CN110830250B

CN110830250B - 利用通用系数发现算法在非欧几里得环上实现秘密共享的方法

Info

Publication number: CN110830250B
Application number: CN201911107274.XA
Authority: CN
Inventors: 苗付友; 王旭
Original assignee: University of Science and Technology of China USTC
Current assignee: University of Science and Technology of China USTC
Priority date: 2019-11-13
Filing date: 2019-11-13
Publication date: 2021-10-01
Anticipated expiration: 2039-11-13
Also published as: CN110830250A

Abstract

本发明公开了一种利用通用系数发现(GCF)算法在非欧几里得环上实现秘密共享的方法，提供了增广矩阵变换和商域两种GCF算法支持非欧几里得环上的中国剩余定理算法，从而构造相应的秘密共享方案。基于非欧几里得环的秘密共享方案中，很容易生成任意两两互素的模多项式，且不存在信息泄露问题，并且非欧几里得环上的方法具有极高的效率，通过提高生成互素模数的效率，可以显著提高秘密分发阶段的效率，进而提高秘密共享方案的效果。此外，由于非欧几里得环可以是无限环，秘密多项式系数长度存在不确定性，因而非欧几里得环上的秘密共享方案可以在理论上确保非授权集恢复秘密的概率趋于0，从而确保方案的保密性。

Description

利用通用系数发现算法在非欧几里得环上实现秘密共享的方法

技术领域

本发明涉及网络与信息安全，尤其涉及一种利用通用系数发现算法(GeneralizedCoefficient Finding--GCF)在非欧几里得环上实现秘密共享方案的方法。

背景技术

1.欧几里得算法与扩展欧几里得算法

欧几里得算法又称辗转相除法，主要用来求解两个正整数的最大公约数，正整数a和b的最大公约数可以表示为gcd(a,b)。我们可以将gcd(a,b)理解为a和b的最小正线性组合，如果想要得到方程au+bv＝gcd(a,b)中整数u和v的值，我们就会用到扩展欧几里得算法(Extended Euclidean Algorithm-EEA)。其中，欧几里得算法和扩展欧几里得算法的时间复杂度都是O(logb),b＜a，因而具有很高的效率。

1)整数环Z上的欧几里得算法

令a,b∈Z是正整数，且a≥b。在整数环上求解gcd(a,b)的算法如下：

(1)令r₀＝a且r₁＝b。

(2)设置i＝1。

(3)r_i-1除以r_i，得到商q_i和余数r_i+1，即：

r_i-1＝r_i·q_i+r_i+1,(0≤r_i+1＜r_i)

(4)如果余数r_i+1＝0，算法终止。我们可以得到r_i＝gcd(a,b)。

(5)否则r_i+1＞0，则设置i＝i+1，跳转到步骤3。

其中，步骤3)最多执行2log₂ b+1次。

2)Z上的欧几里得算法与扩展欧几里得算法的联系

令a,b∈Z是正整数，欧几里得算法的逐步计算过程可以表示为：

由以上欧几里得算法的逐步计算过程可知gcd(a,b)＝gcd(b,r₂)＝gcd(r₂,r₃)＝…＝gcd(r_t-2,r_t-1)＝gcd(r_t-1,r_t)＝gcd(r_t,0)＝r_t。

扩展欧几里得算法可以看作欧几里得算法的逆过程。如果将上述欧几里得的逐步计算过程反向写出，则：

由以上递推关系可知，r_t,r_t-1,r_t-2,…,r₃,r₂,b,a序列中，每一项都可以由后两项表示。通过层层迭代，我们可以用a和b表示r_t，即可找到整数u和v使得等式au+bv＝r_t(*)成立。很显然，该式中r_t是a和b的最大公约数，因为(*)式中任何a和b的公约数都可以被r_t整除。

3)使用Z上的扩展欧几里得算法求解au+bv＝1。

如果a和b是已知的互素整数，则gcd(a,b)＝1，必然存在唯一的u和唯一的v使得au+bv＝1成立，u＜b,v＜a。

方程au+bv＝1的解u和v是扩展欧几里得算法的特殊形式。当a和b互素时，常用来求解a mod b或b mod a的乘法逆元。因为au+bv＝1意味着au＝1mod b,即a mod b的乘法逆元为u；同理，bv＝1mod a,即b mod a的乘法逆元为v。

以上扩展欧几里得算法只使用于在欧几里得环上求解乘法逆元。

2.基于中国剩余定理的秘密共享方案

(t,n)门限秘密共享的基本思想是将一个秘密分割成n份子秘密，并将每一份子秘密通过安全信道分发给n个参与者。使得只有t(t≤n)或t个以上的参与者合作才能恢复秘密，少于t个参与者无法恢复秘密，其中t是门限值。(t,n)门限秘密共享方案在信息安全和应用密码领域具有极其广泛的应用。

1)基于Z上的CRT(中国剩余定理)非迭代算法实现的秘密共享方案。

应用最为广泛的(t,n)门限秘密共享方案是Asmuth-Bloom的基于CRT的秘密共享方案和Shamir的基于Lagrange插值多项式的秘密共享方案。其中Asmuth-Bloom的方案实现如下：

在Asmuth-Bloom的(t,n)门限秘密共享方案中假定D是秘密分发者，方案中共有n个参与者，t是门限值。秘密空间的大小是p₀，秘密空间是

每个参与者子秘密空间的大小为p_i，参与者对应的子秘密空间是

其中，正整数(p₀,p₁,…,p_n)的选取需要满足以下三个条件：

A、p₀＜p₁…＜p_n

B、p_0·p_n-t+2·…·p_n＜p₁·p₂·…·p_t

C、正整数p₀,p₁,…,p_n是两两互素的

Asmuth-Bloom的(t,n)门限秘密共享方案主要包括秘密分发和秘密重构两个阶段。

a)秘密分发阶段。

为了共享一个秘密

秘密分发者D随机选取一个正整数α，使得

然后D为每一个参与者U_i计算子秘密s_i＝(s+αp₀)mod p_i。其中，子秘密s_i应通过安全信道被传送给参与者U_i。

b)秘密重构阶段。

任何m,(n≥m≥t)个参与者，比如{U₁,U₂,…,U_m}，可以通过提供他们合法的子秘密{s₁,s₂,…,s_m}得到如下同余方程组：

计算

使用公式：

即可计算出最终的秘密s。

2)基于F[x]上的CRT非迭代算法实现的秘密共享方案。

为了构建理想秘密共享方案，Yu Ning等人提出多项式F[x]上的秘密共享方案。方案的具体实现如下：

在Yu Ning的(t,n)门限秘密共享方案中假定D是秘密分发者，方案中共有n个参与者，t是门限值。D会选择素数p和整数dg₀,dg₁,…,dg_n,选取多项式m_i(x)∈F_p[x],i＝(1,2,…,n)和多项式

其中dg_i＝deg(m_i(x))是多项式的次数。秘密的空间是S＝{g(x)∈F_p[x]|deg(g)＜dg₀}。

其中，多项式(m₀(x),m₁(x),…,m_n(x))的选取需要满足以下三个条件：

A、1≤dg₀≤dg₁≤dg₂≤…≤dg_n

B、

C、多项式(m₀(x),m₁(x),…,m_n(x))是两两互素的

Yu Ning的(t,n)门限秘密共享方案主要包括秘密分发和秘密重构两个阶段。

a)秘密分发阶段

为了共享一个秘密s(x)∈S，秘密分发者D从

随机选取一个多项式α(x)，计算

然后为每一个参与者U_i计算子秘密s_i(x)＝f(x)mod m_i(x)。其中，子秘密s_i(x)应当通过安全信道被传送给参与者U_i。

b)秘密重构阶段

任何m,(n≥m≥t)个参与者，比如{U₁,U₂,…U_m}，可以通过提供他们合法的子秘密{s₁(x),s₂(x),…,s_m(x)}来得到如下同余方程组：

利用CRT的性质求解多项式环上的同余方程组，得到唯一的次数小于

的解f(x)。使用公式

即可计算出最终的秘密s(x)。

由上可知，在Z上基于CRT的秘密共享方案中，需要选取互素的大整数来作为模数。大数的产生较为困难，需要选取一组两两互素的模数更加困难，而且每个参与者的子秘密长度都大于秘密的长度，因而方案无法达到理想的秘密共享。而在F[x]上基于CRT的秘密共享方案中，暂时没有找到确定性的算法来产生任意一组两两互素的模多项式。

然而，目前基于CRT的秘密共享方案都针对欧几里得环(如整数环Z或者系数在域上的多项式环F[x])实现，而无法在非欧几里得环上实现。

发明内容

本发明的目的是提供一种利用通用系数发现算法在非欧几里得环上实现秘密共享的方法，可以提高秘密分发阶段的效率、确保秘密共享方案的保密性。

本发明的目的是通过以下技术方案实现的：

一种利用通用系数发现算法在非欧几里得环上实现秘密共享的方法，包括：

秘密分发阶段：秘密分发者O为每一参与者U_i在非欧几里得环上选取或构造一个公开的模多项式m_i(x)，不同参与者对应的模多项式两两互素；然后，结合模多项式m_i(x)与秘密信息s(x)为每一参与者U_i计算相应的s(x)的子秘密s_i(x)，并通过安全信道传送给对应参与者；

秘密重构阶段：利用任意t个参与者的子秘密，得到相应的同余方程组，利用通用系数发现算法GCF计算出每一个参与者U_i对应参数，从而求解出同余方程组的解f(x)，并利用同余方程组的解f(x)恢复出秘密信息s(x)；其中，在秘密分发阶段i＝1,2,…,n，秘密重构阶段，i＝1,2,…,t，n为参与者总数，t为门限值。

由上述本发明提供的技术方案可以看出，基于非欧几里得环的秘密共享方案中，很容易生成任意两两互素的模多项式，且不存在信息泄露问题，并且非欧几里得环上的方法具有极高的效率，通过提高生成互素模数的效率，可以显著提高秘密分发阶段的效率，进而提高秘密共享方案的效果。此外，由于非欧几里得环可以是无限环，秘密多项式系数长度存在不确定性，因而非欧几里得环上的秘密共享方案可以在理论上确保非授权参与者恢复秘密的概率趋于0，从而确保方案的保密性。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为本发明实施例提供的一种利用通用系数发现算法在非欧几里得环上实现秘密共享的方法的流程图。

具体实施方式

下面结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明的保护范围。

非欧几里得环包含作为唯一分解环(UFD)的多项式环R[x]，R表示各类可交换整环，x表示多项式的变量；比如3x²+2x+5就是一个以x为变量的系数在整数环Z上的多项式。Z[x]为多项式环R[x]中的一种形式，Z表示整数环，Z[x]表示系数在Z(整数)上的多项式构成的环。

本发明实施例中，通过构造R[x](同样适用于Z[x])上通用系数发现算法(GCF)，建立R[x]上的中国剩余定理算法，进而构造R[x]上秘密共享方案。

GCF算法：定义m_i(x)与M_i(x)∈R[x]是已知系数在R上的首一互素多项式(这里的互素是指除了unit没有其他公因数或公因式)。一定存在M′_i(x)∈R[x]和最小值d_i∈R，使得M_i(x)M′_i(x)＝d_imod m(x)且deg(M′_i(x))＜deg(m_i(x))。该算法的作用是给定m_i(x)与M_i(x)∈R[x]，求解M′_i(x)∈R[x]和最小值d_i∈R使得M_i(x)M′_i(x)＝d_imod m(x)且deg(M′_i(x))＜deg(m_i(x))。

如之前所述，欧几里得环上乘法逆元的求解主要使用扩展欧几里得算法，但是在非欧几里得环上，无法直接使用现有的扩展欧几里得算法求上述M′_i(x)和d_i。因此，无法实现非欧几里得环上的秘密共享。

本发明实施例提供的秘密共享可以基于非欧几里得环上的GCF算法实现，从而降低对秘密共享方案构造的限制，提高秘密分发阶段的效率，并确保方案的保密性。如图1所示，为本发明实施例提供的一种利用通用系数发现算法在非欧几里得环上实现秘密共享的方法的流程图。

秘密共享方案中共有n个参与者(U₁,U₂,…,U_n)，只有t(t≤n)或t个以上的参与者合作才能恢复秘密，少于t个参与者无法恢复秘密，其中t是门限值。设置秘密信息s(x)的范围m(x)；阶deg(m(x))＝dg，且dg＞0，deg(m(x))表示多项式m(x)关于x的阶(即次数)。每个参与者U_i，i＝1,2,…n，所对应的公开模数为首一多项式m_i(x)，阶deg(m_i(x))＞0，可以通过Eisenstein素性判定标准直接高效地生成R[x]上的素多项式m_i(x)。

本领域技术人员可以理解，此处的模数就是模多项式，用它除其他多项式(比如f(x))进而获得余多项式(比如子秘密)。

如图1所示，本发明实施例提供的秘密共享的方法主要包含如下两个阶段：

1、秘密分发阶段。

秘密分发者O为每一参与者U_i在非欧几里得环上选取或构造一个公开的模多项式m_i(x)，不同参与者对应的模多项式两两互素；然后，结合模多项式m_i(x)与秘密信息s(x)为每一参与者U_i计算相应的子秘密s_i(x)，并通过安全信道传送给对应参与者；其中，i＝1,2,…n；。

本发明实施例中，结合模多项式m_i(x)与秘密信息s(x)为每一参与者U_i计算相应的子秘密s_i(x)包括：

首先，计算一个中间量f(x)：

f(x)＝s(x)+α(x)m(x)

其中，α(x)为随机选取的一个多项式且

m(x)限定了秘密信息s(x)的范围，阶deg(m(x))＝dg，且d＞0；秘密信息s(x)的阶小于dg，即deg(s(x))＜deg(m(x))；deg(m(x))表示多项式m(x)关于x的阶，即次数。对于每个m_i(x)，i＝1,2,…,n，如果dg_i＝deg(m_i(x))，则满足dg≤dg₁≤dg₂≤…≤d_n；

然后，为每一参与者U_i计算相应的子秘密s_i(x)：

s_i(x)＝f(x)mod m_i(x)。

本发明实施例中，子秘密与秘密的长度可以相同，从而可以达到理想的秘密共享。

如之前所述，非欧几里得环包括：多项式环R[x]，R表示各类可交换整环，x表示多项式的变量；Z[x]为多项式环R[x]中的一种形式，Z表示整数环，Z[x]表示系数在Z上的多项式。由于Z[x]属于R[x]中的一种具体形式，因此，本发明实施例的方案在R[x]与Z[x]实现的原理是相同的，区别在于，相关参数的范围不同，例如：

对于多项式环R[x]，定义各参与者对应的模多项式m₁(x),m₂(x),…,m_n(x)是R[x]上两两互素的模多项式；此情况下，s(x)∈R[x]，α(x)∈R[x]；

对于多项式环Z[x]，定义各参与者对应的模多项式m₁(x),m₂(x),…,m_n(x)是Z[x]上两两互素的模多项式；此情况下，s(x)∈Z[x]，α(x)∈Z[x]。

2、秘密重构阶段。

利用任意不少于t个参与者的子秘密(为简单起见，固定选择t个)，得到相应的同余方程组，利用非欧几里得环上的上的GCF算法计算出每一个参与者U_i对应的各参数，从而求解出同余方程组的解f(x)，并利用同余方程组的解f(x)恢复出秘密信息s(x)；其中，n≥t，t为门限值。

本发明实施例中，利用任意t个(比如第1～第t个)参与者的子秘密，得到相应的同余方程组，表示为：

为求解此同余方程组：令

M_i(x)＝M(x)/m_i(x)，i＝1，2，...，t，通过上述GCF算法求解M′_i(x)∈R[x]和d_i∈R使得M′_i(x)M_i(x)mod m_i(x)＝d_i。令

D_i＝D/d_i，则可得到：

最终的秘密为：s(x)＝f(x)mod m(x)。

本发明实施例中，同余方程组(*)的解f(x)与秘密分发阶段秘密分发者O计算的中间量f(x)是相同的概念，如果求解正确，则二者完全相同。

此外，本领域技术人员可以理解，本发明所涉及的下标i表示一个序号，在秘密分发阶段，i＝1,2,…n；在秘密重构阶段，i＝1,2,…,t。

GCF算法：定义每一个参与者对应的m_i(x)与M_i(x)∈R[x]是已知系数在R上的首一互素多项式，则必定存在M′_i(x)∈R[x]和最小d_i∈R使得M_i(x)M′_i(x)＝d_imodm_i(x)且在deg(M′_i(x))＜deg(m_i(x))条件下存在唯一的M′_i(x)∈R[x]。GCF算法可以在给定m_i(x)与M_i(x)∈R[x]条件下，求解每一个参与者对应的M′_i(x)和d_i，从而支持构建非欧几里得环R[x]上的CRT算法，最终建立R[x]上的秘密共享方案。

本发明实施例中，提供两个GCF算法实现方案求解R[x]上参数M′_i(x)和d_i的方法：

(1)将R[x]上求解M′_i(x)和d_i过程转化为R上的增广矩阵变换过程。

(2)利用商域(Quotient Field)概念，首先将R[x]扩展到QR[x]，QR为R的商域，然后利用QR[x]上的扩展欧几里得算法求解M_i(x)mod m_i(x)的乘法逆元，最后将其再转换为R[x]上的M′_i(x)和d_i。

上述两类R[x]上多项式GCF算法属于通用方案，可以适用于R[x]中的任意多项式环。如之前提到的Z[x]同样适用，求解过程完全相同，只是求解所涉及的某些的参数的范围略有区别，例如，第(1)类方法中，是将Z[x]上求解过程转化为求解Z上多元线性方程组过程。第(2)类方法中，将Z[x]扩展到Q[x]，然后利用Q[x]上的扩展欧几里得算法求解M(x)modm(x)的乘法逆元。Z为整数环，Q为Z的商域，即有理数域。

下面针对以上两类方法做详细的介绍。

(1)将R[x]上求解M′_i(x)和d_i的过程转化为R上的增广矩阵变换过程

已知m_i(x),M_i(x)∈R[x]互素(没有除unit以外的公因子)且m_i(x)＝a_ux^u+a_u-1x^u-1+…+a₁x+a₀,M_i(x)＝b_vx^v+b_v-1x^v-1+…+b₁x+b₀,deg(m_i(x))＝u，deg(M_i(x))＝v，其中的a、b表示m_i(x)、M_i(x)每一项的系数，下标表示每一项的序号；令未知多项式为m′_i(x)，M′_i(x)∈R[x]且deg(m′_i(x))＜v，deg(M′_i(x))＜u，给定m_i(x),M_i(x)本方法可以利用R上的矩阵变换求解m′_i(x)，M′_i(x)∈R[x]和d_i∈R并满足m_i(x)m′_i(x)+M_i(x)M′_i(x)＝d_i。该方法具体包含如下两步：

第一步：依据m_i(x)与M_i(x)构造如下(u+v)维的矩阵A:

假设C为(u+v)维的单位矩阵，则増广矩阵(A|C为：

如果増广矩阵(A|C中矩阵A的第j行元素自左至右代表一个多项式p_j(x)从高次到低次的系数，j＝1,2,…,(u+v)；则(A|C中单位矩阵C的第j行前v个元素按从高次到低次构成了多项式r_j(x)的系数，而后u个元素按相同的次序构成了多项式s_j(x)的u个系数；其中，deg(r_j(x))＜deg(M_i(x))，deg(s_j(x))＜deg(m_i(x))。相应地，増广矩阵(A|C)中第j行多项式p_j(x)满足：

p_j(x)＝m_i(x)r_j(x)+M_i(x)s_j(x)。

第二步：对増广矩阵(A|C)做初等行变换，即对矩阵A与单位矩阵C做同步变换，使得矩阵A上三角化。由于m_i(x),M_i(x)互素，其中变换后A的第(u+v)行仅包含最右边的一个非零元素，令其为d_i∈R。而其中变换后C的第(u+v)行即给出了相应的m′_i(x)和M_i′(x)，使得m_i(x)m′_i(x)+M_i(x)M_i′(x)＝d_i，即M_i(x)M′_i(x)mod m_i(x)＝d_i∈R。

由于秘密共享方案中各个m_i(x),i＝1,2,…,两两互素，令

M_i(x)＝M(x)/m_i(x)，因此在R[x]为唯一分解环情况下，M_i(x)与m_i(x)互素。利用上述R上的増广矩阵变换方法，给定M_i(x)与m_i(x)∈R[x]，容易求得M′_i(x)以及d_i∈R，使得M′_i(x)M_i(x)mod m_i(x)＝d_i∈R；

令

D_i＝D/d_i，从而可以求解出上述同余方程组(*)的解f(x)，即：

对于Z[x]，只需要将以上求解过程涉及参数范围由R[x]改为Z[x]即可，求解过程完全相同。

以上过程等同于在R的商域上述对増广矩阵(A|C)作行变换。举例来说，如果上述R为整数环Z，上述对(A|C)进行的初等行变换本质上等同于先在Z的商域—有理数Q上对(A|C)进行初等行变换，变换结束后再将Q上的变换结果转换为Z上的结果。因此，上述过程已包含了相应R的商域上的求解过程，不再单独赘述。

(2)基于QR[x]上的扩展欧几里得算法求解R[x]上多项式乘法逆元

由于秘密共享方案中各个m_i(x),i＝1,2,…,n是两两互素的首一多项式，令

M_i(x)＝M(x)/m_i(x)，因此首一多项式M_i(x)与m_i(x)互素。

如果M_i(x)M″_i≡1modm_i(x)，M_i(x),m_i(x)∈R[x]，称M″_i(x)为M_i(x)modm_i(x)在QR[x]上的乘法逆元，QR表示R的商域；在deg(M″_i(x))＜deg(m_i(x))范围内，M″_i(x)∈QR[x]有唯一解。由于m_i(x)与M_i(x)是互素的，必然存在唯一的m_i′(x)和唯一的M″_i(x)∈QR[x]使得m_i(x)m_i′(x)+M_i(x)M_i″(x)＝1成立；通过传统的扩展欧几里得算法得到乘法逆元M″_i(x)使得M_i(x)M″_i(x)＝1modm_i(x)成立，将M″_i(x)乘以其所有系数分母的最小公倍数d_i∈R，最终得到M_i(x)在R[x]上的M_i′(x)＝d_iM″_i(x)∈R[x]使得M_i(x)M′_i(x)＝d_imodm_i(x)；

如果采用上述方式求解M′_i(x)，则令

D_i＝D/d_i∈R，从而可以求解出同余方程组(*)的解f(x)：

对于Z[x]上的情况，只需将上述R[x]替换为Z[x]，将QR[x]替换为Q[x]，然后在Q[x]上执行上述过程即可。

本发明实施例上述方案主要具有如下优点：1)允许直接在R[x]上生成两两互素的模多项式，进而显著提高秘密分发阶段的效率；在设计的R[x]上的秘密共享方案中，可以通过Eisenstein素性判定标准直接产生R[x]上的素多项式。相比于其他环上的互素模数生成算法，该算法在效率上具有明显优势。2)由于R是无限环，秘密多项式系数长度存在不确定性，因而R[x]上的秘密共享方案可以在理论上确保非授权集恢复秘密的概率趋于0，从而确保方案的保密性。

下面我们以Z[x]为例，分别给出基于增广矩阵变换以及商域的两种GCF算法:由已知的互素首一多项式M_i(x)和m_i(x)，求解Z[x]上M′_i(x)和d_i；然后给出Z[x]上的秘密共享方案。

(1)利用Z上増广矩阵变换方法求解M′_i(x)和d_i

已知M_i(x)＝x⁴+2x³+4x²+4x+4,m_i(x)＝x³+2x²+3x+1，其中m_i(x),M_i(x)∈Z[x]是系数在整数环上的首一互素多项式。求解最小的正整数d_i∈Z和M′_i(x)∈Z[x]，使得M_i(x)M′_i(x)≡d_imod m(x)。

第一步：根据M_i(x)和m_i(x)构造4+3＝7维的方阵A和增广矩阵(A|C),其中为7×7的单位矩阵。

第二步：对(A|C)进行初等行变换:

因此，我们可以确定M′_i(x(＝2x²-x+3,m′_i(x)＝-2x³+x²-5x-1,d_i＝11使得

M_i(x)(2x²-x+3)+m_i(x)(-2x³+x²-5x-1)＝11

成立，即

M_i(x)(2x²-x+3)＝11mod m_i(x)。

(2)基于QR[x]上扩展欧几里得算法求解M′_i(x)和d_i

假设M_i(x)＝x⁴+2x³+4x²+4x+4,m_i(x)＝x³+2x²+3x+1,其中m_i(x),M_i(x)∈Z[x]是系数在整数环上互素的首一多项式。令M_i(x)M″_i(x)＝1modm_i(x)，利用Q[x]上的扩展欧几里得算法求解M_i(x)的乘法逆元M″_i(x)∈Q[x]、进而确定d_i∈Z,M′_i(x)＝d_iM″_i(x)∈Z[x]以及使得M_i(x)M′_i(x)≡d_imodm_i(x)。

x⁴+2x³+4x²+4x+4＝x(x³+2x²+3x+1)+(x²+3x+4)

x³+2x²+3x+1＝(x-1)(x²+3x+4)+(2x+5)

x²+3x+4＝(x/2+1/4)(2x+5)+11/4

则：

q₁(x)＝x,r₁(x)＝x²+3x+4

q₂(x)＝x-1,r₂(x)＝2x+5

q₃(x)＝x/2+1/4,r₃(x)＝11/4

q₁(x)＝x q₂(x)＝x-1 q₃(x)＝x/2+1/4

0	1	-x	x<sup>2</sup>-x+1	-x<sup>3</sup>/2+x<sup>2</sup>/4-5/4-1/4
					1	0	1	1-x	x<sup>2</sup>/2-x/4+3/4

故d_i＝11，M′_i(x)＝d_iM″_i(x)＝11且使得M_i(x)M′_i(x)＝d_imodm_i(x)。

(3)Z[x]上的秘密共享方案应用举例

接下来我们将举例说明Z[x]上基于通用系数发现算法的(t,n)门限秘密共享方案。在如下例子中，我们使用Z上的増广矩阵变换方法求解所需参数。

1)准备阶段。

假设在此次秘密共享中共有n＝4个用户，门限t＝3，秘密的取值范围为deg(s(x))＜deg(m(x))。其中，m(x)＝x²。

2)秘密分发阶段。

密钥分发者Dealer要分发的秘密为s(x)＝3x+5，随机选取的多项式α(x)＝x³。Dealer为4个参与者挑选公开信息(m₁(x)，m₂(x)，m₃(x)，m₄(x))＝(x²+2,x²+3x+1,x²+2x+2,x²+2x+7)。密钥分发者Dealer计算f(x)＝s(x)+α(x)m(x)＝x⁵+3x+5,为每一个参与者U_i计算子秘密s_i(x)＝f(x)mod m_i(x)。

然后，将子秘密(s₁(x)＝7x+5，s₂(x)＝58x+26，s₃(x)＝-x+5,s₄(x)＝-16x-135)，通过安全信道分发给对应的参与者(U₁,U₂,U₃,U₄)。

3)秘密重构阶段

假设有3个参与者(U₁,U₂,U₃)提供子秘密(s₁(x)＝7x+5，s₂(x)＝58x+26，s₃(x)＝-x+5)来重构秘密，他们的公开信息是(x²+2,x²+3x+1,x²+2x+2)。我们可以得到如下同余方程组：

令M(x)＝m₁(x)m₂(x)m₃(x)＝x⁶+5x⁵+11x⁴+18x³+20x²+16x+4，可得

M₁(x)＝m₂(x)m₃(x)＝x⁴+5x³+9x²+8x+2，

M₂(x)＝m₁(x)m₃(x)＝x⁴+2x³+4x²+4x+4，

M₃(x)＝m₁(x)m₂(x)＝x⁴+3x³+3x²+6x+2，

由以上Z[x]上GCF算法可得：

M′_i(x)M_i(x)mod m_i(x)＝d_i，d_i∈Z是一个常数。

当i＝1时，

M₁(x)M′₁(x)＝(x⁴+5x³+9x²+8x+2)M′₁(x)＝d₁ mod m₁(x)，

可以求得M′₁(x)＝(x-6)，则d₁＝76；

当i＝2时，

M₂(x)M′₂(x)＝(x⁴+2x³+4x²+4x+4)M′₂(x)＝d₂mod m₂(x)，

可以求得M′₂(x)＝(13x+37)，则d₂＝95；

当i＝3时，

M₃(x)M′₃(x)＝(x⁴+3x³+3x²+6x+2)M′₃(x)＝d₃mod m₃(x)，

可以求得M′₃(x)＝-(3x+4)，则d₃＝20；

则D₁＝d₂d₃＝1900，

D₂＝d₁d₃＝1520，

D₃＝d₁d₂＝7220，

根据多项式环Z[x]上基于通用系数发现算法的CRT非迭代算法，可得：

可计算出最终的秘密为：

s(x)＝f(x)mod m(x)＝x⁵+3x+5mod(x²)＝3x+5。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例可以通过软件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，上述实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明披露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。

Claims

1.一种利用通用系数发现GCF算法在非欧几里得环上实现秘密共享的方法，其特征在于，包括：

秘密分发阶段：秘密分发者O为每一参与者U_i在非欧几里得环上选取或构造一个公开的模多项式m_i(x)，不同参与者对应的模多项式两两互素；然后，结合模多项式m_i(x)与秘密信息s(x)为每一参与者U_i计算相应的s(x)的子秘密s_i(x)，并通过安全信道传送给对应参与者；其中，互素是指除了unit没有其他公因数或公因式；

秘密重构阶段：利用任意t个参与者的子秘密，得到相应的同余方程组，利用通用系数发现算法GCF计算出每一个参与者U_i对应参数，从而求解出同余方程组的解f(x)，并利用同余方程组的解f(x)恢复出秘密信息s(x)；其中，在秘密分发阶段i＝1，2，…，n，秘密重构阶段，i＝1，2，…，t，n为参与者总数，t为门限值；

其中，非欧几里得环包括：作为唯一分解环的多项式环R[x]，R表示可交换整环，x表示多项式的变量；利用通用系数发现算法GCF计算出每一个参与者U_i对应参数包括：针对非欧几里得环R[x]，利用R上的增广矩阵变换求解每一个参与者对应的相应参数M′_i(x)和d_i；或者，利用商域概念首先将R[x]扩展到QR[x]，QR为R的商域，然后利用QR[x]上的扩展欧几里得算法求解M_i(x)mod m_i(x)的乘法逆元M″_i(x)，最后将M″_i(x)转换为R[x]上的相应参数M_i′(x)和di；其中，参数M′_i(x)∈R[x]，d_i∈R，M_i(x)∈R[x]。

2.根据权利要求1所述的一种利用GCF算法在非欧几里得环上实现秘密共享的方法，其特征在于，结合模多项式m_i(x)与秘密信息s(x)为每一参与者U_i计算相应的子秘密s_i(x)包括：

首先，计算一个中间量f(x)：

f(x)＝s(x)+α(x)m(x)

其中，秘密分发阶段的中间量f(x)即为秘密重构阶段同余方程组的解f(x)，α(x)为随机选取的一个多项式且

m(x)为秘密信息s(x)的范围，阶deg(m(x))＝dg，且dg＞0；秘密信息s(x)的阶小于dg，即deg(s(x))＜deg(m(x))；deg(m(x))表示多项式m(x)关于x的阶，即次数；同时对于每个m_i(x)，i＝1，2，..，n，如果dg_i＝deg(m_i(x))，则各多项式次数满足dg≤dg₁≤dg₂≤…≤dg_n；

然后，为每一参与者U_i计算相应的子秘密s_i(x)：

s_i(x)＝f(x)mod m_i(x)。

3.根据权利要求2所述的一种利用GCF算法在非欧几里得环上实现秘密共享的方法，其特征在于，Z[x]为多项式环R[x]中的一种形式，Z表示整数环，Z[x]表示系数在Z上的多项式构成的环；

对于多项式环R[x]，定义各参与者对应的模多项式m₁(x)，m₂(x)，…，m_n(x)是R[x]上两两互素的模多项式；此情况下，s(x)∈R[x]，α(x)∈R[x]；

对于多项式环Z[x]，定义各参与者对应的模多项式m₁(x)，m₂(x)，…，m_n(x)是Z[x]上两两互素的模多项式；此情况下，s(x)∈Z[x]，α(x)∈Z[x]。

4.根据权利要求3所述的一种利用GCF算法在非欧几里得环上实现秘密共享的方法，其特征在于，利用任意t个参与者的子秘密，得到相应的同余方程组，表示为：

5.根据权利要求4所述的一种利用GCF算法在非欧几里得环上实现秘密共享的方法，其特征在于，针对非欧几里得环R[x]，GCF算法利用R上的增广矩阵变换求解每一个参与者对应的相应参数M′_i(x)和d_i，从而求解出同余方程组的解f(x)，步骤包括：

已知m_i(x)，M_i(x)∈R[x]互素，且m_i(x)＝a_ux^u+a_u-1x^u-1+…+a₁x+a₀，M_i(x)＝b_vx^v+b_v-1x^v-1+…+b₁x+b₀，deg(m_i(x))＝u，deg(M_i(x))＝v，其中的a、b表示m_i(x)、M_i(x)每一项的系数，下标与下标表示每一项的序号；令未知多项式为m′_i(x)，M′_i(x)∈R[x]且deg(m′_i(x))＜v，deg(M′_i(x))＜u；

依据m_i(x)与M_i(x)构造如下(u+v)维的矩阵A：

假设C为(u+v)维的单位矩阵，则增广矩阵(A|C)为：

如果增广矩阵(A|C)中矩阵A的第j行元素自左至右代表一个多项式p_j(x)从高次到低次的系数，j＝1，2，..，(u+v)；则(A|C)中单位矩阵C的第j行前v个元素按从高次到低次的次序构成了多项式r_j(x)的系数，而后u个元素按相同的次序构成了多项式s_j(x)的u个系数；相应地，增广矩阵(A|C)中第j行多项式p_j(x)满足：

p_j(x)＝m_i(x)r_j(x)+M_i(x)s_j(x)

对增广矩阵(A|C)做初等行变换，即对矩阵A与单位矩阵C做同步变换，使得矩阵A上三角化；由于m_i(x)与M_i(x)互素，变换后矩阵A的第(u+v)行仅包含最右边的一个非零元素，令最右边的一个非零元素为d_i∈R；而变换后单位矩阵C的第(u+v)行即给出了相应的m′_i(x)和M_i′(x)，使得m_i(x)m′_i(x)+M_i(x)M_i′(x)＝d_i，即M_i(x)M′_i(x)mod m_i(x)＝d_i∈R；

秘密共享方案中各个m_i(x)，i＝1，2，..，t两两互素，令

M_i(x)＝M(x)/m_i(x)，因此M_i(x)与m_i(x)互素；利用上述R上的增广矩阵变换方法，给定M_i(x)与m_i(x)∈R[x]，求得M′_i(x)以及d_i∈R，使得M′_i(x)M_i(x)mod m_i(x)＝d_i∈R；

令

D_i＝D/d_i，从而求解出上述同余方程组的解f(x)，即：

6.根据权利要求4所述的一种利用GCF算法在非欧几里得环上实现秘密共享的方法，其特征在于，GCF算法利用商域概念首先将R[x]扩展到QR[x]，QR为R的商域，然后利用QR[x]上的扩展欧几里得算法求解M_i(x)mod m_i(x)的乘法逆元M″_i(x)，最后将M″′_i(x)转换为R[x]上的相应参数M_i′(x)和d_i，从而求解出同余方程组的解f(x)，步骤包括：

定义m_i(x)与M_i(x)∈R[x]是已知系数在R上的首一互素多项式；如果M_i(x)M″_i(x)＝1modm_i(x)，称M″_i(x)为M_i(x)modm_i(x)在QR[x]上的乘法逆元，QR表示R的商域；在deg(M″_i(x))＜deg(m_i(x))条件下，M″_i(x)∈QR[x]有唯一解；由于m_i(x)与M_i(x)是互素的，必然存在唯一的m_i′(x)和唯一的M″_i(x)∈QR[x]使得m(x)m_i′(x)+M(x)M″(x)＝1成立；通过传统QR[x]上的扩展欧几里得算法得到乘法逆元M″_i(x)使得M_i(x)M″_i(x)≡1modm_i(x)成立，将M″_i(x)乘以所有系数分母的最小公倍数d_i∈R，最终得到M′_i(x)＝d_iM″_i(x)∈R[x]使得M_i(x)M′_i(x)＝d_imodm_i(x)；

令

D_i＝D/d_i，从而求解出同余方程组的解f(x)：

7.根据权利要求1～6任一项所述的一种利用GCF算法在非欧几里得环上实现秘密共享的方法，其特征在于，重构秘密信息的公式为：

s(x)＝f(x)mod m(x)

其中，m(x)为秘密信息s(x)的范围。