密码学问题:如何在没有私钥的情况下，验证某个密文是用公钥加的密？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

This topic created in 1697 days ago, the information mentioned may be changed or developed.

场景如下 Alice 使用 Bob 的公钥 PubKey_Bob 对消息message进行 Encrypt，得到密文Cipher 我作为中间人，如何在没有解密用的PrivKey_Bob的条件下验证 Cipher 确实是使用PubKey_Bob加的密？有什么密码学方案满足这个需求？

公钥

密文

pubkey_bob

cipher

16 replies • 2021-09-04 12:59:00 +08:00

yfugibr

Sep 3, 2021 via Android

准备两对密钥，一对用于加密，一对用于签名

yfugibr

Sep 3, 2021 via Android

@yfugibr 我理解错了

flypanda

Sep 3, 2021

@yfugibr 我没有表达清楚，这里想防止的是 Alice 作恶。
Alice 虽然把 Cipher 发给了 Bob，但是就是不让 Bob 解密其中的 Message 。

所以就算准备两对儿秘钥，Alice 还是可以用`Signature_pubkey_bob`签名，但是使用 `Crypto_pubkey_Evil` 来加密

这样验签可以看到确实是 Bob 的公钥在签名...但还是不能保证 Alice 是用 Bob 的公钥加的密

dablwow

Sep 3, 2021

@flypanda
"但是就是不让 Bob 解密其中的 Message"
================
Alice 可能怎么做呢？比如用其他公钥加密？或者破坏 Cipher ？

flypanda

Sep 3, 2021

@dablwow
对没错。可以先只考虑 "用其他公钥加密" 这种情况...我比较担心的就是这个情况

flypanda

Sep 3, 2021

@dablwow @yfugibr 二位哥，我想过使用密钥共享...但是似乎不太行
比如门限思路：将 Bob 的私钥分成多分，我作为中间人持有其中 n 份，超过门限，可以解密 Cipher 。只要能解密就可以确定 Alice 是使用 Pubkey_Bob 加的密...
但这个思路有个缺陷门限密码是使用超过 n 份的私钥碎片恢复出私钥本身...我作为中间人，是可以恢复出 PrivKey_Bob 的.... 这个事情 Bob 无法接受....

geelaw

Sep 3, 2021

一般来说答案是 vacuously true，因为有些方案里有可能同一条密文本来就可以被解读为两个不同公钥下的密文，考虑 ElGamal 加密，考虑两个公钥分别是 g^a, g^b，则 h 在 g^a 下的密文 g^c, g^ac * h 也可以理解为 g^((a - b)c) * h 在 g^b 下的密文 g^c, g^bc * g^((a - b)c) * h 。

我觉得楼主的需求似乎不能解决楼主的问题：即使证明了某段密文只能是用 Bob 公钥加密所产生的，也没有证明加密了有意义的消息。