Full paper (pdf) - CDC

Diese beiden Gleichungen können durch das Commitment des Gebers an die
Koeffizienten überprüft werden, es muß nämlich für jeden Anteil (si, s ′ i ) gelten,
daß
�t−1
j=0
E ij
j = (g s h s′
�t−1
)
j=1
(g aj h a ′ j) ij
= g s+� t−1
j=1 ajij h s′ + �t−1 j=1 a′ jij = g f(i) h f ′ (i)
= g si h s ′ i (mod q).
Rekonstruktion des Geheimnisses Die Rekonstruktion von s aus den si
verläuft genau wie beim Shamir-Verfahren. Auf diese Weise könnten die Teilnehmer
auch s ′ aus den s ′ i berechnen, aber dies ist keine wertvolle Information.
Anmerkung zur Bedeutung von s ′ Das zweite ” Geheimnis“ s ′ dient dazu,
die informationstheoretische Sicherheit (nach Shannon) von s zu erhalten.
Es wirkt dabei wie ein Blendfaktor. Wenn man diese Forderung nicht erhebt,
kann man das ähnlichere, aber einfachere Verfahren von Feldman [Fel87] verwenden,
in dem g s bekannt wird. Damit ist s nur noch dadurch sicher, daß es
schwierig ist, diskrete Logarithmen zu berechnen. Beispielsweise kann so auch
das niederwertigste Bit von s nicht mehr geheim gehalten werden.
Die Verifizierbarkeit der Teilgeheimnisse hängt davon ab, daß der Geber bei
seinem Commitment nicht betrügen kann. Dazu wäre er in der Lage, wenn er
den diskreten Logarithmus log g h berechnen könnte. In diesem Fall erlangt der
Geber die Möglichkeit, Teilnehmern fehlerhafte Anteile unterzuschieben. Die
Vertraulichkeit des Geheimnisses bleibt davon jedoch unbeeinflußt. Ein Teilnehmer
(oder Außenstehender) kann durch Kenntnis von log g h keine Rückschlüsse
auf das Geheimnis ziehen, daß wie beim reinen Shamir-Verfahren informationstheoretisch
sicher bleibt.
2.4 Weitergehende Eigenschaften von Secret-Sharing-
Verfahren
Abschließend wollen wir noch einmal die bisher vorgestellten und weitere Eigenschaften
von Secret-Sharing-Verfahren zusammenfassen und damit einen Überblick
über die in der Literatur verwendete Terminologie sowie die verschiedenen
Anforderungen an die Verfahren bieten.
• Ein Secret-Sharing-Verfahren heißt perfekt, wenn sich aus der Kenntnis
einer für die Rekonstruktion unzureichender Menge an Teilgeheimnissen
keinerlei Informationen über das Geheimnis ableiten lassen, die man
nicht auch ohne Kenntnis eines einzigen Teilgeheimnisses hätte. Beim � � t
n -
Shamir-Verfahren bedeutet dies, daß trotz t−1 bekannter Stützstellen weiterhin
alle denkbaren Achsenabschnitte des geheimen Polynoms möglich
und gleichwahrscheinlich sind.
13