公的に検証可能な秘密共有

暗号化において、秘密分散方式が公開検証可能(PVSS) であるとは、検証可能な秘密分散方式であり、ディーラーによって配布されたシェアの有効性を任意の当事者 (プロトコルの参加者だけでなく) が検証できる場合を指します。

検証可能秘密分散（VSS）の目的は、
（i）ディーラーが一部またはすべての参加者に誤ったシェアを送信すること、および
（ii）参加者が再構築プロトコル中に誤ったシェアを送信することなど、悪意のあるプレーヤーに対抗することです（cf. [CGMA85]）。
Stadler [Sta96]によって導入された公開検証可能秘密分散（PVSS）では、参加者が自分のシェアを検証できるだけでなく、参加者が正しいシェアを受け取ったことを誰でも検証できることが明確な目標です。したがって、（i）が公開されて検証できることが明示的に要求されます。

— ベリー・シェーンマーカーズ。公開検証可能なシンプルな秘密共有スキームと電子投票への応用。

Chunming Tang、Dingyi Pei、Zhuo Liu、および Yong He による論文によると、ここで紹介されている方法は非対話型であり、プロトコル全体にわたってこの特性を維持します。

PVSS スキームでは、次のような初期化プロセスが規定されています。

1. すべてのシステムパラメータが生成されます。
2. 各参加者は登録済みの公開鍵を持っている必要があります。

初期化プロセスを除いて、PVSS は次の 2 つのフェーズで構成されます。

1. シークレットシェアの配布はディーラーによって行われ、ディーラーは次のことを行います。 ${\displaystyle s}$${\displaystyle D}$

• ディーラーは参加者ごとにそれぞれ作成します。${\displaystyle s_{1},s_{2}...s_{n}}$${\displaystyle P_{1},P_{2}...P_{n}}$
• ディーラーは、それぞれについて暗号化されたシェアを公開します。${\displaystyle E_{i}(s_{i})}$${\displaystyle P_{i}}$
• ディーラーはまた、各暗号化を示す文字列を公開する。${\displaystyle \mathrm {証明} _{D}}$${\displaystyle E_{i}}$${\displaystyle s_{i}}$

(注:再構築プロトコルが同じ結果になることを保証します。 ${\displaystyle \mathrm {証明} _{D}}$${\displaystyle s}$

2. 株式の検証：

• 暗号化方式の公開鍵を知っている人なら誰でも、共有を検証できます。${\displaystyle E_{i}}$
• 1 つ以上の検証が失敗した場合、ディーラーは失敗し、プロトコルは中止されます。

1. シェアの復号化:

• 参加者はを使用して自分の秘密のシェアを復号化します。${\displaystyle P_{i}}$${\displaystyle s_{i}}$${\displaystyle E_{i}(s_{i})}$

(注: ここではフォールト トレランスが許可されます。つまり、資格のある参加者のグループが復号化に成功すれば、すべての参加者が復号化に成功する必要はありません)。 ${\displaystyle E_{i}(s_{i})}$${\displaystyle s_{i}}$

• 参加者のリリースと、リリースされたシェアが正しいことを示す文字列。${\displaystyle s_{i}}$${\displaystyle \mathrm {証明} _{P_{i}}}$

2. 株式のプール：

• 文字列を使用して、不正な参加者や復号化に失敗した参加者を除外します。${\displaystyle \mathrm {証明} _{P_{i}}}$${\displaystyle E_{i}(s_{i})}$
• 再構築は、資格のある参加者のシェアから行うことができます。${\displaystyle s}$

提案されたプロトコルは以下を証明する : ${\displaystyle \log _{_{g1}}h_{1}=\log _{_{g2}}h_{2}}$

1. 証明者はランダムに${\displaystyle r\in {\boldsymbol {\mathrm {Z} }}_{q^{*}}}$
2. 検証者はランダムチャレンジを送信する${\displaystyle c\in _{R}{\boldsymbol {\mathrm {Z} }}_{q}}$
3. 証明者はこう答える${\displaystyle s=r-cx(\mathrm {mod} \,q)}$
4. 検証者はチェックし、${\displaystyle \alpha _{1}=g_{1}^{s}h_{1}^{c}}$${\displaystyle \alpha _{2}=g_{2}^{s}h_{2}^{c}}$

このプロトコルを次のように表記します。 の一般化は次のように表記されます。ここで、および: ${\displaystyle \mathrm {dleq} (g_{1},h_{1},g_{2},h_{2})}$
${\displaystyle \mathrm {dleq} (g_{1},h_{1},g_{2},h_{2})}$${\displaystyle {\text{dleq}}(X,Y,g_{1},h_{1},g_{2},h_{2})}$${\displaystyle X=g_{1}^{x_{1}}g_{2}^{x_{2}}}$${\displaystyle Y=h_{1}^{x_{1}}h_{2}^{x_{2}}}$

1. 証明者はランダムに選択して送信し、${\displaystyle r_{1},r_{2}\in Z_{q}^{*}}$${\displaystyle t_{1}=g_{1}^{r_{1}}g_{2}^{r_{2}}}$${\displaystyle t_{2}=h_{1}^{r_{1}}h_{2}^{r_{2}}}$
2. 検証者はランダムなチャレンジを送信します。${\displaystyle c\in _{R}{\boldsymbol {\mathrm {Z} }}_{q}}$
3. 証明者は、と応答します。${\displaystyle s_{1}=r_{1}-cx_{1}(\mathrm {mod} \,q)}$${\displaystyle s_{2}=r_{2}-cx_{2}(\mathrm {mod} \,q)}$
4. 検証者はチェックし、${\displaystyle t_{1}=X^{c}g_{1}^{s_{1}}g_{2}^{s_{2}}}$${\displaystyle t_{2}=Y^{c}h_{1}^{s_{1}}h_{2}^{s_{2}}}$

Chaum-Pedersen プロトコルは対話型の方法であり、非対話型で使用するにはいくつかの変更が必要です。つまり、「セキュア ハッシュ」関数によってランダムに選択された値を入力値として置き換えます。 ${\displaystyle c}$${\displaystyle m}$

• 検証可能な秘密共有

• Markus Stadler、公開検証可能な秘密共有
• ベリー・ショーンマーカーズ、「公開検証可能なシンプルな秘密共有方式と電子投票への応用」、暗号学の進歩 - CRYPTO、1999 年、148 ～ 164 ページ