Schoenmakers的PVSS方案:

2301_76956210

已于 2023-12-07 18:19:28 修改

阅读量121

点赞数 1

分类专栏：密码学文章标签：密码学

于 2023-12-07 18:11:31 首次发布

原文链接：https://www.cnblogs.com/isakovsky/p/17728451.html

版权

密码学专栏收录该内容

9 篇文章 0 订阅

订阅专栏

引用链接：密码协议学习笔记(8.1):秘密分享秘密分享的背景与概念

注意,该方案分发的秘密只能是循环群(如椭圆曲线)上的随机元素

初始化:

设参与者数量为h,门限值为t,

设p为大素数,G为p阶循环群,在其上计算离散对数问题是困难的,因此,对于随机选择的两个生成元g,ℎ,任何人都难以计算离散对数 $log_{g}h$

选定哈希函数 $H:{\{0,1\}}^{*}\rightarrow [0,p-1]$

参与者：

$P_{i}$ 选择 $x_{i}\epsilon [0,p-1]$ ,要求 $gcd(x_{i},\phi (p))=1$ ,计算 $z_{i}=x_{i}^{-1}\:mod\:\phi (p)$ .

将（ $x_{i}$ , $z_{i}$ )作为 $P_{i}$ 自己的私钥。将 $y_{i}=h^{x_{i}}$ 作为公钥广播出去。

分发者：

分发者Deliver选取随机数 $s\epsilon [0,p-1]$ ，计算 $S=h^{s}$ ，作为要分发的秘密。

秘密分发:

分发者Deliver执行如下操作以构造,并以加密的秘密碎片的形式分发秘密碎片:

1.选取函数

$p(x)=\sum_{i=0}^{t-1}\alpha _{i}x^{i}$

其中 $\alpha _{0}=s$

2.将x=1,x=2,...,x=n分别代入，计算得p(1),p(2),...,p(n)

3.对所有 $i\epsilon [1,n]$ ，计算

$s_{i}=h^{p(i)}$

4.对所有 $i\epsilon [1,n]$ ，使用参与者的公钥 $y_{i}\:\:$ ，计算并公开加密的秘密碎片 $Y_{i}$ ,其中

$Y_{i}=y_{i}^{p(i)}$

公开可验证:

为了达到加密的秘密碎片的公开可验证,Deliver需要进行以下操作:

1.对所有 $i\epsilon [0,t-1]$ ，计算并公开多项式p(x)的每个系数 $\alpha _{i}$ 分别对应的公共承诺 $C_{i}$ ,其中

$C_{j}=g^{\alpha _{j}}$

2.对所有 $i\epsilon [1,n]$ ,通过公共承诺计算出对每个成员 $P_{i}$ 的私人承诺 $X_{i}$ 。其中

$X_{i}=\prod_{j=0}^{t-1}(C_{j})^{i^{j}}$

$=\prod_{j=0}^{t-1}(g^{\alpha _{j}})^{i^{j}}$

$=g^{\sum_{j=0}^{t-1}\alpha _{j}\cdot i^{j}}$

$=g^{p(i)}$

但私人承诺可以不必直接公开,实际上,公共承诺与私人承诺是等价的,因为任何人都可以通过公开的公共承诺,计算对某个成员的私人承诺.

3.对所有 $i\epsilon [1,n]$ ,选取随机数 $w_{i} \epsilon [0,p-1]$

4.对所有 $i\epsilon [1,n]$ ,计算

$a_{i}=g^{w_{i}}$

5.对所有 $i\epsilon [1,n]$ ,计算

$b_{i}=y_{i}^{w_{i}}$

6.计算公共质询值

$c=H(X_{1},X_{2},...\:,X_{n},Y_{1},Y_{2},...\:,Y_{n},a_{1},a_{2},...\:,a_{n},b_{1},b_{2},...\:,b_{n})$

7.对所有 $i\epsilon [1,n]$ ,计算对成员 $P_{i}$ 的应答

$r_{i}=w_{i}-p(i)c$

8.将 $PROOF_{D}=(c,r_{1},r_{2},...,r_{n})$ 作为知识证据公开

验证任意一个加密的秘密碎片 $Y_{i}$ 的有效性:

1.使用公共承诺自行计算出所有的私人承诺

$X_{i}=\prod_{j=0}^{t-1}(C_{j})^{i^{j}}=g^{p(i)}$

2.观察 $X_{i}=g^{p(i)}$ , $Y_{i}=y_{i}^{p(i)}$ ,因为的 $X_{i}$ , $Y_{i}$ 底数 $g$ , $y_{i}$ 均是已知的,只需要比较它们的指数是否相同,但由于离散对数问题的难解性,进行这样的比较需要借助知识证据 $PROOF_{D}$ ,并且绕几个弯: