Distributed privacy-preserving biometric authentication scheme based on LWE encryption

CAI Jun; JIN Mingxing; WANG Zihao; WANG Qiang; WU Yanping

doi:10.20172/j.issn.2097-3136.250405

Journal of Cybersecurity >

2025 , Vol. 3 >Issue 4: 53 - 66

DOI: https://doi.org/10.20172/j.issn.2097-3136.250405

Special topic on Intelligent authentication approach

Distributed privacy-preserving biometric authentication scheme based on LWE encryption

CAI Jun ¹ ,
JIN Mingxing ¹ ,
WANG Zihao ¹ ,
WANG Qiang ^,¹^,* ,
WU Yanping ²

Expand

1. Software College, Northeastern University, Shenyang 110169, China
2. Female Henan Southeast Electronic Systems Engineering Co., Ltd.,Zhengzhou 450000, China

Online published: 2026-01-04

Copyright

Fold

Abstract

At present, biometric authentication systems generally adopt a server-centric centralized architecture, and users need to rely on the server to store and manage their biometric templates, which has a serious risk of privacy leakage. In order to improve the privacy protection ability, the researchers proposed a user-centered scheme, which stores and encrypts biometric data through local devices, which enhances user control, but is limited by device dependency, computing performance and scalability, and is difficult to support efficient authentication in multi-terminal or large-scale environments. The existing two types of solutions struggle to strike a balance between privacy, computational overhead, and system scalability. In order to solve the above problems, a distributed privacy-preserving biometric authentication framework integrating blockchain technology and lattice-based cryptography was proposed. The framework adopts a blockchain-driven multi-factor authentication architecture to realize the decentralized storage of biometric data and the verification mechanism controlled by smart contracts, and designs a Function-Hiding Inner Product Encryption (FHIPE) scheme based on the Learning With Errors (LWE) assumption. Experiments show that the LWE-FHIPE scheme is significantly better than the traditional method in terms of computing efficiency and communication overhead, and can provide an identity authentication solution with privacy protection, scalability and post-quantum security for the decentralized environment.

Key words： biometric authentication; privacy protection; decentralized authentication; LWE encryption; function hidden inner product encryption; blockchain

Cite this article

CAI Jun , JIN Mingxing , WANG Zihao , WANG Qiang , WU Yanping . Distributed privacy-preserving biometric authentication scheme based on LWE encryption[J]. Journal of Cybersecurity, 2025 , 3(4) : 53 -66 . DOI: 10.20172/j.issn.2097-3136.250405

0 引言

在数字化时代，身份认证作为信息安全和访问控制的基石，广泛用于评估各类在线服务、金融交易和安全系统，以确保用户身份的真实性并防止未经授权的访问^[1-3]。传统的身份认证方式主要包括：基于知识因子，如密码、个人识别号码（Personal Identification Number，PIN）；基于持有因子，如智能卡、令牌的方案^[4]。然而，这些方案存在易遗忘、易被窃取或伪造等问题。例如，密码可能因弱口令或重复使用而容易被攻击；令牌设备可能丢失或被复制，影响认证的安全性和可靠性。相比之下，生物特征认证利用用户独特的生理或行为特征（如指纹、虹膜、面部识别等）进行身份验证，具有更高的安全性和便利性。生物特征难以伪造或遗忘，用户无须记忆复杂的密码或携带额外设备，使得身份认证过程更加高效和自然。

因此，生物特征认证已成为身份认证技术的重要发展方向^[5-6]。然而，生物特征的唯一性和不可更改性也带来了新的隐私风险，一旦生物特征数据泄露，用户无法更改自己的生物信息，从而面临长期的安全威胁。如何有效保护生物特征隐私，成为生物特征认证技术亟待解决的核心问题。

当前生物特征隐私保护方案主要分为两类：以服务为中心（Service-centric）的方案和以用户为中心（User-centric）的方案^[7]。以服务为中心的方案依赖集中存储和管理用户的生物特征数据，由服务提供商执行认证流程，并确保系统的可扩展性和跨平台兼容性。这种架构适用于大规模用户管理，如在线银行和政府数据库，能够统一维护。然而，该模式的主要问题在于隐私和安全风险。Kümmel等^[8]指出以服务为中心的方案易受逆向攻击。用户必须完全信任服务提供商不会滥用或泄露其生物特征数据，并且一旦中心化服务器遭受攻击或数据泄露，所有存储的数据都可能面临风险。以用户为中心的方案通过在本地存储和处理生物特征数据，缓解集中存储带来的隐私问题。该方案赋予用户更大的身份信息控制权，并降低对中心服务器的依赖。在这种架构下，生物特征模板在本地设备（如智能手机或智能卡）上加密处理后再上传至服务器，服务器仅存储加密后的数据，并在密文域内执行认证计算^[9]。这种方式增强了隐私保护，使用户的原始生物数据保留在用户本地，并且用户无须担心数据泄露导致身份被冒用。然而，该架构仍然存在以下不足。首先，设备依赖性较强，生物特征模板通常存储在用户设备中，如果设备丢失或损坏，用户可能无法完成身份认证，必须依赖额外的备份机制，这在某些场景下增加了使用成本和复杂度。其次，该架构的扩展性存在挑战，尤其是在多设备环境下，不同设备之间的生物特征数据同步较为复杂，难以高效管理大规模用户，限制了其在跨平台身份认证中的应用。最后，该方案依赖终端设备的计算能力，生物特征匹配和加密计算需要占用本地算力，可能导致识别速度下降或准确率受限，特别是在资源受限的设备上表现尤为明显。这些问题影响了该方案的可用性和广泛适用性。

尽管以用户为中心的架构在隐私保护方面具有优势，但其设备依赖性、扩展性和计算性能的限制使其难以满足更大规模和更复杂应用场景的需求。因此，需要一种既能摆脱中心化服务器依赖，又能提供更强扩展能力和计算效率的架构。

不同于上述两种方案，区块链架构为身份认证提供了一种去中心化的解决方案^[10-11]。通过分布式存储和共识机制，区块链消除了中心化服务器的单点故障问题，并提高了系统的抗攻击能力。智能合约可用于执行身份认证流程，确保数据不可篡改，并提高系统的透明度和可信性^[12]。此外，区块链的去中心化特性降低了对服务商的信任依赖，使用户能够自主管理其身份数据。

然而，仅依靠区块链并不能完全解决隐私保护问题，其公开透明的账本结构与生物特征数据的高度机密性存在天然冲突。现有的密码学方法，包括安全多方计算（Multi-Party Computation，MPC）^[13]、同态加密（Homomorphic Encryption，HE）^[14-15]和内积加密（Inner Product Encryption，IPE）^[16]等，往往会带来过高的计算负担，存在密文膨胀问题，且容易受到量子计算攻击。MPC通过分布式计算实现在加密状态下直接比对生物特征，但在认证中需要频繁的协议交互与同步，导致实时性不足。例如，Gasti等^[17]提出的外包MPC方案在恶意模型下计算1600 bits生物特征的汉明距离需要3.29 s，虽优于通用MPC，但仍难以满足高吞吐场景的需求。而HE方案依赖高次多项式运算，在处理大规模生物特征时效率显著下降。例如，基于阈值同态加密的THRIVE方案^[18]，计算2 048 bits模板的汉明距离需要2 051 ms客户端耗时，且通信开销高达787 KB。IPE在加密域直接计算特征向量的相似度，Kim等^[19]提出了基于椭圆曲线配对的函数隐藏内积加密（Pairing-Based Function-Hiding Inner Product Encryption，Pairing-FHIPE）方法，其核心的双线性映射运算需要执行模指数计算和配对操作，对于750 bits的生物特征数据，在112 bits安全参数下耗时2.7 s，难以满足实时认证场景的毫秒级响应需求。

同时，量子计算的快速发展对传统密码学原语，如RSA（Rivest-Shamir-Adleman）加密算法和椭圆曲线密码学（Elliptic Curve Cryptography，ECC），构成了严重威胁^[20]。Shor算法能够有效解决这些方案所依赖的数学问题^[21]，使其在量子时代不再安全。对于生物特征系统而言，一旦数据泄露便无法更改，因此，要确保生物特征认证中的长期机密性和完整性，需要能够抵御量子攻击的密码机制。

容错学习（Learning With Errors，LWE）问题的困难性被证明等价于最坏情况的格难题，是目前公认可抵御量子攻击的密码学基石。为解决上述问题，本文提出了一种基于LWE加密的分布式隐私保护生物特征认证方案，该方案整合了区块链和基于格的密码学，构建了一个去中心化且保护隐私的生物特征认证框架。在该框架中，设计了LWE-FHIPE方案。加密方案与区块链智能合约协同工作：认证终端在可信执行环境中采集用户的生物特征后，利用LWE-FHIPE算法将特征向量加密成仅支持密文相似度计算的密文；这些密文及认证终端的签名被提交至区块链，由智能合约在链上直接调用LWE-FHIPE解密与内积运算模块，对注册模板与认证请求进行安全相似度计算，并依据预设阈值裁决认证结果。全流程的输入、输出及中间计算结果均经区块链共识机制和不可篡改存储记录在全网，结合LWE加密的函数隐藏特性和后量子安全性，即便攻击者掌握所有链上数据，也无法恢复原始生物特征信息。实现“链上可信验证+密文隐私保护”的双重安全保障，有效解决了去中心化环境下的隐私与安全难题。

本文的主要贡献包括：（1）提出了一种去中心化的多因素认证架构，利用区块链进行分布式存储，利用智能合约进行无信任验证；（2）设计了一种基于LWE假设的高效函数隐藏内积加密方案，与传统的基于配对的方法相比，性能有显著提升；（3）实验结果表明，该方案在计算效率、通信开销和可扩展性方面有显著提升，安全性分析证实了在随机预言模型下的后量子抗性。本研究为去中心化环境中安全高效的生物特征认证提供了切实可行的解决方案。

1 研究背景与理论基础

1.1 格理论与格上困难问题

格理论作为离散数学中的基本结构，经过多位数学家的长期研究，已经得到了广泛发展^[22-23]。在现代密码学中，由于格被推测具有抗量子攻击的特性^[24]，已成为后量子密码系统的基石，为后量子密码学的构造提供了坚实的理论基础。

定义1（格）　设

$ {\boldsymbol{B}} = \{ {{\boldsymbol{b}}_{\boldsymbol{1}}},{{\boldsymbol{b}}_{\boldsymbol{2}}}, \cdots ,{{\boldsymbol{b}}_{\boldsymbol{n}}}\} \subset {\mathbb{R}^m} $

是一组线性无关的向量。由

${\boldsymbol{B}}$

生成的格

$ \Lambda $

定义为离散集合：

$ \Lambda = \mathcal{L}({\boldsymbol{B}}) = \left\{ {\displaystyle\sum\limits_{i = 1}^n {{a_i}} {{\boldsymbol{b}}_{\boldsymbol{i}}}\mid {a_i} \in \mathbb{Z}} \right\} $

，其中

${\mathcal{L}}( \cdot )$

表示格生成函数，

$ \mathbb{Z} $

是整数集。

定义2（格基）　格

$ \Lambda $

的基是生成

$ \Lambda $

的一组线性无关向量。如果

${\boldsymbol{B}}$

和

${\boldsymbol{B'}}$

都是

$ \Lambda $

的基，那么存在一个幺模矩阵

${\boldsymbol{U}} \in {\mathbb{Z}^{n \times n}}$

（即

$\det ({\boldsymbol{U}}) = \pm 1$

），使得

${\boldsymbol{B' = BU}}$

。

尽管一个格有无限多个基，但给定基的质量对于密码学应用至关重要。虽然所有基都生成同一个格，但具有更好正交性的约化基会显著简化格问题的求解，如最短向量问题（Shortest Vector Problem，SVP）。因此，密码学方案必须确保攻击者无法获取高质量的基。

基于格的密码构造的安全性通常依赖以下两个问题的计算困难性：

定义3（SVP） 　给定格

$ \Lambda $

的基

${\boldsymbol{B}}$

，目标是找到一个非零向量

$ {\boldsymbol{v}} \in \Lambda $

，使其欧几里得范数最小：

(1)

$ {\lambda _1}(\Lambda ) = {\min {}_{v \in \Lambda }}||{\boldsymbol{v}}|| $

定义4（判定最短向量问题GapSVP）　给定格

$\Lambda $

的基和参数

$ d > 0 $

，任务是判断

${\lambda _1}(\Lambda ) \leqslant d$

还是

${\lambda _1}(\Lambda ) > \gamma d$

，其中

$\gamma (n) = {n^{\omega (1)}}$

是一个超多项式函数。当

$\gamma (n) = {\text{poly}}(n)$

时，该问题可能非NP（Non-deterministic Polynomial）困难。

1.2 LWE问题与LWE困难性假设

格上困难问题为抗量子密码学提供了理论支撑，Regev^[25]证明，若存在概率多项式时间算法（Probabilistic Polynomial Time，PPT）求解决策LWE问题，则可构造量子算法来解决最坏情况下的

${\text{GapSV}}{{\text{P}}_\gamma }$

和SIVP问题，其中

$\gamma = \tilde O(n/\alpha )$

。该结论为基于格构造密码算法的抗量子安全性提供了理论依据

为将格理论应用于密码学设计，须依赖一个已被证明具备抗量子安全性的计算问题——LWE问题。LWE问题可以解释为求解一个带噪声的线性方程组。设

$n$

为安全参数，

$ q = {\text{poly}}(n) $

表示模数。噪声从离散高斯分布

$\chi = {D_{z,\alpha q}}$

中采样，其标准差为

$\alpha q$

，其中

$\alpha \in (0,1)$

。该问题的正式定义如下。

定义5（搜索LWE问题） 　给定

$m$

个向量

$ {{\boldsymbol{a}}_i} \in \mathbb{Z}_q^n $

、

$m$

个标量

$ {b_i} \in \mathbb{Z}_q^{} $

以及误差分布

$\chi $

，找到一个向量

${\boldsymbol{s}} \leftarrow \mathbb{Z}_q^n$

，使得对于

$ \forall i\; \in \;\left[ {0,\left. m \right]} \right. $

都有

$ {b_i} \equiv \langle {{\boldsymbol{a}}_i},{\boldsymbol{s}}\rangle + {e_i}\text{mod} \,q $

，其中

${e_i} \leftarrow \chi $

。

定义6（决策LWE问题） 　选取

${\boldsymbol{a}} \leftarrow \mathbb{Z}_q^n$

，区分以下两种分布：（1）

$ \left( {{\boldsymbol{a}},{\text{ }}{\boldsymbol{b}}} \right) $

，其中

${b_i} = \langle {\boldsymbol{a}},{\boldsymbol{s}}\rangle + e$

(

${\boldsymbol{s}} \leftarrow \mathbb{Z}_q^n$

且

$e \leftarrow \chi $

)；（2）

$ \left( {{\boldsymbol{a}},{\text{ }}u} \right) $

，其中

$u \leftarrow {\mathbb{Z}_q}$

是均匀分布。对于任何PPT攻击者

${\mathcal{A}}$

，区分这两种分布的优势定义为：

(2)

$ \begin{split} {\text{Adv}}_{\mathcal{A}}^{{\text{DLWE}}}& = |\Pr [{\mathcal{A}}({\boldsymbol{a}},{\boldsymbol{b}}) = 1] - \Pr [{\mathcal{A}}({\boldsymbol{a}},u) = 1]|\leqslant \\ & {\text{negl}}(n)\end{split}$

Regev还证明了决策LWE和搜索LWE在多项式时间内是等价的。这意味着：（1）解决搜索LWE与解决决策LWE问题一样困难；（2）基于LWE的密码方案在最坏情况格困难性假设下对量子攻击者是安全的。

定义7（LWE困难性假设） 　对于任何PPT攻击者

${\mathcal{A}}$

，其解决决策LWE问题的优势可以忽略不计，即：

(3)

$ {\text{Adv}}_{\mathcal{A}}^{{\text{LWE}}} = \left| {\Pr \left[ {{\mathcal{A}}\left( {{\boldsymbol{a}},{b_0},{b_1}} \right) = i} \right] - \frac{1}{2}} \right| \leqslant {\text{negl}}(n) $

其中，

$\Pr \left[ \cdot \right]$

表示事件

$ \cdot $

发生的概率

${b_0} \leftarrow {\text{LW}}{{\text{E}}_{n,q,\chi }}$

，

${b_1} \leftarrow$

${\mathbb{Z}_q} $

，

${\text{negl}}(n)$

表示

$n$

的可忽略函数。

这一假设构成了本文所提出的内积加密方案的安全性基础，确保方案能够抵御量子计算的攻击。

1.3 汉明距离

汉明距离是衡量两个等长二进制向量之间差异的经典度量，在编码理论、密码学和生物特征识别中有着广泛应用^[26-27]。其核心定义为两个向量在相同位置上不同比特的数量。

定义8（汉明距离） 　设生物特征向量

${\boldsymbol{x}},{\boldsymbol{y}} \in {\{ 0,1\} ^k}$

，

$ {\boldsymbol{x}} $

和

$ {\boldsymbol{y}} $

之间的汉明距离定义为：

(4)

$ {\text{HD}}({\boldsymbol{x}},{\boldsymbol{y}}) = \frac{1}{k}\sum\limits_{i = 1}^k {\left\{ {\begin{aligned} &{1,}\;\;{{\text{if }}{x_i} \ne {y_i}} \\ &{0,}\;\;{{\text{if }}{x_i} = {y_i}} \end{aligned}} \right.} $

设

${n_{{\text{diff}}}}$

表示

${x_i} \ne {y_i}$

的数量，

${n_{{\text{same}}}}$

表示

$ {x_i} = {\text{ }}{y_i} $

的数量，

${n_{{\text{total}}}} = k$

为向量的长度。显然，

${n_{{\text{diff}}}} + {n_{{\text{same}}}} = {n_{{\text{total}}}}$

，根据定义，

${\text{HD}}({\boldsymbol{x}},{\boldsymbol{y}}) = \dfrac{{{n_{{\text{diff}}}}}}{{{n_{{\text{total}}}}}}$

。

在明文场景中，汉明距离可以通过按位异或和种群计数高效地计算。然而，对于加密数据，必须重新表述以支持基于内积的评估。

定义9（汉明距离的内积表示）　将

${\boldsymbol{x}},{\boldsymbol{y}} \in {\{ 0,1\} ^k}$

映射到

${\{ - 1,1\} ^k}$

，变换为

$ {x_i}' = 2{x_i} - 1 $

，

$ {y_i}' = 2{y_i} - 1 $

，则汉明距离可以重写为：

(5)

$ {\text{HD}}({\boldsymbol{x}},{\boldsymbol{y}}) = \frac{{{n_{{\text{total}}}} - \langle {\boldsymbol{x'}},{\boldsymbol{y'}}\rangle }}{{2{n_{{\text{total}}}}}} $

定理1 　对于任何

${\boldsymbol{x}},{\boldsymbol{y}} \in {\{ 0,1\} ^k}$

，定义8和定义9是等价的。

证明　考虑定义9中的内积。对于每个分量

$ i $

，如果

$ {x_i}' = {y_i}' $

，则两者都等于1或都等于−1，因此

$ {x_i}'{\text{ }}{y_i}' = 1 $

；如果

${x_i}' \ne {y_i}'$

，则一个是1，另一个是−1，因此

$ {x_i}'{\text{ }}{y_i}' = - 1 $

。

因此，内积变为

$ \langle {\boldsymbol{x}}',{\boldsymbol{y}}'\rangle = {n_{{\text{same}}}} - {n_{{\text{diff}}}} $

，代入公式得到：

(6)

$ {\text{HD}}({\boldsymbol{x}},{\boldsymbol{y}}) = \frac{{{n_{{\text{total}}}} - ({n_{{\text{same}}}} - {n_{{\text{diff}}}})}}{{2{n_{{\text{total}}}}}} = \frac{{{n_{{\text{diff}}}}}}{{{n_{{\text{total}}}}}} $

这与定义8中的定义一致。

2 基于LWE加密的函数隐藏内积加密方案

2.1 函数隐藏内积加密模型

FHIPE在保护数据隐私的同时支持密文内积运算，是构建隐私保护生物特征认证协议的核心组件。本节基于Kim等^[19]的工作，形式化定义FHIPE方案及其安全性。

（1）形式化定义

FHIPE方案由四元组算法

$ {\Pi _{{\text{IPE}}}} = ({\text{Setup,}}\;{\text{Keygen,}}\; {\text{Encrypt,}}\;{\text{Decrypt}}) $

构成，定义在

$n$

维向量空间

$\mathbb{Z}_q^n$

上。

${\text{IPE}}{\text{.Setup}}\left( {{1^\lambda }} \right) \to \left( {pp,msk} \right)$

：输入安全参数

$\lambda $

，输出公共参数

$pp$

和主密钥

$ msk $

。

${\text{IPE}}{\text{.Keygen}}\left( {msk,\;{\boldsymbol{x}}} \right) \to {\boldsymbol{s}}{{\boldsymbol{k}}_{\boldsymbol{x}}}$

：输入主密钥

$ msk $

和向量

${\boldsymbol{x}} \in {\mathbb{Z}^k}$

，输出内积密钥

${\boldsymbol{s}}{{\boldsymbol{k}}_{\boldsymbol{x}}}$

。

${\text{IPE}}{\text{.Encrypt}}\left( {msk,\;{\boldsymbol{y}}} \right) \to {\boldsymbol{c}}{{\boldsymbol{t}}_{\boldsymbol{y}}}$

：输入主密钥

$ msk $

和向量

${\boldsymbol{y}} \in {\mathbb{Z}^k}$

，输出密文

${\boldsymbol{c}}{{\boldsymbol{t}}_{\boldsymbol{y}}}$

。

${\text{IPE}}{\text{.Decrypt}}\left( {pp,{\boldsymbol{s}}{{\boldsymbol{k}}_{\boldsymbol{x}}},{\boldsymbol{c}}{{\boldsymbol{t}}_{\boldsymbol{y}}}} \right) \to v$

：输入公共参数

$ pp $

、内积密钥

${\boldsymbol{s}}{{\boldsymbol{k}}_{\boldsymbol{x}}}$

以及密文

${\boldsymbol{c}}{{\boldsymbol{t}}_{\boldsymbol{y}}}$

，解密算法输出内积

$v \in \mathbb{Z}$

。

（2）正确性定义

FHIPE方案须保证解密结果与明文内积一致，误差可以忽略。对于

$\forall {\boldsymbol{x}},\forall {\boldsymbol{y}} \in \mathbb{Z}_q^n$

，

$\forall \left( {msk,pp} \right) \leftarrow $

${\text{IPE}}.{\text{Setup}}({1^\lambda }) $

，FHIPE方案满足：

(7)

$ \begin{split} & \Pr \left[ {\left\langle {{\boldsymbol{x}},{\boldsymbol{y}}} \right\rangle = v|\begin{array}{*{20}{c}} {{\boldsymbol{s}}{{\boldsymbol{k}}_{\boldsymbol{x}}} \leftarrow {\text{IPE}}.{\text{Keygen}}\left( {msk,{\boldsymbol{x}}} \right)} \\ {{\boldsymbol{c}}{{\boldsymbol{t}}_{\boldsymbol{y}}} \leftarrow {\text{IPE}}{\text{.Encrypt}}\left( {msk,\;{\boldsymbol{y}}} \right)} \\ {v \leftarrow {\text{IPE}}{\text{.Decrypt}}\left( {pp,{\boldsymbol{s}}{{\boldsymbol{k}}_{\boldsymbol{x}}},{\boldsymbol{c}}{{\boldsymbol{t}}_{\boldsymbol{y}}}} \right)} \end{array}} \right]\geqslant \\& 1 - {\text{negl}}\left( \lambda \right)\end{split} $

其中，

$ \lambda $

代表安全参数，

${\text{negl}}(\lambda )$

是关于

$\lambda $

的可忽略函数。

2.2 方案构建

传统基于双线性配对的FHIPE方案虽然具有理论创新性，但其核心依赖的双线性配对运算和模指数操作带来了显著的效率瓶颈。具体而言，（1）双线性配对须在扩展有限域上执行复杂的模乘和模逆运算，计算复杂度随数据规模呈非线性增长；（2）密钥生成的模指数运算，如

$g_1^{\alpha \cdot \det ({\boldsymbol{B}})}$

和

$g_1^{\beta \cdot y \cdot {{\boldsymbol{B}}^*}}$

在指数较大时产生高昂的计算开销；（3）解密阶段须多次执行配对运算并验证计算结果关系，进一步延长了解密时间。这些限制使得传统方案难以满足生物特征认证等实时性要求较高的场景需求。

针对上述效率瓶颈，观察到生物特征向量的特殊性：其特征分量严格限制在

$\{ - 1,1\} $

范围内，且查询向量属于集合

${\left\{ { - 1,0,1} \right\}^k}$

。这种结构性特征为设计高效加密方案提供了契机，本文在LWE假设下构建一种新的FHIPE方案，称为LWE-FHIPE。

LWE-FHIPE方案由4个算法组成：Setup、Keygen、Encrypt和Decrypt，即

${\Pi _{{\text{FHIPE}}}} = ({\text{Setup}},{\text{Keygen}}, {\text{Encrypt}},{\text{Decrypt}})$

，具体构建方案如下。

${\text{Setup}}\left( {{1^\lambda }} \right) \to \left( {pp,msk} \right)$

。给定安全参数

$\lambda $

，选择一个缩放因子

$\varDelta $

（用于调整内积值的范围）和

${\mathbb{Z}_q}$

上的对称噪声分布

$\chi $

，使得对于所有

${\boldsymbol{x}} \in {\{ - 1,1\} ^k}$

和

${\boldsymbol{e}} \leftarrow {\chi ^k}$

，有

$|\langle {\boldsymbol{x}},{\boldsymbol{e}}\rangle | < \varDelta $

。设

$ q $

为满足

$q > 2k(\Delta + \left| \chi \right|)$

的素数模数，并根据LWE安全边界设置

$n$

。将公共参数定义为：

(8)

$ pp = (k,\chi ,\varDelta ,q,n) $

取样随机矩阵

${\boldsymbol{S}} \leftarrow \mathbb{Z}_q^{n \times k}$

并生成随机的满秩矩阵

${\boldsymbol{Q}} \leftarrow \mathbb{Z}_q^{k \times k}$

，然后计算其逆矩阵

$ {{\boldsymbol{Q}}^{{\boldsymbol{ - }}{\text{1}}}} $

。输出主密钥：

(9)

$ msk = (pp,{\boldsymbol{S}},{\boldsymbol{Q}},{{\boldsymbol{Q}}^{ - 1}}) $

$ \text{Keygen}\left(msk,\; \boldsymbol{x}\right)\to\boldsymbol{sk}\boldsymbol{\boldsymbol{\boldsymbol{_x}\boldsymbol{\boldsymbol{ }}}} $

。给定输入向量

${\boldsymbol{x}} \in {\{ - 1,1\} ^k}$

，计算密钥对：

$ {{\boldsymbol{K}}_1} = {\boldsymbol{Sx}} \in \mathbb{Z}_q^n,\; {{\boldsymbol{K}}_2} = {{\boldsymbol{Q}}^{{\boldsymbol{ - }}{\text{T}}}}{\boldsymbol{x}} \in \mathbb{Z}_q^k $

，输出：

(10)

$ {\boldsymbol{s}}{{\boldsymbol{k}}_{\boldsymbol{x}}} = \left( {{{\boldsymbol{K}}_1},{\text{ }}{{\boldsymbol{K}}_2}} \right) $

$ \text{Encrypt}\left(\text{msk},\; \boldsymbol{y}\right)\to\boldsymbol{ct_y} $

。给定生物特征

${\boldsymbol{y}} \in \{ - 1, 0,1\} ^k$

，采样随机向量

${\boldsymbol{a}} \leftarrow \mathbb{Z}_q^n$

和噪声向量

${\boldsymbol{e}} \leftarrow {\chi ^n}$

。计算：

$ {{\boldsymbol{C}}_1} = {\boldsymbol{a}} \in \mathbb{Z}_q^n,\; {{\boldsymbol{C}}_2} = {\boldsymbol{Q}}({{\boldsymbol{S}}^{\text{T}}}{\boldsymbol{a}} + {\boldsymbol{e}} + \Delta {\boldsymbol{y}}) \in \mathbb{Z}_q^k $

，输出密文：

(11)

$ {\boldsymbol{c}}{{\boldsymbol{t}}_{\boldsymbol{y}}} = \left( {{{\boldsymbol{C}}_1},{\text{ }}{{\boldsymbol{C}}_2}} \right) $

$ \text{Decrypt}\left(pp,\boldsymbol{sk_x},\boldsymbol{ct_y}\right)\to v $

。给定密文

$ \left( {{{\boldsymbol{C}}_1},{\text{ }}{{\boldsymbol{C}}_2}} \right) $

和密钥

$ \left( {{{\boldsymbol{K}}_1},{\text{ }}{{\boldsymbol{K}}_2}} \right) $

，计算：

(12)

$ {z_0} = \langle {{\boldsymbol{K}}_2},{{\boldsymbol{C}}_2}\rangle - \langle {{\boldsymbol{K}}_1},{{\boldsymbol{C}}_1}\rangle \in {\mathbb{Z}_q} $

使用中心提升技术从

$ {z_0} $

恢复有符号整数

$ z $

：

(13)

$ z = \left\{ \begin{aligned} &{{z_0} - q,}\;\qquad{{\text{if }}{z_0} \geqslant \dfrac{q}{2}} \\ &{{z_0},}\;\;\qquad\quad{{\text{otherwise}}}\end{aligned} \right. $

最后，恢复近似内积：

(14)

$ v = \left\lfloor {\frac{z}{\varDelta }} \right\rfloor = \left\lfloor {\frac{{\langle {{\boldsymbol{K}}_2},{{\boldsymbol{C}}_2}\rangle - \langle {{\boldsymbol{K}}_1},{{\boldsymbol{C}}_1}\rangle }}{\varDelta }} \right\rfloor \in \mathbb{Z} $

其中，

$ \left\lfloor \cdot \right\rfloor $

表示向零取整。

2.3 正确性证明

LWE-FHIPE方案的正确性要求解密算法能够准确恢复内积

$\langle {\boldsymbol{x}},{\boldsymbol{y}}\rangle $

，即对于所有有效生成的密钥

$ {\boldsymbol{s}}{{\boldsymbol{k}}_{\boldsymbol{x}}} $

和密文

$ {\boldsymbol{c}}{{\boldsymbol{t}}_{\boldsymbol{y}}} $

，满足

${\text{Decrypt}}(pp,{\boldsymbol{s}}{{\boldsymbol{k}}_{\boldsymbol{x}}},{\boldsymbol{c}}{{\boldsymbol{t}}_{\boldsymbol{y}}}) = \langle {\boldsymbol{x}},{\boldsymbol{y}}\rangle $

的概率极高。

定理2（LWE-FHIPE的正确性）　对于任意

${\boldsymbol{x}} \in {\{ - 1,1\} ^k}$

和

${\boldsymbol{y}} \in {\{ - 1,0,1\} ^k}$

，设

$ \boldsymbol{sk_x}\leftarrow\text{Keygen}(msk,\boldsymbol{x}) $

，则：

(15)

$ \begin{split} & \Pr \left[ {{\text{Decrypt}}(pp,{\boldsymbol{s}}{{\boldsymbol{k}}_{\boldsymbol{x}}},{\boldsymbol{c}}{{\boldsymbol{t}}_{\boldsymbol{y}}}) = \langle {\boldsymbol{x}},{\boldsymbol{y}}\rangle } \right] \geqslant \\& 1 - {\text{negl}}(\lambda ) \end{split} $

证明　展开解密计算：

(16)

$ \begin{split} {z_0}& = \langle {{\boldsymbol{K}}_2},{{\boldsymbol{C}}_2}\rangle - \langle {{\boldsymbol{K}}_1},{{\boldsymbol{C}}_1}\rangle= \\ & \langle {{\boldsymbol{Q}}^{ - {\text{T}}}}{\boldsymbol{x}},{\boldsymbol{Q}}({{\boldsymbol{S}}^{\text{T}}}{\boldsymbol{a}} + {\boldsymbol{e}} + \Delta {\boldsymbol{y}})\rangle - \langle {\boldsymbol{Sx}},{\boldsymbol{a}}\rangle= \\& {{\boldsymbol{x}}^{\text{T}}}{\boldsymbol{e}} + \Delta {{\boldsymbol{x}}^{\text{T}}}{\boldsymbol{y}} \in {\mathbb{Z}_q} \end{split} $

根据Setup算法的参数选择，

$|\langle {\boldsymbol{x}},{\boldsymbol{e}}\rangle | < \varDelta $

且

$\varDelta \langle {\boldsymbol{x}},{\boldsymbol{y}}\rangle $

是

$\varDelta $

的整数倍（因为

$\langle {\boldsymbol{x}},{\boldsymbol{y}}\rangle \in \{ - k, \cdots ,k\} $

），因此，

(17)

$ z = {z_0} = \langle {\boldsymbol{x}},{\boldsymbol{e}}\rangle + \varDelta \langle {\boldsymbol{x}},{\boldsymbol{y}}\rangle $

其中，

$z$

是通过中心提升技术得到的有符号整数。由于

$|\langle {\boldsymbol{x}},{\boldsymbol{e}}\rangle | < \varDelta $

，有：

(18)

$ \varDelta (\langle {\boldsymbol{x}},{\boldsymbol{y}}\rangle - 1) < z < \varDelta (\langle {\boldsymbol{x}},{\boldsymbol{y}}\rangle + 1) $

向零取整后，得到：

(19)

$ \left\lfloor {\frac{z}{\varDelta }} \right\rfloor = \langle {\boldsymbol{x}},{\boldsymbol{y}}\rangle $

从而完成正确性证明。

2.4 安全性证明

LWE-FHIPE方案的安全性基于决策LWE问题的困难性，满足选择明文攻击下的函数隐藏安全性（Function-Hiding under Chosen-Plaintext Attack，FH-CPA）。直观而言，攻击者无法区分加密的两个不同向量

$ {{\boldsymbol{y}}_{\boldsymbol{0}}} $

$ {{\boldsymbol{y}}_{\boldsymbol{1}}} $

，也无法从密钥或密文中获取关于输入向量

${\boldsymbol{x}}$

${\boldsymbol{y}}$

的额外信息，仅能通过解密学习内积结果。

定义10（FH-CPA安全性）　一个内积加密方案

${\Pi _{{\text{FHIPE}}}}$

是FH-CPA安全的，如果对于所有PPT攻击者

${\mathcal{A}}$

，存在可忽略函数

${\text{negl}}(\lambda )$

，使得：

(20)

$ \begin{split} & \left| \Pr \left[ {{{\mathcal{A}}^{{{\mathcal{O}}_e},{{\mathcal{O}}_k}}}(pp) = 1|b = 0} \right] - \Pr \left[ {{{\mathcal{A}}^{{{\mathcal{O}}_e},{{\mathcal{O}}_k}}}(pp) = 1|b = 1} \right] \right| \\& \leqslant {\text{negl}}(\lambda )\\[-5pt]\end{split} $

其中，

$ {{\mathcal{O}}_e}({\boldsymbol{y}}) $

${\text{Encrypt}}(msk,{\boldsymbol{y}})$

，

${{\mathcal{O}}_k}({\boldsymbol{x}})$

${\text{Keygen}} (msk,{\boldsymbol{x}})$

，且攻击者不能查询

${{\mathcal{O}}_e}({{\boldsymbol{y}}_b})$

和

$ {{\mathcal{O}}_k}({\boldsymbol{x}}) $

使得

$ \langle {\boldsymbol{x}},{{\boldsymbol{y}}_0}\rangle \ne \langle {\boldsymbol{x}},{{\boldsymbol{y}}_1}\rangle $

（避免通过解密区分）。

定理3（LWE-FHIPE的FH-CPA安全性）　如果决策性LWE问题在

$ \mathbb{Z}_q^n \times \mathbb{Z}_q^n $

上是困难的，则LWE-FHIPE方案是FH-CPA安全的。

证明　采用混合论证，通过一系列游戏

${\text{Gam}}{{\text{e}}_0}, \cdots ,{\text{Gam}}{{\text{e}}_3}$

逐步将真实加密分布转换为随机分布，证明攻击者无法区分相邻游戏。

$ {\text{Gam}}{{\text{e}}_{\text{0}}} $

：真实世界中的方案。密文

${{\boldsymbol{C}}_2} = {\boldsymbol{Q}}({{\boldsymbol{S}}^{\text{T}}}{\boldsymbol{a}} + {\boldsymbol{e}} + \varDelta {\boldsymbol{y}})$

，其中

${\boldsymbol{e}} \leftarrow {\chi ^n}$

。

$ {\text{Gam}}{{\text{e}}_{\text{1}}} $

：将噪声

${\boldsymbol{e}}$

替换为均匀随机向量

${\boldsymbol{u}} \leftarrow \mathbb{Z}_q^n$

。由于

$\chi $

与均匀分布在计算上不可区分（由LWE假设），攻击者区分

$ {\text{Gam}}{{\text{e}}_{\text{0}}} $

和

$ {\text{Gam}}{{\text{e}}_{\text{1}}} $

的优势可以忽略。

$ {\text{Gam}}{{\text{e}}_2} $

：移除

$\varDelta {\boldsymbol{y}}$

项，密文变为

${{\boldsymbol{C}}_2} = {\boldsymbol{Q}}({{\boldsymbol{S}}^{\mathrm{T}}}{\boldsymbol{a}} + {\boldsymbol{u}})$

。由于

$ {{\boldsymbol{y}}_0} $

和

$ {{\boldsymbol{y}}_1} $

满足对所有查询的

$ {\boldsymbol{x}} $

有

$ \langle {\boldsymbol{x}},{{\boldsymbol{y}}_0}\rangle = \langle {\boldsymbol{x}},{{\boldsymbol{y}}_1}\rangle $

，则

$ \varDelta \langle {\boldsymbol{x}},{{\boldsymbol{y}}_0}\rangle = \varDelta \langle {\boldsymbol{x}},{{\boldsymbol{y}}_1}\rangle $

，解密结果不变，攻击者无法区分。

$ {\text{Gam}}{{\text{e}}_{\text{3}}} $

：将

$ {{\boldsymbol{S}}^{\mathrm{T}}}{\boldsymbol{a}} + {\boldsymbol{u}} $

替换为均匀随机向量

${\boldsymbol{v}} \leftarrow \mathbb{Z}_q^n$

。由于

${\boldsymbol{S}}$

是随机矩阵，

${{\boldsymbol{S}}^{\mathrm{T}}}{\boldsymbol{a}} + {\boldsymbol{u}}$

在

$\mathbb{Z}_q^n$

上均匀分布，与

${\boldsymbol{v}}$

不可区分。

在

$ {\text{Gam}}{{\text{e}}_{\text{3}}} $

中，密文

$ {{\boldsymbol{C}}_1} $

和

$ {{\boldsymbol{C}}_2} $

均为均匀随机，与

$ {\boldsymbol{y}} $

无关，因此攻击者无法区分

$ {{\boldsymbol{y}}_{\boldsymbol{0}}} $

和

$ {{\boldsymbol{y}}_{\boldsymbol{1}}} $

。通过传递性，攻击者在真实方案中的优势可以忽略，从而证明FH-CPA的安全性。

对于函数隐藏性，假设存在PPT攻击者能从密钥

$ {\boldsymbol{s}}{{\boldsymbol{k}}_{\boldsymbol{x}}} $

中提取关于

${\boldsymbol{x}}$

的信息。由于

$ {{\boldsymbol{K}}_1} = {\boldsymbol{Sx}} $

且

$ {\boldsymbol{S}} $

是随机矩阵，因此

$ {{\boldsymbol{K}}_1} $

在

$\mathbb{Z}_q^n$

上均匀分布（与

$ {\boldsymbol{x}} $

无关）。对于

$ {{\boldsymbol{K}}_2} = {{\boldsymbol{Q}}^{ - {\text{T}}}}{\boldsymbol{x}} $

，由于

$ {\boldsymbol{Q}} $

是随机可逆矩阵，

${{\boldsymbol{Q}}^{{\boldsymbol{ - }}{\text{T}}}}$

也是随机可逆矩阵，因此

$ {{\boldsymbol{K}}_2} $

与

$ {\boldsymbol{x}} $

在计算上不可区分（本质上是随机线性变换）。综上，方案满足函数隐藏性。

3 基于LWE加密的链上隐私保护生物特征认证协议

3.1 系统架构

本文构建了一个基于LWE加密的分布式隐私保护生物特征认证方案，系统架构如图1所示。方案由用户

${\mathcal{U}}$

、认证终端

${\mathcal{T}}$

、区块链合约

${\mathcal{B}\mathcal{C}}$

三类实体组成。

显示原图|下载原图ZIP|生成PPT

图 1 系统架构

Fig.1 System architecture

用户持有生物特征及多因子认证凭据（如口令、设备私钥），用于身份验证。认证终端部署可信执行环境（Trusted Execution Environment，TEE）与硬件安全模块（Hardware Security Module，HSM），执行加密运算、签名生成及本地特征模板管理。区块链合约由多个节点构成，通过共识机制维护分布式账本，存储加密认证数据与事务记录，提供防篡改能力。链上自动执行认证流程包括密文匹配、阈值判断及结果上链，用于实现认证的自动化与可追溯性。

方案设计满足以下原则。

（1）生物特征隐私性：通过内积加密实现特征向量的密文匹配；（2）去中心化审计：利用区块链智能合约实现防篡改的认证裁决。

设生物特征向量空间为

$ {\mathcal{V}} = {\left\{ { - 1,1} \right\}^k} $

，

${\mathcal{T}}$

为可信执行环境，可采集

${\mathcal{U}}$

的生物特征，

${\mathcal{B}\mathcal{C}}$

支持智能合约的确定性执行与事件日志的不可篡改，攻击者

${\mathcal{A}}$

无法获取

${\mathcal{T}}$

的私钥或破坏内积加密的语义安全。区块链层部署智能合约以实现生物特征密文存储与相似度计算，利用Merkle树结构存储不可篡改的审计日志，满足全流程追溯需求。认证终端集成硬件安全模块，通过多因子验证接口同步校验物理凭证（如工卡）、知识凭证（密码）与生物特征，并采用LWE-FHIPE算法对采集的生物特征进行实时加密，生成形式化密文数据。用户端通过安全通道提交加密生物特征至区块链网络，触发智能合约执行相似度计算。

3.2 协议设计

基于LWE假设的链上隐私保护生物特征认证协议的核心流程分为初始化、注册与认证三个阶段。

（1）初始化阶段。初始化阶段与用户无关，生物特征认证系统的搭建者需要首先选定一些系统共用的参数，包括安全参数

$\lambda $

、向量长度

$k$

、相似度阈值

$\tau $

。此外，为了简化链上认证合约的实现，执行一次初始化算法

${\text{Setup}}({1^\lambda }) \to \;(pp,msk)$

，选择好所有用户共用的公共参数

$pp$

。这样链上的认证合约就可以使用同样的代码处理任意用户的认证请求，无须再读取公共参数

$pp$

以进行认证匹配，并以广播的形式传输

$pp$

。由于要求仅有可信的认证终端可以向链上提交生物特征完成认证，因此链上部署的认证合约还应该维护一个可信终端的公钥列表

${\mathcal{P}\mathcal{K}} \leftarrow $

$ \{ p{k_1},\cdots,p{k_n}\} $

，以便在接收到认证请求时通过公钥验证该请求的签名，确保提交的认证信息来自真实可信的认证终端且没有被攻击者恶意篡改。

（2）注册阶段。如果一个用户尚未录入生物特征，其第一次尝试进行生物特征认证时会被认证终端要求录入用户生物特征，或者在用户加入组织或企业的时候，通过其他方式确认身份后直接在指定的注册设备上向认证系统录入生物特征，进入注册阶段。

认证终端首先会要求用户设置一个密码，并可以选择将工卡、校园卡、在线快速身份认证（Fast IDentity Online，FIDO）等设备作为额外的认证因子实现双因子认证。认证终端收集到全部的认证因子

${\text{aut}}{{\text{h}}_i}$

后，通过带有密钥的基于哈希的消息认证码（Hash-based Message Authentication Code，HMAC）算法计算

$ id\boldsymbol{_{\boldsymbol{auth}}}\leftarrow HMAC\left(\boldsymbol{auth}\right) $

作为

${\boldsymbol{auth}}$

的标识符，用于在认证阶段检测用户是否输入了错误的认证因子信息。

随后认证终端会要求用户在生物特征传感器上采集自己的生物特征，从传感器得到生物特征向量

${{\boldsymbol{x}}_0} \in {\left\{ { - 1,1} \right\}^k}$

。认证终端使用先前生成的

$msk$

调用隐藏函数内积加密方案的内积密钥生成算法

$ {\text{Keygen}} $

，获得内积密钥

$ {\boldsymbol{sk}} \leftarrow {\text{Keygen}}(msk,{{\boldsymbol{x}}_0}) $

。

最后认证终端将

$ id\boldsymbol{_{auth}} $

、

${\boldsymbol{sk}}$

和对应的签名

$sig$

上传到区块链。区块链上的认证合约接收到上传的

$ id\boldsymbol{_{auth}} $

、

${\boldsymbol{sk}}$

以及

$sig$

后，首先验证通过签名计算出的对应公钥并确保这一公钥在认证系统信任的认证终端公钥列表中，否则直接退出并报错。

区块链上的合约在确保签名有效后，将

$ id\boldsymbol{_{auth}} $

、

$ {\boldsymbol{sk}} $

储存在链上，以便在后续认证阶段使用。

（3）认证阶段。协议的详细认证流程如图2所示，当用户尝试访问需要生物特征认证的资源时，认证终端将主动触发认证流程，认证终端检测到未认证的用户请求后进入认证阶段。受保护的资源可以是在线应用，也可以是门禁系统等简单的授权系统。

显示原图|下载原图ZIP|生成PPT

图 2 认证协议流程

Fig.2 Authentication protocol process

认证终端发现尚未认证的用户尝试访问时，生成一个服务随机值

$ identifier $

以及目标服务名称

$service$

并且暂存这两个值，以便在后续提交生物特征时指定授权的session。

认证终端会要求用户输入在特征录入阶段设置的密码，并使用在特征录入阶段绑定的设备（如工卡、校园卡、FIDO等）来完成双因子认证。认证终端收集到全部的认证因子

$aut{h_i}$

后，将

${\boldsymbol{auth}} = (aut{h_0}, aut{h_1}, \cdots )$

通过带有密钥的HMAC算法计算

$ id'_{\boldsymbol{auth}}\leftarrow \mathrm{HMAC}\left(\boldsymbol{auth}\right) $

，并判断与链上存储的

$ id\boldsymbol{_{auth}} $

是否一致。在全部认证因子

$aut{h_i}$

都完全一致的情况下应该有

$ id'{_{\boldsymbol{auth}}^{ }}=id{_{\boldsymbol{auth}}} $

。如果该密钥标识符不相等，那么意味着用户可能输入了错误的密码，或者提供了错误的卡片用于多因子认证，须要求用户重新提供正确的认证因子信息。

在确认认证因子

${\boldsymbol{auth}}$

的标识符相同的情况下，可以认为此次获得的

${\boldsymbol{auth}}$

与特征录入阶段是完全一致的。

随后认证终端会要求用户在生物特征传感器上采集自己的生物特征，从传感器上得到生物特征向量

${{\boldsymbol{y}}_i} \in {\left\{ { - 1,1} \right\}^k}$

。认证终端以先前复原的主密钥

$msk$

调用加密算法获得密文

$ {\boldsymbol{ct}} \leftarrow {\text{Encrypt}}(msk,{{\boldsymbol{y}}_i}) $

。

最后认证终端将

$ {\boldsymbol{ct}} $

、

$ identifier $

、

$service$

以及对应的签名

$sig$

上传到区块链。然后监听区块链认证合约产生的认证事件，以设置用户的认证状态。

区块链上的认证合约接收到上传的

$ {\boldsymbol{ct}} $

、

$ identifier $

、

$service$

以及对应的签名

$sig$

后，首先验证通过签名计算出的对应公钥并确保这一公钥在认证系统信任的认证终端公钥列表中，否则直接退出并报错。

区块链上的合约在验证签名有效后，随后调用隐藏函数内积加密算法的解密算法获得

$v \leftarrow {\text{Decrypt}} $

$ ({\boldsymbol{sk}},{\boldsymbol{ct}})$

，最后计算

$ d = \dfrac{{{n_{{\text{total}}}} - v}}{{2{n_{{\text{total}}}}}} $

，即得到汉明距离。

认证合约根据

$d$

是否在允许认证通过的相似度阈值

$\tau $

区间内来决定返回的结果。当在有效区间内，认证合约产生认证成功事件

${\text{AuthSuccess}}(service,identifier)$

；当在无效区间内，产生认证失败事件

${\text{AuthFailure}}(service, identifier)$

。关注认证结果的认证终端便可以根据产生的事件决定下一步操作，从而设置用户的认证状态。

由于区块链上所有的传入参数都会被永久记录，因此区块链会自动存储本次认证使用的生物特征密文

$ {\boldsymbol{ct}} $

、

$ identifier $

、

$service$

，也会自动存储在合约中计算得到的相似度，合约无须主动存储上述信息。

3.3 威胁模型

系统包括用户、认证终端、区块链网络三类实体，其中区块链节点通过共识机制保证账本的抗篡改性，认证终端部署TEE与HSM以保护密钥与会话数据的安全。假设区块链共识层在容错范围内安全，LWE-FHIPE算法在所选安全参数下满足语义安全与函数隐藏性，那么TEE与HSM在未被物理攻破前可信。

攻击者

${\mathcal{A}}$

，可完全控制公共信道，对传输消息进行窃听、拦截、篡改、删除和注入^[28-29]；可离线枚举有限的身份与低熵口令空间，实施字典攻击；可获取历史会话密钥或长期私钥，发起已知密钥攻击和前向安全性测试；可通过物理捕获和侧信道攻击获取认证终端或用户设备内的部分敏感数据；可在多因子认证场景下，破坏

$ n - 1 $

个认证因素，但无法同时破坏全部因素；可实施智能卡丢失攻击、重放与并行会话攻击、去同步化攻击，以及针对区块链的链上模式分析攻击。在量子攻击模型^[30]下，假设攻击者拥有可运行Shor算法和Grover算法的大规模量子计算能力，能够破解基于整数分解、离散对数问题的传统公钥体制，并降低对称密钥及哈希函数的穷举复杂度，同时可能尝试对格密码协议实施信号泄露攻击和密钥不匹配攻击。

在此威胁模型下，方案须实现以下安全目标：（1）保证身份认证性，防御冒充、反射及并行会话等主动攻击；（2）确保隐私保护，使攻击者无法恢复原始生物特征；（3）满足前向与后向安全性，长期密钥泄露不影响历史或未来会话的安全；（4）具备多因子鲁棒性，即便破坏

$ n - 1 $

个因素仍无法认证成功；（5）抵御重放与去同步化攻击，保证协议状态的一致性；（6）实现抗量子安全性，在Shor和Grover等算法的威胁下仍保持安全；（7）借助区块链的不可篡改账本实现可追溯与不可否认性。

3.4 正确性分析

在威胁模型的假设下，所提协议的准确性高度依赖LWE-FHIPE加密方案的解密等效性。该特性确保智能合约通过加密数据计算的结果与直接处理明文生物特征的结果一致。协议首先调用隐藏函数内积加密算法的解密算法获得解密结果

$ v $

，该结果实质上是注册特征

$ {\boldsymbol{x}} $

与认证特征

$ {\boldsymbol{y}} $

的内积值叠加可控噪声。噪声幅度被严格限制一定范围内，确保

$ v $

与真实内积的偏差可以忽略。随后通过公式计算汉明距离

$ d $

，

$ d $

的数学本质是直接反映两生物特征向量的差异比特的比例。分子项表示特征不匹配的比特数量，分母通过归一化处理将

$ d $

映射到标准相似度区间。合约根据

$ d $

是否小于相似度阈值

$ \tau $

来决定认证结果，这种决策逻辑具有明文等效性，因噪声控制在一定范围内，决策条件等效于使用生物特征明文计算的汉明距离并与阈值比较的结果，该性质由LWE-FHIPE方案的正确性定理严格保证。在工程实现方面，所有输入参数包括加密特征、随机数及计算结果

$ d $

都通过区块链永久存储，确保操作的可审计性，同时加密阶段采用特定高斯噪声分布，其参数经理论推导可以控制误差。整个协议通过解密等效性，确保加密环境下的认证准确率与明文处理持平，满足生物特征认证系统的精度要求。区块链的不可篡改存储机制为整个过程提供了额外保障，防止结果被恶意篡改。

3.5 安全性分析

（1）身份认证性。针对威胁模型中攻击者可以控制公共信道并发起冒充、反射、并行会话等主动攻击的情形，协议在认证交互中引入基于区块链智能合约的挑战-响应机制，将一次性

$ identifier $

、

$service$

、

$ sig $

与临时公钥绑定到认证消息中。攻击者若要伪造有效响应，必须同时掌握合法用户的私钥及全部认证因素，或破解LWE-FHIPE密文。由于LWE假设在所选参数下对经典与量子计算均难解，且合约会验证签名与链上状态的一致性，因此可以有效防御上述主动攻击，并防止消息被篡改或伪造。

（2）隐私保护性。协议中上传到区块链的仅为LWE-FHIPE的密文输出，该算法满足选择明文攻击下的函数隐藏安全性，攻击者无法通过密文恢复原始生物特征或推断相似度信息。链上仅存储事务哈希与必要索引，避免直接暴露模板数据；匹配计算在可信环境TEE、HSM与合约内完成，仅返回布尔判定结果，从源头上降低隐私泄露的风险。

（3）前向与后向安全性。考虑威胁模型中长期密钥或历史会话密钥泄露的情形，协议在每次会话中均引入新的随机噪声向量与临时密钥，并通过密钥派生函数生成一次性会话密钥。因此，长期密钥泄露不影响既往会话（前向安全性），历史密钥泄露也无法推导出未来会话（后向安全性）。

（4）多因子鲁棒性。在多因子认证设计中，协议将生物特征、用户口令与设备私钥绑定，形成

$ n $

因素联合验证。即便攻击者在威胁模型中破坏

$ n - 1 $

个因素，仍无法生成经LWE-FHIPE匹配验证的合法密文，从而保持多因子认证的鲁棒性。

（5）防重放与去同步化攻击。在每次认证匹配阶段上传的参数中均引入

$identifier$

和

$service$

，只有符合认证终端预期的请求才能通过验证，从而防御重放攻击。协议还利用链上记录的

$sig$

与随机挑战绑定的方式，确保客户端与链上合约状态一致，防止攻击者通过篡改或延迟消息导致的去同步化攻击。

（6）可追溯与不可否认性。区块链账本的分布式共识机制确保认证事务一旦上链即不可篡改。通过链上记录的事务哈希及相关公钥验证过程，可以在发生争议时追溯认证过程，确认各方行为，满足不可否认性与可追溯性要求。

3.6 后量子安全性分析

在威胁模型下，方案的抗量子安全性建立在LWE及函数隐藏内积加密之上。一方面，量子计算对传统RSA、ECC的致命威胁源于Shor算法，必须转向具备后量子基础的格密码；另一方面，Regev的结果给出从最坏情况格问题到（决策/搜索）LWE的量子归约，使基于LWE的构造在量子环境下仍具坚实的困难性。在系统层面，方案采用区块链智能合约承载“密文内积→阈值裁决”的认证逻辑，认证终端在TEE、HSM中完成特征采集与加密，上链仅存储LWE-FHIPE密文与必要元数据；合约侧在验证终端签名与可信名册后，调用解密/内积模块，得到相似度并据阈值判定，通过共识机制与不可篡改存储保证可审计性与可追溯性，同时函数隐藏性质确保链上的公开信息不泄露模板结构与明文特征。针对量子算法，方案本身不依赖整数分解或离散对数，因而不受Shor攻击影响；对Grover的平方加速，通过将对称密钥与哈希长度提升至256 bits抵消其优势，并在威胁模型中显式纳入量子能力假设以统一评测口径。针对格系协议在工程上易受的“密钥复用家族”攻击（如signal-leakage、key-mismatch），协议在每次会话中重新采样噪声并刷新临时密钥材料，避免复用导致的统计可区分性与侧信息泄露。同时，采用派生一次性会话密钥，结合多因子绑定与链上状态一致性校验，保证长期密钥或历史会话密钥的泄露不扩散到既往或未来会话，从而实现前向/后向安全并压制在线枚举到系统可接受的极限。因此，凭借LWE的量子归约困难性、合约侧的阈值裁决与不可篡改审计以及会话级随机化与参数更新等机制，方案能够抵抗量子对手的攻击，同时满足机密性、实体认证性与可审计性目标，达到预期的后量子安全强度。

4 实验及结果分析

4.1 计算开销

为了系统地评估算法效率，本文从初始化（Setup）、密钥生成（KeyGen）、加密（Encrypt）及解密（Decrypt）4个阶段，对比分析以下内积加密方案的计算开销。

Pairing-FHIPE：基于双线性配对的内积加密方案^[19]。

LWE-FHIPE：本文提出的基于LWE的函数隐藏内积加密方案。

设生物特征向量长度为

$k$

，安全参数为

$n$

，定义运算符号如下：

$ {A_\mathbb{Z}} $

为整数加法运算时间，

$Mu{l_\mathbb{Z}}$

为整数乘法运算时间，

$Ex{p_{\mathcal{G}}}$

表示群模指数运算时间，

$Pai{r_{\mathcal{G}}}$

为双线性配对运算时间。计算开销的分析结果如表1所示。

表 1 不同方案的计算开销比较

Table 1 Comparison of the computational cost of different scenarios

方案	阶段	计算复杂度	运算时间
Pairing-FHIPE	Setup	$O({k^3})$	$(2{k^3} + {k^2})Mu{l_\mathbb{Z}} + 2{k^3}{A_\mathbb{Z}}$
	Keygen	$O({k^2})$	$(k + 1)Ex{p_{\mathcal{G}}} + ({k^2} + k)Mu{l_\mathbb{Z}} + k(k - 1){A_\mathbb{Z}}$
	Encrypt	$O({k^2})$	$(k + 1)Ex{p_{\mathcal{G}}} + ({k^2} + k)Mu{l_\mathbb{Z}} + k(k - 1){A_\mathbb{Z}}$
	Decrypt	$ {\text{O(\|S\|)}} $	$2Pai{r_{\mathcal{G}}} + \|S\|Ex{p_{\mathcal{G}}}$
LWE-FHIPE	Setup	$O({k^3})$	${k^3}Mu{l_\mathbb{Z}} + {k^3}{A_\mathbb{Z}}$
	Keygen	$O(nk + {k^2})$	$(nk + {k^2})Mu{l_\mathbb{Z}} + (n(k - 1) + k(k - 1)){A_\mathbb{Z}}$
	Encrypt	$O(nk + {k^2})$	$(nk + {k^2})Mu{l_\mathbb{Z}} + (nk + {k^2}){A_\mathbb{Z}}$
	Decrypt	$ O\left( {n{\text{ }} + {\text{ }}k} \right) $	$(n + k)Mu{l_\mathbb{Z}} + (n + k - 1){A_\mathbb{Z}}$

LWE-FHIPE方案中的

$n$

是安全性相关参数，可以认为是一个常数，配对方案中

$|S|$

是内积可能值的数量，要求为

$k$

的多项式级别。Pairing-FHIPE在初始化、密钥生成和加密阶段受限于双线性群运算的配对和模指数运算，实际执行效率较低，尤其在大规模生物特征（

$k$

较大）时性能显著下降。LWE-FHIPE方案在解密阶段完全避免配对和遍历操作，仅需线性内积计算，复杂度为

$O(n + k)$

，远优于Pairing-FHIPE的

$O(|S|)$

。整体而言，LWE-FHIPE在理论复杂度和实际执行效率上均表现最优，兼顾抗量子安全与高性能，尤其适合去中心化、高并发的生物特征认证场景，而Pairing-FHIPE仅适用于小规模、低安全需求的场景。

4.2 通信与存储开销

对上述方案的通信和存储开销进行分析，生物特征向量的维度

$ k $

=1 024，占4 B。Pairing-FHIPE：Pairing参数设置为256 bits椭圆曲线，群元素

$|{\mathbb{G}_1}|$

=32 B、

$|{\mathbb{G}_2}|$

=64 B、

$|{\mathbb{G}_T}|$

=384 B，汉明空间基数是

$|S| = 2k + 1$

=2 049，占8 196 B。映射参数

$e$

忽略不计。

LWE-FHIPE的模数

$q$

=2³²-5，每个元素占4 B，安全参数

$\lambda $

=256、

$n$

=2 048，传输和存储的大小为4 B，

$|\chi |$

为5 B，

$|\varDelta |$

为4 B，身份标识符

$ id\boldsymbol{\boldsymbol{\boldsymbol{\mathbf{_{auth}}}}} $

为32 B（HMAC-SHA-256），其他参数忽略不计。

用户数量设为

$m$

，通信开销和存储开销如表2所示，由于双线性群元素的数据大小较大，Pairing-FHIPE方案的存储和通信开销较高，LWE-FHIPE方案仅涉及有限域

$ {\mathbb{Z}_q} $

中的元素存储，且

$|{\mathbb{Z}_q}|$

通常远小于双线性群元素的存储大小，因此存储开销和通信开销显著低于Pairing-FHIPE方案。另外，Pairing-FHIPE方案的通信开销随着安全参数

$k$

的增加显著增加，这对于需要在资源受限的环境中进行通信的应用场景来说，是一个显著的不足。与之相比，LWE-FHIPE的通信开销与安全参数

$k$

的关系较为线性，且不涉及额外的群元素，这使得其在处理大规模数据时更加高效，使得通信更加轻量化。

表 2 两种方案的存储和通信开销

Table 2 Storage and communication overhead of the two schemes

方案	通信开销			存储开销
方案	初始化	注册	认证	终端	区块链
Pairing-FHIPE	8.48 KB	36.06 KB	68.06 KB	8.01 MB	96.00 m+8.48 KB
LWE-FHIPE	0.39 KB	12.03 KB	12.12 KB	12.00 MB	24.00 m+0.39 KB

4.3 实验设置

将本文提出的LWE-FHIPE方案与已有方案Pairing-FHIPE进行对比，在虹膜生物认证中进行实验，设定两个方案保持相同的安全强度，并根据安全强度为其选择最适合的方案参数。在特征采集模块采集用户的虹膜特征，该模块主要运用红外摄像头拍摄用户的虹膜，并编写了一个专用的虹膜特征向量提取程序。特征提取程序旨在从输入的原始虹膜图像中分割出虹膜区域，从虹膜区域中提取生物特征并转化为特征向量。本文所用的虹膜特征提取工具参考了Othman等^[31]在开源虹膜识别软件Osiris中使用的部分技术。

对于LWE-FHIPE方案，本文使用Albrecht等编写的lattice-estimator工具^[32]来评估LWE参数的安全性，其为业界公认的格上困难性问题参数安全强度评估工具。具体而言，选用模数

$q = 4\;294\;967\;291$

、LWE实例维度

$n = 8*\left| \lambda \right|$

、秘密向量分布

${\chi _s} = U({\mathbb{Z}_q})$

，噪声干扰分布

${\chi _e} = {\text{CBD}}(256)$

。其中模数

$q$

为小于

${2^{32}}$

的最大素数，秘密向量分布

${\chi _s}$

为模

$q$

中的均匀分布，噪声干扰分布

${\chi _e}$

为中心二项分布。中心二项分布中的随机取样满足

${\text{CBD}}\left( \eta \right) = \displaystyle\sum\limits_{i = 1}^\eta {\left( {{x_i} - {y_i}} \right)} $

，

${x_i},{y_i} \leftarrow \{ 0,1\} $

，从公式也可以看出其取值范围是

$ \left[ { - \eta ,\eta } \right] $

，但其有较高的概率取值接近0。

对于Pairing-FHIPE方案，在实验中选用PBC^[33]中配对最快的A类配对友好的椭圆曲线。椭圆曲线的安全性是基于离散对数的，根据NISTSP 800-57 Part 1^[34]对于离散对数相关的安全要求选择对应安全强度的曲线参数。在实验中使用的曲线参数便是根据上述定义随机生成的。

为了精确地评估两个方案的时间消耗情况，所有实验都是在Ubuntu 22.04虚拟机上进行的，为测试用的虚拟机分配Intel Core i7-6700HQ CPU@2.60 GHz 处理器的4个核心以及4 GB内存。

4.4 实验结果

在实验中，LWE-FHIPE方案的实现代码是使用C#编写的。每个算法都重复调用1 000次，取平均值作为最终结果，并且每次调用采用随机的向量以避免编译器优化。Pairing-FHIPE方案的实现代码是使用C语言调用GNU多精度算术库（GNU Multiple Precision Arithmetic Library，GMP）以及配对密码学库（Pairing-Based Cryptography Library，PBC）编写的。由于这一方案耗时较高，因此在实验中每个算法仅调用10次，并对耗时取平均值作为最终结果。

为了评估提出方案的计算效率，本文统计了方案在不同向量长度及安全强度下各个阶段的运行时间，结果如图3所示。可以看出，本文构建的LWE-FHIPE方案比基于配对的Pairing-FHIPE方案有了极大提升，所有算法的运行时间都大幅减少。

显示原图|下载原图ZIP|生成PPT

图 3 不同向量下FHIPE方案中每种算法的运行时间和安全级别对比

Fig.3 Comparison of the running time and security levels of each algorithm in FHIPE schemes under different vectors

本文还将这些FHIPE方案的密文长度与完全不加密的明文向量长度进行对比，结果如图4所示。可以看出，LWE-FHIPE方案的密文长度相比于明文有了大幅增加，然而却仍远低于Pairing-FHIPE方案的密文长度。

显示原图|下载原图ZIP|生成PPT

图 4 各方案明文/密文长度对比

Fig.4 Comparison of plaintext and ciphertext lengths in each scheme

接着，本文将应用LWE-FHIPE方案的生物特征认证协议与前人提出的基于配对的生物特征认证协议进行对比。从图5中可以看出，设计的隐私保护生物特征认证协议LWE-FHIPE各阶段的运行时间，相比于未加密的明文匹配方案Plain没有额外增加，相比于基于配对的Pairing-FHIPE协议有了大幅提升。

显示原图|下载原图ZIP|生成PPT

图 5 不同向量长度和安全级别下各协议阶段的执行时间

Fig.5 Execution time of each protocol phase under varying vector lengths and security levels

5 结束语

在数字化身份认证领域，传统的集中式生物特征系统长期面临隐私泄露、计算开销高以及量子计算攻击的威胁。针对这些问题，本文提出了一种基于区块链技术与格密码学相结合的分布式隐私保护框架，有效地克服了中心化存储架构中的单点故障问题，同时实现了隐私保护和计算效率的提升，为去中心化环境下的身份认证提供了一种抗量子攻击的安全高效新方案。未来工作中，将进一步优化系统初始化阶段的矩阵运算效率，并探索减少认证过程中的噪声干扰，以提高系统的整体性能和识别准确率。本文研究成果在金融服务、医疗保健和其他敏感领域具有广阔的应用前景，能够有效支撑安全可靠的数字身份管理。

References

Publishing order | Descend order by publishing year | Descend order by cited within

1	NAOR M, PINKAS B. Visual authentication and identification[C]//Annual International Cryptology Conference. Berlin, Heidelberg: Springer, 1997: 322-336.

2	BLUE J, CONDELL J, LUNNEY T. A review of identity, identification and authentication[J]. International Journal for Information Security Research, 2018, 8 (2): 794- 804. DOI

3	BANERJEE S P, WOODARD D L. Biometric authentication and identification using keystroke dynamics: A survey[J]. Journal of Pattern Recognition Research, 2012, 7 (1): 116- 139. DOI

4	JAIN A K, NANDAKUMAR K, ROSS A. 50 years of biometric research: Accomplishments, challenges, and opportunities[J]. Pattern Recognition Letters, 2016, 79, 80- 105. DOI

5	BHATTACHARYYA D, RANJAN R, ALISHEROV F, et al. Biometric authentication: A review[J]. International Journal of u- and e- Service, Science and Technology, 2009, 2 (3): 13- 28.

6	ALRAWILI R, ALQAHTANI A A S, KHAN M K. Comprehensive survey: Biometric user authentication application, evaluation, and discussion[J]. Computers and Electrical Engineering, 2024, 119, 109485. DOI

7	ZHOU K, REN J. PassBio: Privacy-preserving user-centric biometric authentication[J]. IEEE Transactions on Information Forensics and Security, 2018, 13 (12): 3050- 3063. DOI

8	KÜMMEL K, VIELHAUER C. Reverse-engineer methods on a biometric hash algorithm for dynamic handwriting[C]//Proceedings of the 12th ACM Workshop on Multimedia and Security. New York: ACM, 2010: 67-72.

9	DWIVEDI R, DEY S, SHARMA M A, et al. A fingerprint based crypto-biometric system for secure communication[J]. Journal of Ambient Intelligence and Humanized Computing, 2020, 11 (4): 1495- 1509. DOI

10	ZYSKIND G, NATHAN O. Decentralizing privacy: Using blockchain to protect personal data[C]//2015 IEEE Security and Privacy Workshops. Piscataway: IEEE, 2015: 180-184.

11	AZARIA A, EKBLAW A, VIEIRA T, et al. MedRec: Using blockchain for medical data access and permission management[C]//2016 2nd International Conference on Open and Big Data (OBD). Piscataway: IEEE, 2016: 25-30.

12	SHARMA P, JINDAL R, BORAH M D. A review of smart contract-based platforms, applications, and challenges[J]. Cluster Computing, 2023, 26 (1): 395- 421. DOI

13	SUCASAS V, ALY A, MANTAS G, et al. Secure multi-party computation-based privacy-preserving authentication for smart cities[J]. IEEE Transactions on Cloud Computing, 2023, 11 (4): 3555- 3572. DOI

14	GOMEZ-BARRERO M, MAIORANA E, GALBALLY J, et al. Multi-biometric template protection based on homomorphic encryption[J]. Pattern Recognition, 2017, 67, 149- 163. DOI

15	MORAMPUDI M K, PRASAD M V N K, RAJU U S N. Privacy-preserving iris authentication using fully homomorphic encryption[J]. Multimedia Tools and Applications, 2020, 79 (27): 19215- 19237.

16	LIU W, HUANG Q, CHEN X, et al. Efficient functional encryption for inner product with simulation-based security[J]. Cybersecurity, 2021, 4 (1): 2. DOI

17	GASTI P, ŠEDĚNKA J, YANG Q, et al. Secure, fast, and energy-efficient outsourced authentication for smartphones[J]. IEEE Transactions on Information Forensics and Security, 2016, 11 (11): 2556- 2571. DOI

18	KARABAT C, KIRAZ M S, ERDOGAN H, et al. THRIVE: Threshold homomorphic encryption based secure and privacy preserving biometric verification system[J]. EURASIP Journal on Advances in Signal Processing, 2015, 2015 (1): 71. DOI

19	KIM S, LEWI K, MANDAL A, et al. Function-hiding inner product encryption is practical[C]//International Conference on Security and Cryptography for Networks. Cham: Springer, 2018: 544-562.

20	ALAGIC G, APON D, ALAGIC G, et al. Status report on the third round of the NIST post-quantum cryptography standardization process[R]. Gaithersburg: NIST, 2022.

21	CHO J, SHIN D, HWANG Y, et al. Analyze Shor algorithm optimization trends and suggest optimization directions[C]//2024 International Conference on Platform Technology and Service (PlatCon). Piscataway: IEEE, 2024: 172-176.

22	PEIKERT C. A decade of lattice cryptography[J]. Foundations and Trends in Theoretical Computer Science, 2016, 10 (4): 283- 424. DOI

23	AHARONOV D, REGEV O. Lattice problems in NP∩coNP[J]. Journal of the ACM, 2005, 52 (5): 749- 765. DOI

24	REGEV O. Lattice-based cryptography[C]//Annual International Cryptology Conference. Berlin: Springer, 2006: 131-141.

25	REGEV O. On lattices, learning with errors, random linear codes, and cryptography[J]. Journal of the ACM, 2009, 56 (6): 1- 40.

26	PENG Z, SHI R, DING R, et al. A novel quantum protocol for secure Hamming distance computation[J]. Quantum Information Processing, 2024, 23 (5): 165. DOI

27	LU S, LI C, FENG X, et al. Privacy-preserving Hamming distance protocol and its applications[C]//2021 2nd International Conference on Electronics, Communications and Information Technology (CECIT). Piscataway: IEEE, 2021: 848-853.

28	SRINIVAS J, DAS A K, WAZID M, et al. Anonymous lightweight chaotic map-based authenticated key agreement protocol for industrial Internet of Things[J]. IEEE Transactions on Dependable and Secure Computing, 2018, 17 (6): 1133- 1146.

29	XU M, WANG D. Practical two-factor authentication protocol for real-time data access in WSNs[J]. IEEE Transactions on Dependable and Secure Computing, 2025, DOI: 10.1109/TDSC.2025.3563552.

30	WANG Q, WANG D, CHENG C, et al. Quantum2FA: Efficient quantum-resistant two-factor authentication scheme for mobile devices[J]. IEEE Transactions on Dependable and Secure Computing, 2021, 20 (1): 193- 208.

31	OTHMAN N, DORIZZI B, GARCIA-SALICETTI S. OSIRIS: An open source iris recognition software[J]. Pattern Recognition Letters, 2016, 82, 124- 131. DOI

32	ALBRECHT M R, PLAYER R, SCOTT S. On the concrete hardness of learning with errors[J]. Journal of Mathematical Cryptology, 2015, 9 (3): 169- 203. DOI

33	LYNN B. PBC library-pairing-based cryptography[EB/OL]. (2007-07-01)[2025-03-12]. http: //crypto.stanford.edu/pbc/.

34	BARKER E, DANG Q. Recommendation for key management: Part 1-General: NIST SP 800-57 Part 1 Rev. 4[S]. Gaithersburg: NIST, 2016.

Options

Outlines

模态框（Modal）标题

Abstract

Cite this article

0 引言

1 研究背景与理论基础

1.1 格理论与格上困难问题

1.2 LWE问题与LWE困难性假设

1.3 汉明距离

2 基于LWE加密的函数隐藏内积加密方案

2.1 函数隐藏内积加密模型

2.2 方案构建

2.3 正确性证明

2.4 安全性证明

3 基于LWE加密的链上隐私保护生物特征认证协议

3.1 系统架构

图 1 系统架构

3.2 协议设计

图 2 认证协议流程

3.3 威胁模型

3.4 正确性分析

3.5 安全性分析

3.6 后量子安全性分析

4 实验及结果分析

4.1 计算开销

表 1 不同方案的计算开销比较

4.2 通信与存储开销

表 2 两种方案的存储和通信开销

4.3 实验设置

4.4 实验结果

图 3 不同向量下FHIPE方案中每种算法的运行时间和安全级别对比

图 4 各方案明文/密文长度对比

图 5 不同向量长度和安全级别下各协议阶段的执行时间

5 结束语

References