DGHV:整数上的同态加密(2)-解决噪声与构建全同态蓝图

本文链接：https://blog.csdn.net/weixin_43988498/article/details/119570507

本文详细介绍了同态加密的分类，重点探讨了Bootstrappable技术如何通过解密算法的同态性降低噪声，以及如何通过增强电路实现全同态计算，包括AND与XOR电路的作用和重加密技术的应用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

上一节我们学习了DGHV somewhat同态（类全同态加密）的基本构建：

DGHV:整数上的同态加密(1)-算法构建

这一节将更进一步的探讨S

一、再谈同态加密

通过一些资料的查看，对同态加密的几个要点再做一些补充

定义

一个同态加密方案H由一个四元组组成:

$H = \{KeyGen, Enc,Dec,Eval\}$

$K e y G e n$ : 密钥生成函数
$E n c 、 D e c$ : 加密解密函数
$E v a l$ : 评估函数，用于验证加密算法的正确性, 如果Eval函数可以运行任意功能的函数，那么就是全同态加密

二、解决噪声-Bootstappable

上一节主要说到噪音的影响以及应对措施：密文刷新

密文刷新需要解密中间过程的密文，解密就需要私钥，但是直接使用私钥是不安全的，或者说现实的某些情况下这样的做法是不可靠的, 所以又遇到了麻烦

但是麻烦也可以解决，这里我们就来详细的了解一下这个降低噪声的方法也即bootstappable

首先需要介绍一下Evaluate算法：

2.1 Evaluate算法

其组成如下： $E v a l u a t e = (p k, f, c 1, c 2, c 3 . . .)$ ， $p k 、 c$ 都不解释了，分别是公钥和密文

那么 $f$ 是什么呢？

首先需要了解一个概念: Permitted founctions （许可函数集）也称Permitted circuit

组成其集合元素的函数要求是: 同态成立 也即两个密文经过函数运算后的结果解密后与两个明文直接运算结果相同（也就是基本的同态性）

2.2 同态解密

在介绍之前，先看一个小故事

小故事一则

(也就是同态加密的原理详解与go实践中给出的例子)

但是Alice遇到了新的问题：

N9ygQe

现在先考虑一个问题解密算法本身是不是属于这个集合（许可函数集）？（下面的过程可能有点绕，我会尽量讲清楚）

我们先假设其属于，后续会讨论

现在模拟如下的场景：

一个明文 $m$ ，两对公私钥： $pk_1,sk_1,pk_2,sk_2$

现在做如下操作:

将 $m$ 通过公钥 $pk_1$ 加密生成 $c_1$ ，再将 $c_1$ 通过 $pk_2$ 加密得到 $c^*$
将 $sk_2$ 通过 $pk_2$ 加密得到 $s^*$ （对没错，将私钥加密）
将 $m$ 通过 $pk_2$ 加密得到 $c_2$

上述过程图示就是：

puVZ48

现在通过 $s^*、c^*$ 两个密文来评估函数Dec

考虑以下公式是否成立？

$Dec(sk_2, Dec(s^*,c^*)) == Dec(sk_1,c_1)$

因为解密算法的同态性，所以等式上述是成立的，解释如下：

首先确定明密文关系： $sk_1、c_1$ 如果看作明文，那么根据上述操作可知，其密文分别就是 $s^*、c^*$ , 都是通过公钥 $pk_2$ 加密得到的

那么对于密文 $s^*、c^*$ 使用函数Dec的结果解密（也就是再用 $sk_2$ 解密一次即公式最外层的Dec）与明文 $sk_1、c_1$ 的函数直接运算即Dec两者的结果是相同的！

那么在观察等式的右边 $Dec(sk_1,c_1)$ 的结果是什么？没错就是 $m$ (通过 $sk_1$ 解密密文 $c_1$ 的结果为 $m$ )

则 $Dec(sk_2,Dec(s^*,c^*)) = m$ , 那么反推，x通过私钥 $sk_2$ 解密能够得到m，那么x是什么？没错！就是密文 $c_2$ !!

那么，可得 $Dec(s^*,c^*) = c_2$ , 一个私钥( $sk_1$ )的加密去解密一个密文( $c_1$ )的加密得到的结果是一个新的密文就是 $c_2$

$c_2$ 是明文 $m$ 在公钥 $pk_2$ 下加密的密文，这是一个什么密文呢？对了！新鲜的密文（没有经过密文计算！！！）

是不是有点像魔术，就像原来一个人穿的是西装，现在你没有看到这个人换衣服的情况下，魔术师只是施了一下魔法，这个人立刻就换了一身运动服，人还是原来那个人，只是包装变了。这也是 Gentry 思想中一个最重要的特性:同态解密。

结合上面的小故事， $sk_2$ 就是新的钥匙

2.3 重加密技术

说了半天，同态解密能做什么？降低噪音

当两个密文运算后得到一个新的密文，这个密文是不是会有很大的噪音？

那么下面我们就将这个运算后的密文做一次同态解密就可以相当于一个新鲜的密文了，并且新鲜的密文的噪音是很小的，所以实现了降噪的目的

事实上，同态解密后的密文比新鲜的密文噪音稍微大一些

这一个手法就叫做重加密技术

EpiYGH

如图，经过重加密技术例如乘法的高噪音问题就可以缓解很多，产生的密文 $c^*$ 可以接着下一步的密文同态计算

解密的过程也是从外到里一层层解密

总结：因为直接通过私钥解密密文不够安全，所以利用解密算法本身就具有的同态性，借助第二对公私钥分别将密文私钥加密再解密（ $Dec(s^*, c^*)$ ）得到新鲜的密文减少噪音继续运算

2.4 增强电路

降低噪声的下一步是为了下一次的运算，所以增强电路就是指解密电路 + 一个门电路（可以是加法门电路或者乘法门电路等基本电路）

（图中的加法门电路只是一个例子）

因为多次的重加密，所以需要多对公私钥，即产生了以下序列：

公钥序列： ${pk_1,pk_2,pk_3...}$
私钥序列： $sk_1^*,sk_2^*,sk_3^*....$ 其中 $sk_i^*$ 是用公钥 $pk_{i+1}$ 加密得到的密文

运算电路的每一层都对应一对公钥与私钥

例如：

第一层：公私钥 $pk_1、sk_2$

第一层重加密时使用第二层电路的公钥 $pk_2$ 分别加密 $sk_1$ 和密文得到 $sk_1^*$ 以及新鲜的密文即明文通过 $pk_2$ 加密的结果，然后将这两者输入解密电路

第二层：公私钥 $pk_2 、sk_2$

第二层重加密时使用第三层电路的公钥 $pk_3$ 分别加密 $sk_2$ 和密文得到 $sk_2^*$ 以及新鲜的密文即第一层电路的输出通过 $pk_3$ 加密的结果，然后将这两者输入解密电路, 解密电路将输出一个密文，该密文是对明文用 $pk_3$ 加密的结果