Full paper (pdf) - CDC

Sicherheit des Verfahrens Ein Angreifer, dem es gelingt, bis zu t − 1 Teilgeheimnisse
si in Erkenntnis zu bringen, kann dadurch keine Rückschlüsse auf
das Geheimnis s ziehen. Wenn t − 1 Stützstellen des geheimen Polynoms bekannt
sind, exisitiert für jeden denkbaren Wert s ′ genau ein Polynom, welches
alle Stützstellen und diesen Wert s ′ beinhaltet. Aufgrund der Konstruktion
des Polynoms ist jedes dieser möglichen Polynome gleichwahrscheinlich. Das
Shamir-Verfahren ist somit informationstheoretisch sicher im Shannon’schen
Sinne.
2.3 Verifizierbares Secret-Sharing
Eine Hauptmotivation für den Einsatz von Secret-Sharing ist die Möglichkeit,
Angriffe auf die Vertraulichkeit und Verfügbarkeit des Geheimnisses abzuwehren.
Durch das Shamir-Verfahren wird sichergestellt, daß das Geheimnis einem
Angreifer nur in die Hände fallen kann, wenn er Kenntnis von einer Mindestmenge
an Teilgeheimnissen erhält. Trotzdem kann ein Angreifer, der die Kontrolle
über einige wenige Teilnehmer erhält, zumindest die Verfügbarkeit des Geheimnisses
empfindlich stören, wenn er die Rekonstruktion sabotiert. Es ist nämlich
bei der Kombination der Teilgeheimnisse nicht möglich zu erkennen, ob der
Beitrag einzelner Teilnehmer korrekt war oder nicht. Das macht es schwierig,
betrügerische Teilnehmer auszuschließen. Von einem robusten Secret-Sharing-
Verfahren wird verlangt, daß es auch eine gewisse Menge an Teilnehmern verkraftet,
die sich nicht an alle Einzelheiten des Protokolls halten. Eine wichtige
Komponente robuster Secret-Sharing-Verfahren sind verifizierbare Teilgeheimnisse,
die wir in diesem Abschnitt besprechen wollen.
Das Shamir-Verfahren funktioniert, wenn sich alle Teilnehmer (inklusive des
Gebers) an die vorgeschriebenen Protokollabläufe halten. Das Geheimnis ist
dann gegenüber Außenstehenden (und gegenüber einer Minderheit an Teilnehmern)
geschützt, kann aber bei Bedarf durch Kooperation rekonstruiert werden.
Man sagt, die Teilnehmer seien neugierig, aber ehrlich (curious, but honest).
Teilnehmer, die sich nicht an das Protokoll halten, können die Rekonstruktion
aufhalten. Außerdem kann ein Teilnehmer sich nicht sicher sein, daß sein Anteil
überhaupt korrekt gebildet wurde (Übertragungsfehler, Sabotage, betrügerischer
Geber). Beide Mängel können mit einem Verfahren von Torben Pedersen
[Ped92] behoben werden, das auf einem Commitment des Gebers beruht
und die Verifikation der Teilgeheimnisse ermöglicht. Dieses Verfahren zeichnet
sich gegenüber anderen vorgeschlagenen Verfahren dadurch aus, daß es ohne
Interaktionen zwischen den Teilnehmern oder mit dem Geber auskommt und
daß durch die zusätzlichen Verifikationsinformationen keinerlei Hinweise auf das
Geheimnis gegeben werden.
2.3.1 Das Pedersen-Verfahren
Das Verfahren benötigt eine weitere Primzahl q mit q = mp + 1 für ein beliebiges
(möglicherweise kleines) m. Dadurch ergibt sich der Körper (Z/qZ), der
über eine Untergruppe Gp der Ordnung p verfügt. Sei g ∈ Gp ein erzeugendes
Element von Gp und h ∈ Gp ein weiteres Element aus Gp, für das der diskrete
11