2011-2012研究生《密码学理论与实践》期末试题

2011-2012学年数学专业研究生《密码学理论与实践》

期末考试

年级： 2011 学号： 2011020680 姓名： 刘 海 专业（二级学科）： 应用数学 研究方向： 密码学理论与工程

一、 解释相关概念及方法（15分）

1. 计算安全与理论安全；

2. IND-CCA2；

3. 可证明安全方法。

二、 关于对称密码，完成如下问题（20分）

1. 叙述DES 和AES 分别采用什么乘法密码结构？试做一点比较分析；

2. 选择一个常用的轻量级分组密码与AES 进行相关比较分析。 三、 关于公钥密码学，完成如下问题：（30分）

1.

简要介绍单向陷门函数的原理，解释如何利用IFP 、DLP 、ECDLP 三大问题构造单向陷门函数实现公钥加密方案的； 2.

对于RSA 方案，试一试解释分解模n 和求解n 的欧拉函数)(n ?的难度是一样的； 3.

设椭圆曲线81132++=x x y 定义在有限域23F 上。

(1) 若椭圆曲线上的二点为P(9,10)、Q(14,13)，求P+Q 和2P ；

(2) 求如上椭圆曲线的一个基点G 及它的阶，并构造一个简单的

ECC-ElGamal 密码方案；

(3) 以如上的G 为基点，为Alice 和Bob 选择一个私钥，用D-H 密钥协商

方法求出共享密钥。

四、 请利用多项式19mod )1127()(2++=x x x h 设计一个（3, 5）Shamir 门限方案来共

享密钥k=11。（10分）

五、 选择一个现代密码方法与技术论述其在某电子商务领域中的应用。（20分）

一、答：

1、计算安全是指满足以下的标准：

●破译密码的代价超出密文信息的价值；

●破译密码的时间超出密文信息的有效生命期；

理论安全是指：无论有多少可使用的密文，攻击者无论花费多少时间，都不足以惟一的确定由密文解密得到的明文信息。

2、IND(不可区分性)：对已知给定的两个明文，加密者随机一致的选择其中一个进行加密，攻击者无法从密文中知道是对哪个明文的加密。

CCA2(适应性选择密文攻击)：敌手在得到目标密文y'前后都可询问解密机，但不可询问目标密文y'。

IND-CCA2是指对于任意的有效CCA2敌手攻击，它的优势都是可忽略的。

3、可证明安全方法是是一种归约方法，它通过定义适当的安全目标（一般地，加密方案的安全目标是保密性，签名方案的安全目标是不可伪造性），然后在一定的敌手模型下证明方案或协议能够达到既定的安全目标。

二、答：

1、Shannon提出的乘积密码是指顺序地执行两个或多个基本密码系统，使得最后结果的密码强度高于每个基本密码系统产生的结果。其示意图如下：

K

通常使用的技术是将代替密码和置换密码做乘积。

DES 采用的是Feistel 乘法密码结构。其原理是采用对合密码: 一种加密函数),(k x f ，实现：n t n F F F 222→?的映射。其中，n 是分组长度，t 是密钥长度。若对每个密钥取值都有x k k x f f =)),,((，则称之为对合变换。对合加密函数在自密钥控制下对明文进行r 轮迭代，后得到密文，密文在其逆序子密钥作用下，进行r 轮迭代，就可恢复出明文。

Feistel 网络将输入（w 2位）分成相同长度的两部分i L 和i R ，按如下方式进行变换：

Feistel 网络的轮函数可表示为：

),(),,(11i i n i i R L K R L g =--

其中：

1-=i i R L ，),(11i i i i k R f L R --⊕=

函数f 并不要求是可逆的，因为只要密钥给定，轮函数g 一定是可逆的。具体为：

),(1i i i i k L f R L ⊕=-，i i L R =-1

Feistel加解密过程如下图：

Feistel网络结构的特点：

?逆向操作和正向操作具有相同的结构唯一不同之处是轮子密

钥的使用次序相反。

?每轮只对轮输入的一半进行变换，虽然实现速度较慢，但可

以不要求f函数可逆。

●AES采用的是SP（代换—置换）网络乘法密码结构。其原理是采用迭代密码：以一个简单函数，进行多次迭代。每次迭代，称为一轮，相应的迭代函数称为轮函数。

迭代密码明确定义了一个轮函数和一个密钥编排方案，一个明文的加密

K K

经过了t轮类似的过程。设k是一个确定长度的随机二元密钥，用k通过密钥编排方案来生成t个轮密钥。

一个SP网络就是一类特殊的迭代密码。设l和m都是正整数，明密文都

是长为lm的二元向量，一个SP网络包含两个变换，分别记为

s

π和

p

π：

l

l

s

}1,0{

}1,0{:→

π实现l比特的代换，即S盒；

}

,

,2,1{

}

,

,2,1{:lm

lm

p

→

π实现lm比特的置换；

在SP网络中，前t轮都先经过非线性变换S，然后再进行P置换，而最后1+t轮中，只使用非线性变换S。

SP网络的框图结构如下：

在SP网络中，非线性代换S得到分组小块的混乱和扩散；再利用P置换，将S盒输出的结果实现整体扩散的效果。这样，若干轮的局部混乱、整体扩散之后，达到足够的混乱和扩散。

在SP网络结构中，常使用的基本代换有：

?左循环移位代换：)

,

,

,

,

(

)

,

,

,

(:

1

2

1

1

1

x

x

x

x

x

x

x

f

n

n-

-

→

；

?右循环移位代换：)

,

,

,

(

)

,

,

,

(:

2

1

1

1

0-

-

-

→

n

n

n

x

x

x

x

x

x

f

；

?模1

2+

n代换；

?线性变换：Tx

y=；

?仿射变换：b

y+

=；

Tx

通过上述比较，我们发现：

Feistel网络乘法密码结构，每轮对一半数据进行变换，密码变换不要求可逆，几乎没有任何数学理论的支撑。

SP网络乘法密码结构：每轮对所有输入数据进行变换，要求所有密码变换都可逆，具有良好的数学理论的支撑。

2、作为信息传递和处理的网络，全面感知、可靠传送和智能处理是物联网的核心功能。要实现可靠传送必须以密码算法为基础提供相应的安全服务。而与物联网关系密切，也需要密码算法作为基础支撑的无线传感网络也是近年来发展迅猛的领域之一。作为密码算法的使用环境，无线传感器和物联网具有共同的特征：它们的应用组件不同于传统的台式机和高性能计算机，而是计算能力相对较弱的嵌入式处理器；由于应用环境的关系，计算可使用的存储往往较小；考虑到各种设备的功能需求，能耗必须限制在某个范围内。因此传统密码无法很好的适用于这种环境中，就使得受限环境中密码算法的研究成为一个热点。适宜于资源受限环境使用的算法就是所谓的轻量级密码。

轻量级分组密码与传统分组密码相比有几个特点：

●资源受限的应用环境通常处理的数据规模比较小。

●RFID和传感器等应用通常对安全性要求不是很高。

●轻量级分组密码大多采用硬件实现，追求的首要目标是实现占用的空间及实现效率。

现有的典型轻量级分组密码大致有以下几种：PRESENT 、HIGHT 、mCryoton 、CGEN 、DESL 、MIBS 、TWIS 、KATAN&KTANTAN 、TEA&XTEA 、SEA 和LBlock 。

LBlock 是我国学者吴文玲等人在2010年设计的一个轻量级分组密码，中文名为“鲁班锁”，LBlock 是LuBan lock 的缩写，也有Lightweight Blockcipher 的意思。其分组长度为64bit ，密钥长度为80bit ，采用Fesitel 类结构，每轮有一半数据进入轮函数，另一半做简单的循环移位。其加密算法由32轮迭代运算组成，对64bit 的明文01||X X P =，加密过程如下：

对33,,2,1 =i ，计算

? )8(),(2111<<<⊕=---i i i X K X F X ? C X X =3332||为64bit 的密文。

其中，基本模块如下定义：

● 轮函数323232}1,0{}1,0{}1,0{:→?F ，))((},{i i K X S P U K X ⊕=→。 ● 函数S

函数S 是函数F 的一部分，由8个44?的S 盒并置而成，定义为：

3232}1,0{}1,0{:→S

0123456701234567||||||||||||||||||||||||||||Z Z Z Z Z Z Z Z Z Y Y Y Y Y Y Y Y Y =→=

)(777Y s Z =，)(666Y s Z =，)(555Y s Z =，)(444Y s Z =， )(333Y s Z =，)(222Y s Z =，)(111Y s Z =，)(000Y s Z =

● 函数P

由8个4bit 字的位置变换，定义为：

3232}1,0{}1,0{:→P

0123456701234567||||||||||||||||||||||||||||U U U U U U U U U Z Z Z Z Z Z Z Z Z =→=

67Z U =，46Z U =，75Z U =，54Z U =，23Z U =，02Z U =，31Z U =，10Z U =

其解密算法是加密算法的逆。而其密钥扩展算法为将密钥01767879k k k k k K =放在80bit 的寄存器中，取寄存器左边的32位作为轮密钥1K ，然后执行如下步骤：

对31,,2,1 =i ，按如下方式更新寄存器 ● 29<<

● ][][76777879767778799

k k k k k k k k s ←，][][72737475727374758

k k k k k k k k s ←。 ● 24647484950][][i k k k k k ⊕

● 取寄存器左边的32位作为轮密钥1+i K 。 LBlock 与AES 的比较：

● 在AES 中，其密钥长度可以为128位、192位和256位，而LBlock 其密钥长度为80bit 。

● 在AES 中，其分组长度为128位，而LBlock 其密钥长度为80bit 。 ● AES 采用SP 结构，每轮对所有输入数据进行变换，要求所有密码变换都可逆。而LBlock 采用Feistel 网络乘法密码结构，每轮对一半数据进行变换，但其密码变换也可逆。

● 在AES 中，S 盒被定义为1616?个字节组成的矩阵，而在LBlock 中，

S 盒被定义为44?个字节组成的矩阵。

● 在硬件实现中，AES 的S 盒最好的实现需要200多GE ，而LBlock 的10个S 盒都可以用大约22个GE 实现。

三、答：

1、单向陷门函数R D x f t →:)(，是一个单向函数，即对任意的D x ∈，容易计算，

而对几乎所有的D x ∈，求逆困难。但是，如果知道门限信息t ，则对所有的R y ∈，容易计算满足)(x f y t =的D x ∈。

● IFP （整数分解问题）：

假设pq N =是大整数，p ，q 为两个素数，且p ，7682>q 。 输入：N 。 输出：素数p ，q 。

这一困难问题就称为IFP （整数分解问题）。 利用IFP 构造的公钥加密方案，如RSA 方案：

假设M 为明文，C 为密文。

? 选择两个大素数p ，q ； ? 计算pq N =，)1)(1()(--=q p N φ； ? 选择整数e ，使得1))(,gcd(=N e φ ? 计算)( mod 1N e d φ-≡。 公钥},{N e KU =，私钥},{n d KR =

加密算法：n M C e mod =；

解密算法：n C M d mod =；

DLP （离散对数问题）：

假设p 为素数，定义一个p Z 的子集}1

),gcd(|{*=∈=p a Z a Z p p 。 输入：*p Z 的生成元α和一个元素*p Z ∈β。

输出：x ，使得p x mod βα≡。

这一困难问题称为DLP （离散对数问题）。

利用DLP 构造的公钥加密方案，如ElGamal 方案： 假设明文为M ，密文为),(21C C 。

密钥创建：

? 随即选择素数p ；

? 计算*p Z 上的一个随机生成元g ； ? 随机选取1-∈p Z x 作为其私钥； ? 计算p g y x mod ←；

? 把),,(y g p 作为其公钥公开，把x 作为私钥进行保存。 加密算法：

? 随即选择1-∈p Z k ； ? 计算p g C k mod 1=； ? 计算p M y C k mod 2=； 解密算法：

? 计算p C C M x mod 1

2

=

● ECDLP （椭圆曲线离散对数问题）：

假设E 是定义在有限域p F 上的一个椭圆曲线，P 是)(p F E 上的一个点，并且假设P 的阶为素数n ，令dP Q =，其中]1,1[-∈n d 。

输入：P ,Q 输出：d

这一困难问题就称为ECDLP （椭圆曲线离散对数问题）。

利用ECDLP 构造公钥加密方案，公开参数),,,(n P E p ，将d 作为私钥，Q 作为公钥。假设m 为明文，),(21C C 为密文：

加密算法：

? M m →，M 是)(p F E 上的一个点； ? 选择]1,1[-∈n k ； ? 计算kP C =1； ? 计算KQ M C +=2; ? 输出密文),(21C C 解密算法：

? 计算12dC C M -=； ? m M →； ? 输出明文m ；

在上述描述中，将输出作为单向陷门信息，即私钥，而将输入作为

2、在RSA 方案中，在密钥建立阶段，用户Alice 要执行： 1) 随机选择两个素数p 和q ，满足q p ≈； 2) 计算pq n =；

3) 计算)1)(1()(--=q p n ?；

如果已知n 的分解pq n =，则易求出)1)(1()(--=q p n ?。 如果已知n 和)(n ?的值，则由pq n =和)1)(1()(--=q p n ?得到：

1)(1)()1)(1()(++-=++-=--=q p n q p pq q p n ?

即：

1)(+-=+n n q p ?

∴p 和q 是一元二次方程0)1)((2=++--n x n n x ?的两个根。

综上所述：

对于RSA 方案，分解模n 和求解n 的欧拉函数)(n ?的难度是一样的。 3、(1) 依题意，得：11=a ，8=b

)27(mod 01470528271142742323≠≡=?+?=+b a ∴ 23F 上的方程81132++=x x y E ：定义了一个椭圆曲线群。

设),(),(),(332211y x R y x Q y x P =+

),(),(2),(),(44111111y x R y x P y x P y x P '==+

???????≠==+≠--=0

,2321211

212

12

121y y x x y a x x x x

x y y λ

∴ )23(mod 195

4

23353149131021211≡?+==--=--=

x x y y λ )23(mod 1520

2

232542025410211932321212≡?+==?+?=+=y a x λ

∴ )23(mod 16149192212

13≡--=--=x x x λ

)23(mod 1810)169(19)(13113≡--?=--=y x x y λ

)23

(mod 099152

21224≡--=--=x x x λ )23(mod 1010915)(14114≡-?=--=y x x y λ 即：)18,16()13,14()10,9(R Q P =+，)10,0()10,9(2R P '=

(2) 23F 上的方程81132++=x x y E ：的一个基点为：)10,0(=G

)18,16(2=G ；)18,13(3=G ；)9,18(4=G ；)5,17(5=G ；)12,15(6=G ；

)5,16(7=G ； ；)10,14(10=G ；)13,9(11=G ；)10,9(12=G ； ； )5,13(20=G ；)5,16(21=G ；)13,0(22=G ；O G =23

∴ 23=G

则ElGamal ECC -密码方案为：

a) 加密算法

输入参数)23),10,0(),8,11(,23(23E ，公钥)18,16(=Q ，明文)5,17(=m ； 输出：密文))13,9(),18,13((；

● 选择]22,1[3∈=k ； ● 计算)18,13()10,0(31==C ；

● 计算)13,9()18,16(3)5,17(32=+=+=Q m C ● 返回))13,9(),18,13((),(21=C C b) 解密算法

输入参数)23),10,0(),8,11(,23(23E ，私钥2=d ，密文))13,9(),18,13((),(21=C C ； 输出：明文)5,17(=m ；

● 计算)5,17()18,13(2)13,9(12=-=-=dC C m ； ● 返回)5,17(=m ；

（3）23F 上的方程81132++=x x y E ：的一个基点为：)10,0(=G

● 公开参数)23),10,0(),8,11(,23(23E ；

● Alice ，Bob 分别选择自己的私钥5=A N ，7=B N ；则A l i c

e 的公钥为)5,17()10,0(5==A P ，Bob 的公钥为)5,16()10,0(7==B P ； ● Alice 将A P 发给Bob ； ● Bob 将B P 发给Alice ；

● Alice 和Bob 分别计算)10,9()5,17(7)5,16(5=====A B B A AB P N P N P ； 则共享密钥为)10,9(=AB P 。

四、答：假设秘密分发者为0P ，参与者集合为},,,,{54321P P P P P P =。

秘密分发者0P ，对于11=x ，22=x ，33=x ，44=x ，55=x ，分别计算：

)19 (mod 1)1()(11===h x h y ；

)19 (mod 5)2()(22===h x h y ；

)19 (mod 4)3()(33===h x h y ；

)19 (mod 17)4()(44===h x h y ；

)19 (mod 6)5()(55===h x h y ；

然后0P 分别单独的将子密钥信息),(i i y x 秘密地发送给i P ，51≤≤i 。随后将多项式)(x h 销毁。

依题意，参与者集合P 中的任意3人联合可恢复出主密钥。不妨设

},,{321P P P A =，于是A 中参与者掌握的全部子密钥信息为：

)1 ,1(),(11=y x ；)5 ,2(),(22=y x ；)4 ,3(),(33=y x ；

依此构造方程组：

?????

??=????? ??????? ??45193142111121a a k

上述方程组等价于：

)19 (mod 54120031011121????? ??-=????? ??????? ??a a k

由此解可得到：21=a ，72=a ，11=k 。

即：1P ，2P ，3P 共同重构了主密钥11=k 。

而当参与重构的参与者少于3人时，不妨设参与重构的参与者集合

},{21P P A ='，于是A '中参与者掌握的全部子密钥信息为：

)1 ,1(),(11=y x ；)5 ,2(),(22=y x ；

依此构造方程组为：

???

? ??=?????

?????? ??5142111121a a k

由于：

32)(43101111~54211111),(<==???

?

?????? ??=A r b A r

我们知道，该方程组有无穷多组解。 因此，1P ，2P 不能准确的重构出主密钥11=k 。 五、答：

秘密共享最初是用于密钥管理，即将一个主密钥在多个参与者之间共

享，使得特定的参与者集合能够恢复出主密钥，而任意少于这个特定参与者集合的参与者在一起不能恢复出主密钥。秘密共享是在1979年由Shamir 和Blakley 分别基于拉格朗日插值和几何空间中点的性质单独提出的。随后其他学者基于中国剩余定理、矩阵、同态等构造出其他秘密共享方案。但是，在这些秘密共享方案中，Shamir 的方案更为简单、实用，并且只有Shamir 的秘密共享方案是完美的，因此受到更为广泛的应用。

所谓的完美秘密共享体制是指：实现存取结构AS 的完美秘密共享体制

由分配函数n

S S R S ??→?∏ 1:和对应的重构函数

}||)(:{1AS A S S S Re Re A n A ∈→??= 构成，且满足下面的条件：

● 重构要求：对于任意的AS A ∈和N k ∈，重构函数

S S S Re A n A →??|)(:1 使得对于任意的)

(k S

s ?，

1])1,),((Pr[==∏s |R s Re k

A k A ，其中)

(k S 表示安全参数为k 时对应的主密钥空间，它是S 的一个子集。

●

安全性要求：对于任意的AS

B ?和)(21,k S t t ∈，N k B k R t ∈∏}|),({1)(和

N k B k R t ∈∏}|),({2)(完全不可区分。

下面，我们来看看Shamir 的具体方案： ● 密钥分配算法：

设q F 为q 元有限域，q 是素数并且n q >。为了使集合},,,{21n P P P P =中

的n 个参与者共享主密钥s ，q F s ∈，密钥管理中心0P 按下面的步骤进行工作：

步骤1：0P 秘密地在q F 中随机地选取1-t 个元素，记为11,,-t a a ，并取以x 为变元的多项式11221)(--++++=t t x a x a x a s x f 。 步骤2：对于n i ≤≤1，0P 计算)(i f ，记为)(i f y i =。

步骤3：对于n i ≤≤1，0P 秘密地将),(i y i 分配给i P ，这可通过一个秘密

安全信道传输完成。i P 不得向任何人泄露i y 。 ● 重构算法：

设l P P ,,1 是P 中任意选定的)(t l l ≥个参与者，这l 个参与者掌握的全部

子密钥集合为)},(,),,1{(1l y l y 。则计算方程组：

???

????

??=???????

????????? ??---t t t t y y y a a s l 211111

21221111

上述方程组可以看成t 个变元的线性方程组，系数矩阵的秩是t ，这由n ,,2,1 在q F 中两两不同和范德蒙矩阵的性质保证。事实上，它的任何不同的t 行构成t t ?的范德蒙矩阵，所以是秩为t 的可逆矩阵。因此，当t l ≥时，11,,,-t a a s 是它的唯一解，于是得到主密钥s 。

对于t l <，l 个参与者要恢复主密钥s 时，他们可得到含有t 个变量的

)(t l l <个方程的线性方程组。若1-=t l ，则他们就得到含有t 个变量的1

-t 个方程。假设这1-t 个参与者用他们掌握的1-t 个子密钥猜的主密钥0s （不

管用什么方法猜）。由于将)0(0f s =和关于子密钥的1-t 个方程放在一起可得到唯一解，因此对主密钥的任何假设值0s 都存在唯一的多项式)(0

x f s ，

使得)(0

j f y s j =，l j ≤≤1，和)0(0

0s f s =。于是，没有一个主密钥的可能值

被排除，换句话说，1-t 个参与者合谋得不到主密钥的任何信息。一般来说，对于t l <，对任意给定的s ，关于),,(11-t a a 的方程组都有相同个数的解，由此推出：从))},(,),,1{((1l y l y 得不到主密钥s 的任何信息，或者说，要得到s 其工作量与穷搜索相同。

但是，在Shamir 的方案中存在两个问题：即如何确保密码分发者分发给参与者的子秘密时正确的；如何确保在秘密重构阶段中各参与者出示的子秘密是正确的。正是介于上述两个问题，学者们研究出了可验证的秘密共享方案，但是在可验证的秘密共享方案中还存在一个问题，即各个参与者只能验证自己的子秘密是否正确，不能验证其他参与者的子秘密是否正确。基于此，学者们又提出了可公开验证秘密共享。

在现实生活中可以见到各种拍卖会，比如常见的是拍卖商推出要拍

卖的商品，由拍卖者根据情况叫价，最后在一定时间内再没有人叫更高的价时，商品就被拍卖给当前叫价最高的人（称为中标者）。按照拍卖的形式可以将其分为英式拍卖、荷兰式拍卖、密封式拍卖等。其中，英式拍卖和荷兰式拍卖由竞拍者公开叫价，不过前者是从低价向高价叫，后者则由高价向低价进行。在密封式拍卖中，竞拍者采取匿名投标，即将自己的出价密封上报，在一定程度上保护了竞拍者的隐私。电子拍卖是将现实生活中的拍卖行为电子化，即商品信息的公布、竞拍者投标的递交、揭标等过程都可以通过互联网进行，拍卖商以及竞拍的各位买家可

以身处不同的地方参加拍卖，大大方便了拍卖活动的进行。现在，电子拍卖已经为电子商务的一项基本业务，互联网上有许多电子拍卖系统，如Yahoo！，https://www.360docs.net/doc/a33080597.html,等。我们下面介绍秘密共享体制在密封式电子拍卖中的应用。

一个密封式电子拍卖系统至少要满足下列要求：

●公平性。即所有竞拍者的地位一样，不存在一方比其他方更有利的条件。

●不可否认性。竞拍者上交其出价后不能否认其出价。

●不可伪造性。竞拍者的投标不能够被他人伪造。

●可证实性。可公开证明中标者标价的合法性。

●标价保密性。竞拍者的标价必须保密、

●匿名性。除中标者所出标价在最后可公开验证外，其他竞拍者所出的标价是保密的，并且所有竞拍者的身份保密，不能将标价信息与竞拍者对应起来。

简单来说，一个电子拍卖系统应包含注册中心、拍卖服务器、卖主和竞拍者。注册中心负责给卖主和竞拍者颁发合法证书、进行投标注册等，它实际上相当于一个负责认证的权威机构。拍卖服务器则负责主要的拍卖工作，即竞拍者将自己的标价“密封”通过秘密信道上交给拍卖服务器，拍卖服务器打开标价后按照一定的规则，如最高价中标的原则，公布最后中标的标价。如下图所示：

我们可以看到，由于拍卖服务器掌握了所有竞拍者的标价信息，一旦它被攻破，整个系统的安全就受到极大威胁。一个简单的解决方法是采用n 个服务器，

每个 竞拍者将自己的标价通过一个),(n t 门限秘密共享体制在这n 个拍卖服务器之间 ，使得只有至少t 个拍卖服务器联合才能恢复出每个竞

拍者的标价信息。而任何少于t 个拍卖服务器即使联合起来也得不到关于标价的任何信息。为了实现标价的匿名性，每个竞拍者仍然利用秘密共享体制将自己的标价分为若干份，但不是一次全交给拍卖服务器，而是分若干次上交，每次上交后拍卖服务器进行重构，知道找到最高的标价为止。具体步骤为如下：

假设共有m 个竞拍者，记为m B B B ,,,21 。 系统拍卖

拍卖服务器首先发布要拍卖的物品，并公布可以接受的拍卖价i p ，

n i ≤≤1，不妨设n p p p <<< 21，m n >；再选中一个大素数p 满足p 远远大于

n p ，所有的计算都在

p Z 中进行；选择一个无碰撞的单向函数)(?H 并将其公布

出去。

● 注册

每个竞拍者i B ，m i ≤≤1到注册中心进行注册，注册中心检查每一个竞拍者的身份和资格，如是否有经济担保等。如果合格就发放资格证书，记为i Cer 。

● 投标

对于m i ≤≤1，竞拍者i B 从公布的n 个标价中选一个作为自己的将投的标价，比如第i k 个标价i

k p ，n k i ≤≤1。同时选择一个常项数为i

k p ，次数至多为

i k n -次的p Z 上的随即多项式)(x f i ，即：

i i i k n k n k i x a x a p x f --+++= 1)(

其中，i

k n a a a -,,21随机地取自p Z 。然后，i B 计算)(j f y i ij =，n j ≤≤1。为了后面

验证需要，i B 公开信息：i Cer ，),(,),(),(21in i i y H y H y H 。

接着开始第一轮的投标：对于m i ≤≤1，i B 通过秘密信道发送给拍卖服务

器标价信息1i y 。拍卖服务器在收到这一轮的所有标价信息（即12111,,,m y y y ）后关闭这一轮标价提交。

● 揭标

首先，拍卖服务器针对接收到的12111,,,m y y y 分别计算它们在Hash 函数

)(?H 下的值，并与投标前的公开信息)(1i y H ，m i ≤≤1进行比较。如果有某个

竞拍者提交的部分标价的Hash 值与投标前公布的信息不符，则拒绝该竞拍者继续参加拍卖。

假设在第r (n r ≤≤1)轮投标后，拍卖服务器得到了竞拍者i B 的部分标价信息ir i i y y y ,,,21 ，则拍卖服务器计算插值多项式

∑=---+-----+--=r

j ij

r i

r j j j j j j r x j x j x x y x g 1)

()

()1)(1()1()

()1)(1()1()(

如果对于某个m i ≤≤01，满足1)()0(0

+-=r m r i p g ，则说明竞拍者0

i B 可能投了最