4、有限阿贝尔群上理想同态阈值方案的分类

有限阿贝尔群上理想同态阈值方案的分类

1. 引言

在密码学领域，秘密共享方案是保障信息安全的重要手段。一般秘密共享方案能将秘密（密钥）$k$的份额分配给特定个体，使得由访问结构指定的任何个体子集都能重新计算出该秘密。而阈值方案是一种特殊的秘密共享方案，其中$t$个个体可以重新计算出秘密，少于$t$个个体则无法做到。

许多阈值方案在有限域上运行，但在密码学中，像$Z_i$、椭圆曲线和$Z_{n + 1}$（具有雅可比符号 +1 的模$n$整数群）等结构也经常被使用。因此，在给出秘密的同时保持群运算就显得很有用。有限阿贝尔群上的同态阈值方案已在多个密码学方案中得到应用，例如用于设置秘密投票选举方案，现有的阈值认证（和阈值签名）方案也基于此。

为确保阈值方案的安全性，有完美阈值方案的概念。完美阈值方案在使用$t - 1$个份额时不会透露关于秘密$k$的任何信息。当一个阈值方案既完美又满足所有可能份额的集合$S$的基数$|S|$等于所有可能秘密（密钥）的集合$K$的基数$|K|$时，它被称为理想共享方案。

本文将研究密钥空间为有限阿贝尔群的理想同态阈值和一般共享方案。乍一看，这似乎只是早期结果的组合，但实际上我们能找到一些情况，当秘密（密钥）集合$K$构成群且要求阈值方案是同态时，不存在理想阈值方案，并且能给出无限多个这样的例子。

2. 背景和符号

• 阈值方案定义 ：阈值方案包含两个算法，一个用于为$I$个个体创建秘密密钥$k \in K$的份额，使得任何$t$个个体（$t$固定且$t \leq I$）可以使用第二个算法重新生成秘密，而少于$t$个个体则无法通过任何方法做到。更正式地，一个$2$ - 出 - $4$阈值方案满足以下条件：
  1. 对于任意$B \subseteq A$且$|B| = t - 1$，如果$H(k) \neq 0$，则$0 < H(k | s_B, K_A) \leq H(k)$，其中$H$是熵函数。
  2. 对于任意$B \subseteq A$且$|B| = t$，存在一个函数$v_{B, K_A}$使得$v_{B, K_A}(s_B) = k$。
     当对于任意$B \subseteq A$且$|B| = t - 1$都有$H(k | s_B, K_A) = H(k)$时，该方案称为完美方案。当一个共享方案既完美又满足$|K|/|S| = 1$时，它被称为理想共享方案。
• 同态阈值方案定义 ：设“$\cdot$”是$S$上的二元运算（即$S$在“$\cdot$”下封闭），“$ $”是$K$上的二元运算。如果对于每个$B \subseteq A$且$|B| = t$，$\psi_{B, K_A}$是从$S^t(\cdot)$到$K( )$的同态，则该阈值方案称为同态阈值方案。

这些定义可以很容易地修改为允许任何访问结构的一般共享方案。

3. 份额的结构

在理想一般共享方案中，当密钥空间$K(*)$是一个群时，我们来分析份额空间$S(\cdot)$的结构。同态阈值方案的定义非常宽泛，甚至没有说明$S(\cdot)$是否具有特殊性质，如同为群。

定理 1 ：如果理想同态$t$ - 出 - $I$阈值方案的密钥空间$K( )$是一个有限群，那么份额空间$S(\cdot)$与$K( )$同构。
证明 ：在任何理想阈值方案中，当$s_{i_1}, \cdots, s_{i_t} \in S$时，$s_B = (s_{i_1}, \cdots, s_{i_t})$是一个有效的份额元组。由于方案是完美的，任何$t$个元素的组合都可以作为$t$个份额。
设$s \in S$且$v_{B, K_A}(s, \cdots, s) = k \in K$。因为方案是完美的，$v_{B, K_A}(s, \cdots, s, s) = k$。由于$s \cdot S = S$且$S$是有限的，对于每个$x \in S$，存在一个元素$e_x$使得$x \cdot e_x = x$。可以证明$e_x$是右单位元，同理可证左单位元，所以存在单位元$1 \in S$。
定义$\varphi_{i, B, K_A}(z) = v_{B, K_A}(1, \cdots, 1, z)$，其中$z$是第$i$个份额。$\varphi_{i, B, K_A}$是从$S$到$K$的同态，且由于方案是完美的，它是满射。又因为$|S| = |K|$，所以$\varphi_{i, B, K_A}$是双射。由此可以推出$S(\cdot)$是结合的，因此$S(\cdot)$是一个群。

推论 1 ：如果理想同态单调一般共享方案的密钥空间$K( )$是一个有限群，那么份额空间$S(\cdot)$与$K( )$同构。

下面用一个 mermaid 流程图来展示定理 1 的证明过程：

graph TD;
    A[开始] --> B[确定有效份额元组];
    B --> C[找到单位元];
    C --> D[定义同态映射];
    D --> E[证明同态映射是双射];
    E --> F[推出份额空间是群];
    F --> G[结束];

4. 分类

在任何阈值方案中，根据相关研究，存在关于$I$的一个界：$I_{MAX} \leq |K| + t - 2$。利用定理 1 可以找到理想同态阈值方案的$I_{MAX}$的界。

定理 2 ：设$K( )$是一个有限阿贝尔群。存在密钥空间为$K( )$的理想同态$t$ - 出 - $I$阈值方案，当且仅当对于$K( )$的每个西罗子群$G( )$，都存在密钥空间为$G( )$的理想同态$t$ - 出 - $I$阈值方案。
证明 *：已知每个阿贝尔群$K$都同构于$G_1 \times G_2 \times \cdots \times G_c$，其中$G_i$是$K$的所有不同西罗子群。根据定理 1，$s_i \in S$对应于$(s_i^1, s_i^2)$（$1 \leq i \leq I$）。可以证明对于每个西罗子群都有相应的理想同态阈值方案，并且如果每个$G_i$都存在理想阈值方案，那么对于密钥空间$K \cong G_1 \times G_2 \times \cdots \times G_c$也存在理想阈值方案。

推论 2 ：存在无限多个阿贝尔群$K$，当$I > 2$时，即使$I < |K|$且$t = 2$，也不存在理想同态阈值方案。
证明 ：设$K(*) \cong Z_{q_1} \times Z_{q_2} \times \cdots \times Z_{q_c}(+)$，其中$q_i \neq 2$是素数且$q_i \neq q_j$（$i \neq j$）。根据相关研究，在$K$上的阈值方案中，$I_{MAX} \leq |K| + t - 2$。当$t = 3$时，对于这样的$K$，在理想同态阈值方案中$I \leq 2$。

推论 3 ：设$K(*) $是一个有限阿贝尔群。存在密钥空间为$K$的理想同态单调一般共享方案，当且仅当对于$K$的每个西罗子群$G$，都存在密钥空间为$G$的理想同态单调一般共享方案。

推论 4 ：设$K(*) $是一个有限阿贝尔群。如果存在密钥空间为$K$的理想同态$t$ - 出 - $I$阈值方案，那么对于$K$的每个特征子群$G$，都存在密钥空间为$G$的理想同态$t$ - 出 - $I$阈值方案。

下面通过一个表格来总结这些定理和推论：
| 定理/推论 | 内容 |
| ---- | ---- |
| 定理 1 | 理想同态$t$ - 出 - $I$阈值方案中，若密钥空间是有限群，份额空间与之同构 |
| 推论 1 | 理想同态单调一般共享方案中，若密钥空间是有限群，份额空间与之同构 |
| 定理 2 | 存在密钥空间为$K$的理想同态$t$ - 出 - $I$阈值方案，当且仅当$K$的每个西罗子群都存在相应方案 |
| 推论 2 | 存在无限多个阿贝尔群，在特定条件下不存在理想同态阈值方案 |
| 推论 3 | 存在密钥空间为$K$的理想同态单调一般共享方案，当且仅当$K$的每个西罗子群都存在相应方案 |
| 推论 4 | 若存在密钥空间为$K$的理想同态$t$ - 出 - $I$阈值方案，则$K$的每个特征子群都存在相应方案 |

通过以上内容，我们对有限阿贝尔群上理想同态阈值方案的结构和分类有了更深入的了解。这些结果有助于我们在实际应用中更好地设计和选择合适的秘密共享方案，提高密码系统的安全性和效率。在后续部分，我们将探讨几何一般共享方案与同态一般共享方案之间的联系。

有限阿贝尔群上理想同态阈值方案的分类

5. 一般同态共享方案

在前面的内容中，我们深入探讨了有限阿贝尔群上理想同态阈值方案的结构和分类。接下来，我们将建立几何一般共享方案与同态性质之间的联系。

利用有限射影几何，已经开发出一种为任何单调访问结构创建共享方案的方法。下面我们简要回顾一下该方案的内容：在这个共享方案中，一个公共超平面$V_d$与一个秘密超平面$V_s$相交于一个点，这个点就是秘密。点会被分配给每个股东，并且要满足两个条件。其一，当由访问结构允许的一组股东共同协作时，他们能够生成秘密超平面$V_s$；其二，当一组不被访问结构允许的股东共同协作时，他们无法获得关于秘密点的任何信息。

引理 1 ：设$K( )$是任何有限阿贝尔群。上述一般共享方案能诱导出一个密钥空间为$K$的完美同态共享方案。
证明 *：我们对之前开发的方案进行修改。在原方案中，分发者给股东${j_1, \cdots, j_{|B|}}$分配一个点$p_i$，而在这里，分发者会给股东${j_1, \cdots, j_{|B|}}$分配$S_i \in K$。设原方案中这样的点$p_i$的总数为$m$，那么$\prod_{1\leq i\leq m} s_i = k$，其中$k$是秘密，并且$s_1, \cdots, s_{m - 1}$已经被选定。

为了更清晰地展示这个证明过程，我们用一个列表来详细说明：
1. 方案修改 ：将原方案中分配给股东的点$p_i$替换为$S_i \in K$。
2. 份额关系 ：根据原方案中所有点$p_i$的关系，确定新方案中份额$s_i$的关系，即$\prod_{1\leq i\leq m} s_i = k$。
3. 完美性证明 ：由于原方案满足当不被允许的股东组合协作时无法获得秘密信息，修改后的方案同样继承了这一特性，所以新方案是完美的。
4. 同态性证明 ：对于$K$中的元素，根据群的运算规则，份额的“乘积”对应着秘密的“乘积”，满足同态的定义，所以新方案是同态的。

下面用一个 mermaid 流程图来展示引理 1 的证明流程：

graph TD;
    A[开始] --> B[修改方案，分配份额];
    B --> C[确定份额关系];
    C --> D[证明方案完美性];
    D --> E[证明方案同态性];
    E --> F[结束];

6. 总结与展望

通过对有限阿贝尔群上理想同态阈值和一般共享方案的研究，我们取得了一系列重要的成果。

在结构方面，我们证明了在理想同态阈值方案中，若密钥空间是有限群，份额空间与之同构。这一结论为我们理解秘密共享方案中份额和密钥之间的关系提供了重要的理论基础。

在分类方面，我们得出存在密钥空间为$K$的理想同态$t$ - 出 - $I$阈值方案的充要条件是$K$的每个西罗子群都存在相应方案。同时，我们还发现存在无限多个阿贝尔群，在特定条件下不存在理想同态阈值方案。这些结果有助于我们在实际应用中根据不同的需求和条件，选择合适的秘密共享方案。

在与几何一般共享方案的联系方面，我们证明了利用有限射影几何开发的一般共享方案能诱导出完美同态共享方案。这为我们提供了一种新的构建同态共享方案的方法，拓宽了我们在密码学领域的研究思路。

然而，我们的研究仍有一些可以进一步探索的方向。例如，我们可以研究如何在实际应用中更高效地实现这些理想同态共享方案，减少计算复杂度和通信开销。另外，我们可以考虑将这些方案应用到更多的实际场景中，如云计算、物联网等领域，以提高这些领域的信息安全性。

总之，有限阿贝尔群上理想同态阈值和一般共享方案的研究具有重要的理论和实际意义。我们相信，随着研究的不断深入，这些方案将在密码学和信息安全领域发挥更大的作用。

为了方便大家回顾本文的主要内容，下面用一个表格来总结：
| 研究内容 | 主要成果 |
| ---- | ---- |
| 份额结构 | 理想同态阈值方案中，密钥空间为有限群时，份额空间与之同构 |
| 方案分类 | 存在密钥空间为$K$的理想同态$t$ - 出 - $I$阈值方案，当且仅当$K$的每个西罗子群都存在相应方案；存在无限多个阿贝尔群在特定条件下不存在理想同态阈值方案 |
| 与几何方案联系 | 有限射影几何的一般共享方案能诱导出完美同态共享方案 |
| 未来展望 | 研究高效实现方案的方法，将方案应用到更多实际场景 |

希望本文的内容能为对密码学和秘密共享方案感兴趣的读者提供有价值的参考，激发更多的研究和探索。