Làm việc với Paillier và ECDSA - Vấn đề đặt hàng

Tôi đang cố triển khai tính toán hai bên để ký ECDSA bằng hệ thống mật mã Paillier.

Nhưng vấn đề của tôi là thứ tự của Paillier khác với thứ tự của đường cong (secp256k1 trong trường hợp của tôi) vì vậy khi tôi nhân hai số vô hướng trong Paillier và sau đó tôi giải mã chúng theo thứ tự khác với các tham số còn lại.

Ví dụ cụ thể:

Đơn hàng paillier - N
Lệnh ECDSA - Q

Alice đã lấy được khóa bí mật của mình - aliceSK
Bob đã nhận được SecretKey của mình - bobSK

Alice tạo cặp khóa Paillier - (paAliceSK, paAlicePK)

dự kiếnRes = (aliceSK X bobSK) mod Q

encAliceSK = Paillier.Encrypt(paAlicePK, aliceSK)
encBobSK = Paillier.Encrypt(paAlicePK, bobSK)

encRes = Paillier.Mul(paAlicePK, encAliceSK, encBobSK)

res = Paillier.Decrypt(paAlicePK, encRes)
độ phân giải = độ phân giải Q

Tôi nhận được ở cuối rằng res != mong đợiRes.

Nhưng khi tôi tính toán dự kiếnRes với mod N, tôi sẽ nhận được res == dự kiếnRes.

Vì vậy, câu hỏi của tôi là tôi nên sử dụng Paillier như thế nào và trả lại kết quả Paillier đã giải mã về thứ tự đường cong.

Một khả năng là chúng tôi chọn¹ một số nguyên công khai nhỏ $r>1$ với $r^{(q-1)/2}\equiv-1\pmod q$, và đảm bảo² $n$ trong Pailler là ít nhất $2q-1$. Hiện nay $x\mapsto r^x\bmod q$ là một bijection trên $[1,q)$.

Alice chọn $\widetilde{\mathsf{aliceSK}}$ ngẫu nhiên đều trong $[1,q)$ và dẫn xuất $\mathsf{aliceSK}=r^{\widetilde{\mathsf{aliceSK}}}\bmod q$. She Pailler-mã hóa $\widetilde{\mathsf{aliceSK}}$.

Đối với Bob cũng vậy.

Một phần nào đó các bản mã Pailler được tổ hợp theo kiểu Pailler (tức là được nhân theo modulo $n^2$ ở đâu $n$ là mô đun Pailler công khai) và được giải mã Pailler thành $d=\widetilde{\mathsf{aliceSK}}+\widetilde{\mathsf{bobSK}}$

Và từ đó có thể nhận được

$$\mathsf{aliceSK}\times\mathsf{bobSK}\bmod q=r^d\bmod q$$

Với 256-bit và thậm chí 384-bit $q$, khá dễ tìm $\widetilde{\mathsf{aliceSK}}$ từ $\mathsf{aliceSK}$. Do đó, kỹ thuật đó cũng có thể được sử dụng sau $\mathsf{aliceSK}$ được vẽ theo cách tiêu chuẩn.

Tôi chưa bao giờ thấy đề xuất này, nhưng nó đơn giản đến mức tôi nghi ngờ nó mới.

¹ Bản dùng thử và lỗi với $r$ các số nguyên tố đầu tiên sẽ nhanh chóng tìm thấy một số trong trung bình hai lần thử.

² Điều đó sẽ giữ cho chung $q$ trong ECDSA, thường là vài trăm bit và phổ biến $n$ đối với Paillier an toàn, thường là hàng nghìn bit.