消失的私钥：一场被数学逻辑困死的选举

xiejin77

4 y: z& w0 k3 ?& @; r, O/ b
# {$ m- H3 S) ]1 P) x消失的私钥：一场被数学逻辑困死的选举
0 @) _0 A' x; A
偶然之间看到了一条新闻，却忍不住刨根问底的溯源了一下；也许是因为我之前研究了好久基于隐私计算的电子投票系统的缘故，所以对这个领域有点敏感。
( I6 ]6 s; l( b: k( c1 t
+ A$ i! z6 z' N' ^/ G( Y
2025年11月，全球密码学界的顶流圈子——国际密码学研究协会（IACR），突然炸锅了。
- H5 u6 R0 A! X9 X! T) G- q3 l

' Y) W2 `& p% e8 B& h这可不是普通的学术机构，这里汇聚了设计全球银行安全、互联网加密协议的大脑，堪称密码学界的“梵蒂冈”。但在年度理事会选举的关键时刻，负责守护选举机密的三位受托人之一，顶级密码学家 Moti Yung，遇上了一个极为尴尬的麻烦：他弄丢了私钥分片。
' E. p9 w) G* K  H, c

不仅仅是丢了钥匙那么简单。在严丝合缝的密码学逻辑里，肯定不是找个锁匠就能解决的问题。这意味着所有的选票都被锁死在了一个数学黑洞里。并没有黑客入侵，也没有内鬼篡改，仅仅因为缺少了那几百个比特的数据，这场选举的最终计票结果，在数学上被永久锁定，变成了一堆乱码。
' g3 ~% J6 j# ^& C  m7 F

IACR 随即宣布选举无效，并启动了更为稳健的重选程序。这一看似荒诞的结局，虽然没让数据泄露，却以一种极端的方式通过了“安全性测试”——即在密钥缺失的情况下，连上帝都无法恢复数据。但这无疑是一次彻底的失败。它暴露了电子投票系统设计中，那个深藏已久的矛盾，一个在极致隐私与系统鲁棒性之间无法调和的：可用性与隐私的博弈。


, K8 Q4 D1 r9 O6 d3 E* R4 b* f这次闯祸的系统，名叫 Helios。

4 u3 i4 O1 Z7 Z% M; \9 D2008年，Ben Adida 发布了这个基于 Web 的开放审计投票系统。他的初衷，是为了解决电子投票那个看似无解的死结：既要选票机密，又要全程可查。
Helios 的逻辑很硬核，它把复杂的密码学原语封装在了浏览器里。它采用了一种叫做“指数 ElGamal”的同态加密技术。简单说，就是你的选票在飞出电脑前就已经被加密成了一串乱码，但在服务器端，这些乱码可以直接进行加减运算，算出总票数，而无需解开每一张具体的选票。为了证明系统里的 JavaScript 没耍花招，Helios 甚至引入了 Benaloh 挑战。

这就像是一场魔术表演。选民在点击“投票”前，系统会问你：“你是想真投这张票，还是想查查它？”如果你选择“查”，系统就必须公布加密使用的随机数，让你去验证；如果你选择“投”，这张票才会被送进票箱。这种机制迫使被恶意篡改的浏览器面临极高的暴露风险，因为恶意代码无法预知选民是否会突然发起审计。

但 IACR 这一回，不是栽在代码上，而是栽在了密钥管理的模式上。为了防止内部腐败，他们采用了一种“全有或全无”的策略。三名受托人，每人手里握着一把钥匙碎片。按照算法设定，必须三把钥匙同时插入，才能解开最终的选票箱。这就是密码学里著名的：3-out-of-3 方案。
6 D; R3 O( y: _( Q
这种设计，防住了受托人之间的合谋。只要有一人是正义的，或者只要有一人不同意，明文就不会泄露。这本来是为了追求极致的隐私保护。但 Moti Yung 的失误，直接触发了该架构的死穴：单点故障容忍度为零。当私钥分片 SK_Moti 消失在数字虚空中，解密方程式缺了关键的一项。整个系统瞬间从“绝对安全”变成了“绝对瘫痪”。
2 @! Q; \* G4 O+ D
, Z8 c  u0 q5 K: ?" d4 a& M面对死锁，IACR 做出了唯一符合极客精神的决定：作废重来。为了确保定于11月21日的第二轮选举不再翻车，他们不得不调整策略，引入了冗余机制。原本脆弱的 3-out-of-3，被改成了容错率更高的：2-out-of-3。
  e1 `5 e- z) V) W; T) |. i
这意味着，三个人里只要有两个人凑齐，就能解密结果。这种“容许一人掉队”的机制，看起来只是改了个数字，但在工程实现上却是天壤之别。为了实现这个看似简单的改动，他们必须引入一种更为复杂的分布式密钥生成技术：Pedersen DKG。
3 U1 j* o% G$ b# {6 R* @
以前，大家各自生成密钥乘起来就行；现在，必须让受托人在不知晓彼此秘密的情况下，共同构建一个共享的秘密。从“必须全员到齐”的简单粗暴，到“门限容错”的复杂精妙，IACR 用一次惨痛的教训，彰显了系统的鲁棒性有多重要。

3 W8 g5 b: {$ l3 w2 A8 d+ H) \如果说 IACR 的事故是“刚性折断”，那么瑞士邮政遇到的麻烦，则是更阴暗的“柔性操纵”。

( R. t9 p- g, Q' F# J! J为了更全面地理解电子投票的江湖，我们得看看 IACR 的反面教材。2025年的这场事故，好歹是“死”得明明白白；而2019年瑞士邮政（Swiss Post）的系统，差点“死”得不明不白。这个系统由 Scytl 公司开发，采用了一种叫做 Bayer-Groth 的混淆证明技术。理论上，这套技术通过零知识证明，向公众展示选票洗牌过程是诚实的，既没有丢票，也没有改票。但在代码深处，LPT 研究团队发现了一个惊天漏洞。
2 E+ M- @- z/ |9 [6 l4 T! }6 X
* V4 k- N1 @3 ^4 U3 v0 [在密码学的承诺方案里，公共参数 g 和 h 之间的关系本该是未知的，就像两个毫无关联的平行宇宙。但 Scytl 的代码，允许服务器自己生成这两个参数。这意味着，服务器悄悄掌握了 g 和 h 之间的那把暗门钥匙，也就是传说中的：陷门（Trapdoor）。
; |  a' J, E* M+ z
一旦掌握了陷门，原本用来“绑定”承诺的数学公式就失效了。这就像是赌场里的荷官，手里拿的不是普通扑克，而是自己印的魔术牌。恶意服务器可以随意篡改选票——把“是”改成“否”，然后伪造出一个完美的零知识证明。更鸡贼的是，这一切在验证脚本看来，都是合法的。所有的数学等式都能配平，所有的绿灯都会亮起。
$ I8 \, ]" U5 ^& P
除了这个陷门，研究人员还发现了 Fiat-Shamir 变换中的漏洞。Fiat-Shamir 本来是把交互式证明变成非交互式的工具，但如果哈希函数的输入参数没给全，攻击者就能通过操控挑战值，凭空捏造出证明。IACR 的 Helios 系统崩了，大家都看得到，那是“明伤”，是可用性故障；瑞士邮政的系统如果有问题，那是不可检测的“内伤”，是完整性崩塌。一个是由于过于死板而被锁死，一个是由于过于灵活而被篡改。相比之下，IACR 那种“宁可玉碎，不为瓦全”的死锁，反而显得更有底线。

Helios 虽然经典，但也并非无懈可击。它最大的软肋，是难以防止服务器往公告板里注水，伪造选票。毕竟，只要选票符合加密格式，服务器就能把它塞进票箱。如果服务器手里有选民名单，它完全可以替那些没投票的人投上一票。法国 Inria 的团队看不下去了，他们搞出了一个强化版，名叫：Belenios。
; [5 @/ C* `  {, \! K# D
4 U+ ^4 {) r+ b, d/ ]9 \Belenios 引入了一个独立的凭证机构（CA）。这就像是给每张选票加了一个防伪水印。选民投票前，必须先从 CA 那里拿到一个私密的凭证（Credential）。选票必须经过凭证签名，服务器才能接收。只要 CA 和服务器不穿一条裤子，选票填充攻击就没戏。这种分权制衡的设计，才是电子投票的精髓。

更重要的是，针对 IACR 这次踩的坑，Belenios 在设计之初就集成了标准化的门限解密功能。它提供了一套完整的密钥仪式工具，手把手教受托人怎么搞分布式密钥生成。如果 IACR 用的是这套系统，Moti Yung 的失误可能也就是弹个警告窗的事儿，根本不用惊动整个理事会。
, m% a& I9 Z" V3 U
7 S; e; F& ^, z  Y) e" _+ A但即使是 Belenios，也还在解决更深层的问题。比如“抗胁迫性”。

如果老板站在你身后，盯着你在浏览器上投票，你敢不敢发起审计？

Helios 和 Belenios 在这种场景下都很无力。还有更远的威胁——量子计算。目前的系统多基于 ElGamal 加密，依赖离散对数难题。一旦量子计算机成熟，或者受托人的私钥在未来某天泄露，今天的每一张加密选票，都会变成明文。这就是所谓的：永久性隐私（Everlasting Privacy）。

为了对抗未来，学术界已经开始研究基于格密码的后量子投票系统。但这目前还停留在论文里。其实，电子投票这一行，最怕的不是数学题太难，而是人性太不可控。Ronald Rivest 早就提出过“软件独立性”原则。一个理想的投票系统，不能把宝全压在软件不出错上。Helios 通过端到端可验证性，解决了一部分信任问题。

但 2025 年的这场闹剧提醒我们：没有密钥，就没有数据。
% w) I: A3 z( j
未来的电子投票，除了要在抗量子计算和永久性隐私上继续卷，更要在工程实践上学会妥协。数学公式是冰冷的，它不懂什么叫“手滑”，也不懂什么叫“操作失误”。IACR 的这次翻车，给全球的电子投票设计者上了一课：让中国稀土占领市场的，是商人们的勤奋；而让电子投票系统真正落地的，只能是对人性弱点的包容与妥协。
; E, n, h8 ~* B3 ^7 ]# m