可视秘密共享与加法方案

可视秘密共享（Naor 与 Shamir，1994 年）将图像拆分为 n 张透明片，使得叠加 k 张透明片即可显示秘密图像，而少于 k 张时什么也无法显示——即使面对计算能力不受限的攻击者也是如此。

秘密图像中的每个像素都会扩展为一个 2x2 的方块。对于黑色像素：两个份额分别获得互补图案（叠加后全部为黑色）。对于白色像素：两个份额获得相同图案（叠加后黑色占 50%，呈灰色）。人眼可以感知其中的差异。

对于比特串：生成随机值 R_1、R_2、...、R_{n-1} 来共享秘密值 S。设置 R_n = S XOR R_1 XOR ... XOR R_{n-1}。将全部 n 个份额进行 XOR 运算后得到 S。任意 n-1 个份额的子集都服从均匀随机分布——不会泄露关于 S 的任何信息。

XOR/加法共享是 n-of-n 方案（需要全部份额）。Shamir SSS 是 k-of-n 方案（任意 k 个份额即可）。加法共享更简单、更快速；Shamir 可以处理任意阈值。MPC 协议通常使用加法共享来执行算术运算。

对于整数秘密值：将 S 共享为 S = s_1 + s_2 + ... + s_n (mod p)。每个 s_i 都是 Z_p 中的随机元素。要将两个共享值 A+B 相加，每个参与者在本地将自己的份额相加：(a_i + b_i) mod p。执行加法不需要通信。

对共享的秘密值进行乘法需要交互。经典的 Beaver 三元组方法是：预先计算共享的随机值 (a, b, c=ab)。要计算 x*y：向所有参与者公开 (x-a) 和 (y-b)（这些值不会泄露关于 x、y 的任何信息），然后使用该三元组计算 x*y。

线性秘密共享方案（LSSS）可以实现任意单调访问结构。Shamir 方案是一种 LSSS。LSSS 是基于属性的加密（ABE）和多授权机构访问控制系统的构建模块。

打包式 Shamir 方案在一个多项式中共享多个秘密：将 k 个秘密编码为一个 n-k 次多项式的系数。当 MPC 协议需要同时共享许多值时，这种方法可以分摊通信成本。

基本共享方案无法防止恶意参与者提交无效份额。可验证秘密共享（VSS）加入了承诺；鲁棒秘密共享加入了纠错功能，因此即使存在 t 个错误份额，也能成功完成重构。

可视密码学：印刷文档认证、安全投票选票。加法共享：SPDZ MPC、联邦学习中的安全聚合（Google）。阈值方案：硬件钱包种子备份、企业密钥管理。

(k,n) 斜坡方案的安全性较弱：少于 k-d 个份额时会泄露部分信息（d 个保密级别）。当不要求部分份额具备完美保密性、但存储效率至关重要时，可以使用这种方案。它所需的份额比 Shamir 方案更短。

在基于 XOR 的加法 n-of-n 共享中，重构秘密需要多少个份额？

可视密码学将图像拆分为透明片；加法共享使用 XOR 实现 n-of-n 方案；Shamir 方案处理 k-of-n。MPC 使用带有 Beaver 三元组的加法共享来执行乘法。下一节：阈值签名及其现实应用。