28、选择性可追溯匿名性：原理与实现

选择性可追溯匿名性：原理与实现

1. 可强迫性与基本构建块

在匿名通信中，可强迫性是一个重要的考量因素。某些基于 DC - Net 的协议存在可强迫性问题，但通过对相关协议进行简单修改，可以实现不可强迫性。同时，通用转换不会改变底层协议的可强迫性或不可强迫性，这表明原则上可以实现强可追溯匿名性。

为了实现后续的技术目标，主要使用两个基本构建块：阈值 El Gamal 解密和群签名。
- 分布式 El Gamal 解密 ：使用公钥加密系统对标识消息发送者的信息进行加密。为了遵循特定的追踪策略，只有当某个追踪集 T 中的所有投票者都同意参与时，才能进行解密。具体要求如下：
1. 存在一个“聚合”公钥 y，可用于像常规公钥加密系统一样加密消息。
2. 每个投票者 vi 拥有一个秘密私钥 xi，可用于“部分”解密密文 C。除非追踪集 T 中的所有投票者都参与解密，否则解密在计算上是困难的。
- 群签名 ：群签名方案允许群成员匿名签署消息。具体来说，群成员可以对文档进行数字签名，使得可以验证文档是由群成员签署的，但在指定的群管理员“打开”签名之前，无法确定是哪个特定的群成员签署的。群签名方案由以下五个过程组成：
- SETUP ：输出初始群公钥 GPK（包括所有系统参数）和群管理员的秘密密钥。
- JOIN ：允许新用户加入群。用户的输出是成员证书和成员秘密。
- SIGN(m) ：给定 GPK、成员证书和秘密以及消息 m，输出对 m 的群签名。