秘密共享

秘密共享不是把秘密简单切成片段，而是将它编码进带随机自由度的整体结构，形成多份通常含有随机掩码信息的 share。授权集合拥有足够多的片段，可以消除随机性并确定秘密；未授权集合的片段不足，联合分布与秘密无关，使观察前后的秘密分布相同：先验若偏向某些秘密，后验仍保持这种偏向，并不会变成均匀分布。门限方案只按 share 数量决定授权，更一般访问结构则可表达组织角色。

Shamir：重构与隐私是两个证明 ​

取整数 $1\le t\le n\le q-1$，在有限域理路有限域Finite field · Galois field底层集合有限的域。 ${\mathbb{F}}_q$ 中选 $n$ 个互异非零坐标 ${\alpha }_i$。给定秘密 $s$，独立均匀抽取全部系数 $a_1,\dots ,a_{t-1}\leftarrow {\mathbb{F}}_q$，令

次数是至多 $t-1$：每个系数在整个域上均匀抽取，包括零。由任意域上的插值定理理路多项式插值问题Polynomial interpolation由互异节点上的有限数据唯一确定次数受限的插值多项式，并区分对象存在性与具体表示算法。，任意 $t$ 个互异点唯一确定次数至多 $t-1$ 的多项式，故可插值求出 $f(0)=s$。当 $t=1$ 时，$f(X)=s$，无需随机系数，任意一份即可重构。

对任意 $m<t$ 个坐标，给定这 $m$ 个份额值及任意候选秘密 $s$，求值约束对 $t-1$ 个随机系数的秩为 $m$：前 $m$ 列组成对角因子非零的 Vandermonde 矩阵。因此恰有 $q^{t-1-m}$ 组系数满足约束，每个份额向量的概率为 $q^{t-1-m}/q^{t-1}=q^{-m}$，与 $s$ 无关。这一计数同时给出每个候选秘密的解释及其相同的观察概率；$m=0$ 时，空份额向量的概率为 $1$，也覆盖 $t=1$ 的未授权集合。

图中的 ${\mathbb{F}}_7$ 例取 $s=3,a_1=2$，得到 $f(X)=3+2X$，在 $1,2,3$ 处的份额为 $(5,0,2)$。前两份给出斜率 $(0-5)/(2-1)=2$ 和截距 $5-2=3$。但只见 $f(1)=5$ 时，每个候选秘密 $s^{\prime }$ 都恰对应斜率 $5-s^{\prime }$，观察概率皆为 $1/7$；只有先验本来均匀时，七个秘密的后验才同为 $1/7$。

三份加法共享：均匀分布在仿射平面上 ​

另一种适合求和的方案抽 $R_1,R_2\leftarrow {\mathbb{F}}_q$，置 $R_3=s-R_1-R_2$。三份相加恢复 $s$；整个向量在平面 $r_1+r_2+r_3=s$ 的 $q^2$ 个点上均匀。任取两个坐标及其值，对每个 $s$ 都恰有一个第三坐标，因此任意两份的联合概率都是 $q^{-2}$，与秘密无关；单份自然也不泄漏秘密。这是三份全齐才授权的方案，与 $(2,3)$ Shamir 的门限不同。

固定任意一份之后，另外两份仍保留一个自由均匀坐标，这个仿射自由度正是三方求和模拟证明理路安全多方计算Secure multiparty computation · MPC以理想功能规定允许泄漏，用完整视图的模拟证明多方计算没有额外泄漏。使用的工具。该协议还公开列和，完整的安全证明将这些后续消息与分发份额一起纳入联合视图。

基本秘密共享不自动检测伪造份额、恶意分发者或参与者撒谎，这些任务需要认证、纠错或可验证秘密共享等额外机制。重复使用同一掩码共享不同秘密也可能泄漏它们之间的关系。

Pedersen可验证共享理路Pedersen可验证秘密共享Pedersen verifiable secret sharing · Pedersen VSS用一组隐藏系数承诺检查Shamir份额，证明接受子集重构一致与完整公开视图的隐藏，并执行投诉修复、无效份额过滤及陷门反例。把公共系数承诺与每个坐标的双份额相连：接收者可局部检验，足够多合法份额恢复一致秘密；若还要容忍参与者拒绝重构，须另满足可用人数条件。一次性三元组乘法理路Beaver三元组乘法Beaver triple multiplication · Multiplication triples借助一次性随机乘法三元组，只打开两个掩码差值并用局部线性修正输出积共享，给出含预处理份额及全部广播的单次完美模拟。则用预先共享的随机积，将非线性门化成两个差值打开和局部线性修正，保持Shamir次数。前者检验份额一致性，后者另以正确的预处理相关性为前提；不能把前者当作c=ab的证明。

秘密共享用于门限密钥、分布式备份、安全多方计算和拜占庭协议。一般单调访问结构可由线性秘密共享等方法实现，份额大小和重构复杂度则随结构而变。

完美保密理路完美保密Perfect secrecy对每种消息先验，观察密文都不改变消息分布的无条件安全定义。描述未授权集合的无信息性，Reed–Solomon 码理路Reed–Solomon 码Reed–Solomon code以低次数多项式在互异域元素处的取值向量形成的最大距离可分码。的多项式求值解释恢复与鲁棒性。若秘密或设备随机源只具有条件最小熵理路最小熵Min-entropy · Rényi min-entropy由最可能结果的概率定义、直接刻画单次最优猜测成功率的信息量。，可在协议另行验证种子独立和旁信息条件后使用提取器理路有种子随机性提取器Seeded randomness extractor · Seeded extractor用独立均匀短种子把任意高最小熵弱源映为统计上接近均匀的输出。做隐私放大；这不是基本秘密共享正确性或隐私定义的硬前置。安全多方计算理路安全多方计算Secure multiparty computation · MPC以理想功能规定允许泄漏，用完整视图的模拟证明多方计算没有额外泄漏。常在 share 上直接做加法/乘法。