CN111865555B - 一种基于k-Lin假设的同态加密方法 - Google Patents

Abstract

本发明公开了一种基于k‑Lin假设的同态加密方法，该同态加密方法包括：密钥生成步骤、加密步骤和两种解密步骤。本发明在标准模型下满足IND‑CPA安全性，不仅具有加法同态的性质，还具备双陷门解密机制；存在两种私钥，一种是与特定公钥绑定的私钥，另一种是通用性更强的私钥，可以对该加密体制下的任意公钥加密得到的密文进行解密。本发明能够同时兼顾数据的机密性和可用性，减轻监管方的密钥管理成本和压力。

Description

一种基于k-Lin假设的同态加密方法

技术领域

本发明涉及信息安全技术领域，具体涉及一种基于k-Lin假设的同态加密方法。

背景技术

随着信息技术的快速发展，数据隐私泄露的问题受到广泛关注，一种很直接的解决方案就是对数据进行加密，以保证隐私数据不被泄露。但是传统的加密方案只能保证数据的隐私性，降低了数据的实用性。1978年，Rivest等人在文献《On data banks andprivacy homomorphisms》中首次提出同态加密的概念，同态加密是一种支持直接在加密数据上进行运算的密码机制，允许任何人可以在不知道明文的情况下，通过对密文直接进行操作，从而实现对明文数据的运算。同态加密包括两种基本的同态性质，即加法同态和乘法同态。加法同态支持密文上的某种运算等同于明文上进行加法运算，如Paillier加密方案；乘法同态支持密文上的某种运算等同于明文上进行乘法运算，如ElGamal加密方案。通过对数据使用同态加密技术，可以在保证数据隐私性的同时获得数据的可用性。另一方面，这也给数据的监管方增加了监管难度。最直接的解决方案是：每个用户都将各自的解密私钥发送给监管方，以便监管方对密文进行解密和审查。但这样一来，密钥的传输、管理和存储等方面都会增加很多成本。

在文献《A simple public-key cryptosystem with a double trapdoordecryption mechanism and its applications》中，作者提出了具有双陷门解密机制的BCP公钥密码系统。该方案允许用户使用不同的公钥加密，利用其特有的双陷门解密机制，解决了不同公钥加密的密文运算困难的问题。然而该密码系统是基于DDH假设构造的，在双线性群中DDH假设不再困难，因此方案的安全性受到一定的影响。

针对数据隐私泄露的问题，可以使用同态加密技术以同时保证数据的安全性和可用性。然而在现实应用中，考虑到监管方面的需求，监管方为了解密密文数据需要存储所有用户的私钥，这将给密钥管理和存储带来巨大压力。

发明内容

本发明的目的是为了解决现有技术中的上述缺陷，提供一种基于k-Lin假设的同态加密方法。该方法不仅具有加法同态的性质，而且实现了双陷门解密机制，更适合应用到实际存在监管的场景中。

本发明的目的可以通过采取如下技术方案达到：

一种基于k-Lin假设的同态加密方法，该同态加密方法基于上k-Lin假设，其明文空间为/>密文空间为/>其中，k为正整数，/>表示模N²乘法群，/>表示模N加法群，所述的同态加密方法包括下列步骤：

S1、密钥生成，输入安全参数1^κ到密钥生成算法Gen(1^κ)，通过密钥生成算法Gen输出公钥pk、私钥sk、素数p和素数q，其中κ表示安全参数；

S2、用户加密消息得到密文，即输入公钥pk和消息m到加密算法Enc(pk,m)，通过加密算法Enc输出密文c，其中加密算法Enc具有同态运算的性质，其定义如下：对于任意消息有Enc(pk,m₁)·Enc(pk,m₂)＝Enc(pk,m₁+m₂)，其中/>表示明文空间；

S3、用户解密密文恢复消息，即当私钥sk已知时，输入私钥sk和密文c到第一解密算法Dec₁(sk,c)，通过第一解密算法Dec₁输出消息

S4、可信第三方解密密文恢复消息，即当素数p和q已知时，输入素数p、素数q、公钥pk和密文c到第二解密算法Dec₂(p,q,pk,c)，通过第二解密算法Dec₂输出消息

进一步地，所述的步骤S1具体如下：

S11、密钥生成算法Gen从安全素数集中选取两个素数p和q，令N＝pq，其中/>为所有长度为/>比特的安全素数组成的集合；

S12、密钥生成算法Gen选择一个随机数令g＝α²modN²，若即g^p′qq′、g^pqq′、g^pp′q′和g^pp′q中任意元素与1对模N²同余，则重复执行直到/>其中，/>表示从/>中均匀随机地选取出一个元素α，mod表示求余，ord(g)表示g的阶，/>为所有模N²的二次剩余组成的循环群，表示群/>的元素个数；

S13、密钥生成算法Gen选择k个随机数若存在i∈[k]，使得/>则重复执行/>直到对所有i∈[k]，满足其中，/>表示集合/>[k]表示集合{1,…,k}，gcd表示最大公约数；

S14、密钥生成算法Gen计算输出公钥pk＝(N,g,h₁,…,h_k)、私钥sk＝(d₁,…,d_k)、素数p和素数q，其中d₁ ^-1表示d₁求逆，d_k ^-1表示d_k求逆。

进一步地，所述的步骤S2中加密算法Enc输入公钥pk和消息m，选择k个随机数计算

输出密文c＝(c₁,…,c_k+1)，其中/>表示模N²加法群。

进一步地，所述的加密算法Enc具有同态运算的性质，即加法同态性，验证过程如下：

对于任意消息记Enc(pk,m₁)所使用的随机数为(r₁ ⁽¹⁾,…,r_i ⁽¹⁾,…,r_k ⁽¹⁾)，Enc(pk,m₂)所使用的随机数为(r₁ ⁽²⁾,…,r_i ⁽²⁾,…,r_k ⁽²⁾)，于是，有

从而可得

进一步地，所述的步骤S3中当私钥sk已知时，同态加密方法存在一种解密方法，即第一解密算法Dec₁，该第一解密算法Dec₁输入私钥sk和密文c，计算输出消息/>

进一步地，所述的步骤S4具体如下：

S41、当N的素分解p和q已知时，同态加密方法存在另一种解密方法，即第二解密算法Dec₂，该第二解密算法Dec₂输入素数p、素数q、公钥pk和密文c，解析pk＝(N,g,h₁,…,h_k)，计算ω＝(2p′q′)^-1mod N；

S42、第二解密算法Dec₂对于i∈[1,k]，计算r_imod N＝Comp_DL(N,h_i,c_i)，令γ₀+γ₁N＝r₁+…+r_kmodpp′qq′，使得γ₀＜N，计算输出消息/>其中Comp_DL为计算算法，γ₀和γ₁为中间变量，且γ₀＜N。

进一步地，所述的步骤S42具体如下：

S421、记g为中的任意一个生成元，令/>h＝g^dmod N²；

S422、计算算法Comp_DL输入(N,g,h)，计算v＝h^λ(N)mod N²， 输出其中λ表示卡迈克尔函数，v是中间计算结果；

S423、对的任意生成元g和任意/>均有/>

进一步地，所述的同态加密方法的正确性分析如下：

由于于是/>考虑到/>所以有消息/>

进一步地，所述的同态加密方法的正确性分析如下：

由于g的阶为pp′qq′＝Np′q′，可知

所以，有消息

进一步地，所述的同态加密方法的安全性有如下定理：对任意k∈正整数当/>上的k-Lin假设成立时，同态加密方法满足IND-CPA安全性。

本发明相对于现有技术具有如下的优点及效果：

将本发明与现有的加密方案(例如：《A simple public-key cryptosystem witha double trapdoor decryption mechanism and its applications》)进行比较，主要实现了更强的安全性保证。本发明基于k-Lin假设构造，较基于DDH假设构造的加密方案，具有更强的安全性。并对本发明进行相关的安全性分析，证明本发明满足IND-CPA安全性。

附图说明

图1是本发明实施例公开的一种基于k-Lin假设的同态加密方法的流程图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一

本实施例公开了一种基于k-Lin假设的同态加密方法，该同态加密方法基于上k-Lin假设，其明文空间为/>密文空间为/>其中，k为正整数，/>表示模N²乘法群，/>表示模N加法群。包括以下步骤：

步骤S1、密钥生成，输入安全参数1^κ到密钥生成算法Gen(1^κ)，通过密钥生成算法Gen输出公钥pk、私钥sk、素数p和素数q，其中k表示安全参数。具体步骤如下：

密钥生成算法Gen从安全素数集中选取两个素数p和q，令N＝pq，其中/>为所有长度为/>比特的安全素数组成的集合；

密钥生成算法Gen选择一个随机数令g＝α²modN²。若即g^p′qq′、g^pqq′、g^pp′q′和g^pp′q中任意元素与1对模N²同余，则重复执行直到/>其中，/>表示从/>中均匀随机地选取出一个元素α，mod表示求余，ord(g)表示g的阶，/>为所有模N²的二次剩余组成的循环群，表示群/>的元素个数；

密钥生成算法Gen选择k个随机数若存在i∈[k]，使得则重复执行/>直到对所有i∈[k]，满足其中，/>表示集合/>[k]表示集合{1,…,k}，gcd表示最大公约数；

密钥生成算法Gen计算输出公钥pk＝(N,g,h₁,…,h_k)、私钥sk＝(d₁,…,d_k)、素数p和素数q，其中d₁ ^-1表示d₁求逆，d_k ^-1表示d_k求逆。。

步骤S2、用户加密消息得到密文，即输入公钥pk和消息m到加密算法Enc(pk,m)，通过加密算法Enc输出密文c，其中加密算法Enc具有同态运算的性质，其定义如下：对于任意消息有Enc(pk,m₁)·Enc(pk,m₂)＝Enc(pk,m₁+m₂)，其中/>表示明文空间。具体步骤如下：

加密算法Enc输入公钥pk和消息m，选择k个随机数计算输出密文c＝(c₁,…,c_k+1)，其中/>表示模N²加法群。

加密算法Enc具有同态运算的性质，即加法同态性，验证过程如下：

对于任意消息记Enc(pk,m₁)所使用的随机数为(r₁ ⁽¹⁾,…,r_i ⁽¹⁾,…,r_k ⁽¹⁾)，Enc(pk,m₂)所使用的随机数为(r₁ ⁽²⁾,…,r_i ⁽²⁾,…,r_k ⁽²⁾)。

于是，有

从而可得

步骤S3、用户解密密文恢复消息，即当私钥sk已知时，输入私钥sk和密文c到第一解密算法Dec₁(sk,c)，通过第一解密算法Dec₁输出消息具体步骤如下：

当私钥sk已知时，同态加密方法存在一种解密方法。第一解密算法Dec₁输入私钥sk和密文c，计算输出消息/>

同态加密方法的正确性分析如下：由于 于是/> 考虑到/>所以有消息/>

步骤S4、可信第三方解密密文恢复消息，即当N的素分解p和q已知时，输入素数p、素数q、公钥pk和密文c到第二解密算法Dec₂(p,q,pk,c)，通过第二解密算法Dec₂输出消息具体步骤如下：

当N的素分解p和q已知时，同态加密方法存在另一种解密方法。记g为中的任意一个生成元，令/>h＝g^dmod N²；

计算算法Comp_DL输入(N,g,h)，计算v＝h^λ(N)mod N²，输出/>其中λ表示卡迈克尔函数，v是中间计算结果；

由《A simple public-key cryptosystem with a double trapdoor decryptionmechanism and its applications》定理2的证明可知，对的任意生成元g和任意均有/>

第二解密算法Dec₂输入素数p、素数q、公钥pk和密文c，解析pk＝(N,g,h₁,…,h_k)，计算ω＝(2p′q′)^-1mod N；

第二解密算法Dec₂对于i∈[1,k]，计算r_imod N＝Comp_DL(N,h_i,c_i)。令γ₀+γ₁N＝r₁+…+r_kmodpp′qq′，使得γ₀＜N。计算 输出消息/>其中Comp_DL为计算算法，γ₀和γ₁为中间变量。

同态加密方法的正确性分析如下：由于g的阶为pp′qq′＝Np′q′，可知 所以，有消息/>

同态加密方法的安全性有如下定理：

对任意k∈正整数当/>上的k-Lin假设成立时，同态加密方法满足IND-CPA安全性。

实施例二

本实施例公开了一种基于k-Lin假设的同态加密方法，具体用于区块链上数据的隐私保护，该同态加密方法基于上k-Lin假设，其明文空间为/>密文空间为其中，k为正整数，/>表示模N²乘法群，/>表示模N加法群。包括以下步骤：

步骤S1、密钥生成，输入安全参数1^κ到密钥生成算法Gen(1^κ)，通过密钥生成算法Gen输出公钥pk、私钥sk、素数p和素数q，其中κ表示安全参数。具体步骤如下：

密钥生成算法Gen从安全素数集中选取两个素数p和q，令N＝pq，其中/>为所有长度为/>比特的安全素数组成的集合；

密钥生成算法Gen选择一个随机数令g＝α²mod N²。若即g^p′qq′、g^pqq′、g^pp′q′和g^pp′q中任意元素与1对模N²同余，则重复执行直到/>其中，/>表示从/>中均匀随机地选取出一个元素α，mod表示求余，ord(g)表示g的阶，/>为所有模N²的二次剩余组成的循环群，表示群/>的元素个数；

密钥生成算法Gen选择k个随机数若存在i∈[k]，使得则重复执行/>直到对所有i∈[k]，满足其中，/>表示集合/>[k]表示集合{1,…,k}，gcd表示最大公约数；

密钥生成算法Gen计算输出公钥pk＝(N,g,h₁,…,h_k)、私钥sk＝(d₁,…,d_k)、素数p和素数q，其中d₁ ^-1表示d₁求逆。

步骤S2、用户使用公钥加密消息，并将得到的密文上传到区块链上，即用户输入公钥pk和消息m到加密算法Enc(pk,m)，通过加密算法Enc输出密文c，并将密文上传至区块链。其中加密算法Enc具有同态运算的性质，其定义如下：对于任意消息有Enc(pk,m₁)·Enc(pk,m₂)＝Enc(pk,m₁+m₂)，其中M表示明文空间。具体步骤如下：

加密算法Enc输入公钥pk和消息m，选择k个随机数计算输出密文c＝(c₁,…,c_k+1)，其中/>表示模N²加法群。

加密算法Enc具有同态运算的性质，即加法同态性，验证过程如下：

对于任意消息记Enc(pk,m₁)所使用的随机数为(r₁ ⁽¹⁾,…,r_i ⁽¹⁾,…,r_k ⁽¹⁾)，Enc(pk,m₂)所使用的随机数为(r₁ ⁽²⁾,…,r_i ⁽²⁾,…,r_k ⁽²⁾)。

于是，有

从而可得

步骤S3、用户从区块链上获取密文，并使用私钥进行解密从而恢复消息，即当用户已知私钥sk时，输入私钥sk和密文c到第一解密算法Dec₁(sk,c)，通过第一解密算法Dec₁输出消息具体步骤如下：

当私钥sk已知时，同态加密方法存在一种解密方法。第一解密算法Dec₁输入私钥sk和密文c，计算输出消息/>

同态加密方法的正确性分析如下：由于 于是/> 考虑到/>所以有消息/>

步骤S4、可信第三方从区块链上获取密文，并使用主私钥进行解密从而恢复消息，即当可信第三方已知N的素分解p和q时，输入素数p、素数q、公钥pk和密文c到第二解密算法Dec₂(p,q,pk,c)，通过第二解密算法Dec₂输出消息具体步骤如下：

当N的素分解p和q已知时，同态加密方法存在另一种解密方法。记g为中的任意一个生成元，令/>h＝g^dmod N²；

计算算法Comp_DL输入(N,g,h)，计算v＝h^λ(N)modN²，输出/>其中λ表示卡迈克尔函数，v是中间计算结果；

由《A simple public-key cryptosystem with a double trapdoor decryptionmechanism and its applications》定理2的证明可知，对的任意生成元g和任意均有/>

第二解密算法Dec₂输入素数p、素数q、公钥pk和密文c，解析pk＝(N,g,h₁,…,h_k)，计算ω＝(2p′q′)^-1modN；

第二解密算法Dec₂对于i∈[1,k]，计算r_imodN＝Comp_DL(N,h_i,c_i)。令γ₀+γ₁N＝r₁+…+r_kmodpp′qq′，使得γ₀＜N。计算 输出消息/>其中Comp_DL为计算算法，γ₀和γ₁为中间变量，且γ₀＜N。

同态加密方法的正确性分析如下：由于g的阶为pp′qq′＝Np′q′，可知 所以，有消息/>

同态加密方法的安全性有如下定理：

对任意k∈正整数当/>上的k-Lin假设成立时，同态加密方法满足IND-CPA安全性。

本发明可用于区块链上数据的隐私保护。例如，在医疗行业的区块链系统中，医疗机构可根据患者的不同临床数据等信息训练机器学习模型，以辅助研究人员对疾病做出判断。为了保证患者隐私，患者会使用自己的公钥对电子病历(例如：性别、年龄以及临床数据等)进行加密，再把密文上传到区块链上。研究人员使用机器学习模型在密文数据上进行训练，得到该疾病预测模型。这可以更好的辅助研究人员对患者病情做出判断，提升医疗效率。此外，监管方卫健委持有通用的私钥，可以对患者的链上密文数据进行解密和监管。

上述实施例为本发明较佳的实施方式，但本发明的实施方式并不受上述实施例的限制，其他的任何未背离本发明的精神实质与原理下所作的改变、修饰、替代、组合、简化，均应为等效的置换方式，都包含在本发明的保护范围之内。

Claims (5)

1.一种基于k-Lin假设的同态加密方法，该同态加密方法基于上k-Lin假设，其明文空间为/>密文空间为/>其中，k为正整数，/>表示模N²乘法群，/>表示模N加法群，其特征在于，所述的同态加密方法包括下列步骤：

S1、密钥生成，输入安全参数1^κ到密钥生成算法Gen(1^κ)，通过密钥生成算法Gen输出公钥pk、私钥sk、素数p和素数q，其中κ表示安全参数；

所述的步骤S1具体如下：

S11、密钥生成算法Gen从安全素数集中选取两个素数p和q，令N＝pq，其中/>为所有长度为/>比特的安全素数组成的集合；

S12、密钥生成算法Gen选择一个随机数令g＝α²mod N²，若即g^p′qq′、g^pqq′、g^pp′q′和g^pp′q中任意元素与1对模N²同余，则重复执行直到/>其中，/>表示从/>中均匀随机地选取出一个元素α，mod表示求余，ord(g)表示g的阶，/>为所有模N²的二次剩余组成的循环群，表示群/>的元素个数；

S13、密钥生成算法Gen选择k个随机数若存在i∈[k]，使得则重复执行/>直到对所有i∈[k]，满足其中，/>表示集合/>[k]表示集合{1,…,k}，gcd表示最大公约数；

S14、密钥生成算法Gen计算输出公钥pk＝(N,g,h₁,…,h_k)、私钥sk＝(d₁,…,d_k)、素数p和素数q，其中d₁ ^-1表示d₁求逆，d_k ^-1表示d_k求逆；

S2、用户加密消息得到密文，即输入公钥pk和消息m到加密算法Enc(pk,m)，通过加密算法Enc输出密文c，其中加密算法Enc具有同态运算的性质，其定义如下：对于任意消息有Enc(pk,m₁)·Enc(pk,m₂)＝Enc(pk,m₁+m₂)，其中/>表示明文空间；

所述的步骤S2中加密算法Enc输入公钥pk和消息m，选择k个随机数计算/> 输出密文c＝(c₁,…,c_k+1)，其中/>表示模N²加法群；

所述的加密算法Enc具有同态运算的性质，即加法同态性，验证过程如下：

对于任意消息记Enc(pk,m₁)所使用的随机数为(r₁ ⁽¹⁾,…,r_i ⁽¹⁾,…,r_k ⁽¹⁾)，Enc(pk,m₂)所使用的随机数为(r₁ ⁽²⁾,…,r_i ⁽²⁾,…,r_k ⁽²⁾)，于是，有

从而可得

S3、用户解密密文恢复消息，即当私钥sk已知时，输入私钥sk和密文c到第一解密算法Dec₁(sk,c)，通过第一解密算法Dec₁输出消息

所述的步骤S3中当私钥sk已知时，同态加密方法存在一种解密方法，即第一解密算法Dec₁，该第一解密算法Dec₁输入私钥sk和密文c，计算 输出消息/>

S4、可信第三方解密密文恢复消息，即当素数p和q已知时，输入素数p、素数q、公钥pk和密文c到第二解密算法Dec₂(p,q,pk,c)，通过第二解密算法Dec₂输出消息

所述的步骤S4具体如下：

S41、当N的素分解p和q已知时，同态加密方法存在另一种解密方法，即第二解密算法Dec₂，该第二解密算法Dec₂输入素数p、素数q、公钥pk和密文c，解析pk＝(N,g,h₁,…,h_k)，计算ω＝(2p′q′)^-1mod N；

S42、第二解密算法Dec₂对于i∈[1,k]，计算r_imod N＝Comp_DL(N,h_i,c_i)，令γ₀+γ₁N＝r₁+…+r_kmodpp′qq′，使得γ₀＜N，计算输出消息/>其中Comp_DL为计算算法，γ₀和γ₁为中间变量。

2.根据权利要求1所述的一种基于k-Lin假设的同态加密方法，其特征在于，所述的步骤S42具体如下：

S421、记g为中的任意一个生成元，令/>h＝g^dmod N²；

S422、计算算法Comp_DL输入(N,g,h)，计算v＝h^λ(N)mod N²， 输出/>其中λ表示卡迈克尔函数，v是中间计算结果；

S423、对的任意生成元g和任意/>均有/>

3.根据权利要求1所述的一种基于k-Lin假设的同态加密方法，其特征在于，所述的同态加密方法的正确性分析如下：

由于于是考虑到所以有消息/>

4.根据权利要求2所述的一种基于k-Lin假设的同态加密方法，其特征在于，所述的同态加密方法的正确性分析如下：

由于g的阶为pp′qq′＝Np′q′，可知

所以，有消息

5.根据权利要求1所述的一种基于k-Lin假设的同态加密方法，其特征在于，所述的同态加密方法的安全性有如下定理：对任意k∈正整数当/>上的k-Lin假设成立时，同态加密方法满足IND-CPA安全性。