消失的私钥：一场被数学逻辑困死的选举

xiejin77

消失的私钥：一场被数学逻辑困死的选举

偶然之间看到了一条新闻，却忍不住刨根问底的溯源了一下；也许是因为我之前研究了好久基于隐私计算的电子投票系统的缘故，所以对这个领域有点敏感。
' l5 y" M1 }) I1 E" D

2 H+ V) l) E/ }1 p- P8 B1 S2025年11月，全球密码学界的顶流圈子——国际密码学研究协会（IACR），突然炸锅了。
+ M% `2 y7 K3 N# ]  C/ ~* T( s, f

这可不是普通的学术机构，这里汇聚了设计全球银行安全、互联网加密协议的大脑，堪称密码学界的“梵蒂冈”。但在年度理事会选举的关键时刻，负责守护选举机密的三位受托人之一，顶级密码学家 Moti Yung，遇上了一个极为尴尬的麻烦：他弄丢了私钥分片。


8 u0 e2 y, u; j* o% u( a# V不仅仅是丢了钥匙那么简单。在严丝合缝的密码学逻辑里，肯定不是找个锁匠就能解决的问题。这意味着所有的选票都被锁死在了一个数学黑洞里。并没有黑客入侵，也没有内鬼篡改，仅仅因为缺少了那几百个比特的数据，这场选举的最终计票结果，在数学上被永久锁定，变成了一堆乱码。
- n2 c4 R1 ~' l6 V

! s- ?/ ?6 ^# a' dIACR 随即宣布选举无效，并启动了更为稳健的重选程序。这一看似荒诞的结局，虽然没让数据泄露，却以一种极端的方式通过了“安全性测试”——即在密钥缺失的情况下，连上帝都无法恢复数据。但这无疑是一次彻底的失败。它暴露了电子投票系统设计中，那个深藏已久的矛盾，一个在极致隐私与系统鲁棒性之间无法调和的：可用性与隐私的博弈。
, ]1 G- O* f5 z9 k, b  t

这次闯祸的系统，名叫 Helios。
: n4 C- \& T+ s8 F2 z7 u
2008年，Ben Adida 发布了这个基于 Web 的开放审计投票系统。他的初衷，是为了解决电子投票那个看似无解的死结：既要选票机密，又要全程可查。
Helios 的逻辑很硬核，它把复杂的密码学原语封装在了浏览器里。它采用了一种叫做“指数 ElGamal”的同态加密技术。简单说，就是你的选票在飞出电脑前就已经被加密成了一串乱码，但在服务器端，这些乱码可以直接进行加减运算，算出总票数，而无需解开每一张具体的选票。为了证明系统里的 JavaScript 没耍花招，Helios 甚至引入了 Benaloh 挑战。
% \6 l! Z/ Z, {: a0 I
* s: P+ C. f' U/ f: v这就像是一场魔术表演。选民在点击“投票”前，系统会问你：“你是想真投这张票，还是想查查它？”如果你选择“查”，系统就必须公布加密使用的随机数，让你去验证；如果你选择“投”，这张票才会被送进票箱。这种机制迫使被恶意篡改的浏览器面临极高的暴露风险，因为恶意代码无法预知选民是否会突然发起审计。

" N6 E9 D$ h3 s但 IACR 这一回，不是栽在代码上，而是栽在了密钥管理的模式上。为了防止内部腐败，他们采用了一种“全有或全无”的策略。三名受托人，每人手里握着一把钥匙碎片。按照算法设定，必须三把钥匙同时插入，才能解开最终的选票箱。这就是密码学里著名的：3-out-of-3 方案。
' e, `9 D1 O& L' M
7 x8 X4 q( p$ i8 [4 y4 R这种设计，防住了受托人之间的合谋。只要有一人是正义的，或者只要有一人不同意，明文就不会泄露。这本来是为了追求极致的隐私保护。但 Moti Yung 的失误，直接触发了该架构的死穴：单点故障容忍度为零。当私钥分片 SK_Moti 消失在数字虚空中，解密方程式缺了关键的一项。整个系统瞬间从“绝对安全”变成了“绝对瘫痪”。

面对死锁，IACR 做出了唯一符合极客精神的决定：作废重来。为了确保定于11月21日的第二轮选举不再翻车，他们不得不调整策略，引入了冗余机制。原本脆弱的 3-out-of-3，被改成了容错率更高的：2-out-of-3。

8 s1 N/ U# z5 Y: }# U: F9 M2 @# |! a这意味着，三个人里只要有两个人凑齐，就能解密结果。这种“容许一人掉队”的机制，看起来只是改了个数字，但在工程实现上却是天壤之别。为了实现这个看似简单的改动，他们必须引入一种更为复杂的分布式密钥生成技术：Pedersen DKG。

以前，大家各自生成密钥乘起来就行；现在，必须让受托人在不知晓彼此秘密的情况下，共同构建一个共享的秘密。从“必须全员到齐”的简单粗暴，到“门限容错”的复杂精妙，IACR 用一次惨痛的教训，彰显了系统的鲁棒性有多重要。

如果说 IACR 的事故是“刚性折断”，那么瑞士邮政遇到的麻烦，则是更阴暗的“柔性操纵”。
( e  w2 p' P& ?& |6 s  x$ t
为了更全面地理解电子投票的江湖，我们得看看 IACR 的反面教材。2025年的这场事故，好歹是“死”得明明白白；而2019年瑞士邮政（Swiss Post）的系统，差点“死”得不明不白。这个系统由 Scytl 公司开发，采用了一种叫做 Bayer-Groth 的混淆证明技术。理论上，这套技术通过零知识证明，向公众展示选票洗牌过程是诚实的，既没有丢票，也没有改票。但在代码深处，LPT 研究团队发现了一个惊天漏洞。

) @8 U! ^/ I( ]0 P$ ?5 b; T在密码学的承诺方案里，公共参数 g 和 h 之间的关系本该是未知的，就像两个毫无关联的平行宇宙。但 Scytl 的代码，允许服务器自己生成这两个参数。这意味着，服务器悄悄掌握了 g 和 h 之间的那把暗门钥匙，也就是传说中的：陷门（Trapdoor）。

一旦掌握了陷门，原本用来“绑定”承诺的数学公式就失效了。这就像是赌场里的荷官，手里拿的不是普通扑克，而是自己印的魔术牌。恶意服务器可以随意篡改选票——把“是”改成“否”，然后伪造出一个完美的零知识证明。更鸡贼的是，这一切在验证脚本看来，都是合法的。所有的数学等式都能配平，所有的绿灯都会亮起。
8 [$ S- v. r& N5 F1 p  h* m9 W
除了这个陷门，研究人员还发现了 Fiat-Shamir 变换中的漏洞。Fiat-Shamir 本来是把交互式证明变成非交互式的工具，但如果哈希函数的输入参数没给全，攻击者就能通过操控挑战值，凭空捏造出证明。IACR 的 Helios 系统崩了，大家都看得到，那是“明伤”，是可用性故障；瑞士邮政的系统如果有问题，那是不可检测的“内伤”，是完整性崩塌。一个是由于过于死板而被锁死，一个是由于过于灵活而被篡改。相比之下，IACR 那种“宁可玉碎，不为瓦全”的死锁，反而显得更有底线。

Helios 虽然经典，但也并非无懈可击。它最大的软肋，是难以防止服务器往公告板里注水，伪造选票。毕竟，只要选票符合加密格式，服务器就能把它塞进票箱。如果服务器手里有选民名单，它完全可以替那些没投票的人投上一票。法国 Inria 的团队看不下去了，他们搞出了一个强化版，名叫：Belenios。
) w! S: D* G, s9 I/ W
Belenios 引入了一个独立的凭证机构（CA）。这就像是给每张选票加了一个防伪水印。选民投票前，必须先从 CA 那里拿到一个私密的凭证（Credential）。选票必须经过凭证签名，服务器才能接收。只要 CA 和服务器不穿一条裤子，选票填充攻击就没戏。这种分权制衡的设计，才是电子投票的精髓。
6 K3 |  V8 f( r( c
更重要的是，针对 IACR 这次踩的坑，Belenios 在设计之初就集成了标准化的门限解密功能。它提供了一套完整的密钥仪式工具，手把手教受托人怎么搞分布式密钥生成。如果 IACR 用的是这套系统，Moti Yung 的失误可能也就是弹个警告窗的事儿，根本不用惊动整个理事会。
" K& |+ K4 p4 ^& ~
但即使是 Belenios，也还在解决更深层的问题。比如“抗胁迫性”。

; l1 J, g: ~% }9 B3 A# z如果老板站在你身后，盯着你在浏览器上投票，你敢不敢发起审计？

4 g* N4 T' u. Q$ h7 xHelios 和 Belenios 在这种场景下都很无力。还有更远的威胁——量子计算。目前的系统多基于 ElGamal 加密，依赖离散对数难题。一旦量子计算机成熟，或者受托人的私钥在未来某天泄露，今天的每一张加密选票，都会变成明文。这就是所谓的：永久性隐私（Everlasting Privacy）。
$ l7 N9 D: i( k* ]3 X
0 M7 \) {6 g9 L  h为了对抗未来，学术界已经开始研究基于格密码的后量子投票系统。但这目前还停留在论文里。其实，电子投票这一行，最怕的不是数学题太难，而是人性太不可控。Ronald Rivest 早就提出过“软件独立性”原则。一个理想的投票系统，不能把宝全压在软件不出错上。Helios 通过端到端可验证性，解决了一部分信任问题。

但 2025 年的这场闹剧提醒我们：没有密钥，就没有数据。

' A. V. g/ ]) s0 z, z8 L; o! X1 `未来的电子投票，除了要在抗量子计算和永久性隐私上继续卷，更要在工程实践上学会妥协。数学公式是冰冷的，它不懂什么叫“手滑”，也不懂什么叫“操作失误”。IACR 的这次翻车，给全球的电子投票设计者上了一课：让中国稀土占领市场的，是商人们的勤奋；而让电子投票系统真正落地的，只能是对人性弱点的包容与妥协。
& _* P1 ~$ A( ^: o  ]