Full paper (pdf) - CDC

Den Teilnehmern übermittelt er die Teilschlüssel (di, N) (es ist absolut notwendig,
den Teilnehmern die Faktorisierung N = pq zu verheimlichen, da sie
ansonsten den geheimen Exponenten d berechnen könnten).
Schlüsselverwendung Da RSA-Berechnungen einfache Exponentiationen sind,
gelten die allgemein bekannten Rechenregeln hierzu, insbesondere auch die Homomorphie
m d1+d2 = m d1 m d2 .
Damit ist auch klar, daß die Teilschlüssel (di, N) dazu verwendet werden können,
um Teilergebnisse si der Berechnung s = md (mod N) zu erzeugen, die dann
durch Multiplikationen zum Gesamtergebnis kombiniert werden können:
si = m di (mod N) und s = �
si = �
m di
�
= m i di d
= m (mod N).
i
Wir bemerken hierzu, daß die Teilberechnungen sich (außer durch den Wert
des Exponenten) nicht von einer normalen RSA-Berechnung unterscheiden und
daß zur Kombination der Teilergebnisse (durch Multiplikation modulo N) keine
geheimen Informationen notwendig sind.
3.5 Redundantes RSA-Key-Sharing
Wie wir im vorigen Abschnitt gesehen haben, erlauben die mathematischen
Eigenschaften eines RSA-Schlüssels, ihn auf recht einfache Weise in eine beliebige
Anzahl von Schlüsselanteilen zu zerlegen, die unabhängig voneinander
zum Erzeugen von Teilergebnissen verwendet werden können, aus denen dann
das Ergebnis der privaten RSA-Operation abgeleitet werden kann, ohne daß
der eigentliche Schlüssel jemals rekonstruiert werden muß. Da das geschilderte
Verfahren jedoch stets alle Teilschlüssel benötigt, bricht es bereits beim Verlust
eines einzigen dieser Teile zusammen. In diesem Abschnitt wollen wir zeigen,
wie sich das Shamir-Verfahren aus Abschnitt 2.2.1 auf RSA-Teilschlüssel übertragen
läßt und so ein Threshold-RSA-Key-Sharing ermöglicht.
3.5.1 Verfahren von Frankel, Gemmell, MacKenzie und Yung
Die direkteste Adaption des Shamir-Verfahrens für den Einsatz mit RSA-Exponenten
besteht darin, daß man für ein � � t
n -Key-Sharing versucht, den geheimen Exponenten
d durch ein Polynom
f(x) = d + a1x + . . . + at−1x t−1
und dessen Interpolationsstellen
di = f(i) (mod (p − 1)(q − 1))
i
(mod (p − 1)(q − 1))
auf mehrere RSA-Teilschlüssel (di, N) zu verteilen. Dann könnte man genau wie
im vorigen Abschnitt RSA-Teilberechnungen mit den Teilschlüsseln ausführen
und anschließend durch Multiplikation zum Gesamtergebnis kombinieren: um
22