从二次剩余到k次剩余的密码体制 - 数学与信息科学学院.PPT

曹珍富 上海交通大学计算机系 上海交通大学可信任数字技术实验室 从二次剩余到k次剩余的密码体制 本报告内容来自我和合作者最近完成的两篇论文 Zhenfu Cao; Xiaolei Dong; Licheng Wang; Jun Shao ; Xiaodong Lin. A Unified Goldwasser-Micali Type Cryptosytem”. Zhenfu Cao; Xiaolei Dong; Licheng Wang; Jun Shao; Xiaodong Lin. More Efficient Cryptosystems From k-th Power Residue Symbols”. 开始于两三年前，一种全新的密码理论体系将得到研究。 开始于十几年前，多方密码学解决了云计算安全和隐私的基础问题： 想法很简单： 做一个应用需求 的理论实践者。 提纲 星光闪耀 历史回顾 最新进展 总结 星光闪耀 CNET\NEWS 2013年3月13日报道 Cryptography scientists win 2012 Turing Award 获得ACM 图灵奖的主要工作 Probabilistic Encryption 概率加密 Interactive Proof Systems 交互证明系统 星光闪耀 CNET\NEWS 2013年3月13日报道 Cryptography scientists win 2012 Turing Award ACM 图灵奖颁奖词部分摘录 开创了可证明安全性的领域 建立了将密码学从艺术变为科学的数学结构 历史回顾 1982 STOC：第一个公钥概率加密体制 密钥生成：N=pq, y ∈R JN\QRN pk=(n,y), sk=(p,q) 加密：m=(m0m1…mk-1)2, x ∈R ZN ci = ym_ix2 mod N 解密：mi=0 if (ci/p)=1, mi=1 if (ci/p)=-1 安全性：IND-CPA, 标准模型 基于QR假设：不知p,q，判断JN中二次剩余困难 Game G0: 原方案 Game G1: y ∈R QRN, 密文已不含m任何信息 历史回顾 1982 STOC：第一个公钥概率加密体制 密钥生成：N=pq, y ∈R JN\QRN pk=(n,y), sk=(p,q) 加密：m=(m0m1…mk-1)2, x ∈R ZN ci = ym_ix2 mod N 解密：mi=0 if (ci/p)=1, mi=1 if (ci/p)=-1 特性：加密、解密高效（尽管逐比特） 支持加法同态（仅对消息空间大小为2有意义） 密文长度：k·log N 密文扩展因子：log N 历史回顾 1984 CRYPTO：Blum Goldwasser 密钥生成： N=pq， p=q=7 (mod 8)， 公钥N，私钥p，q 加密：借助一个强随机比特串发生器G c1=m⊕G(r), c2=r2^(h+1) mod N, 其中r ∈R QRN，h仅由N和m的长度决定（公开） 解密： 利用p，q，根据CRT，由c2解出r 再计算G(r) 并由c1解出m 特点： 密文长度小：k+log N 不再支持加法同态 历史回顾 第一种改进框架：仅在剩余次数上下功夫！ 加密消息m，基于模N的k次剩余符号 c=ymxk mod N, (x, N)=1 (1) 其中y是模N的k次非剩余。 解密：解特殊形式的离散对数问题 c φ(N)/k =(ymxk ) φ(N)/k =[y φ(N)/k ]m mod p (2) 改进着眼点：如何使(2)式易求（知道p）？ k = 2时，即为GM方案，(2)式易求。 k 决定消息空间的大小 历史回顾 1985 FOCS：J. Cohen M. Fischer 可验证的鲁棒电子选举方案 基于 k 次剩余： k为素数、且大于投票人数 k整除p-1、但不整除q-1 解密：在[0,k)空间内搜索 但本质上仍然只是加密0或1（代表有