סכימת בלום-גולדווסר (Blum-Goldwasser) היא סכימת הצפנה אסימטרית הסתברותית שהוצעה על ידי מנואל בלום ושפי גולדווסר ב-1984. היא יעילה מבין סכימות ההצפנה ההסתברויות הידועות ויעילה יותר בהשוואה ל-RSA מהיבט של מהירות והתנפחות הצופן וכן נחשבת לבטוחה סמנטית בהנחה שבעיית פירוק לגורמים קשה. סכימת בלום גולדווסר מנצלת את רעיון המחולל הפסאודו אקראי Blum-Blum-Shub (בקיצור BBS), כדי ליצור רצף סיביות פסאודו אקראי, המשמש לאחר מכן לחיבור ב-XOR עם המסר בדומה לפנקס חד פעמי. התוצאה ביחד עם הגרעין ההתחלתי כשהוא מוצפן מועברים למקבל שמשתמש במידע הסודי המצוי ברשותו הנקרא דלת צונחת (Trapdoor), כדי לחלץ את הגרעין ההתחלתי שהוזן למחולל ומשם הדרך לשחזור המסר קלה. אפשר לראות בשיטה זו מעין שילוב של צופן זרם עם מפתח פומבי. בדומה להצפנת רבין, הצפנת בלום-גולדווסר פגיעה להתקפת טקסט מוצפן נבחר.

1. בוחרים שני שלמים ראשוניים גדולים ${\displaystyle \ p}$ ו-${\displaystyle \ q}$ השקולים ל-${\displaystyle \ 3}$ מודולו ${\displaystyle \ 4}$.
2. מחשבים את ${\displaystyle \ n=pq}$
3. בעזרת אלגוריתם אוקלידס המורחב מוצאים שלמים ${\displaystyle \ a}$ ו-${\displaystyle \ b}$ המקיימים את ${\displaystyle \ ap+bq=1}$.
4. המפתח הפומבי הוא ${\displaystyle \ n}$ והמפתח הפרטי הוא ${\displaystyle \ (p,q,a,b)}$.

להצפנת המסר ${\displaystyle \ m}$ המצפין משיג לידיו עותק של המפתח הפומבי ופועל כדלהלן:

1. מחלק את המסר ל-${\displaystyle \ t}$ לבלוקים, כל אחד בגודל ${\displaystyle \ h}$ סיביות, כאשר ${\displaystyle \ h={\mbox{lg lg }}n}$ (הלוגריתם בבסיס 2 של מספר סיביות המודולוס בקירוב).
2. בוחר גרעין אקראי סודי ${\displaystyle \ x_{0}}$, שהוא שארית ריבועית מודולו ${\displaystyle \ n}$ (אפשר להשיג זאת על ידי בחירת שלם אקראי ${\displaystyle \ r\in \mathbb {Z} _{n}^{*}}$ וחישוב ${\displaystyle \ x_{0}=r^{2}{\mbox{ mod }}n}$).
3. ההצפנה מבוצעת באופן רקורסיבי ב-${\displaystyle \ t}$ סבבים כאשר בכל סבב: א. הוא מחשב את ${\displaystyle \ x_{i}=x_{i-1}^{2}{\mbox{ mod }}n}$, ב. מצפין את בלוק המסר ${\displaystyle \ m_{i}}$ כדלהלן: ${\displaystyle \ c_{i}=p_{i}\oplus m_{i}}$, כאשר ערכו של ${\displaystyle \ p_{i}}$ הוא ${\displaystyle \ h}$ הסיביות הנמוכות של ${\displaystyle \ x_{i}}$.
4. מחשב את ${\displaystyle \ x_{t+1}=x_{t}^{2}{\mbox{ mod }}n}$.
5. הטקסט המוצפן הוא ${\displaystyle \ (c_{1},c_{2},...,c_{t},x_{t+1})}$.

1. המקבל משתמש במפתח הפרטי שבידיו כדי לחשב את ${\displaystyle \ d_{1}=((p+1)/4)^{t+1}{\mbox{ mod }}(p-1)}$
2. ואת ${\displaystyle \ d_{2}=((q+1)/4)^{t+1}{\mbox{ mod }}(q-1)}$
3. ואז מחשב את ${\displaystyle \ u=x_{t+1}^{d_{1}}{\mbox{ mod }}p}$
4. ואת ${\displaystyle \ v=x_{t+1}^{d_{2}}{\mbox{ mod }}q}$
5. ואז מחלץ את הגרעין ההתחלתי ${\displaystyle \ x_{0}=vap+ubq{\mbox{ mod }}n}$.
6. הוא מפענח את המסר באותה הדרך בה הוצפן, עבור כל בלוק מוצפן ${\displaystyle \ c_{i}}$ מחשב את ${\displaystyle \ x_{i}=x_{t-1}^{2}{\mbox{ mod }}n}$ ואז משתמש ב-${\displaystyle \ h}$ הסיביות הנמוכות כדי לחבר ב-XOR עם בלוק הטקסט המוצפן: ${\displaystyle \ m_{i}=p_{i}\oplus c_{i}}$ כדי לקבל את ${\displaystyle \ m_{i}}$.

ראשית ממשפט השאריות הסיני נובע, היות ש-${\displaystyle \ x_{t}}$ הוא שארית ריבועית מודולו ${\displaystyle \ n}$, הוא שארית ריבועית מודולו הגורמים הראשוניים של ${\displaystyle \ n}$. ולפי תכונות סימן לז'נדר ${\displaystyle \ x_{t}^{(p-1)/2}\equiv 1\ ({\mbox{mod }}p)}$.

שנית, ניתן לראות ש-

${\displaystyle \ x_{t}^{(p+1)/4}\equiv (x_{t}^{2})^{(p+1)/4}\equiv x_{t}^{(p+1)/2}\equiv x_{t}^{(p-1)/2}x_{t}\equiv x_{t}{\mbox{ mod }}p}$

באופן דומה ${\displaystyle \ x_{t}^{(p+1)/4}\equiv x_{t-1}\ ({\mbox{mod }}p)}$ וכן ${\displaystyle \ x_{t+1}^{((p+1)/4)^{2}}\equiv x_{t-1}\ ({\mbox{mod }}p)}$ וכן הלאה.

מזה נובע ש:

${\displaystyle \ u\equiv x_{t+1}^{d_{1}}\equiv x_{t+1}^{((p+1)/4)^{t+1}}\equiv x_{0}\ ({\mbox{mod }}p)}$

וגם ${\displaystyle \ v\equiv x_{t+1}^{d_{2}}\equiv x_{0}\ ({\mbox{mod }}q)}$

ולבסוף כיוון ש-${\displaystyle \ ap+bq=1}$ לכן ${\displaystyle \ vap+ubq\equiv x_{0}\ ({\mbox{mod }}p)}$ כנ"ל לגבי ${\displaystyle \ q}$. לכן אם מחשבים את ${\displaystyle \ vap+ubq{\mbox{ mod }}n}$ מתקבל הגרעין ההתחלתי ${\displaystyle \ x_{0}}$. אם הגרעין ההתחלתי ידוע הפענוח טריוויאלי, כיוון שכל מה שנדרש הוא פעולת XOR חוזרת על הטקסט המוצפן בדיוק כפי שנעשה עם המקור.

לצורך הכנת מפתחות המקבל בוחר ראשוניים מתאימים נניח ${\displaystyle \ p=643}$ ו-${\displaystyle \ q=859}$ ומחשב את ${\displaystyle \ n=pq=552337}$ ואז מחשב את משוואת אוקלידס ${\displaystyle \ 171\cdot 643+-128\cdot 859=1}$ כך ש-${\displaystyle \ a=171,b=-128}$. המפתח הפומבי הוא אם כן ${\displaystyle \ 552337}$ והמפתח הפרטי הוא ${\displaystyle \ (643,859,171,-128)}$.

כעת אם השולח מעוניין להצפין את המסר ${\displaystyle \ m={\mbox{9C5B82}}}$ (בייצוג הקסדצימלי, בסה"כ 24 סיביות). הוא מחשב תחילה את ${\displaystyle \ \left\lfloor \log _{2}(552337)\right\rfloor =19}$ ואז ${\displaystyle \ h=\left\lfloor \log _{2}(19)\right\rfloor =4}$ ואז מחלק את סיביות המסר לשישה בלוקים בני ארבע סיביות כל אחד ומתקבל:

${\displaystyle \ m_{1}=1001,m_{2}=1100,m_{3}=0101,m_{4}=1011,m_{5}=1000,m_{6}=0010}$

כעת בוחר גרעין התחלתי אקראי, נניח ${\displaystyle \ x=201036}$ (שהוא ${\displaystyle \ 21403^{2}{\mbox{ mod }}552337}$). הצפנת המסר ${\displaystyle \ m}$ מוצגת בטבלה הבאה, כאשר ${\displaystyle \ p_{i}}$ מייצג את ארבע הסיביות הנמוכות של ${\displaystyle \ x_{i}}$, בכל שלב לאחר העלאת ${\displaystyle \ x_{i}}$ בריבוע מחשבים את ${\displaystyle \ c_{i}=p_{i}\oplus m_{i}}$:

${\displaystyle \ i}$	${\displaystyle \ x_{i}=x_{i-1}^{2}{\mbox{ mod }}n}$	${\displaystyle \ m_{i}}$ בסיביות	${\displaystyle \ p_{i}}$ בסיביות	${\displaystyle \ c_{i}}$ בסיביות
1	${\displaystyle \ 422669}$	${\displaystyle \ 1001=9}$	${\displaystyle \ 1101={\mbox{D}}}$	${\displaystyle \ 0100=4}$
2	${\displaystyle \ 99607}$	${\displaystyle \ 1100={\mbox{C}}}$	${\displaystyle \ 0111=7}$	${\displaystyle \ 1011={\mbox{B}}}$
3	${\displaystyle \ 477255}$	${\displaystyle \ 0101=5}$	${\displaystyle \ 0111=7}$	${\displaystyle \ 0010=2}$
4	${\displaystyle \ 155302}$	${\displaystyle \ 1011={\mbox{B}}}$	${\displaystyle \ 0110=6}$	${\displaystyle \ 1101={\mbox{D}}}$
5	${\displaystyle \ 363762}$	${\displaystyle \ 1000=8}$	${\displaystyle \ 0010=2}$	${\displaystyle \ 1010={\mbox{A}}}$
6	${\displaystyle \ 522228}$	${\displaystyle \ 0010=2}$	${\displaystyle \ 0100=4}$	${\displaystyle \ 0110=6}$

לסיום מחשב גם את ${\displaystyle \ x_{7}=166864}$ ואת הטקסט המוצפן ${\displaystyle \ (c={\mbox{4B2DA6}},x_{7}=166864)}$ הוא שולח למקבל.

כדי לפענח את הטקסט המוצפן המקבל מחשב תחילה את הערכים:

${\displaystyle \ d_{1}=(644/4)^{7}{\mbox{ mod }}642=479}$ ואת

${\displaystyle \ d_{2}=(860/4)^{7}{\mbox{ mod }}858=305}$ ואז

${\displaystyle \ v=166864^{305}{\mbox{ mod }}859=30}$ וכן

${\displaystyle \ u=166864^{479}{\mbox{ mod }}643=420}$

ואז משחזר את הגרעין ההתחלתי כך: ${\displaystyle \ x_{0}=30\cdot 171\cdot 643+420\cdot -128\cdot 859{\mbox{ mod }}552337(=-351301)=201036}$. בעזרת הגרעין ההתחלתי הוא משחזר את הרצף הפסאודו אקראי, בדיוק כפי שעשה זאת המצפין ומכאן שחזור המסר קל כיוון ש- ${\displaystyle \ m_{i}=c_{i}\oplus p_{i}}$ לכן ${\displaystyle \ m={\mbox{4B2DA6}}\oplus {\mbox{D77624}}={\mbox{9C5B82}}}$.

ערך מורחב – ביטחון סמנטי

הצפנת בלום-גולדווסר ידועה כהצפנה אסימטרית בטוחה סמנטית בניגוד לשיטות אחרות כמו RSA ורבין. ההגדרה של ביטחון סמנטי היא שכל מה שניתן ללמוד בזמן ריצה פולינומי מהתבוננות בטקסט המוצפן בהינתן טקסט המקור, ניתן ללמוד גם ללא הטקסט המוצפן. במילים אחרות הסכימה תקרא בטוחה סמנטית אם אינה חושפת כל מידע ולו הקל ביותר אודות טקסט המקור שניתן לגלות בזמן פולינומי. למעשה זוהי גרסה חלשה של סודיות מושלמת, לפי שאנון שיטת הצפנה תקרא מושלמת אם יריב פסיבי אפילו בעל עצמת חישוב בלתי מוגבלת, לא יוכל ללמוד מאומה אודות טקסט המקור בהינתן טקסט-מוצפן בלבד, כיוון שכל טקסט יכול להיות המקור במידה שווה. ביטחון סמנטי לעומת זאת מוגבל ליריב בעל עצמת חישוב מוגבלת בזמן ומקום.

שיטת הצפנה דטרמיניסטית כמו RSA מכילה מטבעה מספר חולשות מהותיות:

1. היא אינה בטוחה עבור כל מסר במידה שווה (למשל במסרים קטנים מאוד, הצפנת הערך 0 או 1 תניב תוצאה זהה, כך שקל לזהות זאת).
2. קל לעיתים לחשב מידע חלקי אודות מקור הצופן מתוך הטקסט המוצפן. למשל ב-RSA ניתן לחשב את הסיבית הנמוכה ביותר של המסר על ידי חישוב סימן יעקובי.
3. הצפנה חוזרת של אותו המסר תניב תמיד תוצאה זהה. אפשר לזהות בקלות תעבורה של מסרים תדירים בעלי אופי מיוחד גם אם לא ניתן לקרוא את תוכנם.

אפשר להפוך כל שיטה דטרמיניסית לבטוחה סמנטית על ידי הוספת אקראיות למסר לפני תהליך ההצפנה. הכנת מסר באופן זה נהוגה למעשה כחלק מתקן מפתח פומבי של RSA ונקראת RSA-OAEP.

מספר בלום; המודולוס ייקרא מספר בלום אם הוא שלם פריק שהוא כפולה של שני ראשוניים שונים השקולים ל-3 מודולו 4. כלומר ${\displaystyle \ p\equiv 3\ ({\mbox{mod }}4)}$ אם קיים שלם ${\displaystyle \ t}$ כלשהו המקיים ${\displaystyle \ p=4t+3}$. אלגוריתם בלום גולדווסר מיישם גרסה מובנית של המחולל הפסאודו האקראי BBS כאשר הסיביות הנמוכות של השארית הריבועית ${\displaystyle \ x_{i}=x_{i-1}^{2}{\mbox{ mod }}n}$ בכל סבב, משלימות את הרצף הפסאודו אקראי לצורך הצפנת המסר. השארית הריבועית האחרונה ${\displaystyle \ x_{t+1}=x_{t}^{2}{\mbox{ mod }}n}$ נשלחת באופן גלוי כאמור אל המקבל לצורך שחזור הגרעין ההתחלתי. בהנחה שפירוק לגורמים היא בעיה קשה, ניתן להוכיח כי ${\displaystyle \ h}$ הסיביות הנמוכות של ${\displaystyle \ x_{t}}$ בטוחות סימולטנית, כלומר אין דרך יעילה לחשב אותם מלבד ניחוש, מה שאומר שהמחולל נחשב לבטוח (כל עוד פירוק לגורמים היא בעיה קשה). כמובן הגדרה זו מוגבלת לביטחון חישובי בלבד.

בדומה לשיטת רבין, הצפנת בלום גולדווסר פגיעה להתקפת מוצפן-נבחר שבה תוקף מנסה לגלות את הגורמים הראשוניים של המודולוס ועל כן לגלות את המפתח הפרטי מתוך המפתח הפומבי. במודל זה ההנחה היא שלתוקף גישה למערכת המבצעת הצפנה ופענוח כקופסה שחורה, אין לו גישה למפתח הסודי עצמו אך באפשרותו לבחור מסרים אותם הוא מעוניין שהמערכת תפענח עבורו ולנתח את התוצאה. סיטואציה כזו אינה בלתי אפשרית במערכות מסוימות ולכן מהווה איום בלתי מבוטל.

הצפנת בלום גולדווסר יעילה מבחינה חישובית כיוון שהטקסט המוצפן המתקבל אינו גדול משמעותית מטקסט המקור, אלא במספר קבוע של סיביות (כגודל השלם ${\displaystyle \ x_{t+1}}$ בסיביות). תהליך ההצפנה יעיל ודורש רק הכפלה מודולרית (מודולו ${\displaystyle \ n}$) אחת כדי להצפין ${\displaystyle \ h}$ סיביות, כלומר עבור מודולוס בגודל ${\displaystyle \ k}$ סיביות ומסר בגודל ${\displaystyle \ l}$ סיביות תהליך ההצפנה לוקח ${\displaystyle \textstyle O({\frac {lk^{2}}{{\mbox{log}}\ k}})}$ פעולות בסיסיות. לעומת RSA למשל שדורשת העלאה בחזקה מודולרית מלאה במידה והמעריך נבחר אקראית. ללא אופטימיזציה העלאה בחזקה מודולרית מלאה דורשת בממוצע ${\displaystyle \ 3k/2}$ פעולות כפל מודולריות כאשר ${\displaystyle \ k}$ שווה ללוגריתם בבסיס 2 של המודולוס. כמו כן תהליך הפענוח של אלגוריתם בלום גולדווסר דורש (בנוסף בשלב ההכנה) רק שלוש העלאות בחזקה מודולריות ללא תלות באורך המסר, יתר הפעולות דומות להצפנה, כלומר בסה"כ ${\displaystyle \textstyle O(k^{3})+O({\frac {lk^{2}}{{\mbox{log}}\ k}})}$. מה שאומר שעבור מסרים גדולים, שיטת בלום גולדווסר יעילה יותר מ-RSA.

• הצפנת פייליר

• הספר Handbook of Applied Cryptography.
• המאמר של מנואל בלום ושפי גולדווסר an efficient Probabilistic Public-Key Encryption Scheme which hides all partial information 1984.