Paillier半同态加密 【练习markdown】

Paillier半同态加密

Paillier算法介绍

基本概念

• 质数：
  • 也称素数，是指只能被1和本身整除的自然数，即大于1的自然数中，除了1和它本身以外，没有其它的因数。比如2、3、5、7、11等都是质数，而4、6、8、9等则不是质数。
• $Z_n^{\ast }$：
  • 表示模n意义下，即$[0-n)$中所有与n互质的元素的集合。
• $Z_{n^2}^{\ast }$：
  • 表示模$n^2$意义下的可逆元素集合。具体地，对于正整数$n$，$Z_{n^2}^{\ast }$包含了模$n^2$意义下与$n^2$互质的所有元素。也就是说，如果$x$属于$Z_{n^2}^{\ast }$，那么$x$满足以下两个条件：
    • $x$和$n^2$互质，即$gcd\left(x,n^2\right)=1$
    • $x$在模$n^2$意义下有逆元，即存在$y$使得$xy\equiv 1(\mathrm{mod}n{)}^2$
• 欧拉函数$\phi \left(n\right)$
  • $n=pq$，其中$p$和$q$是两个质数
  • 欧拉函数$\phi \left(n\right)=\left(p-1\right)\left(q-1\right)$即为$Z_n^{\ast }$中的元素个数
  • 更进一步，$Z_{n^2}^{\ast }$的元素个数为$\phi \left(n^2\right)=n\phi \left(n\right)$
• 卡迈克尔函数(Carmichael’s Function)
  • $\lambda \left(n\right)=lcm\left(p-1,q-1)\right)$满足$a^{\lambda \left(n\right)}\equiv 1(\mathrm{mod}n)$
  • 根据卡迈克尔定理(Carmichael’s Theorem)，对于任意元素$\omega \in Z_{n^2}^{\ast }$
    • ${\omega }^{\lambda }\equiv 1(\mathrm{mod}n)$
    • ${\omega }^{n\lambda }\equiv 1(\mathrm{mod}{n}^2)$
• n次剩余
  • 在数论中，给定一个正整数$a$和一个素数$p$，如果存在整数$x$使得$x^2\equiv a(\mathrm{mod}p)$，那么称$a$是模$p$的二次剩余（Quadratic Residue，QR）,否则称$a$是模$p$的二次非剩余（Quadratic Non-Residue， QNR）。
  • 类似地，如果存在整数$x$使得$x^n\equiv a(\mathrm{mod}p)$，那么称$a$是模$p$的n次剩余（nth Power Residue），否则称$a$是模$p$的n次非剩余（nth Power Non-Residue）。
  • 当$n=2$时，n次剩余就是二次剩余。n次剩余和二次剩余一样，具有很多重要的应用，例如在加密算法和密码学中被广泛使用。
• 复合剩余类问题（Composite Residuosity Problem，CRP）
  • 在模$n$意义下，给定两个整数$a$和$b$，判断是否存在整数$x$，使得$a\equiv x^2(\mathrm{mod}n)$且$b\equiv x^2(\mathrm{mod}n)$同时成立。其中n是一个合数。
• 二项式定理
  • 泰勒展开式$y=（1+n{)}^x={\sum }_{k=0}^x{C}_x^k{n}^k=1+nx+C_x^2{n}^2+...$，显然有$(1+n{)}^x\equiv 1+nx\mathrm{mod}{n}^2$，则$y-1\equiv nx\mathrm{mod}{n}^2$，两边同除以$n$得，$x\equiv (y-1)/n\mathrm{mod}n$。所以，在Paillier方案中，会构造函数$L(y)=(y-1)/n$，可得$L(y\mathrm{mod}{n}^2)\equiv x\mathrm{mod}n$。

算法思路

Paillier半同态加密算法的安全性基于复合剩余类问题（Decisional Composite Residusity Assumption， DCRA）的困难性，即在给出$y$和$n$的情况下，很难判断模$n^2$的n次剩余是否存在：$z\equiv y^n(\mathrm{mod}{n}^2)$。

加解密过程

密钥

• 选择两个不同且长度相等的大素数$p$, $q$，保证$gcd\left(pq,\left(p-1\right)\left(q-1\right)\right)=1$
• 计算$n=pq$以及$\lambda =lcm(p-1,q-1)$这里$lcm$表示最小公倍数
• 随机选择整数$g$, $g\in Z_{n^2}^{\ast }$，且满足$\mu ={\left(L\left(g^{\lambda }(\mathrm{mod}{n}^2)\right)\right)}^{-1}$存在，$L$函数定义为$L(x)=\frac{x-1}{n}$
• 得到公钥$(n,g)$，私钥$(\lambda ,\mu )$

加密

• 对于明文$m$，$m\in Z_n^{\ast }$，选择随机数$r$，$r\in Z_n^{\ast }$且$r$和$n$互质
• 计算密文

$$\begin{array}{rl}c& =Enc(m,n,g,r)\\ & =g^m{r}^n(\mathrm{mod}{n}^2)\end{array}$$

解密

• 计算明文：

$$\begin{array}{rl}m& =Dec(c,\lambda ,\mu )\\ & =L\left(c^{\lambda }\mathrm{mod}{n}^2\right)\ast \mu (\mathrm{mod}n)\\ & =\frac{L\left(c^{\lambda }\mathrm{mod}{n}^2\right)}{L\left(g^{\lambda }\mathrm{mod}{n}^2\right)}(\mathrm{mod}n)\end{array}$$