密钥共享方案

然后，定义
F = ∪ FK
K
F是一个方案的分发规则的完全集。如果K是D想 要共享的密钥值，则D将会选择一个分发规则f ∈ FK 使用这个分发规则分发共享。
定义13.3 假定Γ是一个访问结构并且 F = ∪ FK
K
是分发规则的集合。我们称F是一个实现访问结构Γ的完善 密钥共享方案，如果下面两个性质成立： 1：对于任何的授权子集B ⊆ P，不存在两个分发规则f ∈ FK 和f '∈ FK ' , 其中K ≠ K '，使得f |B = f ' |B （即对于授权子集B中 的参与者，共享的任何分发都可以确定密钥K的值）。 2 : 对于任何非授权子集B ⊆ P和任何共享的分发g B ∈ S B , 有下 式成立 Pr[ K = k | S ( B) = g B ] = Pr[ K = k ] 对于任意的k ∈ K。
秘密共享方案
内容
• 1 引言：Shamir门限方案 引言：Shamir门限方案 • 2 简化的（t,t）门限方案 简化的（t,t）门限方案 • 3 访问结构 • 4 秘密共享方案的正式定义 • 5 信息率及信息率上界
引言：Shamir门限方案 引言：Shamir门限方案
• 在银行里有一个必须每天开启的金库。银
• 假设P={P1,P2,…,Pw}是参与者集合，K是密 假设P={P 是参与者集合，K
钥集合，S 钥集合，S是共享集合。 • Shamir门限方案。Shamir在1979年提出的。 Shamir门限方案。Shamir在1979年提出的。 • 令K=S=Zp，p是素数且p≥w+1. 是素数且p • Shamir门限方案如密码体制13.1所述。 Shamir门限方案如密码体制13.1所述。 • 在这个方案中，庄家构造了一个次数至多 是t-1次的随机多项式a(x)，此多项式的常 次的随机多项式a(x)，此多项式的常 数项是密钥K 数项是密钥K，每个参与者得到了这个多项 式的一个点(x 式的一个点(xi,yi)。
信息率及信息率的上界
• 任何单调访问结构都可以用完善秘密共享
方案来实现。 • 使用电路实现的方案效率很低。 • 一般来说，我们用信息率来衡量秘密共享 方案的效率
定义13.4 假定我们有一个实现访问结构Γ的完善 秘密共享方案。Pi的信息率定义为比率 lb | K | ρi = lb | S ( Pi ) | 方案的信息率记为ρ，并定义为 ρ = min{ρ i : 1 ≤ i ≤ w}
• 对于实现一个访问结构的任何完善密钥共
享方案ρ≤1 享方案ρ≤1
密码体制13.1 Shamir (t , w)门限方案 (初始化阶段)1.D在Z p中选择w个不同的非零元素，记为 xi，≤ i ≤ w( p ≥ w + 1)。对于1 ≤ i ≤ w，D把xi 值发送给Pi。 1 xi 值是公开的。 (共享分配)2.假定D想要共享一个密钥K ∈ Z p。D在Z p中秘密 地选择（独立随机的选择）t − 1个元素，分别记为a1 ,..., at −1. 3.对于1 ≤ i ≤ w，D计算yi = a( xi ), 其中 a ( x) = K + ∑ a j x j mod p
t
于是K = ∑ b j yi j mod p
j =1
t
(
)
• 如果t-1个参与者组成的子集B试图计算出K 如果t 个参与者组成的子集B试图计算出K
的值，会出现什么情况？ • 得不到K的任何信息 得不到K
简化的(t,t)门限方案 简化的(t,t)门限方案
• 当w=t这种特殊情况下构造的一个简化的门 w=t这种特殊情况下构造的一个简化的门
j =1 t −1
4.对于1 ≤ i ≤ w，D把yi的值发送给Pi作为共享。
• 子集合B⊆P中的参与者会收集其成员的共享 子集合B
并试图计算出密钥K的值（或者说，B 并试图计算出密钥K的值（或者说，B中的 参与者把它们的共享交给一个可信的权威 机构，由其计算出K 机构，由其计算出K值） • 如果|B|≥t，则可以把K看做他们所拥有的 如果|B|≥ ，则可以把K 共享函数；如果|B|<t，则他们不能计算出 共享函数；如果|B|<t，则他们不能计算出 K。
• 访问结构的性质1：单调性 访问结构的性质1 • 访问结构的性质2：门限性 访问结构的性质2 • 访问结构的性质3：最小授权子集Γ0 访问结构的性质3：最小授权子集Γ • Γ Γ0 。Βιβλιοθήκη 完善密钥共享方案的正式定义
• 分发规则：一个函数
f:P→S f:P→ 一个分发规则代表了将共享分配给参与者的 一种可能的分配，其中f(P 是分发给P 一种可能的分配，其中f(Pi)是分发给Pi的共 享。 • 对于每个密钥K，令FK是分发规则的集合。 对于每个密钥K，令F FK是对应于密钥值K的分发规则。分发规则 是对应于密钥值K 集FK是公开的。
访问结构
• 我们希望由w个参与者中的任何t个都能够 我们希望由w个参与者中的任何t
确定密钥K 确定密钥K。 • 更一般的情形是参与者集合的哪些子集能 够确定密钥，哪些不可以。 • 设Γ是由P的一些子集组成的集合， Γ中的 是由P 子集是指由这样的参与者组成的集合：集 合中的参与者可以共同计算出密钥的值， 我们称Γ 我们称Γ为 个访问结构，并 Γ 个访问结构， 个 称为 权 。
• 下面我们看t个参与者的子集是如果重构密 下面我们看t
钥的。 • 其基本上是利用多项式插值公式来完成的。 （1）解线性方程组 （2）拉格朗日插值公式
x − xik mod p a ( x ) = ∑ yi j ∏ 1≤ k ≤t ,k ≠ j xi − xi j =1 j k t xik mod p K = ∑ yi j ∏ 1≤ k ≤t ,k ≠ j xi − xi j =1 k j xik 定义b j = ∏ mod p 1≤ k ≤ t , k ≠ j xik − xi j
限方案。并且K=S=Z 限方案。并且K=S=Zm，m不一定是素数。
密码体制13.2 简化的(t , t )门限方案 1.D秘密地选择（独立随机选取）Z m中的t − 1个元素， 记为y1 ,..., yt −1。 2.D计算 yt = K − ∑ yi mod m
i =1 t −1
3.对于1 ≤ i ≤ t , D把共享yi的值发送给Pi。
• 定义13.2 在w个参与者（记为集合P）中共 定义13.2 个参与者（记为集合P
享密钥K的方法称为是实现访问结构Γ 享密钥K的方法称为是实现访问结构Γ 个 钥共 ， 果满 果满 两 个条件： 个条件： 1：对 个 权 参与 B⊆P, 果 们 共 到 起，那么 可 起，那么 钥K 值。 2：对 个 权 参与 B⊆P， B⊆P， 果 其 拥 共 ， 们 能 K值 。
俄罗斯的核武器控制方法就是一个类似的 “三取二”的访问机制。相关的三方分别 三取二” 是总统、国防部长和国防部官员。
“门限方案”的非正式定义 门限方案”
• 定义13.1 设t,w是正整数，t=<w，一个(t,w) 定义13.1 t,w是正整数，t=<w，一个(t,w)
门限方案是指这样一个使w 门限方案是指这样一个使w个参与者（参与 者的集合记为P）共享一个秘密K 者的集合记为P）共享一个秘密K的方法： 任何t个参与者都能计算出K的值，但任何t 任何t个参与者都能计算出K的值，但任何t1个参与者都不能计算出K的值。 个参与者都不能计算出K • 我们将研究秘密共享方案的无条件安全性， 即对参与者集合的任何子集所做的计算量 不做任何限制。
• K的值是由一个被称为庄家（记为D）的特 的值是由一个被称为庄家（记为D
定的参与者选择的，且假设D不属于P 定的参与者选择的，且假设D不属于P。 • 当D想要在P中的参与者中共享秘密K时，他 想要在P中的参与者中共享秘密K 给每个参与者一些部分信息，这些信息称 之为共享。这些共享是秘密分发的，所以 任何一个参与者都不会知道D 任何一个参与者都不会知道D分发给其他参 与者的共享。
行雇佣了3 行雇佣了3个比较资深的出纳员进行管理， 但银行不会相信任何单个出纳员的暗码。 因此，我们希望设计出这样一个体制：三 个出纳员中的任何两个联合起来都能开启 金库，但任何单个出纳员都不能开启金库。 • 这个问题可以利用秘密共享方案来解决， 这就是本章的主题。
• 据《时代》杂志报道，在20世纪90年代， 时代》杂志报道，在20世纪90年代，