Существует ли безопасный двухсторонний протокол, который заставляет P1 (с x в качестве входных данных) получать rx+r', а P2 получает (r, r')

Это должен быть безопасный двухсторонний протокол против злонамеренного противника.

Ввод P1 — это X в Zp* (p — простое число); Ввод P2 ничего. Выход P1 равен rX+r'. r,r' — случайные числа из Zp* Выход P2' равен r и r'.

Существует ли какой-либо эффективный протокол для реализации этой функциональности, кроме использования гомоморфного шифрования? Если только ОН решает эту проблему, то какой из них самый эффективный?

Спасибо за помощь!

Вы можете сделать это с любой аддитивной/логарифмически гомоморфной схемой с $р$ деление порядка группы открытого текста. Окамото-Утияма система имеет размер пространства открытого текста точно $р$ и может подойти, если вам не требуется квантовое сопротивление.

Протокол выглядит следующим образом:

P1 создает открытый ключ для схемы, а также шифрует $Х$ и 1, скажем $c_0=Е(Х)$ и $c_1=E(1)$. Они передаются на P2.

Предполагая лог-гомоморфную схему, P2 выбирает случайным образом $г$ и $ р € $, вычисляет $c_2:=c_0^rc_1^{râ}=E(rX+râ)$ и отправляет это значение на P1.

P1 расшифровывает $c_2$ восстановить $rX+râ$.