门限秘密共享及其典型应用

《门限秘密共享及其典型应用》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、门限秘密共享及其典型应用任方1，2，王倩1（1.西安邮电大学通信与信息工程学院，陕西西安710121；2.无线网络安全技术国家工程实验室，陕西西安710121）摘要：秘密共享技术是密码学的重要分支，目前已经有了大量的理论与应用研究成果。（k，n）门限秘密共享方案将秘密信息分成n份无意义的子秘密，只有拥有至少k份子秘密才能恢复秘密信息，可以有效提升其安全性。在介绍了基本的门限秘密共享方案的基础上，对其在密码学几个重要分支如数字签名、基于身份加密、基于属性加密以及图像加密中的典型应用进行了全面的归纳与总结，分析了当前存在的问题，并对未来的研究趋势进行展望。.jyqkir和Blakley分别用代

2、数学和几何学的方法给出了最早的门限秘密共享算法[1?2]。其基本实现思想如下：给定正整数k和n，其中k≤n，一个（k，n）门限秘密共享方案指的是将秘密信息D分成n份子秘密，其中的任意k份或更多的子秘密可以重构秘密信息D，而任意k-1份或更少的子秘密则无法得到D的任何信息，称k为门限值。利用门限秘密共享方案可以实现密钥的分布式管理，即将密钥SK分成n个不同的子密钥，将其分发给不同的用户，任意k个用户将其所持有的k份子密钥进行共享即可以恢复出密钥SK。门限秘密共享实现密钥管理的优势在于：（1）有利于限制合法用户的权利，即少于k个合法用户无法得到SK；（2）有利于提高系统安全性，攻击者即使得到了

3、k-1份子秘密，仍然不能得到有关SK的任何信息；（3）有利于提高系统健壮性，攻击者即使破坏了n-k份子秘密，余下的k份子秘密仍然能够恢复出SK。门限秘密共享自提出以来吸引了众多的研究者，产生了大量的研究成果[3?4]，在密码学的很多分支都有着广泛的应用。本文在回顾基本门限秘密共享方案的基础上，对其当前最主要的应用进行归纳和总结，并进一步展望其未来的发展方向。1门限秘密共享方案1.1Shamir的门限秘密共享方案Shamir使用多项式插值实现了基本的（k，n）门限秘密共享方案，该方案具体由以下三个阶段构成：显然对于任意的xij，j=1，2，…，k，上式右端计算的结果恰好等于sij，由多项式理

4、论可知，若两个k-1次多项式在变量的k个不同取值处得到的函数值相等，则这两个多项式必定相等，于是上式成立。由此可以计算出s=a0=g(0)。1.2Blakley的门限秘密共享方案Blakley使用几何学的方法给出了另一个（k，n）门限秘密共享的方案。其基本思想是将秘密值看成一个k维空间中的点，分发给不同参与者的子秘密是不同的k-1维子空间，当k个参与者将其子秘密进行共享时，可以得到这些子空间的惟一交点，从而得到秘密值。具体描述如下：选择有限域Fq，其中q?n。设参与者集合为P={P1，P2，…，Pn}，k为门限值，秘密信息s∈Fkq。选择Fq上的k元线性方程组为：则方程组可写成AX=B。选

5、择矩阵A时需要满足两个条件：（1）A的任意k行线性无关；（2）秘密值s是以上线性方程组的解。每一个方程可以看作一个k-1维的子空间，为每一个参与者分发这样的一个方程，当其中k个参与者共享其方程时可以得到一个满秩的k元线性方程组，可以解出惟一的值，即秘密值s。而任意k-1个方程联立则无法得到惟一解。2门限秘密共享在数字签名中的应用数字签名用来实现消息的完整性保护和签名者的不可否认服务，是信息安全重要的组成部分。当需要对消息m进行签名时，签名者用自己的私钥SK对消息的Hash值进行签名运算，验证者验证签名时需要用签名者的公钥PK进行。一个（k，n）门限数字签名算法指的是利用门限秘密共享的方法实

6、现签名运算。即将签名私钥SK作为秘密值分成n个子密钥交由n个用户保管，只有至少k个用户的子密钥共享后才可以进行签名运算。门限数字签名的算法框架如图1所示。门限数字签名的重要应用场合是在公钥基础设施[5]（PublicKeyInfrastructure，PKI）中实现分布式的证书中心（CertificateAuthority，CA）。PKI是以用户公钥数字证书为中心的一整套公钥管理机制，可信的CA是其核心组件，主要实现对用户公钥数字证书的管理。公钥数字证书将用户的身份与其公钥进行捆绑，由CA的私钥进行签名以保证其有效性。由于CA的独特地位，往往成为PKI系统的安全瓶颈与性能瓶颈。因此利用门限

7、秘密共享技术保护CA私钥的分布式CA有着重要的理论与实际意义。在分布式CA模型中，由n个指定的用户（称为服务者）秘密保存CA私钥，将CA的私钥看作秘密值分成n个子密钥分别由这n个服务者保管。当某用户需要证书服务时，服务者中的任意k(?n)个相互合作即可以完成一份合法的证书签名，而k-1或者更少的服务者即使相互共享了子密钥也无法完成合法签名。分布式CA如图2所示。一般来讲直接采用门限秘密共享实现分布式CA是不安全的，因为k