58、公钥加密高级主题：陷门置换与Paillier加密方案

公钥加密高级主题：陷门置换与Paillier加密方案

1. 陷门置换

陷门置换是公钥加密中的一个重要概念。在之前对单向置换族的讨论中，基于RSA假设能自然地得到单向置换族。不过，有一种特殊的单向置换族，其参数生成算法Gen在输出I的同时，还会输出一些额外信息，这些信息能实现对函数$f_I$的高效求逆，我们将这些额外信息称为陷门。

下面是陷门置换族的正式定义：
一个由多项式时间算法组成的元组$(Gen, Samp, f, Inv)$是陷门置换族（或陷门置换），需满足以下条件：
- 概率性参数生成算法Gen，输入$1^n$，输出$(I, td)$，且$|I| \geq n$。每个I值定义一个集合$D_I$，它构成置换（即双射）$f_I : D_I \to D_I$的定义域和值域。
- 设$Gen_1$是运行Gen后仅输出I的算法，那么$(Gen_1, Samp, f)$是一个单向置换族。
- 设$(I, td)$是$Gen(1^n)$的输出，确定性求逆算法Inv，输入td和$y \in D_I$，输出$x \in D_I$，记为$x := Inv_{td}(y)$。要求在$Gen(1^n)$输出的$(I, td)$和$x$在$D_I$中均匀选择的情况下，除了可忽略的概率外，有$Inv_{td}(f_I(x)) = x$。

为了简便，我们通常省略对Samp的明确提及，直接称陷门置换为$(Gen, f, Inv)$。对于$Gen$输出的$(I, td)$，我们用$x \leftarrow D_I$表示$x$在$D_I$中均匀选择。

从上述定义可以看出，没有陷门td时，很难对$f_I$进行求逆；但有了陷门td，就能高效地完成求逆操