19、受限洗牌证明：理论与实践

受限洗牌证明：理论与实践

1. 引言

在许多应用场景中，如选举投票，发送者希望在发送消息的同时保持匿名性。Chaum引入了混币网络（Mix - Net）的概念来解决这一问题。混币网络是一种由多个混币服务器执行的加密协议，其输入是一组密文列表，混币服务器按顺序对密文进行处理，包括解密和/或重新加密，并以随机顺序输出处理后的密文，这一操作被称为洗牌。

1.1 混币网络的工作原理

• 输入与处理流程 ：假设有N个发送者 (S_1, \cdots, S_N)，混币网络由k个混币服务器 (M_1, \cdots, M_k) 执行（通常 (k \ll N)）。所有可证明安全的混币网络都以密文列表 (L_0) 作为输入，混币服务器按链状排列。每个混币服务器 (M_j) 接收前一个服务器的输出 (L_{j - 1})，对其中的每个密文进行处理，然后以随机顺序形成自己的输出 (L_j)。
• 加密与解密方式 ：在Chaum的原始构造中，使用通用密码系统，发送者将消息 (m_i) 加密为 (Epk_1(Epk_2(\cdots Epk_k(m_i) \cdots)))，其中 (pk_j) 是第j个混币服务器的公钥，混币服务器使用标准解密方法处理密文。而Park等人发现，使用同态密码系统可以避免提交密文大小的增加，并且简化了零知识证明的构造，即证明混币服务器正确洗牌其输入的证明。

1.2 混币网络的安全性

• 早期安全定义 ：Abe和Imai首次在独立模型中形式化了混币网络的安全性，但未提