白建峰，苗付友

中国科学技术大学 计算机科学与技术学院，合肥230027

秘密共享作为密码学的一个原语（primitive），广泛应用在各种密码系统的构造，比如：安全多方计算[1-2]、组认证[3]、门限密码系统[4-5]等。最早在1979年，由Shamir[6]和Blakley[7]提出的门限秘密共享的概念。通常来说，门限秘密共享是用来保护秘密一种手段，通过将秘密分割成n份子份额（share），其中任意的t份组合在一起可以恢复出秘密。

到目前为止，提出的门限秘密共享方案，主要分为以下几类，一类是Shamir提出的用拉格朗日差值多项式实现的门限秘密共享。一类是Massey[8]提出的使用线性码来实现门限秘密共享。还有一类是Mignotte[9]和Asmuth-Bloom[10]提出的用中国剩余定理实现的门限秘密共享方案。

在门限秘密共享中，任意的t个子份额的组合能够恢复出秘密。当参与者人数为k(k ＞t)个时，实际只需要用到t个份额就可以恢复秘密。多出的子份额对恢复秘密没有任何帮助。这就会带来问题，当k(k ＞t)个参与者参与恢复秘密时，这t个子份额到底由谁出。在理想的通信模型下，k(k ＞t)个参与者同时发送子份额，就会假定k(k ＞t)个参与者会同时收到除自身以外的k-1 个子份额。在现实生活中，这显然是不现实的。现实生活中，通信模型往往是异步的，即参与者发送和接收子份额是有先后顺序的，当参与者收到的子份额数达到t时，就能恢复出秘密。如果该参与者是恶意用户，可以用恢复出的秘密再构造出一个正确的子份额发送给其他用户，且其他用户无法知道该用户是不是恶意用户。……