積極的な秘密共有

プロアクティブ秘密共有は、プロアクティブセキュリティプロトコルの基盤となる技術です。 これは、秘密共有スキーム内の分散キー（シェア）を定期的に更新する方法であり、攻撃者がシェアを危険にさらす時間が短くなり、攻撃者がしきい値またはクォーラムグループ未満にアクセスする限り、システムは安全のままになります。これは、秘密の存続期間中にしきい値数のシェアが危険にさらされると秘密が危険にさらされる非プロアクティブスキームとは対照的です。時間制約を考慮したモデルは、共有の冗長性によって時間領域（期間）への堅牢性が可能になるビザンチンフォールトトレランスの概念の拡張として最初に提案され、1991年にRafail OstrovskyとMoti Yungによって提案されました。 ^{[1]この方法は}、安全なマルチパーティコンピューティングの暗号化プロトコルやしきい値暗号システムの分野で使用されています。

プレイヤー（共有秘密の保持者）が安全でないコンピュータ サーバーに共有を保存した場合、攻撃者が侵入して共有を盗んだり、知ったりする可能性があります。秘密を変更することは現実的ではないことが多いため、侵害されていない（正直な）（シャミア スタイル）共有は、同じ秘密を生成する方法で更新する必要がありますが、古い共有は無効になります。以前に破損したサーバーの共有を回復する必要もあり、回復を実行するには正直なサーバーのコミュニティが必要です。これにより、安全で回復可能な共有、または安全で正しいセキュア コンピューティング プロトコルの寿命が保証されます。サーバーの数やしきい値を変更しながら共有を維持する必要がある場合は、Frankel らが最初に示したように、共有回復を伴うプロアクティブな方法によってこれが可能になります。^{[2] [3]}プロアクティブ秘密共有法のように秘密（コードワード）を配布し、配布されたシェアを復元する機能は、2010年頃にストレージシステムで非常に必要とされていることが認識され、それに応じて、符号理論家はこの方法の名前を変更し、さらに改良して、「再生成コード」および「ローカルで復元可能なコード」として形式化しました。

これは、ある程度、研究^[4]に倣ったものである。 シェアを更新するために、ディーラー（つまり、シェアを配布する人。分散システムでは、一度にすべての参加者が1人ずつ）は、定数項0の新しいランダム多項式を生成し、残っている各プレイヤーに対して、古いペアと新しいペアのx座標が同じである新しい順序付きペアを計算します。各プレイヤーは、古いy座標と新しいy座標を互いに加算し、結果を秘密の新しいy座標として保存します。

• ディーラーは、閾値である次数体上のランダム多項式を構築する。${\displaystyle k-1}$${\displaystyle k}$
• 各プレイヤーはシェアを獲得する。ここで、はプレイヤー数、は時間間隔におけるプレイヤーのシェアである。${\displaystyle x_{i}^{0}=f^{0}(i)}$${\displaystyle i\in \{1,...,n\}}$${\displaystyle n}$${\displaystyle x_{i}^{0}}$${\displaystyle i}$${\displaystyle 0}$
• 秘密はシェアの補間によって再構築できる${\displaystyle k}$
• シェアを更新するには、すべての当事者が次の形式のランダム多項式を構築する必要がある。${\displaystyle \delta _{i}(z)=\delta _{i,1}z^{1}+\delta _{i,2}z^{2}+...+\delta _{i,k}z^{k-1}}$
• 各プレイヤーは他のプレイヤー全員に${\displaystyle i}$${\displaystyle u_{i,j}=\delta _{i}(j)}$
• 各プレイヤーはシェアを更新する。シェアが有効な時間間隔は${\displaystyle x_{i}^{t+1}=x_{i}^{t}+u_{1,i}^{t}+...+u_{n,i}^{t}}$${\displaystyle t}$

攻撃者が蓄積した更新されていないシェアはすべて無効になります。攻撃者は、しきい値に達するのに十分な数の他の更新されていないシェアを見つける場合にのみ、秘密を復元できます。プレイヤーが古いシェアを削除したため、この状況は発生しないはずです。さらに、更新プロセスにはランダムな情報しか含まれていないため、攻撃者は元の秘密に関する情報を復元できません。

ディーラーはアップデートを配布する際に閾値数を変更できますが、期限切れのシェアを保持しているプレイヤーには常に注意を払う必要があります。^[5]ただし、元の方法ではサーバーのコミュニティに再共有ディーラーと失われたシェアの再生者になる能力が与えられているため、これはやや限定的な見方です。

次の例では、シェアが 2 つあり、しきい値が 2、プレイヤーが 2 人、ディーラーが 1 人です。シェアと多項式は特定の期間のみ有効であるため、有効な期間は上付き文字で示されます。

• すべての当事者は有限体について同意します:${\displaystyle Z_{11}}$
• ディーラーは秘密を確立します:${\displaystyle s=6\in Z_{11}}$
• ディーラーは2 - 1次（しきい値2）の ランダム多項式を構築します。${\displaystyle Z_{11}}$
  • ${\displaystyle f^{0}(x)=6+2\times x}$
  • 注記${\displaystyle f^{0}(0)=s=6}$
• プレイヤー1がシェアを獲得し、プレイヤー2がシェアを獲得する${\displaystyle x_{1}^{0}=f^{0}(1)=6+2\times 1=8}$${\displaystyle x_{2}^{0}=f^{0}(2)=6+2\times 2=10}$
• 秘密を再現するには、${\displaystyle x_{1}^{0}}$${\displaystyle x_{2}^{0}}$
  • は直線なので、点の傾きの形を使って補間することができる。${\displaystyle f^{0}(x)}$
  • ${\displaystyle m=(f^{0}(2)-f^{0}(1))/(2-1)=(x_{2}^{0}-x_{1}^{0})/(2-1)=(10-8)/(2-1)=2/1=2}$
  • ${\displaystyle b=f^{0}(1)-m=x_{1}^{0}-2=8-2=6}$
  • ${\displaystyle f^{0}(x)=b+m\times x=6+2\times x}$
  • ${\displaystyle f^{0}(0)=6+2\times 0=6=s}$
• シェアを更新するには、すべての当事者が自由係数がゼロになる ような1次のランダム多項式を構築する必要がある。
  • プレイヤー1が構築する${\displaystyle \delta _{1}^{0}(z)=\delta _{1,1}^{0}\times z^{1}=2\times z^{1}}$
  • プレイヤー2の構築${\displaystyle \delta _{2}^{0}(z)=\delta _{2,1}^{0}\times z^{1}=3\times z^{1}}$
• 各プレイヤーは多項式を評価し、他のプレイヤーと情報を共有する。
  • プレイヤー1は計算し、${\displaystyle u_{1,1}^{0}=\delta _{1}^{0}(1)=2}$${\displaystyle u_{1,2}^{0}=\delta _{1}^{0}(2)=4}$${\displaystyle Z_{11}}$
  • プレイヤー1がプレイヤー2に送る${\displaystyle u_{1,2}^{0}}$
  • プレイヤー2は計算し、${\displaystyle u_{2,1}^{0}=\delta _{2}^{0}(1)=3}$${\displaystyle u_{2,2}^{0}=\delta _{2}^{0}(2)=6}$${\displaystyle Z_{11}}$
  • プレイヤー2がプレイヤー1に送る${\displaystyle u_{2,1}^{0}}$
• 各プレイヤーは自分のシェアを次のように更新します${\displaystyle x_{i}^{1}=x_{i}^{0}+u_{1,i}^{0}+u_{2,i}^{0}}$
  • プレイヤー1は計算する${\displaystyle x_{1}^{1}=x_{1}^{0}+u_{1,1}^{0}+u_{2,1}^{0}=8+2+3=2\in Z_{11}}$
  • プレイヤー2は計算する${\displaystyle x_{2}^{1}=x_{2}^{0}+u_{1,2}^{0}+u_{2,2}^{0}=10+4+6=9\in Z_{11}}$
• 更新された共有が同じ元のシークレットを生成することを確認する
  • とを使って多項式を再構築する${\displaystyle x_{1}^{1}}$${\displaystyle x_{2}^{1}}$${\displaystyle f^{1}(x)}$
  • は直線なので、点の傾きを使用できる。${\displaystyle f^{1}(x)}$
  • ${\displaystyle m=(f^{1}(2)-f^{1}(1))/(2-1)=(x_{2}^{1}-x_{1}{1})/(2-1)=(9-2)/(2-1)=7/1=7}$
  • ${\displaystyle b=f^{1}(1)-m=x_{1}^{1}-7=2-7=-5=6}$
  • ${\displaystyle f^{1}(x)=b+m\times x=6+7\times x}$
  • ${\displaystyle f^{1}(0)=6+7\times 0=6=s}$

• キー（暗号化）
• キー生成
• 鍵配布
• キー管理
• シャミアの秘密共有