秘密共享

秘密共享不是把秘密简单切成片段，而是将它编码进带随机自由度的整体结构，形成多份通常含有随机掩码信息的 share。授权集合拥有足够多的片段，可以消除随机性并确定秘密；未授权集合的片段不足，联合分布与秘密无关，使观察前后的秘密分布相同：先验若偏向某些秘密，后验仍保持这种偏向，并不会变成均匀分布。门限方案只按 share 数量决定授权，更一般访问结构则可表达组织角色。

Shamir：重构与隐私是两个证明 ​

取整数 $1\le t\le n\le q-1$，在有限域公理库有限域Finite field · Galois field底层集合有限的域。 ${\mathbb{F}}_q$ 中选 $n$ 个互异非零坐标 ${\alpha }_i$。给定秘密 $s$，独立均匀抽取全部系数 $a_1,\dots ,a_{t-1}\leftarrow {\mathbb{F}}_q$，令

次数是至多 $t-1$：每个系数在整个域上均匀抽取，包括零。由任意域上的插值定理公理库多项式插值问题Polynomial interpolation由互异节点上的有限数据唯一确定次数受限的插值多项式，并区分对象存在性与具体表示算法。，任意 $t$ 个互异点唯一确定次数至多 $t-1$ 的多项式，故可插值求出 $f(0)=s$。当 $t=1$ 时，$f(X)=s$，无需随机系数，任意一份即可重构。

对任意 $m<t$ 个坐标，给定这 $m$ 个份额值及任意候选秘密 $s$，求值约束对 $t-1$ 个随机系数的秩为 $m$：前 $m$ 列组成对角因子非零的 Vandermonde 矩阵。因此恰有 $q^{t-1-m}$ 组系数满足约束，每个份额向量的概率为 $q^{t-1-m}/q^{t-1}=q^{-m}$，与 $s$ 无关。这一计数同时给出每个候选秘密的解释及其相同的观察概率；$m=0$ 时，空份额向量的概率为 $1$，也覆盖 $t=1$ 的未授权集合。

图中的 ${\mathbb{F}}_7$ 例取 $s=3,a_1=2$，得到 $f(X)=3+2X$，在 $1,2,3$ 处的份额为 $(5,0,2)$。前两份给出斜率 $(0-5)/(2-1)=2$ 和截距 $5-2=3$。但只见 $f(1)=5$ 时，每个候选秘密 $s^{\prime }$ 都恰对应斜率 $5-s^{\prime }$，观察概率皆为 $1/7$；只有先验本来均匀时，七个秘密的后验才同为 $1/7$。

三份加法共享：均匀分布在仿射平面上 ​

另一种适合求和的方案抽 $R_1,R_2\leftarrow {\mathbb{F}}_q$，置 $R_3=s-R_1-R_2$。三份相加恢复 $s$；整个向量在平面 $r_1+r_2+r_3=s$ 的 $q^2$ 个点上均匀。任取两个坐标及其值，对每个 $s$ 都恰有一个第三坐标，因此任意两份的联合概率都是 $q^{-2}$，与秘密无关；单份自然也不泄漏秘密。这是三份全齐才授权的方案，与 $(2,3)$ Shamir 的门限不同。

固定任意一份之后，另外两份仍保留一个自由均匀坐标，这个仿射自由度正是三方求和模拟证明公理库安全多方计算Secure multiparty computation · MPC以理想功能规定允许泄漏，用完整视图的模拟证明多方计算没有额外泄漏。使用的工具。该协议还公开列和，完整的安全证明将这些后续消息与分发份额一起纳入联合视图。

基本秘密共享不自动检测伪造份额、恶意分发者或参与者撒谎，这些任务需要认证、纠错或可验证秘密共享等额外机制。重复使用同一掩码共享不同秘密也可能泄漏它们之间的关系。

秘密共享用于门限密钥、分布式备份、安全多方计算和拜占庭协议。一般单调访问结构可由线性秘密共享等方法实现，份额大小和重构复杂度则随结构而变。

完美保密公理库完美保密Perfect secrecy对每种消息先验，观察密文都不改变消息分布的无条件安全定义。描述未授权集合的无信息性，Reed–Solomon 码公理库Reed–Solomon 码Reed–Solomon code以低次数多项式在互异域元素处的取值向量形成的最大距离可分码。的多项式求值解释恢复与鲁棒性。若秘密或设备随机源只具有条件最小熵公理库最小熵Min-entropy · Rényi min-entropy由最可能结果的概率定义、直接刻画单次最优猜测成功率的信息量。，可在协议另行验证种子独立和旁信息条件后使用提取器公理库有种子随机性提取器Seeded randomness extractor · Seeded extractor用独立均匀短种子把任意高最小熵弱源映为统计上接近均匀的输出。做隐私放大；这不是基本秘密共享正确性或隐私定义的硬前置。安全多方计算公理库安全多方计算Secure multiparty computation · MPC以理想功能规定允许泄漏，用完整视图的模拟证明多方计算没有额外泄漏。常在 share 上直接做加法/乘法。