公開検証可能な秘密共有

暗号学において、秘密分散方式は、検証可能な秘密分散方式であり、かつ（プロトコルの参加者だけでなく）どの当事者でもディーラーによって配布されたシェアの有効性を検証できる場合、公開検証可能（PVSS）である。

検証可能な秘密分散 (VSS) の目的は、 (i) ディーラーが一部またはすべての参加者に誤ったシェアを送信すること、および (ii) 参加者が再構築プロトコル中に誤ったシェアを送信することなどの悪意のあるプレーヤーに抵抗することです (cf. [CGMA85])。 Stadler [Sta96] によって導入された公開検証可能な秘密分散 (PVSS) では、参加者が自分のシェアを検証できるだけでなく、誰でも参加者が正しいシェアを受け取ったことを検証できることが明確な目標です。したがって、(i) が公開検証可能であることが明示的に要求されます。

Tang、Pei、Liu、Heの論文で紹介されている方法は非対話型であり、プロトコル全体を通してこの特性を維持します。^{[ 1 ]}

PVSS方式では、以下の初期化プロセスが規定されています。

1. すべてのシステムパラメータが生成されました。
2. 各参加者は登録済みの公開鍵を所持していなければなりません。

初期化プロセスを除くと、PVSSは2つのフェーズで構成されます。

1. 秘密情報の配布${\displaystyle s}$株式はディーラーによって取引されます${\displaystyle D}$これは以下のことを行います。
   • ディーラーが作成する${\displaystyle s_{1},s_{2}...s_{n}}$各参加者について${\displaystyle P_{1},P_{2}...P_{n}}$それぞれ。
   • ディーラーは暗号化された共有を公開する${\displaystyle E_{i}(s_{i})}$各${\displaystyle P_{i}}$。
   • ディーラーは文字列も公開しています$証明D$それぞれが${\displaystyle E_{i}}$暗号化する$s_i$

     （注記：$証明D$再構築プロトコルが同じ結果をもたらすことを保証する${\displaystyle s}$。

2. 株式の確認：
   • 暗号化方式の公開鍵を知っている人はいますか？${\displaystyle E_{i}}$株式を検証できます。
   • 1つ以上の検証が失敗した場合、ディーラーは失敗となり、プロトコルは中止されます。

1. シェアの復号化：
   • 参加者${\displaystyle P_{i}}$秘密の分け前を解読する$s_i$使用${\displaystyle E_{i}(s_{i})}$。

     （注：ここではフォールトトレランスが許容されます。すべての参加者が復号に成功する必要はありません。）${\displaystyle E_{i}(s_{i})}$資格のある参加者グループが暗号を解読することに成功すれば$s_i$)

   • 参加者の同意$s_i$紐を追加$証明 P_i$これは、公開された株式数が正しいことを示しています。
2. 株式のプール化：
   • 弦を使用する$証明 P_i$不正行為を行った参加者、または暗号解読に失敗した参加者を除外する${\displaystyle E_{i}(s_{i})}$。
   • 再建${\displaystyle s}$これは、資格を有する参加者の持分から行うことができる。

提案されたプロトコルは以下を証明する：${\displaystyle \log _{_{g1}}h_{1}=\log _{_{g2}}h_{2}}$:

1. 証明者はランダムに${\displaystyle r\in {\boldsymbol {\mathrm {Z} }}_{q^{*}}}$
2. 検証者はランダムなチャレンジを送信する${\displaystyle c\in _{R}{\boldsymbol {\mathrm {Z} }}_{q}}$
3. 証明者は次のように答える${\displaystyle s=r-cx(\mathrm {mod} \,q)}$
4. 検証者はチェックします$\displaystyle \alpha _{1}=g_{1}^{s}h_{1}^{c}}$そして$\displaystyle \alpha _{2}=g_{2}^{s}h_{2}^{c}}$

このプロトコルを以下のように表記する。${\displaystyle \mathrm {dleq} (g_{1},h_{1},g_{2},h_{2})}$ 一般化${\displaystyle \mathrm {dleq} (g_{1},h_{1},g_{2},h_{2})}$次のように表記されます。${\displaystyle {\text{dleq}}(X,Y,g_{1},h_{1},g_{2},h_{2})}$一方：${\displaystyle X=g_{1}^{x_{1}}g_{2}^{x_{2}}}$そして${\displaystyle Y=h_{1}^{x_{1}}h_{2}^{x_{2}}}$:

1. 証明者はランダムに$\displaystyle r_{1},r_{2}\in Z_{q}^{*}}$そして送信する${\displaystyle t_{1}=g_{1}^{r_{1}}g_{2}^{r_{2}}}$そして${\displaystyle t_{2}=h_{1}^{r_{1}}h_{2}^{r_{2}}}$
2. 検証者はランダムなチャレンジを送信する${\displaystyle c\in _{R}{\boldsymbol {\mathrm {Z} }}_{q}}$。
3. 証明者は次のように答える${\displaystyle s_{1}=r_{1}-cx_{1}(\mathrm {mod} \,q)}$、${\displaystyle s_{2}=r_{2}-cx_{2}(\mathrm {mod} \,q)}$。
4. 検証者はチェックします${\displaystyle t_{1}=X^{c}g_{1}^{s_{1}}g_{2}^{s_{2}}}$そして${\displaystyle t_{2}=Y^{c}h_{1}^{s_{1}}h_{2}^{s_{2}}}$

Chaum–Pedersenプロトコルは対話型手法であり、非対話型で使用するにはいくつかの修正が必要です。ランダムに選択された${\displaystyle c}$「セキュアハッシュ」関数によって${\displaystyle m}$入力値として。

• 検証可能な秘密分散

• Markus Stadler (1996). 「公開検証可能な秘密分散」(PDF) . Advances in Cryptology — EUROCRYPT '96 . Lecture Notes in Computer Science. Vol.  1070. pp. 190–199 . doi : 10.1007/3-540-68339-9_17 . ISBN  978-3-540-61186-8。
• ベリー・シューンメーカーズ（1999）。「単純な公開検証可能な秘密分散方式とその電子投票への応用」（PDF）。暗号学の進歩 ― CRYPTO'99。コンピュータサイエンス講義録。第1666巻、 148～ 164ページ 。doi ： 10.1007 /3-540-48405-1_10。ISBN  978-3-540-66347-8。