基于区块链的高效知识数据共享技术，采用“全有或全无”变换阈值秘密方案

《Alexandria Engineering Journal》：Efficient blockchain-based knowledge data sharing with All-or-Nothing Transform threshold secret scheme

　　菲利普·夸库·阿杰伊（Philip Kwaku Adjei）|秦志光（Qin Zhiguang）|艾萨克·阿曼科纳·奥比里（Isaac Amankona Obiri）|克里斯蒂安·尼·阿弗拉·科布拉（Christian Nii Aflah Cobblah）|安苏·巴杰（Ansu Badjie）|阿里·阿尔卡塔尼（Ali Alqahtani）|叶英贤（Yeong Hyeon Gu）|穆加赫德·A·阿尔-安塔里（Mugahed A. Al-antari）

中国电子科技大学（UESTC）信息与软件工程学院，成都，611731，中国

摘要

随着对去中心化基础设施在知识管理中依赖性的增加，安全、可扩展和高效的数据共享机制变得至关重要。本文提出了一种基于区块链的知识数据共享框架，该框架将贪婪阈值集合覆盖协议（Greedy Threshold Set Cover Protocol，Greedy TSCP）与全有或全无变换（All-or-Nothing Transform，AONT）相结合，形成了一种无需加密的新型阈值秘密共享方案。该方案通过提供轻量级的计算并消除插值需求，解决了传统基于多项式和模运算方法的局限性。我们在通用组合（Universally Composable，UC）框架下对提出的GreedyTSCP-AONT方案的安全性进行了形式化证明，证明了其在面对静态对手（在协议开始前固定受损服务器集合）和快速对手（可能在有界延迟网络模型中延迟诚实方消息）时的有效性。该方案实现了信息论安全性，并利用去中心化存储节点避免了单点故障，而区块链的集成则确保了透明度、防篡改性和可审计性。该方案特别适用于分布式环境中的大规模知识数据共享，在这些环境中，传统的秘密共享方案在计算上变得不可行。实验评估显示，与基于Shamir和Chinese Remainder Theorem（CRT）的方法相比，我们的方法在效率上有显著提升，证明了其在安全、高吞吐量知识传播方面的实际可行性。

1. 引言

区块链技术通过提供去中心化、不可变和透明的基础设施，从根本上改变了安全数据共享的范式，消除了单点故障并确保了数据完整性[1]、[2]。在知识数据共享的背景下，组织必须在分布式网络中安全地分发敏感的知识产权，区块链相比传统的集中式知识管理系统（KMS）具有明显优势，后者存在单点故障和审计跟踪不足等漏洞[3]、[4]。然而，传统的区块链方法在处理大规模知识数据集时面临关键限制，尤其是在存储效率和隐私保护方面[2]。区块链的不可变性使得直接在链上存储庞大的知识库变得不切实际，而其透明特性又与专有知识资产的保密性相冲突。这些挑战促使人们将区块链与分布式存储系统和加密技术结合起来，以实现安全、高效的知识数据共享。

传统的解决方案探索了将区块链与基于多项式插值的秘密共享方案相结合，例如Shamir的阈值秘密共享[5]和Blakley的几何方法[6]。尽管这些方法只需一定数量的参与者即可实现分布式秘密重构，但由于多项式插值操作，它们在计算上开销较大，因此对于现代组织环境中常见的大规模数据集来说并不实用[7]。Rivest提出的全有或全无变换（AONT）[9]提供了一种有前景的替代方案，它确保数据恢复要么完全成功，要么完全失败，从而防止了部分数据泄露[10]。然而，将AONT与阈值秘密共享方案结合时存在根本性挑战：传统阈值方案要求任何组合的阈值参与者都能重构秘密，而AONT的安全性依赖于不完整信息对对手无益的原则。

本文通过提出一种新的基于区块链的知识数据共享系统来应对这些关键挑战，该系统将贪婪阈值集合覆盖协议（Greedy TSCP）与AONT相结合。与Stinson基于AONT的秘密共享（AONT-SS）[11]不同，后者将AONT作为隐私增强层叠加在多项式秘密共享方案之上，我们的构建将AONT作为唯一的共享分配机制，从而消除了有限域运算。这使我们的方案区别于Ramp方案[12]（它在阈值以下泄露部分信息）和基于Chinese Remainder Theorem（CRT）的方法[13]（它们需要在大素数余数上进行模运算）。尽管进行了这些简化，我们的构建仍然保持了完美的信息论安全性。该系统利用区块链的不可变账本进行访问控制和审计跟踪，同时利用分布式存储基础设施防止单点故障。GreedyTSCP和AONT之间的协同作用提高了阈值秘密共享的效率，消除了与多项式插值相关的计算瓶颈，同时确保了敏感知识免受部分披露攻击。这种组合解决了密码协议的理论安全保障与大规模知识管理系统的实际性能要求之间的关键差距。

•我们提出了一种组合阈值数据共享方案，将GreedyTSCP与全有或全无变换（AONT）相结合。这种方法为知识数据共享提供了一种基于多项式的替代方案，同时保持了安全性。通过将AONT与贪婪集合覆盖方法相结合，该方案提高了大规模数据集的计算效率。
•我们在通用组合（UC）框架下进行了安全性分析，证明了该方案在分布式知识共享环境中能够抵抗部分披露攻击。
•我们设计了一种基于区块链的系统架构，包括用于访问控制的智能合约、用于知识传输的离链协议以及用于大规模数据的分布式存储方法。
•我们进行的实验表明，与基于有限域多项式构建的方案相比，我们的方案在生成共享时速度更快。

2. 相关工作

2.1. 基于区块链的知识管理系统

早期的基于区块链的知识管理研究建立了强调去中心化和不可变性的基础框架[14]、[15]、[16]、[17]、[18]。然而，这些概念性工作缺乏通过阈值秘密共享确保知识数据保密性的具体实现机制。后续研究解决了特定的安全问题。胡等人[19]引入了基于声誉的知识共享模型，而Philsoophian等人[20]探索了供应链应用。这两种方法都依赖于集中式存储基础设施，引入了潜在的单点故障风险。郑和徐[21]以及Crosby等人[22]强调了区块链的防篡改能力，以确保数据完整性。Nyame等人[3]为基于区块链的知识管理系统引入了基于ECDSA的访问控制机制。同样，Pan等人[23]在智能合约中使用了零知识证明来保护敏感信息。然而，这些研究主要集中在访问验证上，而不是保护存储的数据本身。

最近的研究将区块链与基于多项式插值的秘密共享方案相结合，例如Shamir的阈值秘密共享[5]和Blakley的几何方法[6]。虽然这些方法允许分布式秘密重构，但它们由于多项式插值操作而产生较大的计算开销，因此对于现代组织环境中常见的大规模数据集来说并不实用[7]。Rivest提出的全有或全无变换（AONT）[9]提供了一个有前途的替代方案，它确保数据恢复要么完全成功，要么完全失败，从而防止了部分数据泄露[10]。然而，将AONT与阈值秘密共享方案结合时存在根本性挑战：传统阈值方案要求任何组合的阈值参与者都能重构秘密，而AONT的安全性依赖于不完整信息对对手无益的原则。

本文通过提出一种新的基于区块链的知识数据共享系统来应对这些关键挑战，该系统将贪婪阈值集合覆盖协议（Greedy TSCP）与AONT相结合。与Stinson的基于AONT的秘密共享（AONT-SS）[11]不同，后者将AONT作为隐私增强层叠加在多项式秘密共享方案之上，我们的构建将AONT作为唯一的共享分配机制，从而消除了有限域运算。这使我们的方案区别于Ramp方案[12]（它在阈值以下泄露部分信息）和基于Chinese Remainder Theorem（CRT）的方法[13]（它们需要在大素数余数上进行模运算）。尽管进行了这些简化，我们的构建仍然保持了完美的信息论安全性。该系统利用区块链的不可变账本进行访问控制和审计跟踪，同时利用分布式存储基础设施防止单点故障。

GreedyTSCP和AONT之间的协同作用提高了阈值秘密共享的效率，消除了与多项式插值相关的计算瓶颈，同时确保了敏感知识免受部分披露攻击。这种组合解决了密码协议的理论安全保障与大规模知识管理系统的实际性能要求之间的关键差距。

•我们提出了一种组合阈值数据共享方案，将GreedyTSCP与全有或全无变换（AONT）相结合。这种方法为知识数据共享提供了一种基于多项式的替代方案，同时保持了安全性。通过将AONT与贪婪集合覆盖方法相结合，该方案提高了大规模数据集的计算效率。
•我们在通用组合（UC）框架下进行了安全性分析，证明了该方案在分布式知识共享环境中能够抵抗部分披露攻击。
•我们设计了一种基于区块链的系统架构，包括用于访问控制的智能合约、用于知识传输的离链协议以及用于大规模数据的分布式存储方法。
•我们进行的实验表明，与基于有限域多项式构建的方案相比，我们的方案在生成共享时速度更快。

2.2. 秘密共享方法

秘密共享起源于1979年的两项开创性工作：Shamir的多项式基础构建[5]和Blakley的几何方法[6]。Shamir的方案将秘密编码为随机生成多项式中的常数项，共享通过有限域运算得出。虽然这些方法提供了强大的安全保障，但它们在计算和存储上开销较大[26]、[27]。

基于Chinese Remainder Theorem（CRT）的方案[13]、[28]提供了一种替代方案，它们将秘密表示为整数，并将共享生成为模互质整数的余数。尽管与多项式方法相比可能具有效率优势，但CRT方案需要仔细选择模数以防止基于GCD的攻击，并且通常会产生较大的共享大小[29]、[30]。

Ramp秘密共享方案[12]、[31]故意通过允许较小子集的共享泄露部分秘密信息来妥协完美保密性。虽然提高了计算效率，但这种基本的安全性降低限制了其在安全关键应用中的实际适用性[32]、[33]。

Kurihara等人[7]提出了一种优化的阈值秘密共享方案，使用FFT技术加速了基于多项式的共享生成。尽管有这些改进，但该方法仍然依赖于有限域运算，在应用于大数据量时会产生显著的计算开销。

Benhamouda等人[34]在多服务器和YOSO模型中引入了作为服务的阈值密码学，为分布式密钥生成和签名提供了强大的UC安全保障。他们的框架主要用于保护小型密码秘密，而不是大规模数据。

Bhattacharyya等人[35]提出了一种CCA安全的可追溯阈值身份加密方案，具有问责功能。然而，该构建依赖于双线性配对运算，这在处理大数据量时会产生显著的开销。

相比之下，我们的构建专注于数据分发层，并采用了轻量级操作，非常适合大规模数据的高效阈值共享。

最近的研究探索了秘密共享的专门应用和增强功能。Lin等人[36]提出了用于双图像用例的谜题矩阵方案，而Das等人[37]引入了简化的可验证秘密共享协议。Applebaum和Nir[38]研究了元复杂性限制，揭示了高级秘密共享功能的固有效率限制。进一步的研究调查了复杂的访问结构[39]、视觉增强[40]以及对抗物理位泄露的韧性[41]。然而，这些方法通常针对特定场景进行定制，往往缺乏大规模知识数据共享所需的通用性和计算效率，特别是由于它们依赖于模域运算。表1详细比较了我们的GreedyTSCP-AONT方法与现有的阈值秘密共享方案，突出了在计算原语、安全假设和实际特性方面的关键差异。

表1. 阈值秘密共享方案的比较

| 方案 | 核心原语 | 共享生成 | 重构 | 安全基础 | 实际限制 |
| --- | --- | --- | --- | --- |
| Shamir [5] | 多项式插值（在有限域上） | 拉格朗日插值 | 信息论（完美保密） | 由于域运算成本高；对于多MB数据集不切实际 |
| 基于CRT的[13] | Chinese Remainder Theorem（使用互质模数） | 模运算 | 信息论 | 共享大小大；模数选择复杂；基于GCD的攻击风险 |
| Ramp方案 [12] | 降低次数的多项式 | 计算（允许部分泄露） | 妥协完美保密性；共享泄露部分信息；不适合高安全场景 |
| Stinson AONT [11] | 全有或全无变换（使用XOR哈希和XOR操作） | 信息论 | 需要所有块才能重构（不是阈值）；缺乏阈值属性 |
| RB-SS [8] | 线性擦除码（使用随机带矩阵） | 矩阵-向量乘法 | 信息论 | 矩阵运算成本高；带宽密集；参数调整复杂 |
| Greedy TSCP-AONT（我们的方案） | AONT + 组合集合覆盖 | XOR和哈希操作 | 信息论 | 近似集合覆盖（因子）；共享大小比Shamir大，但计算更快 |

2.3. 对企业知识管理的影响

在这项工作中，知识数据指的是体现组织专业知识、专有见解或协作研究成果的结构化知识产权，其价值超出了原始信息[3]、[42]。与通用文件共享不同，企业环境中的知识数据共享有三个独特的要求：
(i) 保密性治理，访问必须由组织政策控制，而不是个人 discretion。
(ii) 可审计性，每个访问事件都必须可追踪，以确保合规性和知识产权保护。
(iii) 协作重构，合法访问需要多个授权利益相关者的共识[43]。

阈值秘密共享特别适合知识资产，因为它本质上强制执行多方授权：没有单个受损的存储节点或内部人员可以单方面访问专有知识。实际示例包括：
• 研发（R&D）文档：在分布式团队之间共享的药物研究数据，过早披露可能会影响专利申请或竞争优势[44]。
• 分布式IP存储库：在合资企业中跨组织共享专有算法或商业秘密，各方持有部分访问权[45]。
• 跨组织知识共享：学术界与工业界的合作，需要控制预发表研究成果的传播，并具有可验证的访问日志[46]。

3. 前提

定义1 全有或全无变换（AONT）

AONT是一种随机、高效可计算的变换，其输出块之间具有强相互依赖性[9]、[11]。AONT由一对多项式时间算法组成，其中一个是正向变换，另一个是反向变换。该变换接受一个消息和一个随机数，生成一个输出，使得对所有位的了解可以通过反向变换高效地恢复原始消息。安全性要求是，对于任何包含的适当子集，其投影（由索引的位）不会在信息论意义上透露关于原始消息的信息。

AONT作为我们方案的计算基础，提供了关键属性，即变换数据的部分知识不会透露关于原始消息的任何信息。当与适当的组合结构结合时，这一属性自然扩展到阈值场景。在我们的构建中，我们使用了Stinson提出的最优变换，它在保持信息论安全性的同时实现了最小的密文扩展。

定义2 阈值集合系统

阈值集合系统为在参与者之间分配共享提供了组合结构[47]、[48]。一个k-阈值集合系统是一个元组，其中表示变换数据块的元素全集，是一组子集的集合，每个子集对应于分配给参与者的块，是一个覆盖函数，将子集集合映射到它们的并集。该系统必须满足两个关键属性。首先，阈值属性要求任何包含k个或更多子集的集合都必须覆盖整个全集。其次，隐私属性确保少于k的子集不能覆盖全集。

阈值集合系统为在参与者之间分配AONT输出块提供了数学框架。挑战在于高效地构建此类系统，同时最小化各个子集的大小，这直接影响共享数据的大小。我们的方法利用集合覆盖问题的近似算法来生成接近最优的阈值集合系统[49]、[50]。3.1. 阈值集合覆盖问题的贪心算法我们描述了一个贪心算法（算法1），用于近似解决阈值集合覆盖问题（TSCP）。该算法通过迭代选择子集来覆盖尽可能多的未覆盖元素，确保每个元素至少被覆盖t次。贪心算法总是选择在覆盖改进方面提供最大增量收益的子集[51]、[52]。下载：下载高分辨率图片（166KB）下载：下载全尺寸图片引理1算法1中描述的贪心算法可以产生一个可行的阈值集合覆盖问题（TSCP）解决方案，其近似比为α，其中α[49]。证明当不存在满足条件的元素时，算法终止，这意味着每个元素至少被覆盖t次。因此，算法产生了一个可行的解决方案。近似比将在定理1中证明。□定理1设TSCP是一个实例。用S表示贪心算法的输出，用O表示最优解。那么以下不等式成立：其中α[49]、[53]。证明我们使用基于集合覆盖问题对偶拟合技术的充电论证来证明这一点。设S是贪心算法选择的集合序列，用O*表示一个最优解。对于每个元素i，我们需要跟踪它被覆盖的次数。设d_i表示第i次迭代后元素i的覆盖不足量，定义为：(1)其中d_i是第i次迭代后元素i的覆盖次数。最初，对于所有的i，d_i=0，当对于所有的i，d_i=0时，算法终止。关键观察：在每次迭代中，贪心算法选择覆盖正不足量元素数量最多的集合。由于最优解必须覆盖所有剩余的不足量，因此最优解中至少存在一个集合覆盖了至少总剩余不足量的α分数。因此：(2)设D_i是第i次迭代后的总不足量。从方程(2)中，我们得到递归关系：(3)最初，D_0=0，当D_i=0时，算法终止。通过归纳应用递归关系(3)，我们得到：(4)由于算法在d_i=0时终止，并且每次迭代至少减少一个单位的不足量，我们需要总不足量变得可以忽略不计。出于实际目的，我们需要：(5)对方程(5)的两边取自然对数：(6)使用不等式(6)得到：(7)对于阈值集合覆盖问题，近似分析的有效宇宙大小是U（不同元素的数量），因为阈值参数θ影响问题的难度，但基本的组合结构取决于U。因此，从方程(8)得到：(9)这完成了证明。□注释1Feige[49]表明，贪心算法的对数近似比是紧的。此外，在假设θ≥1的情况下，没有多项式时间算法能够实现优于α的近似比。定理2 集合覆盖到阈值方案映射设S是一个θ-阈值集合系统，其中θ≥1，n≥t，设AONT是一个全有或全无变换，产生输出块O。定义参与者i的份额为s_i。那么：1. 正确性：对于任何i，集合S_i包含所有块O_i，使得可以通过O_i恢复数据M。2. 隐私性：对于任何i，存在j使得O_j不包含s_i。根据AONT的安全属性，缺失的块O_j使得剩余块在信息论上独立于s_i。证明第1部分直接来自θ的阈值属性：任何子集S_i都覆盖O_i，所以S_i意味着所有块都是可用的。第2部分来自阈值属性的逆命题结合定义1：如果S_i不包含O_i，那么至少有一个块缺失。根据定义1中的AONT安全属性，对于任何输出块的适当子集，投影在信息论上不会泄露关于s_i的信息。□3.2. 区块链和智能合约区块链是一种去中心化、不可变且仅允许追加的账本，它在点对点（P2P）网络中记录交易[1]、[54]。它由一系列块组成，每个块包含一个带时间戳的交易列表、前一个块的加密哈希值以及用于共识的随机数nonce。智能合约是部署在区块链上的自执行程序，其中各方之间的协议条款直接编码成代码[55]、[56]。3.3. 信任模型和安全假设我们的系统在阈值密码学文献中定义良好的信任模型标准[57]、[58]下运行。我们假设最多只有k个存储服务器共谋，因为k个或更多方的勾结将使得秘密重建成为可能。通过跨司法管辖区的地理分布、基于区块链的声誉系统、法律合规性以及从大型服务器池中随机选择来维护服务器独立性。网络模型假设最终消息传递、经过认证的通道和可靠的区块链广播。在密码学上，我们假设全有或全无变换满足标准安全定义，并且哈希函数是抗碰撞的。4. 系统架构和实体角色我们提出的方案将GreedyTSCP-AONT阈值数据共享方案与基于区块链的去中心化协调层集成在一起。如图1所示的架构包括以下关键实体及其各自的角色：• 数据所有者：一个完全受信任的实体，它发起共享过程。它仅临时持有原始消息M，应用AONT变换并运行GreedyTSCP来确定块分配，计算完整性标签，通过经过认证的通道将份额分配给服务器，并在区块链上注册会话元数据。• 区块链网络：一个点对点分布式账本，它管理去中心化协调，而不存储原始数据。它托管智能合约，用于安全和透明的份额注册、访问授权和事件审计。区块链还维护完整性，支持可编程逻辑以执行策略，并作为不可变的审计跟踪。区块链仅存储协调元数据：会话标识符、消息哈希值、阈值参数（θ,n）、过期时间戳和服务器地址列表；所有份额数据和经过AONT变换的块都存储在链外的分布式存储服务器上。• 智能合约：部署在区块链上的程序，用于管理共享数据的生命周期，包括份额注册、访问验证和重建协调。它们自主执行访问控制策略，消除了对中央权威的依赖。• 去中心化存储服务器：从全球分布的池中选出的独立节点，用于存储编码的数据份额。每个服务器只持有整体数据的一部分，使得从任何单个服务器重建数据在计算上不可行。这种设计保证了冗余性、容错性和抵抗破坏或审查的能力。• 数据用户：一个授权实体，寻求重建原始消息。它只持有其加密凭据，并在重建之前不存储任何份额数据。为了发起访问，用户向智能合约提交一个BLS签名，智能合约在触发相关存储服务器释放其份额进行重建之前对其进行验证。一旦收集到t个或更多有效份额，用户执行Reconstruct算法：重新组装块，应用逆AONT，验证完整性，并验证所有标签。将GreedyTSCP-AONT方案与区块链的集成创建了一个去中心化、透明且防篡改的基础设施，用于安全的知识数据交换，提供了一个无需依赖第三方进行份额分配和重建的信任环境，同时通过不可变的账本确保可追溯性和不可否认性，并通过自治智能合约执行访问控制。系统的弹性通过地理分散的存储服务器进一步增强，这些服务器独立存储不相交的份额块，确保没有单个服务器知道完整的数据内容，并防止任何单点故障破坏保密性，同时通过冗余性和抵抗审查的能力提供高可用性。区块链维护一个带有经济激励的声誉系统，奖励合规行为并惩罚存储节点的不当行为，从而建立一个全面去中心化的框架，用于安全知识数据管理，提供保密性、可用性、可验证性和抵抗篡改或未经授权访问的能力。下载：下载高分辨率图片（238KB）下载：下载全尺寸图片图1. 显示去中心化存储服务器和区块链协调的系统架构。4.1. 过程流程和操作动态我们系统的过程流程包括四个关键阶段：安全数据共享和份额注册、访问授权、阈值份额收集和消息重建（见图2）。详细信息如下：下载：下载高分辨率图片（404KB）下载：下载全尺寸图片图2. 过程流程。4.1.1. 安全数据共享和份额注册Share算法2使用全有或全无变换（AONT）、阈值集合覆盖系统和去中心化分发，将输入消息M∈{0,1}?安全地转换为n个份额，使得任何t个份额中的t个可以重建消息，而少于t个份额则不泄露任何信息。过程从选择一个来自SHA-3家族的加密哈希函数H:{0,1}?→{0,1}λ开始，其中λ是安全参数。使用表达式计算宇宙大小m：(10)m=λ?ln(n)lnnn?t+1，这确保了满足阈值属性所需的冗余性和安全级别之间的权衡。接下来，我们定义一个包含m个元素的宇宙U={u1,…,um}，每个元素对应一个数据块。使用贪心阈值集合覆盖问题（GreedyTSCP）算法，我们构建一个集合S={S1,S2,…,Sn}，使得对于每个大小|S′|≥t的子集S′?S，集合的并集满足：(11)?Si∈S′Si=U。这个属性确保任何t个份额共同覆盖宇宙中的所有块，允许完全数据恢复，而小于t的子集则使部分消息无法恢复。在共享之前，消息M附加其哈希hM=H(M)并填充到AONT块大小b=?λ/8?字节的倍数。均匀采样一个一次性填充掩码R←{0,1}|M′|，并生成一个随机种子r∈{0,1}2λ。使用Stinson的最优构造[11]应用AONT变换T，产生一个变换后的消息：(12)Y=T(M′⊕R,r)。Stinson的AONT[11]确保所有输出块都是检索输入的任何部分所必需的，提供信息论保护而无需加密。变换后的输出Y被分割成m个等大小的块Y=y1∥y2∥?∥ym，每个块对应于U中的一个元素。对于每个参与者i∈{1,…,n}，子集Si∈S定义了它们应接收的块的索引。份额i的数据部分为：(13)σi={yj:uj∈Si}。为了确保完整性和允许验证，计算一个加密标签τi=H(i‖σi‖hM)，并包含元数据ψi=(i,|M|,hM,timestamp)来标识份额并将其与消息绑定。每个完整的份额定义为shi=(σi,τi,ψi)并通过经过认证的通道传输到指定的存储服务器。最后，份额分布在区块链上记录。系统注册一个承诺：(15)c=H(σ1‖?‖σn)，作为未来审计的可验证参考。为了确保没有中间值容易受到取证恢复，敏感变量如R、r、M′和Y从内存中安全地覆盖。下载：下载高分辨率图片（334KB）下载：下载全尺寸图片此程序实现了一个去中心化和密码学上可验证的安全知识数据共享机制。它消除了对加密密钥或受信任第三方的需求，同时通过信息论和区块链辅助的保证确保数据的保密性、完整性和可恢复性。为了确保去中心化环境中的透明性和协调性，我们集成了一个智能合约，负责注册份额分配事件而不暴露份额内容本身。合约记录元数据，如份额数量、阈值、数据哈希和服务器分配，同时通过区块链事件实现外部可验证性。这与算法2中的Share Generation Procedure一致，后者以在链上记录承诺哈希和元数据来确保可重建性和争议解决。下载：下载高分辨率图片（322KB）下载：下载全尺寸图片智能合约协议RegisterShares算法3在Share阶段建立了一个无信任的协调框架，允许数据所有者在将份额{s_i}i=1n分布在独立操作的存储服务器后，在链上承诺份额元数据。每个会话在唯一的会话标识符sid下运行，并维护状态信息，包括原始消息M的加密承诺数据Hash=H(M)、阈值参数t和总份额计数n、控制会话有效性的过期时间戳，以及用于重建验证的服务器分配。这个全面的链上记录作为一个公共审计日志，可验证地确认共享事件是在合法参数下发生的，同时保护消息M、各个份额σi和AONT组件的保密性。智能合约执行验证协议，确保所有分配的服务器都是被认可的实体，在会话中不重复，并满足建立的声誉阈值，从而防止Sybil攻击并排除低质量节点参与秘密共享方案。4.1.2.在我们的系统中，安全的数据访问是通过一个智能合约算法来实现的，该算法通过加密身份验证方案对用户进行认证。每个参与者在系统设置期间会在区块链上注册一个公钥pkuid。注册交易作为参与者真实身份（通过链下“了解你的客户”（KYC）流程或组织证书机构验证）与其加密身份之间的约束性承诺。我们的实现利用了Boneh–Lynn–Shacham（BLS）短签名方案[59]，因为它在基于配对的加密设置中具有计算效率和强大的安全特性。要访问共享会话，用户需要向智能合约提交一个BLS签名σ=Sign(skuid,sid)，智能合约会验证VerifySigBLS(pkuid,sid,σ)后才授权共享释放。BLS方案在选定的消息攻击下提供了存在性不可伪造性（EUF-CMA），防止在没有skuid的情况下进行冒充。

智能合约确保只有拥有有效身份签名的人才能请求访问共享消息会话sid，要求请求用户出现在预先批准的authorizedUsers[sid]列表中，并验证签名σ是否使用声称的身份uid构成了有效的BLS签名。在所有认证检查成功后，智能合约会向n个去中心化服务器发送通知，每个服务器独立决定是否参与重建过程。一旦有t个或更多服务器的响应在链上得到确认，用户就可以获得启动数据恢复协议的权限。此外，我们认识到更强的认证机制，如双因素/多因素协议[60]、[61]或基于属性的密码认证密钥交换[62]，可以进一步增强系统对抗复杂冒充攻击的能力，这些是未来的重要发展方向。

4.1.3. 消息重建
给定一组共享{shi=(σi,τi,ψi)}i∈I，其中|I|≥t，Reconstruct算法[5]能够安全且可验证地恢复原始消息M。每个共享shi包含数据块σi、验证标签τi和元数据ψi=(i,?,hM,ti)，其中hM=H(M)表示原始消息的摘要，?=|M|表示其长度。重建过程首先执行阈值要求，确保至少有t个有效的共享可用。如果收集到的共享索引集I未达到这个最小基数，则立即终止重建：(16)|I|
算法通过解析每个共享shi来提取元数据ψi=(i′,?,hm,i,ti)并进行一致性验证。提取的标识符i′必须与声称的参与者索引i匹配，以防止伪造或不匹配攻击。成功解析后，使用每个共享σi中包含的块子集从aont转换后的消息y开始重新组装块。这些块通过关系(17)b[uj]=yjifuj∈si系统地映射回它们在宇宙u={u1,…,um}中的位置：(17)b[uj]=yjifuj∈si，其中映射b汇总了所有可用共享中的块。只有当实现完全覆盖时，重建才能继续，通过确保所有m个块都被恢复来验证：(18)|domain(b)|=m?coverage is sufficient。如果方程(18)中的覆盖条件不满足，函数返回⊥。

一旦获得重新组装的消息y′=y1∥y2∥…∥ym，就使用stinson的最优方案[11]对其进行逆aont处理。这种转换产生：(19)(c,r′)=t?1(y′),m′=c⊕r′，其中c=m′⊕r′且r′可以从r′中恢复，如方程(19)所示。这种设计确保了如果没有完整访问y′，则无法确定m′或r′。然后，恢复的消息m′被解析为其组成成分：(20)m′=m?‖hm?‖pad，其中hm?表示根据方程(20)嵌入在恢复结构中的哈希。

完整性验证通过重新计算消息哈希来执行：(21)hm′=h(m?)，并将结果与嵌入的哈希hm?以及存储在每个共享元数据中的哈希值hm,i进行比较。任何差异都表明可能存在篡改或重建失败：(22)?i∈i:hm′≠hm,i?reconstruct→⊥。方程(22)中的完整性验证条件必须对所有参与的共享都得到满足。最后，标签认证通过重新计算τi′=h(i‖σi‖hm′)来验证每个共享，并检查τi′是否等于τi。只有当所有标签根据方程(23)匹配并且完整性得到保持时，算法才能成功输出重建的消息：(24)reconstruct({shi}i∈i)→m?。

重建过程的成功完成，如方程(24)中所正式化的，保证了恢复的消息m?的 authenticity和完整性。

5. 安全性分析
5.1. 安全模型和假设
我们在通用组合性（uc）框架[58]内对我们的greedytscp-aont阈值秘密共享方案进行了严格的安全性分析。uc框架为加密协议提供了已知的最强安全保证，即使在复杂环境中与其他协议组合使用时也能保持安全性。

5.1.1. 形式化模型组件
我们的安全模型由三个主要组件组成：环境z、对手a和协议参与者。环境z代表与协议交互的所有外部实体。它被形式化为一个概率多项式时间（ppt）交互式图灵机，为诚实方提供输入，观察它们的输出，在执行过程中与对手协调，并输出一个比特来指示它是在与真实世界还是理想世界交互。

我们考虑一个静态对手a，在执行开始时调用腐败预言机ocorr(i)，在任何协议消息传递之前，以获取服务器si的完整内部状态；之后，集合c?[n]且|c|≤t?1对于该会话是固定的。如果经销商（数据所有者）在算法7的finalize步骤之后被腐蚀，一旦r、r、m′和y被安全删除，就不会进一步暴露关于m的信息，因为经销商除了已经在链上的内容外没有保留任何信息。在共享阶段（删除之前）经销商的腐败不在静态模型范围内，并且明确排除在安全保证之外。

5.1.2. 加密假设
我们的安全分析依赖于uc框架内的标准加密假设。我们的构建在(from,fledger,fauth)混合模型中运行，其中：
from：随机预言机功能，模拟哈希函数h:{0,1}?→{0,1}λ，为模拟器提供抗碰撞性和可编程性。bls签名方案在随机预言机模型[63]下实现了存在性不可伪造性（euf-cma）。
fledger：区块链被建模为全局账本子功能，提供一致性、活性和不可变性属性。
fauth：认证通道功能，确保消息完整性和发送者认证，并在协议参与者之间具有有限的延迟δ。

5.2. 理想功能ftssst
理想功能以抽象方式捕获阈值秘密共享所需的安全属性。它在会话之间保持状态并强制执行完美的阈值安全性。ftss（算法6）通过在(from,fledger,fauth)混合模型中运行并提供四个完全指定的接口来提供完整的uc描述。share接口仅向模拟器泄露|m|；reconstruct区分诚实多数（对手可以阻止但无法影响输出）和腐败多数（对手决定输出）；corrupt在阈值被突破时强制执行静态腐败并揭示秘密；abort接口启用⊥输出，完成模拟论证。定理3通过五个混合游戏建立了uc实现，这些游戏的区分优势可以忽略不计。扩展到适应性腐败[64]和通过fsecretshare[65]的模块化简化是后续工作的重要方向。

5.3. 现实世界协议πtsst
现实世界协议使用我们的greedytscp-aont构建和区块链协调来实现阈值秘密共享。

共享生成阶段首先使用信息论原理计算最优宇宙大小m，以确保任何t个服务器共同拥有所有数据块，同时最小化冗余。greedytscp算法生成接近最优的块分配给服务器，保证任何t个服务器的组合集覆盖整个宇宙。在应用aont之前，消息会附加其哈希以进行完整性验证，并填充到块大小的倍数。aont转换使用stinson的最优构建，确保即使缺失一个转换后的位也不会泄露关于输入的信息。一次性填充r为填充后的消息提供完美的保密性，而随机种子r引入了aont所需的随机性。每个服务器只接收其集合si分配的块，以及一个将共享与服务器身份和消息哈希绑定的加密标签，防止替换攻击。

重建阶段实施多层验证以确保安全性。通过区块链的认证确保只有授权用户可以发起重建，bls签名提供不可否认性。该协议通过超时机制容忍最多n?t个无响应的服务器，从任何t个响应的服务器收集共享。每个共享通过检查其加密标签来验证，确保共享在存储或传输过程中未被篡改。重建过程在尝试反转aont之前验证所有宇宙元素的完整覆盖。逆aont操作恢复掩码后的消息和在前向转换中使用的随机性。消息完整性在两个层面上进行验证：首先通过检查aont输出中的嵌入哈希，然后与存储在共享元数据中的哈希值进行比较。

5.4. uc安全定理
我们通过以下定理证明我们的协议实现了理想功能。
定理3 πtss的安全性
设πtss是算法7、8中指定的协议。在假设h是随机预言机、bls签名是euf-cma安全的，并且存在认证通道的情况下，对于任何ppt对手a，存在一个ppt模拟器s，使得对于任何ppt环境z：|pr[execπtss,a,z(λ)=1]?pr[execftss,s,z(λ)=1]|≤negl(λ)。
uc安全保证的范围。

定理3在上述四个假设下成立：(a)最多t?1个服务器的静态腐败，(b)区块链实现了理想的账本功能fledger，提供一致性、活性和不可变性，(c)通信通道实现了认证功能fauth，以及(d)对手在计算上是有限的（ppt）。因此，以下威胁不在当前证明的范围内，不会使结果无效：共享阶段开始后存储节点的自适应腐败；在重建期间阻止t个服务器响应的服务拒绝攻击（这是一种活性威胁，而不是保密威胁，因为协议返回⊥而不泄露m）；以及验证者多数的区块链级审查。这些限制与标准uc对阈值协议的处理[58]一致，不影响所述模型内的安全性的正确性。

5.5. 模拟器构建
模拟器s在理想世界中运行，与ftss交互，产生与真实协议执行无法区分的视图。

模拟器（算法9）在其执行过程中维护几个关键属性。在共享阶段，它使用随机数据为腐败服务器生成共享，因为这些服务器由于aont属性而无法确定它们持有的是真实消息的共享还是随机数据。模拟器仔细跟踪哪些块对腐败服务器可见，哪些保持隐藏。在重建期间，当有足够的诚实服务器存在时，模拟器学习真实消息并必须确保一致性。它通过编程随机预言机来实现这一点，使得对应于诚实服务器的块与之前分发的腐败共享结合后能够重建为正确的消息。当腐败服务器控制重建时，模拟器提取它们将重建的消息并提供给理想功能。此外，当对手的网络行为导致t个服务器在超时δ内无法响应时，模拟器调用abort(sid)；这会导致ftss向请求方发送⊥，与算法8（步骤1超时中止）的真实协议行为相匹配。

5.6. 通过混合游戏证明
我们通过一系列精心构建的混合游戏来证明不可区分性。

定理3的证明
我们定义了逐渐将真实执行转换为理想执行的混合游戏g0到g5。
游戏g0（现实世界）这是原始的现实世界执行，其中各方使用实际消息诚实地执行协议。环境的视图包括所有协议消息、区块链交易和诚实方的输出。
游戏g1（随机预言机）我们将哈希函数h替换为一个可编程的随机预言机。这种变化在随机预言机模型中是完全不可区分的，因为两者都为新鲜查询提供均匀随机的输出，对于重复查询提供一致的输出。
游戏g2（隐藏元素的随机块）关键见解是，当少于t个服务器被腐败时，一些宇宙元素仍然未被腐败服务器发现。 算法通过解析每个共享shi来提取元数据ψi=(i′,?,hM,i,ti)并进行一致性验证。提取的标识符i′必须与声称的参与者索引i匹配，以防止伪造或不匹配攻击。成功解析后，使用每个共享σi中包含的块子集从AONT转换后的消息Y开始重新组装块。这些块通过关系(17)B[uj]=yjifuj∈Si系统地映射回它们在宇宙U={u1,…,um}中的位置：(17)B[uj]=yjifuj∈Si，其中映射B汇总了所有可用共享中的块。只有当实现完全覆盖时，重建才能继续，通过确保所有m个块都被恢复来验证：(18)|domain(B)|=m?coverage is sufficient。如果方程(18)中的覆盖条件不满足，函数返回⊥。 一旦获得重新组装的消息y′=y1∥y2∥…∥ym，就使用Stinson的最优方案[11]对其进行逆AONT处理。这种转换产生：(19)(C,r′)=T?1(Y′),M′=C⊕R′，其中C=M′⊕R′且R′可以从r′中恢复，如方程(19)所示。这种设计确保了如果没有完整访问Y′，则无法确定M′或R′。然后，恢复的消息M′被解析为其组成成分：(20)M′=M?‖hM?‖pad，其中hM?表示根据方程(20)嵌入在恢复结构中的哈希。 完整性验证通过重新计算消息哈希来执行：(21)hm′=H(M?)，并将结果与嵌入的哈希hM?以及存储在每个共享元数据中的哈希值hM,i进行比较。任何差异都表明可能存在篡改或重建失败：(22)?i∈I:hM′≠hM,i?Reconstruct→⊥。方程(22)中的完整性验证条件必须对所有参与的共享都得到满足。最后，标签认证通过重新计算τi′=H(i‖σi‖hM′)来验证每个共享，并检查τi′是否等于τi。只有当所有标签根据方程(23)匹配并且完整性得到保持时，算法才能成功输出重建的消息：(24)Reconstruct({shi}i∈I)→M?。 重建过程的成功完成，如方程(24)中所正式化的，保证了恢复的消息m?的 authenticity和完整性。 5. 安全性分析 5.1. 安全模型和假设 我们在通用组合性（uc）框架[58]内对我们的greedytscp-aont阈值秘密共享方案进行了严格的安全性分析。uc框架为加密协议提供了已知的最强安全保证，即使在复杂环境中与其他协议组合使用时也能保持安全性。 5.1.1. 形式化模型组件 我们的安全模型由三个主要组件组成：环境z、对手a和协议参与者。环境z代表与协议交互的所有外部实体。它被形式化为一个概率多项式时间（ppt）交互式图灵机，为诚实方提供输入，观察它们的输出，在执行过程中与对手协调，并输出一个比特来指示它是在与真实世界还是理想世界交互。 我们考虑一个静态对手a，在执行开始时调用腐败预言机ocorr(i)，在任何协议消息传递之前，以获取服务器si的完整内部状态；之后，集合c?[n]且|c|≤t?1对于该会话是固定的。如果经销商（数据所有者）在算法7的finalize步骤之后被腐蚀，一旦r、r、m′和y被安全删除，就不会进一步暴露关于m的信息，因为经销商除了已经在链上的内容外没有保留任何信息。在共享阶段（删除之前）经销商的腐败不在静态模型范围内，并且明确排除在安全保证之外。 5.1.2. 加密假设 我们的安全分析依赖于uc框架内的标准加密假设。我们的构建在(from,fledger,fauth)混合模型中运行，其中： from：随机预言机功能，模拟哈希函数h:{0,1}?→{0,1}λ，为模拟器提供抗碰撞性和可编程性。bls签名方案在随机预言机模型[63]下实现了存在性不可伪造性（euf-cma）。 fledger：区块链被建模为全局账本子功能，提供一致性、活性和不可变性属性。 fauth：认证通道功能，确保消息完整性和发送者认证，并在协议参与者之间具有有限的延迟δ。 5.2. 理想功能ftssst 理想功能以抽象方式捕获阈值秘密共享所需的安全属性。它在会话之间保持状态并强制执行完美的阈值安全性。ftss（算法6）通过在(from,fledger,fauth)混合模型中运行并提供四个完全指定的接口来提供完整的uc描述。share接口仅向模拟器泄露|m|；reconstruct区分诚实多数（对手可以阻止但无法影响输出）和腐败多数（对手决定输出）；corrupt在阈值被突破时强制执行静态腐败并揭示秘密；abort接口启用⊥输出，完成模拟论证。定理3通过五个混合游戏建立了uc实现，这些游戏的区分优势可以忽略不计。扩展到适应性腐败[64]和通过fsecretshare[65]的模块化简化是后续工作的重要方向。 5.3. 现实世界协议πtsst 现实世界协议使用我们的greedytscp-aont构建和区块链协调来实现阈值秘密共享。 共享生成阶段首先使用信息论原理计算最优宇宙大小m，以确保任何t个服务器共同拥有所有数据块，同时最小化冗余。greedytscp算法生成接近最优的块分配给服务器，保证任何t个服务器的组合集覆盖整个宇宙。在应用aont之前，消息会附加其哈希以进行完整性验证，并填充到块大小的倍数。aont转换使用stinson的最优构建，确保即使缺失一个转换后的位也不会泄露关于输入的信息。一次性填充r为填充后的消息提供完美的保密性，而随机种子r引入了aont所需的随机性。每个服务器只接收其集合si分配的块，以及一个将共享与服务器身份和消息哈希绑定的加密标签，防止替换攻击。 重建阶段实施多层验证以确保安全性。通过区块链的认证确保只有授权用户可以发起重建，bls签名提供不可否认性。该协议通过超时机制容忍最多n?t个无响应的服务器，从任何t个响应的服务器收集共享。每个共享通过检查其加密标签来验证，确保共享在存储或传输过程中未被篡改。重建过程在尝试反转aont之前验证所有宇宙元素的完整覆盖。逆aont操作恢复掩码后的消息和在前向转换中使用的随机性。消息完整性在两个层面上进行验证：首先通过检查aont输出中的嵌入哈希，然后与存储在共享元数据中的哈希值进行比较。 5.4. uc安全定理 我们通过以下定理证明我们的协议实现了理想功能。 定理3 πtss的安全性 设πtss是算法7、8中指定的协议。在假设h是随机预言机、bls签名是euf-cma安全的，并且存在认证通道的情况下，对于任何ppt对手a，存在一个ppt模拟器s，使得对于任何ppt环境z：|pr[execπtss,a,z(λ)=1]?Pr[EXECFTSS,S,Z(λ)=1]|≤negl(λ)。 uc安全保证的范围。 定理3在上述四个假设下成立：(a)最多t?1个服务器的静态腐败，(b)区块链实现了理想的账本功能fledger，提供一致性、活性和不可变性，(c)通信通道实现了认证功能fauth，以及(d)对手在计算上是有限的（ppt）。因此，以下威胁不在当前证明的范围内，不会使结果无效：共享阶段开始后存储节点的自适应腐败；在重建期间阻止t个服务器响应的服务拒绝攻击（这是一种活性威胁，而不是保密威胁，因为协议返回⊥而不泄露m）；以及验证者多数的区块链级审查。这些限制与标准uc对阈值协议的处理[58]一致，不影响所述模型内的安全性的正确性。 5.5. 模拟器构建 模拟器s在理想世界中运行，与ftss交互，产生与真实协议执行无法区分的视图。 模拟器（算法9）在其执行过程中维护几个关键属性。在共享阶段，它使用随机数据为腐败服务器生成共享，因为这些服务器由于aont属性而无法确定它们持有的是真实消息的共享还是随机数据。模拟器仔细跟踪哪些块对腐败服务器可见，哪些保持隐藏。在重建期间，当有足够的诚实服务器存在时，模拟器学习真实消息并必须确保一致性。它通过编程随机预言机来实现这一点，使得对应于诚实服务器的块与之前分发的腐败共享结合后能够重建为正确的消息。当腐败服务器控制重建时，模拟器提取它们将重建的消息并提供给理想功能。此外，当对手的网络行为导致t个服务器在超时δ内无法响应时，模拟器调用abort(sid)；这会导致ftss向请求方发送⊥，与算法8（步骤1超时中止）的真实协议行为相匹配。 5.6. 通过混合游戏证明 我们通过一系列精心构建的混合游戏来证明不可区分性。 定理3的证明 我们定义了逐渐将真实执行转换为理想执行的混合游戏g0到g5。 游戏g0（现实世界）这是原始的现实世界执行，其中各方使用实际消息诚实地执行协议。环境的视图包括所有协议消息、区块链交易和诚实方的输出。 游戏g1（随机预言机）我们将哈希函数h替换为一个可编程的随机预言机。这种变化在随机预言机模型中是完全不可区分的，因为两者都为新鲜查询提供均匀随机的输出，对于重复查询提供一致的输出。>
算法通过解析每个共享shi来提取元数据ψi=(i′,?,hm,i,ti)并进行一致性验证。提取的标识符i′必须与声称的参与者索引i匹配，以防止伪造或不匹配攻击。成功解析后，使用每个共享σi中包含的块子集从aont转换后的消息y开始重新组装块。这些块通过关系(17)b[uj]=yjifuj∈si系统地映射回它们在宇宙u={u1,…,um}中的位置：(17)b[uj]=yjifuj∈si，其中映射b汇总了所有可用共享中的块。只有当实现完全覆盖时，重建才能继续，通过确保所有m个块都被恢复来验证：(18)|domain(b)|=m?coverage is sufficient。如果方程(18)中的覆盖条件不满足，函数返回⊥。

一旦获得重新组装的消息y′=y1∥y2∥…∥ym，就使用stinson的最优方案[11]对其进行逆aont处理。这种转换产生：(19)(c,r′)=t?1(y′),m′=c⊕r′，其中c=m′⊕r′且r′可以从r′中恢复，如方程(19)所示。这种设计确保了如果没有完整访问y′，则无法确定m′或r′。然后，恢复的消息m′被解析为其组成成分：(20)m′=m?‖hm?‖pad，其中hm?表示根据方程(20)嵌入在恢复结构中的哈希。

完整性验证通过重新计算消息哈希来执行：(21)hm′=h(m?)，并将结果与嵌入的哈希hm?以及存储在每个共享元数据中的哈希值hm,i进行比较。任何差异都表明可能存在篡改或重建失败：(22)?i∈i:hm′≠hm,i?reconstruct→⊥。方程(22)中的完整性验证条件必须对所有参与的共享都得到满足。最后，标签认证通过重新计算τi′=h(i‖σi‖hm′)来验证每个共享，并检查τi′是否等于τi。只有当所有标签根据方程(23)匹配并且完整性得到保持时，算法才能成功输出重建的消息：(24)reconstruct({shi}i∈i)→m?。

重建过程的成功完成，如方程(24)中所正式化的，保证了恢复的消息m?的 authenticity和完整性。

5. 安全性分析
5.1. 安全模型和假设
我们在通用组合性（uc）框架[58]内对我们的greedytscp-aont阈值秘密共享方案进行了严格的安全性分析。uc框架为加密协议提供了已知的最强安全保证，即使在复杂环境中与其他协议组合使用时也能保持安全性。

5.1.1. 形式化模型组件
我们的安全模型由三个主要组件组成：环境z、对手a和协议参与者。环境z代表与协议交互的所有外部实体。它被形式化为一个概率多项式时间（ppt）交互式图灵机，为诚实方提供输入，观察它们的输出，在执行过程中与对手协调，并输出一个比特来指示它是在与真实世界还是理想世界交互。

我们考虑一个静态对手a，在执行开始时调用腐败预言机ocorr(i)，在任何协议消息传递之前，以获取服务器si的完整内部状态；之后，集合c?[n]且|c|≤t?1对于该会话是固定的。如果经销商（数据所有者）在算法7的finalize步骤之后被腐蚀，一旦r、r、m′和y被安全删除，就不会进一步暴露关于m的信息，因为经销商除了已经在链上的内容外没有保留任何信息。在共享阶段（删除之前）经销商的腐败不在静态模型范围内，并且明确排除在安全保证之外。

5.1.2. 加密假设
我们的安全分析依赖于uc框架内的标准加密假设。我们的构建在(from,fledger,fauth)混合模型中运行，其中：
from：随机预言机功能，模拟哈希函数h:{0,1}?→{0,1}λ，为模拟器提供抗碰撞性和可编程性。bls签名方案在随机预言机模型[63]下实现了存在性不可伪造性（euf-cma）。
fledger：区块链被建模为全局账本子功能，提供一致性、活性和不可变性属性。
fauth：认证通道功能，确保消息完整性和发送者认证，并在协议参与者之间具有有限的延迟δ。

5.2. 理想功能ftssst
理想功能以抽象方式捕获阈值秘密共享所需的安全属性。它在会话之间保持状态并强制执行完美的阈值安全性。ftss（算法6）通过在(from,fledger,fauth)混合模型中运行并提供四个完全指定的接口来提供完整的uc描述。share接口仅向模拟器泄露|m|；reconstruct区分诚实多数（对手可以阻止但无法影响输出）和腐败多数（对手决定输出）；corrupt在阈值被突破时强制执行静态腐败并揭示秘密；abort接口启用⊥输出，完成模拟论证。定理3通过五个混合游戏建立了uc实现，这些游戏的区分优势可以忽略不计。扩展到适应性腐败[64]和通过fsecretshare[65]的模块化简化是后续工作的重要方向。

5.3. 现实世界协议πtsst
现实世界协议使用我们的greedytscp-aont构建和区块链协调来实现阈值秘密共享。

共享生成阶段首先使用信息论原理计算最优宇宙大小m，以确保任何t个服务器共同拥有所有数据块，同时最小化冗余。greedytscp算法生成接近最优的块分配给服务器，保证任何t个服务器的组合集覆盖整个宇宙。在应用aont之前，消息会附加其哈希以进行完整性验证，并填充到块大小的倍数。aont转换使用stinson的最优构建，确保即使缺失一个转换后的位也不会泄露关于输入的信息。一次性填充r为填充后的消息提供完美的保密性，而随机种子r引入了aont所需的随机性。每个服务器只接收其集合si分配的块，以及一个将共享与服务器身份和消息哈希绑定的加密标签，防止替换攻击。

重建阶段实施多层验证以确保安全性。通过区块链的认证确保只有授权用户可以发起重建，bls签名提供不可否认性。该协议通过超时机制容忍最多n?t个无响应的服务器，从任何t个响应的服务器收集共享。每个共享通过检查其加密标签来验证，确保共享在存储或传输过程中未被篡改。重建过程在尝试反转aont之前验证所有宇宙元素的完整覆盖。逆aont操作恢复掩码后的消息和在前向转换中使用的随机性。消息完整性在两个层面上进行验证：首先通过检查aont输出中的嵌入哈希，然后与存储在共享元数据中的哈希值进行比较。

5.4. uc安全定理
我们通过以下定理证明我们的协议实现了理想功能。
定理3 πtss的安全性
设πtss是算法7、8中指定的协议。在假设h是随机预言机、bls签名是euf-cma安全的，并且存在认证通道的情况下，对于任何ppt对手a，存在一个ppt模拟器s，使得对于任何ppt环境z：|pr[execπtss,a,z(λ)=1]?pr[execftss,s,z(λ)=1]|≤negl(λ)。
uc安全保证的范围。

定理3在上述四个假设下成立：(a)最多t?1个服务器的静态腐败，(b)区块链实现了理想的账本功能fledger，提供一致性、活性和不可变性，(c)通信通道实现了认证功能fauth，以及(d)对手在计算上是有限的（ppt）。因此，以下威胁不在当前证明的范围内，不会使结果无效：共享阶段开始后存储节点的自适应腐败；在重建期间阻止t个服务器响应的服务拒绝攻击（这是一种活性威胁，而不是保密威胁，因为协议返回⊥而不泄露m）；以及验证者多数的区块链级审查。这些限制与标准uc对阈值协议的处理[58]一致，不影响所述模型内的安全性的正确性。

5.5. 模拟器构建
模拟器s在理想世界中运行，与ftss交互，产生与真实协议执行无法区分的视图。

模拟器（算法9）在其执行过程中维护几个关键属性。在共享阶段，它使用随机数据为腐败服务器生成共享，因为这些服务器由于aont属性而无法确定它们持有的是真实消息的共享还是随机数据。模拟器仔细跟踪哪些块对腐败服务器可见，哪些保持隐藏。在重建期间，当有足够的诚实服务器存在时，模拟器学习真实消息并必须确保一致性。它通过编程随机预言机来实现这一点，使得对应于诚实服务器的块与之前分发的腐败共享结合后能够重建为正确的消息。当腐败服务器控制重建时，模拟器提取它们将重建的消息并提供给理想功能。此外，当对手的网络行为导致t个服务器在超时δ内无法响应时，模拟器调用abort(sid)；这会导致ftss向请求方发送⊥，与算法8（步骤1超时中止）的真实协议行为相匹配。

5.6. 通过混合游戏证明
我们通过一系列精心构建的混合游戏来证明不可区分性。

定理3的证明
我们定义了逐渐将真实执行转换为理想执行的混合游戏g0到g5。
游戏g0（现实世界）这是原始的现实世界执行，其中各方使用实际消息诚实地执行协议。环境的视图包括所有协议消息、区块链交易和诚实方的输出。
游戏g1（随机预言机）我们将哈希函数h替换为一个可编程的随机预言机。这种变化在随机预言机模型中是完全不可区分的，因为两者都为新鲜查询提供均匀随机的输出，对于重复查询提供一致的输出。
游戏g2（隐藏元素的随机块）关键见解是，当少于t个服务器被腐败时，一些宇宙元素仍然未被腐败服务器发现。>让 Umiss=U??i∈CSi 表示这些未被覆盖的元素。在这个游戏中，我们根据随机消息生成与 Umiss 对应的块，而不是真实消息。这种不可区分性来自于 AONT 安全属性。AONT 保证对于任何块的适当子集，缺失块的条件分布是均匀的。由于受损服务器只观察到块的适当子集，它们无法区分未观察到的块是来自真实消息还是随机数据。正式地，对于 AONT 输出 Y=y1‖?‖ym 和观察到的索引 J?[m]：H(M|{yj:j∈J})=H(M)。因此：|Pr[G2=1]?Pr[G1=1]|=0。

游戏 G3（延迟块生成）：在共享过程中，我们不立即为 Umiss 生成块，而是将它们的生成推迟到重建时。只有当对手在块生成之前查询依赖于这些块的随机预言机时，才能检测到这种变化。

让 Ebad 表示对手在重建之前查询涉及 Umiss 块的随机预言机的事件。每个 AONT 输出的块 yj 是一个 λ 位字符串（块大小 b=?λ/8? 字节），因此每个隐藏块的熵正好是 λ 位，而不是 λ/m。每个会话最多有 qH 次随机预言机查询和 qS 次会话：Pr[Ebad]≤qH?qS?|Umiss|?2?λ。因此：|Pr[G3=1]?Pr[G2=1]|≤qH?qS?m?2?λ。

游戏 G4（消息提取）：当受损服务器控制重建时（即 |C|≥t），我们从它们的集体份额中提取消息，而不是遵循正常协议。这是完全不可区分的，因为提取产生的结果正是重建算法会计算的结果。

游戏 G4.5（BLS 认证简化）：我们使用 BLS 签名方案的 EUF-CMA 安全性来限制访问验证步骤中的假冒攻击（算法 4）。任何 PPT 对手如果导致未经授权的方通过 VerifyUserAndNotify 检查，就必须伪造一个有效的签名 σ=Sign(skuid, sid) 用于链上注册的密钥 pkuid，而不知道相应的秘密密钥。标准的简化方法将 BLS EUF-CMA 挑战者的公钥嵌入为注册用户密钥，并通过随机预言机转发签名请求；对手的伪造行为同样会以相同的概率破坏 EUF-CMA 安全性。在所有会话中，有 qA 次认证尝试：|Pr[G4.5=1]?Pr[G4=1]|≤qA??BLS(λ)。

游戏 G5（理想世界）：这对应于使用我们的模拟器进行的理想执行。模拟器实现了通过混合游戏开发的策略，通过随机预言机编程和消息提取来保持一致性。

结合所有步骤：|Pr[G0=1]?Pr[G5=1]|≤qH?qS?m?2?λ︸G3：延迟块+qA??BLS(λ)︸G4.5：BLS 伪造，其中 qS 是会话数量，qA 是认证尝试次数。由于两项在 λ 中都可以忽略不计，因此定理成立。

5.7. 故障处理和鲁棒性：重建程序将四种不同的故障条件视为等价的 ⊥ 输出，从而在协议边界上保持全有或全无的保证。
(i) 少于 t 个服务器响应：算法 8 中的超时 Δ 被触发，程序中止（步骤 1 返回 ⊥）；没有共享内容被泄露。
(ii) 形式错误或被替换的共享：任何未能通过标签检查 τi=H(i‖σi‖hM)（步骤 7）的共享都会被丢弃；如果丢弃后剩余的有效共享少于 t 个，则程序在步骤 1 返回 ⊥。
(iii) 区块链交易失败：智能合约执行 expiresAt 字段（算法 3）；对过期或未注册的会话的任何重建尝试都会触发链上的回滚，程序在认证时返回 ⊥（算法 8 的步骤 1）。
(iv) 网络模型限制：我们强调，我们的 UC 安全证明假设了一个具有有限消息传输延迟 Δ 的同步网络。在完全异步的环境中，需要额外的机制，如异步可验证秘密共享（AVSS）协议来维持安全保证。

在所有四种情况下，程序都会输出 ⊥，而不会暴露任何部分明文，满足 FTSS 的中止接口。

6. 实验评估
6.1. 硬件和软件环境：实验在配备有 Intel Xeon E5-2680 v4（2.4 GHz）CPU、64 GB DDR4 RAM 和 1 TB NVMe SSD 的服务器上进行，运行 Ubuntu 20.04 LTS（Linux 内核 5.15）。所有实现都是使用 Python 3.13 和 NumPy 2.3.22 以及 hashlib 中的 SHA-256 开发的。Shamir 的方案 [5] 是使用 gmpy2 2.1.5 和 GMP 支持的大整数实现的，评估一个在 GF(p) 上的随机度数（t?1）多项式，在 n 个点上，没有 FFT 优化 [7]。CRT-SS [66] 使用 Mignotte 序列和 256 位互质模数以及 gmpy2 中的扩展 GCD 重建，而 RB-SS [8] 则使用基于 NumPy 的矩阵操作在 GF(28) 上进行。所有时间测量都是使用 time.perf_counter() 并固定 CPU 频率（cpupower frequency-set -g performance）进行的。每个结果报告了 50 次运行的平均值，95% 的置信区间低于 5%。实验包括热身和内存清除以减少方差。安全参数固定为 λ=256 位。

6.1.1. 数据集配置和阈值参数：我们在一个全面的参数空间中评估了三种不同的秘密共享方案。数据集大小从 1 MB 到 10 MB，以 1 MB 为增量，代表了典型的企业知识工件，包括技术报告、带有图表的研究论文和多媒体丰富的文档 [4]；尽管在存储方面规模不大，但这些大小对阈值秘密共享构成了挑战，因为即使是在 1 MB 的情况下，Shamir 的方案在计算上也变得不可行，而提出的 GreedyTSCP-AONT 可以在相对较短的时间内处理高达 10 MB 的数据。参与者的数量从 20 到 160，以 20 为增量，涵盖了从小研究小组到大型企业部署的各种情况。遵循标准的阈值密码学实践 [5]，我们将阈值 t=?n/2? 设定为重建所需的大多数参与者数量，同时最大化容错能力。

评估的四种方案如下：(1) GreedyTSCP-AONT，我们提出的方案，它结合了一个优化的组合集覆盖构造；(2) RB-SS，一种基于线性擦除码的秘密共享方案 [8]；(3) Shamir，经典的基于多项式的秘密共享方法，利用拉格朗日插值 [5]；以及 (4) CRT-SS，一种使用中国剩余定理（CRT）和精心选择的互质模数构建的理想秘密共享方案 [66]。所有方案都在相同的安全部件下实现，以确保公平和一致的比较。

6.2. 性能比较：秘密共享方案
6.2.1. 共享生成性能分析：图 3 和表 2 显示了我们的 GreedyTSCP-AONT 方案相对于传统方法在计算上的显著优势。性能提升源于根本的算法差异：虽然传统方案依赖于有限域中的昂贵数学运算，但我们的方法利用了高效的位运算和加密哈希。
随着参与者数量的增加，性能差异变得更加明显。对于 160 个参与者处理 1 MB 数据，我们的 GreedyTSCP-AONT 方案在 0.464 秒内完成共享生成，而 Shamir 的方案需要 2811 秒，使我们的方法快 5187 倍。同样，与 RB-SS 方案（2196 秒）相比，我们的方法快 4052 倍。即使更高效的基于 CRT 的方法（44 秒）也比我们的方案慢 81 倍。

图 3. 不同参与者数量下 1 MB 数据集的共享生成性能比较。
图 4. 1 MB 数据集的重建性能比较。
图 5. 共享生成时间随数据集大小（100 个参与者）的可扩展性。
图 6. 重建时间随数据集大小（100 个参与者）的可扩展性。
图 7. 不同参与者数量下的存储开销比较。

这些显著的性能差异源于底层的计算原语。Shamir 的方案需要在有限域上构建和评估多项式，其中每个系数乘法涉及 256 位模运算。对于每个数据块，该方案必须执行与参与者数量平方成正比的域乘法。相比之下，我们的 GreedyTSCP-AONT 方法主要通过 XOR 运算和 SHA-256 哈希操作——这两种操作无论域大小如何都能在常数时间内执行，并且随参与者数量线性扩展。

基于 CRT 的方案比基于多项式的方案表现更好，因为它在生成过程中避免了插值。然而，它仍然需要为每个参与者计算模大整数的余数，导致计算开销明显高于我们的位运算。该方案对大整数的模运算依赖性造成了一个固有的性能瓶颈，对于大规模应用来说变得不可行。

图 9. 不同优化策略下的链上存储需求比较。
图 10. 在稳定负载下随时间变化的区块链吞吐量。

这些显著的性能差异源于底层的计算原语。Shamir 的方案需要在有限域上构建和评估多项式，其中每个系数乘法涉及 256 位模运算。对于每个数据块，该方案必须执行与参与者数量平方成正比的域乘法。相比之下，我们的 GreedyTSCP-AONT 方法主要通过 XOR 运算和 SHA-256 哈希操作——这两种操作无论域大小如何都能在常数时间内执行，并且随参与者数量线性扩展。

基于 CRT 的方案比基于多项式的方案表现更好，因为它在生成过程中避免了插值。然而，它仍然需要为每个参与者计算模大整数的余数，导致计算开销显著高于我们的位运算。该方案对大整数的模运算依赖性造成了一个固有的性能瓶颈，对于大规模应用来说变得不可行。

表 2. 不同数据集大小（1 MB?10 MB）下 GreedyTSCP-AONT 的性能。

6.2.2. 重建时间分析：图 4 和表 2 显示了我们的方法在重建阶段的显著优势。重建阶段通常是实际秘密共享应用中的关键路径，因为用户通常需要立即访问共享数据。重建结果展示了更显著的性能优势。在 160 个参与者的情况下，我们的方案在 0.460 秒内重建数据，而 Shamir 的方案需要 2780 秒，提高了 5576 倍。RB-SS 方案需要 2130 秒，使我们的方法快 4277 倍。即使是基于 CRT 的方案（340 秒）也比我们的方法慢 682 倍。

这些显著差异的原因在于重建算法。Shamir 的方案必须执行拉格朗日插值，这需要通过一系列有限域除法计算多项式系数，这是模运算中最昂贵的操作。每次除法涉及 256 位整数的扩展欧几里得算法计算，所需的除法次数随阈值呈平方增长。

我们的 GreedyTSCP-AONT 重建过程本质上更简单：它连接接收到的数据块，并通过带有预计算哈希值的 XOR 运算应用逆全有或全无变换。这种方法消除了所有昂贵的数学运算，只需要现代处理器可以并行执行的快速位运算。

基于 CRT 的方案比 Shamir 表现更好，因为它使用中国剩余定理进行重建，避免了多项式插值。然而，它仍然需要解决带有大模数的模方程组，这涉及比 XOR 运算更昂贵的扩展欧几里得算法计算。

表 2. 不同数据集大小（1 MB?10 MB）下 GreedyTSCP-AONT 的性能。

6.2.3. 数据集大小可扩展性分析：图 5、图 6 和表 3 探讨了性能随数据集大小的变化情况，揭示了传统方案在应用于大规模数据共享场景时的根本算法限制。可扩展性分析解释了为什么传统秘密共享方案一直局限于小密钥而不是大数据集。对于一个有 100 个参与者的 10MB 数据集，Shamir 的方案需要 15,800 秒（4.4 小时）进行共享生成和 12,000 秒（3.3 小时）进行重建。RB-SS 方案的表现略好一些，但仍然需要超过 3 小时进行生成和 2.5 小时进行重建。

同样，对于 100 个参与者，我们的 GreedyTSCP-AONT 方案在 4.14 秒内完成生成，在 3.83 秒内完成重建，使其比 Shamir 快 3813 倍。与 RB-SS 相比，我们的方案在生成方面快 2910 倍，在重建方面快 3136 倍。这种性能差距的存在是因为传统方案处理数据时采用小块数据，需要单独的多项式评估或模运算。每个块都会产生底层数学运算的全部计算成本。我们的方法将整个数据集视为一个统一对象，应用一次 AONT 变换，然后通过简单的数据操作分发结果。

根本的见解是，传统的秘密共享是为秘密是小密钥或密码的场景设计的——通常小于 1 KB。当应用于涉及兆字节或吉字节数据集的现代数据共享需求时，计算开销变得不可行。我们的方案通过用高效的位级操作替换昂贵的数学操作来具体解决这一限制，这些操作随数据大小线性扩展。

表 3. 所有方案在所有参与者数量（20–160）下的共享生成时间（秒）。

6.2.4. 存储效率分析：图 74 评估了存储需求，这直接影响实际部署中的分布式系统成本和带宽利用率。存储效率对于大规模部署是一个关键的实际考虑因素。我们的 GreedyTSCP-AONT 方案实现了接近阈值秘密共享理论最小值的最佳存储开销。对于 160 个参与者，我们的方案所需的存储开销因子约为 80，而 Shamir 的方案为 160，CRT 的方案为 320。这意味着我们的方法所需的存储空间是Shamir方法的1/2，是基于CRT的方案的1/4。这种存储优势源于我们方案的设计理念。传统方法为每个参与者生成与原始秘密大小相等的份额，导致存储空间呈线性增长。而我们的基于AONT的构造通过利用转换的数学特性更高效地分配数据，从而在保持相同安全保障的同时减少了每个份额的存储需求。对于需要在分布式团队之间管理大型知识库的组织来说，这种存储效率变得越来越重要。对于一个在100个参与者之间共享的1GB数据集，我们的方案总共需要大约50GB的存储空间，而Shamir方法需要100GB，基于CRT的方法需要200GB。这些差异直接转化为实际部署中基础设施成本的降低和网络利用率的提高。存储效率加上显著的计算性能优势，使得我们的GreedyTSCP-AONT方案特别适合于那些传统秘密共享方法在计算和经济上不可行的大规模知识管理应用。

6.2.5 实际性能影响
复杂性分析揭示了为什么传统方案在大规模部署中变得不切实际。对于一个典型的企业场景，有n=100个参与者，t=50的阈值和10MB的数据集，Shamir方案仅生成份额就需要大约250万次域乘法运算[7]。每次256位的域乘法运算需要几十个CPU周期，导致处理时间以小时计。我们的GreedyTSCP-AONT方法用位运算XOR替换了昂贵的有限域算术，这些运算可以在单个CPU周期内完成。这一根本性的差异使得即使对于大型数据集和高数量的参与者，也能实现实时性能，从而使阈值秘密共享在交互式应用中变得可行。

6.3. 区块链部署成本分析
6.3.1 部署环境
为了评估区块链与所提出的秘密共享方案的集成，我们在两个不同的平台上部署了阈值秘密共享框架，每个平台代表一种不同的架构范式。所有报告的指标都来自受控的测试网实验；没有进行生产主网部署。
- Hyperledger Besu（兼容以太坊的私有网络）：我们使用Hyperledger Besu v23.10.2和IBFT 2.0（伊斯坦布尔拜占庭容错）共识机制配置了一个私有网络[54]，该网络包括分布在三个地理区域的21个验证节点（北美、欧洲和亚太地区各7个节点）。区块时间为5秒，每个区块的气体限制为1500万。智能合约使用Solidity 0.8.19实现，并通过Hardhat v2.19.1进行部署。结果在以太坊Sepolia公共测试网上进行了交叉验证，以确认与公共区块链行为的一致性。
- Hyperledger Fabric（许可型联盟网络）：我们使用Hyperledger Fabric v2.5.4和基于Raft的排序服务[67]建立了一个联盟网络，该网络包括3个组织，每个组织有2个对等节点和5个排序节点。链代码使用Go 1.21实现，状态数据库使用CouchDB。认可策略要求至少来自3个组织中的2个组织的签名，区块超时时间为2秒，每个区块最多处理500笔交易。
表4总结了两个平台之间的关键架构差异。

6.3.2 区块链上的存储优化策略
区块链不存储份额数据或完整的元数据结构，而只记录会话标识符（sid）、原始消息的加密哈希（hM=H(M)）、阈值参数（t,n）、过期时间戳和紧凑的服务器分配索引。份额数据{σi}和AONT转换后的区块仅存储在分布式存储服务器上，因此区块链上的存储规模为O(log|M|)而不是O(|M|) [21]。
对于一个代表性的10MB文档，有n=100个参与者，以下三种存储策略展示了这种设计选择的影响：
- 朴素的全存储：将完整的份额数据存储在区块链上大约需要1MB×50（EVM存储开销）=50MB，按照以太坊每32字节20,000个气体的价格计算，这在任何实际部署中都是经济上不可行的。
- 元数据密集型方法：存储完整的每个份额的元数据（大小、加密承诺、服务器端点）需要385KB的区块链存储空间，消耗大约2.4亿个气体。
- 我们的哈希优化方法：仅存储会话ID、消息哈希、阈值参数和服务器分配索引，需要1.2KB的区块链存储空间，消耗267,445个气体。这比元数据密集型方法减少了99.7%的存储空间。

6.3.3 气体消耗、交易成本和跨平台比较
气体消耗数据是使用Hardhat内置的气体报告器获得的，并通过直接调用Besu节点的RPC进行验证。每个值是50次独立交易的平均值，95%的置信区间在报告值的±3%范围内。USD成本估算假设气体价格为30 gwei，ETH价格为$1000，代表典型的非拥堵主网条件[56]。Fabric基础设施的成本估计为云托管节点每小时0.05美元。

表5汇总了所有操作的每笔交易气体消耗、估算的USD成本和跨平台执行指标。
RegisterShares操作随着参与者数量的增加而呈亚线性增长，增长为O(nlogn)而不是O(n^2)，这是由于服务器分配的批量处理和EVM存储槽的有效打包。与未优化的基线相比，这平均减少了大约37%的气体消耗。

6.3.4 成本敏感性和可扩展性预测
表6报告了在三种代表性网络拥堵水平下Besu的会话注册成本。根据测量数据推断，500个参与者的会话大约需要850,000个气体（按30 gwei计算为$25.50），1000个参与者的部署大约需要140万个气体（$42.00）。对于需要高频操作的组织，第二层汇总解决方案（例如Optimism、Arbitrum）可以在保持以太坊安全保障的同时将成本降低一个到两个数量级。在Optimism Sepolia测试网上的验证确认，气体成本为相应L1值的15%–25%。请注意，对于后续分析，我们考虑使用Hyperledger Besu，因为它提供了一个具有明确气体计费的EVM兼容环境，而Hyperledger Fabric则没有内置气体模型。

6.3.5 交易吞吐量和延迟分析
图8展示了在实际负载条件下的区块链性能指标，显示了随着并发会话数量的增加，我们的系统如何保持稳定的性能。如图8所示，即使在高并发负载下，区块链组件也能保持可接受的延迟。份额注册操作是最复杂的，其延迟从低负载下的5.2秒逐渐增加到高峰条件下的27.9秒。这种性能适用于共享操作相对于访问请求来说相对不频繁的知识管理应用。

6.3.6 区块链存储效率分析
图9展示了通过我们的基于哈希的优化策略相比其他区块链存储方法所实现的存储效率。如图9所示，我们的哈希优化方法（蓝线）在不同数据集大小下几乎保持不变（每个会话1.2KB），因为只有加密哈希和最小量的元数据存储在区块链上，而份额则存储在链外；因此，区块链上的存储规模为O(log|M|)而不是O(|M|)。

6.3.7 网络吞吐量分析
图10展示了在不同网络条件下的吞吐量分析，证明了系统在企业部署中的可扩展性。由于区块链状态大小的增加和会话积累导致的状态访问成本的提高，份额注册吞吐量（蓝线）从每分钟180次操作下降到140次操作。在30分钟后稳定下来，表明系统具有稳定的可靠性。
总体而言，如图10所示，我们的区块链测试网在稳定状态下实现了每分钟47次份额注册操作和156次访问验证操作。这些指标超过了典型企业对知识共享系统的要求，因为在业务操作中分享事件是偶尔发生的。

6.3.8 气体成本优化分析
图11展示了我们的存储优化技术在减少不同参与者数量下的交易成本方面的有效性。图11中的哈希优化气体成本（蓝线）随着参与者数量的增加而呈亚线性增长，这是由于服务器分配的批量处理。与未优化方法相比，我们的智能合约计算服务器分配向量的单一哈希并存储紧凑的摘要，平均减少了大约37%的气体消耗。这展示了通过基于哈希的存储优化所实现的显著成本节约。

6.4 网络级和分布式系统评估
为了克服纯计算评估的局限性，我们使用基于Python的py-libp2p测试床在Trio异步运行时和经过认证的Noise协议流上扩展了我们的分析。除非另有说明，实验使用多数阈值t=?n/2?+1。评估重点关注延迟、部分可用性、拥堵和阈值敏感性。该方案不支持在重新分配份额时的主动操作，因此所有实验都假设分配后份额放置是静态的。
我们通过扫描0, 10, 30, 60, 100, 150, 200ms范围内的单向延迟来评估网络延迟对性能的影响，其中n∈20, 40, 60, 100，数据包大小为5MB。
图12显示，在零延迟情况下，重建时间随着参与者数量的增加而大致线性增长，从n=20时的2.12秒增加到n=100时的10.75秒。当延迟增加到200毫秒时，n=100的总重建时间增加到14.67秒，增加了1.36倍。这种适度的敏感性是由于并发份额检索造成的。客户端并行联系所有服务器，并在收集到t个有效份额后终止。AONT反转成本保持在大约0.22秒，与网络条件无关。

6.3.7 部分可用性和服务器故障
为了模拟部分故障，每个服务器以概率pfail∈[0,0.45]独立拒绝检索请求，其中n=100，t=51。系统可以容忍多达n?t=49个不可用的服务器。根据经验，当故障率高达35%时，重建的成功率为1；当故障率为40%时，成功率下降到33%；当故障率为45%时，成功率几乎可以忽略不计。这些结果紧密遵循二项概率Pr[Bin(n,1?p)≥t]。

6.3.8 成本敏感性和可扩展性预测
表6报告了在三种代表性网络拥堵水平下Besu的会话注册成本。根据测量数据推断，500个参与者的会话大约需要850,000个气体（按30 gwei计算为$25.50），1000个参与者的部署大约需要140万个气体（$42.00）。对于需要高频操作的组织，第二层汇总解决方案（例如Optimism、Arbitrum）可以在保持以太坊安全保障的同时将成本降低一个到两个数量级。在Optimism Sepolia测试网上的验证确认，气体成本为相应L1值的15%–25%。请注意，对于后续分析，我们考虑使用Hyperledger Besu，因为它提供了一个具有明确气体计费的EVM兼容环境，而Hyperledger Fabric则没有内置气体模型。

6.4. 网络级和分布式系统评估
为了应对纯计算评估的局限性，我们使用基于Python的py-libp2p测试床在Trio异步运行时和经过认证的Noise协议流上扩展了我们的分析。除非另有说明，实验使用多数阈值t=?n/2?+1。评估重点关注延迟、部分可用性、拥堵和阈值敏感性。该方案不支持在重新分配份额时的主动操作，因此所有实验都假设分配后份额是静态放置的。
我们通过扫描0, 10, 30, 60, 100, 150, 200ms范围内的单向延迟来评估网络延迟的影响，数据包大小为5MB。
图12显示，在零延迟情况下，重建时间随着参与者数量的增加而大致线性增长，从n=20时的2.12秒增加到n=100时的10.75秒。当延迟增加到200毫秒时，n=100的总重建时间增加到14.67秒，增加了1.36倍。这种适度的敏感性是由于并发份额检索造成的。客户端并行联系所有服务器，并在收集到t个有效份额后终止。AONT反转成本保持在大约0.22秒，与网络条件无关。

6.3.9 并发重建和网络拥堵
在图14中，我们通过改变同时进行的重建会话数量（从1到30）来评估系统在并发访问下的行为，其中n=60，t=31，服务器并发限制为8个流。延迟从单个会话的1.02秒增加到30个并发会话的3.95秒。吞吐量从每秒0.93次会话下降到每秒0.21次会话。这种下降是渐进的，反映了服务器级别的排队效应，而不是不稳定性。这表明系统在资源有限的分布式系统中表现出受控的性能下降。

6.4. 网络级和分布式系统评估
为了评估纯计算评估的局限性，我们使用基于Python的py-libp2p测试床在Trio异步运行时和经过认证的Noise协议流上扩展了我们的分析。除非另有说明，实验使用多数阈值t=?n/2?+1。评估重点关注延迟、部分可用性、拥堵和阈值敏感性。该方案不支持在重新分配份额时的主动操作，因此所有实验都假设分配后份额是静态放置的。
我们通过扫描0, 10, 30, 60, 100, 150, 200ms范围内的单向延迟来评估网络延迟的影响。相反，防止份额篡改的安全性是通过算法5中的验证机制来实现的。任何被修改或伪造的份额都会在重建之前通过完整性检查失败并被丢弃。因此，对抗行为被限制在实验2中分析的“份额不足”情景内。

下载：下载高分辨率图片（300KB）
下载：下载全尺寸图片

图16. 阈值比对延迟和鲁棒性的影响

6.4.1. 局限性和未来工作
尽管进行了广泛的评估，但仍有一些分布式系统的方面超出了当前实现的范围：
- 在节点频繁变动的情况下没有主动恢复机制：该方案假设在分配后份额的位置是固定的。它不支持在服务器永久离开时刷新或重新分配份额。因此，无法保证在动态节点变动下的长期韧性，这需要额外的协议设计。
- 地理分布式部署：实验是在受控的测试环境中进行的。在多个地理区域进行的实际部署可能会引入额外的延迟变化和路由效应。
- 对抗性网络行为：虽然完整性检查可以防止错误的重建，但像拒绝服务攻击或选择性响应攻击这样的网络级对抗行为并未被明确建模。
- 公共区块链的变异性：区块链实验是在受控配置下进行的。在具有可变gas价格和不可预测区块时间的真实公共网络条件下的性能需要进一步研究。

7. 结论
本研究提出了一种阈值数据共享方法，从根本上重新定义了去中心化环境中的安全信息分发。通过将贪婪阈值集合覆盖协议（GreedyTSCP）与全有或全无变换（AONT）结合在通用组合性（UC）框架下，我们的方案实现了理论上的健全性和实际效率之间的独特平衡。与传统的基于多项式的秘密共享方法不同，我们的构造消除了计算瓶颈，同时保持了强大的信息论安全保证和基于UC的组合性。
广泛的实验评估表明，所提出的Greedy TSCP-AONT方案在不牺牲安全性的前提下提供了前所未有的性能提升。与传统Shamir秘密共享方法相比，我们的结果在所有性能指标上都显示出显著的改进。份额生成的速度提高了几个数量级，而重建时间也显示出类似的显著改进，使得阈值秘密共享成为实时和大规模应用的可行选择。对于大型数据集，我们的方法保持了这些显著的优势，在生成和重建阶段都表现出显著的加速。

CRediT作者贡献声明
Philip Kwaku Adjei：撰写——原始草稿、可视化、验证、软件、方法论、形式分析、数据管理、概念化。
Qin Zhiguang：撰写——审稿与编辑、监督、概念化。
Isaac Amankona Obiri：方法论、形式分析、数据管理。
Christian Nii Aflah Cobblah：验证、资源、调查。
Ansu Badjie：资源、软件、验证。
Ali Alqahtani：资源、调查、资金获取、概念化。
Yeong Hyeon Gu：撰写——审稿与编辑、监督、资金获取。
Mugahed A. Al-antari：撰写——审稿与编辑、资金获取。

关于写作过程中使用生成式AI和AI辅助技术的声明
在准备这项工作时，作者使用了Chat-GPT和Grammarly来提高手稿的语言和语法标准。使用这些工具后，作者根据需要审阅和编辑了内容，并对已发表文章的内容承担全部责任。