27、基于不可区分混淆的同态见证加密

基于不可区分混淆的同态见证加密

在密码学领域，同态见证加密是一个重要的研究方向。本文将介绍一种基于子集和问题的乘法同态见证加密（MHWE）方案，探讨其构造、安全性证明以及相关成本。

1. 子集和问题的MHWE方案

子集和问题的一个实例包含一个子集 $A = {a_1, \cdots, a_n}$ 和一个目标值 $a_0$，其中 $a_0, a_1, \cdots, a_n \in Z_{n + 1}$。见证是一个集合 $I \subseteq A$，使得 $\sum_{i \in I} i = a_0$。我们使用霍纳法则对该问题实例进行编码，并基于ElGamal加密的变体为这些实例构建同态加密方案 $\Sigma$。

1.1 乘法同态见证加密算法

以下是MHWE方案的具体算法：
- MH.Setup(1λ) ：
1. 采样一个安全素数 $p$，计算 $Y_1 := g_1^{\alpha_1}$，$Y_2 := g_2^{\alpha_2}$，其中 $g_1, g_2 \in G_2$，$\alpha_1, \alpha_2 \leftarrow Z_q^2$。
2. 设置 $sk_1 = \alpha_1$，$pk_1 = (p, g_1, Y_1)$，$sk_2 = \alpha_2$，$pk_1 = (p, g_2, Y_2)$。
3. 生成 $crs = (crs_{GS} \leftarrow GS.Setup(1^{\lambda}), ck, cm \leftarrow Com(ck, 1^l))$。
4. 使用电路大小值等于 $\max{|P_3[sk_