Transmisja rozgłoszeniowaKorzystając z własności tej funkcjimożna otrzymaće(x + y) = e(x)e(y) i e(xy) = e(x) ym∏e (ra i ) = e (rz k )k=i(∏( k−1d idx i (x−x j )j=0)∣ ∣∣∣x=0)/i!.(8.6)Występujące w tym wzorze kryptogramy ilorazów różnicowych e (rz k ) w przypadku,gdy k < v pochodzą z bloku aktywującego T , tzn.e (rz k ) = e (ry k ) ,natomiast, gdy 0 < v k m są równe⎛v−1 ∏∑(−1) j−1k ⎜⎝(x 0 −x i ) ji=vk∏ ⎟(x i −x l ) ⎠l=vi≠le (rz k ) = e (ry v−j )j=1⎛⎞(−1)⎛⎞(−1) v−1 ⎜ ∏⎝(x 0 −x i ) vk ⎟(x i −x l ) ⎠(−1) v ⎜ ∏⎝(x 0 −x i ) vk ⎟(x i −x l ) ⎠k∏l=vk∏l=vi≠li≠le (ry 0 )e (ry i )i=vi=vgdzie x m i y m oznaczają wartości pochodzące z klucza prywatnego użytkownika(wyprowadzenie wzorów na obliczenie z k można znaleźć w [Mikeladze, 1941]).W szczególnych przypadkach rozważanych w pracach [Naor i Pinkas, 2000], [Kogani Tassa, 2006], gdy stosuje się model dzielenia sekretu Shamira, klucze sesyjneS = e(ra i ) (i = 0, m) i blok aktywujący jest postaci⎞(−1)T = [x 0 , x 1 , . . . , x m−1 ; e (r) , e (ry 0 ) , e (ry 1 ) , . . . , e (ry m−1 )]odtworzenie klucza jest szczególnie proste, gdyżoraz⎛me (ra 0 ) = e (rp (0)) = e ⎜⎝ r ∑⎛m∑e (ra m ) = e (rz m ) = e⎜r⎝ k=0y kk=0m∏j=0j≠k⎞∏ m x j⎟x j − x⎠ = ∏ mkj=0j≠k⎞y k=⎟(x k − x j ) ⎠80k=0e (ry k )m∏x jx j −x kj=0j≠k⎛ ⎞⎜ m∏ ⎟⎝ (x k −x j ) ⎠m∏j=0j≠ke (ry k )k=0(−1).(−1),
Transmisja rozgłoszeniowaMożna również obliczać inne klucze, np. e(ra i ) (i = 1, m − 1). Są one równeorazgdzie⎛ ⎛e (ra 1 ) = e ⎜m ⎝ r ∑k−1 ∑z k⎜⎝e (ra m−1 ) = ek=1j=0(rz m−1 + rz mm−1 ∑z k =k∑j=0k=0k−1 ∏l=0l≠j⎞⎞m(−x l ) ⎟⎟⎠⎠ = ∏e (rz k )(−x k ))k=1k−1 ∑= e (rz m−1 ) e (rz m )y j, k = 0, 1, . . . , m.k∏(x j − x l )l=0l≠j∏k−1(−x l )j=0 l=0l≠jm−1 ∑k=0(−x k ),Omawiany ogólny model transmisji rozgłoszeniowej zapewnia bezpieczeństwoklucza S przy założeniu, że w grupie użytkowników nie znajdzie się co najmniejm + 1 nieuczciwych użytkowników, którzy podejmą ze sobą współpracę w celu złamaniasystemu. W takiej sytuacji mogą oni wykorzystać swoje udziały do odtworzeniawielomianu p(x), interpolując go w punktach pochodzących z tych udziałów.Udziały wykorzystane przy interpolacji mogą również pochodzić od użytkowników,którzy zostali już z systemu wykluczeni. Taka koalicja użytkowników może konstruowaćnowe udziały lub obliczać udziały innych użytkowników systemu bez wiedzyGC. Jeżeli założenie dotyczące uczciwości odbiorców nie może zostać spełnione, należyrozważyć zwiększenie stopnia m wielomianu p(x) tak, aby był on większy odliczby użytkowników systemu n. Niestety prowadzi ono do zwiększenia ilości obliczeńwykonywanych przez poszczególnych użytkowników w celu odtworzenia kluczasesyjnego oraz wydłużenia bloku aktywującego, czyli wzrostu kosztu komunikacji.Z drugiej strony warto podkreślić, że zastosowanie w modelach tego typu interpolacjiHermite’a zamiast interpolacji Lagrange’a [Naor i Pinkas, 2000] prowadzi doskrócenia wiadomości T poprzez zmniejszenie liczby rozgłaszanych wartości x i , obniżająctym samym koszt komunikacji. Ponadto wzór (8.4) sugeruje, że ilość obliczeńwykonywanych przez poszczególnych użytkowników w celu odtworzenia klucza uległabyzmniejszeniu, gdyby w bloku aktywującym znalazły się wartości uogólnionychilorazów różnicowych z k (k = 0, 1, . . . , m − 1), tzn. blok aktywujący byłby postaciT = [x 0 , x k , x k+1 , . . . , x m−1 ; e (r) , e (rz 0 ) , e (rz 1 ) , . . . , e (rz m−1 )] .81