5月11日，奥地利维也纳，2016年欧洲密码年会拉开序幕，一位来自中国的科学家，向与会的400多名密码学者报告的一项研究成果，引起全场热议。

这位科学家是西安电子科技大学综合业务网理论及关键技术国家重点实验室教授胡予濮，而引起全场热议的研究成果是他与他的博士生贾惠文共同完成的《GGH映射的密码分析》（Cryptanalysis of GGH Map），该成果对GGH映射方案本身以及基于GGH的各类高级密码应用进行了颠覆性的否定。

似乎无解的GGH方案

“用最通俗的话来说，GGH密码是与人们的通信安全有关。”胡予濮说。

1976年，斯坦福大学的密码学家惠特菲尔德·迪菲和马丁·赫尔曼，共同发表了一篇题为《密码学的新方向》的学术论文，首次提出公钥密码体制的思想，引发了密码学史上的革命。

迪菲—赫尔曼密钥交换的提出，颠覆了人们“不事先进行秘密共享是无法进行保密通信”的传统观念，成为了现今密钥交换系统的基础，被广泛应用于网络通信。迪菲与赫尔曼也因此获得2015年度“图灵奖”。

迪菲—赫尔曼的工作实现了无需交互就可以在公开信道上共享密钥，但仅限于两方。如何将这一机制扩展至三方乃至多方，一直是现代密码学遗留下来没有解决的公开问题。

2013年，在当年召开的欧密会上，时为加州大学洛杉矶分校的博士生萨吉·杰瑞格、IBM研究员克雷格·金特里和塞·哈勒维共同提交了《基于理想格的候选多线性映射方案》，提出分级编码系统（GES）概念，并以此在理想格上实现了第多线性映射方案（GGH映射，取名于三位作者姓名的首字母），进而解决了现代密码学遗留的那个公开问题。

“GGH多线性映射方案，对密码学界产生了深远影响，迅速在国际密码学界引发了研究热潮。”胡予濮表示，因为这个里程碑式的密码映射方案，不仅为密码学界遗留下来的公开问题找到了答案，也促使了其他近似多线性映射方案的构造，并有望在未来广泛应用于证据加密、广播加密、属性加密、功能加密、聚合签名等多种高级的应用场合，从而将现代密码学大大地向前推动一步。

“但由于多线性映射的特殊性，杰瑞格等人无法直接证明GGH密码方案是安全可行的，所以他们在论文中采取穷举攻击的办法，尝试了所有现存的以及他们自己提出的攻击方法，来间接表明该方案是安全的。”胡予濮说。

揭开GGH密码黑暗世界

“2014年5月底，我在日本九州大学进行学术访问时，了解到了这个信息，觉得很有意义，就尝试着对它进行密码分析，也就是破解。”胡予濮说。

初看上去，GGH到处都是漏洞，但你就是攻破不了它。胡予濮回忆他初次接触GGH时说：“GGH提出者均是当今国际上顶尖的密码研究工作者，他们的方案十分完整，已经列举了各种攻击方法，并进行了尝试。”

从2014年5月底到2015年2月中旬，胡予濮的脑海里全是GGH密码方案，他完全沉醉在格公钥密码、近世代数、数论、概率统计以及离散数学的世界里。

2015年3月7日，对胡予濮说是最具有纪念意义的这一天。

那天，胡予濮一晚上都没睡觉，他突然觉得GGH的结构有些不对，半夜就起来开始在纸上验算。等到了第二天早上，他还是觉得不对，又躺在床上稍微休息了一会，希望等脑子清醒了继续推算。到了中午的时候，他再一步一步进行了认真验证，第一次发现了GGH的漏洞确实是存在的。

即便自己经过多次推导，已经验证了GGH存在漏洞，但胡予濮还是没有轻易下结论说攻破了这一方案。他将演算思路告诉了贾惠文，要求他对该过程进行反复推导和验证。最终，他们得出一致结论，一颗悬着的心终于落地了。

“有大半年的时间，胡老师和我到处碰壁，各种攻击方法尝试了有50种之多。有一次，我们甚至都将已经写好的文章投递出去了，但大半夜胡老师发现推导过程有漏洞，让我赶紧撤稿。”论文第二作者贾惠文感叹地说。

2015年3月15日，为了最后确认已经攻破了GGH，胡予濮将描述了攻击过程的手稿，发给了提出该方案的三位原作者。4天后，也就是3月19日凌晨5时16分，该方案的第三作者塞·哈勒维代表三人回函称：“感谢您发送的手稿，您描述的攻击方式，似乎的确打破了我们在GGH一文中提到的多方密钥协商机制。”

找到了GGH的漏洞，原作者也承认了胡予濮提出的攻击是有效的，但密码学领域的这场智力较量才却刚刚开始。

原来，塞·哈勒维随即在信中指出，胡予濮提供的第一版手稿中，攻击的第一步所采用的弱离散对数攻击方法，是原文已有的。“回来找资料，发现人家在一个报告中确实提过。”胡予濮介绍说，“但是在攻击的第二步中，我们提出了一种变形的编码/零测试工具，该工具是我们的原创性工作，也是攻击的核心技术。”

2015年4月份，胡予濮与贾惠文提出组合精确覆盖问题的概念，对精确覆盖这一NP完备问题进行弱化，同时利用改进的编码/零测试工具，又将基于GGH的证据加密方案攻破了，胡予濮回忆到。

最后，胡予濮将修改后的论文再次给原作者发过去，换来的是一片沉默。

釜底抽薪的攻击

“我们的成果是对GGH的一个否定，是对GGH密码映射方案的一次釜底抽薪似的攻击。几乎可以断言，在编码工具公开的情况下，任何基于GGH映射的密码应用都是不安全的；在编码工具隐藏的情况下，至少有一个基于GGH映射的密码应用是不安全的；GGH映射很难进行简单修改来避开我们的攻击。”胡予濮说。

那么，密码学研究的意义何在？“当然有意义！密码技术是信息安全的核心技术。密码技术的不断研究，推动着信息安全技术的发展。”胡予濮口吻坚定地回答。

胡予濮打了一个比方说，如果把信息安全当作一个有大门、有围墙的院子，要想进院子，办法有多种，可以翻墙进去，也可以推倒墙进去，但正常合理的办法是把门上的锁打开，然后推开门走进去，密码技术就是大门上的那把锁。

这个被攻破的GGH，原本是一个有望成为国际密码学研究新技术的密码映射方案，可以被看作是一种密码原语。一旦被证明安全可行，就可以在它的基础上构造出许多新的密码体制，极大地丰富未来密码应用的场景。

胡予濮攻破GGH密码方案，其重大意义可以打这样一个比方：GGH方案的提出者，就像是建筑行业里的地基团队，他们设计并挖掘了看起来非常安全保险、足够深的地基。但胡予濮发现了地基设计图纸的大问题。这一发现意味着人们可以不再需要继续花费时间和精力，去建造基于GGH方案这一密码原语级别的协议。

胡予濮的研究成果自公布以后，吸引了全世界研究多线性映射密码学家的目光。除了上述已经提到的三名原作者和密码学家阿米特·萨海外，还有包括日本东京技术研究所草川恵太研究员、韩国首尔大学池東杓教授等的关注。

桃李满园育英才

胡予濮是一个特别简单纯粹的人，科研已然深深地浸入到了他的生活和生命之中。更为难得的是，他兼顾研究与教学，2015年还被评为了学校的“师德标兵”。

作为一名教师，无论学生有什么学习上的问题，无论他们什么时候来问，胡予濮都会腾出自己的时间为学生们答疑解惑。从教几十年来，他一直坚持在教学第一线，其独特的教学风格深受学生喜爱，他的年平均评教分数高达92分。

在平常与学生接触的过程中，胡予濮始终以友好、平等的态度，尊重学生的爱好、个性，同时还能把热爱与严格要求结合起来。胡予濮指导的博士毕业生人数已超过30人，教授、副教授就有近10人，他们秉承胡予濮的教学风格与科研态度，在教书育人的岗位上培育各园桃李。

“羞于浅尝辄止，安于书呆子式，乐于做学生的朋友”，这是胡予濮的个人感言。在谈到接下来的工作时，胡予濮表示，虽然他们在破解GGH密码方案的过程中已经做了不少工作，但一切才刚刚开始，下一步他们还将对基于GGH映射的不可区分混淆进行分析。（记者 张行勇 通讯员 秦明 李梦鹤）

来源：《中国科学报》2016年06月17日02版