Full paper (pdf) - CDC

Logarithmus log g h bezüglich des Erzeugers g nicht bekannt ist. Der Geber kann
nun ein Commitment für zwei Werte s und s ′ aus (Z/pZ)eingehen, ohne damit
Informationen über s oder s ′ preiszugeben:
E(s, s ′ ) = g s h s′
(mod q)
Das Commitment an den (öffentlich gemachten) Wert E(s, s ′ ) kann durch Offenlegung
von s und s ′ überprüft werden. Es kann gezeigt werden, daß es
unmöglich ist, das Commitment zu fälschen, ohne log g h zu kennen [Ped92].
Dieses Commitment-Verfahren wird nun mit dem Shamir-Verfahren kombiniert.
Dabei verteilt der Geber neben dem eigentlichen Geheimnis s eine zweite Zahl
s ′ und gibt ein Commitment für die beiden dabei benutzten Polynome ab. Das
Commitment kann dann von jedem Teilnehmer anhand seines Anteils (si, s ′ i )
überprüft werden.
Erzeugung der Teilgeheimnisse Um die geheime Zahl s ∈ (Z/pZ) zu verteilen,
wählt der Geber zufällige Koeffizienten aj ∈R (Z/pZ), 1 ≤ j ≤ t − 1,
wodurch sich das Polynom
f(x) = s + a1x + . . . + at−1x t−1
(mod p)
ergibt. Zusätzlich verteilt der Geber die zufällige Zahl s ′ ∈ (Z/pZ) auf analoge
Weise durch ein (vollständig zufälliges) Polynom
f ′ (x) = s ′ + a ′ 1x + . . . + a ′ t−1x t−1
(mod p).
Jeder Teilnehmer i ∈ {1 . . . n} erhält die Funktionswerte si = f(i) und s ′ i = f ′ (i)
als seinen Anteil des Geheimnisses. Außerdem gibt der Geber ein Commitment
an die beiden Polynome ab, indem er
und
veröffentlicht.
E0 = E(s, s ′ ) = g s h s′
(mod q)
Ej = E(aj, a ′ j) = g aj h a ′ j (mod q) für1 ≤ j ≤ t − 1
Verifikation eines Teilgeheimnisses Ein Teilgeheimnisses (si, s ′ i ) ist genau
dann gültig, wenn die beiden Werte tatsächlich Stützstellen der vom Geber
gewählten Polynome f(x) und f ′ (x) sind:
und
�t−1
si = f(i) = s + aji j
j=1
s ′ i = f ′ (i) = s ′ t−1
+
12
�
a ′ ji j .
j=1