密码学原语如何应用？精彩36问

2020年3月4日，《隐私保护周三见》正式与大家见面。栏目围绕即时可用场景式隐私保护高效解决方案WeDPR的核心技术点，每周三晚8点，以社群直播的形式，和各位专家一起探寻隐私保护的发展之道。

每一个论题，交流群里的伙伴或积极参与讨论，或对分享内容不吝指正，不断助力论题拓宽研究深度，也让我们获益匪浅。本合集对交流群中的精彩碰撞进行整理汇编，以飨读者。

自下一论（第15论）起，我们将针对数字化业务系统中无处不在的数字签名开展系列解析，欢迎更多伙伴加入，共话隐私保护。进群请在公众号对话框回复【小助手】。

点击回顾：第1~9论精彩50问

51

52

另外，数据编解码不只用在数据加解算法中，例如第9论中的单向哈希实现，也需要数据编解码。数据编解码是密码协议中数据处理不可缺少的环节。

53

54

55

GMSSL中关于国密SM4的实现现状可以参考下图：

56

@唐炜：CTR的密码本会不会有点简单啊？

@廖飞强：不会。CTR简洁且安全，得益于它的计数器设计。每次加密解其计数器中的nonce是随机选取的，作用类似于CBC中的IV，因此有效解决了ECB的安全问题。

@唐炜：这样的确安全一些。IV的传递和使用安全性也是个管控点吗？

@廖飞强：get到点了，IV和nonce都要随机产生，不能重复使用。

@唐炜：要把IV当成密钥一样传递、使用。不用了，销毁。这样应该可以吧？

@廖飞强：一次使用过程中，IV是附加在密文一起的，解密需要用到IV。IV的作用是提供随机性，即相同明文、相同密钥，每次提供不同的IV，其密文是不同的。其密文的安全，依赖于密钥的保护。

@唐炜：但保密传输他不香吗？

@廖飞强：密文+IV就是能保密传输的数据。

@唐炜：每次使用一个随机的IV和多个IV，n个参数一起产生IV，n至少一个。不固定。安全性和便利性有啥变化吗？也就是随机种子的产生方式问题。

@廖飞强：建议最好不用自己设计的随机数产生方法，容易出现漏洞，难以提供随机性。使用标准的伪随机生成器就能满足要求。

57

58

@刘雪峰@西电：嘉宾今天讲的加密上工程面临的问题，很透彻。隐私计算领域，工程坑也有很多，比如负数、浮点数、无理数等等，目前还没有统一标准。这个可能也是未来学术工程化一个待解决的问题。

@廖飞强：是的，密码协议的标准工程实现也面临很大的挑战，需要不断完善、升级。

第11论｜密码学原语如何应用？解析密码学承诺的妙用

59

@廖飞强：Paillier加法同态加密算法可以达到这种密文关系效果，但Paillier可以解密密文，主要用于用户自身的加解密数据。其密钥需要自己保存，因此不方便其他人验证。

60

@廖飞强：目前使用最广泛的就是隐私支付了，比如WeDPR提供公开可验证密文账本方案中的隐私交易特性就采用了Pedersen承诺。

61

@廖飞强：通过查看公开的专利，使用到了Pedersen承诺。其核心是Pedersen承诺结合双线性对构造了一种验证乘法关系的方案。

62

@廖飞强：有的。Pedersen承诺适合做简单的约束关系证明，对于复杂的关系证明都需要额外构造。另外要证明承诺值满足在一个特定范围，需要额外的范围证明提供支持。

@lekkoliu：zk-SNARKs零知识证明系统。还是挺期待的

@廖飞强：后续有零知识证明系统专题哈，欢迎持续关注！

第12论｜密码学原语如何应用？解析密文同态性的妙用

63

@李昊轩：目前利用同态性构造的密码协议非常多，比如支付、投票、竞拍等等隐私保护场景均会涉及。半同态加密方案已经比较成熟，能够满足大多数业务的需求。全同态近些年发展也很快，在医疗领域也有了一些应用，但是正如前面所说，还面临数据膨胀、复杂度高等问题，支持高频次和大数据量的业务需求，还需一定的努力。

64

@李昊轩：全同态方案目前除了性能瓶颈外，还面临业务方理解难度大、模型复杂等问题。但是按照当前的发展势头，发展可期。

65

@李昊轩：同态加密被广泛用于构造安全多方协议。同态加密本质是一种加密算法，即对数据的加密和解密。安全多方计算则是一种协议模型，即对数据进行一定处理，得到最终结果。两者相辅相成，不具有直接可比性。

66

@李昊轩：可以这样理解，同态加密可以用来实现安全多方计算，零知识证明可以用来保证安全多方计算的正确性。根据密文的同态性，可以巧妙构造一些零知识证明，从而证明这些不同密文之间的代数关系，如证明C(v1)=c(v2)+c(v3)。

67

@李昊轩：多密钥全同态加密在算法复杂度上与单密钥至少有10倍以上的差距，可以参考这篇文章《EfficientMulti-KeyHomomorphicEncryptionwithPackedCiphertextswithApplicationtoObliviousNeuralNetworkInference》

68

@李昊轩：在大部分情况下，多密钥同态性能都不如其他定制化的安全多方计算协议，目前多密钥同态在工程上的实现较少，仅有的工程实现资料主要是微软研究院针对SEAL做的扩充。

69

@李昊轩：这个网站总结了一些目前开源的全同态加密库，可以参考下：https://homomorphicencryption.org/introduction/

70

@李昊轩：比如在联盟链中，考虑到监管需求，链上机构可能需要将应用中的一些隐私数据上链，如营收账目、产品流量等。为了不泄露机密，机构可以使用监管方的公钥对这些信息进行加密，加密后，信息统计可交由代理机构完成。在这种场景下，由于需要针对密文进行计算，同态加密便可大展身手。

71

@李昊轩：这种说法在学术圈比较少见。全同态在密码学中一般指全同态加密FHE，FullyHomomorphicEncryption，或者我们一般说密文具备什么样的同态性。

72

@李昊轩：ZKSNARK是基于电路构造，原理上也是根据不同密文中对应的明文相互关联进行验证，这种也可以说是广义上的同态性。

73

@李昊轩：机器学习中经常面临的问题是计算模型不明确，如果是确定性的计算过程，比如说固定轮次的乘法这种，转换为加法，然后使用半同态方案就比较高效。

74

@李昊轩：半同态的算法目前比较成熟，我就不再赘述了。多密钥全同态的论文可以参考这篇《Multi-KeyFHEfromLWE》

第13论｜密码学原语如何应用？走近门限密码算法

75

@李昊轩：有多种替代第三方初始化的过程，我这里抛砖引玉给大家提供一种方法。一种常见的思想就是使用我们之前提到过的密文同态性，用户本地产生随机数，将私钥碎片放入密码信封中，作为密文共享，最后完成初始化的过程。

76

@李昊轩：门限密码学有很多通用算法，以门限签名为例，基于BLS的门限签名就是比较常用的实现方案，开源社区上有很多成熟实现。

77

@李昊轩：有一个很朴素的思想，就是一个实体拥有两份私钥，这样他对外的权重就可以理解为2。当然，更复杂的扩充方案密码学中也有考虑，但是如何在保证私钥权重隐私性的情况下，还能实现不同权重的占比，也是密码学一个很有意思的研究方向，这里也和安全多方可计算相关。

@唐炜：如果不考虑性能，可以切多份私钥，权重靠私钥的数量来划分。以前的方案里，门限都是用来解开备份密钥的。

78

@李昊轩：针对秘密共享是密码学原语之一，公钥加密和签名是公钥密码领域的设计。

79

@李昊轩：schnorr聚合签名是将n个公钥，对应的n个签名聚合在一起，减少验证签名成本的一种优良方案，和我们讲的门限签名不太一样，这里就没有展开。

80

@李昊轩：作为一种特殊的群签名，可扩充的门限密码方案在复杂度上都不是特别理想。成员新增、扩充等操作都依赖重复初始化的过程，这个也是一个很有意思的研究方向，就这个问题而言，大部分方案看上去都需要。

81

@李昊轩：可以参考《ThresholdSignatures,MultisignaturesandBlindSignaturesBasedontheGap-Diffie-Hellman-GroupSignatureScheme》这篇文章。这篇文章基于BLS做了门限签名的扩充，交互不需要两两交互，只需要所有成员共同交互一次就可以，剩下的过程可以用交互证明来省略。

82

这里关键是要不要把TEE中私钥导出，如果需要导出，那解决可用性问题的同时，其安全性的卖点也相当于打了折扣。

如果不从TEE中导出私钥，可以通过一些基于门限密码学的方案，联合使用多个硬件设备中的私钥共同生成一个公开公钥，这样可在一定程度上缓解可用性问题，但是这些方案，一般只支持静态的TEE设备组，不支持动态增加TEE设备，不能从根本上解决可用性问题。

83

@李昊轩：评价技术成熟度可以从学术研究和产业落地两方面考量，学术价值和产业应用不完全对等，但两者相辅相成。

@严强：有道理，在这个标准上，那TEE可能就更年轻了。

84

@严强：用户总是有选择的权力的。隐私保护的诉求很多时候是一个风险管理问题，如果收益很高，用户对隐私风险也不敏感，那信厂商和平台也无妨。但如果不是这个情况，可以酌情选择不参与，压根不提供数据，或者使用其他技术方案。

也会有一些观点提到，其他的软件通用方案都不能支持现有的实际业务需求，说的也不是没有道理。但是它并没有提定制化方案也走不通，我们在实际业务探索中发现，如果认真去提炼具体的业务场景需求，并围绕场景的共性为核心，设计定制化方案，也能很好满足需求，而且不需要引入任何中心化的可信第三方。

85

@严强

86

@严强：TEE的精髓在于，信则有。如果相信云服务商，自然可以用用他们的服务。否则的话，还是需要自己能够掌控TEE硬件。作为一项安全加固技术，TEE在自己机构内部，还是可以安心使用的。

《隐私保护周三见》

栏目内容含括以下五大模块：关键概念、法律法规、理论基础、技术剖析和案例分享，如您有好的建议或者想学习的内容，欢迎随时提出。

本文来源：巴比特
原文标题：密码学原语如何应用？精彩36问

—-

编译者/作者：巴比特

玩币族申明：玩币族作为开放的资讯翻译/分享平台，所提供的所有资讯仅代表作者个人观点，与玩币族平台立场无关，且不构成任何投资理财建议。文章版权归原作者所有。