Обмен секретами Шамиров - Википедия - Shamirs Secret Sharing

Эта статья поднимает множество проблем. Пожалуйста помоги Улучши это или обсудите эти вопросы на страница обсуждения. (Узнайте, как и когда удалить эти сообщения-шаблоны) Эта статья может быть слишком техническим для большинства читателей, чтобы понять. Пожалуйста помогите улучшить это к Сделайте это понятным для неспециалистов, не снимая технических деталей. (Март 2014 г.) (Узнайте, как и когда удалить этот шаблон сообщения) Эта статья включает Список ссылок, связанное чтение или внешняя ссылка, но его источники остаются неясными, потому что в нем отсутствует встроенные цитаты. Пожалуйста, помогите улучшать эта статья введение более точные цитаты. (Февраль 2019 г.) (Узнайте, как и когда удалить этот шаблон сообщения) (Узнайте, как и когда удалить этот шаблон сообщения)

Обмен секретами Шамира является алгоритм в криптография сделано Ади Шамир. Это форма секретный обмен, где секрет делится на части, давая каждому участнику свою уникальную часть.

Чтобы восстановить оригинальный секрет, требуется минимальное количество деталей. В пороговой схеме это количество меньше общего количества деталей. В противном случае всем участникам необходимо восстановить первоначальный секрет.

Объяснение высокого уровня

Shamir's Secret Sharing используется для защиты секрета распределенным способом, чаще всего для защиты других ключей шифрования. Секрет разделен на несколько частей, называемых акции. Эти доли используются для восстановления оригинального секрета.

Чтобы разблокировать секрет через обмен секретами Шамира, вам нужно минимальное количество акций. Это называется порог, и используется для обозначения минимального количества акций, необходимых для разблокировки секрета. Давайте рассмотрим пример:

Проблема: компании XYZ необходимо защитить пароль своего хранилища. Можно было бы использовать что-нибудь стандартное, например AES, но что делать, если держатель ключа недоступен или умирает? Что, если ключ будет скомпрометирован злоумышленником или его владелец станет мошенником и использует свою власть над хранилищем в своих интересах?

Здесь на помощь приходит SSS. Его можно использовать для шифрования пароля хранилища и генерации определенного количества акций, при этом определенное количество акций может быть выделено каждому руководителю в компании XYZ. Теперь, только если они объединят свои акции, они смогут разблокировать хранилище. Пороговое значение может быть соответствующим образом установлено для количества руководителей, поэтому к хранилищу всегда могут получить доступ уполномоченные лица. Если одна или две акции попадут в чужие руки, они не смогут открыть пароль, если другие руководители не будут сотрудничать.

Математическое определение

Цель - разделить секрет ${ displaystyle S}$ (например, сочетание с безопасный ) в ${ displaystyle n}$ фрагменты данных ${ Displaystyle S_ {1}, ldots, S_ {n}}$ таким образом, что:

1. Знание любого ${ displaystyle k}$ или больше ${ displaystyle S_ {i}}$ штук делает ${ displaystyle S}$ легко вычислить. То есть полный секрет ${ displaystyle S}$ может быть восстановлен из любой комбинации ${ displaystyle k}$ фрагменты данных.
2. Знание любого ${ displaystyle k-1}$ или меньше ${ displaystyle S_ {i}}$ кусочки листьев ${ displaystyle S}$ полностью неопределенным, в том смысле, что возможные значения для ${ displaystyle S}$ кажется таким же вероятным, как и со знанием ${ displaystyle 0}$ шт. Сказал по-другому, секрет ${ displaystyle S}$ не может быть восстановлен менее чем ${ displaystyle k}$ шт.

Эта схема называется ${ Displaystyle влево (к, п вправо)}$ пороговая схема. ${ Displaystyle к = п}$ затем каждый кусочек оригинального секрета ${ displaystyle S}$ требуется, чтобы восстановить секрет.

Схема секретного обмена Шамиром

Можно нарисовать бесконечное количество многочленов от 2 до 2-х точек. 3 точки необходимы для определения уникального многочлена степени 2. Это изображение предназначено только для иллюстрации - схема Шамира использует многочлены над конечное поле, не представимо на 2-мерной плоскости.

Основная идея Ади Шамир пороговая схема такова, что 2 точки достаточно, чтобы определить линия, 3 балла достаточно, чтобы определить парабола, 4 балла для определения кубическая кривая и так далее. ${ Displaystyle к , !}$ указывает на определение многочлен из степень ${ Displaystyle к-1 , !}$.

Предположим, мы хотим использовать ${ Displaystyle влево (к, п вправо) , !}$ Схема порога, чтобы поделиться нашим секретом ${ Displaystyle S , !}$, без ограничения общности, считается элементом в конечное поле ${ displaystyle F}$ размера ${ displaystyle P}$ куда ${ Displaystyle 0 <К Leq N$ и ${ displaystyle P}$ простое число.

Выбирать наугад ${ Displaystyle к-1 , !}$ положительные целые числа ${ Displaystyle а_ {1}, cdots, а_ {к-1} , !}$ с ${ displaystyle a_ {i}$, и разреши ${ displaystyle a_ {0} = S , !}$. Построить полином ${ displaystyle f left (x right) = a_ {0} + a_ {1} x + a_ {2} x ^ {2} + a_ {3} x ^ {3} + cdots + a_ {k- 1} х ^ {к-1} , !}$. Построим любой ${ Displaystyle п , !}$ указывает из него, например, набор ${ Displaystyle я = 1, ldots, п , !}$ получить ${ Displaystyle влево (я, е влево (я вправо) вправо) , !}$. Каждому участнику дается точка (ненулевое целое число, входящее в многочлен и соответствующий целочисленный выход), а также штрих, который определяет конечное поле для использования. ${ Displaystyle к , !}$ этих пар, мы можем найти коэффициенты многочлена, используя интерполяция. Секрет в постоянном члене ${ displaystyle a_ {0} , !}$.

использование

Пример

Следующий пример иллюстрирует основную идею. Обратите внимание, однако, что вычисления в этом примере выполняются с использованием целочисленной арифметики, а не с использованием арифметика конечных полей. Поэтому приведенный ниже пример не обеспечивает полной секретности и не является истинным примером схемы Шамира. Итак, мы объясним эту проблему и покажем правильный способ ее реализации (используя арифметику конечных полей).

Подготовка

Предположим, что наш секрет - 1234 ${ Displaystyle (S = 1234) , !}$.

Мы хотим разделить секрет на 6 частей ${ Displaystyle (п = 6) , !}$, где любое подмножество из 3 частей ${ Displaystyle (к = 3) , !}$ достаточно, чтобы восстановить секрет. Наугад получаем ${ displaystyle k-1}$ номера: 166 и 94.

${ displaystyle (a_ {0} = 1234; a_ {1} = 166; a_ {2} = 94), , !}$ куда ${ displaystyle a_ {0}}$ секрет

Таким образом, наш полином для получения секретных долей (очков):

${ Displaystyle е (х) = 1234 + 166x + 94x ^ {2} , !}$

Строим шесть точек ${ Displaystyle D_ {х-1} = (х, е (х))}$ от полинома:

${ displaystyle D_ {0} = (1,1494); D_ {1} = (2,1942); D_ {2} = (3,2578); D_ {3} = (4,3402); D_ {4 } = (5,4414); D_ {5} = (6,5614) , !}$

Мы даем каждому участнику отдельный балл (оба ${ Displaystyle х , !}$ и ${ Displaystyle е (х) , !}$). Потому что мы используем ${ displaystyle D_ {x-1}}$ вместо ${ displaystyle D_ {x}}$ точки начинаются с ${ Displaystyle (1, е (1))}$ и нет ${ displaystyle (0, f (0))}$. Это необходимо, потому что ${ displaystyle f (0)}$ это секрет.

Реконструкция

Для восстановления секрета достаточно 3-х точек.

Учитывать ${ displaystyle left (x_ {0}, y_ {0} right) = left (2,1942 right); left (x_ {1}, y_ {1} right) = left (4, 3402 right); left (x_ {2}, y_ {2} right) = left (5,4414 right) , !}$.

Мы вычислим Базисные многочлены Лагранжа:

${ displaystyle ell _ {0} (x) = { frac {x-x_ {1}} {x_ {0} -x_ {1}}} cdot { frac {x-x_ {2}} { x_ {0} -x_ {2}}} = { frac {x-4} {2-4}} cdot { frac {x-5} {2-5}} = { frac {1} { 6}} x ^ {2} - { frac {3} {2}} x + { frac {10} {3}} , !}$

${ displaystyle ell _ {1} (x) = { frac {x-x_ {0}} {x_ {1} -x_ {0}}} cdot { frac {x-x_ {2}} { x_ {1} -x_ {2}}} = { frac {x-2} {4-2}} cdot { frac {x-5} {4-5}} = - { frac {1} {2}} x ^ {2} + { frac {7} {2}} x-5 , !}$

${ displaystyle ell _ {2} (x) = { frac {x-x_ {0}} {x_ {2} -x_ {0}}} cdot { frac {x-x_ {1}} { x_ {2} -x_ {1}}} = { frac {x-2} {5-2}} cdot { frac {x-4} {5-4}} = { frac {1} { 3}} x ^ {2} -2x + { frac {8} {3}} , !}$

Следовательно

${ displaystyle { begin {align} f (x) & = sum _ {j = 0} ^ {2} y_ {j} cdot ell _ {j} (x) [6pt] & = y_ {0} ell _ {0} (x) + y_ {1} ell _ {1} (x) + y_ {2} ell _ {2} (x) [6pt] & = 1942 left ({ frac {1} {6}} x ^ {2} - { frac {3} {2}} x + { frac {10} {3}} right) +3402 left (- { frac {1} {2}} x ^ {2} + { frac {7} {2}} x-5 right) +4414 left ({ frac {1} {3}} x ^ {2} - 2x + { frac {8} {3}} right) [6pt] & = 1234 + 166x + 94x ^ {2} end {align}}}$

Напомним, что секрет в свободном коэффициенте, а это значит, что ${ Displaystyle S = 1234 , !}$, и мы закончили.

Вычислительно эффективный подход

Учитывая, что целью использования полиномиальной интерполяции является нахождение константы в исходном полиноме ${ Displaystyle S = f (0)}$ с помощью Полиномы Лагранжа "как есть" неэффективно, поскольку вычисляются неиспользуемые константы.

Оптимизированный подход к использованию полиномов Лагранжа для поиска ${ displaystyle L (0)}$ определяется следующим образом:

${ Displaystyle L (0) = sum _ {j = 0} ^ {k-1} f (x_ {j}) prod _ { begin {smallmatrix} m , = , 0 m , neq , j end {smallmatrix}} ^ {k-1} { frac {x_ {m}} {x_ {m} -x_ {j}}}}$

Проблема

Хотя упрощенная версия метода, показанная выше, в которой используется целочисленная арифметика, а не арифметика с конечным полем, работает нормально, существует проблема безопасности: канун получает много информации о ${ displaystyle S}$ с каждым ${ displaystyle D_ {i}}$ что она находит.

Предположим, она находит 2 точки ${ displaystyle D_ {0} = (1,1494)}$ и ${ displaystyle D_ {1} = (2,1942)}$, у нее все еще нет ${ displaystyle k = 3}$ очков, поэтому теоретически она не должна была получать больше информации о ${ displaystyle S}$Но она совмещает информацию из двух пунктов с публичной информацией: ${ Displaystyle п = 6, к = 3, е (х) = а_ {0} + а_ {1} х + cdots + а_ {к-1} х ^ {к-1}, а_ {0} = S, а_ {i} in mathbb {N}}$ и она :

${ displaystyle S in [1046,1048, dots, 1342,1344].}$

Теперь ей нужно угадать только 150 чисел вместо бесконечного числа натуральных чисел.

Решение

Это полиномиальная кривая над конечным полем - теперь порядок полинома, по-видимому, имеет мало общего с формой графа.

Геометрически эта атака использует тот факт, что мы знаем порядок полинома и таким образом получаем представление о путях, которые он может пройти между известными точками. Это уменьшает возможные значения неизвестных точек, поскольку они должны лежать на гладкой кривой.

Эта проблема может быть решена с помощью арифметики конечных полей. Поле размера ${ displaystyle p in mathbb {P}: p> S, p> n}$ используется. График показывает полиномиальную кривую над конечным полем, в отличие от обычной гладкой кривой, она кажется очень неорганизованной и несвязной.

На практике это небольшое изменение, это просто означает, что мы должны выбрать простое число. ${ displaystyle p}$ это больше, чем количество участников и каждый ${ displaystyle a_ {i}}$ (включая ${ displaystyle a_ {0} = S}$) и мы должны вычислить точки как ${ Displaystyle (х, е (х) { bmod {p}})}$ вместо ${ Displaystyle (х, е (х))}$.

Поскольку каждый, кто получает балл, также должен знать ценность ${ displaystyle p}$, он может считаться публично известным. Следовательно, следует выбрать значение для ${ displaystyle p}$ это не так уж мало.

В этом примере мы выбираем ${ displaystyle p = 1613}$, поэтому наш многочлен принимает вид ${ displaystyle f (x) = 1234 + 166x + 94x ^ {2} { bmod {1613}}}$ что дает баллы: ${ Displaystyle (1,1494); (2,329); (3,965); (4,176); (5,1188); (6,775)}$

На этот раз Ева не получит никакой информации, когда найдет ${ displaystyle D_ {x}}$ (пока она не ${ displaystyle k}$ точки).

Снова предположим, что Ева находит ${ Displaystyle D_ {0} = слева (1,1494 справа)}$ и ${ Displaystyle D_ {1} = влево (2,329 вправо)}$, на этот раз общедоступная информация: ${ Displaystyle п = 6, к = 3, p = 1613, f (x) = a_ {0} + a_ {1} x + dots + a_ {k-1} x ^ {k-1} mod {p }, a_ {0} = S, a_ {i} in mathbb {N}}$ так что она:

На этот раз она не может остановиться, потому что ${ displaystyle (m_ {1} -m_ {2})}$ может быть любым целым числом (даже отрицательным, если ${ displaystyle m_ {2}> m_ {1}}$), поэтому существует бесконечное количество возможных значений для ${ displaystyle a_ {1}}$. Она знает это ${ displaystyle [448 445 442, ldots]}$ всегда уменьшается на 3, поэтому если ${ displaystyle 1613}$ делится на ${ displaystyle 3}$ она могла сделать вывод ${ displaystyle a_ {1} in [1,4,7, ldots]}$ но поскольку это главное, она не может сделать вывод даже об этом, и поэтому она не получила никакой информации.

Пример Python

"""Следующая реализация Python Shamir's Secret Sharing:выпущен в общественное достояние на условиях CC0 и OWFa:https://creativecommons.org/publicdomain/zero/1.0/http://www.openwebfoundation.org/legal/the-owf-1-0-agreements/owfa-1-0См. Несколько нижних строк для использования. Протестировано на Python 2 и 3."""из __будущее__ импорт разделениеиз __будущее__ импорт print_functionимпорт случайныйимпорт functools# 12-й Мерсенн Прайм# (для этого приложения нам нужно известное простое число как можно ближе к# возможно до нашего уровня безопасности; например желаемый уровень безопасности 128# бит - слишком большой и весь зашифрованный текст большой; слишком маленький и# безопасность скомпрометирована)_ОСНОВНОЙ = 2 ** 127 - 1# 13-й Мерсенн Прайм - 2 ** 521-1_RINT = functools.частичный(случайный.SystemRandom().Randint, 0)def _eval_at(поли, Икс, основной):    "" "Вычисляет полином (набор коэффициентов) в точке x, используемый для генерации    пул Shamir в make_random_shares ниже.    """    накопить = 0    за коэфф в перевернутый(поли):        накопить *= Икс        накопить += коэфф        накопить %= основной    возвращаться накопитьdef make_random_shares(минимум, акции, основной=_ОСНОВНОЙ):    """    Создает случайный пул шамиров, возвращает секрет и долю    точки.    """    если минимум > акции:        поднимать ValueError("Секрет пула будет невозвратным".)    поли = [_RINT(основной - 1) за я в классифицировать(минимум)]    точки = [(я, _eval_at(поли, я, основной))              за я в классифицировать(1, акции + 1)]    возвращаться поли[0], точкиdef _extended_gcd(а, б):    """    Деление на целые числа модуля p означает нахождение обратного    знаменатель по модулю p, а затем умножая числитель на это    инверсия (Примечание: инверсией A является B такая, что A * B% p == 1) это может    вычисляться с помощью расширенного алгоритма Евклида    http://en.wikipedia.org/wiki/Modular_multiplicative_inverse#Computation    """    Икс = 0    last_x = 1    у = 1    last_y = 0    пока б != 0:        quot = а // б        а, б = б, а % б        Икс, last_x = last_x - quot * Икс, Икс        у, last_y = last_y - quot * у, у    возвращаться last_x, last_ydef _divmod(число, логово, п):    "" "Вычислить число / день по модулю простого p    Чтобы объяснить, что это означает, возвращаемое значение будет таким, что    верно следующее: den * _divmod (num, den, p)% p == num    """    inv, _ = _extended_gcd(логово, п)    возвращаться число * invdef _lagrange_interpolate(Икс, x_s, y_s, п):    """    Найдите значение y для данного x, учитывая n (x, y) точек;    k точек будут определять полином до k-го порядка.    """    k = len(x_s)    утверждать k == len(набор(x_s)), "точки должны быть разными"    def ЧИСЛО ПИ(вальс):  # Пи в верхнем регистре - произведение входов        накопить = 1        за v в вальс:            накопить *= v        возвращаться накопить    числа = []  # избегать неточного деления    логова = []    за я в классифицировать(k):        другие = список(x_s)        дворняга = другие.поп(я)        числа.добавить(ЧИСЛО ПИ(Икс - о за о в другие))        логова.добавить(ЧИСЛО ПИ(дворняга - о за о в другие))    логово = ЧИСЛО ПИ(логова)    число = сумма([_divmod(числа[я] * логово * y_s[я] % п, логова[я], п)               за я в классифицировать(k)])    возвращаться (_divmod(число, логово, п) + п) % пdef Recovery_secret(акции, основной=_ОСНОВНОЙ):    """    Восстановите секрет из очков обмена    (x, y указывает на многочлен).    """    если len(акции) < 2:        поднимать ValueError("нужно как минимум две доли")    x_s, y_s = застегивать(*акции)    возвращаться _lagrange_interpolate(0, x_s, y_s, основной)def главный():    """Основная функция"""    секрет, акции = make_random_shares(минимум=3, акции=6)    Распечатать('Секрет:',          секрет)    Распечатать('Акции:')    если акции:        за Поделиться в акции:            Распечатать('  ', Поделиться)    Распечатать("Секрет восстановлен из минимального набора акций:",          Recovery_secret(акции[:3]))    Распечатать("Секрет восстановлен из другого минимального набора акций:",          Recovery_secret(акции[-3:]))если __имя__ == '__главный__':    главный()

Характеристики

Некоторые полезные свойства Шамира ${ Displaystyle влево (к, п вправо) , !}$ пороговые схемы бывают:

1. Безопасный: Информационная безопасность.
2. Минимальный: Размер каждого фрагмента не превышает размера исходных данных.
3. Расширяемый: Когда ${ Displaystyle к , !}$ фиксируется, ${ Displaystyle D_ {i} , !}$ части могут быть динамически добавлены или удалены, не затрагивая другие части.
4. Динамический: Безопасность можно легко повысить, не меняя секрета, но время от времени меняя многочлен (сохраняя тот же свободный срок) и создавая новые акции для участников.
5. Гибкий: В организациях, где важна иерархия, мы можем предоставить каждому участнику разное количество элементов в соответствии с их важностью внутри организации. Например, президент может открыть сейф в одиночку, а для его открытия требуются 3 секретаря.

Известная проблема в схеме совместного использования секретов Шамира - это проверка правильности извлеченных общих ресурсов во время процесса восстановления, который известен как поддающийся проверке секретный обмен. Поддающееся проверке разглашение секретов направлено на проверку того, что акционеры честны и не предоставляют поддельные акции.

Смотрите также

• Обмен секретами
• Полином Лагранжа
• Гомоморфное разделение секретов - Упрощенный децентрализованный протокол голосования.
• Правило двух человек
• Частичный пароль

Рекомендации

• Шамир, Ади (1979), «Как поделиться секретом», Коммуникации ACM, 22 (11): 612–613, Дои:10.1145/359168.359176, S2CID  16321225.

• Лю, К. Л. (1968), Введение в комбинаторную математику, Нью-Йорк: Макгроу-Хилл.
• Dawson, E .; Донован, Д. (1994), "Размах схемы Шамира по разглашению секретов", Компьютеры и безопасность, 13: 69–78, Дои:10.1016/0167-4048(94)90097-3.
• Кнут, Д. Э. (1997), Искусство программирования, II: получисловые алгоритмы (3-е изд.), Addison-Wesley, p. 505.

• Бензекки, К. (2017 г.), «Подходящий подход к совместному использованию секретов для безопасного хранилища MultiCloud», В повсеместной сети, Конспект лекций по информатике, Касабланка: Springer, 10542: 225–234, Дои:10.1007/978-3-319-68179-5_20, ISBN  978-3-319-68178-8.

внешняя ссылка

• Обмен секретами Шамира в Крипто ++ библиотека
• Схема секретного обмена Шамиром (ssss) - а GNU GPL выполнение
• поделился секретом - реализация на Go
• s4 - онлайн-инструмент для обмена секретами Шамира, использующий алогрит для обмена секретами Шамира Хаши