Full paper (pdf) - CDC

� � t
n -Secret-Sharing Die meisten Vertreter redundanter Secret-Sharing-Verfahren
sind sogenannte Threshold-Verfahren (Schwellwertverfahren). Hierbei werden
alle n ausgegebenen Anteile als gleichwertig betrachtet, so daß eine beliebige
Kombination von mindestens t dieser Anteile ausreicht, um das Geheimnis zu
rekonstruieren. Ein solches Verfahren wird dann als � � t
n -Secret-Sharing bezeichnet.
2.2.1 Das Shamir-Verfahren
Die bekannteste Umsetzung von redundantem Secret-Sharing ist das von Adi
Shamir vorgeschlagene Polynominterpolationsverfahren [Sha79]. Um ein � � t
n -
Secret-Sharing einer geheimen Zahl s zu betreiben, wählt der Geber ein zufälliges
Polynom f(x) von Grad t − 1 mit Achsenabschnitt f(0) = s und teilt jedem
Teilnehmer i den Funktionswert si = f(i) mit. Mit dem Satz von Lagrange kann
dann aus t Funktionswerten das Polynom (inklusive des Achsenabschnittes s)
rekonstruiert werden. Da das Polynom über einer primen Restklasse ausgewertet
wird, sind bei Kenntnis von weniger als t Interpolationsstellen weiterhin alle
denkbaren Achsenabschnitte möglich und gleichwahrscheinlich.
Erzeugung der Teilgeheimnisse Der Geber wählt zunächst eine Primzahl
p, die größer ist als jede mögliche geheime Zahl s, und gibt sie öffentlich bekannt.
Alle folgenden Berechnungen werden in der Restklasse (Z/pZ) ausgeführt. Da
p eine Primzahl ist, sind insbesondere alle von Null verschiedenen Elemente der
Restklasse invertierbar. Die Primzahl p muß nicht für jedes Geheimnis, das verteilt
werden soll, neu gewählt werden, sondern kann auch als fester Bestandteil
des Verfahrens angesehen und somit global bekannt sein.
Um die geheime Zahl s ∈ (Z/pZ) zu verteilen, wählt der Geber zufällige
Koeffizienten aj ∈R (Z/pZ), 1 ≤ j ≤ t − 1, wodurch sich das Polynom
f(x) = s + a1x + . . . + at−1x t−1
(mod p)
ergibt. Dieses Polynom hat den Grad t − 1, wird also durch t seiner Stützstellen
eindeutig festgelegt. Jeder Teilnehmer i ∈ {1 . . . n} erhält den Funktionswert
si = f(i) als seinen Anteil des Geheimnisses.
Rekonstruktion des Geheimnisses Wenn sich mindestens t der n Teilnehmer
zusammenfinden, können sie das Geheimnis durch Offenlegung ihrer
Teilgeheimnisse gemeinsam rekonstruieren. Wir wollen die Menge der Nummern
dieser Teilnehmer als Λ ⊂ {1 . . . n} bezeichnen. Unter Verwendung der
Interpolationsformel von Lagrange
�t−1
f(x) = aix i =
i=0
t�
f(xi)
i=1
t�
xl − x
xl − xi
l=1,l�=i
für beliebige Stützstellen xi ergibt sich das Geheimnis s als
s = f(0) = �
i∈Λ
si
�
l∈Λ\{i}
10
l
l − i
(mod p).