Pailliar同态加密算法描述与证明

Pailliar加密算法1999年被提出，是基于DCRT（Decisional Composite Residuosity Assumption）的加法同态加密方案。

DCRT

DCRT问题是说，判断一个数是否是模 $n^2$ 的 $n$ 次剩余是困难的，也就是没有多项式时间算法可以解决。

密钥生成

Pailliar算法是一个非对称加密算法，有公钥和私钥。
选择两个素数 $p$ 和 $q$ ，计算 $n = p q$ .
在区间 $0,n^2)$ 随机选择一个数 $g$ ，满足 $L(g^\lambda \mod n^2)$ 与 $n$ 互素，其中 $\lambda$ 是 $p - 1$ 与 $q - 1$ 的最小公倍数（也就是n的欧拉函数值，即小于n与n互素的元素个数）。 $L (x)$ 是一个函数， $L(x)=\frac{x-1}{n}$ ，这里使用的是一般的除法，不是模除法。
通常需要选择 $\mod n$ ，使得 $L(g^x \mod n^2)=kx \mod n$ ，k是整数.
证明如下：
由 $\mod n$ ，知道 $g = 1 + k n$ ，k是一个整数。
所以， $g^x=(1+kn)^x=1+kn+c_2n^2+c_3n^3+\cdots+c_xn^x=1+kn \mod n^2$ .
所以， $\mod n$ ，使得 $L(g^x \mod n^2)=kx \mod n$ .

最后产生的公钥 $p k = (n, g)$ ，私钥 $sk=\lambda$ .

加密

设要加密的明文为 $\in [0,n)$ ；
在 $(0, n)$ 之间选择一个随机数 $r$ ；
密文 $c=g^mr^n \mod n^2$ .

解密

$m=L(c^\lambda \mod n^2) \cdot L^{-1}(g^\lambda \mod n^2) \mod n$ ，其中 $L^{-1}(g^\lambda \mod n^2)$ 是 $L(g^\lambda \mod n^2）$ 关于n的模逆元。

解密正确性验证

首先，我们知道 $n\lambda$ 就是 $n^2$ 的欧拉函数值，所以， $r^{n\lambda}=1 \mod n^2$ .
$\begin{aligned} m&=L(c^\lambda \mod n^2) \cdot L^{-1}(g^\lambda \mod n^2) \mod n\\ &=L(g^{m\lambda}r^{n\lambda} \mod n^2) \cdot (k\lambda)^{-1} \mod n\\ &=L(g^{m\lambda} \mod n^2) \cdot (k\lambda)^{-1} \mod n\\ &=km\lambda \cdot (k\lambda)^{-1} \mod n\\ &=m \mod n \end{aligned}$

同态加法

假设 $C_1=g^{m_1}r_1^n \mod n^2, C_2=g^{m_2}r_2^n \mod n^2$ 分别是 $m_1$ 和 $m_2$ 的两个有效密文。
$C_1+C_2=g^{m_1}r_1^n \cdot g^{m_2}r_2^n \mod n^2=g^{m_1+m_2}(r_1r_2)^n \mod n^2$ 是 $m_1+m_2$ 的一个有效密文。

标量乘法

设 $C=g^mr^n \mod n^2$ 是 $m$ 的密文。
则 $C^a=(g^mr^n)^a \mod n^2=g^{am}(r^a)^n \mod n^2$ 显然是 $a m$ 的一个有效密文。