41、电子投票协议隐私类型属性验证初探

电子投票协议隐私类型属性验证初探

1. 引言

在电子投票协议分析中，我们采用Dolev - Yao抽象，即假设加密原语完美工作，攻击者控制公共信道。攻击者能查看、拦截和插入公共信道上的消息，但只有拥有相关密钥时才能进行加密、解密、签名等操作。通常，我们假设攻击者还控制选举官员，不过部分协议明确要求的可信设备（如智能卡）不被攻击者控制。

2. 应用π演算

应用π演算是一种描述并发进程及其交互的语言，基于早期的π演算，它比π演算更丰富，同时保持数学严谨性，在实际应用中更方便。与spi演算类似，但应用π演算允许通过等式理论定义广泛的原语，这在电子投票协议中很有用，因为其加密通常复杂且特定。

2.1 语法和非正式语义

• 消息 ：描述应用π演算中的进程，需从无限的名称集、无限的变量集和签名Σ开始。安全协议中，典型的函数符号有用于加密的 enc 和用于解密的 dec 。项由名称、变量和函数符号应用于其他项定义。通过等式理论E描述签名构建的项上的等式，用 =E 表示由E诱导的等价关系。
  • 示例1：设Σ = {enc, dec}，enc和dec的元数均为2。若a, b, c为名称，x, y, z为变量，则 enc(a, b) 是一个基础项， dec(enc(a, b), y) 也是一个项。
  • 示例2：等式理论 dec(enc(x, y), y) = x 用于对称加密建模。在此理论中， T1 := dec(enc(enc(n, k), k′), k′) 和 T2 := enc(n, k) 满足 T1 =E T2 ，但语法上 T1 ≠ T2 。
• 进程 ：应用π演算中有两种进程，即普通进程（用P, Q, R表示）和扩展进程（用A, B, C表示）。
  • 普通进程语法：

P, Q, R :=
plain processes
0
in(u, x).P
out(u, N).P
if M = N then P else Q
P | Q
!P
νn.P

- 扩展进程语法：

A, B, C := extended processes
P
A | B
νn.A
νx.A
{M/x}

- 各进程含义：
    - `0`：不执行任何操作的普通进程。
    - `in(u, x).P`：在信道u上等待接收消息，然后将x替换为接收到的消息并继续执行P。
    - `out(u, N).P`：在信道u上输出项N，然后继续执行P。
    - `if M = N then P else Q`：若M和N在等式理论中相等则执行P，否则执行Q。
    - `P | Q`：并行执行P和Q。
    - `!P`：有限次数执行P。
    - `νn.P`：创建一个新名称n并继续执行P。
    - 扩展进程中的`{M/x}`是活动替换，表示输出了项M。
    - 例如，`νk.out(c, enc(a, k)).P`输出`enc(a, k)`后变为`νk.(P | {enc(a,k)/x})`，环境可将`enc(a, k)`称为x。

2.2 语义

应用π演算中进程的操作语义由结构规则定义两个关系：结构等价（记为≡）和内部归约（记为→）。
- 结构等价 ：考虑到进程语法中一些不重要的区别，如 P | Q 和 Q | P 结构等价。结构等价是扩展进程上最小的等价关系，满足α - 转换、评估上下文应用等规则，还有与活动替换和等式理论相关的规则：
- νx.{M/x} ≡ 0
- {M/x} | A ≡ {M/x} | (A{M/x})
- {M/x} ≡ {N/x} if M =E N
- 示例3：进程 νs, k.(out(c1, enc(s, k)) | in(c1, y).out(c2, dec(y, k))) 与扩展进程 νs, k, x1.(out(c1, x1) | in(c1, y).out(c2, dec(y, k)) | {enc(s,k)/x1}) 结构等价。
- 内部归约 ：是扩展进程上最小的关系，满足结构等价和评估上下文应用，规则如下：
- (Comm) out(a, x).P | in(a, x).Q → P | Q
- (Then) if M = M then P else Q → P
- (Else) if M = N then P else Q → Q (M ≠E N)

2.3 观察等价

观察等价（≈）是封闭扩展进程之间的最大对称关系，定义如下：
- 若 A ⇓a ，则 B ⇓a 。
- 若 A →∗A′ ，则存在 B′ 使得 B →∗B′ 且 A′ R B′ 。
- 对于所有封闭评估上下文 C[ ] ，有 C[A] R C[B] 。
- 示例4：设E为 dec(enc(x, y), y) = x 的理论， P0 = out(c, enc(s0, k)) 和 Q0 = out(c, enc(s1, k)) ，当k为秘密密钥时， νk.P0 ≈ νk.Q0 ；若k对攻击者可用，则 P0 ≠ Q0 。

3. 形式化投票协议

投票进程是一个封闭的普通进程，定义如下：

VP ≡ ν˜n.(V σ1 | · · · | V σn | A1 | · · · | Am)

其中，V是模板选民进程， V σi 是实际选民进程， Ajs 是需要诚实的选举当局， ˜n 是信道名称。我们还定义了评估上下文S，它与VP类似，但有两个 V σi 的位置为空洞。

4. 形式化隐私类型属性

4.1 投票隐私

投票隐私属性旨在保证给定选民V与其投票v之间的关联不被泄露。为合理定义隐私，需假设至少有两个诚实选民VA和VB，其投票分别为a和b。若一个进程中VA投a且VB投b与另一个进程中VA投b且VB投a在观察上等价，则该投票协议尊重投票隐私，形式化定义如下：

S[VA{a/v} | VB{b/v}] ≈ S[VA{b/v} | VB{a/v}]

对于所有可能的投票a和b都成立。

4.2 无收据性

无收据性也可形式化为观察等价。为模拟选民VA向胁迫者提供秘密信息（收据），定义了进程 P ch ：

– 0ch = 0,
– (P | Q)ch = P ch | Qch,
– (νn.P)ch = νn.out(ch, n).P ch when n is name of base type,
– (νn.P)ch = νn.P ch otherwise,
– (in(u, x).P)ch = in(u, x).out(ch, x).P ch when x is a variable of base type,
– (in(u, x).P)ch = in(u, x).P ch otherwise,
– (out(u, M).P)ch = out(u, M).P ch,
– (!P)ch = !P ch,
– (if M = N then P else Q)ch = if M = N then P ch else Qch.

还定义了 A\out(ch,·) := νch.(A |!in(ch, x)) 。投票协议具有无收据性的定义为：存在一个封闭的普通进程V′，使得：

– V ′\out(chc,·) ≈ VA{a/v},
– S[VA{c/v}chc | VB{a/v}] ≈ S[V ′ | VB{c/v}],

对于所有可能的投票a和c都成立。

下面是一个简单的mermaid流程图，展示投票协议的基本流程：

graph LR
    A[开始] --> B[选民投票]
    B --> C[选举当局处理]
    C --> D[公布结果]
    D --> E[结束]

表格展示投票协议的两种隐私类型属性：
| 属性 | 定义 |
| ---- | ---- |
| 投票隐私 | S[VA{a/v} | VB{b/v}] ≈ S[VA{b/v} | VB{a/v}] |
| 无收据性 | 存在V′，使 V ′\out(chc,·) ≈ VA{a/v} 且 S[VA{c/v}chc | VB{a/v}] ≈ S[V ′ | VB{c/v}] |

电子投票协议隐私类型属性验证初探（续）

5. 投票协议形式化示例

为了更好地理解如何将投票协议形式化，下面我们详细探讨两个从相关文献中选取的投票协议，并展示如何在上述框架中对它们进行形式化处理，同时分析它们满足哪些隐私类型属性。

5.1 协议一：基于简单加密的投票协议

该协议的核心思想是选民使用加密算法对自己的投票进行加密，然后将加密后的投票发送给选举当局。选举当局在收集完所有投票后，使用对应的密钥进行解密并统计结果。

• 形式化表示 ：
  • 模板选民进程 V ：

V := νk.(out(channel, enc(v, k)).P)

其中， k 是选民生成的加密密钥， v 是投票值， channel 是公共信道， enc 是加密函数， P 是后续处理进程。
- 选举当局进程 A ：

A := in(channel, x).dec(x, k').count()

其中， x 是接收到的加密投票， k' 是选举当局持有的解密密钥， dec 是解密函数， count() 是统计投票结果的函数。

• 隐私属性分析 ：
  • 投票隐私 ：假设存在两个诚实选民 VA 和 VB ，其投票分别为 a 和 b 。在这个协议中，如果加密算法足够安全，攻击者无法从加密后的投票中获取投票内容。因此， S[VA{a/v} | VB{b/v}] 和 S[VA{b/v} | VB{a/v}] 在观察上是等价的，该协议满足投票隐私属性。
  • 无收据性 ：由于选民在投票过程中没有产生可以作为收据的信息，因此该协议也满足无收据性。

5.2 协议二：基于多方计算的投票协议

该协议利用多方计算技术，使得多个选举当局共同参与投票的统计过程，从而提高投票的安全性和隐私性。

• 形式化表示 ：
  • 模板选民进程 V ：

V := out(channel, v).P

其中， v 是投票值， channel 是公共信道， P 是后续处理进程。
- 选举当局进程 A1, A2, ..., Am ：

A1 := in(channel, x).share(x).P1
A2 := in(channel, share).combine(share).P2
...
Am := in(channel, combined).count(combined)

其中， share(x) 是将投票值进行分享的函数， combine(share) 是将分享的投票值进行组合的函数， count(combined) 是统计组合后投票结果的函数。

• 隐私属性分析 ：
  • 投票隐私 ：在多方计算的过程中，每个选举当局只能获取部分投票信息，无法单独确定某个选民的投票内容。因此，该协议满足投票隐私属性。
  • 无收据性 ：由于选民直接将投票值发送到公共信道，没有产生可以作为收据的信息，因此该协议也满足无收据性。

6. 总结与展望

通过以上对电子投票协议隐私类型属性的研究，我们可以得出以下结论：

• 应用π演算为电子投票协议的形式化分析提供了一个强大的工具，它允许我们对协议的安全性和隐私性进行精确的描述和验证。
• 投票隐私和无收据性是电子投票协议中重要的隐私类型属性，通过观察等价的方式可以对它们进行形式化定义和验证。
• 不同的投票协议在满足隐私类型属性方面可能存在差异，我们需要根据具体的应用场景选择合适的协议。

未来的研究方向可以包括：

• 进一步扩展应用π演算的功能，以处理更复杂的电子投票协议。
• 研究如何在实际应用中实现电子投票协议的隐私类型属性，提高协议的实用性和安全性。
• 探索新的隐私类型属性，以满足不断变化的电子投票需求。

下面是一个mermaid流程图，展示电子投票协议分析的整体流程：

graph LR
    A[选择投票协议] --> B[形式化表示]
    B --> C[隐私属性分析]
    C --> D{是否满足属性}
    D -- 是 --> E[应用协议]
    D -- 否 --> F[改进协议]
    F --> B

表格展示两个示例协议的隐私属性满足情况：
| 协议 | 投票隐私 | 无收据性 |
| ---- | ---- | ---- |
| 基于简单加密的投票协议 | 是 | 是 |
| 基于多方计算的投票协议 | 是 | 是 |

通过以上的研究和分析，我们可以更好地理解电子投票协议的隐私类型属性，并为设计和实现安全、隐私的电子投票系统提供理论支持。