问不对称消息加密有什么用途(如果有的话)？

EN

在许多情况下，不对称加密不能被混合加密所取代。在较高层次上，这些方案的共同特点是利用非对称加密方案的一些代数性质，这种混合加密方法将打破这种特性。这种情况通常发生在我们不想仅仅通信数据，而是希望以一种保护隐私的方式来操作数据时。

利用非对称加密方案的代数特性的两种最常见的方法是：

• 同态:给定两个密文\mathsf{Enc}(m_0)和\mathsf{Enc}(m_1)，可以将它们转化为密文\mathsf{Enc}(m_0 \boxplus m_1)，其中\boxplus是某种运算(例如加法或乘法)。
• 证明友好性:存在有效的零知识证明来证明"c是消息m的加密，其中m满足某些给定的属性“的语句。

让我用一个玩具场景来说明这两个问题。假设我们想在两位候选人( C_0和C_1 )之间做一次投票，就会有n选民V_1, \cdots, V_n。我们希望在不透露个别选票的情况下，发现投票结果。一个可能的(简化的)解决方案如下:每个投票者V_i加密其投票，这要么是0 (如果V_i投票给C_0)，要么是1 (else)。让我称(E_1, \cdots, E_n)为加密投票。请注意，我们想知道的是:明文值的总和是多少？被n除以的结果相当于C_1获得的得票率；如果得票率超过50\%，他们就会赢得选举。

我假设加密方案是加同态的:通过对m_0和m_1的加密，可以同态计算和m_0+m_1的加密(更正式地说，我们还需要一项技术要求，称为功能性隐私:由此产生的密文不应泄漏比这个和更多的信息)。

我们将有两个实体:一个聚合器和一个解密器。聚合器获取密文E_1, \cdots E_n，对它们进行同态求和，获取结果的加密E，并将其发送给解密器。解密器拥有密钥并发布选举结果。

但是等等，有问题！如果解密者对解密的值撒谎呢？如果V_i加密，比方说，18而不是0或1呢？这将有效地增加18对C_1的投票。在不深入细节的情况下，密码学有方法来处理这个问题，称为零知识证明，它允许在对象(例如密文)上附加一个证明，以保证它满足某一属性，同时又不损害其隐私。在这里，每个V_i都可以附加一个证据，证明E_i确实加密了一点(而没有透露是哪个加密)，解密器还可以发送一个证据，证明E确实解密到正确的结果(而不泄露秘密解密密钥)。

从上面你可以看到，给出了一个具有(1)加性同态和(2)执行零知识证明的可能性的加密方案，我们可以构建有趣的应用程序--投票是一个自然的例子。你可以很容易地让自己相信混合加密打破了一般的同态，如果你对零知识证明有点熟悉的话，你也会发现混合加密会使它们效率极低。

我可以列举与上述类似的许多其他例子:电子现金、电子拍卖、匿名凭证等等。他们的共同之处是，我们想要做的不仅仅是传输数据:我们想要操纵它，这需要一定的可塑性，我们想要安全地做，这就需要能够检查是否只做了授权的操作。两者都需要具有适当属性的特定非对称加密。