是否可以以与解密不同的顺序进行加密？

Question

是否可以在一个订单中加密并在另一个订单中解密？例如,我有以下内容:

• plain_text.txt
• 公钥/私钥对1
• 公钥/私钥对2

例

加密:

public1(public2(plain_text.txt))

解密:

private1(private2(encrypted))

有没有允许这种加密算法？它甚至可能吗？

Answer 1

在大多数情况下,您无法更改解密的顺序.允许重新排序解密的方案称为可交换密码系统.可用于构建交换密码系统的一个公钥密码系统是ElGamal加密.

这里只是主要思想:假设g是一个合适的G组的生成器,计算离散对数很难.设x _A和x _B为两个私钥,h _A = g ^{x _A} ,h _B = g ^{x _B} 为对应的公钥.两个密钥对使用相同的组G(即,如果我们使用G = Z /(p),则使用相同的模数p).ElGamal方案的一个优点是,如果两个用户共享相同的组(或模数),它仍然是安全的.另一方面,RSA将是不安全的.

用h _A加密消息m 给出了密文

(mh _A ^r,g ^r).

请注意,知道密钥x _A允许解密因为

(g ^r)^{x _A} = h _A ^r

为了第二次加密密文,首先用A的公钥重新加密现有的密文.他选择一个随机的r'并计算

(mh _A ^r h _A ^r',g ^r g ^r')=(mh _A ^{r + r'},g ^{r + r'}).

结果是使用A的公钥进行另一次有效加密.这种重新加密对于避免例如针对具有相同模数的RSA的攻击是必要的,如下所示.接下来,将使用B的公钥给予加密

(MH _阿^{R + R '} ħ _乙^小号,克^{R + R'},G ^小号).

解密可以按任何顺序进行,例如知道x _A允许计算

(g ^{r + r'})^{x _A} = h _A ^{r + r'}

因此可以计算出来

(mh _B ^s,g ^s),

这正是我们想要的:用B的公钥加密m.

为了获得安全的实施,需要注意许多细微之处.做到这一点并不容易.有关更多信息,请参阅Stephen Weis的博士,其中包含有关可交换加密的章节.

如果使用"教科书RSA"尝试相同的想法,则存在许多问题.首先使加密可交换,用户A和B必须共享相同的模数.例如,A使用(n,e _A,d _A),B使用(n,e _B,d _B),其中n是模数,e _A,e _B是公钥,d _A,d _B是密钥.然而,例如知道(n,e _A,d _A)允许因子n,因此计算B的秘密密钥,这当然是一个大缺陷.

现在我们可以加密m as

m ^{e _A} mod n,

再次加密为

米^{ê _甲 é _乙}模N,

用A的秘密密钥解密

米^{Ë _乙}模N,

并用B的密钥再次解密得到m.这看起来很好,直到有人注意到可以拦截两个密文的攻击者c = m ^{e _A} mod n和c'= m ^{e _B} mod n可以使用Euclid的算法找到r,s这样

re _A + se _B = 1

然后计算

m = c ^r(c')^s mod n.

这个想法也反对使用RC4在另一个答案中提出的解决方案.Weis的论文包含对攻击的详细描述.

Answer 2

据我所知，这应该可以通过对 RSA 进行轻微修改来实现。但我不知道有什么工具可以真正做到这一点。