Full paper (pdf) - CDC

Auf diese Weise ergibt sich eine Zahl k mit
d = P +L 2 k (mod (p−1)(q−1)) und k = dsH −1
mit deren Hilfe wir nun einen modifizierten Exponenten
d ′ = L 2 k
(mod (p−1)(q−1)),
definieren, welcher durch L teilbar ist (weil wir nicht modulo (p − 1)(q − 1)
reduzieren) und aus dem sich der ursprüngliche Exponent d zurückrechnen läßt
(zumindest innerhalb der Exponentenrestklasse):
d = P + d ′
(mod (p − 1)(q − 1)).
Dieser modifizierte RSA-Exponent d ′ wird nun durch das Polynom
f(x) = d ′ + a1x + . . . + at−1x t−1
mit ai ∈R {0, L, . . . , 2L 3 n 2+ɛ t}
und Interpolationsstellen di = f(i) auf die Teilnehmer verteilt. Wir erkennen,
daß dieses Polynom über den ganzen Zahlen (und nicht in einer Restklasse)
ausgewertet wird, und alle Interpolationsstellen di Vielfache von L sind.
Schlüsselverwendung Um gemeinsam s = m d (mod N) zu berechnen, bestimmt
jeder Teilnehmer i ∈ Λ seinen Anteil
mit
si = m diλi,Λ (mod N)
λi,Λ = �
l∈Λ\{i}
l
l − i .
Aufgrund der Konstruktion der di sind hierfür keine Invertierungen notwendig.
Es ergibt sich
�
P
s = m
i∈Λ
P +�
si = m i diλi,Λ P +d
= m ′
= m d
(mod N).
Für den letzten Schritt, in dem die partiellen Berechnungsergebnisse kombinert
werden, ist eine weitere Exponentiation m P notwendig. Hierzu schlagen
die Autoren des Verfahrens vor, daß einer der Teilnehmer m P berechnet und
(zusammen mit seiner Teilberechnung m di ) an den Kombinierer übermittelt
[MSY00]. Eine Alternative hierzu besteht darin, daß einer der Teilnehmer (zum
Beispiel derjenige mit der kleinsten Teilnehmernummer) anstelle von m di direkt
m P +di ermittelt und weitergibt. Dann kann der Kombinierer wie im Verfahren
aus Abschnitt 3.4 einfach die Anteile zusammenmultiplizieren. In jedem Fall
sind weder m noch P geheime Informationen und folglich könnte der Kombinierer
den Korrekturfaktor m P auch selbst berechnen.
24