Shamir Secret Sharing

k-of-n योजना उसी सेट के किन्हीं k वैध, अलग हिस्सों से रहस्य वापस लाती है। वह n−k हिस्सों का खोना सहती है, लेकिन साथ काम करने वाले k धारकों को रहस्य पाने भी देती है। उदाहरणतः 3-of-5 दो हानियाँ सहता है, तीन नहीं। सीमा उपलब्धता और पुनर्प्राप्ति करने वाले समूह के आकार के बीच संतुलन है। [Adi Shamir — How to Share a Secret (1979)]

रहस्य S के लिए f(x)=S+a1*x+…+a(k−1)*x^(k−1) चुनते हैं। S के अलावा गुणांक स्वतंत्र, समान रूप से यादृच्छिक क्षेत्र तत्व हैं। हिस्सा (x,f(x)) है, जिसमें x अलग और गैर-शून्य हो; x=0 सीधे S बता देगा। k बिंदुओं से लाग्रांज इंटरपोलेशन f(0) देता है। उसी बिंदु की दो प्रतियाँ अतिरिक्त समीकरण नहीं जोड़तीं। [Adi Shamir — How to Share a Secret (1979)]

केवल शिक्षण हेतु S=5 और f(x)=5+3*x mod 17 लें। हिस्से (1,8), (2,11), (3,14) हैं। पहले दो से ढाल 3 और स्थिरांक 8−3=5 मिलता है; तीनों जोड़े 5 लौटाते हैं। अकेला (1,8), a=8−S mod 17 होने पर 0 से 16 तक हर S के अनुकूल है। यह छोटा क्षेत्र वॉलेट का डिज़ाइन नहीं है। [Adi Shamir — How to Share a Secret (1979)]

आदर्श योजना में k से कम पूरे हिस्से असीमित गणना वाले हमलावर को भी S की जानकारी नहीं देते। यह सही स्वतंत्र गुणांकों और निर्धारित अवलोकन मॉडल पर निर्भर है। कमजोर यादृच्छिकता, गुणांकों का दोबारा उपयोग, साइड चैनल या अतिरिक्त जाँच डेटा का अलग विश्लेषण चाहिए। साझा करने से अन्य तरीकों से अनुमानित कमजोर रहस्य मजबूत नहीं होता। [Adi Shamir — How to Share a Secret (1979)] [SLIP-0039 — Shamir Secret-Sharing for Mnemonic Codes]

पुनर्प्राप्ति में समान क्षेत्र, मान एन्कोडिंग, इंडेक्स और सेट पहचान चाहिए। अभाज्य क्षेत्र GF(p) दशमलव भाग नहीं बल्कि मॉड्यूलर व्युत्क्रम उपयोग करता है; GF(256) की क्रियाएँ modulo 256 शेष गणना से अलग हैं। SLIP-39 विशिष्ट शब्द-सूची, मेटाडेटा, समूह, एन्क्रिप्शन और जाँच जोड़ता है। इसलिए Shamir नाम के दो प्रोग्रामों के हिस्से संगत होना आवश्यक नहीं। [Adi Shamir — How to Share a Secret (1979)] [SLIP-0039 — Shamir Secret-Sharing for Mnemonic Codes]

मूल इंटरपोलेशन हिस्से का स्रोत या वितरक की ईमानदारी नहीं प्रमाणित करता। क्षतिग्रस्त बिंदु केवल कमी बताने के बजाय दूसरा रहस्य लौटा सकता है। पहचान, त्रुटि सुधार और verifiable secret sharing अपने अनुमानों वाले अतिरिक्त निर्माण हैं। SLIP-39 में checksum और digest जुड़े हैं; ये हर Shamir Secret Sharing में अपने आप नहीं होते। [SLIP-0039 — Shamir Secret-Sharing for Mnemonic Codes] [NIST — Multi-Party Threshold Cryptography]

सामान्य पुनर्प्राप्ति पूरा S एक वातावरण में दिखाती है, जहाँ से रिसाव हो सकता है। Multisig के विपरीत Shamir Secret Sharing कई स्वतंत्र ऑन-चेन हस्ताक्षर कुंजियाँ नहीं बनाता। NIST के अंतर के अनुसार सीमा हस्ताक्षर अतिरिक्त MPC प्रोटोकॉल से कुंजी जोड़े बिना हिस्सों पर काम कर सकता है। केवल बाँटना और बाद में मिलाना यह गुण नहीं देता। [NIST — Multi-Party Threshold Cryptography]

एक खाते में पाँच फ़ाइलें हानि या समझौते का जोखिम अलग नहीं करतीं। पैरामीटर लिखें और विश्वसनीय डिवाइस पर पुनर्प्राप्ति जाँचें। समान S वाला नया यादृच्छिक बहुपद अलग सेट बनाता है जिसे पुराने हिस्सों से न मिलाएँ। पर्याप्त पुराना सेट फिर भी S वापस लाता है; पुनर्विभाजन पहले प्राप्त हिस्सों या लीक रहस्य को अमान्य नहीं करता। [Adi Shamir — How to Share a Secret (1979)] [Trezor — Multi-share Backup]