Paillier 同态加密

前言

同态加密其实是一种特殊的加密技术，它具有一种特殊的性质，即在密文上进行某种特定运算操作后，再解密得到的结果与在明文上进行同样的运算操作结果相同。换句话说，同态加密允许在加密状态下进行计算操作，而无需解密. 同态加密在加密货币领域具有极强重要的作用, 在多方协同签名进行转账, 智能合约方面都有同态加密的身影。

同态加密性质

同态加密，就是满足下面的性质的加密算法

• FHE支持无限次的乘法和加法运算，当前算法复杂度高，实际使用较少。
• SWHE支持有限次的加法和乘法运算。
• PHE只支持加法或乘法运算中的一种。

PHE在实际中使用的较多。 加法同态的算法有Paillier算法、DGK算法、OU算法、基于格密码的方案等。乘法同态有我们常见的RSA算法、ElGamal算法等。

前置知识

为了彻底理解同态加密，这里我列举了一些需要用到的数学定理，公式。

二次项定理/泰勒展开

唯一分解定理‌

每一个大于 1 的自然数 $n$，要么本身是质数（素数），要么可以唯一地写成一系列质数次方的乘积。
$$n=p_1^{a_1}\times p_2^{a_2}\times ...\times p_n^{a_n}$$
其中$a_1,a_2...,a_n$均为正整数

剩余类/同余类

设模为$n$,根据对$n$取模将所有正整数分为$n$类,记作$[1],[2],...[n-1]$, 记为$Z_n$

$[a]$ 表示 所有与整数$a$模$n$同余的整数构成的集合叫做模$n$的一个剩余类,$a$为$[a]$的代表元

如$n=5,a=1,[1]=1,6,11,26,\mathrm{21...}$这些数字对5取模都为1

与 n 互质的剩余类,记为$Z_n^{\ast }$
Z n ∗ = { a ∈ Z n ∣ g c d ( a , n ) = 1 } Z_n^*=\{a\in Z_n | gcd(a,n)=1\} Zn∗​={a∈Zn​∣gcd(a,n)=1}

费小马定理

欧拉函数

$\varphi (n)$为小于等于$n$的正整数中与$n$互质的数的数

若$n$为质数时很容易得到$\varphi (n)=n-1$
如$phi(5)$=4,因为有4个数与5互质分别是:1,2,3,4

• 欧拉函数性质 : 若$p,q$互质,$n=pq,则\varphi (n)=\varphi (p)\varphi (q)=(p-1)(q-1)$
• 欧拉定理: 若$n$与$a$互质,则$a^{\varphi (n)}\equiv 1(\mathrm{mod}n)$

Carmichael 函数

对$n\in N,a\in N$, 使 $a^m=1(\mathrm{mod}n)$恒成立的最小正整数$m$, 记$\lambda (n)$

• 对于素数 $n$，$\lambda (n)=\varphi (n)=n-1$(欧拉函数)。

• 但对于合数，$\lambda (n)$ 通常是 $\varphi (n)$ 的真因数。

  • 若 $n=p^k$ 是奇素数的幂，$\lambda (p^k)=\varphi (p^k)=p^{k-1}(p-1)$
  • 若 $n=2^k$，$k\ge 3$，则 $\lambda (2^k)=2^{k-2}$。
  • 对于一般的合数 $n={\prod }_{i=1}^m{p}_i^{k_i}$，$\lambda (n)$ 是所有 $\lambda (p_i^{k_i})$ 的最小公倍数。

Paillier算法

Paillier是一个支持加法同态的公钥密码系统,在众多PHE方案中，Paillier方案由于效率较高、安全性证明完备的特点，在各大顶会和实际应用中被广泛使用，是隐私计算场景中最常用的PHE实例化方案之一。

密钥生成

公钥加密

私钥解密

证明

总结

在环论中，同态加密本质是构造一个从‌明文环‌（如 $Z_n$ ）到‌密文环‌的‌环同态映射‌.加密函数 $E:M\to C$ 需满足

$$\begin{gathered} E(m_1+m_2)=E(m_1)\oplus E(m_2) \\ E(m_1\ast m_2)=E(m_1)\otimes E(m_2) \end{gathered}$$

其中 $M$ 是明文空间（通常是一个环），$C$ 是密文空间（另一个环或代数结构）

主要参考

《费马小定理（通俗易懂）》
《应用密码学 | Paillier同态加密算法简介》
《加密货币安全基石: 详解 Paillier 同态加密并使用币安tss-lib库》