28、基于格的洗牌证明及其在电子投票中的应用

基于格的洗牌证明及其在电子投票中的应用

1 引言

可验证的已知值洗牌是一种证明一组承诺对应于一组已知消息的方法，同时不泄露承诺与消息之间的具体对应关系。一种常见的方法是Neff提出的：定义两个多项式，一个以已知消息为根，另一个以承诺的值为根。由于多项式的根进行排列时多项式保持不变，因此只需证明这两个多项式在随机选择的点上具有相同的求值即可。

证明第二个多项式在给定点具有给定的求值可以通过对承诺进行乘法和加法证明来完成。通常，对承诺值进行乘法证明的成本较高，而对具有公共系数的承诺值进行线性组合证明的成本相对较低。遵循Neff的思路，特定带状矩阵的行列式是两个多项式的差，通过证明矩阵的列线性相关，就可以证明这两个多项式相等。

2 主要贡献

• 可验证的已知值洗牌 ：提出了一种基于格承诺的可验证已知值洗牌方法，这是第一个基于候选后量子安全假设的高效构造。该构造基于Neff的技术，但在基于格的环境中存在一些障碍。许多群同态承诺方案允许直接或非常简单地验证任意线性关系，但目前已知的后量子安全承诺方案没有类似结构，因此需要对现有的线性关系证明进行调整。此外，底层代数结构是环而不是域，需要从特殊的可逆元素集合中选择挑战，并仔细调整证明以确保洗牌的正确性。为了使构造实用，使用Fiat - Shamir变换使底层的零知识证明变为非交互式，但安全证明仅在传统的随机预言机模型中成立，构造后量子安全的可验证已知值洗牌仍是一个开放问题。
• 基于格的投票系统 ：构建了第一个适用于更一般选票（如各种形式的排序选择投票）的实用投票系统，该系统基于格假设是安全的。采用了与已部署的加密