函数适配器签名：超越全或不全的区块链支付

在卖家持有敏感数据 $x$（如患者记录）且买家 seeks 对函数 $f$ 在 $x$ 上的求值场景中，信任环境如区块链的解决方案分为两类：（1）基于智能合约的解决方案，（2）使用适配器签名等密码学工具的解决方案。前者实现原子交易，买家在支付后即可获得 $f(x)$。然而，该方法效率低、成本高、缺乏卖家数据隐私，且不兼容比特币等区块链。相比之下，适配器签名方法解决了上述所有问题，但采用“全或不全”保证，即买家完全提取 $x$，且不支持提取 $f(x)$。本文在此基础上，构建一种解决方案，实现公平的函数销售，同时保留适配器签名的所有属性。为此，我们提出函数适配器签名（Functional Adaptor Signatures, FAS），这是一种新型密码学原始构件，展示其用于实现函数销售的用途。我们形式化了 FAS 的安全属性，其中包括一种新概念称为 witness privacy 以捕获卖家隐私，确保买家仅学习 $f(x)$ 之外的任何信息。我们介绍了 witness privacy 的多个变体，即 witness hiding、witness indistinguishability 和 zero-knowledge。我们提出两种基于素数阶群和格子的线性函数高效FAS构造，满足最强的 witness privacy notions。我们工作的核心概念贡献在于揭示了函数加密与适配器签名之间的惊人联系。我们实现了针对 Schnorr 签名的 FAS 构造，表明对于合理大小的卖家 witness，所有操作即使在普通硬件上也相当高效。