一種基于二元多項(xiàng)式的多秘密共享方案

韓妍妍 謝定邦 郭 超 趙 洪

1(北京電子科技學(xué)院通信工程系 北京 100070) 2(西安電子科技大學(xué)通信工程學(xué)院 陜西 西安 710071)

0 引 言

Shamir[1]和Blakley[2]分別基于拉格朗日插值多項(xiàng)式和映射幾何首次提出秘密共享方案。此后,秘密共享作為現(xiàn)代密碼學(xué)的一個(gè)重要研究方向,在門(mén)限加密、門(mén)限簽名和安全多方計(jì)算等領(lǐng)域都有著很好的應(yīng)用。近年來(lái),隨著大數(shù)據(jù)、云計(jì)算,尤其是區(qū)塊鏈技術(shù)迅速發(fā)展而引出的密鑰管理問(wèn)題,秘密共享技術(shù)作為解決方法將發(fā)揮更加重要的作用。Shamir秘密共享方案[1]包括系統(tǒng)秘密分發(fā)和秘密重構(gòu)兩個(gè)算法。主要思想是將秘密S分割成若干份秘密份額,并且具有屬性:(1) 任意t或大于t份秘密份額即可恢復(fù)秘密S;(2) 任意少于t份秘密份額無(wú)法獲得秘密S的任何信息。秘密共享技術(shù)不僅可以防止由于單個(gè)保管者的權(quán)力過(guò)于集中而導(dǎo)致的權(quán)威欺騙,而且秘密的分布式管理能有效保證重要數(shù)據(jù)的安全和健壯性。

Shamir秘密共享方案中,單次秘密共享過(guò)程僅可共享單個(gè)秘密;方案一次性使用;若要共享一個(gè)新秘密,分發(fā)者必須重新計(jì)算和生成新的秘密份額,并重新下發(fā)秘密份額給所有參與者。當(dāng)多個(gè)秘密需要共享時(shí),分發(fā)者計(jì)算和傳輸秘密份額就會(huì)消耗大量資源導(dǎo)致方案效率低下。He等[3]針對(duì)上述問(wèn)題提出多階段多秘密共享方案,使用公共移位技術(shù)和單向函數(shù)可按預(yù)定順序重構(gòu)多個(gè)秘密。此后,多秘密共享方案經(jīng)過(guò)不斷發(fā)展,多種方案被相繼提出:按預(yù)定順序重構(gòu)或任意次序異步重構(gòu)的多秘密共享方案[4-7],一次并行重構(gòu)多個(gè)秘密的多秘密共享方案[8-10]等。

二元多項(xiàng)式通常被用來(lái)構(gòu)造可驗(yàn)證的秘密共享方案[11-13]。近年來(lái),基于二元多項(xiàng)式設(shè)計(jì)的秘密共享方案擴(kuò)展到了許多密碼學(xué)場(chǎng)景,例如: 多方量子密鑰交換協(xié)議[14]、秘密共享可欺騙識(shí)別方案[15]、異步多秘密共享方案[16]、圖像秘密共享方案[17]等。傳統(tǒng)秘密共享方案中,方案實(shí)際部署往往會(huì)受到非參與者的外部攻擊,秘密重構(gòu)的過(guò)程中必須要引入額外的密鑰協(xié)商機(jī)制,進(jìn)而建立重構(gòu)者之間的安全通道,這使得方案變得復(fù)雜。Harn等[18]基于二元非對(duì)稱(chēng)多項(xiàng)式提出受保護(hù)的秘密共享方案(PSS),參與者收到的秘密份額不僅可以用于產(chǎn)生子秘密,還可產(chǎn)生任意參與者之間的會(huì)話(huà)密鑰,不用額外的密鑰協(xié)商機(jī)制就構(gòu)建了參與者間的安全通道。PSS方案與Shamir秘密共享方案相比有著近似的計(jì)算復(fù)雜度,并且該方案不基于任何計(jì)算性假設(shè),是信息論安全的,但是其方案沒(méi)有擴(kuò)展到多秘密共享場(chǎng)景。Harn等[16]第一次提出基于二元非對(duì)稱(chēng)多項(xiàng)式的多秘密共享方案, 繼承了PSS方案參與者間安全通道的性質(zhì),并且是任意次序異步恢復(fù)的多秘密共享方案。Zhang等[19]指出文獻(xiàn)[16]的多秘密共享方案無(wú)法抵御t-1個(gè)參與者內(nèi)部合謀攻擊,當(dāng)參與者成功重構(gòu)一個(gè)秘密后,t-1個(gè)參與者即可通過(guò)獲得的秘密份額合謀計(jì)算未重構(gòu)的所有秘密;Zhang等[19]基于二元多項(xiàng)式構(gòu)造了多秘密共享方案,通過(guò)構(gòu)造額外的二元對(duì)稱(chēng)多項(xiàng)式,生成會(huì)話(huà)密鑰保證參與者間安全通道,擴(kuò)展方案在滿(mǎn)足文獻(xiàn)[16]貢獻(xiàn)的同時(shí),異步恢復(fù)多秘密。但是其方案會(huì)增加分發(fā)者計(jì)算和秘密份額傳輸開(kāi)銷(xiāo),而且不可抵抗半誠(chéng)實(shí)參與者攻擊。

本文提出基于二元非對(duì)稱(chēng)多項(xiàng)式的多秘密共享方案,方案一次可重構(gòu)多個(gè)秘密,在大秘密分割共享和多秘密共享方面都有較好的應(yīng)用場(chǎng)景;繼承了文獻(xiàn)[16]多秘密和安全通道的特性,又解決了其受到的安全攻擊問(wèn)題。方案可進(jìn)一步設(shè)計(jì)成門(mén)限加密和門(mén)限簽名算法,進(jìn)而可結(jié)合當(dāng)前區(qū)塊鏈、電子投票等應(yīng)用場(chǎng)景來(lái)推動(dòng)技術(shù)發(fā)展。本文方案參與者獲得的秘密份額不僅可以產(chǎn)生子秘密,并且可以生成會(huì)話(huà)密鑰,用于保護(hù)在秘密重構(gòu)過(guò)程中重構(gòu)者間的信息交換。通過(guò)安全性分析,本文方案可抵抗內(nèi)部合謀攻擊和重構(gòu)過(guò)程中的外部攻擊。

1 預(yù)備知識(shí)

1.1 Shamir秘密共享

Shamir秘密共享方案包含兩個(gè)算法:秘密分發(fā)和秘密重構(gòu)。假設(shè)可信分發(fā)者為D,參與者集合U={U1,U2,…,Un},p是大素?cái)?shù),所有計(jì)算都在p階有限域上。

秘密分發(fā): 分發(fā)者隨機(jī)選擇一個(gè)t-1次單變量多項(xiàng)式f(x)=a0+a1x+a2x2+…+at-1xt-1modp,其中秘密s=a0∈GF(p),ai∈GF(p),i=1,2,…,t-1。D計(jì)算n個(gè)秘密份額s1=f(1),s2=f(2),…,sn=f(n),并將n個(gè)秘密份額分別通過(guò)秘密通道發(fā)送給參與者Ui(i=1,2,…,n)。

秘密重構(gòu): 任意大于或等于t個(gè)份額即可恢復(fù)秘密,假設(shè)有m(t≤m≤n)個(gè)參與者恢復(fù)秘密,參與者相互之間交換份額,獲得t個(gè)份額的參與者可通過(guò)拉格朗日插值公式來(lái)重構(gòu)秘密:

1.2 二元多項(xiàng)式

f(x,y)=a0,0+a1,0x+a0,1y+a1,1xy+…+at-1,t-1xt-1yt-1modp是一般二元多項(xiàng)式形式,其中ai,j∈GF(p),?i,j∈[0,t-1]。如果系數(shù)滿(mǎn)足ai,j=aj,i,那么稱(chēng)其為二元對(duì)稱(chēng)多項(xiàng)式;如果系數(shù)不滿(mǎn)足上述情況,那么稱(chēng)其為二元非對(duì)稱(chēng)多項(xiàng)式。在二元對(duì)稱(chēng)多項(xiàng)式中,存在f(x,y)=f(y,x),所以分發(fā)者D可分配每個(gè)參與者秘密份額為f(vi,y)或f(x,vi),其中vi(1≤i≤n)為參與者公開(kāi)的身份信息,任意參與者Ui和Uj(i≠j)間的會(huì)話(huà)密鑰即為f(vi,vj)=f(vj,vi)。在二元非對(duì)稱(chēng)多項(xiàng)式中,分發(fā)者可分配每個(gè)參與者Ui(i=1,2,…,n)兩個(gè)秘密份額f(vi,y)和f(x,vi),任意參與者可通過(guò)獲得的秘密份額構(gòu)造會(huì)話(huà)密鑰f(vi,vj)或f(vj,vi)。

1.3 秘密共享同態(tài)性

Benaloh[20]首次引入秘密共享同態(tài)性的概念。定義秘密群為S,相應(yīng)的秘密份額群為T(mén)。函數(shù)F為(t,n)秘密共享中T到S的映射函數(shù),函數(shù)F將基于任意t個(gè)秘密份額{si1,sit,…,sit}的秘密S定義為S=FI{si1,sit,…,sit},其中任意t個(gè)秘密份額集合表示為I={si1,si2,…,sit}。

根據(jù)定義可知,Shamir門(mén)限秘密共享方案滿(mǎn)足秘密共享(++) 同態(tài)性,即兩個(gè)多項(xiàng)式f(x)、g(x)的秘密份額之和等于多項(xiàng)式(f(x)+g(x))之和的秘密份額。

2 本文方案

2.1 動(dòng) 機(jī)

首先,考慮現(xiàn)有秘密共享方案在秘密重構(gòu)階段存在外部敵手時(shí),雖然構(gòu)造額外密鑰協(xié)商機(jī)制可抵抗外部攻擊,但其復(fù)雜性與參與重構(gòu)者數(shù)量存在二次關(guān)系,在實(shí)際環(huán)境中方案復(fù)雜性高,系統(tǒng)運(yùn)行效率低。其次,文獻(xiàn)[18]提出的PSS方案有著單秘密共享的局限性;文獻(xiàn)[16]雖然是PSS方案的多秘密共享擴(kuò)展,但當(dāng)存在t-1個(gè)重構(gòu)者合謀攻擊時(shí),僅需要重構(gòu)一個(gè)秘密,即可重構(gòu)所有未重構(gòu)的秘密;文獻(xiàn)[19]通過(guò)額外構(gòu)造二元多項(xiàng)式保證安全通道,增加了方案的復(fù)雜性。針對(duì)上述問(wèn)題,本文提出一種新的基于二元非對(duì)稱(chēng)多項(xiàng)式的多秘密共享方案。

2.2 符號(hào)定義

p為大素?cái)?shù),GF(p)為p階有限域。U={Uv1,Uv2,…,Uvn}是參與者集合,P={Pv1,Pv2,…,Pvn}是重構(gòu)者集合,其中t≤m≤n。D為誠(chéng)實(shí)的分發(fā)者,vi(1≤i≤n)是n個(gè)參與者公開(kāi)的身份信息。{s1,s2,…,sk}為要共享的秘密集合。f(x,y)為二元非對(duì)稱(chēng)多項(xiàng)式,t為門(mén)限值。參與者獲得的秘密份額為gvi(y)=f(vi,y)modp,構(gòu)造會(huì)話(huà)密鑰多項(xiàng)式為fvi(x)=f(x,vi)modp。任意參與者間的會(huì)話(huà)密鑰為Ki,j=f(vi,vj)。

2.3 方案設(shè)計(jì)

2.3.1 秘密分發(fā)

遵循2.2節(jié)定義,方案初始化大素?cái)?shù)p、GF(p)、n、t、{s1,s2,…,sk}的值。

Step1D選擇vi(1≤i≤n),vi∈GF(p)作為每個(gè)參與者公開(kāi)的身份信息,保證任意兩個(gè)參與者vi≠vj。

Case1假如k

Step2D構(gòu)造如下二元非對(duì)稱(chēng)多項(xiàng)式:

f(x,y)=s1+s2x+…+skxk-1+a1,0xk+…+at-k-1xt-1+

a0,1y+a1,1xy+…+at-k-1xt-1y+…+a0,h-1yh-1+

a1,h-1xyh-1+…+at-k-1,h-1xt-1yh-1modp=

(s1+s2x+…+stxt-1)y0+(a0,1+a1,1x+…+at-k-1,1xt-1)y+

(a0,h-1+a1,h-1x+…+at-k-1,h-1xt-1)yh-1modp

其中f(x,y)中關(guān)于x項(xiàng)的系數(shù){s1,s2,…,sk}是要共享的秘密集合。

Step3D計(jì)算秘密份額gvi(y)=f(vi,y)modp,會(huì)話(huà)密鑰生成多項(xiàng)式fvi(x)=f(x,vi)modp,通過(guò)安全通道發(fā)送和給參與者Uvi(i=1,2,…,n)。

Case2假如k≥t:

Step4構(gòu)造如下二元非對(duì)稱(chēng)多項(xiàng)式:

f(x,y)=s1+s2x+…+skxk-1+a0,1y+a1,1xy+…+ak-1,1xk-1y+

…+a0,h-1yh-1+a1,h-1xyh-1+…+ak-1,h-1xk-1yh-1modp=

(s1+s2x+…+skxk-1)y0+(a0,1+a1,1x+…+ak-1,1xk-1)y+

(a0,h-1+a1,h-1x+…+ak-1,h-1xk-1)yh-1modp

其中f(x,y)中關(guān)于x項(xiàng)的系數(shù){s1,s2,…,sk}是要共享的秘密集合。

Step5D計(jì)算秘密份額gvi(y)=f(vi,y)modp,會(huì)話(huà)密鑰生成多項(xiàng)式fvi(x)=f(x,vi)modp,通過(guò)安全通道發(fā)送和給參與者Uvi(i=1,2,…,n)。

Step6計(jì)算h1=f(1,0),h2=f(2,0),…,hk-t=f(k-t,0),通過(guò)Shamir秘密共享方案分發(fā)給秘密重構(gòu)者。

2.3.2 秘密重構(gòu)

假設(shè)參與秘密重構(gòu)的誠(chéng)實(shí)重構(gòu)者集合為{Pv1,Pv2,…,Pvm}。

Step1重構(gòu)者Pvi結(jié)合身份信息vj和gvi(y),重構(gòu)者Pvj結(jié)合身份信息vi和計(jì)算雙方會(huì)話(huà)密鑰Ki,j=f(vi,vj)。

Step2任意重構(gòu)者Pvi分別計(jì)算gvi(0)=f(vi,0)modp,此時(shí)結(jié)合Shamir秘密共享方案,重構(gòu)者Pvi隨機(jī)構(gòu)造t-1 階單變量多項(xiàng)式wvi(x),其中g(shù)vi(0)=wvi(0)。

Step5假設(shè)重構(gòu)者Pvj收到m-1個(gè)其他重構(gòu)者發(fā)來(lái)的cvi,vj,Pvj解密cvi,vj得到dvi,vj并分以下兩種情況進(jìn)行秘密重構(gòu):

Case1假如k

f(x,0)=s1+s2x+skxk-1+a1,0xk+…+at-k-1,0xt-1modp=

Case2假如k≥t:

f(x,0)=s1+s2x+…+skxk-1modp=

其中f(x,0)中系數(shù)集合{s1,s2,…,sk}即為重構(gòu)的多個(gè)秘密。

3 方案分析

3.1 正確性分析

定理1本方案任意大于等于t個(gè)重構(gòu)者可恢復(fù)秘密。

其中f(x,0)中系數(shù)集合{s1,s2,…,sk}即為重構(gòu)的多個(gè)秘密。

3.2 安全模型及安全性分析

3.2.1 安全模型

多秘密共享方案基本安全性包括: (1) 重構(gòu)過(guò)程中子秘密交換的安全性;(2) 未恢復(fù)秘密的泄露安全性。故本文方案主要針對(duì)兩種攻擊:內(nèi)部合謀攻擊和外部攻擊。

內(nèi)部敵手是擁有秘密份額的合法參與者,內(nèi)部合謀攻擊是指內(nèi)部敵手可單獨(dú)攻擊或者與其他內(nèi)部敵手合謀攻擊,與其他內(nèi)部敵手合謀時(shí)可迅速獲得一定量秘密份額進(jìn)而重構(gòu)秘密,通過(guò)合謀交換子秘密在不滿(mǎn)足門(mén)限值情況下重構(gòu)秘密。本文假設(shè)內(nèi)部敵手不會(huì)惡意泄露秘密份額給外部攻擊者?？紤]到內(nèi)部參與者竊取身份,本方案由于采用會(huì)話(huà)密鑰加密信息,內(nèi)部參與者想要冒充其他成員身份進(jìn)行攻擊必須擁有構(gòu)造會(huì)話(huà)密鑰的秘密份額多項(xiàng)式,而秘密份額多項(xiàng)式由安全通道分發(fā),攻擊者無(wú)法構(gòu)造滿(mǎn)足條件的秘密份額多項(xiàng)式發(fā)起攻擊,故本方案抵抗內(nèi)部參與者冒充身份攻擊。

外部攻擊是指外部敵手是沒(méi)有獲得合法秘密份額的外部參與者,通過(guò)偽裝成合法參與者欺騙誠(chéng)實(shí)參與者,收集到滿(mǎn)足門(mén)限值的子秘密時(shí)即可成功重構(gòu)秘密。本文假設(shè)分發(fā)者與參與者間存在安全通道,僅考慮秘密重構(gòu)時(shí)的外部攻擊,不考慮子秘密分發(fā)時(shí)的外部攻擊。

3.2.2 安全性分析

定理2當(dāng)保護(hù)的秘密數(shù)k(t+h+1)(t-1)或kh>(k+h+1)(t-1)條件時(shí),本方案任意小于t個(gè)重構(gòu)者不可恢復(fù)秘密集,且無(wú)法獲得秘密任何信息。

證明:方案構(gòu)造的二元非對(duì)稱(chēng)多項(xiàng)式f(x,y)包含th個(gè)不同的系數(shù),且x階為t-1,y階為h-1。秘密份額fvi(x)和gvi(y)分別是階為t-1關(guān)于x和h-1關(guān)于y的單變量多項(xiàng)式,每個(gè)參與者即可通過(guò)其構(gòu)造t+h個(gè)形如f(x,y)的線(xiàn)性獨(dú)立方程。當(dāng)t-1個(gè)參與者合謀攻擊時(shí),可建立(t+h)(t-1)個(gè)線(xiàn)性獨(dú)立方程,此時(shí)合謀者通過(guò)gvi(y)計(jì)算還可得到t-1個(gè)gvi(0),因此合謀者總共可得到(t+h)(t-1)+(t-1)個(gè)方程,如果th>(t+h+1)(t-1),合謀者可恢復(fù)f(x,y)。故滿(mǎn)足條件th>(t+h+1)(t-1)可抵抗內(nèi)部合謀攻擊。

當(dāng)k≥t時(shí),方案構(gòu)造的二元非對(duì)稱(chēng)多項(xiàng)式f(x,y)包含kh個(gè)不同的系數(shù),且x階為k-1,y階為h-1。秘密份額fvi(x)和gvi(y)分別是階為k-1關(guān)于x和h-1關(guān)于y的單變量多項(xiàng)式,每個(gè)參與者即可通過(guò)其構(gòu)造k+h個(gè)形如f(x,y)的線(xiàn)性獨(dú)立方程。當(dāng)t-1個(gè)參與者合謀攻擊時(shí),可建立(k+h)(t-1)個(gè)線(xiàn)性獨(dú)立方程,此時(shí)合謀者通過(guò)gvi(y)計(jì)算還可得到t-1個(gè)gvi(0),同時(shí)由于h1=f(1,0),h2=f(2,0),…,hk-t=f(k-t,0)由Shamir秘密共享方案保護(hù),t-1個(gè)參與者無(wú)法得到其信息,因此合謀者總共可得到(k+h)(t-1)+(t-1)個(gè)方程,滿(mǎn)足條件kh>(k+h+1)(t-1)可抵抗內(nèi)部合謀攻擊。

同時(shí)不失一般性,滿(mǎn)足條件th>(t+h+1)(t-1)下, 當(dāng)k

定理3本方案抵抗外部攻擊, 防止外部敵手獲得秘密的信息。

證明:方案可抵抗外部攻擊。假設(shè)分發(fā)者D與參與者間的通道是安全的,所以本方案只考慮秘密重構(gòu)過(guò)程中的外部攻擊。每個(gè)參與者獲得的秘密份額fvi(x)和gvi(y)即是安全的,任意參與者間的密鑰對(duì)Ki,j=f(vi,vj)由各自的秘密份額計(jì)算得出,且不同參與者對(duì)根據(jù)身份信息得到不同的Ki,j。在秘密重構(gòu)過(guò)程中,所有秘密份額全部通過(guò)密鑰Ki,j加密傳輸,假設(shè)外部敵手偽造身份信息參與秘密重構(gòu),但其缺少秘密份額而無(wú)法生成密鑰對(duì),從而無(wú)法與誠(chéng)實(shí)重構(gòu)者交換信息。因此,本方案可抵抗外部攻擊。

4 方案對(duì)比

文獻(xiàn)[19]中指出Harn等[16]方案不能抵抗t-1個(gè)參與者合謀攻擊,當(dāng)所有參與者通過(guò)秘密重構(gòu)過(guò)程恢復(fù)出首個(gè)秘密si=f(i,0)時(shí),此時(shí)t-1個(gè)參與者已經(jīng)從分發(fā)者發(fā)送的秘密份額獲得了多項(xiàng)式f(x)=f(x,0)的t-1個(gè)因子,由于恢復(fù)的秘密si=f(i,0)也是f(x)的因子,進(jìn)而參與者可計(jì)算出f(x),獲得所有秘密s1=f(1,0),s2=f(2,0),…,sk=f(k,0)。本文方案可抵抗t-1個(gè)參與者內(nèi)部合謀攻擊,同時(shí)又具有文獻(xiàn)[16]方案多秘密共享和秘密通道的性質(zhì)。與文獻(xiàn)[16]相同,本文方案重構(gòu)階段通信復(fù)雜度和計(jì)算復(fù)雜度都是O(m),其中m為重構(gòu)者數(shù)。

Zhang等[19]構(gòu)造了基于二元多項(xiàng)式的多秘密共享方案,但是分發(fā)者需要額外構(gòu)造對(duì)稱(chēng)二元多項(xiàng)式來(lái)滿(mǎn)足參與者安全通道的性質(zhì)。相比Zhang等[19]的方案, 本文方案首先無(wú)須構(gòu)建額外的二元多項(xiàng)式來(lái)滿(mǎn)足生成共享密鑰的條件,減少了分發(fā)者計(jì)算開(kāi)銷(xiāo)。其次,方案在具有一次多秘密保護(hù)和構(gòu)建參與者安全通道的性質(zhì)外,還可以抵抗內(nèi)部合謀攻擊和秘密重構(gòu)過(guò)程中的外部攻擊。本文方案無(wú)文獻(xiàn)[16]中k

本文方案與文獻(xiàn)[8-10]相比,同樣是一次多秘密共享方案,本文方案不基于任何密碼學(xué)假設(shè),是無(wú)條件安全的。其次,在實(shí)際應(yīng)用中,文獻(xiàn)[8-10]秘密共享方案需要在參與者間加入密鑰協(xié)商機(jī)制,構(gòu)建安全通道。本文方案分發(fā)者所產(chǎn)生的秘密份額不僅可以用來(lái)產(chǎn)生子秘密,又可以構(gòu)建參與者間共享密鑰,提供參與者間安全通道,降低實(shí)際環(huán)境中方案部署的復(fù)雜性。同時(shí),會(huì)話(huà)密鑰可抵抗秘密重構(gòu)時(shí)的外部攻擊。會(huì)話(huà)密鑰加密相比公鑰加密速度更快,整個(gè)流程會(huì)話(huà)密鑰一次性使用,保證安全性?，F(xiàn)有一次多密方案都需要一定程度的公開(kāi)值更新,本文方案在k

表1 一次多密方案對(duì)比

本文方案與文獻(xiàn)[16]和文獻(xiàn)[19]重構(gòu)階段計(jì)算復(fù)雜度都為O(m),其中m為參與者數(shù),故只對(duì)比分發(fā)階段計(jì)算復(fù)雜度,假設(shè)構(gòu)造二元多項(xiàng)式時(shí)間為T(mén)D,秘密多項(xiàng)式計(jì)算時(shí)間為T(mén)m。本文方案與文獻(xiàn)[16]和文獻(xiàn)[19]在秘密共享階段通信復(fù)雜度都為O(m)。現(xiàn)有基于二元多項(xiàng)式多秘密共享方案對(duì)比如表2所示。

表2 二元多項(xiàng)式多秘密方案對(duì)比

5 未來(lái)工作

Tompa等[21]指出秘密共享方案存在秘密份額偽造攻擊,當(dāng)內(nèi)部欺騙者提供虛假秘密份額時(shí),使得其他誠(chéng)實(shí)重構(gòu)者恢復(fù)錯(cuò)誤秘密,這就引出了秘密共享方案的公平性和欺騙識(shí)別的問(wèn)題。此后多個(gè)方案通過(guò)構(gòu)造可驗(yàn)證屬性,對(duì)參與者收到的秘密份額進(jìn)行驗(yàn)證,進(jìn)而解決分發(fā)者與欺騙者的虛假秘密欺騙攻擊。近年來(lái),基于二元多項(xiàng)式的欺騙識(shí)別方案[15-22]與可驗(yàn)證欺騙識(shí)別方案[23]被提出,更是體現(xiàn)出當(dāng)前秘密共享方案的一個(gè)重要方向。結(jié)合本文方案存在的欺騙攻擊問(wèn)題,下一步針對(duì)欺騙攻擊對(duì)本文多秘密共享方案進(jìn)行優(yōu)化。

6 結(jié) 語(yǔ)

本文基于二元非對(duì)稱(chēng)多項(xiàng)式提出一種新的多秘密共享方案,無(wú)須額外構(gòu)建二元多項(xiàng)式即可構(gòu)建參與者安全通道。與現(xiàn)有多秘密共享方案相比,無(wú)需額外的密鑰協(xié)商機(jī)制,參與者獲得的秘密份額既可以生成最終秘密多項(xiàng)式的秘密因子,又可生成任意參與者間共享密鑰。通過(guò)安全性分析,本文方案可抵抗內(nèi)部合謀攻擊和重構(gòu)過(guò)程中的外部攻擊。考慮秘密共享方案是否具有秘密份額可驗(yàn)證等其他額外屬性,是本文未來(lái)的研究與改進(jìn)方向。