密码学学习笔记 - Paillier密码算法

Paillier密码算法

Paillier密码算法由法国学者Pascal Paillier在1999年发表的论文《Public-Key Cryptosystems Based on Composite Degree Residuosity Classes》中首次提出。该算法利用了数论中的复合剩余类的数学性质。该算法因其同态加密特性而广受关注，同态加密允许对加密数据直接进行某些运算，而无需解密数据。

一些会用到的数学知识

Carmichael函数

• 定义：对满足$gcd(a,n)=1$ 的所有 $a$，使得$a^m\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}n)$同时成立的最小正整数$m$，称为$n$的卡米歇尔（Carmichael）函数，记为 $\lambda (n)$。

Carmichael定理

$$\begin{array}{rl}& \lambda (p^{\alpha })=\{\begin{array}{l}\phi (p^{\alpha }),if(p^r=2,3^r,4,5^r,7^r,11^r,...)\\ \frac{1}{2}\phi (p^{\alpha }),if(p^r=8,16,32,64,...)\end{array}\\ & \lambda (p_1^{{\alpha }_1}...p_k^{{\alpha }_k})=lcm(\lambda (p_1^{{\alpha }_1}),...,\lambda (p_k^{{\alpha }_k}))\\ & if(a|b),then(\lambda (a)|\lambda (b))\\ & \lambda (lcm(a,b))=lcm(\lambda (a),\lambda (b))\end{array}$$

关键结论

结论一

对于$n=pq，\lambda =\lambda (n)=lcm(p-1,q-1)$。对于$\forall r\in {\mathbb{Z}}_{n^2}^{\ast }$，有以下两个等式成立：
$$r^{\lambda }\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}n)$$
$$r^{\lambda n}\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}{n}^2)$$

证明：

第一个等式：$$\begin{array}{rl}& \lambda =\lambda (n)=lcm(p-1,q-1)\\ & p-1|\lambda ,q-1|\lambda \\ & \lambda =k_1(p-1)=k_2(q-1)\end{array}$$
根据费马小定理
$$\begin{gathered} r^{\lambda }=r^{k_1(p-1)}=(r^{(p-1)}{)}^{k_1}\equiv 1\mathrm{mod}p\text{,所以}{r}^{\lambda }-1\equiv 0\mathrm{mod}p \\ {r}^{\lambda }=r^{k_2(q-1)}=(r^{(q-1)}{)}^{k_2}\equiv 1\mathrm{mod}q\text{,所以}{r}^{\lambda }-1\equiv 0\mathrm{mod}q \end{gathered}$$
所以
$$r^{\lambda }-1\equiv 0(\mathrm{m}\mathrm{o}\mathrm{d}pq)$$
$$r^{\lambda }\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}n)$$

第二个等式：$n=p\cdot q,n^2=p^2\cdot q^2$，根据Carmichael定理有
$$\begin{array}{rl}& \lambda (n^2)=lcm(\lambda (q^2),\lambda (p^2))=lcm(\phi (q^2),\phi (p^2))=lcm(q\cdot \phi (q),p\cdot \phi (p))\\ & =lcm(q(q-1),p(p-1))=pq(lcm(p-1,q-1))=n\lambda (n)\end{array}$$
$$\begin{gathered} r^{\lambda }\equiv r^{\lambda (n)}\equiv 1\mathrm{mod}n \\ {r}^{\lambda (n^2)}\equiv 1\mathrm{mod}{n}^2 \\ {r}^{n\lambda (n)}\equiv 1\mathrm{mod}{n}^2 \end{gathered}$$
证毕。

结论二

二项式泰勒展开如下：
$$(1+n{)}^x=\sum _{k=0}^x{C}_x^k{n}^k=1+nx+\frac{x(x-1)}{2!}{n}^2+...+\frac{x(x-1)\cdot ...\cdot (x-n+1)}{n!}{n}^n+...$$
在模$n^2$的情况下，有：
$$(1+n{)}^x\mathrm{mod}{n}^2=1+nx\mathrm{mod}{n}^2$$

算法描述

密钥生成

1. 选择两个大素数 $p$ 和 $q$，计算 $n=pq$ 和 $\lambda =\text{lcm}(p-1,q-1)$（$\text{lcm}$是最小公倍数）。
2. 选择随机整数 $g\in {\mathbb{Z}}_{n^2}^{\ast }$（$g$ 应该满足 $g=n+1$ 是最简单且常用的选择）。
3. 计算 $\mu =(\text{L}(g^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2){)}^{-1}\mathrm{m}\mathrm{o}\mathrm{d}n$，其中 $\text{L}(x)=\frac{x-1}{n}$。
4. 公钥是 $(n,g)$，私钥是 $(\lambda ,\mu )$。

加密

将消息 $m\in {\mathbb{Z}}_n$ 转换成密文 $c$ ：
$$c=g^m\cdot r^n\mathrm{m}\mathrm{o}\mathrm{d}{n}^2$$
其中 r ∈ { 1 , ⋯   , n − 1 } r \in\{1,\cdots,n-1\} r∈{1,⋯,n−1} 是一个随机数。

解密

用私钥 $\lambda$ 解密密文 $c$ 得到明文 $m$：
$$m=\text{L}(c^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2)\cdot \mu \mathrm{m}\mathrm{o}\mathrm{d}n=\frac{\text{L}(c^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2)}{\text{L}(g^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2)}\mathrm{m}\mathrm{o}\mathrm{d}n$$

参数的选择

对于 $p$ 和 $q$ 的选择，一般满足以下条件：

• $p\ne q$
• $p$ 和 $q$ 长度相同，即满足$\gcd (pq,(p-1)(q-1))=1$。

$g$ 一般选取为 $n+1$ 。

正确性证明

仅证$g=n+1$的情况，其他情况可以查找资料。

证明：
$$c=g^m\cdot r^n\mathrm{mod}{n}^2$$
$$c^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2=g^{\lambda m}\cdot r^{\lambda n}\mathrm{m}\mathrm{o}\mathrm{d}{n}^2=g^{\lambda m}\cdot 1\mathrm{m}\mathrm{o}\mathrm{d}{n}^2=(1+n{)}^{m\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2=1+nm\lambda \mathrm{m}\mathrm{o}\mathrm{d}{n}^2$$
$$g^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2=(1+n{)}^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2=1+n\lambda \mathrm{m}\mathrm{o}\mathrm{d}{n}^2$$
$$L(c^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2)=\frac{c^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2-1}{n}=m\lambda \mathrm{m}\mathrm{o}\mathrm{d}{n}^2$$
$$L(g^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2)=\frac{g^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2-1}{n}=\lambda \mathrm{m}\mathrm{o}\mathrm{d}{n}^2$$
$$m=\frac{L(c^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2)}{L(g^{\lambda }\mathrm{m}\mathrm{o}\mathrm{d}{n}^2)}\mathrm{m}\mathrm{o}\mathrm{d}n$$

困难问题

$n$次剩余

• 若存在一个整数$y$，使得$y^n\equiv z(\mathrm{m}\mathrm{o}\mathrm{d}{n}^2)$ 成立，则$z$是$n^2$的一个$n$次剩余。

复合剩余类的困难问题

• 给出合数$n$和整数$z$，很难确定$z$是否为$n$残差模$n^2$，即给定$y\in {\mathbb{Z}}_{n^2}^{\ast },z\equiv y^n(\mathrm{m}\mathrm{o}\mathrm{d}{n}^2)$，判定$z$是模$n^2$的$n$次剩余还是非剩余是困难的。

该问题目前被认为在多项式时间内难以解决，这是Paillier加密系统的主要安全假设。

算法的同态性

Paillier加密算法的同态特性表现为：

加法同态性

对两个明文 $m_1$ 和 $m_2$，其对应的密文分别为 $c_1$ 和 $c_2$。有：$$c_1\cdot c_2\mathrm{m}\mathrm{o}\mathrm{d}{n}^2=(g^{m_1}\cdot r_1^n)\cdot (g^{m_2}\cdot r_2^n)\mathrm{m}\mathrm{o}\mathrm{d}{n}^2=g^{m_1+m_2}\cdot (r_1{r}_2{)}^n\mathrm{m}\mathrm{o}\mathrm{d}{n}^2$$
解密 $c_1\cdot c_2\mathrm{m}\mathrm{o}\mathrm{d}{n}^2$ 得到 $m_1+m_2$。

数乘同态性

对于明文 $m$ 和常数 $k$，其对应的密文为 $c$。有：$$c^k\mathrm{m}\mathrm{o}\mathrm{d}{n}^2=(g^m\cdot r^n{)}^k\mathrm{m}\mathrm{o}\mathrm{d}{n}^2=g^{mk}\cdot r^{kn}\mathrm{m}\mathrm{o}\mathrm{d}{n}^2$$
解密 $c^k\mathrm{m}\mathrm{o}\mathrm{d}{n}^2$ 得到 $mk$。

这些同态特性使得Paillier密码算法在需要保留数据隐私的计算中具有广泛的应用，例如电子投票和隐私保护的数据分析。

扩展到实数域

方法1：定点数表示法

一种直接的方法是将实数转换为定点数（固定小数点数），然后使用Paillier加密整数的方式进行加密和解密。具体步骤如下：

1. 选择一个缩放因子$s=10^k$，其中$k$是需要保留的小数位数；
2. 将实数 $x$ 转换为整数 $X$ ：$X=\lfloor x\times s\rfloor$；
3. 使用Paillier加密整数 $X$ 得到密文 $c$ ；
4. 解密得到整数 $X$ ，然后将其转换回实数 $x$ ，即 $x=X/s$。

对于负数 $-x$ 的处理主要将其变为 $-x+n$ 。
经过这样的处理后，加密的数字的范围将会从 { 0 , 1 , ⋯   , n } \{0,1, \cdots, n\} {0,1,⋯,n} 缩小为 { 0 , 1 , ⋯   , ⌊ n / 2 s ⌋ } \{0,1, \cdots, \lfloor n/2s \rfloor \} {0,1,⋯,⌊n/2s⌋}

方法2：分数表示法

另一种方法是将实数表示为分数，然后分别对分子和分母进行加密。这种方法更适用于需要高精度的场景。

Python的运行实例

需要先安装 phe 和 gmpy2 库，可以使用 pip install xxx 命令安装。

from phe import paillier
import gmpy2 as gy

# 生成 Paillier 密钥对  
public_key, private_key = paillier.generate_paillier_keypair(n_length=128)  
print("n: ", public_key.n)  
print("g: ", public_key.g)  
print("p: ",private_key.p)
print("q: ",private_key.q)

a = 15  
b = 20  
print("a: ",a)  
print("b: ",b)  
# 加密 a 和 b  
a_enc = public_key.encrypt(a)  
print("a_enc: ",a_enc.ciphertext())  
b_enc = public_key.encrypt(b)  
print("b_enc: ",b_enc.ciphertext())  

print("同态加")
print("a + b = ",a+b)  
c_enc = a_enc + b_enc  
print("c_enc = a_enc + b_enc: ",c_enc.ciphertext())  
c_dec = private_key.decrypt(c_enc)  
print("c_dec = a + b: ",c_dec)  

print("同态数乘")
print("a * b = ",a*b)
c1_enc = a * b_enc
print("c1_enc = a * b_enc: ",c1_enc.ciphertext())
c2_enc = b * a_enc
print("c2_enc = b * a_enc: ",c2_enc.ciphertext())
c1_dec = private_key.decrypt(c1_enc)
c2_dec = private_key.decrypt(c2_enc)
print("c1_dec = a * b: ",c1_dec)
print("c2_dec = b * a: ",c2_dec)

参考文献

• Paillier算法
• 密码学基础系列3(下)：Paillier同态加密、优化及应用