[论文解读] Universal Construction of Cheater-Identifiable Secret Sharing Against Rushing Cheaters Based on Message Authentication

Masahito Hayashi, Takeshi Koshiba|arXiv (Cornell University)|Jan 16, 2017

Cryptography and Data Security参考文献 15被引用 3

一句话总结

本文提出了一种通用的可作弊者识别的秘密共享（CISS）构造，可抵抗快速作弊者，且无需诚实多数，通过消息认证实现。通过引入‘个体识别’和‘共识识别’模型，该协议即使在超过一半参与者为恶意时，也能实现安全的秘密重建与准确的作弊者检测，支持独立的参数调优与低计算开销。

ABSTRACT

For conventional secret sharing, if cheaters can submit possibly forged shares after observing shares of the honest users in the reconstruction phase then they cannot only disturb the protocol but also only they may reconstruct the true secret. To overcome the problem, secret sharing scheme with properties of cheater-identification have been proposed. Existing protocols for cheater-identifiable secret sharing assumed non-rushing cheaters or honest majority. In this paper, we remove both conditions simultaneously, and give its universal construction from any secret sharing scheme. To resolve this end, we propose the concepts of "individual identification" and "agreed identification".

研究动机与目标

• 解决现有可作弊者识别秘密共享（CISS）协议的局限性，这些协议假设作弊者不快速行动或需要诚实多数。
• 消除CISS协议中对可信服务器或集中式识别机制的依赖。
• 提供一种通用构造，可应用于任何底层秘密共享方案。
• 实现安全参数ℓ与秘密大小及有限域大小的独立选择。
• 在保持强作弊者识别保证的前提下，实现O(ℓ log ℓ)的高效计算复杂度。

提出的方法

• 引入两种新模型：‘个体识别’（每位参与者独立检测作弊者）和‘共识识别’（所有参与者共同认可的作弊者检测）。
• 使用基于托普利茨矩阵的消息认证码（MAC）将份额绑定至其所有者，并检测篡改行为。
• 通过将任意现有秘密共享方案与基于MAC的份额完整性检查相结合，构建通用CISS协议。
• 采用两轮协议结构：第一轮，参与者分发经认证的份额；第二轮，他们重建秘密并使用MAC验证真实性。
• 在重建阶段使用多数投票机制，以在超过一半参与者为作弊者时检测不一致。
• 通过使用参数化MAC方案（错误概率为2⁻ℓ），确保安全参数ℓ与份额大小及有限域大小相互独立。

实验结果

研究问题

• RQ1 能否构造一种通用CISS协议，可抵抗快速作弊者且无需诚实多数？
• RQ2 在分布式环境中，如何实现作弊者识别既私密（个体）又可公开验证（共识）？
• RQ3 与先前工作相比，此类协议的计算与通信开销如何？
• RQ4 安全参数ℓ能否独立于原始秘密共享方案的参数选择？
• RQ5 在检测准确率与弹性方面，个体识别与共识识别模型之间的性能权衡是什么？

主要发现

• 所提出的个体识别CISS协议即使在超过一半参与者为恶意时，仍能正确识别作弊者，确保对快速攻击者的鲁棒性。
• 共识识别模型仅在少于一半参与者为恶意时能正确识别作弊者，但仍提供强有力的检测保证。
• 当作弊者识别成功概率为1−2⁻ℓ时，协议的计算复杂度为O(ℓ log ℓ)，适用于实际部署。
• 当m=1时，协议的开销为2^(ℓ(2n−1))，显著低于[11]中协议的(n²(n+1))^(4n+1)2^(ℓ(4n+1))开销，显示出指数级缩放的显著改进。
• 该方法允许安全参数ℓ独立于秘密大小与有限域大小选择，从而可在不牺牲安全性的前提下使用如F₂等小域。
• 通过基于消息认证的模块化构造，协议实现了对任意秘密共享方案的通用适用性，无需修改原始方案。