Encryption
這個問題仍然像離散對數（修改後的 ElGamal）一樣難嗎？
我正在嘗試找到以下問題的漏洞或證據：
ElGamal 部分。
給定 $ g\in\mathbb Z_p $ 在哪裡 $ g $ 生成 $ \mathbb Z_p^\star $ , 隨機選擇 $ k\in\mathbb Z_p $ 併計算 $ h=g^k \mod p $ . 公鑰是 $ (p, g, h) $ 和私鑰是 $ k $ .
加密消息 $ m\in\mathbb Z_p $ , 隨機選擇 $ r\in\mathbb Z_p $ 並發布 $ (g^r, m\times g^{rk}) $ .
附加部分
讓 $ s $ 隨機選擇 $ \mathbb Z_p $ . 發布 $ k+s $ 和 $ g^{rs} $ .
問題
如果我們知道 $ k+s $ , $ g^{rs} $ 和公鑰 $ (g,g^k, p) $ 有沒有可能得到 $ k $ , $ s $ 或者 $ g^{kr} $ ?
我發現這篇文章（這個問題與離散對數相同嗎？）這是相似的，但我找不到可以幫助我解決問題的方法。
這種結構容易壞嗎？可以通過轉換為離散對數問題或其他密碼問題來證明嗎？
是的，系統很容易被破壞。我們有：
$$ (g^r)^{k+s} / g^{rs} = g^{rk} $$ 你不列出 $ g^r $ 在您的問題陳述中，但是它在密文中，因此我們可以假設攻擊者知道它。