访问结构上的动态先应式秘密共享方案

收稿日期：2011 02 22; 修回日期：2011 06 20 基金项目：国家自然科学基金(60374066) 作者简介：秦华旺(1978 )，男，博士，主要从事信息安全方面的研究.
出了异步环境下先应式秘密共享的具体实现技术； 文献[10]在其设计的秘密再分发协议中提出了动态 先应式秘密共享的思想，在更新子份额时还可以改 变秘密共享的结构；文献[11]对文献[10]的方案进行 了改进和完善，并给出了其在实际应用中的具体实 现方法； 此外， 文献[12-13]也利用文献[10]的思想设 计了相应的动态先应式秘密共享方案； 文献[14]基于 文献[2]的先应式秘密共享方案，以及文献[1]的可验 证秘密共享方案，提出了一种更安全和更高效的动 态先应式秘密共享方案。 在上述方案中，文献[10-14]的方案均可以实现 动态的秘密共享，即在更新子份额的同时可以改变 秘密共享的结构。动态先应式秘密共享具有重要的 实际应用价值，由于安全性要求改变、攻击者入侵、 秘密共享成员的变更或性质变化等因素，都可能会 要求秘密共享的结构发生相应的变化。如当系统怀 疑某个成员可能已经遭到入侵时，其可以通过改变 秘密共享的结构来降低该成员在秘密重构中的作
928
电 子 科 技 大 学 学 报
第 41 卷
用，从而继续保持整个系统的安全性。与一般的先 应式秘密共享方案相比，动态先应式秘密共享方案 具有更高的安全性和更大的应用灵活性。 本文基于文献[9]的(t, n)秘密共享方案，通过在 其中引入攻击结构的概念，提出了一种可以应用于 访问结构上的秘密共享方案，并通过在更新子份额 的同时改变秘密共享的访问结构，实现动态先应式 的秘密共享。与现有的基于拉格朗日插值的动态先 应式秘密共享方案
ห้องสมุดไป่ตู้
Dynamic Proactive Secret Sharing Scheme Based on Access Structure
QIN Hua-wang , ZHU Xiao-hua, and DAI Yue-wei
(School of Automatization, Nanjing University of Science and Technology Nanjing 210094)
[10-14]
2) 将共享秘密S拆分为k 个不同的子份额，分别 记为S1 , S2 , …, Sk； 3) 对于子集P j ，若其包含成员Ui ，则不将子份 额Sj 分发给Ui ；否则将子份额Sj 分发给Ui ，以此规律 遍历所有的k 个子集(该步将使集合P j 中的所有成员 不持有子份额Sj )。 如对于一个(2,4)秘密共享方案，按上述过程进 行子份额分发后， 每个成员的子份额持有情况如表1 所示。可以看出，4个成员中的任意两个成员可以重 构共享秘密， 而任意一个成员均不能重构共享秘密。
i=1, 2, …, n；
第6期
秦华旺，等: 访问结构上的动态先应式秘密共享方案
929
2) PKG执行以下运算： for(i=1; i≤; i++) { L=Qi 中成员的个数； for(j=1; j≤L; j++) { r=Qi 中第 j个成员在集合U 中的下标号(即 Qi 中第j个元素为成员Ur )； 将集合Hr 中的子份额 Si0 删除； } } 3) PKG利用安全通道，将Hi 中保留的子份额秘 密发送给成员Ui , i =1, 2, …, n。 在步骤2)中将使集合Qi 中的所有成员不持有子 份额 Si0 ，如Q2 ={U1 , U3, U4}，则成员U1 、U3 和U4 都 0 将不持有子份额 S 2 。 3.3 子份额更新 为了防止PKG的单点失效，在完成首次子份额
Qkt 1 中的成员也就不可能收集到所有的 S tjk ， j=1, 2, …, ，从而也就不能计算出新的子份额 Skt 1 。此 外，上述的子份额更新过程还将保证除集合 Qkt 1 中
成员以外的其他成员均能得到 S tjk , j=1, 2, …, (别 的成员发送的或者自己产生的)，因此这些成员也就 可以计算出新的子份额 Skt 1 。 由于一个旧子份额可能被多个成员重复保存， 而为了使子份额更新时只产生唯一有效的新子份额 (步骤5))， 就必须保证一个旧子份额只能被分解一次 (步骤2))。因此，在每个周期的子份额更新过程中， 首先规定各个成员的子份额分解顺序，如按照成员 标号依次从U1 到Un ，然后当Ui 分解其保存的子份额 时，对于Ui 1 已经分解过的子份额将不再进行分解， 而且一旦所有的子份额都被分解过，后面的成员将 不再分解其保存的子份额。 秘密的重构 设U的某个授权子集X 要重构共享秘密 S，重构 过程如下： 3.4 1) X 中的每个成员都将其保存的子份额发送给 秘密生成者； 2) 秘密生成者删除掉多余的相同子份额，每个
期)的β个子份额。 3.2 子份额分发 0 0 1) PKG设定n个相同的集合Hi ={ S10 , S 2 , …, S },
可以概括为以下几步： 1) 通过从n个成员U1 , U2, …, Un 中任意选取t1个 t 1 成员， 构造k = Cn 个成员子集， 分别记为P 1, P2 ,…, P k；
表1
成员 U1 U2 U3 U4
相比，本文方案不仅计算量
小，而且还可以应用于访问结构上。
1
访问结构和攻击结构
子份额持有情况
子份额 S2 , S3, S4 S1 , S3, S4 S1 , S2, S4 S1 , S2, S3
用 U={U1 , U2, …, Un} 表示 n个成员所组成的集 合，则集合U上秘密共享的访问结构Γ由定义1给出。 定义 1 访问结构：若Γ={P |P 中的成员合作能 够重构共享秘密， 且(P Γ, P P U) ( P Γ)}， 则Γ是U上秘密共享的访问结构。 访问结构Γ中的元素P 称为集合U的授权子集或 合格子集，访问结构Γ 即为 U 的所有授权子集的汇 集。由定义1可知，访问结构是单调递增的，即若P 是访问结构Γ中的元素，且P P U，则 P 也是访 问结构Γ中的元素； 若访问结构中的任意两个元素之 间不存在包含关系， 则称该访问结构为最小访问结构。 定义 2 最小访问结构：若Γo Γ，且Γo ={P | 如果 P 满足 P P U，则 P To }，则Γo 是U上秘 密共享的最小访问结构。 为了将文献[12]的(t, n)秘密共享方案应用于访 问结构，本文引入文献[15]中定义的攻击结构概念。 定义 3 攻击结构：若A={P |P 中的成员合作不 能重构共享秘密， 且(P A , P P U) ( P A)}， 则A 是U上秘密共享的攻击结构。 之所以称为攻击结构，是因为这些集合中的成 员即使在被攻击者同时攻陷的情况下，也不会影响 到共享秘密的安全性。由定义3可知，攻击结构是单 调递减的。若攻击结构中的任意两个元素之间不存 在包含关系，则称该攻击结构为最大攻击结构。 定义 4 最大攻击结构：若 Ao A ，且A o ={P | 如果 P 满足P P U，则 P A o }，则A o 是U上秘 密共享的最大攻击结构。
Abstract Basing on the existing ( t, n) secret sharing scheme, a dynamic proactive secret sharing scheme which can be applied to access structure is proposed by introducing the concept of adversary structure. The access structure can be changed when the shadows are renewed. The detailed process of the distribution and renewal of the shadows is given, and the validity of the scheme is proved perfectly. The comparisons with the existing schemes show that the proposed scheme is more flexible and its computational cost is less. Key words access structure; cryptography; information security; proactive; secret sharing 先应式秘密共享假设攻击者以一定的速度感染 秘密子份额，但子份额也以同样的速度进行恢复， 从而保证始终有足够多的子份额用于秘密重构，子 份额恢复的基本方法是周期性地更新，经过一次更 新后，少于门限个数的旧子份额将不能再用于恢复 共享秘密，这样就可以将攻击者的攻击时间从秘密 的整个生存周期缩短为秘密的一个更新周期。文献 [1]基于文献[2]的可验证秘密共享方案，通过更新拉 格朗日插值多项式，首次提出了一种实用性较强的 先应式秘密共享方案。在该基础上，又有多种先应 式秘密共享方案被提出。如文献[3]利用二维对称多 项式，设计了一种无条件先应式秘密共享方案；文 献[4]基于椭圆曲线密码系统，设计了一种可验证先 应式秘密共享方案；文献[5]利用矩阵映射方法，设 计了一种先应式的多秘密共享方案； 文献[6]和文献[7] 利用线性代数方法，实现了访问结构上的先应式秘 密共享；文献[8]通过对子份额的再共享，提出了一 种异步环境下的先应式秘密共享方案；文献[9]则给
第 41 卷 第 6 期 2012年11月
电 子 科 技 大 学 学 报 Journal of University of Electronic Science and Technology of China
V ol.41 No.6 Nov. 2012
访问结构上的动态先应式秘密共享方案
秦华旺，朱晓华，戴跃伟
3
本文方案
文献[9]的方案只能应用于(t, n)门限结构，本文