安全公平理性秘密共享方案

周全兴 吴冬妮 李秋贤

摘要：传统秘密共享方案因未考虑参与者的自利行为而导致方案的效率较低。为了提高秘密共享的通信效率和安全性，结合博弈论与双线性映射技术，设计公平的理性秘密共享方案。首先，在博弈论框架下引入理性参与者并设计理性秘密共享博弈模型;其次，利用双线性映射技术保证方案和理性参与者的可验证性和公平性;最后，通过对方案进行性能分析，表明了该方案不仅保证了安全性，并且有较高的秘密共享通信效率。

关键词： 理性秘密共享; 博弈论; 双线性映射; 公平性; 通信效率

Abstract：Traditional secret sharing schemes do not take into account the self-interested behavior of participants， which leads to low efficiency of the scheme. In order to improve the communication efficiency of secret sharing， game theory and bilinear mapping technology are combined to design a fair and rational secret sharing scheme. Firstly， introduce rational participants and design a rational secret sharing game model under the framework of game theory. Secondly， this paper uses bilinear mapping technology to ensure the verifiability and fairness of the solution and rational participants. Finally， the performance analysis of the scheme shows that the scheme not only guarantees safety， but also has higher communication efficiency.

Key words： rational secret sharing; game theory; bilinear pairings; fairness; communication efficiency

1 引言

近年来，秘密共享[1]已成为现代密码学的重要研究领域，在研究各类密码协议中起着越来越重要的作用。秘密共享的基本思想是存在秘密擁有者将秘密进行分割，随后发送给不同的参与者，这些参与者的某些子集可以将子秘密进行重构，而其他参与者无法重构秘密也不能获取有关秘密的任何信息。

秘密共享是由著名密码学家Shamir[2]和Blakley[3]基于拉格朗日插值多项式和射影几何理论首次提出的。基于传统的秘密共享方案，众多研究学者结合博弈理论提出了理性秘密共享方案[4-6]。2010年，Ishai等[7]利用博弈论设计了服务器与客户机模式下的安全秘密共享方案，并证明了方案的安全性。2011年，Tian等[8]在提出第三方概念的基础上，设计了理性秘密共享重构机制，并保证方案的高通信率。2016年，Gordon等[9]在实现方案公平性基础上，利用全同态加密技术减少了秘密共享的轮复杂度。2019年，Zhang等[10]利用门限秘密共享技术设计区块链分片存储模型，保证了秘密共享数据的安全性与隐私性。

本文针对秘密共享中存在较高通信率，以及参与者存在自利行为的问题，提出公平的理性秘密共享方案。根据参与者的自利行为，基于博弈论分析理性参与者的行动策略，并设计理性博弈模型。再利用双线性映射技术保证秘密共享方案的安全性和公平性，从而提高秘密共享的通信效率。

2 预备知识

2.1 博弈论

博弈论[11]表达式由参与者[P]、策略集合[S]和效用函数[u]三个要素组成，即[G=P，S，u]。

2.2 双线性映射

设[G1]和[G2]分别为[q]阶的加法循环群和乘法循环群，[g，Q]为群[G1]的生成元，且[G1=G2=p]具双线性性质：对于任意[P1，P2∈G1]和[a1，a2∈Z?q]，满足等式[ePa11，Pa22=eP1，P2a1a2]。

3 理性秘密共享模型

本文设计的公平理性秘密共享博弈模型由理性参与者、参与者不同的策略集合和参与者通过采取不同策略取得的效用函数组成。其中理性参与者包括理性秘密分发者[D]和秘密重构者[P=P1，...，Pn]。参与者的策略集合分为秘密分发者[D]的策略，即是否诚实的将秘密进行分发，策略集合可形式化为[D+，D-]，[D+]表示诚实分发真实秘密，[D-]表示虚假分发假的秘密;秘密重构者[P=P1，...，Pn]的策略集合为[P+，P-]，[P+]表示秘密恢复者选择诚实的恢复正确秘密，[P-]表示参与者偏离协议选择恶意行为不发送或不恢复正确秘密。根据参与选择不同的行为策略，秘密分发者的效用函数为[u+D，u-D]，秘密恢复者的效用函数为[u+P，u-P]。理性参与者的效用函数如表1所示。

4 公平理性秘密共享方案

4.1 初始化阶段

本文构造的公平理性秘密共享方案存在理性秘密分发者[D]，理性秘密恢复者[P=P1，...，Pn]，当且仅当[t0

4.2 秘密分发

根据设计的理性秘密共享博弈模型，结合双线性映射技术构造公平的理性秘密共享方案。秘密分发者[D]将秘密[S]进行分割为子秘密[S1，...，Sm]，其中[S∈G1]，分发者将秘密[S]承诺并对外公布承诺值[CS]，其中[CS=eg，QS]，随之将子秘密发送至秘密恢复者[P=P1，...，Pn]。

4.3 秘密恢复

理性参与者接收到子秘密[S1，...，Sm]后，通过分发者公布的承诺值[CS]对子秘密进行验证。若验证通过，各理性参与者[Pii=1，...，n]利用拉格朗日插值多项式对秘密[S]进行恢复。此时若有参与者偏离协议不恢复或不发送正确的子秘密，根据设计的博弈模型将得到效用[u-D，u-P]，且参与者将受到大于参加本协议消耗的处罚。只有当参与者都诚实的分发和恢复子秘密，他们才会得到效用[u+D，u+P]，且根据博弈论可知此时所有理性参与者效用最大。

5 方案分析

5.1 公平性分析

定理1：在博弈论框架下，当所有理性参与者都不偏离协议执行方案时，方案中参与者的效益最大且能恢复出正确秘密并满足其公平性。

证明：在方案执行阶段，当理性秘密分发者选择诚实分发秘密且秘密恢复者发送正确子秘密，则获得效用为[u+D，u+P]，如若其中一方选择偏离协议则得到效用[u+D，u-P]或[u-D，u+P]，当两方都存在偏离协议的行为则得到效用[u-D，u-P]。因为博弈论中的囚徒困境可知效用[u+D，u+P]的效益最大，所以只有理性参与者都选择诚实的执行协议才能取得最大收益，且对所有理性参与者都是公平的并能恢复正确秘密。

5.2 安全性分析

定理2：本方案的安全性基于双线性映射技术，在理性秘密共享方案中，群[G1]上的秘密[S]的承诺值[CS]满足其安全性的要求。

证明：假设存在秘密[S∈Z?q]且[S≠S]，使得承诺值[CS=CS]，则根据双线性映射的双线性性质可得[eg，QS=eg，QS]，又因为[g，Q]为群[G1]的生成元，[q]为群[G1]的阶，所以存在[qg=0]且[qQ=0]，即可得到[Sg=Sg]，这与[S≠S]相矛盾，且双线性映射的计算性Diffie-Hellman问题是难解的，所以本方案满足其安全性要求。

6 总结

本文是结合博弈论设计的安全公平的理性秘密共享方案，为了实现方案的公平性与安全性，先构造了理性秘密共享博弈模型，利用效用函数制约理性参与者的策略行为，使其不选择偏离协议的恶意行为。其次利用双线性映射技术保证了方案的安全性。方案满足了其公平性与安全性，实现了高效的秘密共享。

参考文献：

[1] Cheraghchi M. Nearly optimal robust secret sharing[J]. Designs， Codes and Cryptography， 2019.

[2] Communications of the ACM， 1979， 22（11）： 612–613.

[3] BLAKLEY G R. Safeguarding cryptographic keys[A]. Proceedings of the National Computer Conference[C]. Germany： Springer-Verlag，1979， 48： 313-317.

[4] Gen P C， Liang T Y， Hai L， et al. A Survey on the Intersection of Cryptography and Game Theory[J]. Journal of Cryptologic Research， 2017.

[5] 许春香.安全秘密共享及其应用研究[D].西安电子科技大学，2003.

[6] 张恩，蔡永泉.一种新的理性秘密共享方案[J].中国通信（英文版）， 2010（4）：26-30.

[7] ISHAI Y， KUSHILEVITZ E， PASKIN A. Secure multiparty computation with minimal interaction[C]. In： Advances in Cryptology—CRYPTO 2010. Springer Berlin Heidelberg， 2010： 577–594.

[8] 田有亮，王雪梅，劉琳芳.基于马尔可夫决策的理性秘密共享方案[J].通信学报，2015，36（9）： 222–229.

[9] GORDON S D， LIU F H， SHI E. Constant-round MPC with fairness and guarantee of output delivery[C]. In：Annual Cryptology Conference. SPringer Berlin Heidelberg， 2015： 63–82.

[10] 张国潮，王瑞锦.基于门限秘密共享的区块链分片存储模型[J].计算机应用，2019，39（9）：2617-2622.

[11] 周全兴，李秋贤，樊玫玫.基于智能合约的三方博弈防共谋委托计算协议[J].计算机工程，2020，46（8）：124-131，138.

【通联编辑：代影】