Full paper (pdf) - CDC

Verfahrens (ein beweisbar sicheres Verfahren, das auch betrügerische Teilnehmer
aufdeckt, wird in Abschnitt 3.6 vorgestellt).
Schlüsselerzeugung Die Schlüsselerzeugung erfolgt zunächst genauso wie
beim Frankel-Gemmell-MacKenzie-Yung-Verfahren aus Abschnitt 3.5.1. Dieses
wird vollständig ausgeführt, so daß im Ergebnis die Interpolationsstellen di
für die einzelnen Teilnehmer berechnet wurden. Wie oben dargelegt sind alle
di durch L teilbar um Invertierungen zu vermeiden. Gleichzeitig sind die di
dadurch auch größer als normale RSA-Exponenten und können durch die Inter-
polationskoeffizienten λi,Λ = �
l∈Λ\{i} l
l−i
, mit denen sie multipliziert werden,
auch negativ werden.
In unserem Verfahren führen wir alle Divisionen, die sich durch die Koeffizienten
ergeben können, bereits als Vorberechnung aus:
d ′ i =
di
�
l∈{1...n}\{i} l − i
Infolge dessen müssen durch den einzelnen Teilnehmer i zur Berechnung
seines Teilergebnisses si = mdiλi,Λ (mod N) keine Divisionen, sondern nur
noch Multiplikationen des neuen Exponenten d ′ i vorgenommen werden:
�
diλi,Λ = d ′ i
l∈Λ\{i}
l
�
l∈{1...n}\Λ
l − i
Diese Multiplikationen im Exponenten können aber auch als Exponentiationen
ausgeführt werden:
m diλi,Λ d
= (m ′ � �
i) l∈Λ\{i} l l∈{1...n}\Λ l−i
(mod N).
Schlüsselverwendung Da für die Exponentiationen keine geheimen Informationen
notwendig sind, sondern lediglich Kenntnis über die Beteiligten i ∈ Λ,
können diese Berechnungen auch beim Kombinieren durchgeführt werden. Es
wird also möglich, daß die Teilergebnisse von den Teilnehmern ohne Kenntnis
der Identität der anderen Beteiligten erstellt werden. Sie müssen nur noch eine
gewöhnliche RSA-Operation
s ′ i = m d′ i (mod N)
durchführen. Dadurch können wir bei der Schlüsselerzeugung die Exponenten
d ′ i , die im allgemeinen zwar kleiner als die ursprünglichen di, aber immer
noch größer als normale RSA-Exponenten, sowie teilweise negativ sein werden,
modulo (p − 1)(q − 1) reduzieren (die Gruppenordnung ist zum Zeitpunkt der
Schlüsselerzeugung noch bekannt). Auf diese Weise können den Teilnehmern
gewöhnliche RSA-Schlüssel übergeben werden. Die Kombination der Teilergebnisse
erfolgt dann als
und
si = (s ′ � �
l∈Λ\{i} l l∈{1...n}\Λ
i)
l−i
26
(mod N) ∀i ∈ Λ