A Verifiable Secret Shuffle of Homomorphic Encryptions学习笔记

A Verifiable Secret Shuffle of Homomorphic Encryptions为Jens Groth 2010年论文，提出了多个算法：

• 基于a commitment containing a permutation of a set of publicly known messages的证明算法。
• 基于密文（具有同态属性加密的密文）的shuffle证明算法【7-move public coin HVZK argument】，该算法具有如下特点：
  1）argument size与所使用的加密系统无关，且比shuffle本身的size也要小；
  2）使用了multi-exponentiation和batch-verification技术。
  3）基于Neff[36]样式，无需trusted setup：polynomials being identical under permutation of their roots。
• 基于a combined shuffle-and-decrypt operation正确性的证明算法。【该算法可用于采用EIGamal encryption构建的mix-nets的decrypt。将shuffle和decrypt combine一起比分别单独操作可节约计算资源。】

1. homomorphic cryptosystems同态加密系统

1.1 Homomorphic Encryption 同态加密

满足要求的有Paillier encryption[45]和EIGamal encryption[16]。

1.2 Homomorphic Commitment

commitment应具有hiding和binding属性。满足要求的有Pedersen commitment：$c=co{m}_{ck}(m_1,\cdots ,m_n;r)=g_1^{m_1}\cdots g_n^{m_n}{h}^r$。

2. shuffle of known contents 明文shuffle证明。

Common input：commit key $ck$ 和 messages $m_1,\cdots ,m_n$。
Witness：permutation $\pi$ 和 randomizer $r$。
Prover：$c=co{m}_{ck}(m_{\pi (1)},\cdots ,m_{\pi (n)};r)$。
证明：$c$为messages $m_1,\cdots ,m_n$的 shuffle commitment。

基本原理有：多项式$p(X)={\prod }_{i=1}^n(m_i-X)$ is stable under permutation of the roots for any permutation $\pi$，即$p(X)={\prod }_{i=1}^n(m_i-X)={\prod }_{i=1}^n(m_{\pi (i)}-X)$
转为证明：witness ${\mu }_1,\cdots ,{\mu }_n,r$使得$c=co{m}_{ck}({\mu }_1,\cdots ,{\mu }_n;r)$， ${\prod }_{i=1}^n(m_i-X)={\prod }_{i=1}^n({\mu }_i-X)$成立，由于working over a field ${\mathbb{Z}}_q$，等式成立意味着存在permutation $\pi$，使得${\mu }_i=m_{\pi (i)}$。

Verifier给Prover：random challenge $x\in {\mathbb{Z}}_q$。
转为证明：${\prod }_{i=1}^n(m_i-x)={\prod }_{i=1}^n({\mu }_i-x)$

整体思路为：
1）证明knowledge of opening ${\mu }_1,\cdots ,{\mu }_n,r$ of $c$。借助sigma-protocol思路：

• Prover: commit to random $d_1,\cdots ,d_n$，$c_d=co{m}_{ck}(d_1,\cdots ,d_n;r_d)$。Prover将$c_d$发送给Verifier。
• Verfier: Challenge $e$。
• Prover：for $i=1,\cdots ,n$，计算$f_i=e{\mu }_i+d_i，z=er+r_d$，将$f_1,\cdots ,f_n,z$发送给Verifier。
• Verifier：验证$c^e{c}_d=co{m}_{ck}(f_1,\cdots ,f_n;z)$成立，即完成证明knowledge of opening ${\mu }_1,\cdots ,{\mu }_n,r$ of $c$。

2）Verifier收到$f_1,\cdots ,f_n$后，构建$f_i-ex=e({\mu }_i-x)+d_i$，有${\prod }_{i=1}^n(f_i-ex)=e^n{\prod }_{i=1}^n({\mu }_i-x)+p_{n-1}(e)$，其中$p_{n-1}(\cdot )$为$n-1$阶多项式。
转为证明${\prod }_{i=1}^n(f_i-ex)=e^n{\prod }_{i=1}^n({\mu }_i-x)+p_{n-1}(e)=e^n{\prod }_{i=1}^n(m_i-x)+p_{n-1}(e)$，由于$e$为随机选择的，即可证明${\prod }_{i=1}^n(m_i-x)={\prod }_{i=1}^n({\mu }_i-x)$成立。
为了证明${\prod }_{i=1}^n(f_i-ex)=e^n{\prod }_{i=1}^n(m_i-x)+p_{n-1}(e)$，思路如下：

• Prover：commit to random ${\Delta }_1,{\Delta }_2,\cdots ,{\Delta }_{n-1},{\Delta }_n$，其中${\Delta }_1=d_1$以保证后续的$F_1=f_1-ex$，${\Delta }_n=0$以保证后续的$F_n=e{\prod }_{i=1}^n(m_i-x)$。除${\Delta }_1和{\Delta }_n$之外，其它${\Delta }_i$均为随机值。
  因为构建的$$f_{{\Delta }_j}=-e{\prod }_{i=1}^j(u_i-x)d_{j+1}-e(u_{j+1}-x){\Delta }_j+e{\Delta }_{j+1}-{\Delta }_j{d}_{j+1}=e({\Delta }_{j+1}-(u_{j+1}-x){\Delta }_j-{\prod }_{i=1}^j(u_i-x)d_{j+1})-{\Delta }_j{d}_{j+1}$，Prover需分别对$({\Delta }_{j+1}-(u_{j+1}-x){\Delta }_j-{\prod }_{i=1}^j(u_i-x)d_{j+1})$和$-{\Delta }_j{d}_{j+1}$进行commit：$c_{\Delta }=co{m}_{ck}(-{\Delta }_1{d}_2,\cdots ,-{\Delta }_{n-1}{d}_n;r_{\Delta })$，
  $c_a=co{m}_{ck}(({\Delta }_2-(u_2-x){\Delta }_j-{\prod }_{i=1}^1(u_i-x)d_2),\cdots ,({\Delta }_n-(u_n-x){\Delta }_{n-1}-{\prod }_{i=1}^{n-1}(u_i-x)d_n);r_a)$
  Prover将$c_{\Delta },c_a$发送给Verifier。
• Verifier：Challenge $e$。
• Prover：for $j=1,\cdots ,n$，构建$F_j=e{\prod }_{i=1}^j({\mu }_i-x)+{\Delta }_j$，其中$F_1=f_1-ex，F_n=e{\prod }_{i=1}^n(m_i-x)$，同时$F_j(f_{j+1}-ex)=(e{\prod }_{i=1}^j({\mu }_i-x)+{\Delta }_j)(e{u}_{j+1}+d_{j+1}-ex)=(e{\prod }_{i=1}^j({\mu }_i-x)+{\Delta }_j)(e(u_{j+1}-x)+d_{j+1})=e^2{\prod }_{i=1}^{j+1}({\mu }_i-x)+e{\Delta }_{j+1}-f_{{\Delta }_j}=e{F}_{j+1}+f_{{\Delta }_j}$，其中$f_{{\Delta }_j}=-e{\prod }_{i=1}^j(u_i-x)d_{j+1}-e(u_{j+1}-x){\Delta }_j+e{\Delta }_{j+1}-{\Delta }_j{d}_{j+1}$为$e$的线性函数（一阶多项式）。
  Prover将$f_{{\Delta }_1},\cdots ,f_{{\Delta }_{n-1}},z_{\Delta }=e{r}_a+r_{\Delta }$发送给Verifier。
  $\Rightarrow e{F}_{j+1}=F_j(f_{j+1}-ex)+f_{{\Delta }_j}$，将该递归公式展开有：$e^{n-1}{F}_n={\prod }_{i=1}^n(f_i-ex)-p_{n-1}(e)$，其中$p_{n-1}$为a degree $n-1$ polynomial in $e$。
• Verifier：验证$e^{n-1}{F}_n=e^n{\prod }_{i=1}^n(m_i-x)={\prod }_{i=1}^n(f_i-ex)-p_{n-1}(e)$成立，从而即可证明${\prod }_{i=1}^n(m_i-x)={\prod }_{i=1}^n({\mu }_i-x)$成立。

总的shuffle of known contents 明文shuffle证明算法实现为：

• Special Honest Verifier Zero-Knowledge：即Simulator可在不知道Witness：permutation $\pi$ 和 randomizer $r$的情况下，在提前知道challenge $x$和$e$的情况下，可仿真使argument被verifier验证通过。下图的hybrid argument和simulate argument差别仅在$c_a$的内容不同，因commitment具有hiding属性，所以hybrid argument和simulate argument具有indistinguishability。
  
• Witness-Extended Emulation：
  

3. SHVZK Argument for Shuffle of Homomorphic Encryptions 基于密文（具有同态属性加密的密文）的shuffle证明算法

与第二节基于明文的shuffle情况不同，用于shuffle的为密文$e_1,\cdots ,e_n$，而不再是明文了。
Common input：commit key $ck$、encrypted messages $e_1,\cdots ,e_n$和shuffle后的密文$E_1=e_{\pi (1)}{\epsilon }_{pk}(1;R_1),\cdots ,E_1=e_{\pi (n)}{\epsilon }_{pk}(1;R_n)$。
Witness：permutation $\pi$ 和 randomizers $R_1,\cdots ,R_n$。
证明：存在permutation $\pi$ 使得the plaintexts of $E_1,\cdots ,E_n$和the plaintexts of $e_{\pi (1)},\cdots ,e_{\pi (n)}$是相同的。

直观的思路是：若Prover可将permutation $\pi$ 发送给Verifier，则Verifier可选择任意的随机值$t_1,\cdots ,t_n$发送给Prover；Prover发送${\prod }_{i=1}^n{e}_i^{t_i}$；Verifer只需验证${\prod }_{i=1}^n{e}_i^{t_i}={\prod }_{i=1}^n{E}_i^{t_{\pi (i)}}$即可。

但是，若想保持permutation $\pi$ 不被泄露给Verifier，相应的实现思路为：
1）Prover: 对permutation $\pi$进行commit：$c=co{m}_{ck}(\pi (1),\cdots ,\pi (n);r)$，其实就是对数字$1,\cdots ,n$的permutation commit。只需证明$c$为a commit to a permutation of the numbers $1,\cdots ,n$，这样就可以保证the prover is bound to some permutation he knows, but the permutation remains hidden.

• Prover：选择随机值$-d_1,\cdots ,-d_n$，用于保护permutation $\pi$不被reveal。$c_d=co{m}_{ck}(-d_1,\cdots ,-d_n;r_d)$
  Prover给Verfier发送$c_d$。
• Verifier：challenges $t_1,\cdots ,t_n$。
• Prover：对收到的$t_1,\cdots ,t_n$按相同的permutation $\pi$进行permute，计算$f_i=t_{\pi (i)}+d_i$。
  Prover给Verifier发送$f_1,\cdots ,f_n$。

2）接下来要证明$f_i$ have been formed correctly, using the same permutation $\pi$ that used to form $c$。
Witness:$\pi$
Common Input: $c=co{m}_{ck}(\pi (1),\cdots ,\pi (n);r)$，$(f_1,\cdots ,f_n)$【即$(t_{\pi (1)},\cdots ,t_{\pi (n)})$】以及$(t_1,\cdots ,t_n)$
证明：$(f_1,\cdots ,f_n)$中的permutation $\pi$和commitment $c$中的permutation $\pi$是相同的。

• Verifier：challenge $\lambda$。
• Common input: 构建向量$(m_1,\cdots ,m_n)=(\lambda \cdot 1+t_1,\cdots ,\lambda \cdot n+t_n)$
• Prover：利用witness permutation $\pi$ 构建向量$(m_{\pi (1)},\cdots ,m_{\pi (n)})=(\lambda \pi (1)+t_{\pi (1)},\cdots ,\lambda \pi (n)+t_{\pi (n)})$，引入随机值$\rho$，Prover 计算$c_{\lambda }=co{m}_{ck}(\lambda \pi (1)+t_{\pi (1)},\cdots ,\lambda \pi (n)+t_{\pi (n)};\rho )=co{m}_{ck}((m_{\pi (1)},\cdots ,m_{\pi (n)});\rho )$。
  Prover发送给Verifier $c_{\lambda }$。
• Verifier：
  （1）利用commitment的加法同态性，验证$c_{\lambda }=c^{\lambda }{c}_{d}co{m}_{ck}(f_1,\cdots ,f_n;0)$成立；
  （2）转为证明已知$c_{\lambda }=co{m}_{ck}((m_{\pi (1)},\cdots ,m_{\pi (n)});\rho )和(m_1,\cdots ,m_n)$，证明Prover知道相应的permutation $\pi$和randomizer $\rho$，显然地，可以借助第二节的“shuffle of known contents 明文shuffle证明”来实现。
  

3）上述步骤1）和2）实现了permutation $\pi$的不暴露证明。
最后需证明permutation $\pi$ 使得the plaintexts of $E_1,\cdots ,E_n$和the plaintexts of $e_{\pi (1)},\cdots ,e_{\pi (n)}$是相同的，则应满足${\prod }_{i=1}^n{e}_i^{t_i}{\prod }_{i=1}^n{E}_i^{d_i}={\prod }_{i=1}^n{E}_i^{f_i}$。
Prover：在收到challenge $t_1,\cdots ,t_n$之前，在发送$c_d=co{m}_{ck}(-d_1,\cdots ,-d_n;r_d)$的同时，也发送$E_d={\prod }_{i=1}^n{E}_i^{-d_i}{\epsilon }_{pk}(1;R_d)$
Verifier：challenges $t_1,\cdots ,t_n$。
Prover：发送$Z={\sum }_{i=1}^n{t}_{\pi (i)}{R}_i+R_d$。
Verifier： 验证${\prod }_{i=1}^n{e}_i^{-t_i}{\prod }_{i=1}^n{E}_i^{f_i}{E}_d={\epsilon }_{pk}(1;Z)$成立。

至此，整个算法细节如下：

4. 基于a combined shuffle-and-decrypt operation正确性的证明算法

针对的场景为：
mix-net中，选民会将其投票信息$m$进行加密，加密后的投票信息会经多个mix-servers进行shuflle并证明信息未被篡改。最终统计选举结果时，需要对多个mix-servers shuffle后密文信息进行解密，查看明文的投票信息。

直观的做法是mix-servers先做shuffle和相应的证明，验证shuffle没有被篡改后，再依次调用各mix-servers进行threshold decryption，最终解密出明文投票信息。整个过程中，每个mix-server均需被激活两次。

若在shuffle的同时也做threshold decryption，则可将每个mix-server的激活次数降为1次，同时亦能节约计算资源。

以EIGamal encryption为例，假设有$N$个mix-server服务器，每个服务器$j$的私钥为$x_j$，对应的公钥为$y_j=g^{x_j}$，整个mix-net的public key 为$(g,y_1,\cdots ,y_N)$。假设共有$n$个选民投票信息$m_1,\cdots ,m_n$，对选民的投票信息$m_i$加密为：$(u_i,v_i)=(g^r,({\prod }_{j=1}^N{y}_j{)}^r{m}_i)$

• 第一个mix-server：输入为$(u_1,v_1),\cdots ,(u_n,v_n)$，利用permutation $\pi$ 和randmizers $R_1,\cdots ,R_n$进行shuffle并用其私钥$x_1$进行decrypt，结果为：$(U_i,V_i)=(g^{R_i}{u}_{\pi (i)},Y^{R_i}{v}_{\pi (i)}{u}_{\pi (i)}^{-x_1})$【其中$Y={\prod }_{j=2}^N{y}_j$】，同时为shuffle和decrypt操作提供证明。给第二个服务器传送密文$(u_i,v_i)=(U_i,V_i),fori=1,\cdots ,n$。
• 第二个mix-server：输入为$(u_1,v_1),\cdots ,(u_n,v_n)$，利用新的permutation $\pi$ 和新的randmizers $R_1,\cdots ,R_n$进行shuffle并用其私钥$x_2$进行decrypt，结果为：$(U_i,V_i)=(g^{R_i}{u}_{\pi (i)},Y^{R_i}{v}_{\pi (i)}{u}_{\pi (i)}^{-x_2})$【其中$Y={\prod }_{j=3}^N{y}_j$】，同时为shuffle和decrypt操作提供证明。给第三个服务器传送密文$(u_i,v_i)=(U_i,V_i),fori=1,\cdots ,n$。
• $⋮$
• 最后一个mix-server：shuffle并用私钥$x_N$解密后即得相应的明文投票信息$m$，并提供相应证明。为最终选举结果统计提供明文投票信息$m$。

通用地，假设有$n$个选民投票信息$m_1,\cdots ,m_n$，则mix-server $s$收到的input ciphertexts of the form $(u_1,v_1),\cdots ,(u_n,v_n)$ under the key $(g,{\prod }_{j=s}^N{y}_j)$，通过随机选择permutation $\pi$和randomizers $R_1,\cdots ,R_n$，对应的输出为$(U_1,V_1),\cdots ,(U_n,V_n)$ under the key $(g,Y={\prod }_{j=s+1}^N{y}_j)$，输入与输出有如下对应关系：
$U_i=g^{R_i}{u}_{\pi (i)},V_i=Y^{R_i}{v}_{\pi (i)}{u}_{\pi (i)}^{-x_s}$
然后需要为以上shuffle-and-decrypt操作正确性提供零知识证明。
在第三节SHVZK Argument for Shuffle of Homomorphic Encryptions 基于密文（具有同态属性加密的密文）的shuffle证明算法的基础上，增加了argue correctness of the partial decryption的算法——如prove knowledge of the secret key $x_s$ and argue that it has been used to make partial decryptions。
总体思路为：
1）prove knowledge of the secret key $x_s$。借助sigma-protocol思路：
Common input: public key $y_s=g^{x_s}$。
Prover: 选择随机值$d_x$，发送$D=g^{d_x}$。
Verifier：发送challenge $e$。
Prover：发送$f=e{x}_s+d_x$。
Verifier：验证$g^f=y_s^{e}D$成立即可。
2）利用第三节算法证明$(U_1,\cdots ,U_n)=(g^{R_1}{u}_{\pi (1)},\cdots ,g^{R_1}{u}_{\pi (n)})$：
${\prod }_{i=1}^n{U}_i^{f_i}={\prod }_{i=1}^n(g^{R_i}{u}_{\pi (i)}{)}^{t_{\pi (i)}+d_i}=g^{{\sum }_{i=1}^n(t_{\pi (i)}{R}_i)+R_d}\ast ({\prod }_{i=1}^n{u}_i^{t_i})\ast ({\prod }_{i=1}^n{U}_i^{d_i}{g}^{-R_d})$

3）利用第三节算法证明$(V_1,\cdots ,V_n)=(Y^{R_1}{v}_{\pi (1)}{u}_{\pi (1)}^{-x_s},\cdots ,Y^{R_n}{v}_{\pi (n)}{u}_{\pi (n)}^{-x_s})$以及secret key $x_s$ has been used to make partial decryptions。【引入$r_v$用于hiding $V_d$，引入$d_v$用于hiding $U$】
${\prod }_{i=1}^n{V}_i^{f_i}={\prod }_{i=1}^n{V}_i^{t_{\pi (i)}+d_i}=({\prod }_{i=1}^n(Y_i^R{v}_{\pi (i)}{u}_{\pi (i)}^{-x_s}{)}^{t_{\pi (i)}})\ast ({\prod }_{i=1}^n{V}_i^{d_i})=(Y^{{\sum }_{i=1}^n{t}_{\pi (i)}{R}_i+R_d}\ast {\prod }_{i=1}^n{v}_i^{t_i}\ast ({\prod }_{i=1}^n{u}_i^{-t_i}{)}^{x_s})\ast ({\prod }_{i=1}^n{V}_i^{d_i}\ast Y^{-R_d}{g}^{-r_v})\ast g^{r_v}$
为了同时验证secret key $x_s$ has been used to make partial decryptions，上述等式左右两侧进行$e$的幂乘，同时均乘以$g^{d_v}\ast ({\prod }_{i=1}^n{u}_i^{-t_i}{)}_x^d$。最终有：

4）为了证明prover确实知道在上一步中引入的$r_v和d_v$【引入$r_v$用于hiding $V_d$，引入$d_v$用于hiding $U$】，仍然接用sigma-protocol有：
Prover：$C_1=co{m}_{ck}(r_v;r_1),C_2=co{m}_{ck}(d_v;r_2)$，发送$C_1和C_2$。
Verifier：Challenge $e$。
Prover：计算$f_v=e{r}_v+d_v,z_v=e{r}_1+r_2$，发送$f_v和z_v$。
Verifier：验证$C_1^e{C}_2=co{m}_{ck}(f_v;z_v)$成立即可。

至此，所有环节均已证明完成，所有算法细节如下：

5. 优化及性能对比

5.1 优化

可从以下维度进行优化：

• Adjusting the Key Length of the Commitment Scheme
  
• Batch Verification
  
• Online/Offline
  
• Multi-Exponentiation Techniques
  
• Reducing the Length of the Exponents
  
• Picking the Challenges
  
• Parallel Shuffling
  
• Selecting the Cryptosystem for a Mix-Net
  

5.2 性能对比