“把C(0)从4改成5、其余保持，在线结果变成xy+1=7。这个错误的C仍是一条合法的一次多项式，完全可以被可验证秘密共享诚实分发并通过每份局部检查。逐份一致性没有证明C(0)=A(0)B(0…”
形式陈述
一份份额怎样说明自己属于同一条多项式
Shamir共享保证诚实生成的足够多份额能恢复秘密，但一名接收者不能单靠自己的数值判断其他人拿到的是否一致。Pedersen方案增加公共系数承诺和一份盲化值，使接收者可以局部检验；通过检验的不同授权子集应重构同一个秘密。[1，§4.1]
取素数阶群G=⟨g⟩，阶为q，另取非单位元h∈G。公开参数和离散对数困难假设沿用Pedersen承诺：绑定攻击者不持有α=log_g h，也不能高效求出它；群成员检查只能验证代数合法性，不能证明没人知道α。所有标量采用F_q的规范编码，所有公共承诺须通过群成员验证，承诺值本身允许为单位元。
这里用t表示多项式次数上界，重构门限为k=t+1。取n≥k个互异非零坐标β₁,…,βₙ∈F_q。诚实分发者持有s，独立均匀选择a₁,…,a_t、b₀,…,b_t，设
将a₀记为s。分发者广播同一份向量
并通过私密认证信道给参与方Pᵢ发送(sᵢ,rᵢ)=(F(βᵢ),R(βᵢ))。接收者在检查编码后接受，当且仅当
这个等式允许接收者验证自己的两个数，却不要求公开它们。诚实份额总通过，因为右侧指数分别是F(βᵢ)和R(βᵢ)。在计算绑定条件下，任意两组各k份通过检验的份额，恢复出的秘密相同，除非发生可忽略概率的离散对数攻击。[1，Lemma4.2、Theorem4.3]
局部一致性和整体可用性各需什么
上面的条件式结论只说：已经拿到k份合法份额，就能得到一致结果。它没有保证有人愿意交出份额。若希望至多t名参与者在重构时完全拒绝发送，剩余诚实方仍有k份可用，须进一步要求n−t≥t+1，即n≥2t+1。
下面给出一个采用该人数界的同步包装。它使用固定会话、唯一参与者身份、可靠私密认证投递及可靠广播；广播使所有诚实方看见相同内容，轮末缺消息可被共同判定。分发者可以恶意，另有至多t名参与者恶意。这些信道是模型输入，不在这里实现。
原论文的局部验证是非交互的；本页的投诉修复额外增加交互，目的是明确接受、中止和可用性出口。它不把一次份额检查直接称为完整恶意安全MPC。
直觉
两条多项式一起遮住系数
Cⱼ并不是g^{aⱼ}：额外的h^{bⱼ}隐藏每个系数。接收者收到两条多项式在同一点的值，将它们一起放入承诺，恰好能和公共向量计算出的“该点承诺”比较。
重要的是，大家必须比较同一份公共向量。若分发者能向不同接收者展示不同的C，每个人都可能通过各自的等式，却谈不上属于同一个共享。这正是公共广播合同承担的工作。
接受不等于知道分发者心中的秘密
恶意分发者没有义务诚实报告自己的心理意图。协议能固定的是：已接受份额共同确定的重构值。要求它等于某个事先承诺的外部值，还需把那个承诺与本次C₀绑定到同一接口。
若把盲化去掉，改用g^{aⱼ}，局部检验仍有相似形式，但g^s直接公开。秘密若只可能为0或1，观察者比较1和g便能辨别，根本不需要解一般离散对数。隐藏系数是本构造的一项实质职责。
例子与边界
模11的三份记录
取模23乘法群中的11阶子群，g=2、h=13；秘密多项式和盲化多项式为
坐标为1、2、3，得到公共承诺(C₀,C₁)=(13,9)，三份秘密记录分别为(7,7)、(10,1)、(2,6)。三个验证等式两侧的群元素依次是2、18、1。例如第二份有
两份重构用拉格朗日插值。取坐标1、2，零点权重为2、−1，秘密为2·7−10=4，盲化常数为2·7−1=13≡2。换用任意另外一对，结果仍是(4,2)。
这个小群和固定多项式只供公开离线复算。群太小，可直接求离散对数，不能把例子中的参数或随机值当安全密钥。
四步投诉修复
- 分发者可靠广播C，并私发各坐标记录。公共参数、向量或公共编码不合法时共同中止。
- 每个诚实方广播OK或COMPLAINT：缺记录或局部验证失败就投诉。一个身份只对应自己的坐标，不能替别的坐标新增投诉；恶意方可以撒谎或不发状态，不发按投诉处理。
- 若投诉集合Q的大小大于t，所有诚实方中止。否则分发者对每个i∈Q可靠广播修复对(sᵢ,rᵢ)。缺修复或任何修复对验证失败，也共同中止。
- 投诉者采用通过检验的公共修复；没有投诉的诚实方保留原合法记录。所有诚实方接受。恶意方即使说OK却实际没有合法记录，也不改变诚实方的这项结论。
将第二份改成(0,1)，它会验证失败。Q={2}时，分发者公布真正的(10,1)，修复成功。若同时缺第一份和第二份，Q={1,2}且t=1，直接中止。若第三方恶意地为自己的合法份额投诉，只会公开它本来已经知道的第三份。
进入重构阶段后，参与方广播带身份的份额对。先逐一检查公共等式，舍弃错误、缺失或重复身份，再从合法的互异坐标取k份插值；不到k份返回INSUFFICIENT。附件对重复身份直接拒绝整份输入，避免把一次发送重复计为两票。上述强人数界保证，即使全部t名恶意方沉默，n−t名诚实方仍足够；不满足该人数界时只能保留条件式重构结论。
知道陷门会发生什么
教学参数满足h=2⁷，所以α=7。把第二份从(10,1)改成(0,4)，有10+7·1≡0+7·4 mod11，两份打开对应同一个群元素。新对仍通过局部检查。
用第一份和这份伪造记录重构，得到秘密3、盲化常数10；用第一份和第三份重构仍得到(4,2)。它们都打开C₀，因而恢复
这是可靠性定理的条件边界：接受不一致份额会给出离散对数解，但小群或已泄露α的参数并不满足困难假设。不能让分发者选择h=g^α并保留α，再仅凭群成员检查宣称绑定成立。
推论与应用
不同重构值给出一个高效归约
任取k份合法记录，设零点拉格朗日权重为λᵢ。对每个次数j≤t，有Σλᵢβᵢ^j等于j=0时的1、其余时候的0。把各验证等式取λᵢ次幂后相乘，得到
所以每个合法子集都给出C₀的一次打开(s,r)。若两个子集的秘密s≠s′，承诺的双打开归约立即输出α=(s−s′)/(r′−r)。分母不可能为零，否则非零s−s′会使g的幂等于单位元。[1，Lemma4.2、Theorem4.3]
发现不一致不必枚举所有子集。先用最早k份合法秘密值插值为F，再逐个检查其余合法点。若某点不在F上，用它替换原子集的最后一个点；两条次数至多t的多项式在其余t个非零坐标相同，在新增坐标不同，因此它们的零点值不同。这样就找到两份不同打开，可在多项式时间内完成归约。
归约按离散对数挑战的原参数运行作恶者、收集其实际发送记录并执行上述检查，不需要猜哪一个子集会坏。它保证的是可计算攻击者无法高概率制造不一致，未承诺对计算无界分发者也可靠。
隐藏要把公共承诺一起算进去
固定诚实分发者、任意秘密s，以及m≤t个腐化坐标。完整分发视图是(C₀,…,C_t,(sᵢ,rᵢ)ᵢ∈B)。仅说明每个Cⱼ均匀或每个sᵢ均匀，不足以证明它们的联合分布与s无关。
为计数，可在证明中写eⱼ=log_g Cⱼ和α=log_g h；这不是要求实际验证器去解离散对数。固定一个合法视图和任意候选s，满足F(0)=s及m个已知F值的系数选择恰有q^{t−m}种。每一种F都唯一确定
这些bⱼ组成的R在腐化坐标恰好给出已知rᵢ，因为该视图的局部验证等式已经成立。原抽样总共有q^{2t+1}份等可能随机带，所以每个合法视图的概率为
与s无关；不合法视图概率为零。这是含公共承诺的完美隐藏，覆盖t=0、m=0和任意秘密先验。[1，Theorem4.4]
诚实分发者下，诚实接收者不会投诉，所以投诉只能来自腐化身份。公开修复只重复这些腐化方已经持有的坐标记录；状态、修复和中止决定是其原视图与自身随机币的后处理，不扩大秘密信息。这里绝不能换成“再任意公开t份”：t=1时，已知第一份再公开诚实第二份就足以恢复秘密。
实际操作量与用途
令k=t+1。用Horner法分发两条多项式需O(nk)次域操作，另生成k个承诺。一次局部验证需O(k)次群幂及乘法；用二进制幂算法，是O(k log q)次群乘法。附件为每次调用重新检查公共向量成员，仍在这个量级内；坐标表用散列索引，按期望常数查询计。
投诉包装及全部份额过滤需O(nk log q)次群操作级工作，插值两个零点再需O(k²)次域乘加及O(k)次求逆。存储公共向量和整场参考轨迹为O(n+k)个群/域元素。这里把一次域运算和群乘法分开作为原语；大整数位费用与安全参数生成不是常数。本下载器只为小例用试除验证p/q，另需O(√p+√q)次整数试除，不是生产参数生成算法。
该机制适合检验门限备份或共享输入的一致性。对三个秘密a、b、c分别共享并全部验证，并不证明c=ab；乘法三元组还需要正确的跨秘密相关性。综合练习要求实际修复第二份、过滤伪造重构、提取教学陷门，并构造“各份额都合法但乘积偏1”的反例。
参考资料
- Torben Pryds Pedersen，Non-Interactive and Information-Theoretic Secure Verifiable Secret Sharing，CRYPTO’91，LNCS576，Springer，1992，pp.129–140。§§2–3固定群与承诺；§4.1 Definition4.1、§4.2 Lemma4.2和Theorems4.3/4.4，印刷pp.132–135；§4.3比较隐藏与可靠性。本文明确另给同步投诉修复包装，未把它归为原论文的非交互步骤。