秘密共享初学

基本概念

秘密共享（Secret Sharing，SS）是安全多方计算中的一种技术，主要概念是通过将秘密值分割成随机多份，并将这些份分发给不同方隐藏秘密值，每一方只能拥有一个通过共享得到的秘密值的一部分，可根据具体的场合，将所有的或者一定数量的共享数值来重新构造原始的秘密值。
值得注意的是数量不足的参与者是无法恢复秘密信息的，而范围内的部分参与者出现问题的时候，秘密仍然可以完整的恢复。
所以一个秘密共享方案的关键就是如何设计秘密拆分和恢复的方式。

shamir方案

基本思路是通过分发多项式，基于矢量方法和拉格朗日插值法构造。所谓插值法就是通过函数在有限个点处的取值状况来估算出函数在其他点处的近似值。

拉格朗日插值法

简单比喻就是类似线性代数里面的，找到基坐标，然后确定坐标，这里就是用多项式去确定多项式。
核心概念是假设在二维平面上有$k+1$个点$(x_0,y_0),\dots ,(x_i,y_i),\dots ,(x_k,y_k)$，拉格朗日插值法可以找到且仅能找到次数不超过$k$的一个多项式$L(x)={\sum }_{j=0}^k{y}_j{\ell }_j(x)$，使得其恰好在$x_i$上取得值$y_i$，而在其它$x$上取值为0。基本多项式如下，
${\ell }_{\mathrm{j}}(\mathrm{x})={\prod }_{\mathrm{i}=0,\mathrm{i}\ne \mathrm{j}}^{\mathrm{k}}\frac{\mathrm{x}-{\mathrm{x}}_{\mathrm{i}}}{{\mathrm{x}}_{\mathrm{j}}-{\mathrm{x}}_{\mathrm{i}}}=\frac{\left(\mathrm{x}-{\mathrm{x}}_0\right)}{\left({\mathrm{x}}_{\mathrm{j}}-{\mathrm{x}}_0\right)}\cdots \frac{\left(\mathrm{x}-{\mathrm{x}}_{\mathrm{j}-1}\right)}{\left({\mathrm{x}}_{\mathrm{j}}-{\mathrm{x}}_{\mathrm{j}-1}\right)}\frac{\left(\mathrm{x}-{\mathrm{x}}_{\mathrm{j}+1}\right)}{\left({\mathrm{x}}_{\mathrm{j}}-{\mathrm{x}}_{\mathrm{j}+1}\right)}\cdots \frac{\left(\mathrm{x}-{\mathrm{x}}_{\mathrm{k}}\right)}{\left({\mathrm{x}}_{\mathrm{j}}-{\mathrm{x}}_{\mathrm{k}}\right)}$
该式子的特点就是在$x_j$处取值为1，其他则为0。把上面式子中的$x$换成任何一个非$x_j$的值，都会使得有一个式子的分子为0，从而使得整个式子值为0。
两个点可以确定唯一的一次多项式，三个点就可以确定一个唯一的二次多项式。
思路
如要求一个二次多项式$y=a_0+a_{1}x+a_2{x}^2$，有三个点$(x_1,y_1),(x_2,y_2),(x_3,y_3)$，带入到拉格朗日基本多项式里，能够分别得到三根曲线$f_1(x),f_2(x),f_3(x)$满足在对应点处能取得值为1，而在其他两个点上取值为0。
将三个相加得到
$f(x)=y_1{f}_1(x)+y_2{f}_2(x)+y_3{f}_3(x)$
这就是待求的多项式，至于为啥它就是那个多项式，可以用到线性代数
举例
假设多项式为$f(x)=1+x+x^2$，曲线上有三个点$（0，1），（1，3），（2，7）$带入到拉格朗日基础多项式里得到
$\begin{array}{l}{f}_0(x)=\frac{(x-x_1)(x-x_2)}{(x_0-x_1)(x_0-x_2)}=\frac{(x-1)(x-2)}{(0-1)(0-2)}=\frac{x^2-3x+2}{2}\\ f_1(x)=\frac{(x-x_0)(x-x_2)}{(x_1-x_0)(x_1-x_2)}=\frac{(x-0)(x-2)}{(1-0)(1-2)}=\frac{x^2-2x}{-1}\\ f_2(x)=\frac{(x-x_0)(x-x_1)}{(x_2-x_0)(x_2-x_1)}=\frac{(x-0)(x-1)}{(2-0)(2-1)}=\frac{x^2-x}{2}\\ f(x)=f_0(x)+3f_1(x)+7f_2(x)=x^2+x+1\end{array}$
正确性验证
三个点自然可以通过解方程组的形式解出这个多项式，如
$\{\begin{array}{l}{y}_1=a_0+a_1{x}_1+a_2{x}_1^2\\ y_2=a_0+a_1{x}_2+a_2{x}_2^2\\ y_3=a_0+a_1{x}_3+a_2{x}_3^2\end{array}$
考虑线性代数$\vec{y}=A\vec{a}$，即
$\underset{\vec{y}}{\underbrace{\left(\begin{array}{l}{y}_1\\ y_2\\ y_3\end{array}\right)}}=\underset{A}{\underbrace{\left(\begin{array}{lll}1& x_1& x_1^2\\ 1& x_2& x_2^2\\ 1& x_3& x_3^2\end{array}\right)}}\underset{\vec{a}}{\underbrace{\left(\begin{array}{c}{a}_0\\ a_1\\ a_2\end{array}\right)}}$
这个行列式$|A|$就是范德蒙行列式，解得为$(x_3-x_1)(x_3-x_2)(x_2-x_1)$,点不一样，行列式自然不为0，那就只有一个唯一解。
三个点只能唯一的确定一个二次多项式，不管它是如何组合出来的。

基本方案

假设要分发的秘密为$S$，将其拆为$n$份，需要大于等于$t$份才能恢复秘密。也就是$(n,t)$。
方案大致分为初始化，秘密分发，秘密恢复三个步骤
初始化
选取$n$个不同的元素去标识子秘密持有人（参与者）并公开。
秘密分发
随机选取$t-1$个元素$a_1\cdots a_{t-1}$，和原始的秘密构造多项式
$f(x)=S+a_{1}x+a_2{x}^2+\cdots +a_{t-1}{x}^{t-1}$
接着分别（为了更便于理解，实际上$x$是可以由每个成员自行随机选择的）令$x=1,2\cdots ,n$计算$f(x)$，即得到子秘密
$S_i=f(x_i)(i=1,\cdots ,n)$（如果$x$是随机选择的，那么得到子秘密也是随机的）
然后一般由一个可信的第三方（Dealer），分配给$n$个成员。
秘密恢复
$t$个成员拿出他们分到的秘密，组成点$(1,S_1),\cdots ,(t,S_t)$共$t$个点，然后使用拉格朗日插值公式得到一个唯一的$t-1$次多项式
$\begin{array}{rl}f(x)& =\sum _{i=1}^t{S}_i{\ell }_j(x)\\ & =\sum _{i=1}^t{S}_i\prod _{i=0,i\ne j}^k\frac{x-x_i}{x_j-x_i}\end{array}$
该方案中，相当于$n$个成员从$t-1$次多项式上取到了$n$个点，所以恢复出这个多项式需要$t$个点就够了。

可验证的秘密共享

上述方案是不安全的，假设

1. Dealer作恶，发送给成员的密钥分片并不能恢复出一致的密钥
2. 成员作恶，在恢复阶段发送的分片是错误的，这样恢复的密钥也是错误的；

为了解决这个问题，诞生了可验证的秘密共享。

Feldman VSS

基于shamir方案，增加了承诺验证，是常用的方案。
秘密分发
Dealer随机选择计算一个$t-1$阶多项式，显然需要$t$个参与者才能恢复出原来的秘密。$S$是秘密值。
$f(x)=S+a_{1}x+a_2{x}^2+\cdots +a_{t-1}{x}^{t-1}$
然后就是和shamir方案一样，Dealer计算出$n$个$t-1$阶的多项式，也就是随机选择$n$个x轴坐标（可以是1~n），带入多项式得到子秘密$S_i=f(x_i)$，然后将它通过加密通道发送给参与成员，这样每个成员都有一个坐标$(x_i,S_i)$，这样凑够$t$个就可以恢复出来原来的多项式。
承诺生成
$g$为循环群$G$的生成元。
Dealer生成承诺：$c_0=g^S,c_1=g^{a_1},\cdots ,c_t=g^{a_{t-1}}$共$t$个承诺。（基于离散对数难题），这组值需要广播出去。
承诺验证
每个参与者可以验证自己收到的秘密，若
$\begin{array}{rl}{g}^{f(x_i)}& =g^{S+a_{1}i+a_2{i}^2\cdots +a_t{i}^{t-1}}\\ & =c_0{c}_1^i{c}_2^{i^2}\cdots c_t^{i^{t-1}}\end{array}$则代表验证成功，即Dealer没有作恶。
秘密恢复
具体恢复方法和shamir的一样，在Dealer计算出了$S$后，需要验证一下$c_0=g^S$是否成立。若成立则证明成员没有作恶。

Pedersen VSS

对比Feldman的更加安全，多出了一个多项式。
$g$为循环群$G$的生成元，$h$是$G$中一个元素。
秘密分发
Dealer随机选择两个多项式
$\begin{array}{l}f(x)=S+a_{1}x+a_2{x}^2+\cdots a_{t-1}{x}^{t-1}\\ q(x)=b_0+b_{1}x+b_2{x}^2+\cdots b_{t-1}{x}^{t-1}\end{array}$
$f(x)$也就是前面feldman开始随机计算出的一个多项式。
接着计算出$S_i=(f(i),q(i))$，一共$n$个并分发给参与者
承诺生成
Dealer公开$c_i=g^{a_i}{h}^{b_i}$，广播出去
承诺验证
参与者验证
$g^{f(i)}{h}^{q(i)}=c_0{c}_1^i{c}_2^{i^2}\cdots c_{t-1}^{i^{t-1}}$
成立就通过。
秘密恢复
和前面的一样。

参考

秘密共享技术
拉格朗日插值法
趣说密码学（五）秘密共享方案——shamir,中国剩余定理,Brickell和Blakley
可验证秘密共享
可验证秘密共享-维基百科
Feldman方案
秘密共享与可验证秘密共享