Paillier暗号
G の任意の元 g = 1 + kn mod n をひとつ固定し、m ∈ Zn の暗号文を
c = g m r n mod n 2 {\displaystyle c=g^{m}r^{n}{\bmod {n}}^{2}}
で定義する。ここで r は Z n 2 ∗ {\displaystyle \mathbb {Z} _{n^{2}}^{*}} から選ばれた乱数である。
r は n 乗剰余であるので、H の元である。したがって r の位数は λ の約数である。そこで復号の際には秘密の情報 λ を用い、c を計算すると、
c λ = ( g m r n ) λ = g λ m = ( 1 + k n ) λ m = 1 + k λ m n mod n 2 {\displaystyle c^{\lambda }=(g^{m}r^{n})^{\lambda }=g^{\lambda m}=(1+kn)^{\lambda m}=1+k\lambda mn\mod n^{2}\,}
となる。よって L(c) = λkm である。同様の議論により L(g) = λk も示せるので、L(c)/L(m) により、平文 m を計算できる。