广播加密的艺术：深入解析 Subset Difference (SD) 算法

在物联网（IoT）和大规模流媒体分发中，我们经常面临一个经典的“不可能三角”：低带宽消耗、高安全性、无状态接收。

试想这样一个场景：你有 100 万台部署在各地的医疗监测设备，它们共享一个加密频道。突然，其中 1 台设备被黑客物理攻破了。你需要立刻把这 1 台设备“踢出群聊”，同时保证剩下的 999,999 台设备能继续正常通信。

传统的做法有两个极端：

1. 极端 A（单播）：给剩下的 99 万台设备每人发一份新密钥。代价是带宽爆炸，系统直接瘫痪。

2. 极端 B（组播重置）：通知所有人在线，协商一个新密码。代价是交互爆炸，那些处于休眠状态的设备一旦错过更新，醒来就变成了“砖头”。

为了解决这个悖论，Naor 和 Lotspiech 提出了天才般的 Subset Difference (SD) 算法。它实现了无状态（Stateless）撤销，即：剩下的合法用户不需要做任何密钥更新操作，仅仅依靠出厂时预置的静态密钥，就能无缝解密新的广播，而被撤销者则被数学规律严密地拒之门外。

今天我们就来拆解这个算法背后的数学之美。