加密与认证加密技术

加密与认证加密技术从密码学基础到认证加密的系统性技术解析Contents目录加密与认证加密技术全景概览01密码学基础与安全模型02对称加密算法体系03非对称加密与公钥基础设施04哈希函数与数字签名05认证加密技术与前沿趋势CHAPTER01密码学基础与安全模型理解密码学的定义、核心目标与信息安全基本框架Cryptography什么是密码学密码学是研究信息保护的科学，通过加密、解密、数字签名和密钥交换四大核心技术，构建起现代数字世界的安全基础设施。数据加密与解密过程示意图01加密与解密—加密将明文转换为密文，确保只有授权方能够读取，常见方法包括对称加密（AES）和非对称加密（RSA）；解密是加密的逆过程，将密文转换回明文，需要持有特定密钥才能完成。02数字签名—用于验证信息的真实性和完整性，确保信息未被篡改且来源可信，是电子合同、软件发布等场景的核心安全机制。03密钥交换—使通信双方即使在非安全信道下也能安全地协商加密密钥，典型协议如Diffie-Hellman，为加密通信建立安全基础。Cryptography·01为什么需要密码学密码学是现代数字世界安全的基石，它从保密性、完整性、身份验证、防抵赖、安全通信和金融安全六个维度构建起全方位的信息防护体系，支撑着从个人隐私到国家安全的各个层面。SectionA数据安全维度SectionB信任与合规维度数据保密性保护敏感信息不被未经授权的用户获取，对个人隐私、商业机密和国家安全极为关键身份验证通过密码学技术验证用户身份，有效防止身份冒用和非法访问数据完整性确保数据在传输和存储过程中未被篡改或伪造，维护信息的准确性和可靠性防止抵赖数字签名保证交易各方不能否认已参与的行为，维护法律效力安全通信加密技术保护网络通信，使信息即便被拦截也无法被未授权方解读金融交易安全支持安全的在线交易，防止欺诈和经济损失，保障电子商务生态CryptographyTaxonomy密码学技术分类体系现代密码学形成了对称加密、非对称加密、哈希函数、数字签名、密钥交换和量子密码学六大技术分支，各类型各有应用场景和特点，在实际系统中通常组合使用以提供全面安全保障。ENCRYPTION加密类技术AES·DES对称密码学收发双方使用相同密钥，典型算法AES和DES，适合大规模数据加密RSA·ECC非对称密码学使用公钥加密、私钥解密，解决密钥分发问题QKD量子密码学基于量子力学原理，量子密钥分发提供理论上的不可破解安全性VERIFICATION验证与交换类技术SHA-256·MD5哈希函数将数据映射为固定长度字符串，用于数据完整性验证公钥验证数字签名发送方用私钥生成签名，接收方用公钥验证，确保来源真实性DIFFIE-HELLMAN密钥交换协议在不安全信道中安全交换密钥，Diffie-Hellman是经典协议CIATRIAD信息安全CIA三要素模型信息安全的CIA三要素——机密性、完整性和可用性——构成了评估和设计安全系统的基础框架，结合认证和不可否认性两个扩展维度，形成五维安全目标体系，指导密码学技术的选择与组合。数据中心服务器机房·信息安全基础设施01的保护02数据变更03策略04手段05可抵赖证明Chapter02对称加密算法体系从DES到AES，深入理解单密钥加密的原理、算法与实践SYMMETRICENCRYPTION对称加密核心原理对称加密以单一共享密钥实现高效加解密，是大规模数据保护的首选方案，但密钥分发与管理的安全性是其核心挑战，实际系统中通常与非对称加密结合使用以兼顾效率与安全。01单密钥系统加密和解密使用相同密钥，通信各方必须事先安全共享密钥，密钥泄露将导致整个加密体系失效单一共享密钥02高效处理能力算法计算复杂度低，可快速处理GB级海量数据，适合数据库加密、文件加密和实时通信加密场景GB级海量数据03密钥管理挑战n个用户两两通信需管理n(n-1)/2个密钥，密钥的生成、分发、轮换和销毁构成系统性工程难题n(n-1)/204典型应用模式在TLS/SSL协议中，非对称加密用于协商对称会话密钥，后续数据传输使用对称加密以保证性能TLS/SSLSymmetricEncryptionDES：数据加密标准的兴衰DES作为首个广泛应用的标准化对称加密算法，在密码学史上具有里程碑意义，但其56位密钥长度在算力增长面前逐渐失去安全性，最终被AES取代。01DES由IBM于1970年代设计，1977年被美国NBS采纳为联邦标准，使用56位有效密钥对64位数据块进行16轮Feistel网络迭代加密。56-bitKey02在20世纪80-90年代为金融、政府和商业领域提供了广泛的数据保护，成为ATM交易、电子邮件加密等场景的行业标准。1980–90s0356位密钥空间仅约7.2×10¹⁶种可能，1999年专用硬件在22小时内完成暴力破解，证明DES已无法抵御现代算力攻击。22Hours043DES作为过渡方案将密钥长度扩展至168位，但计算开销增至DES的三倍，最终仍被更高效的AES算法完全取代。168-bitSYMMETRICCIPHERAES：当前全球加密标准AES（高级加密标准）自2001年被NIST确立以来，凭借灵活的密钥长度、高效的软硬件实现和经得起考验的安全性，已成为全球应用最广泛的对称加密算法，至今未发现有效的理论攻击方法。2001NIST标准选定通过公开竞赛选定Rijndael算法为AES标准，支持128/192/256位三种密钥长度，数据块固定为128位。该竞赛历时三年，经过全球密码学专家的严格评估，最终从15个候选算法中脱颖而出。FIPS197认证国际标准ISO/IEC18033-3SPN代换-置换网络分别执行10/12/14轮加密轮次，每轮包含字节替换、行移位、列混合和轮密钥加四个步骤。这种结构提供了良好的扩散性和混淆性，确保每一轮都充分打乱明文与密文之间的关系。SubBytesShiftRowsMixColumnsAddRoundKey2²⁵⁶不可破解的密钥空间即使动用全球所有计算资源暴力破解也需要超过宇宙年龄的时间，在可预见未来不可破解。AES-256提供256位密钥长度，密钥空间达到2²⁵⁶，远超现代计算机的处理能力极限。256-bit128-bit10轮加密192-bit12轮加密256-bit14轮加密TLS关键场景部署广泛部署于TLS/SSL协议、Wi-FiWPA2/WPA3、BitLocker/FileVault全盘加密、政府机密保护。从个人设备到国家基础设施，AES构成了现代数字安全的基石，保护着全球数十亿用户的日常通信。Wi-Fi安全磁盘加密金融支付政务系统Encryption·对称加密对称加密算法对比与选型对称加密算法经历了从DES到AES的演进，选型需综合考量安全性、性能和应用场景：AES-256是当前通用首选，ChaCha20在移动端高性能场景中展现优势，而DES和RC4因安全缺陷已被淘汰。主流对称加密算法技术对比算法密钥长度分组大小结构类型安全状态DES56位64位Feistel网络已不安全3DES112/168位64位Feistel网络过渡使用AES-128128位128位SPN网络安全AES-256256位128位SPN网络高安全RC440–2048位流加密流密码已弃用ChaCha20256位流加密流密码推荐AES-256和ChaCha20是当前推荐使用的对称加密算法，DES和RC4因安全缺陷已被淘汰SymmetricEncryption对称加密工作模式分组密码的工作模式决定了加密的安全性和适用场景：ECB因模式泄露已被弃用，CBC提供基本安全性但缺乏认证，CTR支持并行处理适合高性能需求，GCM同时提供加密与认证已成为TLS1.3推荐标准。ECB电子密码本模式每个数据块独立加密，相同明文产生相同密文，存在模式泄露风险，仅适用于加密随机数据已弃用CBC密码块链接模式每块加密前与前一密文块异或，需初始化向量IV，有效隐藏明文模式，广泛用于SSL/TLS和文件加密SSL/TLSCTR计数器模式将分组密码转为流密码，支持并行加解密和随机访问，适合高吞吐量和大文件加密场景并行处理GCM认证加密模式在CTR基础上集成GMAC认证标签，同时保证机密性和完整性，是TLS1.3和IPsec的标准选择TLS1.3CHAPTER03非对称加密与公钥基础设施公钥密码学的数学基础、核心算法与PKI信任体系ASYMMETRICENCRYPTION非对称加密核心原理非对称加密通过公私钥对机制革命性地解决了密钥分发问题，公钥公开用于加密、私钥保密用于解密，同时支持数字签名功能，但计算复杂度高导致速度较慢，实际应用中与对称加密协同工作。密钥对机制公钥和私钥是一对数学关联的密钥，公钥可自由分发用于加密，私钥必须严格保密用于解密安全性基础即使公钥完全公开，从公钥推导私钥在计算上不可行，安全性建立在数学困难问题（如大数分解）之上双重功能加密功能保护数据机密性，签名功能（私钥签名、公钥验证）确保数据完整性和来源可信性能权衡计算复杂度约为对称加密的100-1000倍，通常仅用于密钥交换和数字签名，大批量数据仍由对称加密处理100-1000×公钥与私钥配合实现安全通信AsymmetricCryptographyRSA算法深度解析RSA算法基于大整数分解的数学困难性构建安全体系，自1977年提出以来一直是非对称加密的基石，其密钥长度从早期的512位演进至当前推荐的2048-4096位，广泛应用于SSL/TLS证书和数字签名等关键场景。MathematicalBasis数学基础安全性建立在大整数分解困难性上，n=p×q正向计算容易但逆向分解极难，2048位RSA的分解在当前算力下不可行。n=p×qKeyGeneration密钥生成流程选取大素数p和q，计算n=pq和φ(n)，选择与φ(n)互素的公钥e，计算私钥d使得ed≡1(modφ(n))。ed≡1(modφ(n))Encrypt/Decrypt加解密运算加密c=memodn，解密m=cdmodn，基于模幂运算的数学性质确保加解密互为逆操作。c=memodnKeyLengthEvolution密钥长度演进早期512位已被破解，1024位面临风险，当前推荐2048位，高安全场景使用4096位，密钥越长性能开销越大。2048–4096bitAsymmetricCryptographyECC椭圆曲线密码学ECC以更短的密钥长度提供与RSA同等甚至更高的安全性，256位ECC等价于3072位RSA，在移动端和IoT等资源受限环境中展现出显著优势，正逐步成为非对称加密的主流选择。数学基础安全性基于椭圆曲线离散对数问题（ECDLP），在有限域上的椭圆曲线点群中求解离散对数在计算上不可行。ECDLP密钥效率优势256位ECC密钥安全性等同于3072位RSA，密钥更短意味着更少的存储、更快的计算和更低的带宽消耗。256-bit广泛应用场景TLS1.3协议优先支持ECDHE密钥交换，比特币和以太坊使用ECDSA签名，Apple和Google全面采用ECC证书。TLS1.3实现注意事项椭圆曲线参数选择至关重要，NIST推荐的P-256和Curve25519是安全选择，需防范侧信道攻击和不安全随机数。P-256PUBLICKEYINFRASTRUCTURE公钥基础设施PKI体系PKI通过证书颁发机构CA、注册机构RA和数字证书构成的信任链体系，为非对称加密提供了完整的身份认证和密钥管理框架，是支撑HTTPS、电子邮件加密和企业VPN等互联网安全通信的核心基础设施。核心认证机构01证书颁发机构（CA）作为可信第三方签发和管理数字证书，DigiCert、Let'sEncrypt和Sectigo是主要公共CA，负责建立全球信任锚点02注册机构（RA）负责验证证书申请者的身份信息，执行域名所有权验证、企业资质审核等，确保只有合法实体才能获得有效数字证书证书生命周期03证书签发流程生成密钥对→提交CSR→CA验证身份→签发X.509证书→部署至服务器，整个流程高度标准化，确保证书可信可用04证书撤销机制通过CRL（证书撤销列表）和OCSP（在线证书状态协议）及时吊销泄露或过期的证书，防止恶意使用失效凭证信任链验证05证书链验证从终端证书逐级向上验证至根CA，每一级签名都需有效，形成完整的信任传递链条，任何环节失效都将导致验证失败06交叉信任与桥接支持不同PKI域之间的交叉认证，通过桥接CA实现异构系统互信，满足跨组织、跨国的安全通信需求KEYEXCHANGE密钥交换协议与前向安全性Diffie-Hellman密钥交换协议使双方在不安全信道上安全协商共享密钥成为可能，ECDHE变体通过临时密钥机制实现了前向安全性，确保即使长期密钥泄露也不影响历史通信的保密性。DH协议原理双方各生成私钥并计算公钥，交换后各自计算获得相同共享密钥。基于离散对数难题，攻击者无法从公钥推导出共享密钥。g^(ab)中间人攻击风险原始DH协议不验证身份，攻击者可伪造双方公钥进行中间人攻击。实际部署中需结合数字签名或证书认证来防御此类威胁。MITMECDHE临时密钥交换每次会话生成临时密钥对，会话结束后立即销毁。TLS1.3已将其作为唯一推荐的密钥交换机制，兼顾安全性与性能。TLS1.3前向安全性保障即使服务器长期私钥日后被泄露，由于临时密钥已销毁且无法恢复，攻击者仍无法解密历史通信记录，实现真正的前向安全。ForwardSecrecyCHAPTER04哈希函数与数字签名数据完整性验证、数字指纹与不可抵赖性证明的技术基石CRYPTOGRAPHYPRIMITIVES哈希函数核心特性哈希函数通过不可逆性、确定性、快速计算、抗碰撞性和雪崩效应五大核心特性，为数据完整性验证和密码安全存储提供了不可替代的技术基础，是构建数字信任体系的关键密码学原语。安全特性·SECURITY01不可逆性从哈希值无法逆推原始输入，计算上不可行，这是单向函数的本质特征。即使拥有无限计算资源，也无法从输出还原输入数据。02抗碰撞性极难找到两个不同输入产生相同输出，SHA-256碰撞概率低于2−128，满足密码学安全强度要求。03雪崩效应输入改变1位，输出平均变化50%，确保相似数据产生完全不同的哈希值，防止通过局部修改绕过验证机制。功能特性·FUNCTIONAL04确定性相同输入永远产生相同输出，使哈希值可作为数据「数字指纹」进行比对验证。这一特性是数据完整性校验的理论基础。05快速计算无论输入是1KB还是1GB，计算哈希值的时间可接受，适合实时数据验证场景。现代硬件每秒可处理数GB数据的哈希运算。应用场景：密码存储、数字签名、区块链、文件校验HASHALGORITHMEVOLUTION主流哈希算法演进与选型哈希算法经历了从MD5到SHA-1再到SHA-2/SHA-3的安全演进，MD5和SHA-1因碰撞漏洞已被淘汰，SHA-256是当前通用标准，SHA-3提供算法多样性冗余，选型时应优先使用SHA-256或SHA-3。主流密码学哈希算法技术对比算法输出长度内部结构安全状态典型应用MD5128位Merkle-Damgård已不安全非安全校验和SHA-1160位Merkle-Damgård已不安全已弃用（Git仍用）SHA-256256位Merkle-Damgård安全TLS/比特币/代码签名SHA-512512位Merkle-Damgård高安全高安全等级场景SHA-3可变长度海绵结构安全算法多样性冗余SHA-256是当前通用首选，SHA-3提供结构性安全冗余，MD5和SHA-1仅适用于非安全场景WORKFLOW数字签名工作流程数字签名通过"哈希+私钥加密"的组合机制，同时实现身份验证、完整性验证和不可抵赖性三大安全目标，其安全性依赖于哈希函数的抗碰撞性和非对称加密的密钥安全性。签名生成阶段01发送方对原始消息计算哈希值（如SHA-256），得到固定长度的消息摘要02使用发送方私钥对消息摘要进行加密运算，生成数字签名03将原始消息与数字签名组合发送，签名长度取决于非对称算法的密钥长度签名验证阶段01接收方对收到的原始消息用相同哈希函数独立计算消息摘要02使用发送方公钥对数字签名进行解密运算，恢复出发送方的原始消息摘要03比对两个摘要：一致则证明消息来源可信且未被篡改，不一致则签名无效CRYPTOGRAPHY·AUTHENTICATION消息认证码HMAC机制HMAC将哈希函数与对称密钥结合，在保证数据完整性的同时实现来源认证，计算效率远高于数字签名，适用于通信双方互信的高频认证场景，HMAC-SHA256已成为API认证和令牌验证的行业标准。HMAC原理将共享密钥与消息混合后进行哈希运算，安全性同时依赖哈希函数抗碰撞能力与密钥强度，公式核心为双重嵌套哈希结构。H(K⊕opad‖H(K⊕ipad‖m))与数字签名的区别MAC使用对称密钥、速度更快但无法提供不可抵赖性；数字签名使用非对称密钥、速度较慢但可证明发送者身份。对称vs非对称典型应用场景RESTAPI请求认证（如AWSSignature）、JWT令牌签名验证、TLS记录层完整性保护以及IPsec数据包认证。AWS·JWT·TLS·IPsec安全配置建议推荐HMAC-SHA256作为标准配置，密钥长度不小于256位，严格避免使用MD5和SHA-1作为底层哈希函数。SHA-256CHAPTER05认证加密技术与前沿趋势AEAD模式、量子安全密码学与隐私计算的未来图景AuthenticatedEncryption认证加密的必要性与演进认证加密（AE）将加密与认证统一为单一安全原语，从根本上消除了组合式方案的设计缺陷，AEAD进一步扩展支持对关联数据的认证，成为现代安全协议的标配。01传统加密的局限仅提供机密性保护，攻击者可在不解密的情况下篡改密文，导致接收方获得被修改的错误数据而毫不知情02组合方案的陷阱早期"先加密后MAC"或"先MAC后加密"的组合方式存在填充预言攻击等安全漏洞，如TLS的Lucky13攻击03认证加密（AE）统一原语将加密和认证整合为单一操作，API层面强制开发者同时获得机密性和完整性保护，杜绝遗漏04AEAD扩展能力认证加密与关联数据（AEAD）允许对包头等未加密数据同时认证，满足网络协议对头部明文传输+认证的需求ENCRYPTION·AUTHENTICATIONAEAD工作原理详解AEAD通过密钥、随机数、明文和关联数据四个输入参数，同时输出密文和认证标签，实现了"全有或全无"的安全解密策略——任何篡改都会导致验证失败，有效防御选择性篡改攻击。AEAD加密过程1输入四元组：密钥K、唯一随机数Nonce、待加密明文P和需认证但不加密的关联数据AD。这四个参数共同决定了加密输出的唯一性。2加密与认证同步执行：算法在CTR模式下加密明文生成密文C，同时通过GMAC或Poly1305计算覆盖C和AD的认证标签Tag，确保机密性与完整性同时达成。3输出二元组：密文C和认证标签Tag一起传输，接收方需要两者才能完成解密验证。标签长度通常为128位，提供足够的安全强度。AEAD解密验证1标签重新计算：接收方提供K、Nonce、C、AD和Tag，算法首先用相同方式重新计算认证标签，确保验证过程与加密过程使用完全一致的参数。2严格比对验证：计算标签与接收标签一致则输出明文，不一致则直接返回错误，不泄露任何解密中间结果，防止旁道攻击和信息泄露。3关联数据保护：AD虽未加密但受完整性保护，典型应用如TLS记录头、IPsecESP头部信息的认证，保证网络协议元数据不被篡改。AEADSTANDARDAES-GCM：主流AEAD标准AES-GCM将AES-CTR高效加密与GMAC认证无缝整合，凭借硬件加速支持和并行处理能力成为TLS1.3、IPsec和WPA3等安全协议的首选加密套件，但Nonce唯一性的严格要求是安全实现的关键挑战。01架构设计：AES-CTR提供并行加密能力，GMAC基于Galois域GF(2¹²⁸)多项式运算生成128位认证标签，两者在同一框架内高效协作GF(2¹²⁸)·128-bitTag02硬件加速优势：IntelAES-NI和ARMCE指令集提供硬件级AES运算支持，配合PCLMULQDQ指令加速Galois域乘法，吞吐量可达数GB/sAES-NI·数GB/s03协议部署现状：TLS1.3强制支持的AEAD套件之一，IPsecESP的推荐算法，Wi-FiWPA3的SAE握手后的数据加密标准TLS1.3·IPsec·WPA304Nonce安全约束：96位Nonce必须全局唯一，重复Nonce会导致密钥流重用和GHASH认证密钥泄露，实现中需采用计数器或随机数生成器96-bitNonceAES-GCM部署场景·数据中心网络设备AEAD·TLS1.3ChaCha20-Poly1305替代方案ChaCha20-Poly1305作为纯软件AEAD方案，在缺乏AES硬件加速的移动设备和嵌入式平台上性能领先AES-GCM达3倍，已被Google、Cloudflare大规模部署，是TLS1.3必须支持的三大AEAD套件之一。算法构成ChaCha20是20轮ARX流加密算法，Poly1305是基于模2¹³⁰⁻⁵多项式求值的一次性MAC，两者组合为完整AEAD方案，提供机密性与认证性双重保障ARX+MAC软件性能优势不依赖AES-NI等专用指令，在所有CPU架构上均能高效执行，在ARMCortex-A系列上比AES-GCM快约3倍，移动端性能优势显著3×大规模部署验证GoogleChrome/Android默认TLS加密套件，Cloudflare面向所有客户启用，OpenSSH6.5+作为首选加密算法，经海量生产环境验证Google·Cloudflare与AES-GCM互补TLS1.3同时规定AES-128-GCM、AES-256-GCM和ChaCha20-Poly1305三个必选套件，客户端可按硬件条件协商最优选择，实现灵活适配3SUITESCRYPTOGRAPHYINFRAMEWORKS认证加密在开发框架中的实现现代开发框架如ASP.NETCore通过子密钥推导机制实现认证加密，将主密钥按用途分离为独立的加密子密钥和认证子密钥，确保密钥用途隔离，从框架层面保障开发者不会误用密码学原语。子密钥推导机制01NISTSP800-108KDF派生用途绑定的子密钥，每个子密钥带有唯一标识，确保密钥分离的密码学安全性。02AES-256-CBC加密数据，HMAC-SHA-256生成认证标签，采用"先加密后MAC"的业界标准策略。03密钥轮换机制支持自动过期和更新，旧密钥保留用于解密历史数据，新密钥用于加密后续数据。安全设计原则01密钥用途隔离：同一主密钥派生的不同子密钥之间在密码学上完全独立，一个子密钥泄露不影响其他子密钥安全性密码学独立02防篡改保护：认证标签覆盖加密数据及其元信息（如密钥ID和IV），任何对密文或元数据的篡改都会被检测全链路校验ENCRYPTIONPROTOCOLSAEAD算法综合对比当前AEAD算法形成了AES-GCM主导服务器端、ChaCha20-Poly1305补充移动端的互补格局，两者在TLS1.3中同为必选套件，AES-CCM专攻IoT低功耗场景，AES-SIV解决了Nonce管理难题。主流AEAD算法技术特性对比AEAD算法底层加密认证机制硬件加速主要应用AES-128-GCMAES-CTRGMACAES-NITLS/IPsec主流AES-256-GCMAES-CTRGMACAES-NI高安全TLS/IPsecChaCha20-Poly1305ChaCha20Poly1305纯软件移动端/无AES-NIAES-CCMAES-CTRCBC-MACAES-NIIoT/蓝牙LEAES-SIVAES-CTRCMACAES-NINonce复用容错AES-GCM和ChaCha20-Poly1305是TLS1.3的核心AEAD套件，覆盖服务器到移动端的全场景需求QuantumThreat&Post-QuantumCryptography量子计算威胁与后量子密码学Shor算法使量子计算机理论上可破解所有基于大数分解和离散对数的非对称加密，NIST已于2024年发布首批后量子密码标准（CRYSTALS-Kyber/Dilithium），密码学正经历从经典数学困难问题向格密码等新型安全假设的历史性迁移。Shor算法威胁可在多项式时间内解决大数分解与离散对数问题，百万量子比特级计算机即可破解全部RSA与ECC密钥体系。RSA/ECC先存储后解密攻击者截获并存储当前加密通信，待量子计算机成熟后批量解密，敏感长寿命数据面临紧迫的现实威胁。现实威胁NISTPQC标准2024年发布首批标准：ML-KEM（基于格密码的密钥封装）与ML-DSA（基于格密码的数字签名）。ML-KEM·ML-DSA格密码主流路线候选路线含格密码、编码密码、多变量密码与哈希签名，格密码因效率与安全性平衡成为主流选择。效率×安全Privacy-PreservingComputation同态加密与隐私计算同态加密允许在密文上直接执行计算并获得正确结果，实现了"数据可用不可见"的理想状态，全同态加密（FHE）支持任意复杂运算，正从理论研究走向工程落地，将深刻改变云计算和AI训练的数据安全模式。同态加密在云数据中心实现"数据可用不可见"的安全计算环境01部分同态加密RSA天然支持乘法同态，Paillier支持加法同态，适用于安全投票等特定场景02全同态加密（FHE）2009年Gentry首次