58、现代公钥加密高级主题：陷门置换与Paillier加密方案解析

现代公钥加密高级主题：陷门置换与Paillier加密方案解析

1. 陷门置换

陷门置换是构建安全加密方案的重要概念。回顾函数族和单向置换族的定义，RSA假设自然地引出了一个单向置换族。而我们给出的构造（Construction 9.77）有一个特殊性质：参数生成算法Gen在输出I的同时，还会输出一些额外信息，这些信息能使fI高效求逆，我们将这些额外信息称为陷门。

下面是陷门置换的正式定义：
定义15.1：一个多项式时间算法的元组(Gen, Samp, f, Inv)是一个陷门置换族（或陷门置换），需满足以下条件：
- 概率参数生成算法Gen，输入1n，输出(I, td)，其中|I| ≥ n。每个I值定义一个集合DI，它构成了置换（即双射）fI : DI → DI的定义域和值域。
- 设Gen1是运行Gen后仅输出I的算法。那么(Gen1, Samp, f)是一个单向置换族。
- 设(I, td)是Gen(1n)的输出。确定性求逆算法Inv，输入td和y ∈ DI，输出x ∈ DI，记为x := Invtd(y)。要求在Gen(1n)输出的(I, td)和从DI中均匀选择的x的所有情况中，除了可忽略的概率外，都有Invtd(fI(x)) = x。

为了简便，我们省略对Samp的明确提及，简单地将陷门置换表示为(Gen, f, Inv)。对于Gen输出的(I, td)，我们用x ← DI表示从DI中均匀选择x。

上述第二个条件意味着，如果没有td，就无法高效地对fI求逆；而最后一个条件则表明，有了td，就可以高效地对fI求逆。如果相对于GenRSA，RSA问题是困难的，那么Construction 9.77可以修改为一个陷门