循环群和RSA累加器

累加器的成员证明

成员证明

给定一个集合 s = { x 1 , x 2 , x 3 , . . . , x n } s=\{x_1,x_2,x_3,...,x_n\} s={x1​,x2​,x3​,...,xn​}，该集合的累加值为 $a=g^{\delta }$，$\delta =H(x_1)H(x_2)H(x_3)\cdot \cdot \cdot H(x_n)$，我们要证明一个值 $x$ 是包含在集合 $s$ 中，只需要提供两个元素：一个是目标元素 $x$ 本身，另一个是 $a^{\prime }=g^{{\delta }^{\prime }}$, ${\delta }^{\prime }$ 是集合中所有非 $x$ 元素的 hash value 的累乘法。那么这里的 proof 即为 ( { a ′ , x } ) (\{a',x\}) ({a′,x})，验证过程为： $a^{\prime H(x)}\stackrel{?}{=}a$

非成员证明

我们怎么证明元素 $x$ 并不在集合 s = { x 1 , x 2 , x 3 , . . . , x n } s=\{x_1,x_2,x_3,...,x_n\} s={x1​,x2​,x3​,...,xn​} 中呢？$H(x)$ 是将 $x$ 元素映射到唯一对应的素数，那么我只需要证明 $H(x)$ 与集合内的所有元素互素（素数与除自己以外的所有其他素数互素，那么就可以进一步转化到问题：证明 $x$ 不属于集合 $s$ 中的元素，只需要证明 $x$ 与所有 $\delta =H(x_1)H(x_2)H(x_3)\cdot \cdot \cdot H(x_n)$ 互素。

在数论中，有一个很重要的定理，整数 $a$ 和 $b$ 互素的充要条件是存在整数 $s$ 和 $t$ 使得 $sa+tb=1$，计算 $(s,t)$ 这两个元素可以通过扩展欧几里得除法高效地算出来。那么利用这一定理，我们可以将不在成员证明通过这个式子验证：$h^{H(x)}{a}^t\stackrel{?}{=}g$，其中 $h=g^s,a=g^{\delta }$

基于循环群的成员证明和非成员证明的计算复杂度都是 $O(1)$。

隐藏群的阶

基于循环群的累加器需要隐藏群的阶数，如果群的阶是公开的，那么累加器将变得不安全

如果一个集合 $s$ 的累加值是 $h$，那么我们想伪造一个不属于集合的元素 $x$ 的成员证明，我们只需要找到一个 $f$，使得 $f^x=h$，$f$ 值可以通过如下计算：$f=h^{x^{-1}}$，由于 $x\cdot x^{-1}\mathrm{mod}\mathrm{q}=1$。那么问题就落在如何求得 $x$ 的逆元 $x^{-1}\mathrm{mod}\mathrm{q}$？
$$(f^x{)}^{x^{-1}}\mathrm{mod}\mathrm{q}=h^{x^{-1}}\mathrm{mod}\mathrm{q}$$
在数论中，我们需要使用扩展欧几里得除法，找到 $a$ 和 $b$，使得 $a\cdot x+b\cdot q=1$，那么这个 $a$ 就是 $x$ 的逆元。

那么我们在使用基于循环群的累加器时，就必须要隐藏群的阶，那么如何生成隐藏群阶的循环群呢？

RSA累加器

我们生成一个基于 RSA 构造的循环群（真子群），给定私钥两个大素数 $(p,q)$，计算公钥 $n=p\ast q$，素数生成元 $g$，$(p,q,g)$ 三个数两两互素，则 { g i m o d    n } , i ∈ Z \{g^i \mathrm{mod\; n}\}, i \in Z {gimodn},i∈Z 构成一个循环群，在仅公开 $n$ 的情况下，我们并不知道这个循环群的阶是多少，这就可以隐藏群的阶。但是基于 RSA 的循环群的生成，需要 trusted setup，也就是参数 $n$ 必须要一个可信第三方生成，如果私钥 $p$ 和 $q$ 遭到了泄露，累加器将不再安全。

我们凝练上述的伪造成员证明方法：给定一个群元素 $h$，只要找到一个群元素 $f$ 和一个素数 $x$ 是的 $f^x=h$。

这里我们需要使用到欧拉函数 $\varphi (n)=(p-1)(q-1)$，$\varphi (n)$ 是值小于或等于 $n$ 的正整数与 $n$ 互素的个数。且，如果正整数 $a$ 和正整数 $m$ 互素，那么 $a^{\varphi (m)}\equiv 1\mathrm{mod}\mathrm{m}$

我们可以找到一个三元组 $(k,x,z)$ 使得 $k\varphi (n)+1=xz$，我们可以得到伪造非成员 $x$ 的证明：$(f=h^z,x)$，那么我们有 $f^x=h^{xz}=h^{\varphi (n)+1}=h\mathrm{mod}\mathrm{n}$。

strong RSA assumption
Cryptographic Accumulator 密码学累加器 – 区块链中的成员证明与非成员证明