Full paper (pdf) - CDC

Die geheimen Teilexponenten ai für die Teilnehmer werden gemäß dem Shamir-
Verfahren durch ein Polynom f(x) über (Z/qZ)erzeugt:
und
f(x) = a + f1x + . . . + ft−1x t−1
(mod q) mit fi ∈R {0, . . . , q − 1}
ai = f(i).
Schlüsselverwendung Um eine Nachricht m für den Empfänger mit dem
öffentlichen Schlüssel (p, q, g, A) zu verschlüsseln, wählt der Absender eine Zufallszahl
b ∈R {1 . . . q − 1} und berechnet
B = g b
(mod p).
Anschließend wird die Nachricht als Zahl zwischen 1 und p−1 interpretiert und
es ergibt sich der Schlüsseltext (B, c) mit
c = A b m (mod p).
Um gemeinsam m = B q−a c (mod p) zu berechnen, bestimmt jeder Teilnehmer
i ∈ Λ seinen Anteil
Bi = c ai (mod p)
und die Anteile können dann kombiniert werden, um die Nachricht zu entschlüsseln:
m = Bc = �
B λi,Λ
i c (mod p)
mit
λi,Λ = �
i∈Λ
l∈Λ\{i}
l
l − i
(mod q).
Die notwendigen Invertierungen zur Berechnung von λi,Λ sind nicht schwierig,
da der Modul q sowohl prim als auch öffentlich bekannt ist.
Wie wir bereits angekündigt haben, gehen wir auf die Erzeugung verteilter
Signaturen aufgrund der Notwendigkeit, hierbei zu interagieren, nicht weiter
ein.
3.9 verteilte Schlüsselerzeugung
In dem von uns verwendeten Modell für Key-Sharing (siehe Abschnitt 3.2) besteht
die größte Schwachstelle in der Existenz eines vertrauenswürdigen Gebers.
Da dieser das Schlüsselpaar erzeugt, liegt es bis zur Verteilung auf die übrigen
Teilnehmer an einem einzelnen Ort. Dem Geber muß zugetraut werden, seine
Berechnungen sicher durchführen zu können und anschließend seine Kopie des
privaten Schlüssels verläßlich zu vernichten. Neben der Gefährdung der Vertraulichkeit
des Schlüssels hängt auch die Einsatzfähigkeit des Key-Sharing-Systems
an der Korrektheit der Berechnungen durch den Geber. Beide Probleme treten
in Verfahren, die ohne einen Geber auskommen nicht auf. Ohne im Detail auf
32