Full paper (pdf) - CDC

• Ein Secret-Sharing-Verfahren heißt redundant, wenn nicht alle Teilgeheimnisse
zur Rekonstruktion benötigt werden. Dadurch ist das Verfahren
nicht anfällig gegen den Verlust einzelner Anteile.
• Wir sprechen von � � t
n -Secret-Sharing, wenn eine beliebige t-elementige
Teilmenge der n ausgegebenen Anteile ausreicht, um das Geheimnis zu
rekonstruieren. Damit sind automatisch alle Anteile gleichberechtigt. Im
Gegensatz dazu gibt es Verfahren, die über unterschiedlich wertvolle Anteile
verfügen oder explizite Gruppen (access structures) von Anteilen zur
Rekonstruktion vorgeben.
• Offensichtlich führt ein fehlerhafter Beitrag eines Teilnehmers bei der Rekonstruktion
zu einem fehlerhaften Ergebnis. Das richtige Ergebnis und
die Identität des Teilnehmers läßt sich im allgemeinen dann nur durch
versuchsweises Durchprobieren aller möglicher Gruppen von Teilnehmern
errechnen. Ein Secret-Sharing-Verfahren heißt robust, wenn es den Teilnehmern
möglich ist, zu kontrollieren, ob andere Teilnehmer sich an das
Protokoll halten. Hierzu muß man zusätzliche Informationen in die Teilgeheimnisse
einbringen. Man spricht auch von verifizierbarem Secret-Sharing
(insbesondere, wenn auch das Verhalten des Gebers geprüft werden kann).
• Ein Secret-Sharing-Verfahren heißt ideal, wenn die Bitlänge des größten
Anteils, der geheim gehalten werden muß, die Bitlänge des Geheimnisses
nicht übersteigt. Es läßt sich zeigen, daß ideale Verfahren nicht gleichzeitig
robust sein können.
• Wenn das Geheimnis in Berechnungen verwendet werden soll, dann ist
es unter Umständen möglich, die Berechnung in Teilberechnungen für
die Inhaber der Teilgeheimnisse aufzubrechen, so daß diese die Berechnung
durchgeführen können, ohne das Geheimnis dabei rekonstruieren zu
müssen. Dies wird als Function-Sharing bezeichnet und eignet sich insbesondere
für Funktionen mit gewissen Homomorphie-Eigenschaften. Der
wichtigste Spezialfall von Function-Sharing ist das in Kapitel 3 beschriebene
Key-Sharing.
• Die Sicherheit eines verteilten Geheimnisses kann erhöht werden, wenn
man die Teilgeheimnisse regelmäßig erneuert. Die alten Anteile werden
dabei gelöscht, so daß ein potentieller Angreifer die benötigten Teilgeheimnisse
innerhalb eines gewissen Zeitfensters erbeuten muß, da diese
sonst ungültig und wertlos werden. Wichtig dabei ist, daß das eigentliche
Geheimnis gleich bleibt. Ein Secret-Sharing-Verfahren, das es den Teilnehmern
erlaubt, die Teilgeheimnisse zu erneuern, ohne daß Geheimnis
dafür rekonstruieren zu müssen, heißt proaktiv.
• Der Geber stellt eine große Schwachstelle von Secret-Sharing-Verfahren
dar. In Situationen, wo das Geheimnis nicht a priori feststeht, sondern
auch erst während des Verfahrens erzeugt werden kann (dies ist zum Beispiel
bei kryptographischen Schlüsseln der Fall), ist es möglich, auf den
Geber zu verzichten. Die Teilnehmer einigen sich dann auf ein Geheimnis
14