3.1 方案描述

本章方案由4个子协议组成，分别为系统初始化协议、秘密分发协议、秘密份额的验证协议和秘密重构协议。

（1）系统初始化协议。设 G ₁ 为素数阶的加法群（这里为椭圆曲线群），阶为 q ; P 和 Q 为 G ₁ 的两个生成元，且任何人都不知道 （ n 满足 Q = np ）；设 G ₂ 为 q 阶乘法群，且存在双线性映射 e : G ₁ × G ₁ → G ₂ 能被有效计算； G ₁ 和 G ₂ 上的离散对数（ G ₁ 上是椭圆曲线离散对数）都是难解的；秘密 S ∈ G ₁ 。

（2）秘密分发协议。分发协议的5个步骤如下。

① 秘密分发者 D 公布秘密 S 的承诺 。

② 秘密分发者 D 选取 G ₁ [ x ]上次数最多为 t -1的秘密多项式 F ( x )= S + xF ₁ +…+ x ^t-1 F _t-1 满足 S = F (0)（这里 x ^t-1 F _t-1 表示在椭圆曲线群 G ₁ 上 x ^t-1 个 F _t-1 相加），并计算 S _i = F ( i ), i =1,…, n 。

③ 秘密分发者 D 随机选取 g ₁ ,…, g _t-1 ∈ _R ，并广播 C _i = C ( F _i , g _i )= e ( F _i + g _i Q , P ), i =1,…, t -1。

④ 设 g ( x )= r + g ₁ x +…+ g _t-1 x ^t-1 , D 计算 r _i = g ( i ), i =1,…, n 。

⑤ 秘密分发者 D 秘密发送( S _i , r _i )给 P _i , i =1,…, n 。

（3）秘密份额的验证协议。 P _i 接收到( S _i , r _i )后，验证秘密份额的正确性，即

（4）秘密重构协议。当至少 t 个参与者 B （ B ⊂ P 且| B |≥ t ）提供各自的秘密份额( S _i , r _i )后，即可利用Lagrange插值多项式计算出秘密( S , r )，即

其中， 为插值系数， 。可利用公开信息 C ₀ 验证( S , r )的正确性，即 C ₀ = e ( S + rQ , P )。 UJZ0km+AFKnR9bX31JrVARtukaxI919NgJ7UT24+q9aNxXQTCul9QO6RUCmYKcAo