60、公钥加密高级主题：Goldwasser - Micali加密方案深度解析

公钥加密高级主题：Goldwasser - Micali加密方案深度解析

1. 加密恢复与恶意对手分析

在加密系统中，存在一种消息恢复机制。假设 $c_1 = g^y$ 和 $c_2 = h^y \cdot M$，通过一系列计算可以正确恢复消息 $M$。具体计算过程为：
$\prod_{j = 1}^{t} w_j^{\delta_j} = \prod_{j = 1}^{t} c_1^{x_{ij} \delta_j} = c_1^{\sum_{j = 1}^{t} x_{ij} \delta_j} = c_1^{p(0)} = c_1^x$，进而 $M’ = \frac{c_2}{\prod_{j = 1}^{t} w_j^{\delta_j}} = \frac{h^y \cdot M}{c_1^x} = \frac{(g^x)^y \cdot M}{(g^y)^x} = M$。

值得注意的是，任意 $t - 1$ 个被破坏的机构从其份额中无法得知私钥 $x$ 的任何信息，并且在解密过程中，除了恢复出的值 $M$ 外，他们也无法获取其他信息。

然而，上述处理是基于解密机构和选民都诚实行为的假设。若解密机构不诚实，他们可通过发布任意值 $w_j$ 导致错误结果；选民若不诚实，加密一个大值或负值可能会不公平地影响选举结果。不过，防止此类恶意行为的技术不在本文讨论范围内。

2. 二次剩余相关概念及性质

在深入了解 Goldwasser - Micali 加密方案之前，需要先掌握二次剩余的相关知识，下面分别探讨模素数和模合数的二次剩余情况。

2.1 模素数的二次剩余

在群 $G$ 中，如果