CC BY
97
ПРИКЛАДНАЯ ДИСКРЕТНАЯ МАТЕМАТИКА
2008 Математические методы криптографии № 2(2)
УДК 519.7
СОВЕРШЕННЫЕ СХЕМЫ РАЗДЕЛЕНИЯ СЕКРЕТА Н.Г. Парватов
Томский государственный университет E-mail: parvatov@mail.tsu.ru
В статье излагаются некоторые известные результаты теории разделения секрета.
Ключевые слова: совершенная схема разделения секрета, структура доступа, идеальное разделение секрета, полиматроид, матроид.
В теории разделения секрета рассматривается задача, которую неформально можно поставить следующим образом. Требуется разделить значение секрета из некоторого множества секретов между участниками из некоторого множества участников, выдав каждому участнику его долю секрета так, чтобы заранее определённые, авторизованные, множества участников могли, соединив свои доли, вычислить истинное значение секрета, а участники остальных, неавторизованных, множеств не могли бы этого сделать. Иногда требуется, чтобы участники неавторизованных множеств, пытаясь восстановить истинное значение секрета, не могли бы исключить ни одного значения из множества секретов, или даже не получили бы никакой дополнительной информации о секрете. Данная задача может возникнуть при разделении доступа между группой лиц, не доверяющих друг другу, а также при хранении конфиденциальной информации, разделённой на части. Несмотря на то, что в настоящее время имеется довольно обширный перечень публикаций по разделению секрета, некоторые ключевые статьи достать довольно трудно. Столкнувшись с этой трудностью, автор вынужден был самостоятельно восстанавливать систему первоначальных понятий теории разделения секрета и получать некоторые основные результаты этой теории. О некоторых из этих результатов и пойдёт речь далее.
Структура доступа
Структурой доступа (сд) на множестве Q станем называть всякое подмножество G системы B(Q) всех подмножеств множества Q, обладающее свойством монотонности:
«если часть множества A с Q принадлежит G, то и само A принадлежит G».
Множества, принадлежащие сд, станем называть авторизованными в ней. Система всех минимальных по включению авторизованных множеств сд G называется её базисом и обозначается G0. Элементы множества Q называются участниками сд G. Участники, принадлежащие базисным множествам из G0, называются существенными. Пользуясь случаем, введём несколько важных операций над сд. Во-первых, заметим, что для любого множества Uиз B(Q) множество B(Q\U)HG является сд на множестве участников Q\U; эту сд станем обозначать через Gqw- Множество всех подмножеств V из B(Q), таких, что Uu V авторизованно в G, образует сд на Q. Эту сд обозначим через G(U). Наконец, через GQ'U станем обозначать сд G(-U)q\U, полученную повторным применением первых двух операций. Из данных трёх операций первая и последняя имеют особое значение и называются операциями взятия миноров. Сд, возникающие из данной сд G в результате (возможно, неоднократного) применения подобных операций, называются минорами G. Отметим, что многократное взятие миноров можно всегда заменить равносильным не более, чем двукратным применением подобных операций. Если все участники, принадлежащие множеству U, несущественны в сд G, то миноры Gq\U и Gqu совпадают. В этой ситуации будем говорить, что сд G получена из сд Gq\U (равносильно из GQ'U) путём введения несущественных участников, а сд Gq\U (равносильно сд GQ'U) получена из сд G путём удаления несущественных участников. Классы сд, замкнутые операциями взятия миноров, а также операциями введения и удаления несущественных участников, станем называть инвариантными. Далее, для сд G на множестве Q через G принято обозначать определённую на том же множестве Q сд, в которой авторизованными являются всевозможные дополнения неавторизованных в G множеств. Ясно, что G =G. Сд G и G по отношению друг к другу принято называть двойственными.
В дальнейшем полезно иметь в виду, что существует взаимно однозначное соответствие
x ^ U(x)
между булевыми векторами x = (xi, ..., xn) длины n и всевозможными подмножествами U(x) n-элементного множества Q = {p1, ...,pn}, при котором U(x) = (p, | x, = 1}. Данный факт влечёт существование (обратных по отношению друг к другу) взаимно однозначных соответствий
f» G( f), G (G)
между булевыми функциями/ зависящими от п аргументов х\, ..., хп, и всевозможными системами G подмножеств множества Q. При этом система G(/) состоит из всевозможных таких подмножеств и(х), для которых / (х) = 1, а булева функция / (G) принимает значение 1 на наборе х, если Щ(х) принадлежит G. Данные соответствия, в свою очередь, индуцируют взаимно однозначное соответствие между монотонными булевыми функциями от п аргументов и структурами доступа на п-элементном множестве. Отметим, что существенность участника р1 из 2 в структуре доступа G равносильна тому, что функция /^) зависит от переменной х; существенно. Отметим также, что функции/(Gg\U) и /{С®и) могут быть получены из функции f(G) подстановкой константы 0 и 1 соответственно на места переменных х;, р1 ^ и. В свете сказанного легко понятна связь между инвариантными классами структур доступа и инвариантными классами булевых функций (замкнутыми операциями перестановки переменных, операциями введения и удаления фиктивных переменных, а также операциями подстановки 0 и 1 на места переменных [1]).
Схема разделения секрета
Договоримся обозначать через Ав множество всевозможных функций я:2^А. Всякую такую функцию будем называть также набором, а её значение я(д) будем также обозначать через и называть значением д-координаты набора я. Для любого множества и из В(2) через яи станем обозначать ограничение эи.и^А, такое, что яи(д) = я(д) для всех д из и. В дальнейшем нас будут интересовать подмножества множества Ае. Для всякого такого подмножества 5 станем обозначать через ^ множество всех д-координат и через 5и множество всех ограничений яи для всевозможных наборов я из 5. Для набора у из 5и через Sy обозначим множество всех таких наборов я из 5, что яи=у. Пусть 2 =Р и{Б} и элемент Б не принадлежит множеству Р. Набор (5, Р, Б), где 5 - непустое подмножество множества Ав, называется схемой разделения секрета (срс). При этом множество 2 называется множеством участников данной срс. Участник Б называется дилером. Множество Бв называется множеством секретов, число |5л| его элементов называется порядком срс. Множество Бч называется множеством долей участника д из Р. Наборы из 5 называются правилами разделения секрета. Так, я из 5 - это правило разделения секрета я0, а - принадлежащая участнику д доля секрета я0, разделённого по правилу я. Несложно понять, что всевозможные множества и из В(Р), для которых выполняется равенство
|5и и (л)1 = |5и1,
образуют сд, обозначим её через G(S, Р), на множестве Р. Это - сд, реализуемая срс 5. В соответствии с определением для любого авторизованного в G(S, Р) множества и и любого правила я из 5 значение однозначно определяется ограничением яи. Это свойство позволяет использовать срс для решения описанной во введении задачи разделения секрета. Именно для того, чтобы разделить значение секрета из множества между участниками из множества Р так, чтобы авторизованные в G(S, Р) множества участников могли восстановить секрет, нужно прибегнуть к помощи ещё одного участника, пользующегося всеобщим доверием. Этот участник выбирает наугад (или в соответствии с некоторым распределением) правило я из 5 и каждому участнику д из Р в тайне от остальных передаёт долю Отметим, что в описанной ситуации доли участников из неавторизованного множества могут содержать некоторую (возможно, значительную или даже полную) информацию о секрете. Чтобы избавить срс от этого нежелательного свойства, понадобятся более сложные определения, которые будут сделаны далее.
Энтропийная функция
Для непустого подмножества 5 множества Ав функцию А:В(0^-[О,+<») будем называть энтропийной, если выполнены условия:
1) Н( 0) = 0;
2) Н(и) < Н(У), если и с V с 2;
3) Ь(и и V) + Н(и П V) < Н(Ц) + h(V) для любых подмножеств и и V множества 2;
4) если ^Ц) = ^¥) и и с V с 2, то ^и = |5р|.
В частности, равенства ^Щ) = 0 и |5и| = 1 равносильны. Если говорить неформально, то величина ^Щ) (энтропия множества и) призвана задавать степень неопределённости, возникающую при попытках угадать зафиксированный элемент из 5и. Примером энтропийной функции на 5 может служить комбинаторная энтропия, определённая для всех и из В(2) как
КЩ = 1сЕ|5и|,
(логарифмы берутся по фиксированному основанию к > 1), а также энтропия Шеннона (см. [2]), определённая для всех и из В(2) как
^П) = -ЪРи(хи)1о& Ри(хи).
Во втором случае предполагается, что на множестве 5 определено распределение Р(х) (ненулевых) вероятностей случайной величины X, которое индуцирует распределение Ри(хи) случайной величины Хи на множестве 5и, а суммирование ведётся по всем хи из 5и; при этом величину ^Ц) принято называть вероят-
ностной энтропией, или энтропией Шеннона, случайной величины XU. В обоих случаях все четыре свойства очевидны, известны или легко проверяются. В первом свойстве предполагается, что множество SU при пустом U само не пусто, а состоит из единственного пустого набора (см. [2]). Вполне возможно, что имеют смысл и другие способы определения энтропийной функции, но перечисленные два являются основными. Имеет смысл при Uс Vразность h(V) - h(U) обозначать через h(VjU) и называть условной энтропией множества V при известном U. Эта величина задаёт остаточную неопределённость вектора sr при известном ограничении sU (и известном S) и может принимать значения от О (когда sr однозначно восстанавливается по известному sU и S) до h(V\U). Отметим, что как комбинаторная, так и вероятностная энтропия h обладает ещё одним свойством:
5) если h(U u V) + h(Un V) = h(U) + h(V), то IS^^vI = jSujjSrj, из которого следует, что при пустом пересечении UnV равенство h(U u V) = h(U) + h(V) влечёт |SUur|=jSUj|Sr|. Последнее означает, что компоненты sU и sr в наборе sUur принимают все возможные значения из множеств SU и Sr.
Совершенная срс
Пусть теперь Q = P u {D}, D g P и h - энтропийная функция на непустом множестве S с A6 . Набор (S, P, D, h) будем называть совершенной срс, если для каждого подмножества U с P выполняется
h(U, D) = h(U) или h(U, D) = h(U) + h(D).
(Здесь и далее из соображений краткости под знаком функции h опускаются знаки объединения и фигурные скобки; вместо них используются запятые.) В случае комбинаторной или вероятностной энтропии h будем говорить соответственно о комбинаторной или вероятностной срс. Те подмножества U, для которых выполняется первое условие, составляют сд G(S, P), реализуемую данной срс. Как уже отмечалось, для таких подмножеств U имеется возможность для любого правила s из S определить значение so по проекции sU. В это же время для неавторизованных в G(S, P) подмножеств U выполняется второе условие, означающее, что участники этого множества при любом s из S, пытаясь угадать so по sU, сталкиваются с максимально возможной неопределённостью. В случае комбинаторной срс это означает, что для любого набора у из SU найдётся правило s в S такое, что sU = у, обладающее любым наперёд заданным значением so из So. А в случае вероятностной срс это означает, что для любого правила s из S проекция sU не несёт никакой информации о значении секрета so.
Скорость срс
В силу вышесказанного об энтропийной функции h возможность эффективного использования срс в значительной степени определяется величинами h(p) для p из P. Чем они больше, тем больше требуется затрат для передачи, хранения и обработки долей. Вместе с тем без ущерба для разделения и восстановления секрета несущественным участникам можно не передавать их долей. В связи с этим эффективность совершенной срс (S, P, D, h), реализующей сд G, можно охарактеризовать величиной
r(S, P, D, h) = min(h(p)/h(D)), где min вычисляется по всевозможным существенным участникам p из uG0. Эта величина называется скоростью срс (S, P, D, h). Имеет место
Теорема 1. Пусть совершенная срс (S, P, D, h) реализует сд G. Тогда для любого существенного в G участника p из P имеет место неравенство h(p) < h(D).
Доказательство. Так как участник p существенный в G, то для некоторого неавторизованного в G множества U множество U u {p} авторизованно в G. Тогда h(U) + h(p) > h(U,p) = h(U,p, D) > h(U, D) = = h(U) + h(D). Отсюда h(p) > h(D). Теорема доказана.
Из доказанной теоремы следует, что скорость определена корректно и принимает значения из отрезка [О, 1], если имеется хотя бы один существенный участник (то есть когда сд G не тривиальна - не пуста и отличается от B(P)). Если существенных участников нет, то скорость срс будем считать бесконечной и будем обозначать её знаком +<». Срс, имеющие скорость, равную 1 или +<», называются идеальными.
Одной из основных задач теории разделения секрета является задача создания (синтеза) срс для заданной сд. При этом требуется в некотором классе найти срс, реализующую заданную сд и имеющую по возможности максимальную скорость. Этим оправдывается введение для заданного класса C схем разделения секрета и заданной сд G на множестве P величины
r(C, G) = sup r(S, P, D, h),
где sup берётся по всевозможным срс (S, P, D, h) из класса C, реализующим сд G. Данная величина носит название скорости сд G в классе C. Отметим, что скорость r(C, G) данной сд G в классе C не обязана достигаться на некоторой срс из C, но может достигаться на некоторой последовательности срс. В частности, автор не исключает возможности существования сд, имеющей в некотором классе скорость, равную 1, но не имеющей в этом классе идеальной реализации.
Вычислительная эффективность срс
Введённая выше скорость схем разделения секрета в большей степени характеризует их коммуникационную (связанную с затратами при передаче и хранении долей секрета), нежели вычислительную эффективность. Последняя определяется вычислительными затратами, необходимыми для разделения и восстановления секрета. Эти затраты могут быть значительными вне зависимости от энтропии долей. Более прямо вычислительную эффективность срс (5, Р, Б, И) характеризует максимальная схемная сложность 1(5, Р, Б, И) функции
SU^SD,
определённой для каждого авторизованного множества и следующим образом:
х ^ у, если х = яи и у = для некоторого я из 5.
Естественно назвать эту величину сложностью срс (5, Р, Б, И). В связи с этим представляет интерес задача нахождения для заданной сд реализующей её срс, принадлежащей заданному классу и имеющей по возможности минимальную сложность. К сожалению, в известных автору работах данная задача не рассматривалась.
Срс, связанные с группами
Пусть 5 с Ав, и для любого элемента д из 2 пусть - аддитивная (но не обязательно абелева) группа с множеством операторов К, действующих левым умножением [3, 4]. Через Пе5г обозначается прямое произведение этих групп, состоящее из всевозможных таких наборов я из Ае, что яд е для любого д из 2, и являющееся группой с множеством операторов К, в которой
(я + ^)? = + ^ч, (оз\ = сяд
для любых я и из Пе5г и любого с из К. Пусть также множество 5 является подгруппой группы Пе5г (и тогда подпрямым произведением групп 5?). В этой ситуации полезно иметь в виду, что для любого подмножества и с 2 и для нулевого набора 0 из 5е\и каждое из множеств 5и и 5° является (К-операторной) подгруппой группы Пи5г, а для любого набора у из 5е\и множество ^ является смежным классом группы 5е\и по подгруппе 5°. Пусть, наконец, 2 = Р и {Б} и для любого подмножества и с Р верно
^и^л}! = |5и| или ^и^л}! = |5и||5(л)|. (1)
Тогда можно определить совершенную комбинаторную срс (5, Р, Б, И) с ранговой функцией И, такой, что И(Ц) = log\s(щ 5(Ц). Эта срс является одновременно и вероятностной для равномерного распределения вероятностей на 5. В некоторых случаях условие (1) выполняется автоматически. Так происходит, например, когда группа простая относительно множества операторов К, то есть имеет ровно две допустимые относительно К подгруппы (именно тривиальные подгруппы). В частности, именно этот случай имеет место, когда все являются одномерными векторными пространствами над конечным полем К; в данном случае срс называется векторной, или линейной одномерной, или срс Брикелла. Если все являются векторными пространствами над конечным полем К, но не обязательно одномерными, то срс называется линейной. Срс Брикелла представляют особый интерес в связи с их высокой эффективностью (они идеальны и обладают простыми алгоритмами разделения и восстановления секрета). В меньшей степени это относится к линейным срс (которые могут быть неидеальными). В ещё меньшей степени это относится к срс, связанным с группами. Последние не обязаны быть идеальными и для них не известны хорошие алгоритмы разделения и восстановления секрета.
Инвариантные классы сд
Введённые ранее операции взятия миноров над сд связаны с некоторыми операциями над срс. С этой целью рассмотрим энтропийную функцию h непустого подмножества 5 с Ав и для подмножества и с 2 определим функции
Ие\и:В(2\и)^[0,+»), И(и):В(2)^[0,+») и И^ОДи)^^»),
положив hg\U(V) = И(¥) для Vс 2\и, И(и}(¥) = И(и и V) для Vс 2 и И0'и = И(и)д\и. Несложно понять, что данные функции являются энтропийными для соответствующих множеств 5д\и, и о\и, где набор у выбран произвольно из множества 5и. В действительности, имеет место
Теорема 2. Пусть (5, Р, Б, И) - совершенная срс, реализующая сд G, и 2 = Р и {Б}. Тогда для любого подмножества и с Р и любого набора у из 5и верно:
1) набор (5е\и, Р\и, Б, hg\U) является срс, реализующей сд GP\U;
2) набор (5У, Р\и, Б, И(и)) является срс, реализующей сд G(U);
3) набор (5>’е\и, Р\и, Б, Ив'и) является срс, реализующей сд GP'U.
Следствие 1. Для любого г из [0, 1] и {+™} класс Сг всех сд, чья скорость в классе всех срс не меньше г, инвариантен. В частности, инвариантен класс всех идеальных срс.
Отметим, что инвариантность того или иного класса сд позволяет охарактеризовать этот класс посредством запрещающего множества миноров, подобно тому, как это делается для наследственных классов графов [5]. Помимо класса Сг имеются и другие важные для приложений инвариантные классы сд, такие, как классы сд, имеющих векторную (или линейную) реализацию над заданным (или произвольным) конечным полем, класс групповых сд, класс совершенных вероятностных (или комбинаторных) сд, класс сд, имеющих реализацию порядка, равного заданной величине к или 1. Очевидно, при помощи операций пересечения и объединения из перечисленных классов снова получаются инвариантные классы. Отметим ещё одно
Следствие 2. Если существует реализующая сд G срс с энтропийной функцией И, то существует реализующая G срс с энтропийной функцией Н, такой, что Н(р) < И(р) для любого участника р сд G и Н(р) = 0 для любого несущественного в G участника р.
Идеальный матроид
Для заданного класса С совершенных срс, представляющих практический интерес, имеет смысл задача конструктивного описания всех сд, имеющих реализацию в классе С. В частности, данная задача имеет смысл для класса всех идеальных совершенных срс. В настоящее время данная задача не решена, а наилучшие из известных условий связаны с понятием матроида. Напомним, что полиматроидом на множестве 2 называется пара (2, И), где И: В(2)^[0, +™) - функция, обладающая свойствами (1) - (3) из определения энтропийной функции. В частности, энтропийная функция непустого подмножества 5 с Ав определяет поли-матроид на множестве 2. Полиматроид (2, И) называется матроидом, если дополнительно выполнено свойство
1) И(Ц) е {0, ..., |Ц|} для любого и из В(2).
При этом элементы множества 2 называются точками матроида. Функция И называется ранговой функцией матроида. Её значение И(Ц) называется рангом множества иеВ(2). Множества, чья мощность совпадает с рангом, называются независимыми, в отличие от остальных, зависимых множеств матроида. Минимальные по включению зависимые множества матроида называются его циклами. Матроид называется связным, если любые две его точки попадают в некоторый цикл. Известно, что матроид однозначно определяется всеми своими циклами, проходящими через любую его заданную точку. Имеет место следующая теорема
Теорема 3 (Брикелл, Дэвенпорт). Пусть (5, Р, 2, Н - идеальная совершенная срс, реализующая сд G, не имеющую несущественных участников. Пусть также Н(Б) = 1. Тогда (2, Н) - матроид, циклами которого, проходящими через точку Б, являются всевозможные множества и и {Б}, UеG°.
Замечание. Требование Н(Б) = 1 не умаляет общности теоремы. Энтропийную функцию Н совершенной срс с этим свойством всегда можно найти, разделив все значения произвольной энтропийной функции И на И(Б), то есть положив Н = И/(И(Б)).
Вариант доказательства данной теоремы можно найти в [6]. Без доказательства данная теорема приводится в [7]. В [6, 7] можно найти ссылки на оригинальную работу Дэвенпорта и Брикелла, содержащую доказательства данной теоремы. Ещё один вариант доказательства будет приведён далее. Для доказательства понадобятся вспомогательные леммы 1 и 2.
Лемма 1. Пусть в условиях теоремы 3 ТеВ(Р)^ и множество иеВ(Р) минимальное по включению, для которого выполняется условие V и UеG. Тогда Н(и, V) = Н(¥) + |и|. В частности, для базисного множества UеG° верно Н(Ц) = |и|.
Доказательство леммы 1. Пусть множество и п-элементное, состоит из элементов р\, ..., рп. Тогда для любого т, 1 < т < п, верно: Н^, и, Б) = Н(Т, и) < Н^, и\{рт}) + Н(рт) = Н(Т, и\{рт}) + Н(Б) = = Н(V, и\{рт}, Б) < Н(V, и, Б). Очевидно, что здесь везде равенства. Учитывая это и используя свойства (2) и (3) из определения энтропийной функции, получаем Н(рт) = Н^, и) - Н^, и\{рт}) < Н(Т,р\, ..., рт) -- Н(Т,р\, ...,рт-\) < Н(рт) = Н(Б) = 1. Очевидно, что и здесь равенства. Используя их при т = 1, ..., п, получаем, что Н(^ р\) = Н(Г) + Н(Б) = Н(¥) + 1 и Н(^ р, р) = Н(Т, р\) + Н(рг) = Н(^ р\) + 1 = Н(Г) + 2, ..., И( V, и = И( V) + | и|. Что и требовалось доказать.
Лемма 2. Пусть в условиях теоремы 3 реи и UеG°. Тогда для любого ТеВ(Р), такого, что и с V, верно: Н^\{р}, Б) = Н(^ Б) = Н(¥).
Доказательство леммы 2. Легко понять, что Н(Б) + Н(и\{р}) = Н(р) + Н(и\{р}) > Н(Ц) = Н(и, Б) > Н(и\^}, Б) = Н(и\^}) + Н(Б). Отсюда следует, что Н(и\{р}, Б) = Н(и, Б) = Н(Ц). В силу третьего свойства в определении энтропийной функции Н данные равенства будут выполняться и после замены и на V. Лемма доказана.
Доказательство теоремы 3. Прежде всего докажем, что (2, Н - матроид. Для этого достаточно проверить целочисленность функции Н. Более того, достаточно проверить целочисленность значений Н(и) лишь для авторизованных в G множеств и. Это следует из того, что не авторизованное множество V можно дополнить до авторизованного множества и = V и Ж минимальным по включению множеством W, тогда по лемме 1 Н(Ц) = Н(V, Ж) = Н(V) + |W| и из целочисленности Н(Ц) следует целочисленность Н(V). Итак, будем
доказывать для авторизованного в G множества U, что значение H(U) - целое. Назовём множество U m-множеством, если U = U1 u U2 для некоторого m-элементного множества U1 и для некоторого не пересекающегося с ним базисного множества U2. Ясно, что всякое авторизованное множество является m-множеством для некоторого натурального m. Индукцией по m покажем, что H(U) - целое для m-множества U. Данное утверждение является следствием леммы 1 при m = 0, так как 0-множествами являются базисные множества. Пусть M > 0, и утверждение имеет место при всех m < M. Докажем его при m = M. Рассмотрим m-множество U = U1 u U2, где |U1| = m и U2 из G0. Предположим сначала, что U2 - единственное базисное множество, включённое в U. Тогда по лемме 1 H(U) = H(U1) + |U2| и нужно убедиться, что H(U1) - целое. Поскольку элементы множества U1 существенны в P, найдётся базисное множество, имеющее непустое пересечение с U1. Выберем некоторое такое базисное множество U3 с минимальной по включению разностью U3\U1. Тогда множество U1 u U3 является m'-множеством для некоторого m' < m (именно для m' = |U1\U3|) и по предположению H(U1, U3) - целое. Так как в силу минимальности U3 по лемме 1 H(U1, U3) = H(U1) + |U3\U1|, то и значение H(U1) - целое. Возвращаясь назад, заключаем, что в рассмотренном случае H(U) - целое. Осталось рассмотреть случай, когда U включает отличное от U2 базисное множество, содержащее некоторый элемент p из U1. Так как множество U\(p} авторизовано (ибо оно включает U2), то H(U\(p}, D) = H(U). По лемме 2 заключаем, что H(U\(p}) = H(U). Поскольку U\(p} = (U1\(p}) u U2, множество U\{p} является ^-^-множеством. По предположению индукции значение H(U) = H(U\{p}) -целое. Итак, доказано, что пара (Q, H) является матроидом. Обратим своё внимание на циклы данного матроида. Прежде всего отметим, что циклами матроида являются такие множества точек, чей ранг на 1 меньше мощности и чьё любое собственное подмножество имеет ранг, совпадающий с мощностью. В силу этого для любого цикла U u {D}, где Dg U, верно, что |U| = H(U, D) = H(U) = H(U\(p}, D) = H(U\(p}) + 1 для любого p из U. Это означает, что U - минимальное авторизованное в G, то есть принадлежит G0. Обратно, если U из G0, то, учитывая леммы 1 и 2, имеем |U| = H(U) = H(U, D) = H(U\(p},D) для всехp из U. Следовательно, U u {D} - цикл. Теорема доказана.
Итак, теорема 3 показывает, что энтропийная функция совершенной идеальной срс является ранговой функцией матроида. Матроиды, получающиеся таким путём, называются идеальными. В настоящее время известны неидеальные матроиды [7]. В [7] указывается, что матроид, отвечающий совершенной комбинаторной срс, связный.
Срс и сд Брикелла
Рассмотрим срс Брикелла над конечным полем K и реализуемые ими сд. Такие сд называются сд Брикелла над полем K. Установим необходимые и достаточные условия того, что заданная сд является сд Брикелла над заданным конечным полем. Итак, пусть (S, P, Q, h) - срс Брикелла над конечным полем K, реализующая сд G. Выберем в векторном пространстве S порождающий его набор R векторов r1, ..., rm, линейная оболочка <r1, ..., rm> которых совпадает с S. Для любого q из Q через R(q) обозначим набор (r1q, ..., rmq) и для любого U из B(Q) через R(U) обозначим множество наборов R(q) для всевозможных q из U. Возникшее таким образом отображение
R: Q^Km, R: q ^ R(q)
называется реализацией Брикелла срс (S, P, Q, h) и сд G. Отметим пару свойств реализации R, имеющих место для любого подмножества U из B(P).
Свойство 1. Множество U тогда и только тогда авторизовано в G, когда вектор R(D) принадлежит линейной оболочке <R(U)>. Это следует из того, что rank SV = rank <R(V)> для любого V из B(Q), что в свою очередь, является простой переформулировкой следующего известного свойства из [3]: строчный ранг матрицы над полем совпадает с её столбцовым рангом.
Свойство 2. Множество Uтогда и только тогда не авторизовано в G, когда существует вектор v(U) в Km, такой, что v(U)*R(D) = 1 (здесь и далее точкой обозначаем скалярное произведение) и v(U),B(p) = 0 для любого p из U. Действительно, в силу предыдущего свойства UeG ^ <R(D)> с <R(U)> ^ <R(U)> L £ <R(D)> L (в последнем выражении речь идёт об ортогональном дополнении). Следовательно, условие UeG равносильно существованию вектора v(U) в <R(U)> L \<R(D)> L . Иными словами, вектор v(U) ортогонален всем векторам R(p), таким, чтоpeU, и не ортогонален вектору B(D). Очевидно, вектор v(U) можно выбрать так, что v(U)* R(D) = 1. Тем самым свойство 2 доказано. Имеет место
Теорема 4. Пусть G - сд с множеством участников P. Если G - сд Брикелла над конечным полем K, то существует пара функций
d: Go х P^K и d: G*o x P^K,
обладающих следующими свойствами:
1) d(U,p) Ф 0 и d*(V, q) Ф 0, еслиpe UeG0 и qe VeG*0;
2) d(U,p) = 0 и d(V, q) = 0, еслиpg UeG0 и qg VeG*0;
3) 2d(U, p)d(V, p) = 1 для любых Ue G0 и Ve G*0, где суммирование ведётся в K по всевозможным p из P.
Обратно, если существуют функции d и сї , обладающие свойствами 2) и 3), то сд G является сд Брикелла над К.
Доказательство. Необходимость. Пусть G - сд Брикелла над конечным полем К с реализацией Л: 2^К™. Пусть V - множество из G о. Тогда Р\У - максимальное неавторизованное в G. В силу второго свойства существует вектор V = v(P \У) в Кт, такой, что v•Я(.D) = 1 и у*Л(р) = 0 для любогорєР \ V. Отметим, что в силу максимальности множества Р \V скалярные произведения v•Я(p) прирє V не равны нулю. Пусть также и - минимальное авторизованное в G множество из G0. Тогда в силу первого свойства вектор Я(П) выражается линейно через вектора В(р), где р из и, с ненулевыми (в силу минимальности и) коэффициентами. Обозначим эти коэффициенты через ^(и,р) так, что Вф) = ^(и,р)Я(р), и положим d(U,р) = 0 для всех р из Р\и. Тогда 1 = v•Я(D) = v•2d(U, р)Я(р) = ^(и,р)(^Я(р)). Остаётся положить <І(V,р) = v•Я(p). Докажем достаточность. С этой целью будем считать заданными величины d(U, р) и d* (V, р), обладающие вторым и третьим свойствами. Пусть множество G 0 состоит из множеств VI, ..., Vm. Зададим функцию Л: так,
что Я(П) = (1, ..., 1) и Я(р) = ^*^і,р), ..., d*(Vm,р)) для всех р из Р. Легко понять, что для любого и из G0 вектор Яф) выражается линейно через вектора Я(р), р из и с коэффициентами d(U, р); это следует из второго и третьего свойств. Если же и - максимальное не авторизованное в G множество, то разность Р\и совпадает с некоторым множеством V'. Тогда всякий вектор Я(р), где р из и, имеет 0 в і-й координате, а значит, вектор Я(П) = (1, ..., 1) нельзя выразить линейной комбинацией этих векторов. Отмеченные свойства функции Я говорят о том, что она является реализацией Брикелла сд G. Теорема доказана. Непосредственно из теоремы получаем
Следствие 3. Сд G на множестве Р тогда и только тогда является сд Брикелла над конечным полем К, когда над этим полем относительно переменных d(U,р) и d*(V, д), гдеpєUєG0 и qєVєG 0, разрешима система уравнений ^(и,р)сї(V,р) = 1 (сумма по всемр из ипV) для всевозможных значений UєG0 и VєG*0.
В случае двухэлементного поля К = 2г получаем
Следствие 4 [10]. Сд G тогда и только тогда является сд Брикелла над полем когда для любого множества и из G и любого множества V из G 0 пересечение UПV содержит нечётное число элементов.
Данное следствие было опубликовано с доказательством в [6]. Теорема 4 является непосредственным обобщением этого результата.
Замечание. Следствие 3 сводит вопрос о существовании реализации Брикелла над полем К для заданной сд G к разрешимости над К некоторой системы уравнений. Причём, как видно из доказательства теоремы 4, решение данной системы даёт реализацию Брикелла данной сд, впрочем, возможно неэффективную (с большим т). В [9] описывается алгоритм, распознающий совместность системы полиномиальных уравнений над алгебраически замкнутым полем. В соответствии с этим алгоритмом нужно найти редуцированный базис Грёбнера идеала, порождённого системой многочленов (определяющих систему уравнений). Тогда система оказывается совместной, если редуцированный базис не состоит из одного единичного многочлена. При нахождении редуцированного базиса методом Бухбергера из [9] все вычисления происходят в кольце многочленов над фиксированным полем. В частности, если коэффициенты системы целочисленные (как в нашем случае), то все вычисления будут происходить в простом поле заданной характеристики. Это приводит ещё к одному интересному следствию.
Следствие 5. Для любого простого р существует алгоритм, распознающий для произвольной заданной сд свойство иметь реализацию Брикелла над конечным полем характеристики р.
Замечание. Отметим ещё одно свойство системы из следствия 3. Оказывается, переменные d(U, р) можно выразить через переменные <І(V, д), поскольку для любого и из G0 и р из и в G*0 найдётся такое V, что в системе имеется уравнение d(U, р)сї (V, р) = 1. Аналогично, переменные <І (V, д) выражаются через переменные d(U, д). Указанные возможности следуют из леммы 3.
Лемма 3. Для любой сд G, любого множества и из G0 и любого р из и найдётся такое множество V в G 0, что UПV = {р}.
Доказательство. Обязательно найдётся максимальное по включению неавторизованное в G множество Ж, такое, что и\{р} с Ж с Р\{р}. Так как дополнение V = Р \Ж принадлежит G 0 и UПV = {р}, лемма доказана.
Нижние оценки порядка реализации
Предположим, что сд G является сд Брикелла над некоторым конечным полем К, содержащим д элементов. Представляется интересной задача нахождения наименьшего такого значения д для заданной сд G. Также имеет смысл задача нахождения нижней оценки для д. При решении данных задач может оказаться полезной следующая лемма. Далее будет показано, как этой леммой следует пользоваться.
Лемма 4. Пусть G - сд Брикелла над полем порядка д на множестве участников Р = А и {аь ..., аг}, где элементы аь ..., аг все различные из Р\А и для любого і из {1, ..., г} существует множество А; в G0, такое, что агєА; и Аг- с А и {аь ..., а,}. Тогда для любого элемента а0 из А число таких множеств В в G 0, что пересечение ВП(А\{а0}) пусто, не превосходит д.
Доказательство. В системе уравнений из теоремы 4 в этом случае для всякого множества B из G*0 будут присутствовать уравнения:
d(A1, a0)d* (B, a0) + d(A1, a1)d* (B, a1) = 1, d(A2, a0)d* (B, a0) + d(A2, a1)d* (B, a1) + d(A2, a2)d* (B, a2) = 1, ... Отсюда видно, что значение d*(B, a0) однозначно определяет все значения d*(B, a) для всевозможных a из P и таким образом однозначно определяет само множество B. Следовательно, имеется не более q возможностей для выбора B. Лемма доказана.
Пороговая сд
Рассмотрим пример использования леммы 4.
Структура доступа G на n-элементном множестве P называется (n, К)-пороговой, если её базис, множество Go, состоит из всевозможных k-элементных подмножеств множества P. Хорошо известно, что для любых целых k и n, таких, что 1 < k < n, (n, ^-пороговая сд является сд Брикелла над некоторым конечным полем. Об этом можно прочитать, например, в [7, 1О]. Несложно понять, что для заданных целого положительного k и целого положительного q, являющегося степенью простого числа, существует наибольшее n, при котором существует сд Брикелла над q-элементным полем, реализующая (n, ^-пороговую сд. Для такого наибольшего n положим m(k, q) = n + 1. Несложно понять, что m(k, q) - это наибольшее число векторов в векторном пространстве над q-элементным полем, из которых любые k линейно независимы и любые k + 1 линейно зависимы. В некоторых случаях значение m(k, q) найти несложно. Так, величина m(1, q) совпадает с длиной кода Хэмминга над q-элементным полем и, следовательно, равняется q + 1. Определение точного вида функции m(k, q) в общем случае является давней комбинаторной задачей, не решённой и по сей день [7, 11]. Предполагается, что m(k, q) = q + 1 за исключением случая m^, q) = (q - 1, q) = q + 2 при чётном q. Следующая теорема даёт нижнюю оценку порядка реализации Брикелла для (n, ^-пороговой сд и одновременно даёт верхнюю оценку m(k, q) < q + k - 1 для величины m(k, q), лишь на 1 худшую, чем оценка теоремы 11 из [11].
Теорема 5. Если над q-элементным полем существует реализация Брикелла (n, ^-пороговой сд и k > 2, то
n < q + k - 2.
Доказательство данной теоремы опирается на лемму 4. Пусть G - (n, ^-пороговая сд на n-элементном множестве P. Тогда Go состоит из всевозможных k-элементных подмножеств множества P и G 0 состоит из всевозможных (n - k + 1)-элементных подмножеств. Это позволяет в условиях леммы 4 выбрать (k-1)-элементное множество A. Тогда, с одной стороны, число подмножеств B, о которых идёт речь в лемме, равно n - k + 2. С другой стороны, это число по лемме 4 не превосходит q. Таким образом получаем неравенство n - k + 2 < q. Теорема доказана.
ЛИТЕРАТУРА
1. Яблонский С.В. О классах функций алгебры логики, допускающих простую схемную реализацию // УМН. 1957. Т. XII. Вып. 6 (78). С. 189 - 196.
2. Алон Н., Спенсер Д.Ж. Вероятностный метод. М.: Бином. Лаборатория знаний, 2007. 320 с.
3. Ван дер Варден Б.Л. Алгебра. Определения, теоремы, формулы. 3-е изд., стер. - СПб.: Лань, 2004. 624 с.
4. Каргаполов М.И., Мерзляков Ю.И. Основы теории групп. М.: Наука, 1972. 240 с.
5. Дистель Р. Теория графов. Новосибирск: Изд-во Ин-та математики, 2002. 336 с.
6. Marti-Ferre J., Padro C. On secret sharing schemes, matroids and polymatroids // Cryptology ePrint Archive, Report 2006/077, http://eprint.iacr.org/2006/077.
7. Введение в криптографию / Под общ. ред. В.В. Ященко. 3-е изд., доп. М.: МЦНМО «ЧеРо», 2000. 288 с.
8. Marti-Ferre J., Padro C. Secret sharing schemes on sparse homogeneous access structures with rank three // The electronic journal of combinatorics 11 (2004), Research papper 72, 16 p. (electronic).
9. Кокс Д., Литтл Дж., О'Ши Д. Идеалы, многообразия и алгоритмы. Введение в вычислительные аспекты алгебраической геометрии и коммутативной алгебры. М.: Мир, 2000. 687 с.
10. Агибалов Г.П. Избранные теоремы начального курса криптографии. Томск: Изд-во НТЛ, 2005. 116 с.
11. Мак-Вильямс Ф. Дж., Слоэн Н. Дж. А. Теория кодов, исправляющих ошибки. М.: Связь, 1979. 744 с.
