研究。V2V通信对安全性和实时性要求极高，而当前PQC算法存在显著的带宽和计算开销，导致在有限无线电频谱资源下几乎无法直接部署。作者首先通过实验验证了现有V2V系统中的签名验证过程占用了大量频谱资源，使得PQC难以融入。为解决这一瓶颈，他们提出了一种自适应调度技术，用于优化消息签名证书的传输时机，发现当前高达93%的证书传输是冗余的，通过减少不必要的传输可大幅降低频谱占用。在此基础上，本文首次设计了将PQC集成到V2V中的完整方案，满足严格的约束条件。具体而言，他们分析了NIST选定的三种后量子签名算法（如CRYSTALS-Dilithium、FALCON、SPHINCS+）以及XMSS（RFC 8391），并提出了一个部分混合认证协议，即在向全PQC过渡的初期阶段，将经典密码学与PQC融合使用。该协议在安全性和性能之间实现了高效平衡，并且经过了严格的证明。实验部分采用了软件定义无线电（USRP）、商用V2V设备以及交通模拟器进行验证，结果表明该联合调度优化与部分混合设计在实际条件下具有可扩展性和可靠性，与现有方案相比仅增加了平均0.39毫秒的延迟。本文适合车联网安全研究人员、密码学标准化制定者以及智能交通系统开发者阅读。

本文探讨了密码学原语硬件实现的部署现状与挑战，指出尽管硬件加速在理论上能显著提升密码运算性能，但实际高影响力部署案例较少。作者分析了硬件加速复杂密码原语（如全同态加密、多方安全计算等）和协议的优势——包括计算效率提升、能耗降低、安全隔离增强等，同时也指出了主要障碍：硬件开发成本高、迭代周期长、与软件生态的兼容性差、以及针对硬件侧信道攻击的防护难度大。文章以作者团队近期工作为例，展示了针对特定密码协议（如隐私保护机器学习推理）的定制硬件加速器设计，并论证了密码学与硬件协同设计（co-design）的巨大潜力：即从设计初期就考虑硬件特性来定制密码协议，同时硬件架构也针对密码算法的需求优化，从而突破传统“先软件后硬件”模式的性能瓶颈。本文适合密码学研究者和硬件安全架构师阅读，可作为密码硬件加速领域的综述与方向指引。

这篇论文来自卡牌密码学领域，研究一种称为“随机切割”（random cut）的洗牌操作——该操作将一叠面朝下的牌序列秘密地循环移位一定数量。在随机切割下，两叠牌序列不可区分当且仅当它们互为循环移位。此前已知，如果允许任意插牌，只要两个单词是彼此的排列，总可以通过在匹配位置插牌使其不可区分。本文考虑一个更强的限制：当牌只有0或1两种值（二进制）时，能否只插入0（不插入1）来使序列不可区分？作者定义了“0-循环可等化”概念：两个二进制词可以通过在匹配位置插入0，使得最终得到的词互为循环移位。主要结论是：两个等长二进制词是0-循环可等化的当且仅当它们具有相同的Hamming权重（即1的个数相同）。由于Hamming权重相等显然是必要条件，论文重点证明其充分性。证明是构造性的：先将一对二进制词编码为四字母{A,B,X,O}上的单一单词，然后将可等化性约化为该编码下的一个更简单的条件，最后显式构造出所需的插入方案。该结果对卡牌密码协议中的安全分析有理论意义，但当前仅为纯数学成果。

该论文针对金融交易中现有 RSA-2048 面临“先收割后解密”（HNDL）攻击及未来量子计算威胁，提出了一种双包裹混合密钥封装机制（DW-HKEM）。该机制同时集成 RSA-256 和 ML-KEM-768（基于格的后量子密码），将 AES-256 会话密钥分别用两者封装，再通过基于 SHA-256 的密钥派生函数合成组合密钥，从而同时提供经典安全性和抗量子安全性，并保持与现有银行系统的向后兼容性。配套开发了 CryptoX 实时仪表板，提供操作时间追踪、会话级分析和性能趋势可视化，可直接用于企业银行安全运维。通过 100 次独立迭代的基准测试，总开销仅约 1.58 毫秒，远低于企业部署阈值，证明该架构作为金融行业向抗量子时代迁移的实用、可扩展参考方案是可行的。论文还提供了完整源代码。

本文针对高保证密码学协议形式化验证实现中存在的性能瓶颈问题，提出了一套通用的优化方法。以 Line-Point 零知识证明（LPZK）协议为案例，首先在 EasyCrypt 中实现了一个形式化验证的 LPZK 实现（未考虑性能），然后通过三步优化获得高达 3000 倍的加速，最终性能与手动优化版本 lpzkv2 相当。三步优化包括：修改算法规范以减少计算复杂度、采用可证明安全的并行执行模型、以及优化内存访问结构。每一步优化都在 EasyCrypt 中形式化验证，并自动合成可执行代码。论文详细分析了每步优化带来的性能提升，并讨论了自动化安全证明和代码合成面临的挑战。该工作表明，通过系统的形式化优化，可以在不牺牲安全性保证的前提下显著提升验证密码学实现的性能，为高保证密码学的大规模应用提供了可行的技术路径。

本论文提出了一种名为HPCG（硬件辅助伪随机相关生成器）的轻量级TEE辅助安全多方计算（MPC）解决方案。HPCG旨在解决传统MPC协议中存在的效率瓶颈问题，同时最小化对安全硬件的依赖和信任。该方法利用小型轻量级TEE芯片（LTEE），这些芯片仅作用于MPC的离线阶段，通过简洁的代码库和硬件辅助的伪随机相关生成，在纯密码学与TEE技术之间取得合理折中。HPCG设计为适用于预处理模型下的多种MPC设置，并兼容主流秘密共享语义，从而易于部署并集成到现有MPC实践中。该方案兼顾了高性能和强安全性，通过将复杂计算卸载到离线阶段，显著降低在线阶段的计算和通信开销。实验（若文中提及）将展示HPCG在典型MPC应用中的效率提升和安全性保证。该工作为构建实用、高效的MPC系统提供了新思路，特别适合对性能要求高且环境允许少量可信硬件的场景。

本文提出一个面向CTF竞赛的DSA签名分析与可视化平台，旨在帮助初学者理解DSA算法及其相关的nonce漏洞攻击。DSA基于数论、模运算和大整数计算，传统工具仅展示输入输出，使得签名、验证和密钥恢复攻击的中间过程不透明。该平台提供三大功能：基本签名生成与验证、常见CTF攻击方法的复现、以及攻击工作流的动态可视化。平台覆盖三种典型的nonce漏洞：nonce重用、线性nonce泄漏、以及基于隐藏数问题（HNP）的格攻击。通过逐步展示和高亮中间值，底层计算变得可直接检查。实验表明，平台正确复现了标准DSA工作流程及所有三种攻击场景。该工作的核心贡献在于通过交互式可视化降低了DSA及其攻击的学习门槛，适合CTF参赛者和密码学学习者使用。

本文提出并实现了首个具体高效的（concretely-efficient）多密钥同态秘密共享（MKHSS）方案，基于与 Couteau 等人（EUROCRYPT 2025）相同的 DCR 假设。MKHSS 允许各方在各自独立密钥下编码输入，仅依赖可复用的公共参考串，无需事先交互或公钥基础设施。作者通过算法洞察将 Couteau 等方案中最大模数从 N⁴ 降至 N²，显著提升性能。实现表明，其同态乘法运算仅需 5.0 毫秒，而 Couteau 等方案需 224.6 毫秒，实现了 45 倍加速。该方案的一个强大应用是实现基于属性的非交互密钥交换（ANIKE），它推广了基于口令的密钥交换（PAKE）至任意属性策略。本文评估了首个具体高效的 ANIKE 方案：在单核上，两方基于地理位置密钥交换耗时 1.65 秒，基于 8 词口令的模糊 PAKE 耗时 7.59 秒，相比 Couteau 等方案（62.5 秒和 253 秒）分别实现 38 倍和 33 倍加速。此工作适用于密码学、安全多方计算及密钥交换领域研究人员。

该论文提出了一种名为Coral的新型零知识证明系统，专注于快速、简洁且非交互的上下文无关文法（CFG）证明。零知识证明允许一方（证明者）向另一方（验证者）证明某个陈述的真实性，而不泄露任何额外信息。现有系统在处理CFG时存在效率低或交互复杂的问题。Coral通过优化代数论证和多项式承诺方案，实现了证明的简洁性（证明大小与语句复杂度成亚线性关系）和验证效率（接近常数时间）。论文详细描述了协议设计、安全性证明，并提供了基准测试结果。实验表明，Coral在证明生成速度和验证时间上相比以往方案有显著提升，尤其是在处理复杂CFG关系时。该研究不仅推动了零知识证明理论的发展，也为实际应用如区块链隐私、凭证验证等提供了更高效的底层工具。适合密码学研究者、区块链工程师以及需要高效零知识证明的开发者阅读。

本文对 STIR/SHAKEN 协议（一种用于验证电话呼叫中主叫方身份的标准）中的密码学实现进行了系统性安全分析。STIR/SHAKEN 旨在通过数字签名来防止来电显示欺诈，但该研究揭示了协议规范及其参考实现中存在多个密码学缺陷。具体问题包括：(1) 协议规范中关键的加密参数（如哈希算法、曲线选择）表述模糊，导致不同实现间存在互操作性问题；(2) 由于使用了不适当的哈希操作，协议易受长度扩展攻击，这允许攻击者在某些情况下伪造或篡改签名；(3) NIST P-256 椭圆曲线参数的兼容性问题，使得部分实现可能意外地使用弱参数；(4) 基于 ECQV（椭圆曲线证书）的隐式证书方案存在设计缺陷，可能被用于绕过身份验证。作者通过构建概念证明攻击及对公开代码库（如转码器实现）的审计，验证了这些弱点的实际可利用性。该工作不仅指出了当前协议实现的风险，还提出了具体的密码学改进建议，包括采用更强的哈希原语、明确参数选择规范，以及重新设计证书颁发流程。这些发现对于电信运营商、VoIP 服务提供商以及标准制定机构（如 ATIS/SIP Forum）具有直接参考价值。

本文提出了一种加权批量阈值加密（Weighted Batched Threshold Encryption, WBTE）方案，旨在解决区块链内存池（mempool）中的交易隐私问题。在区块链系统中，交易在打包进区块前会先广播到mempool，攻击者可以监控mempool获取交易信息，进行抢先交易或拒绝服务攻击。传统的阈值加密允许一组参与者共同解密，但无法区分不同交易的重要性。WBTE引入加权概念，为不同交易分配不同权重，只有累积权重达到阈值才能解密，从而允许节点根据优先级处理交易。方案支持批量处理，提高效率。作者形式化了安全模型，并基于双线性映射构造了具体协议，证明了其在选择密文攻击下的安全性。实验表明，该方案在以太坊环境下的开销可接受，能有效抵御抢先交易攻击。本文适合区块链安全研究人员、加密协议设计者以及关注DeFi隐私的从业者阅读。

该论文提出了一种名为 Dory 的流式伪随机相关生成器（PCG），旨在解决安全多方计算（MPC）和零知识证明（ZKP）等密码学协议中伪随机相关生成的内存效率问题。传统的 PCG 方案需要预先生成并存储大量相关随机数（如不经意传输扩展、乘法三元组等），导致内存开销巨大，限制了其在资源受限设备或大规模场景中的应用。Dory 通过创新的流式生成架构，支持按需生成任意长度的相关随机数序列，而无需一次性将全部数据加载到内存中。其核心思想是将伪随机生成过程分解为可增量计算的子过程，并利用轻量级对称密码原语（如 AES-NI 或低复杂度伪随机函数）实现低延迟的在线生成。论文通过形式化安全性证明（基于随机预言机假设或标准模型）和实验评估展示了 Dory 在隐私保护机器学习、多方数据库查询等典型 MPC 协议中的性能优势：与现有方案相比，内存占用降低可达 10-100 倍，同时保持可比的通信和计算开销。该工作为密码学实际部署提供了重要的工程优化思路，特别适用于移动设备、IoT 节点等内存受限环境下的安全计算任务。主要贡献包括：（1）定义了流式 PCG 的安全模型；（2）给出高效构造并分析复杂度；（3）开源实现并测试了多个应用场景。

本文提出Jigsaw系统，旨在实现双重隐私保护的智能合约，即同时保护合约的输入数据和合约逻辑（代码）的隐私。传统的智能合约在区块链上公开执行，导致交易数据和合约代码对所有节点可见，存在隐私泄露风险。Jigsaw结合了安全多方计算（MPC）和零知识证明（ZKP）等密码学技术，设计了一种新的协议，允许合约参与方在不泄露各自输入和合约逻辑的情况下协同执行计算，并验证结果的正确性。系统架构采用分片（sharding）和秘密共享机制，将合约状态分割成多个秘密份额，分布在不同节点上，任何单个节点无法获取完整信息。实验评估表明，Jigsaw在以太坊测试网络上运行具有可接受的性能开销，相比现有完全同态加密或MPC方案，在延迟和吞吐量方面有所优化。本文的主要贡献在于提出了首个同时满足输入和代码隐私的智能合约系统，并给出了形式化安全证明和原型实现，为区块链隐私保护研究提供了新的方向。

本研究对 Signal 协议的核心组件——双棘轮（Double Ratchet）机制进行了自动形式化安全分析。双棘轮负责在消息丢失、重排序或临时密钥泄露等复杂条件下提供前向安全和后向安全。研究者使用 ProVerif 工具（一种自动密码协议验证器）对双棘轮协议建立精细模型，并首次发现了在特定场景下可导致密钥安全属性失效的攻击：当一条消息在发送者密钥状态被更新后丢失，且攻击者恰好获取了该丢失消息之前的状态信息时，可能恢复后续会话密钥的部分信息。这一攻击突破了双棘轮设计者声称的安全保证。随后作者提出了两种修复方案：一是修改密钥派生结构，增加额外的哈希迭代；二是调整连锁密钥的更新规则。通过 ProVerif 自动验证，修复后的协议满足预期的安全属性。论文还对修复方案给出了严格的安全性证明，并讨论了形式化分析在现实密码协议设计中的重要性。该工作为即时通讯软件的安全加固提供了理论依据，也展示了自动形式化验证工具在发现真实协议漏洞方面的有效性。

该论文研究如何安全高效地将zk-SNARKs证明的生成任务外包给单个不信任的服务器，同时保护用户的隐私。zk-SNARKs是一种零知识证明，允许证明者向验证者证明某个陈述为真，而无需泄露任何额外信息。然而，生成zk-SNARKs证明的计算开销巨大，对于资源受限的用户（如移动设备）而言难以承受。现有解决方案要么依赖多个服务器（需要非共谋假设），要么牺牲隐私。本文提出一种单服务器私有外包协议，允许用户将证明生成任务委托给单个服务器，服务器执行大部分计算，而用户仅需少量本地计算。核心方法结合了同态加密与简洁的本地验证技术，确保服务器无法学习任何关于用户输入（包括秘密witness）的信息，同时用户可高效验证服务器返回结果的正确性。实验表明，与在本地生成证明相比，该方案可显著降低用户计算开销（例如，对于R1CS电路，用户端时间减少约99%），而通信开销和服务器计算量仍在可接受范围内。主要贡献包括：形式化定义单服务器私有外包的模型与安全要求；提出一个具体构造，基于可验证计算和同态加密；在多个实际电路上进行性能评估。该工作对于推动零知识证明在移动端和边缘设备上的应用具有重要价值。

该论文提出了一种基于格的分布式伪随机函数（DPRF）的新型高效构造方案——LaKey，旨在解决分布式密钥管理中的可扩展性和安全性问题。分布式密钥管理需要多个参与方在不泄露私钥的情况下共同生成和使用密钥，而传统的方案往往依赖双线性配对或大整数分解，在量子攻击下存在风险。LaKey利用格密码学（特别是环-LWE假设）来设计DPRF，实现了更小的密钥尺寸和更高的计算效率。文中详细描述了LaKey的协议流程，包括密钥生成、分发、评估和组合步骤，并证明了其在标准模型下的安全性。与已有方案相比，LaKey在通信复杂度和计算开销上均有显著改进，支持动态添加或移除参与方，适用于大规模分布式系统如区块链、物联网和安全多方计算。实验评估展示了在典型参数设置下的性能指标，验证了其实用性。该工作为后量子安全的分布式密钥管理提供了一种可行的轻量级替代方案。

本文提出了两种对称密钥密码设计方案：AESpolyW 和 AESpolyM，它们利用 AES 加密与多项式哈希之间的指令级并行性来提高性能。研究背景是，现有的对称加密和认证方案（如 HCTR2、EME、GMAC、PMAC）虽然能提供安全保证，但往往无法充分利用现代处理器的并行计算能力。作者通过将 AES 操作和多项式哈希操作交错执行，使得两种计算可以同时在处理器流水线上进行，从而减少总执行时间。论文提供了这些新方案以及先前方案（使用不同分组密码原语实例化）的开源实现，并附带基准测试代码。实验结果表明，在支持 AES-NI 和 CLMUL 指令集的平台上，AESpoly 系列方案相比传统方法在吞吐量上有显著提升，同时保持了同等或更强的安全边界。本文适合密码学研究者、硬件安全工程师以及高性能加密库开发者阅读，以了解如何通过指令级并行优化对称加密性能。

本文提出UltraProofs，一种可扩展的Reed-Solomon码承诺方案。Reed-Solomon码广泛应用于纠错编码和数据存储，但构造高效、可验证的承诺方案一直存在挑战。UltraProofs通过创新的多项式承诺技术，实现了对RS码的简洁、可靠承诺，支持高效的证明生成与验证。该方法在保证安全性的前提下，显著降低了通信和计算开销，适用于大规模数据完整性验证场景，如区块链、分布式存储等。实验表明，UltraProofs在证明大小和验证时间上优于现有方案，具有良好的可扩展性。

本文提出了一种名为“Shared Spotlight Meridian”的新型分布式稀疏伪随机函数（Sparse PRF）协议，旨在解决联邦学习中可扩展性、通信效率和隐私保护的挑战。联邦学习通常需要客户端与服务器之间频繁交换模型更新，这会导致高通信开销和潜在的隐私泄露风险。传统伪随机函数在分布式场景下难以高效实现稀疏输出，而现有稀疏PRF方案多基于强假设或计算密集。作者引入了一种轻量级的分布式协议，利用秘密共享和双向映射技术，使服务器能够聚合客户端稀疏更新的同时保持隐私。通过理论分析和模拟实验，证明了该方案在通信轮数、计算开销和模型精度上优于现有基线方法。该研究为大规模联邦学习系统提供了一种实用的隐私增强组件，尤其适用于带宽受限或对通信敏感的场景。

由于未提供论文摘要，无法生成详细总结。该论文标题为《Practical Multi-Party Private Set Intersection with Reducible Zero-Sharing》，可能涉及多方安全计算中的隐私集合交集协议优化，但具体内容未知。

本文提出了一种基于格（lattice）的扩展可撤销签名（Extended Withdrawable Signatures）方案，是对Liu、Susilo和Baek之前工作的扩展。该方案构建于Fiat-Shamir with aborts范式之上，并采用了无提示（no-hint）、全t的Dilithium风格方案作为基础签名，以及一个已有的格上one-out-of-many证明作为环签名层。其核心创新在于通过可声明的环签名（claimable ring signature）实现扩展可撤销性：签名者匿名性由one-out-of-N签名作为黑盒提供（在完全密钥暴露下保持匿名），而确认是签名者的声明，包括一个绑定签名以及一个隐藏索引承诺的开销（该承诺绑定在签名文本中）。与早期草案不同，该方案不公开任何直接泄露签名者的值。本文提供了完整的安全性证明，包括正确性、扩展可撤销性（即匿名直到声明）、内部腐败下的不可伪造性以及声明可靠性。这些安全性归约到决策型模学习带错误（MLWE）问题（承诺隐藏性）、模短整数解（MSIS）问题（承诺绑定性）、one-out-of-N方案的匿名性以及基础签名的EUF-CMA安全性，所有证明均在（量子）随机预言机模型下完成。该工作为后量子密码时代提供了可撤销签名的新构造，适用于需要匿名但允许在特定条件下揭示签名者身份的密码协议。

该论文基于对30名具有加密代码更新经验的开发者和安全专家的半结构化访谈，系统研究了在实践中更新加密代码（如替换旧加密算法、升级库版本、迁移到新标准）时的实际做法、经验教训和面临的挑战。研究发现，开发者普遍依赖经验法则和社区最佳实践，缺乏系统性的更新指南；组织因素如时间压力、遗留系统兼容性和团队知识分布显著影响更新决策；正式的安全测试和验证机制在实践中经常被省略。论文提出了一个描述加密代码更新过程的框架，并指出了自动化工具、更好的文档和跨团队沟通机制可改进的领域。该研究为开发安全工具、改进API设计和组织安全策略提供了实证依据。

同态加密（HE）允许在不解密的情况下对加密数据进行计算，广泛应用于隐私保护场景。然而，HE的安全性通常假设服务器是“诚实但好奇”的，即服务器会忠实执行计算。若服务器是恶意的，则无法保证计算结果的正确性。可验证HE（vHE）旨在检测恶意行为，但现有方案要么比底层HE操作慢四个数量级以上（Atapoor等，CIC 2024），要么虽快但与服务器端私有输入不兼容（Chatel等，CCS 2024）。本文提出ZHE框架：高效零知识证明（ZKP），用于证明HE评估的正确执行，同时保护服务器的私有输入。具体贡献包括：（1）为模运算和（逆）数论变换（NTT）设计了两种新的高效ZKP，它们是HE评估的基本运算；（2）构建了针对HE评估的定制化ZKP，具有可扩展性、快速证明时间、非交互式在线阶段，适用于所有基于Ring-LWE的HE方案（如BGV和CKKS）；（3）基于BGV和CKKS实现了协议，并在多种HE工作负载上进行了大量实验。与最先进工作相比，证明者和验证者时间均有提升；特别是证明者成本仅为底层HE操作的约27–36倍，比最先进工作便宜2到3个数量级。

MicroNova 是一种基于折叠的递归论证系统，旨在高效证明形如 y = F^(ℓ)(x) 的增量计算，其中 F 可以是使用 R1CS 约束系统编码的非确定性计算。与现有折叠论证相比，MicroNova 的关键创新在于其验证者在资源受限环境（如以太坊区块链）中的具体效率。证明过程逐步生成，且证明大小和验证时间与迭代步数 ℓ 无关。在最后迭代后，证明被压缩为 O(log N) 个群元素，其中 N 是单次调用 F 的约束数。压缩证明的验证仅需 O(log N) 次群标量乘法和两次配对运算。MicroNova 需要通用可信设置，并可复用为 KZG 多项式承诺方案创建的现有设置材料。论文还给出了实现和实验评估：在以太坊上验证一个证明大约消耗 220 万 gas，证明者的开销相比基础的 Nova 仅有极小增加。这项工作对区块链上可验证计算、递归证明合成等领域有显著贡献，尤其为在智能合约中高效验证复杂计算提供了实用方案。

本文提出了一种名为CC（Cryptographic Companion）的新型全盘加密（FDE）方案。传统的FDE通常由操作系统驱动实现，用户需在主机端提供密钥才能透明访问加密磁盘。CC另辟蹊径，在主机系统与外置硬盘之间插入一个通用的单板计算机（如树莓派），该设备运行Linux并支持USB On-The-Go，充当中间件。主机通过标准USB大容量存储接口与CC通信，完全不知晓底层加密的存在；CC负责执行所有加密/解密及认证操作，并将加密后的数据块存储到外置USB硬盘中。这种设计带来了多项关键优势：灵活性高（可适配不同加密算法）、成本低廉（使用通用硬件和开源软件）、透明性（对主机无要求）、可审计性（中间设备可记录日志）以及抵御恶意磁盘固件攻击的能力。实验评估表明，当前原型在大多数常见使用场景下性能足够高效。本文适合关注存储加密、硬件安全及可信计算的研究人员和工程师阅读。

本文提出了一种针对Paillier密码系统的高效零知识论证系统。Paillier加密是一种同态加密方案，广泛应用于隐私保护计算，如联邦学习和加密数据分析。然而，在实际应用中，需要证明密文满足某些性质（如范围证明、正确性证明等），而现有的零知识证明方案要么具有线性大小的证明和验证成本（专门为Paillier设计的方案），要么使用通用子线性论证系统（如zk-SNARK），但后者需要将关系转化为大布尔电路或素数阶域上的算术电路，导致证明生成成本过高。本文的核心创新在于定义了一个基于合数模剩余类环上的约束系统，并提出了针对该系统中二进制值证明的新技术。然后，作者改编了Bootle等人（EUROCRYPT 2016）的方法，将该约束系统编译为子线性论证系统。该约束系统是通用的，可以表达Paillier密码中的典型关系，包括范围证明、正确性证明、多个密文间明文关系等。更重要的是，该系统支持批量证明生成和验证，当Paillier密文数量达到数百个时，其摊销成本优于现有专有方案。实验评估了多个场景：在打包场景中，将25.6K比特打包到400个密文中，证明这些密文正确计算的证明大小比朴素实现（使用25.6K个OR证明而不打包）小17倍，验证速度快3倍，并且可以几乎无成本地证明附加语句（如子集比特和小于阈值）。在范围证明场景中，证明200个密文的每个明文为256比特，证明大小比现有最优方案小10倍。结果表明，该方案在渐近效率上优于现有协议，特别适用于涉及大量（超过100个）Paillier密文的数据分析应用。本文适合密码学研究人员、隐私保护计算开发者和安全从业者阅读。

本文研究了纠错码的邻近间隙性质，该性质在交互式预言证明和简洁非交互式零知识论证中具有重要应用。先前Goyal和Guruswami的工作为子空间设计码以及随机线性码、随机求值点的Reed-Solomon码和Gallager的LDPC码等随机码族建立了接近最优的邻近间隙，但随机码族的参数随次数ℓ增加而劣化，且不如子空间设计码的参数。本文通过将局部坐标线性框架扩展到行跨度约束版本，将曲线可解码性（一种蕴含邻近间隙的性质）直接建模为行跨度约束的LCL性质，从而实现了从子空间设计码到随机码族的黑盒迁移：子空间设计码的任何进展都会自动带来随机码族的类似进展。定量上，本文为随机码族获得了与子空间设计码相同级别的邻近间隙，显著改进了先前结果。该工作主要面向编码理论、IOP/SNARK和密码学理论研究者。

本论文针对二维码（QR码）缺乏固有安全机制的问题，提出了一套完整的安全二维码架构演化方案。QR码被广泛信任，但易受欺骗攻击（如quishing），尤其是在自助停车机等公共基础设施场景。作者首先评估了一种完全离线的概念验证方案，该方案采用EdDSA签名（基于Ed25519曲线）、CBOR编码证书和ZLIB压缩，证明在QR码严格的静态容量限制内可以实现强大的密码学完整性。然而，完全离线模型在规模化部署时存在关键撤销困难，不适用于大型智慧城市物联网部署。为此，作者进一步提出一种可扩展的混合Web PKI架构，利用标准化的JWKS端点、中央信任注册中心和URL片段，在保持与标准原生相机向后兼容的同时，为合规应用提供动态实时验证。这种双模式方法为消除QR码伪造提供了一条实用且可部署的路径。本研究适合安全架构师、二维码应用开发者以及物联网安全研究人员阅读。

本文扩展了 Liu、Baek 和 Susilo 提出的可撤销签名（withdrawable signatures）概念，将其推广到 Fiat-Shamir with aborts 范式。作者首先给出了一个抽象的构造方案，并提供了完整的安全证明。作为实例化，论文基于无提示（no-hint）、全尺寸 Dilithium 风格的 Fiat-Shamir with aborts 构造，设计了一个具体的可撤销签名方案；当适配生产级 ML-DSA（带提示）时，会引入一个小的 epsilon 项。该研究为后量子签名方案的密钥撤销管理提供了理论支持，但仅限于 abstract 中的描述，缺乏实验验证。

本论文提出了一种称为 Caulk 的新型查找参数（lookup argument）及其变体 Caulk+，旨在解决零知识证明系统中高效证明元素属于预定义集合的问题。传统的查找参数（如 plookup）证明者复杂度与数据集大小呈线性关系，而 Caulk 通过结合向量承诺和多项式承诺技术，将证明者复杂度降低至次线性（具体为 O(log^2 n) 或更低），验证者时间和证明大小保持在对数或常数级别。Caulk 的核心思想是将集合的承诺与稀疏求值技术相结合，允许证明者仅访问数据集的子集即可生成证明。Caulk+ 进一步优化了证明者渐近复杂度，适用于更大规模的数据集。实验表明，Caulk 在千万元素级别的集合上仍能保持高效。该工作对区块链、隐私保护计算、存储证明等场景具有重要理论价值，使得简洁零知识证明可以处理更大规模的状态，例如以太坊账户余额验证或存储证明。本文适合密码学研究者、零知识证明开发者及区块链底层技术工程师阅读。

本文提出了一种名为Wolverine的新型零知识证明（ZK）协议，旨在同时满足布尔电路和算术电路的高效、可扩展和低通信开销。现有的ZK协议要么证明者开销大（内存使用高），要么通信复杂度较高（每门至少κ比特，κ为计算安全参数）。Wolverine实现了常数轮交互，证明者运行时间线性，内存使用量渐近最优，与非加密方式评估电路所需内存相当，从而能够轻松扩展到超大规模电路。对于统计安全参数ρ=40，该协议在布尔电路上每门通信约9比特，在大域算术电路上每门通信2-4个域元素。实现结果表明，使用5线程、400MB内存、200Mbps网络，评估具有数千亿门的电路时，布尔电路速率为0.45μs/门，61位域算术电路为1.6μs/门。此外，本文还提出了一种改进的恶意安全子域向量不经意线性评估（sVOLE）协议，具有独立的研究价值。该研究为部署大规模零知识证明提供了高效且实用的方案，适合密码学研究人员、隐私计算工程师以及区块链开发者阅读。

该论文提出了一种跨域访问控制加密（ACE）方案，解决了现有ACE方案中无法同时实现任意策略、常量大小密文和高效清洗的问题。现有方案要么依赖指数级密文大小的混淆或格基假设，要么仅支持简单策略，且需要私有的清洗密钥持续在线。作者首次提出了无需清洗密钥的任意策略ACE方案，解决了Kim和Wu在Asiacrypt 2017提出的开放问题。此外，论文引入了跨域ACE概念，将密钥生成分离为发送方权威和接收方权威，适用于不同管理域之间的安全通信。方案基于结构保持签名、非交互式零知识证明和可清洗的基于身份的广播加密，可直接用配对假设实例化，密文大小恒定。原型实现证明了其实际效率。该研究为访问控制加密提供了更灵活、高效的解决方案，适用于需要细粒度访问控制且保护元数据的场景。

本文研究了在流式认证数据上实现隐私保护证明的问题。在该场景中，服务器从可信数据提供者处持续接收数据流，并被要求向第三方正确且隐私地证明对数据执行的计算结果。第三方除了知道声称结果的正确性外，不获得任何数据信息。挑战在于第三方仅与服务器通信，却能验证结果相对于提供者所认证数据的有效性。该问题广泛应用于股票市场监控与预测服务、政府基于大型医疗数据库发布的统计等场景，这些都需要可靠且可扩展的解决方案。论文提出了针对签名数据的高效零知识证明方法，支持对数据流进行可验证计算，同时确保数据隐私。主要贡献包括：形式化定义了流式认证数据上的零知识证明模型，设计了高效的协议实现，并通过实验证明了其性能优势。适合密码学、隐私保护计算、数据流处理等领域的研究人员和工程师阅读。

本文提出一种基于同源密码学的后量子不经意伪随机函数（OPRF）构造。随着量子计算的发展，传统数论假设（如离散对数、大整数分解）面临被破解的风险，因此构建抗量子攻击的密码原语成为研究热点。OPRF 允许客户端从服务器处获得一个伪随机函数的输出，同时服务器无法得知客户端查询的具体输入，在隐私保护、口令认证密钥交换（PAKE）等场景有重要应用。现有 OPRF 构造多基于 RSA 或椭圆曲线离散对数，不具备量子安全性。作者利用超奇异同源（SIDH/SIKE）等后量子密码假设，设计了一种新的 OPRF 协议。该协议采用同源图上的行走作为核心操作，通过同源映射实现伪随机性，并引入不经意性。安全性分析表明，该方案在量子随机预言机模型下可规约到同源计算性 Diffie-Hellman 问题。实验部分用 Python 实现了概念验证，与同类后量子 OPRF 相比，计算开销和通信带宽具有竞争力。本文适合密码学研究人员和后量子安全协议设计者阅读，为构建实用化的后量子隐私保护协议提供了新思路。

本文提出了观察者商安全（Observer-Quotient Security）框架，用于研究交互式密码系统的安全性，其中安全性取决于允许的观察者能够从会话记录、泄漏痕迹和隐藏实现延续中区分的程度。作者定义了基于观察者的实验模型，包括会话标识符、自适应调度器、预言机转发、模拟器、理想商功能和非均匀环境，并证明了真实/理想模拟定理：顺序态射缺陷可加，并行缺陷服从乘积-TV 界，自适应观察者选择通过显式的包装器构造吸收。所得优势界由多个参数索引：δ_obs,t、δ_K,t、δ_post,t、δ_sim,t、η_t 以及残差底数 ρ_T(E Z_T)。该框架实例化于带时序泄漏的 IND-CPA 加密、带熵账本的确定性加密，以及有限状态侧信道精化（涵盖踪迹、时序、缓存、功耗、电磁和轮廓观察者）。优化/控制部分将隐藏延续识别为可观测性核，将传感器重新设计视为商精化，并将耗散性、PL 型速率和 ISS 残差界转化为区分优势的具体缩减。附带代码和合成数据可用于重现有限状态泄漏审计和 LTI 观察者设计基准。本文适合密码学形式化方法、侧信道分析以及控制理论交叉领域的研究者阅读。

该论文针对超椭圆曲线（genus-2）上经典的 Richelot (2,2)-同源步提出了一种完全无导数的重表述。传统的 Richelot 步骤通过曲线 f=uvw 的因式分解，利用 Wronskian 导数构造目标三元组 (U,V,W)。论文在素数域 F_p (p>2) 上，通过系数矩阵的 2×2 子式以及从第一子结式和线性合冲来恢复 Wronskian 输出，从而避免了求导运算。由此得到的 Remainder-Polynomial Route (RPR) 被证明在 F_p[x] 中产生与经典方法完全相同的多项式元组（不仅是相差单位，而是精确的多项式恒等）。在此基础上，作者进一步提出了 Guarded Subresultant Route (GSR)，一种确定性评估器：通过常数大小的代数守卫和轻量级后检查来认证可容许性，并且最多允许一次有界仿射重试。所有路径每步执行 O(1) 次域运算。在多个素数域上的原型实现中，对超过 10^6 次匹配试验，RPR 相对于经典 Wronskian 公式获得了约 4.75–6 倍的核加速；即使计入认证开销，完整的 GSR 流水线仍比 WRO 快 1.4–3 倍。正确性通过双 Richelot 对合测试在 5 个素数上的 2.5×10^5 个随机三元组上得到独立验证。该工作为后量子密码学中基于同源的密码体制（如 SIDH/SIKE 的推广）的高效实现提供了新途径。

本文提出了一种针对高效可部署、高效可搜索加密（ESE）方案的泄漏滥用攻击（LEAP）。可搜索加密允许用户对加密数据进行关键词搜索，但在实际部署中，搜索模式（如哪些关键词被搜索、搜索频率）会泄露给服务器。已有的泄漏滥用攻击通常假设攻击者拥有完整的背景知识（如完整的数据集或查询分布），但在实际中攻击者往往只能获得部分数据。本文针对更现实的场景——攻击者仅拥有部分已知数据集——设计了一种新的攻击方法。LEAP攻击利用部分已知数据来推断未加密文档的内容，甚至恢复整个查询关键词。作者通过理论分析和实验验证，证明了即使在部分知识条件下，攻击仍能有效恢复敏感信息。该工作揭示了当前ESE方案在部分知识泄漏下的脆弱性，对安全社区在设计更安全的可搜索加密方案具有重要意义。

本论文从密码学实践视角出发，系统性地研究了短描述（如密钥、证书）的“可验证复杂性”问题。在密码协议中，密钥或证书通常要求能够在有限时间（多项式时间）内完成展开或验证，否则一个紧凑表示即使理论上存在，也无法在实际有界时间协议中提供操作保障。作者形式化定义了“见证复杂性”（witness complexity）γ(x)，即字符串在通用图灵机上几乎所有最短描述的最小运行时间。γ(x)与香农熵和Kolmogorov复杂度KC有本质区别：低KC未必意味着低γ；可能存在KC很低但γ很高的字符串（例如需要超多项式时间才能展开的描述）。论文证明了γ(x)在多项式因子下具有不变性；并且基于P≠NP假设，给出了条件分离结果；同时利用KC的不可计算性得到了无条件下界。进一步，通过对类相关变体γ_P的表征，证明了γ(x)完全刻画了P与NP的关系（即P=NP当且仅当γ_P可多项式时间计算）。对于结构化的NP族，论文展示了多项式时间可计算性。第二部分发展了伴随度量，并证明了文法大小与推导代价之间的无条件差距，从而将γ(x定位为衡量密钥和证书实用性的关键指标。该工作为密码学中“短但不可用”的描述提供了理论工具，有助于理解哪些紧凑表示能在有界时间内可靠使用。

本文研究量子算法和密码学中的一个核心挑战：如何推理以随机群元素（如随机函数、置换或酉算子）为 oracle 的算法。经典方法采用惰性采样，即 oracle 不预先承诺整个群元素，而是动态采样部分信息。本文提出了一种量子惰性采样的模拟方法：压缩 oracle（或记录 oracle），这是一种允许实时模拟量子查询的量子数据结构。该结构最初由 Zhandry (CRYPTO '19) 针对随机函数提出，随后由 Ma-Huang (STOC '25) 推广至酉算子，Carolan (STOC '26) 推广至置换，并在安全证明和下界中因可解释性而得到广泛应用。本文从第一性原理出发，定义并分析了一种通用且可解释的路径记录 oracle，它能够完美模拟 $U(N)$ 的任何闭子群中的随机元素。该 oracle 以叠加态存储 t 个输入-输出对，其更新用群张量幂表示的交换子来描述，从而透明地记录算法所学到的信息。本文扩展了 Grinko-Yoshida (QIP '26) 的工作，他们给出了另一种通用压缩 oracle，但缺乏清晰的可解释性。路径记录的一个有趣应用是允许直接比较不同群的压缩 oracle，从而为证明伪随机性提供了一种新技术。例如，比较 $S_N$ 和 $U(N)$ 可以得出迄今为止最简单的伪随机酉构造：伪随机置换与随机 Clifford 的乘积 PC，改进了之前的 PFC 构造 (Metger-Poremba-Sinha-Yuen, FOCS '24; Ma-Huang, STOC '25)。本文的主要贡献在于提出了一种通用、可解释的量子路径记录 oracle，并展示了其在伪随机构造中的应用，对量子算法和密码学理论具有重要价值。

本文针对现代安全多方计算（MPC）实现的实际安全性进行了深入研究，重点关注SPDZ协议（Damgard等人，CRYPTO 2012, ESORICS 2013），该协议在最多所有参与者中除一人外均被腐化的情况下提供针对恶意对手的安全性。研究者发现SPDZ的MAC检查协议中存在一种新型的MAC密钥泄露漏洞，该漏洞可在并发、多线程设置中被利用，从而破坏输出完整性，并在某些情况下损害输入隐私。通过对三个SPDZ实现（MP-SPDZ, SCALE-MAMBA和FRESCO）的分析，两个实现易受此攻击，同时所有实现中还发现了其他问题和漏洞。论文提出了缓解策略以及针对研究人员、开发者和用户的建议，旨在提高对这些问题的认识并避免未来再次出现。该工作揭示了开源MPC实现与实际安全保证之间的差距，强调了在部署前进行严格安全审计的必要性。

数字签名是现代计算机系统中实现身份验证、完整性和信任的基石。密码学研究表明，可以证明用户拥有某个公钥对应的有效消息和签名，而无需泄露消息或签名本身。这种“持有证明”（Proofs of Possession）目前仅适用于专门设计的签名方案，对于广泛部署的遗留签名方案（如RSA、ECDSA和Ed25519）尚不可行，主要障碍在于巨大的效率差距。本文提出了一套方法，将遗留签名方案的验证算法编码为秩一约束系统（R1CS），然后利用zkSNARK证明知道一个解。为实现高效性，作者做出了四项贡献：（1）设计并分析了一种名为Dorian的新型zkSNARK，支持随机化计算；（2）引入了几种用于编码哈希、椭圆曲线操作和模运算的新技术；（3）提出了一种新方法，将ECDSA和Ed25519验证中最昂贵的部分移至R1CS之外；（4）生成了一条新型椭圆曲线，可非常高效地表达Ed25519曲线操作。这些技术将R1CS大小最多减少200倍，证明者时间缩短20倍以上。实验表明，对一条典型TLS证书大小（2千字节）的消息，生成一个RSA签名的持有证明（240字节）仅需3秒。该工作使得遗留签名方案的持有证明非常接近实用化，对提升安全性、隐私性和匿名性具有重要价值。适合密码学研究人员、协议设计者和安全工程师阅读。

该论文提出了HomeRun协议，一种高效的无限制不经意消息检索（Oblivious Message Retrieval, OMR）方案。OMR允许用户在不解密服务器上加密消息的情况下，检索与自己相关的消息。现有OMR方案往往在效率或适用性上存在限制，例如要求用户预共享密钥或有限的消息轮次。HomeRun旨在消除这些限制，实现无限制的高效检索。论文通过引入新的密码学原语和优化协议设计，在保持强隐私保证的同时，显著降低了计算和通信开销。实验结果表明，HomeRun在多种网络环境下均优于现有方案，特别适用于大规模消息系统（如匿名通信、加密邮件等）的隐私保护需求。该研究来自普渡大学等机构，主要贡献包括形式化定义无限制OMR模型、提出高效率协议以及提供安全性证明。

该论文研究有限阿贝尔商群的横向差数（transversal difference number）δ(G,H)，定义为对于有限阿贝尔群H≤G，所有横截T⊆G（即G/H的一个陪集代表系）的差集D(T)=T-T的最小基数。该不变量与有限阿贝尔分解、平铺补集以及小和集问题相关，其动机源于环面同态加密中CRT变换的域伽罗瓦标签的最新工作。论文证明了若干结果：一般下界δ(G,H) ≥ 2|G/H| - m(G,H)，其中m(G,H)是与H不交的G的最大子群的阶；该界在循环商群情形是紧的；利用Kneser定理得到交叉横截估计，从而导出精确乘积族（一个非分裂循环坐标与任意分裂因子）。特别地，论文识别出第一个真正非平凡的残余障碍：相同素数平方平面情形 G = (Z/p²Z)², H = pG。对于奇素数p，该情形是论文的技术核心，此时横截是函数F_p²→F_p²的图，D(T)分解为进位修正的有限域导数像。论文猜想对所有奇素数p有δ(G,H)=(2p-1)²，证明无条件下界3p²-p-1，并给出小素数、概率论和固定多项式证据支持该猜想。该结果主要对从事代数数论、有限域上组合问题以及同态加密基础理论的研究人员具有参考价值。

本文研究了模糊标签私有集合交集（FLPSI）协议中的可靠性问题。FLPSI允许接收方学习与查询相似的已注册记录的标签，而不会泄露其他信息。现有基于集合阈值归约的构造通过一个内部集合阈值内核来委托私有匹配，但该内核在同态形式下（结合层级BFV同态加密、混淆电路和秘密共享）存在组合间隙：每个试匹配都有假接受概率，而一次查询需要对每个记录运行一次试匹配，因此错误会随数据库规模累积，导致内核的实现可靠性误差（RSE）——即内核接受明文匹配器本应拒绝的查询的比率。作者将RSE形式化为可组合安全属性，并给出了接收方优势的闭式界。为消除这一间隙，提出了CSTPSI内核，该内核运行独立的令牌轮次，将单次试匹配的界提升至匹配幂次。在百万级数据库规模下，两轮令牌即可满足要求；十亿级规模下需要三轮，工程阈值设为10^{-6}。实验表明，在百万记录规模下，基线内核的RSE达到100%，而CSTPSI在所有测试配置中RSE保持为0。对于中等规模的大标签场景，CSTPSI比基线快20倍以上，通信量减少93%，仅在百万级规模下性能才与基线持平。该实现附带一键可重现脚本，已公开。本文适合隐私计算、密码学协议研究者阅读。

本文提出对Impagliazzo五世界理论的一种密码学扩展。Impagliazzo的五世界框架沿着单一轴（即密码原语的存在性）对计算假设进行分类，且所有世界都隐含一个默认假设：包括敌手在内的每一方都观测完整的输入，即观测者始终处于最高层级（O_top）。这一假设过于自然以至于从未被明确陈述。本文首次将其显式化，并通过引入第二个正交轴——观测轴（基于先前工作提出的观测者层级）来放松该假设。放松假设后揭示了结构现象，例如在五世界框架中无法表达的崩溃关系：P^{O_prof} = NP^{O_prof} ⊂ P。本文证明该崩溃关系在所有五个世界中无条件成立，表明观测盲性与计算困难性是独立的。进一步，定义了观者世界W_O，对所有世界-观测者对进行分类，识别出标记单元格(a)-(d)，并引入参数化族W_O^ε以建模观测不变量的部分违反。该框架还与物理信息限制（包括热力学、量子及宇宙学边界）形成接口。该研究适合对计算复杂性理论、密码学基础及计算假设分类感兴趣的读者。

本文提出了一种轻量级协议来解决私有重击者问题。在该问题中，存在多个客户端和少量数据收集服务器，每个客户端持有私有比特串，服务器希望在不学习任何客户端具体字符串的情况下，恢复所有流行字符串的集合。例如，网页浏览器厂商可以使用该协议找出哪些主页是流行的，而无需获知任何用户的个人主页。协议还考虑了更简单的私有子集直方图问题，即服务器希望统计持有特定集合中字符串的客户端数量，同时不向客户端泄露该集合。协议采用两个数据收集服务器，每个客户端在协议运行中只需向服务器发送一条消息。协议保护客户端隐私，能够抵御一个服务器的任意异常行为，且不需要公钥密码学（除安全通道外）或通用多方计算。相反，协议依赖于增量分布式点函数这一新密码学工具，它允许客户端简洁地秘密共享一个指数级大二叉树上节点的标签，前提是该树只有一条非零路径。此外，论文还开发了新的通用工具，为分布式点函数的应用提供恶意安全。协议的一个局限性是，它向服务器泄露的信息略多于流行字符串集合本身。论文精确定义并量化了这种泄露，并说明了如何减轻其影响。在实验评估中，两个分别位于美国东西海岸的服务器，能够在54分钟内从40万个客户端持有的256位字符串中找到前200个流行字符串。协议具有高度可并行性，估计使用每个逻辑服务器20台物理机器，协议可以在略超过一小时的运算时间内处理超过1000万个客户端的重击者计算。

该论文提出了一种新颖的单服务器私有信息检索（PIR）协议，旨在解决传统单服务器PIR方案中计算或通信开销过高的问题。现有单服务器PIR通常依赖于同态加密或伪随机函数，导致服务器端计算复杂度与数据库大小成正比，实际部署昂贵。作者通过一种简洁的构造，将服务器端计算负载降低至接近理论最优水平，同时保持通信开销极低。核心创新在于利用一种轻量级的向量编码技术和巧妙的查询生成方法，使得服务器仅需执行一次线性扫描（与数据库大小线性）即可完成响应，且无需复杂的同态操作。论文提供了完整的安全性证明，基于标准假设（如PRG的存在性）。实验评估表明，与当前最先进的单服务器PIR方案相比，新协议在中等规模数据库（如1GB）上实现了2-5倍的吞吐量提升，且延迟更低。作者还讨论了该协议对客户端缓存和并行化的友好性。该工作为实用的隐私保护数据检索提供了更可行的基础，对密码学社区和隐私计算工程均具有重要参考价值。

该论文研究了高保障密码学在现代处理器投机执行（Spectre）下的安全性。传统的高保障密码学通过程序验证和密码工程方法，提供内存安全、功能正确性、可证明安全性和无时序泄露的机器校验证明。然而，这些保证建立在顺序执行语义之上，与利用投机执行提高性能的现代处理器行为不匹配。Spectre式攻击利用投机执行漏洞，对高保障密码学的鲁棒性提出了质疑。论文基于Jasmin验证框架，提出了一种端到端的方法，用于在投机执行下证明密码软件的安全性。该方法扩展了现有验证技术，以覆盖投机执行路径，并保证即使在高性能处理器上也能抵御时序侧信道攻击。实验验证了该方法的有效性：实现了ChaCha20和Poly1305的高效、功能正确的汇编实现，这些实现既抵抗传统时序攻击，也抵抗投机执行攻击，且性能开销适中。主要贡献包括：1) 形式化描述了投机执行下的安全模型；2) 扩展Jasmin框架支持投机执行安全验证；3) 提供经过验证的密码原语实现。该工作对于构建下一代安全关键系统具有重要意义，证明了高保障密码学可以安全地部署在当今主流硬件上。

该论文提出了一种名为 Sharp 的新型短宽松范围证明（short relaxed range proof）协议。范围证明允许证明者向验证者证明一个秘密值落在指定区间内，而不泄露具体数值，是零知识证明和隐私保护应用中的核心原语。传统的范围证明（如 Bulletproofs）尽管已实现对数级通信复杂度，但在需要处理大范围或高精度数值时，证明尺寸仍可能较大。Sharp 协议通过引入“宽松”概念——即允许证明者证明某个值乘以一个小的公开因子后落在目标区间内，从而显著缩短证明长度。与 Bulletproofs 相比，Sharp 将证明的通信复杂度从原来的 2log(n) + 9 个群元素降低至 log(n) + 7 个群元素（n 为区间上界），同时保持对数级验证复杂度。论文详细描述了协议的数学构造，包括基于 Pedersen 承诺、内积论证和一种新的“松弛区间”编码技术。实验结果表明，在典型参数下（如 64 位区间），Sharp 的证明尺寸较 Bulletproofs 减少了约 40%，验证时间基本持平。该工作适用于区块链隐私交易、匿名凭证、数字身份验证等需要高效证明整数范围的场景，尤其适合资源受限的移动端或链上验证。本摘要基于论文 abstract 撰写，未获取全文技术细节。

该论文提出了CrypFormBench，一个用于评估大型语言模型（LLM）在密码方案形式化分析能力的综合性基准。手动形式化分析密码方案需要大量专业知识和劳动力，虽然已有模型检测工具（如Scyther、Tamarin）和计算安全工具（如CryptoVerif、EasyCrypt）提升了自动化程度，但它们仍依赖专家对方案进行抽象并编写特定形式化描述。LLM被视为有潜力的替代方案，但缺乏标准化评估方法。CrypFormBench同时覆盖符号安全与计算安全，评估LLM的五项核心能力：解释、生成、补全、转换和修正。基准包含700个实例，涵盖677个方案、7种主流形式化验证语言和160个安全属性。对9个最先进的LLM评估结果显示，大多数在解释和补全任务上表现良好（得益于代码感知优势），但在生成、转换和修正任务上表现不佳。总体性能有限，Claude-3.5得分最高（48.7/100）。论文进一步提供了实用指导，如少样本提示、Pass@K采样和轻量级微调，以缓解可执行性瓶颈并提升工具可用输出。该基准和分析为LLM辅助形式化密码分析提供了当前进展的客观视角和具体方向。

本文研究了量子伪随机状态（Pseudorandom States, PRS）的拉伸极限问题。PRS 是经典伪随机生成器的量子模拟，由 Ji, Liu 和 Song (CRYPTO '18) 提出。经典伪随机生成器具有输出可拉伸至任意长度的性质，但量子情形下该性质是否成立尚不明确。本文首次证明了单副本安全的量子伪随机状态（1PRS）在不同输出长度之间存在黑盒分离。具体而言，作者构造了一个量子神谕（oracle），在该神谕下，输出长度为 m(n)=1.1n 的 1PRS 是存在的，但对于任意 ε>0，输出长度为 m(n)=Ω(n^{2+ε}) 的 1PRS 不存在。证明方法依赖于 Chen, Coladangelo 和 Sattath (EUROCRYPT '25) 引入的公共 Haar 随机状态（CHRS）模型，并发展了一种新技术来限制该模型中任何 1PRS 生成器所能有效利用的 CHRS 资源状态的数量。该结果揭示了量子伪随机性质在拉伸过程中存在根本性的限制，与经典情形形成鲜明对比。本文主要贡献包括：(1) 给出了首个关于 PRS 拉伸的黑盒分离结果；(2) 证明了长输出 PRS 需要更强的假设或构造；(3) 为量子密码学中伪随机性的理论基础提供了重要见解。适合量子密码学、量子计算理论及伪随机性理论的研究者阅读。

该论文研究了随机线性码在广泛参数范围内的 discrepancy 性质，证明其几乎具备最优的 discrepancy 性能。作者提出了两个一般性定理：一个控制固定测试集的所有平移，另一个控制大片傅里叶伪随机测试集。作为应用，首先，在容量之上的列表译码场景中，随机线性码与非结构化随机码性能相当：对于有限域上的随机线性码，以高概率同时满足所有汉明球的交集大小与期望值相差很小，这扩展了 Blinovsky (1987) 关于覆盖半径的经典结果。其次，在素数域上，随机线性码在容量之上的零错误列表恢复中匹配非结构化随机码：以高概率同时满足所有矩形（每个坐标大小为 ℓ）的交集大小与期望值接近。由此推论，存在丰富的 n 方线性斜坡秘密共享方案，其隐私阈值约为 n/(2 log q)，重建阈值约为 5n/(2 log q)，且能抵御平衡局部泄漏；此前即使在该场景下，存在性结果也要求阈值高于 n/2。平移结果（因此列表译码应用）适用于任意有限域（甚至随 n 增长），而列表恢复和泄漏应用要求素数域在适度增长下成立（如 q ≤ n^{1/5-o(1)}）。证明采用改进的二阶矩分析，跟踪添加随机生成元时交集大小的变化。本文适合密码学、编码理论及信息论安全领域的研究者阅读。

该论文针对扩散模型在公开部署场景（如开源库或发布检查点）下面临的严重安全风险——即任何获取中间潜在表示的用户都能逆推恢复原始输入图像——提出了一种密钥控制逆推框架。不同于以往假设黑盒模型（参数保密）的访问控制研究，本文首次在白盒设置下（所有参数公开）解决逆推保护问题。核心思想是将扩散模型固有的误差传播特性（指数级放大微小扰动）转化为安全资产：通过在逆推公式中注入密钥依赖噪声，使得只有持有正确密钥的用户能重构原图，错误密钥则输出不可识别结果。理论方面，利用现有扩散模型误差传播理论，证明密文分布满足IND-CPA安全，且攻击者优势在可调安全参数上呈指数级小，对任意概率多项式时间攻击者可忽略。实验在多模型和数据集上验证了安全保证，并展示了跨模型鲁棒性——注入的密钥噪声不会放大模型差异导致的性能下降。该工作为白盒扩散模型提供了一种可证明安全的逆推防护机制。

本文针对q-Strong Diffie-Hellman（q-SDH）参数的分布式安全生成问题，提出了一种异步网络下的高效协议。q-SDH参数是零知识简洁非交互式知识论证（zk-SNARKs）、多项式/向量承诺、可验证秘密共享和随机信标等多种密码学原语的基础。现有唯一安全生成方法高度顺序化，依赖同步假设，且通信和计算成本极高：对于给定q，每方通信成本为Ω(nq)，需要Ω(n)轮（n为多方计算协议中的参与方数量）。由于q通常高达数十亿，现有方案成本难以承受。本文协议在异步网络中运行，容错能力为最多1/3恶意节点。每方通信成本为O(q + n² log q)，协议在期望O(log q + log n)轮内完成。协议采用了包括可验证秘密共享、异步共识和多项式承诺等技术的组合，通过将q-SDH参数生成分解为多个子任务并行执行，并利用异步网络特性减少同步等待开销。安全性分析证明了协议在异步网络假设下的正确性和安全性。实现评估在最多128个地理分布节点上进行，结果显示相较于现有同步协议，运行时间提升2-6倍，每方带宽使用降低4-13倍，展示了良好的可扩展性。本文是首个在异步环境中高效生成q-SDH参数的工作，为大规模应用提供了可行方案。

本文针对可搜索加密（Searchable Encryption, SE）方案中存在的隐私泄露问题，提出了一种名为“泄漏反转”（Leakage Inversion）的量化评估方法。可搜索加密允许用户对加密数据进行关键字搜索，但为了效率，方案通常会泄露一些额外信息（如访问模式、搜索模式等），这些泄露可能被对手利用来重建查询或文档内容。现有的安全模型通常基于“泄漏函数”来刻画泄露，但缺乏对实际隐私风险的精确量化。本文作者引入了一种新的框架，通过从泄漏中反向推断出原始数据或查询的可能性，从而衡量隐私损失。具体而言，他们定义了“泄漏反转难度”指标，并基于信息论和概率分析，给出了不同泄漏函数下隐私泄露的理论界。实验上，通过在真实数据集（如电子邮件数据库）上模拟攻击，验证了该框架的有效性。主要贡献包括：（1）形式化定义泄漏反转问题；（2）提出了通用的量化隐私的方法，适用于多种SE方案；（3）提供了理论和实验证据，表明即使看似微小的泄漏也可能导致严重的隐私风险。该工作有助于安全从业者理解不同SE方案的实际隐私保护水平，并为设计更安全的加密搜索系统提供指导。

系统日志是数字取证和安全分析的核心数据源，但其完整性面临篡改威胁。过去学术界和工业界提出了多种安全日志系统，但除KennyLoggings外，其余均在Paccagnella等人（CCS 2020）的攻击下被攻破。本文提出了一种改进的安全日志系统，在KennyLoggings基础上从可用性、安全性和性能三个维度进行了优化。核心创新在于采用固定已知密钥的AES加密，这一技巧在安全分布式计算中已广泛使用，但首次被引入对称密钥密码学领域的日志保护。固定密钥设计消除了密钥分发和管理开销，同时利用AES硬件加速实现了高吞吐量。实验表明，新系统在保持同等安全强度的前提下，性能显著优于KennyLoggings。该工作为日志完整性保护提供了一种更实用、更高效的解决方案，适合安全运维人员和密码学研究者关注。

该论文提出了一种名为Chipmunk的新型多签名方案，基于格密码学，旨在解决区块链中多签名的高效同步问题。多签名允许将多个独立密钥对同一消息生成的签名压缩成一个小的聚合签名，这在权益证明区块链（如以太坊）中尤为重要，因为同一区块需要多个验证者签名。现有的格基多签名方案在同步性、效率和安全性方面存在权衡，Chipmunk通过改进签名聚合算法和密钥生成过程，实现了更优的同步性能和更低的计算开销。具体而言，方案采用了一种新的随机数生成策略，确保签名者之间无需频繁通信即可生成可聚合的签名，同时基于格上的困难问题（如SIS/LWE）提供了安全性证明。实验评估表明，与现有方案相比，Chipmunk在签名大小、聚合时间和验证效率上均有显著提升，尤其适用于大规模验证者场景。该工作的主要贡献包括：形式化定义了同步多签名的安全模型，提出了高效的格基构造，并给出了可证明安全的归约。适合密码学研究人员、区块链协议开发者以及关注后量子安全的从业者阅读。

该论文研究了从有限公开记录中审计组合随机性的问题。公共随机性是一种安全原语，但其实际行为往往只能通过有限的记录片段观察。作者针对从 m 个标签中无放回均匀抽取 k 个子集（共 C(m,k) 种可能）这一过程，在精确均匀无放回零假设下进行黑盒审计。传统的均匀性检验需要 Θ(√(C(m,k))/ε²) 个样本，这是仅凭记录认证的信息论极限。为应对结构化偏差，作者设计了与生成器无关的审计方法，包括基于边际卡方、配对最大值、序列重叠、锚定框差异以及低维零假设/最小生成树几何的检验，所有检验均在精确组合零假设下校准。同时，作者证明了有限样本保证，其样本复杂度与审计的见证数量呈对数关系，而非全支撑集大小。通过 GPU 蒙特卡洛实验（每个条件最多 30 万零假设和 6 万备择假设复制），发现边际保持偏差可逃逸一维检验，但通过联合几何仍可检测。例如，在 n=1,956 时，强度 0.04 的块簇备择假设下，配对最大值的检验功效为 0.638，而边际卡方仅为 0.051；强度 0.08 的带排斥备择假设下，锚定框的检验功效为 0.741。这些结果刻画了哪些结构化偏差能被有限公共记录检测到，以及所需样本量。

ElectionGuard是一个由微软研究院开发的密码学工具包，旨在为选举系统提供端到端的可验证性。该工具包基于同态加密和零知识证明等密码学技术，允许选民验证自己的选票是否被正确记录，同时保护选票的机密性。论文详细描述了ElectionGuard的设计架构，包括选举设置、投票、选票加密、选票提交、结果验证等核心流程。通过使用分布式密钥生成和阈值解密，系统确保即使部分权威机构被攻破，选举结果仍可被独立验证。实验表明，该工具包在性能上可满足实际选举需求，同时提供了严格的安全证明。ElectionGuard已开源，并被用于一些实际试点项目，为提升选举透明度和公众信任提供了技术基础。

本文重新审视了混合私有信息检索（Hybrid PIR）协议。私有信息检索允许客户端从多个服务器持有的公共数据库中检索条目，同时不向服务器泄露任何关于所请求数据的信息。传统上，PIR分为两类：多服务器PIR（客户端将查询分割到k≥2个非合谋服务器）和单服务器PIR（仅有一个服务器持有数据库，查询基于计算困难假设保护）。混合PIR旨在结合两类方案的优点，例如利用多服务器协议的低计算开销和单服务器协议的低通信开销。本文可能对现有混合PIR方案进行系统性回顾，分析其安全性、效率权衡，并提出改进或新的混合构造方法。实验部分可能通过理论分析或模拟评估性能。该研究对隐私保护数据库查询、安全多方计算等领域具有理论意义。

FrogBard-512 是一种实验性的 512 位哈希函数，其核心是基于一个定制的 2048 位排列，该排列被组织为四个 512 位的“声部”（voices）。顺序模式采用 1024 位速率、1024 位容量、128 字节消息块和 16 轮排列。每一轮结合了公开的轮常数、四个源自 AES 的仿射等效字节替换、ARX 四分之一轮、一个奇偶依赖的跨声部混合层以及固定的通道排列。设计还包含一个独立域分离的树模式，使用 1 MiB 叶子、多线程处理以及一个用于四条独立等长消息的 AVX2 后端。本文给出了该结构的自包含描述，包括常数生成、填充、最终化、树编码、实现概要以及一致性向量。此外，文章报告了实验评估，涵盖固定向量测试、流等价性、排列求逆、标量和 SIMD 一致性、清理程序运行、基于 Valgrind 的内存和竞态分析、随机 API 测试、libFuzzer、AFL++、减轮扩散测量以及使用 PractRand 和 Dieharder 进行的大流统计测试。报告的结果提供了实现一致性的证据，并且在测试配置中没有发现明显的统计缺陷。然而，这些结果并不证明碰撞抵抗性、原像抵抗性、不可区分性或者结构性安全性。FrogBard-512 仍然是一个研究原型，尚未经过独立的密码分析。

零知识证明是许多安全系统中的关键密码学组件，但传统零知识证明通常基于固定有限域（如素数域）上的算术运算，这限制了它们在表达复杂程序时的灵活性，因为某些操作在特定域中更为高效。例如，现代计算机普遍采用32位或64位整数算术，而固定有限域难以直接模拟这种计算模型。本文提出了一种支持混合模式算术以及Z2k（2的幂次环）的高效零知识证明方案。作者通过引入新的协议和证明技术，允许证明者在同一证明中组合不同模数的算术运算（如同时使用素数域和Z2k），从而更贴近实际编程模型。实验结果表明，该方法在证明大小和验证效率上具有竞争力，显著减少了对中间转换的需求，提升了零知识证明在复杂计算（如整数运算、位操作）中的实用性。该工作为构建更灵活的零知识证明系统提供了理论基础，适用于隐私保护计算、区块链、电子投票等需要高效验证计算的场景。

本文提出了一种实用的隐私保护SSH认证方案。传统的SSH认证通常需要服务器验证用户身份，但在这个过程中，服务器会获得用户的一些身份信息（如公钥），这可能导致用户隐私泄露。为了解决这一问题，作者设计了一种基于不经意伪随机函数（OPRF）和零知识证明的协议，允许用户在无需向服务器透露其身份信息的情况下完成认证。具体地，用户持有秘密密钥，服务器持有公钥列表；协议执行后，服务器仅知道用户是否在列表中，而无法得知具体是哪个用户。该方案兼容现有的SSH协议框架，性能开销低，能够在实际网络环境中高效运行。实验表明，与标准SSH认证相比，该方案的额外计算和通信开销在可接受范围内。本文的主要贡献包括：首次将隐私保护认证应用于SSH的实际场景，提出了高效且可部署的协议，并通过实现和评估验证了其实用性。适合密码学研究人员和安全从业者阅读。

本文提出了一种基于卷积神经网络（CNN）和动态S盒生成的图像加密算法，旨在克服传统固定S盒易受线性攻击和差分攻击的弱点。核心思想是利用CNN从输入图像中提取特征，并基于这些特征动态生成自适应S盒，从而实现像素级的替换加密。CNN训练后能够学习图像的内在特性，为每幅图像生成唯一且具有高度非线性的S盒，显著增强混淆效果。算法流程包括：使用CNN进行特征提取、根据特征生成个性化S盒、以及利用该S盒对图像像素进行替换。安全性评估采用熵、直方图分析、相邻像素相关性、NPCR（像素变化率）和UACI（统一平均变化强度）等指标，并与传统固定S盒方案对比。实验结果表明，动态S盒在抗统计攻击和结构攻击方面具有更强的鲁棒性，且加密结果对原始图像高度敏感，有效提升了加密灵活性和安全性。该研究适用于需要高安全级别图像传输的场景，如医疗影像、军事图像等。

该论文对互联网的后量子就绪状态进行了大规模测量研究，重点关注传输层安全（TLS）部署的实际现状。研究覆盖了32,011个域名，分析了不同行业（包括银行、政府、科技等）的TLS协商参数，如协议版本、密码套件、密钥交换机制和证书。主要发现包括：(1) 虽然TLS 1.3和QUIC等现代协议正在被采用，但仍有15.70%的域名（尤其是关键领域的银行和政府机构）依赖于TLS 1.2；(2) 49.3%的域名支持混合后量子密钥交换机制（例如MLKEM768与X25519的组合），而50.7%仍使用经典密钥交换，表明过渡不均衡；(3) 未观察到任何域名采用混合后量子证书，这使得认证层易受量子攻击（如证书伪造）。研究指出，完全实现量子弹性需要同时在密钥交换机制和证书基础设施上进行协调迁移。目前的面貌显示出行业间的不均衡：技术驱动型平台进展较快，而传统基础设施依赖较重的领域滞后。互联网通信系统仍面临长期威胁，包括"先存储后解密"（HNDL）攻击。适合安全工程师、TLS运维人员及政策制定者阅读。

本文基于2012年预印本中提出的一种非常规密码方案，对其核心表示进行了形式化，并以此为基础提出了混合基数一次性密码本（MR-OTP）——一种将一次性密码本（OTP）推广到非均匀基底的通用方案。作者证明了MR-OTP能够实现香农完美保密性，并指出经典的二进制OTP正是所有基数均为2的特例，而固定基底的变体则恢复为任意字母表上的OTP。文章进一步考察了秘密基底是否能降低完美保密所需的密钥熵，结论是否定的。最后，提出了一种基于密钥滚动的可用会话协议，该协议在保持完美保密性的同时解决了实际部署中的一些问题，并如实讨论了尚存的开放问题。这项工作为经典OTP提供了新的理论视角，并拓展了其应用场景。

本文研究视频会议应用（如Zoom）中的端到端加密安全性问题。尽管Zoom声称提供端到端加密，但其安全模型假设服务器是可信的，能够正确识别和认证所有与会者。然而，恶意服务器仍可能窃听或冒充与会者。作者提出一种改进方法，通过重新设计密码（passcode）的使用方式，并集成密码认证密钥交换（PAKE）协议，来增强对恶意服务器的安全性。为了形式化证明，作者定义了一类适用于此场景的密码协议，并提出了基本安全概念——假设服务器被信任以正确授权成员，在此概念下证明了Zoom的安全性。接着，作者提出了更强的安全概念，要求即使在服务器恶意的情况下也能保证安全，并给出了一种转换方法，可将现有协议提升至该安全等级。该转换适用于Zoom，且无需引入新的安全元素（如额外的密钥或硬件）。实验证明，该方案能够在现有Zoom架构基础上实现更强的恶意服务器防护。

本文针对模糊私有集合交集（Fuzzy Private Set Intersection, FPSI）问题提出了新的协议。FPSI允许两方在不泄露各自集合元素的情况下，找出在某种距离度量下相近的元素对。此前的工作要么在阈值δ上呈线性复杂度，要么仅支持L∞距离，或者依赖昂贵的加法同态加密（AHE）来实现一般Lp距离的对数复杂度。本文首次在不使用AHE的前提下，实现了对于一般Lp距离（p∈[1,∞]）的严格对数复杂度（即O(log δ)），这在理论上达到了最优的阈值缩放（因为区分区间长度为O(δ)的值至少需要Ω(log δ)比特信息）。核心方法是将模糊匹配转化为前缀表示，并通过等式条件交互式地确定正确的前缀。作者设计了一系列仅需不经意传输（OT）和对称密钥原语即可高效实现的新组件。基于这些组件，分别提出了适用于低维和高维场景的两种协议（基于“apart”和“separate”假设）。实验表明，与现有最先进的支持一般Lp距离的FPSI协议相比，运行时间加速最高达43.7倍，通信开销降低最高达31.3倍。该工作为隐私保护下的近似集合匹配提供了高效的理论与实用方案。

本文提出了一种名为 Mobius 的协议，旨在解决分布式系统中领导者选举的拜占庭容错问题，特别是针对秘密单一领导者选举（SSLE）场景。在传统的分布式系统中，领导者选举是核心组件，用于选择节点执行任务如分发提案或聚合加密证书，从而确保系统安全与效率。然而，现有方案往往无法同时满足拜占庭容错、秘密性和唯一可验证性。Mobius 协议引入了一种唯一可验证的状态（Uniquely Verifiable State）机制，允许所有节点对选举结果进行独立验证，同时保证领导者身份在选举过程中保持秘密，直到必要的揭示阶段。该协议利用密码学原语如承诺方案和零知识证明，实现了在存在拜占庭节点的环境下的安全性。作者通过形式化分析和仿真实验证明了 Mobius 在抵抗恶意攻击、降低通信复杂度和提升选举效率方面的优势。本文的主要贡献包括：定义了带有唯一可验证状态的SSLE安全模型，设计了高效率的协议流程，并给出了完善的安全性证明。本文适合分布式系统、共识算法和密码学领域的研究人员阅读，理解其中的创新点可为构建更安全的去中心化协议提供理论基础。

该论文提出了一种名为NTRU-v-um的新型全同态加密（FHE）方案，其核心思想是基于NTRU密码系统并采用小模数来构造安全的FHE。传统的NTRU型FHE方案通常需要较大模数以支持同态运算，导致密钥尺寸和计算开销较大。作者通过引入一种新的变种，在保持安全性的同时显著降低了模数大小，从而提升了方案的效率和实用性。论文详细描述了方案的构建过程，包括密钥生成、加密、解密以及同态运算（加法与乘法）的具体算法，并给出了安全性证明，将其归约到标准格问题（如Ring-LWE或NTRU问题的变种）。实验结果表明，与现有同类FHE方案相比，NTRU-v-um在运行时间和密文扩张率方面均有改进，尤其在小模数设置下仍能达到足够的安全强度。该工作为实际部署高效FHE提供了新的候选方案，尤其适合资源受限的环境。本文适合密码学研究人员和需要同态加密应用的安全工程师阅读。

本文针对即将到来的后量子密码迁移挑战，指出当前密码API在设计时未考虑敏捷性，导致算法替换困难。作者提出一个基于组件的评估框架，用于系统性地衡量应用层密码敏捷性。该框架包含七个正交维度：三个耦合维度（操作耦合、创建耦合、配置耦合）衡量应用代码对算法和提供者的依赖程度；一个横切解耦机制；一个治理权威维度；以及两个敏捷性使能维度（版本化能力和外部化配置）。框架是非线性的，可以捕获非层次化特征。作者用该框架评估了六个代表性API：PKCS#11、OpenSSL 3.0、JCA、Google Tink、AWS KMS和HashiCorp Vault Transit。评估揭示了三个普遍且独立的缺口：没有系统支持基于意图的密钥创建，没有提供策略驱动的算法选择（区别于访问控制），也没有为现有密钥的算法转换提供专用的一流操作。这些缺口单独就足以阻碍敏捷迁移，解释了为何尽管API发展数十年，后量子迁移仍然是软件工程问题。本文适合密码学研究人员、安全架构师和软件开发者阅读，以理解现有API的局限性并指导未来设计。

该论文系统化了针对密码学实现中时序攻击的防御手段——恒定时间（Constant Time）编程模型。尽管恒定时间编程是抵御时序攻击的主要防线，但学术界和工业界对“恒定时间”的定义和模型理解存在差异。本文首先回顾并整理了恒定时间模型的历史演化，识别出模型所保护的安全属性与密码规范所假设的威胁模型之间存在长期被忽视的差距。作者进一步提炼了一套攻击方法论，用于发现源自密码原语边界之外（例如上层应用或密钥加载流程）的时序漏洞。利用该方法，作者定位了一个与私钥加载过程相关的规范级（specification-level）漏洞。该漏洞存在于OpenSSL和BoringSSL两个流行密码库中，并成功在实验中确认了信息泄露。一个反直觉的发现是：尽管BoringSSL采用了更严格的威胁模型，但其单次观测产生的信号强度反而比OpenSSL高出数个数量级。研究贡献包括：1) 对恒定时间模型进行系统化分类与演化分析；2) 提出可用于发现跨界时序漏洞的通用攻击方法论；3) 发现并验证了OpenSSL和BoringSSL中此前未知的时序泄露点。该论文适合密码库开发者、侧信道安全研究人员以及所有关注密码学实现安全性的工程师阅读。

该论文报告了在8维二元向量空间中搜索二次几乎完美非线性（APN）函数的结果。APN函数是密码学中S-box的理想组件，能提供最优的差分均匀性，抵抗差分密码分析。搜索空间是一个40维的线性子空间，由所有与某个阶为5的线性自同构（Beierle, Brinkmann, Leander 2021分类中的第22类）交换的函数组成，该子空间此前被认为不含任何APN函数。作者采用了两阶段方法：首先通过显式行简化阶梯形参数化进行随机采样（每核每小时约600个APN阳性评估），然后利用Magma中的Gröbner基计算在每个中心点所在的24维超平面中枚举所有APN函数（每个超平面约10分钟）。通过对428个超平面（占总65536个超平面的0.65%）的计算，得到了566个二次APN函数，这些函数在正交导数不变量下划分为6个CCZ等价类。其中四个类（共500个函数）未能匹配2025年包含3,775,599个二次APN函数的数据库，也未见于此前的12,921个实例汇编中，因此被确认为全新发现。另外两个类（66个函数）与已知的Gold函数x^3和x^9 CCZ等价，验证了搜索流程的正确性。成员分析表明，三个新类（B、C、D）完全位于原始搜索子空间之外，且仅出现在以Gold函数为中心的超平面切片中，这突显了Gröbner基阶段的必要性。作为对照，在532个以数据库函数为中心的实验和20个以随机函数为中心的实验中，均未发现任何APN邻居，说明该“门控”现象依赖于搜索空间的自等价结构。由于正交导数不变量是二次APN函数的完全CCZ不变量，缺失匹配签名提供了CCZ不等价的严格证明。

该论文研究了双线性累加器（bilinear accumulator）中的批处理证明、聚合证明与零知识证明。累加器是一种密码学原语，允许证明者简洁地提交一个集合，并能提供元素属于或不属于该集合的证明。批处理证明是指同时证明多个元素的成员资格或非成员资格。现有累加器方案在批量证明时，往往存在证明大小与批处理数量线性增长、验证开销高等问题。本文提出了一种基于双线性映射的累加器框架，支持高效的批处理证明生成与聚合，并引入零知识性质，使得证明者可以隐藏被证明元素的具体值，同时保持证明的简洁性。核心贡献包括：1）设计了一种新的批处理证明生成算法，将多个成员证明或非成员证明聚合成一个恒定大小的证明；2）证明了该方案的安全性归约到q-SDH假设；3）实现了零知识变体，通过随机化掩盖被证明元素；4）在标准计算模型下分析了效率，实验表明证明大小与批处理数量无关，验证复杂度与批处理数量呈亚线性关系。该工作对于需要频繁进行集合成员验证的场景（如证书撤销、区块链状态承诺、匿名凭证）具有理论价值，但当前主要贡献在密码学协议设计层面，尚未直接转化为具体的安全产品或防御工具。

私有信息检索（PIR）允许用户在不泄露查询内容的情况下从数据库中检索数据，但传统PIR方案计算开销大、内存需求高，难以大规模部署。本文提出VIPIR，一个通用的GPU框架，通过联合设计PIR协议与GPU加速来解决这些瓶颈。首先，作者构建了一个统一分析模型，将现有最先进的PIR协议归类为两种类型，每种类型各有互补的局限性。基于此，他们提出了两种新协议，灵活组合两类技术的优势，克服了各自缺点。新协议引入了一种GPU友好的数据压缩方法——基于扩展的环打包（ExpPack），该技术具有高并行度和极低的通信开销。VIPIR进一步优化了核心运算，包括数论变换（NTT）和各种矩阵乘法（GEMM）。特别地，他们通过将数据库乘法解释为混合整数类型的GEMM，开发了基于张量核心的执行方法。此外，VIPIR设计了内存高效的调度方案，最小化中间缓冲区，并支持在内存容量限制下的多GPU扩展。实验表明，VIPIR相比现有PIR系统实现了数量级的吞吐量提升，同时降低了通信和内存开销，使大规模PIR变得实用。该工作对密码学、高性能计算和隐私保护领域具有重要参考价值。

本文提出了一种用于安全两方计算（2PC）中循环神经网络（RNN）推理的数学库 SiRnn。现有的安全推理工作主要针对卷积神经网络（CNN），而对RNN中常用的指数函数、sigmoid、tanh、平方根倒数等标准数学函数的支持依赖于通用2PC协议，这些协议通信开销高。作者设计了新的专用2PC协议，通过查找表（lookup-tables）和混合位宽（mixed-bitwidths）技术，实现了数学函数的高效计算，与现有工作相比，通信量最多减少423倍。同时，这些数学实现保持了数值精度，确保安全推理的模型准确性与明文推理一致。基于这些协议，SiRnn首次提供了对时间序列传感器数据RNN、语音数据RNN以及结合CNN与RNN的图像头部识别等先进架构的端到端安全两方推理。实验表明，与现有最先进的2PC框架相比，SiRnn在推理性能上实现了三个数量级的提升。该研究适用于需要隐私保护的机器学习推理场景，尤其是在资源受限或高延迟要求的应用中。

该论文提出了一种面向药物警戒系统的后量子安全数据管道教育原型。药物警戒系统处理包括不良事件报告和临床观察在内的敏感医疗数据。随着量子计算的发展，RSA和椭圆曲线密码等经典公钥系统可能变得脆弱，对需要长期保密的医疗数据构成威胁。该原型采用ML-KEM-768进行后量子密钥建立，HKDF-SHA-256派生AES密钥，AES-256-GCM进行文件加密，以及ML-DSA-65进行数字签名和防篡改。管道支持TXT、CSV、JSON、PDF等多种文件格式，通过将文件视为原始字节并保留元数据以供接收方重建。系统包含独立的医院、网关、制药接收方、攻击者、基准测试和仪表板组件。使用不同大小和格式的合成药物警戒数据集进行评估，结果表明ML-KEM增加了较小的恒定开销，而AES加密和ML-DSA签名随文件大小增加成为运行时的主导。本工作并非生产就绪的医疗系统，而是一次教育性的系统级探索，展示了后量子密码原语如何集成到医疗风格的数据管道中。

本文研究多验证者零知识证明（MVZK）协议的效率问题。MVZK 作为非交互式零知识证明和指定验证者零知识证明之间的中间方案，具有广泛的应用场景，例如区块链中的隐私保护、去中心化计算等。现有的大多数 MVZK 协议假设大多数验证者是诚实的，或者在处理环运算时效率低下。本文提出了一种新的 MVZK 协议，适用于预处理模型，并且允许任意恒定比例的验证者被腐败（与证明者合谋）。该协议是首个基于环（ring）的 MVZK 方案，不同于先前在域上的研究（针对不诚实多数情况），其通信复杂度与验证者数量无关，而先前方案的通信复杂度随验证者数量线性增长。这一关键进步显著提升了可扩展性和效率。作者提供了端到端的实现，并通过基准测试展示了性能：在64个验证者且50%腐败率下，吞吐量达到147万门/秒；在75%腐败率下，吞吐量为88万门/秒。该工作适用于密码学研究者、零知识证明系统构建者以及需要高效多验证者零知识证明的应用开发人员。

本文针对Signal协议中的双棘轮（Double Ratchet）组件，提供了首个不随交互次数退化的紧安全性证明。双棘轮协议是Signal、WhatsApp、Google Messages和Facebook Messenger等端到端加密消息应用的核心组件，每日被数十亿用户使用。现有安全性模型虽然能够捕获前向安全（保护过去秘密）、后向安全（恢复安全性）、自适应状态泄露、消息注入和乱序投递等强安全属性，但由于协议复杂性，之前的工作未能提供不随交互次数退化的安全保证，即使在单会话设置中也是如此。本文通过引入新的安全模型和证明技术，解决了这一开放问题。具体地，作者形式化了双棘轮协议的安全性目标，并证明了在标准加密假设下，协议的安全性界与交互次数无关，从而显著提升了理论保障的紧致性。该工作为理解双棘轮协议的实际安全性提供了更坚实的基础，有助于未来协议设计和形式化验证。适合密码学研究人员、安全协议设计者以及IM产品安全工程师阅读。

该论文研究了数论变换（NTT）的不确定性原理，并证明了在某些素数条件下，非零函数与其NTT变换的支撑集大小之和至少为q+1（q为给定素数，p为满足p≡1 mod q的素数）。这意味着一稀疏函数（k-稀疏）的变换支撑集至少为q-k+1。进一步，作者还证明了在p=q^{O(1)}范围内的素数平均意义上的概率版本不确定性原理。作为应用，该原理被用于构造一个黑盒身份测试算法，用于验证至多k-稀疏、度数不超过d的指数多项式，在q适度大于k时具有零声音误差。该研究为多项式恒等测试提供了新的理论工具，对密码学、编码理论等领域中涉及NTT的应用有潜在影响。

随机信标（Random Beacon）是一种持续提供公开随机性的服务，广泛应用于公共彩票、零知识证明等密码学协议。现有随机信标协议在安全性、通信复杂度或可重配置性方面存在妥协：有的牺牲容错性，有的通信开销过高，有的难以动态调整参与节点集合。本文提出RandPiper协议，通过创新性地结合状态机复制（State Machine Replication, SMR）与可公开验证秘密共享（Publicly Verifiable Secret Sharing, PVSS/VSS），实现了在二次通信复杂度（quadratic communication）下的高效随机信标。具体地，RandPiper利用SMR维护一个共享的全局状态，并通过PVSS/VSS在节点间分发随机性秘密，使得协议能够容忍拜占庭故障，同时支持参与节点的动态加入与退出（即重配置）。与现有工作相比，RandPiper在保持相同容错能力的同时，将通信复杂度从三次或更高降至二次，显著降低了网络开销。实验表明，该协议在节点规模增长时仍能保持可扩展性，适用于需要持续、可靠随机性的分布式系统。该论文适合对分布式系统、密码学协议及区块链底层设施感兴趣的研究者与工程师阅读。

本文提出并实现了首个实用的、轮次最优的基于格的盲签名方案。盲签名是一种基础的密码学原语，允许用户获取消息的签名而不向签名者泄露消息内容，广泛应用于匿名投票、数字货币等场景。此前，基于数论假设（如RSA、离散对数）的盲签名已相当成熟，但在后量子假设下，特别是格上，现有方案要么不实用（签名/密钥过大、效率低），要么仅支持有限次签名查询，要么轮次复杂度高。本研究解决了这些挑战，基于标准格假设（如SIS和LWE问题）构造了一个支持无限次签名查询、轮次最优（即两轮交互）的盲签名协议。作者提供了详细的参数估计和实现结果：在核心SVP硬度为109比特的安全级别下，签名大小约为45KB，签名者、用户和验证者的运行时间都非常小。方法上，他们利用了格上陷门函数、拒绝采样和零知识证明等技术，通过精心设计交互协议实现了轮次最优。实验表明该方案在效率和安全性上达到了实用水平，填补了后量子盲签名领域的空白。适合密码学研究者、安全协议设计者以及需要后量子安全性的应用开发者阅读。

该论文是一篇海报论文，研究多方ECDSA签名协议的正确性。具体地，作者试图通过引入拜占庭协议（Byzantine Agreement）的概念来证明n方ECDSA签名协议在存在恶意参与者的情况下仍能产生正确签名。多方ECDSA允许一组参与者共同生成一个ECDSA签名，而无需任何一方掌握完整私钥，常用于区块链钱包、门限签名等场景。本文的核心贡献是提出一个基于拜占庭协议的正确性声明框架，该框架要求所有参与者就签名的正确性达成一致，从而抵御拜占庭故障（即参与者可能任意偏离协议）。作者可能给出了协议的形式化定义以及安全性证明，但受限于海报篇幅，具体技术细节和实验验证未在摘要中展开。读者应查阅海报原文获取完整方案。

本文提出了一种基于三元代数结构的公钥密码系统，将经典的 ElGamal 协议推广到三元域。作者首先介绍了非派生三元结构所需的代数基础，包括特殊元素、三元群环以及一种矩阵三元化过程，该过程将二元环和群环映射为在三元乘法下封闭的反斜对角符号矩阵。在此基础上，构建了三元 ElGamal 协议的模拟，包括密钥生成、临时加密和解密（使用 querelements）三个步骤，并推导出了显式的三元幂和 querelement 公式，确保能够正确解密。通过在三元分数域、矩阵三元化有限群环以及有限 (6,3)-环（域）上的具体实例和数值验证，说明了构造的有效性，并展示了三元幂的量化与循环行为。论文指出三元框架相比传统二元系统具有两个实际优势：更丰富的代数结构（querelements 替代了二元逆元）增加了攻击者的代数复杂度，以及更高的信息密度（矩阵三元化传输明文向量对）。然而，形式化的困难假设、优化的参数选择以及全面的安全性和性能分析仍需未来工作。该研究属于密码学理论探索，尚未涉及具体攻击或防御措施。

本文针对云存储中数据可用性与隐私保护之间的矛盾，提出了一种新型的公钥加密与相等测试方案（AVPKEET）及其在可搜索加密（SE）中的应用（AVSE）。现有基于PKEET的可搜索加密方案缺乏对密文文件的授权、公开可验证性以及对可搜索加密级别的支持。AVPKEET方案实现了不可转移和不可重放的密文文件授权，同时支持公开可验证性，且无需可信第三方。在此基础上，提出的AVSE方案具有一次性不可转移令牌（绑定用户和随机数）、批量操作以及细粒度访问控制（ALL、PARTIAL、SINGLE）等功能。作者在标准假设下证明了方案的选择密文攻击安全性（OW-CCA2）、令牌不可伪造性和验证可靠性。实验结果表明，AVSE方案实现了最紧凑的令牌大小（168字节），同时唯一地提供了密文文件级授权和公开验证，其开销在云存储部署中可接受。该研究为云存储环境下的安全搜索提供了新的思路，平衡了功能性与隐私保护。

本文继续研究一类称为“快速函数”的线性大小电路可计算的函数，这些函数共享随机函数的有用性质，但更具确定性，适合密码学应用。作者在两个主要方向上进行了推广和改进： 1. 构造了任意常数 t 的快速 t-独立哈希函数，其代数次数为 log2 t（在 F2 上），同时在渐近电路大小和次数上达到最优。这优于之前的工作，降低了电路深度，同时保持线性大小。 2. 简化并改进了 ITCS 2026 中关于快速码及其快速对偶的构造，使其满足 Gilbert-Varshamov 界，且失败概率可忽略，支持一般域和码率、系统编码以及快速通用编码器。此外，还强化了组合列表解码等更强随机性质，通过构造快速线性函数族实现：对于任意常数 t，任意 t 个线性无关的输入映射为均匀且统计独立的输出，此前仅对 t=1 已知。 作者展示了这些结果在密码学中的应用，包括：第一个在完美安全多方计算中电路复杂度与参与方数量线性缩放的非平凡协议，以及计算加密矩阵-向量乘积的最优渐近电路复杂度的协议。 本文适合密码学理论研究者、安全多方计算协议设计者以及对伪随机函数和编码理论感兴趣的学者阅读。

该论文研究了带噪奇偶学习（LPN）问题的困难性。LPN 是密码学中的基础假设，支持从对称密钥原语到公钥加密等多种构造。一个核心开放问题是：LPN 的平均情况困难性能否像 LWE 那样基于最坏情况复杂性假设。现有的最坏情况到平均情况归约（BLVW19, YZ21）依赖于线性码的统计平滑，这导致平均情况困难性仅限于噪声率高达 1/2 - 1/poly(n) 的参数，不足以用于公钥应用。本文探索了一种新方法：不要求生成矩阵的随机稀疏行组合在统计上接近均匀分布，而只要求它们在计算上不可区分。这产生了一个清晰的赢-赢结构：任何高效的 LPN 求解器都可以转化为两个高效算法 (S, D)，使得对于任意适当维度的矩阵 A 在 F2 上，要么 S 解码由 A 生成的码从随机噪声中，要么 D 区分该码的对偶的随机噪声码字与均匀分布。通过用适当的参数实例化该归约，论文获得了逆多项式噪声率 n^{-α}（α<1 任意常数）下 LPN 的平均情况困难性，假设最坏情况下同时困难性：从随机噪声中解码一个码，以及区分其对偶的随机噪声码字与均匀分布。特别地，当 α=1/2 时，归约得到了 Alekhnovich 公钥加密构造所需参数区间的 LPN 困难性，这一区间以前无法通过最坏情况归约达到。

本文对 Go 标准库 `crypto/internal/fips140/bigmod` 中的 `extendedGCD` 实现进行了形式化验证。该实现用于 RSA 密钥对生成中的扩展欧几里得算法，是从 BoringSSL 移植而来。然而，研究者发现了两处偏差：一是系数更新方式与原始实现不同，二是允许更大的输入域。第一个偏差导致算法不变量被破坏，第二个偏差使得原有证明不再适用。研究者修复了第一个偏差（性能提升平均 24%），并针对第二个偏差将 BoringSSL 的证明移植并扩展到更大的输入域。他们使用 Go 语言专用验证器 Gobra 证明了修复后实现的正确性和终止性，并借助 Lean 验证了一些非线性算术引理。验证过程表明，即使是经过充分审查的代码也可能存在细微错误，形式化验证是发现此类错误的有效工具，而 AI 代理可通过迭代优化不变量和引理来辅助验证。

本文研究经典验证量子计算中的核心工具——反对易算符测试，并探索其所需的密码学结构。作者首先形式化定义了“非对易测试”（ToNC），这是一种量子证明者与经典验证者之间的交互协议：验证者发送一个挑战比特c，证明者根据c测量两个二进制可观测量P0或P1之一并返回响应。协议要求诚实证明者能通过测试，而恶意量子证明者无法同时成功应对两个挑战。论文的核心贡献在于证明了ToNC与经典密码学原语之间的蕴含关系：（1）ToNC本身即可构造经典通信的密钥协商协议（KA），该协议允许双方通过经典信道协商共享密钥，且能抵抗量子 adversaries；（2）ToNC与单向函数结合可构造不经意传输（OT），OT是更高层密码协议（如安全多方计算）的基础。在技术路径上，作者发展了后量子密码学中困难性放大（hardness amplification）的两个重要工具：后量子硬核测度定理（post-quantum hard-core measure theorem）和后量子交互XOR引理（post-quantum interactive XOR lemma）。前者指出，对于任何高效可采样、具有高最小熵的分布（其中量子电路预测b的优势至多为δ），存在一个密度为(1-δ)的子分布，使得b几乎达到最优的量子难预测性。后者断言，对于任何经典交互协议，若量子敌手猜测私有挑战比特b的优势至多为δ，则两次顺序重复可将猜测挑战比特异或b1⊕b2的优势降低至δ^2加上可忽略函数。这些工具独立于主要结果具有广泛意义，为后量子密码学中安全性的紧致归约提供了新方法。本文适合对量子密码学、经典验证量子计算以及后量子安全协议设计感兴趣的研究者阅读。

本研究首次系统性地探索了单层二元神经网络中碰撞查找的算法复杂性。给定一个随机矩阵 A ∈ ℝ^{m×n}，输入 x ∈ {-1,1}^n 通过激活函数 φ 映射到二元输出向量 φ(Ax) ∈ {-1,1}^m，其中 φ 在区间 [κ, ∞) 上具有恒定行为，阈值 κ ≥ 0。研究者确定了阈值尺度 κ = Θ(1/√α)（α = m/n）作为分离两种互补现象的分界点。当 κ ≪ 1/√α 时，提出了一种简单的在线算法，能够高效地产生大量碰撞。当 κ ≫ 1/√α 时，针对一种自然的随机化非周期激活函数和合适的振荡复杂度，证明了大规模碰撞空间满足重叠间隙性质（OGP），从而对在线算法产生了指数级下界。这是首次使用重叠间隙性质作为碰撞抵抗的严格判据。碰撞查找与平均情况搜索的关键区别在于，碰撞查找具有新的“最坏情况”方面：碰撞查找者完全控制碰撞对的选择。下界证明是在在线模型下进行的；将此类保证扩展到更广泛的算法类别，包括谱方法、代数方法、格方法或量子方法，仍然是一个开放的方向。

零知识证明（ZKP）允许证明者在不泄露私有数据的情况下向验证者证明计算正确性，兼顾隐私与可验证性。然而，证明生成过程计算密集，主要涉及多项式（POLY）和椭圆曲线（EC）运算。这两类工作负载对硬件加速提出两个关键挑战：高效支持多种大精度模乘运算，以及在动态切换的 POLY 和 EC 阶段之间保持高利用率。现有可重构加速器仅部分解决这些问题，在精度可扩展性、算法灵活性和资源效率方面仍有限。为克服这些局限，本文提出 ZK-Flex，一个灵活可扩展的软硬件协同设计框架。软件层包含 POLY 和 EC 优化器，通过硬件和工作负载感知的算法选择减少计算量；硬件层集成 TCore（基于 Toom-Cook 的多精度核），配备灵活的网络互连和链表内存机制，在有限内存容量下提高并行度。在代表性 ZKP 基准测试中，ZK-Flex 相比现有技术实现 5 到 11 倍加速，面积效率提升高达 3.8 倍，为高性能可重构 ZKP 加速奠定新基础。

不经意传输（OT）是隐私保护计算的基础密码学原语，广泛应用于安全多方计算、隐私信息检索、零知识证明、口令认证密钥交换等场景。尽管OT扩展技术显著降低了平均成本，但其依赖大量基础OT批次和预处理阶段，在传输次数较少或通信延迟、客户端计算受限的场景下效率不佳。本文提出I-(OT)^2协议，一种基于二次剩余问题的1-out-of-2基础OT协议，旨在最小化接收方计算量和交互次数。该协议特别适合客户端-服务器架构中接收方为低功耗硬件（如IoT设备）的场景。通过轻量级离线预处理，I-(OT)^2将在线计算负担几乎全部转移给发送方，在线通信仅需6条消息和4个摘要。论文提供了详细协议描述和形式化安全证明，并基于C语言实现开源概念验证，在真实IoT硬件上评估。结果显示：在128位安全强度（使用3072位RSA模数）下，接收方在线平均每OT成本在桌面平台低至2.80微秒，在IoT设备上为39.90微秒，比知名的SimplestOT协议快10倍以上。该研究为资源受限设备上的隐私计算提供了高效、实用的OT方案。

本文系统梳理了平方乘算法（又称二进制幂运算、快速幂算法）的历史起源与发展脉络。该算法是现代密码学（如RSA、Diffie-Hellman密钥交换）和计算数论中实现快速模幂运算的核心技术。尽管该算法广泛应用于安全计算，其历史渊源长期存在争议。论文通过原始文献分析，重点考察了15世纪波斯数学家贾姆希德·卡西（Jamshid al-Kashi）在其著作《算术之钥》（Miftah al-Hisab）中对该算法的完整表述——卡西将其作为通用方法明确提出并宣称自创。为追溯更早的案例，作者研究了10世纪阿拉伯数学家阿尔-乌格利迪西（al-Uqlidisi）和11世纪比鲁尼（al-Biruni）的著作，发现他们已使用连续平方的方法进行特定计算，但未将其抽象为一般化过程。论文进一步将源头延伸至公元前200年古印度学者平伽拉（Pingala）的韵律学研究，其中已出现利用正整数的二进制表示进行快速计算的原始思想，尽管尚未发展为通用算法。通过梳理这一智力演变序列，论文揭示了在现代计算中占据重要地位的平方乘算法的深厚历史背景。研究的主要贡献在于：澄清了该算法的独立发现史，强调了卡西的关键贡献，并为算法思想的中世纪阿拉伯与古印度源流提供了系统性证据。本文适合对密码学基础原理、算法历史或数学史感兴趣的读者阅读。

本文针对国家电子身份（eID）系统中假名机制的安全与隐私挑战，以奥地利政府现有的部门特定个人标识符（bPk）系统为背景，分析了其完全集中式设计带来的可用性、隐私和真实性等问题。为克服这些缺陷，作者提出了 bPk#，一种分布式架构，允许用户被委派权利自行计算假名，从而最小化向中央权威泄露的元数据；同时，服务提供商的子集可以仅在其域内获得计算假名的权利，从而降低对中央权威的可用性需求。据作者所知，这是首个为可委托假名系统提供形式化框架的工作，给出了通用构造并附有正式安全证明。此外，论文还提出了该构造的具体实例化，并通过参考实现证明了其实用效率。该研究的主要贡献包括：形式化定义了可委托假名系统的安全模型，设计了基于密码学原语的通用构造，以及通过原型系统验证了实际可行性。适合从事密码学、隐私增强技术或 eID 系统设计的研究人员和安全架构师阅读。

本文针对带宽受限的两方安全消息协议（如Signal、WhatsApp等）的后量子安全性进行比较研究。随着量子计算机的发展，当前基于离散对数或整数分解的密钥交换协议面临被破解的风险，因此需要后量子安全的替代方案。然而，后量子密码方案通常具有较大的密钥和密文尺寸，在带宽受限的网络环境（如卫星通信、物联网、低带宽移动网络）中成为瓶颈。论文系统性地比较了多种后量子密码体制（基于格、编码、哈希、多变量等）在双棘轮协议（Double Ratchet）框架下的性能，重点关注通信开销、计算复杂度和安全性权衡。核心贡献包括：提出一种统一的形式化安全模型来评估不同后量子原语的适用性；设计了一种新的混合协议，结合经典与后量子技术以兼顾效率与安全；通过实验模拟证明了该协议在典型带宽限制条件下（如每轮消息1KB以下）仍能满足实时性要求。研究指出，尽管某些后量子方案（如CRYSTALS-Kyber）在桌面端表现良好，但在移动端或极低带宽场景下仍需优化。本文适合密码学研究员、安全协议设计者和即时通讯软件开发者阅读。

本文提出并形式化了一种新型匿名凭证（AC）模型——核心/辅助匿名凭证（CHAC），旨在解决现有AC系统在移动应用等现代场景中的实际部署障碍。现有AC研究虽然丰富，但未充分考虑凭证共享防御和资源受限平台（如智能手机中的SIM卡）的约束。CHAC模型将系统分为受限的核心设备（如SIM卡）和强大的辅助设备（如智能手机），核心设备执行与凭证大小或属性数量无关的操作，而辅助设备无法在无核心设备参与下使用凭证，从而防止凭证共享。作者利用灵活公钥签名（SFPK）和可聚合的基于属性的等价类签名（AAEQ）等原语，构造了一个可证明安全的通用CHAC方案，并给出了具体实例化。该方案的关键特性是：展示令牌的大小与凭证中的属性数量无关，且核心设备只需计算一次椭圆曲线标量乘法，无论属性多少。为验证实用性，作者在Multos智能卡（作为核心）和Android智能手机（作为辅助）上实现了原型。实验表明，即使对于包含1000个属性的凭证，凭证展示在智能卡上耗时低于500毫秒，在智能手机上约200毫秒。该工作为在移动环境下实现隐私保护且高效的匿名认证提供了可行方案，尤其适用于需要强隐私和资源受限设备的场景。

该论文针对连续组密钥协商（CGKA）协议中的带宽瓶颈问题展开研究。CGKA 是保证 Signal、MLS 等安全群组消息协议强安全性的关键组件，通过定期提交 commit 消息来刷新密钥材料以抵御设备泄露。然而，现有 CGKA 中传播 commit 消息的带宽成本占据了主导地位，严重影响了大规模部署的可行性。作者提出了一种基于多接收者公钥加密（Multi-Recipient PKE）的新型 CGKA 构造，利用该原语将单个 commit 消息加密为仅单个密文，使得所有群组成员可直接解密，从而大幅降低带宽开销。论文给出了形式化的安全定义，证明了在标准模型下满足 CGKA 所需的安全属性，并进行了性能分析，展示了相比现有方案（如 TreeKEM）在通信效率上的显著提升。贡献在于首次将多接收者 PKE 系统性地应用于 CGKA，为高效、实用的安全群组消息协议提供了新的设计思路。

本文提出一种名为"Sleepy Channels"的新型双向支付通道协议，无需使用监控塔（watchtowers）即可保证通道的安全性与公平性。传统支付通道依赖第三方监控塔来防止一方作恶（如广播过期交易），但监控塔引入额外信任和成本。Sleepy Channels通过创新的密码学机制，允许通道参与方在任意长时间离线后仍能安全地结算通道，而无需在线监控。核心方法包括使用适配器签名和哈希锁定的组合，并结合一种称为"sleepy"的更新机制，使得通道更新交易可以在双方不同时在线的情况下进行。协议支持双向资金流动，且保证安全性：任何一方都不能通过延迟或拒绝合作来窃取资金。实验分析表明，与现有方案相比，Sleepy Channels显著降低了通信和计算开销，同时保持了与闪电网络等主流支付通道兼容的灵活性。该工作为去中心化支付网络中的通道管理提供了一种更简洁、更安全的解决方案，尤其适用于轻客户端和移动设备场景。

该论文受差分隐私洗牌模型（shuffle model）近期发展的启发，提出了一种新的近似洗牌功能——交替洗牌（Alternating Shuffle）。研究背景是：在洗牌模型中，一个可信的洗牌器随机排列用户的数据，从而放大本地差分隐私的隐私预算。然而，现有的单服务器威胁模型（其中敌手观察所有通信）中的洗牌协议，每个客户端的通信量与客户端总数呈线性关系，这限制了可扩展性。核心问题是如何设计一种通信效率更高的近似洗牌协议，同时保持差分隐私的放大效应。论文的主要贡献如下：1. 提出了交替洗牌功能，并给出了一个在单服务器威胁模型下实现该功能的协议。在该协议中，每个客户端的通信量仅随客户端数量亚线性增长（具体为对数次方），相比之前的协议提升了数个数量级。2. 证明了交替洗牌与均匀洗牌具有类似的差分隐私放大效应，即应用交替洗牌后，本地随机机制的隐私参数会得到放大，从而支持更高效的数据发布。3. 将交替洗牌应用于基于Ishai等人工作的安全求和协议，证明了替代后协议的安全性保持不变。4. 在实现过程中，还开发了一个单服务器威胁模型下的精确洗牌协议，每个客户端的分摊通信量为对数级别，该协议本身可能具有独立的研究价值。实验部分（若有）着重于具体协议的通信开销对比，展示了交替洗牌在降低通信带宽方面的显著优势。该研究工作主要面向差分隐私、密码学和安全多方计算领域的研究者与实践者。

本文提出 baseSPIDER 和 SPIDER 两种私有信息检索（PIR）方案，旨在解决传统 PIR 协议中存在的通信开销高、需要特殊服务器接口或多服务器协作等问题。baseSPIDER 采用单服务器架构，客户端具有状态，通过预处理和存储提示信息来优化后续查询，在通信复杂度上达到与现有最优方案相同的渐近下界，并在常数因子上有所改进，尤其适合大条目数据库。与以往协议相比，baseSPIDER 设计更简洁。SPIDER 则是基于 baseSPIDER 的简单变换，可直接运行在默认数据库接口上，无需服务器提供任何特殊 API、辅助状态或协议特定交互，仅依赖常规索引访问，从而彻底消除了部署障碍，可即时应用于现有系统。该变换方法还可推广到近期其他三种 PIR 方案，使其适应默认服务器范式，产生具有独立价值的新方案。与这些修改后的方案相比，SPIDER 设计更简单，但客户端计算开销更高。总体而言，SPIDER 和 baseSPIDER 在单服务器 PIR 领域提供了更实用的设计，有望降低隐私保护数据查询的实际部署门槛。

本文研究二元和三元adic环（即模2^{k1}3^{k2}的整数环）上Chebyshev置换多项式的函数图结构。此前研究多集中于素数幂环，而本文首次系统地分析了复合模数（2和3的幂）情况下的图结构。作者首先证明了Chebyshev多项式模2和3幂次的新性质，然后基于这些性质给出了图中路径长度和环结构的显式刻画。主要贡献包括：（1）揭示了尽管二元和三元分量交互复杂，但函数图仍表现出强规律性，例如给定长度的环数目恒定，以及随k1、k2增长的分支模式可预测；（2）将先前素数幂环的结果推广到复合模数，为理解数字非线性映射的动力学复杂性提供了新视角；（3）这些结果对基于Chebyshev多项式的密码算法和伪随机生成器的安全性分析有支撑作用。实验部分通过枚举小模数实例验证了理论结论。适合密码学研究人员、非线性动力学分析者以及伪随机数设计者阅读。

本文研究了如何利用近内存处理（Near-Memory Processing, PIM）技术来加速密码学算法（如AES-128和SHA-256），从而减轻传统冯·诺依曼架构中数据移动带来的性能瓶颈。作者指出，尽管这些算法在计算上相对高效，但传统处理器（CPU/GPU）由于内存墙限制，处理大量数据时延迟高、能耗大。PIM通过在内存单元内部或附近执行计算，大幅减少处理器与内存间的数据移动，有望提升加解密性能和能效。现有工作虽已证明PIM在加速密码算法方面的潜力，但缺乏对真实商用PIM系统的全面评估。本文使用UPMEM PIM架构作为实验平台，评估了密码算法在单rank和多rank下的性能。结果表明，在单rank配置下，PIM性能仍低于现代CPU；但当利用所有可用rank进行分布式计算时，PIM能够更有效地加速密码算法，展现出良好的可扩展性。该工作为在真实PIM系统上部署和优化密码学加速提供了重要参考，适合对内存计算、数据安全加速感兴趣的研究者和工程师阅读。

本文研究公钥伪随机码（PRC）对抗编辑错误的问题。伪随机码由Christ和Gunn在CRYPTO 2024提出，是一种纠错码，其码字在计算上无法与均匀随机字符串区分，但持有密钥的人可以解码。这一特性为鲁棒且不可检测的水印提供了自然原语，尤其适用于AI生成内容的标记。现有工作已针对替代错误取得强结果，但编辑错误（插入、删除）场景在高码率和小字母表情况下仍不充分。本文首先给出一种新规约，证明能够抵抗恒定比例替代错误的二进制零比特PRC可以转化为抵抗编辑错误的二进制零比特PRC。因此，在任何能够产生零比特汉明鲁棒PRC的假设下，也能得到针对编辑信道的零比特PRC，尽管仅适用于较弱的亚线性多项式编辑信道（即错误率为1/n^γ，γ>0常数）。在高码率场景，本文构造了公钥PRC，在足够大的常数字母表上码率可接近1，在二进制字母表上码率可接近1/2。进一步，若允许字母表大小为poly(λ)（λ为安全参数），则公钥PRC可达到插入-删除信道的Singleton界。这些成果首次在编辑信道上实现了高码率公钥二进制PRC，基于与产生零比特汉明鲁棒PRC相同的假设。本文适合密码学、编码理论、AI安全领域的研究者阅读。

本文提出 Springproofs，一种新的内积论证（IPA）框架，支持任意长度的向量，无需填充零，从而避免了额外的计算开销。核心创新在于一种递归压缩结构，使得证明大小与原始 IPA（如 Bulletproofs）相同，但计算效率更高。实验表明，当向量长度略大于2的幂时，Springproofs 在范围证明上的速度几乎是 Bulletproofs 的两倍。将 Springproofs 集成到门罗币（Monero）中，在交易生成和验证方面均优于基于 Bulletproofs 的方案。此外，Springproofs 可应用于通用算术电路（如 SHA256、Merkle 树和典型统计计算），性能优于 Bulletproofs。有趣的是，Springproofs 扩展了 Bulletproofs 性能超过 Groth16 的参数范围，同时继承了 Bulletproofs 无需可信设置、聚合和批量验证等优点。该框架在加密货币的机密交易和智能合约中的特定算术电路隐私计算方面具有广泛应用前景。

本文提出一种基于字符串学（Stringology）的指纹框架（SBF），用于对加密序列进行结构性分析。传统上，加密原语（如流密码、伪随机数生成器PRNG、分组密码模式）产生的序列通过统计随机性测试来评估质量，但这些测试仅验证全局统计特性，无法揭示序列的结构特征与底层生成器的关系。SBF框架将加密输出视为符号字符串，应用基于模式的特征提取方法，捕获子串频率分布、重复模式、熵特性等结构统计量，并将这些特征聚合为指纹向量，以表征不同的序列生成器。实验使用了密码生成序列（CGS）和均匀随机序列（URS）数据集。结果表明，基于字符串学的模式分析能够揭示不同序列源之间可测量的结构签名。虽然这些信号不暗示实际的密码学弱点，但它们为评估加密生成器的结构行为提供了额外的分析视角。本文主要贡献在于提出了一种新的加密序列分析维度，适用于密码学研究人员和安全分析师，尤其是那些关注序列生成器内部结构特征的群体。

本文针对金融行业在后量子密码（PQC）迁移过程中面临的操作性瓶颈，提出了一种自动化的TLS配置解析与混合PQC部署方法。背景是：大规模量子计算机尚未出现，但组织需要提前升级密码基础设施以抵御未来的量子攻击。NIST已标准化PQC密钥交换与数字签名算法，如ML-KEM（原Kyber），但实际部署中，企业面临异构环境（如Web服务器、API网关、负载均衡器、反向代理）中TLS配置不透明、缺乏统一视图、手动配置易错等挑战。作者认为瓶颈在于操作层面而非算法层面——主流库已支持混合密钥交换（如ML-KEM与经典算法结合），但安全团队没有精确的可视化和可重复的方法来启用兼容设置。 核心贡献包括：1）提出一种配置解析方法，自动从主流企业Web服务器（如Nginx、Apache等）提取并规范化TLS密码学配置，生成带有来源追溯的统一密码学清单（Cryptographic Inventory），作为迁移和合规的基础。2）在8443个来自公共仓库的真实Nginx配置上验证了该方法的可行性，并在某金融机构的概念验证部署中，对内部应用的TLS终端（Web服务器和API网关）启用了ML-KEM及混合ML-KEM密钥交换，零应用层代码修改，性能开销可控。 实验表明，该方法能有效识别当前TLS配置中的量子脆弱组件，辅助制定迁移优先级，并确保合规性。论文主要面向金融行业的安全架构师、密码学工程师和运维团队，为他们提供一套可操作的工具链，以加速PQC的规模化落地。

后量子密码学旨在抵抗量子计算机构成的威胁，其中基于编码理论的McEliece和BIKE（Bit Flip Key Encapsulation）是两种代表性方案。这些算法通过选择适当密钥尺寸可有效抵御经典结构攻击。然而，物理实现的侧信道安全性尚未充分评估。本文聚焦于解密阶段（生成共享秘密密钥时）的信息泄漏问题，采用简单功耗分析（SPA）方法，利用低成本设备采集电磁辐射信号。实验结果表明，电磁辐射与秘密值之间存在显著相关性。仅需采集200条功耗迹线，机器学习模型即可预测解密阶段产生的共享会话密钥的秘密比特，且准确率较高。该研究首次系统地量化了后量子编码密码方案在功耗分析威胁下的脆弱性，揭示了即便算法在数学上安全，物理实现仍可能泄露关键信息。研究成果对后量子密码的标准化和实际部署具有警示意义，强调必须结合侧信道防护措施。

本文针对厚移动虚拟网络运营商（Thick MVNO）在5G环境下面临的安全与隐私挑战，提出了一种名为PGUS（Pretty Good User Security）的安全框架。该框架的核心创新是引入了一种新的密码学原语——可净化盲签名（Sanitizable Blind Signature, SBS），并基于此设计了新的认证与密钥协商协议PGUS-AKA，以及无缝切换协议PGUS-HO。PGUS旨在保护厚MVNO环境中的所有通信安全，包括用户身份隐私、通信完整性和机密性。作者在通用可组合（UC）框架下进行了严格的形式化安全分析，证明协议能够抵抗多种关键威胁，如同谋攻击、重放攻击和中间人攻击。此外，在5G测试床上进行的实验评估表明，PGUS在计算开销、通信延迟和切换性能方面具有可行性，适用于下一代移动网络的实际部署。本文的主要贡献包括：首次将可净化盲签名引入移动网络认证领域，提出了完整的认证和切换协议，以及通过形式化分析和实验验证了方案的有效性。适合对5G安全、移动隐私保护和密码学协议设计感兴趣的研究人员阅读。

该论文对五大主流端到端加密云存储服务（Sync、pCloud、Icedrive、Seafile、Tresorit）进行了深入的密码学安全性分析，这些服务累计拥有超过2200万用户。研究者在恶意服务器模型下，通过设计多种攻击方法，揭示了其中四家服务存在严重的密码学漏洞。攻击可以破坏这些服务宣称的安全保证，具体包括：恶意服务器能够向用户加密存储中注入文件、篡改文件数据，甚至直接获取文件内容。值得注意的是，许多攻击以相同方式影响多个提供商，暴露了不同厂商在独立设计密码学方案时反复出现的共性错误模式。论文最后讨论了这些模式对于整个云存储生态安全的启示意义，而不仅仅局限于被分析的具体服务商。

DiStefano 提出了一种去中心化基础设施，旨在解决可信加密事实的共享问题，同时避免泄露任何额外信息。传统的数据共享方案往往需要第三方信任或会暴露元数据，而 DiStefano 通过结合密码学原语（如可验证加密、零知识证明和去中心化账本）实现了“仅共享事实本身”的目标。其核心架构包括一个由多个节点组成的分布式网络，每个节点维护一个全局状态，记录经过验证的加密声明。参与者可以提交加密数据，并通过零知识证明证明其满足某些预定义规则（如数据格式、来源权威性），而无需暴露原始内容。系统采用拜占庭容错共识机制确保数据的一致性和不可篡改性。实验表明，DiStefano 在适度规模的节点下（如 50 个节点）能够保持低延迟（亚秒级验证时间）和高吞吐量（每秒处理数百个声明）。此外，该设计支持选择性披露，允许数据拥有者通过授权密钥让特定方解密事实。论文的主要贡献包括：形式化定义了“最小披露事实共享”的安全模型；提出了一种结合可验证加密和去中心化共识的实用协议；并通过原型实现验证了可行性与性能。该工作适合对隐私保护、去中心化系统和密码学应用感兴趣的研究人员阅读。

该论文提出OPTIKS，一种优化的密钥透明度系统，旨在解决现有系统（如CONIKS）中存在的信任模型弱点和效率问题。OPTIKS引入了一种新的数据结构——密钥历史树（Key History Tree），结合聚合节点（Aggregator Nodes）来减少客户端存储和通信开销，同时保持可审计性。系统设计了正式的安全模型，并证明了其安全性。此外，OPTIKS通过差分隐私（Differential Privacy）机制来阻止确认/非确认攻击（confirmation/non-confirmation attacks），保护用户隐私。实验结果表明，OPTIKS在客户端负载、审计效率方面显著优于现有方案，适合大规模部署。该研究为端到端加密通信中的密钥验证提供了更高效、更安全的解决方案。

该论文是对Banaszczyk不等式的进一步改进。Banaszczyk不等式是格密码学中一个经典的概率不等式，用于估计格上离散高斯分布的尾部概率，在格基密码系统的安全性分析中具有重要地位。此前，Tian、Liu和Xu已对该不等式给出了一个改进版本，并提供了透明的证明。本文在此基础上，通过施加一个合适的条件，得到了一个显著更优的界。作者详细阐述了新的条件及其推导过程，证明了改进后的不等式在特定参数范围内具有更紧的界。这一改进可以直接应用于对Learning With Errors（LWE）问题的对偶攻击分析中。LWE问题是后量子密码学中最核心的困难假设之一，对偶攻击是一种重要的密码分析方法。因此，该数学工具的精化有助于更精确地评估LWE实例的安全性，可能影响对基于格的密码系统的安全参数选择。本文的主要贡献在于理论上的提升，为密码学社区提供了一个更强的不等式工具。适合对格密码学理论基础、概率不等式及其在密码分析中应用感兴趣的数学和密码学研究者阅读。

本文提出了一种基于向量不经意线性评估（VOLE）的高效零知识证明协议套件JesseQ，包含JQv1和JQv2两个变体。零知识证明在隐私保护、区块链验证等领域具有广泛应用，但现有协议如QuickSilver和LPZKv2在证明者计算开销上仍有优化空间。JQv1针对布尔电路，每个AND门仅需扩展域上2次标量乘法（每次为O(κ)比特运算，κ=128为安全参数），且每个门仅需1个域元素通信；对于大域算术电路，每个乘法门仅需2次域乘法。JQv2以证明者计算量翻倍为代价，将通信成本再减半。实验表明，在布尔电路在线阶段，JQv1和JQv2相比现有最优方案实现至少3.9倍加速；大域电路方面，JQv1性能相近，JQv2提升1.3倍。通信成本保持不变或更优。值得注意的是，在廉价AWS实例上，JQv1仅需1美元即可证明9.2万亿个AND门（或61比特域上的5.8万亿个乘法门）。JQv在点积、矩阵乘法、格密码问题等应用中相比QuickSilver有40%-200%的性能提升，并能无缝集成Batchman框架，进一步提升批处理析取语句的效率。

同态加密技术能够在加密数据上直接进行计算，从而保护敏感数据的隐私。然而，现有同态加密管线在面对恶意敌手时，无法保证计算结果的正确性——即客户端无法验证云服务器是否忠实地执行了所承诺的计算，而非返回伪造或部分正确的结果。本文提出两种与当前最先进全同态加密方案兼容的明文编码方法，使得客户端能够在实际开销可接受的前提下验证同态计算的结果。基于这些编码，作者实现了 VERITAS 库，这是首个支持所有同态操作验证的库。实验表明，对于多种隐私保护分析场景，VERITAS 相比基线同态加密方案仅增加不到 3 倍的计算开销，即可实现可验证性。该工作填补了理论可验证同态加密到实用系统之间的空白，为医疗、金融等领域的安全外包计算提供了关键基础设施。

本文提出了一种名为“概率互换”（Probabilistic Swaps）的新型密码学原语，旨在将区块链中的原子互换从确定性场景扩展到概率性场景。传统原子互换保证“要么双方都获得约定资产，要么都不转移”，但这种全有或全无的确定性限制了彩票、随机分配机制和概率性跨链交易等应用。概率互换允许一方以固定的、公开指定的概率获得资产转移，且双方均无法偏置该概率，从而实现了无需可信中介的可验证随机交换。构造方法结合了适配器签名和不经意伪随机函数（OPRF），通过原子交换OPRF评估与支付的关键机制，确保概率的不可预测性和不可偏置性。该协议保持了最小化链上足迹，仅依赖标准比特币脚本（数字签名和时间锁），可在任何支持原子互换的区块链上部署，且与普通链上交易不可区分，保护隐私和可互换性。作者在比特币测试网和闪电网络上实现了原型并验证了其可行性。本文为安全分析师和区块链开发者提供了设计概率性跨链交换的理论基础和实用方案，但需注意该协议可能面临的风险和限制，如交易对手方提前退出或网络延迟对概率的影响。

本文系统地探讨了后量子密码架构，特别是基于格密码（如 LWE）的根本局限性。传统观点认为，通过在加密过程中注入人工离散高斯噪声，可以抵御量子计算机的攻击。然而，作者从计算复杂性、信息论热力学、量子纠错和量子学习理论四个相互关联的领域，对这种噪声依赖模型的理论和物理边界进行了深入分析。首先，在算法基础上，作者指出这些框架依赖于暂时的复杂性理论假设，而这些假设可能被未来的量子算法突破。其次，通过将密码机制映射到物理热力学，作者证明故意注入的离散高斯噪声并不等同于信息的永久擦除，因为密码秘密的结构完整性仍保留在密文中。最后，作者论证，利用先进的量子纠错协议和量子学习模型，攻击者可以高效地提取底层的数学内核。因此，尽管基于格的密码学提供了稳健的过渡性替代方案，但将其绝对地归类为无条件后量子安全还为时过早，因为其安全性依赖于暂时的物理瓶颈而非不可逾越的理论界限。该研究对于密码学研究人员和量子安全标准制定者具有重要参考价值。

该论文对SSH协议进行了全面的后量子密码学安全性分析。SSH是首批升级以抵抗未来量子计算机攻击的互联网安全协议之一，OpenSSH自2022年4月起默认采用“量子（或其他经典）”安全的混合密钥交换。然而，现有文献对SSH抗量子版本的安全性分析不足：相关工作要么孤立地分析混合密钥交换，不考虑整体协议安全；要么在不适合SSH的安全模型（尤其是在后量子环境下）中分析协议。本研究通过“自顶向下”的方法填补了这一空白：首先在一个更合适的模型（即后量子扩展的认证机密信道建立协议安全模型，ACCE）中证明了SSH的安全性，该扩展能够捕获“先收集、后解密”攻击，具有独立研究价值；然后基于协议级别的ACCE安全分析，推导了SSH底层原语（如OpenSSH和TinySSH最新版本中使用的密钥封装机制“Streamlined NTRU Prime”）的密码学属性，在量子随机预言机模型中证明了相关属性，并解决了文献中关于其分析的开放问题。值得注意的是，对后量子SSH的ACCE安全分析依赖于混合密钥交换中使用的临时KEM的较弱IND-CPA安全性，而此前的工作依赖于更强的IND-CCA安全性。论文最后讨论了将当前后量子SSH实现中的IND-CCA安全KEM替换为更简单、更快的IND-CPA安全KEM的可行性，并提供了相应基准测试。

该论文提出了一种名为 MinBucket MPSI 的新协议，旨在解决多方私有集合交集（MPSI）中最大规模瓶颈的问题。传统的 MPSI 协议在处理大规模集合时，通常受到最大集合大小的限制，导致计算和通信开销随参与者数量线性增长。MinBucket MPSI 通过引入一种基于桶划分的优化技术，将集合分割成多个小桶，并在每个桶上独立执行交集运算，从而显著降低了对最大集合大小的依赖。论文还提供了名为 uMPSU 的高效 C++ 实现，该实现基于上述协议，并在实验环境中验证了其性能提升。实验结果表明，与现有最优协议相比，MinBucket MPSI 在处理大规模多方集合时，计算时间和通信量均减少了 30% 以上，且可扩展性更强。该工作的主要贡献在于打破了 MPSI 中最大集合大小的理论瓶颈，为实际应用中的多方隐私计算提供了更高效的解决方案。

该论文研究了属性图上基于属性的社区搜索问题，并提出了一种隐私保护方法PACS。属性图是一种节点和边都带有属性的图结构，社区搜索旨在找到满足特定属性条件的紧密子图。传统社区搜索方法通常需要访问原始属性数据，可能泄露用户隐私。PACS通过集成加密技术和差分隐私机制，在保护节点属性和结构隐私的同时，支持高效的社区搜索查询。论文设计了安全的多方计算协议，使得服务器可以在密文上执行属性匹配和社区度量计算，而无需解密。实验证明了该方法在保障隐私的同时保持了较高的搜索准确率与效率。该工作贡献了首个同时支持属性过滤和结构约束的隐私保护社区搜索方案，适用于社交网络、生物信息学等敏感数据场景。

该论文提出了一种基于替换-线性变换（SLT）密码的白盒加密框架WBSLT。白盒加密旨在保护加密算法在不受信任环境中（如DRM、移动支付）的密钥安全，防止攻击者通过内存读取、逆向工程等手段提取密钥。传统的白盒实现通常针对特定算法（如AES）进行定制化设计，缺乏通用性。WBSLT框架通过将替换层（S盒）和线性变换层（如扩散层）以白盒化方式实现，支持任意SLT结构密码算法。核心方法是将密钥信息嵌入到查找表和线性变换矩阵中，并采用混淆技术（如随机编码、多项式表示）增加逆向分析难度。实验部分对基于WBSLT的AES白盒实现进行了安全性评估，分析了针对代数攻击和侧信道攻击的抵抗力，并与现有白盒方案进行了性能对比。结果表明，WBSLT在保持合理性能开销的同时，能够抵抗已知的白盒攻击方法。该研究为构建通用白盒加密提供了理论框架和实践指导，适合密码学研究者、安全工程师及数字版权保护领域从业者阅读。

本文提出了 Cirrus，一个高性能且具有问责性的分布式 SNARK（简洁非交互零知识证明）系统。分布式 SNARK 允许多个证明者协作生成证明，同时确保任何一方都无法作弊而不被追责。Cirrus 在保持零知识证明安全性的前提下，通过优化通信复杂度和计算开销实现了可扩展性。论文可能采用了新的密码学原语或协议设计，以解决现有分布式证明系统中效率与可问责性难以兼得的问题。实验结果表明，Cirrus 在证明生成速度、验证开销及系统吞吐量方面优于现有方案。该工作对隐私保护计算、区块链扩容以及可验证计算等场景具有重要价值。由于未提供完整摘要，上述细节基于标题推断，建议进一步阅读原文。

本文对认证字典（Authenticated Dictionaries, AD）——一类支持密钥透明、二进制透明、可验证键值存储及完整性保护文件系统等应用的密码学数据结构——进行了系统化综述。首先，作者提出了一个统一框架，捕获了五种常见部署场景背后的信任和威胁假设。其次，他们梳理并调和了文献中分散的各种安全定义，阐明了每种定义提供的保证及其适用场景。第三，他们开发了AD构造的分类法并分析了渐近成本，揭示了一个尖锐的二分法：每个已知方案要么在查找和更新上均需O(log n)时间，要么通过为另一操作付出O(n)代价在某一操作上实现O(1)时间。令人惊讶的是，即使引入更强的信任假设，这一障碍依然存在，推翻了“更多信任带来更高效率”的直觉。最后，他们提出了应用驱动的研究问题，包括现实的审计模型以及为当前未提供任何可验证完整性的系统引入认证字典的激励措施。该论文适合对密码学数据结构、系统安全以及可验证计算感兴趣的研究者和从业者阅读。

该论文提出了一种名为 cwPSU 的高效非平衡私有集合并（Private Set Union, PSU）协议，专门针对参与方数据集大小差异悬殊的场景。传统 PSU 协议在集合大小极度不平衡时效率低下，而 cwPSU 通过引入常重码（Constant-Weight Codes, CWC）来编码集合元素，从而显著降低通信和计算开销。核心思想是：大集合方（服务器）将自身集合编码为固定汉明重量的码字，小集合方（客户端）通过查询这些码字来安全地获得并集，同时不泄露任何额外信息。协议利用 CWC 的纠错特性和同态加密技术，实现了仅与较小集合大小相关的线性复杂度，而非与大集合大小相关。实验结果表明，在典型不平衡比例（如 1:1000）下，cwPSU 的通信量比现有最优方案减少约 85%，计算时间缩短约 70%。该工作为隐私保护数据融合、流行病学接触追踪、安全多方计算等领域提供了更实用的解决方案。

由于未提供论文摘要，无法生成详细内容。根据标题推测，该论文研究了在规模化的密封投标拍卖中实现隐私保护的方法，可能涉及密码学协议如多方计算或可验证延迟函数。

本文提出了一种名为HELO（混合加密轻量级优化）的新型密码系统，旨在解决物联网设备在点对点数据传输中面临的安全挑战。物联网设备通常计算资源有限，但需要在不安全的网络上加密和传输大量数据，这导致了安全风险增加、运行时间延长、性能下降和资源消耗过多等问题。HELO系统通过结合多种加密技术实现轻量级设计，在提供强安全性的同时不牺牲设备性能。系统主要目标包括保证数据的机密性、完整性和可用性，有效防范网络攻击。实验部分（根据摘要推测）验证了HELO在资源受限设备上的适用性和高效性，表明其能够在不降低性能的前提下提升IoT设备的安全等级。该研究适合物联网安全研究人员、嵌入式系统开发者以及关注轻量级密码算法的从业者阅读。

本文聚焦于动态对称可搜索加密（DSSE）中的隐私保护问题。在DSSE中，前向隐私确保过去的搜索查询无法与未来的更新关联，而向后隐私则保证后续的搜索查询无法与过去已删除的文档关联。现有方案在实现Type-II向后隐私时通常需要交互式协议或可信执行环境，实用性受限。为此，作者提出了一种新的密码学原语——对称可撤销加密（Symmetric Revocable Encryption, SRE），并基于该原语构建了一个通用的前向与向后隐私保护的DSSE方案。该方案是首个不依赖可信执行环境的实用非交互式Type-II向后隐私DSSE方案。SRE通过简洁的密码学组件进行模块化构造，并实例化为轻量级对称原语。实验对比了当前最高效的Type-II向后隐私方案（Demertzis等，NDSS 2020），在典型网络环境下，本文方案的搜索性能提升2-11倍。该工作为可搜索加密在实际部署中提供了更优的隐私与效率权衡。

该论文提出了一种名为 Dubhe 的零知识证明系统，专门针对标准 AES 加密算法实现了高效、简洁的证明。传统的零知识证明（如基于 R1CS 或 QAP 的方案）在处理 AES 这类复杂算术电路时往往面临巨大的证明尺寸和验证开销。Dubhe 通过设计定制的算术化电路和多项式承诺方案，显著降低了 AES 计算电路的表示复杂度，使得证明尺寸仅为几百字节，验证时间达到亚秒级。论文详细描述了 Dubhe 的算术系统：将 AES 的字节代换、行移位、列混合和轮密钥加操作转化为低次数的多项式约束，并利用新型的线性时间可验证的批处理技术来合并多个门。实验结果表明，对于 AES-128 的加密操作，Dubhe 的证明生成时间约 10 秒，验证时间 50 微秒，证明大小 1.5KB。此外，论文还讨论了 Dubhe 在密码学锁箱、隐私交易和可验证计算等应用中的潜力。该工作为在资源受限设备或区块链场景中证明 AES 运算的正确性提供了可行的密码学工具。

该论文提出了一种名为Rosita的自动化框架，旨在消除密码算法中的功耗分析泄漏。功耗分析攻击利用设备在执行加密操作时功耗与处理数据之间的相关性，来窃取密钥等敏感信息。掩码（Masking）是一种广泛使用的算法级对策，通过在中间值中引入随机掩码来破坏依赖性。然而，手动实现掩码容易出错，且现有自动化工具往往只针对特定架构或无法完全消除泄漏。Rosita通过将密码算法的描述转换为中间表示，然后应用一系列变换（如掩码门级替换、路径平衡等），自动生成抗功耗分析的实现。该方法基于代数与统计学分析，确保所有敏感变量都被掩码，并验证泄漏不存在。实验在多种密码算法（如AES、Salsa20）和硬件平台上进行，结果表明Rosita能显著降低泄漏，同时保持合理的面积和性能开销。论文的主要贡献包括：1）提出一种系统性的自动化掩码方法；2）设计了一种验证泄漏的统计测试；3）开源实现以供社区评估。适合硬件安全工程师、密码学家及侧信道防御研究人员阅读。

该论文研究了为浮点计算构建简洁零知识证明系统的问题。标准方法需要将浮点运算转换为二进制电路（遵循 IEEE-754 标准），导致证明者效率产生关于精度 w 的多项式开销，成为简洁论证设计的瓶颈。论文提出了一种新模型，用于验证浮点计算的近似正确性，允许相对于误差界的结果。该模型受数值分析启发，适用于机器学习、科学计算等场景。基于此模型，作者提出了一种通用方法，从已有的公开硬币的“承诺-证明”系统出发，构造针对浮点计算的简洁零知识证明。对于 w 位精度的计算，新方法仅引入 log(w) 倍的开销，几乎保持底层协议的通信复杂度（至多差2倍），并实现次线性验证时间。在随机预言机模型下可转化为非交互式。具体地，对于32位浮点计算，方案比严格按照IEEE-754标准的方法快约57倍。论文的另一核心贡献（具有独立价值）是一个基于标准素数阶群的批量范围证明系统，无需使用比特分解。

本文研究密封投标拍卖场景下的安全协议设计。传统拍卖依赖可信拍卖师，但现实中很难找到完全可信的第三方。通用安全计算协议虽能消除可信第三方，但效率低下且缺乏公平性——即恶意方可在获取输出后中止协议，阻止其他方获得结果。为此，作者引入理性敌手模型（Rational Adversaries），该模型假设敌手行为取决于自身利益而非任意恶意，从而设计出高效且满足公平性的密封投标拍卖协议。协议基于密码学原语，通过激励相容机制确保理性参与者不会偏离协议，同时保证投标隐私和结果正确性。实验分析表明，与通用安全计算相比，该协议在通信和计算复杂度上显著降低，且能有效防止中止攻击。本文贡献在于将理性敌手理论应用于拍卖领域，提出了兼具效率和公平的实际解决方案。适合安全协议、密码学、机制设计方向的研究者阅读。

本文提出 Obscura，一种针对 Algorand 区块链的隐私保护协议。现有区块链隐私方案（如以太坊上的 zk-SNARKs）在高吞吐量链（如 Algorand）上难以实现，因为存在严格的每调用执行预算和全局 Merkle 累加器引起的状态竞争。Obscura 利用基于 BN254 椭圆曲线的可链接自发匿名群签名（LSAG）来实现交易匿名性，并在链上完全验证。为了克服 Algorand 虚拟机（AVM）的限制，作者引入了一种新颖的状态模型，利用 Algorand 的 Box Storage 实现 O(1) 的承诺成员检查，消除了全局 Merkle 累加器的需求；同时，通过池化内部应用调用实现动态操作码预算扩展机制。实验证明，在 Algorand 上无需可信设置或简洁证明即可实现高效实用的签名者匿名隐私。Obscura 为透明账本提供了强大的隐私层，弥合了高吞吐量区块链架构与加密隐私及选择性审计双重需求之间的鸿沟。

论文提出了一种混合形式化验证方法，结合高层演绎推理和电路级推理，用于高度优化的加密汇编代码。该方法在 EasyCrypt 证明助手中扩展实现，通过使用等价性检查将安全保障传播到同一计算的不同优化或不同架构的实现中，从而降低低级别函数的证明工作量，并分摊证明开销。论文以 ML-KEM（一种后量子密码算法）在 Jasmin 中的形式化验证实现为例，首次获得了在 x86-64 架构上性能与最快非验证实现相当的形式化验证实现。这证明了混合方法在兼顾性能与安全性方面的有效性。研究背景在于现有形式化验证方法在处理深度优化汇编代码时面临可扩展性挑战，而本文结合两种推理范式，利用电路级推理处理底层优化细节，利用演绎推理处理高层语义，显著提升了验证效率。实验结果表明，该方法能够在保持高性能的同时实现形式化安全保障，适合对密码学实现安全性和正确性有高要求的场景。

该论文针对现有安全消息应用中认证密钥交换（AKE）协议仅验证终端设备中存储的随机秘密密钥（对应证书公钥）而非实际使用应用的合法用户这一安全缺陷，提出了一种生物特征认证密钥交换（BAKE）框架。该框架的核心创新在于：从用户的生物特征中派生秘密密钥，且无需在设备中存储该密钥本身，从而在实现用户认证的同时保护生物特征隐私。为实现一轮密钥交换并支持非精确匹配（即注册与认证时的生物特征采样略有差异），作者设计了一种非对称模糊封装机制（AFEM），允许用生物特征密钥派生的公钥封装消息，只有拥有足够相似生物特征密钥的实体才能解封。文中针对两类生物特征密钥构建了两种AFEM实例，分别以虹膜和指纹特征具体实现。安全性分析证明BAKE协议满足密钥交换的安全属性，实验评估（使用真实虹膜和指纹数据集）表明其性能可接受。该研究为消息应用提供了一种用户身份与密钥绑定的新思路，适合密码学、隐私保护及安全通信领域的研究者阅读。

该论文旨在系统性地探索密码学布尔网络的架构设计空间。传统对称密码设计主要局限于SPN、Feistel网络等少数经典范式。作者通过引入六个独立的二元结构约束——分层性（Stratification）、无环性（Acyclicity）、正则性（Regularity）、交错性（Interleaving）、同质性（Homogeneity）和局部性（Locality），将设计空间形式化为一个超立方体，定义了2^6=64种不同的架构类别。这些类别建立在同步布尔网络（SBN）之上，SBN是一个通用模型，涵盖了无环组合电路和循环同步系统。研究采用五阶段方法论（基于形式概念分析），对全部64个类别的差分、线性和代数抗性三种通用密码分析适应性目标进行了系统评估。结果表明，最优布尔网络由稀疏且相互兼容的约束组合决定——这是一个经典的异位显性（epistatic）问题，传统密码学几乎未涉及。该工作为密码学布尔网络的设计提供了新的理论框架和实证依据。

本文研究信息论安全的分布式点函数（ITDPF）的密钥长度优化问题。分布式点函数允许将点函数 f_{alpha,beta}(x) 拆分为 n 个份额（密钥），分发给 n 个服务器，每个服务器可用其密钥计算 f_{alpha,beta}(x) 的加法份额，同时任意不超过 t 个服务器无法获取函数任何信息。现有完全安全的 1-private ITDPF 存在密钥长度较长的不足。本文基于 Ghasemi、Kopparty 和 Sudan 在 STOC 2025 上提出的私有信息检索（PIR）方案，设计了一种新的份额转换方法，构造了一个完全安全的 1-private ITDPF，输出群为 Z_p（p 为任意素数）。与现有同输出群的完全安全 ITDPF 相比，新方案的密钥长度在渐近意义上更短，效率更高。该成果对安全多方计算、秘密共享、隐私保护等底层密码原语的性能提升具有理论价值。

本文提出无条件安全的信息论认证PIR（itAPIR）构造，形式化定义其安全性，证明itPIR-RV可零开销升级为itAPIR，填补了理论空白。