公钥密码体制-Paillier (二)

背景

对必要的数论知识需要补充的，需要先阅读 公钥密码体制-Paillier (一) 。
也可以先阅读维基上对 Paillier 的说明。

算法

密钥生成

1. 随机选择两个大素数 $p$ 和 $q$，保证 $gcd(pq,(p-1)(q-1))=1$；
2. 计算 $n=pq$ 和 $\lambda (n)=lcm(p-1,q-1)$，$lcm$ 是取最小公倍数；
3. 在 ${\mathbb{Z}}_{n^2}^{\ast }$随机选择一个整数 $g$，即 $g\in {\mathbb{Z}}_{n^2}^{\ast }$，（${\mathbb{Z}}_{n^2}^{\ast }$ 表示在 $n^2$ 剩余类中，与 $n^2$ 互素的数）；
4. 对于刚才选择的 $g$，要确保 $n$ 可以整除 $g$ 的阶。可以利用下面的模运算检验 $g$ 是否合格：$\mu =(L(g^{\lambda }mod{n}^2){)}^{-1}modn$, 其中 $L(x)=\frac{x-1}{n}$。其实就是相当于检测 $L(g^{\lambda }mod{n}^2)$ 在模 $n$ 的情况是否有逆元。如果选择的 $g$ 可以保证可以被 $n$ 整除，它其实是可以保证有逆元的要求的；
   注意：公式 $\frac{a}{b}$，不是模运算乘法中的 $a$ 乘以 $b$ 的倒数，而是普通算法运算的 $a$ 除以 $b$。
5. 使用 $(n,g)$ 作为公钥，使用 $(\lambda ,\mu )$ 作为私钥。

快速生成密钥

如果使用相同长度的 $p，q$，可以快速生成密钥。比如选 $g=n+1$，因为很明显 $n+1\in {\mathbb{Z}}_{n^2}^{\ast }$。$(1+n{)}^n\equiv 1+n\ast n\equiv 1mod{n}^2$，$n$ 是 1+n 模 $n^2$ 的阶，$n$ 本身也是 $n$ 的一倍。此时的 $g$ 满足要求。
我们也可以算一下，$\mu =(L(g^{\lambda }mod{n}^2){)}^{-1}modn$。
由于 $\lambda (n)=\varphi (n)=(p-1)\ast (q-1)$，$g=n+1$，所以 $g^{\lambda }mod{n}^2=(1+n{)}^{\lambda }mod{n}^2\equiv (1+\lambda \ast n)mod{n}^2=1$