secret sharing；拉格朗日插值，shamir秘密分享，peterson秘密分享

最新推荐文章于 2023-06-05 22:18:32 发布

密码猿

最新推荐文章于 2023-06-05 22:18:32 发布

阅读量1.2k

点赞数

分类专栏：安全多方计算分栏文章标签：秘密分享 shamir peterson secret sharing 拉格朗日插值

本文链接：https://blog.csdn.net/qq_41359358/article/details/115460596

版权

安全多方计算分栏专栏收录该内容

2 篇文章 17 订阅

订阅专栏

本文介绍了秘密分享技术，通过拉格朗日插值法来实现。详细阐述了Shamir秘密分享方案和Peterson可验证秘密分享方案，解释了如何利用多项式和有限域来确保只有达到特定数量的参与者才能恢复秘密。

摘要由CSDN通过智能技术生成

秘密分享

系统中为了将秘密s在参与方 ${p_1,p_2,...,p_n}$ 中进行分享。系统为每个参与者分配子秘密 $s_{p_i}$ ,只有足够数量的用户能够恢复出秘密，而少于这个数量的用户得不到s的任何信息。举例来说，对于秘密s，需要有至少t个参与方才能恢复出秘密s，即阈值为t。当少于t个参与方的时候无法恢复出秘密。

进行具体方案讲解前首先知道什么是拉格朗日插值法

拉格朗日插值法

已知k-1次多项式 $f (x)$ 的k个互不相同的点的函数值 $f(x_i)(i=1,...,k)$ (我们设定阈值为k，根据具体需求，看后面例子)，可以利用下面的插值公式恢复 $k - 1$ 次多项式 $f (x)$
$f(x)=\sum _{j=1}^{k}f(x_j) \prod _{l=1,l\ne j}^{k}\frac{x-x_l}{x_j-x_l}$
下面具体看利用拉格朗日插值法的秘密分享方案

1.shamir秘密分享方案

当我们把秘密s取为 $f (0)$ （即为上面我们讲的K-1次多项式）,分别计算n个函数值 $f (i) (i = 1, . . ., n)$ 作为参与者 $P_i$ 的秘密份额，当拥有k个参与方的时候可以恢复出秘密s。
更一般的构造。设 $G F (q)$ 为有限域，q为一大素数， $q\geqslant n+1$ .秘密s为 $GF(q)/\{0\}$ 的随机数。多项式系数也在有限域内，构造 $f(x)=a_0+a_1x+....+a_{k-1}x^{k-1}$
举个具体例子：
设置阈值为k=3，即需要三个参与者才能恢复秘密。n=5，q=19，s=11.我们的秘密为s=11.生成k-1次多项式 $f(x)=(7x^2+2x+11)mod 19$
我们的秘密 $s = f (0) = 11$
因为n=5，有五个参与方，所以为每个参与方计算秘密份额
$f (1) = (7 + 2 + 11) m o d 19 = 1$
$f (2) = (28 + 4 + 11) m o d 19 = 5$
$f (3) = (63 + 6 + 11) m o d 19 = 4$
$f (4) = (112 + 8 + 11) m o d 19 = 17$
$f (5) = (175 + 10 + 11) m o d 19 = 6$
k-1次多项式，需要k个参与方恢复出秘密(不理解就可以简单想0次多项式即常数多项式f(x)=m,需要一个参与者才能得到秘密s=m)。
假设我们有 $P_2,P_3,P_5$ 来恢复秘密，利用前面的拉格朗日插值公式：
$k_2=5\frac{(x-3)(x-5)}{(2-3)(2-5)}=5 \frac{(x-3)(x-5)}{3}=5\cdot (3^{-1}mod19)(x-3)(x-5)=65(x-3)(x-5)$
$注：除以3等与乘以3的逆元，(3^{-1}mod19)=13$
$k_3=4\frac{(x-2)(x-5)}{(3-2)(3-5)}=36(x-2)(x-5)$
$k_5=6\frac{(x-2)(x-3)}{(5-2)(5-3)}=96(x-2)(x-3)$
最后 $f(x)=[k_2+k_3+k_5]mod19=[65(x-3)(x-5)+36(x-2)(x-5)+96(x-2)(x-3)]mod 19=(26x^2-188x+296)mod19=7x^2+2x+11$
计算 $f (0) = 11$ 即恢复我们的秘密值s。

2.Peterson可验证秘密分享

假设 $p_1,p_2,...,p_n$ 是秘密分享的参与方，令p为大素数，q为p-1的素因子，g为 $Z_p^{*}$ 中的一个元素（g就是这个群的生成元，因为是一个素数阶群）。首先每一个参与者 $p_i$ 选取一个多项式 $f_i(x)=a_{i,0}+a_{i,1}x+...+a_{i,t-1}x^{t-1} (modq)$ ,然后 $p_i$ 计算 $f_i(j)$ 发送给 $p_j ,(0<j\leqslant n,j \ne i)$ ,并广播 $g^{a_{i,0}},...,g^{a_{i,t-1}}$ .
此时对于每一个 $p_j$ 来说，其可以验证下面的等式：
$g^{f_i(j)}=g^{a_{i,0}}\cdot (g^{a_{i,1}})^{j}\cdot ...\cdot (g^{a_{i,t-1}})^{j^{t-1}} modp$
当每一个参与方 $p_j$ 验证通过后，每一个 $p_j$ 计算 $s_j=\sum _{i=1} ^{n}f_i(j)$ 作为秘密份额。
此时我们将上面的所有 $f_i(x)$ 进行推导,将所有的 $f_i(x)$ 求和得到新的t-1阶多项式 $f (x)$ ： $f(x)=\sum _{i=1} ^{n}f_i(x)= \sum _{i=1} ^{n}a_{i,0}+ (\sum _{i=1} ^{n}a_{i,1})x+...+( \sum _{i=1} ^{n}a_{i,t-1})x^{t-1}modq$ 。 $\sum _{i=1} ^{n}a_{i,0}就是我们要分享的秘密)$ 。
继续， $s_j=\sum _{i=1} ^{n}f_i(j)=f(j)$ ,对于 $s_j$ 我们进行下面的验证 $g^{s_j}=g^{\sum _{i=1} ^{n}f_i(j)}=\prod _{i=1}^{n}g^{f_i(j)}=(\prod _{i=1} ^{n}g^{a_{i,0}} )(\prod _{i=1} ^{n}g^{a_{i,1}})^{j}...(\prod _{i=1} ^{n}g^ {a_{i,t-1}})^{j^{t-1}}$ modq
(注：中间两步为推导过程，首尾两项根据已知信息可以直接进行计算判断是否相等)
最后，给定任意的t个秘密份额 $s_{i_1},...,s_{i_t}$ 利用拉格朗日插值法就可以恢复出秘密 $\sum _{i=1} ^{n}a_{i,0}$ .
$\sum _{i=1} ^{n}a_{i,0}$ =f(0)即可。
最后验证
$g^{\sum _{i=1} ^{n}a_{i,0}}=\prod _{i=1}^{n}g^{i,0}modp$