第４３卷　第８期２０２０年８月计　　算　　机　　学　　报ＣＨＩＮＥＳＥ　ＪＯＵＲＮＡＬ　ＯＦ　ＣＯＭＰＵＴＥＲＳＶｏｌ．４３ Ｎｏ．８Ａｕｇｕｓｔ　２０２０　收稿日期：２０１９－０８－２８；在线发布日期：２０２０－０２－１３．本课题得到国家自然科学基金（Ｕ１７０８２６２，Ｕ１７３６２０３，Ｕ１８３６２０５，６１７７２００８）、国家重点研发计划（２０１７ＹＦＢ０８０１８０５）、贵州省科技计划项目（黔科合基础［２０２０］１Ｙ２６５）、贵州财经大学校级科研基金项目（２０１９ＸＹＢ１７）资助．刘　海，博士，主要研究方向为隐私保护和安全协议设计．Ｅ－ｍａｉｌ：ｌｉｕｈａｉ４７５７＠１６３．ｃｏｍ．李兴华（通信作者），博士，教授，主要研究领域为网络与信息安全、隐私保护和密码学．Ｅ－ｍａｉｌ：ｘｈｌｉ１＠ｍａｉｌ．ｘｉｄｉａｎ．ｅｄｕ．ｃｎ．田有亮，博士，教授，主要研究领域为博弈论、密码学与安全协议．雒　彬，博士研究生，主要研究方向为信任评估和隐私保护．马建峰，博士，长江学者特聘教授，主要研究领域为网络与信息安全、编码理论、密码学．彭长根，博士，教授，主要研究领域为数据隐私保护．理性公平的秘密共享方案刘　海１），２），３）　李兴华４），５）　田有亮３），６）　雒　彬４），５）　马建峰３），４），５）　彭长根３），６）１）（贵州财经大学信息学院　贵阳　５５００２５）２）（贵州财经大学数据与高性能计算国际联合研究中心　贵阳　５５００２５）３）（贵州大学公共大数据国家重点实验室　贵阳　５５００２５）４）（西安电子科技大学网络与信息安全学院　西安　７１００７１）５）（西安电子科技大学综合业务网理论及关键技术国家重点实验室　西安　７１００７１）６）（贵州大学计算机科学与技术学院　贵阳　５５００２５）摘　要　理性秘密共享是将自利的理性用户引入到传统秘密共享中，力图在现实环境中实现公平的秘密重构，使得所有用户均能获得共享秘密．然而，由于忽略了理性用户的自利性行为，现有理性秘密共享的公平性定义允许出现用户不发送子秘密也能获得共享秘密的不公平情形．这导致在使用以该定义为指导所设计的理性秘密共享方案时，并不能确保所有用户均能获得共享秘密；甚至还会出现发送错误子秘密欺骗其他用户，导致其他用户将重构出的虚假的共享秘密视为真实秘密的极端情形．为解决该问题，本文结合秘密共享的存取结构，形式化定义了秘密共享的理性公平性．并以此为指导，通过在秘密分发阶段为每个理性用户发送大量虚假子秘密，使得理性用户难以准确猜测出真实共享子秘密的方法，设计一个混淆激励机制，并提出一个理性公平的秘密共享方案．理论分析和大量实验表明，该方案能有效地约束理性用户在秘密重构阶段的自利性行为，确保所有用户能获得真实的共享秘密，高效地实现公平的秘密共享．关键词　理性秘密共享；理性公平；混淆；存取结构；激励机制中图法分类号ＴＰ３９１　　　ＤＯＩ号１０．１１８９７／ＳＰ．Ｊ．１０１６．２０２０．０１５１７Ｒａｔｉｏｎａｌ　Ｆａｉｒ　Ｓｅｃｒｅｔ　Ｓｈａｒｉｎｇ　ＳｃｈｅｍｅＬＩＵ　Ｈａｉ　１），２），３）　ＬＩ　Ｘｉｎｇ－Ｈｕａ４），５）　ＴＩＡＮ　Ｙｏｕ－Ｌｉａｎｇ３），６）　ＬＵＯ　Ｂｉｎ４），５）ＭＡ　Ｊｉａｎ－Ｆｅｎｇ３），４），５）　ＰＥＮＧ　Ｃｈａｎｇ－Ｇｅｎ３），６）１）（Ｓｃｈｏｏｌ　ｏｆ　Ｉｎｆｏｒｍａｔｉｏｎ，Ｇｕｉｚｈｏｕ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｆｉｎａｎｃｅ　ａｎｄ　Ｅｃｏｎｏｍｉｃｓ，Ｇｕｉｙａｎｇ　５５００２５）２）（Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｊｏｉｎｔ　Ｒｅｓｅａｒｃｈ　Ｃｅｎｔｅｒ　ｆｏｒ　Ｄａｔａ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｈｉｇｈ－Ｐｅｒｆｏｒｍａｎｃｅ　Ｃｏｍｐｕｔｉｎｇ，Ｇｕｉｚｈｏｕ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｆｉｎａｎｃｅ　ａｎｄ　Ｅｃｏｎｏｍｉｃｓ，Ｇｕｉｙａｎｇ　５５００２５）３）（Ｓｔａｔｅ　Ｋｅｙ　Ｌａｂｏｒａｔｏｒｙ　ｏｆ　Ｐｕｂｌｉｃ　Ｂｉｇ　Ｄａｔａ，Ｇｕｉｚｈｏｕ　Ｕｎｉｖｅｒｓｉｔｙ，Ｇｕｉｙａｎｇ　５５００２５）４）（Ｓｃｈｏｏｌ　ｏｆ　Ｃｙｂｅｒ　Ｅｎｇｉｎｅｅｒｉｎｇ，Ｘｉｄｉａｎ　Ｕｎｉｖｅｒｓｉｔｙ，Ｘｉ′ａｎ　７１００７１）５）（Ｓｔａｔｅ　Ｋｅｙ　Ｌａｂｏｒａｔｏｒｙ　ｏｆ　Ｉｎｔｅｇｒａｔｅｄ　Ｓｅｒｖｉｃｅｓ　Ｎｅｔｗｏｒｋｓ，Ｘｉｄｉａｎ　Ｕｎｉｖｅｒｓｉｔｙ，Ｘｉ′ａｎ　７１００７１）６）（Ｃｏｌｌｅｇｅ　ｏｆ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ，Ｇｕｉｚｈｏｕ　Ｕｎｉｖｅｒｓｉｔｙ，Ｇｕｉｙａｎｇ　５５００２５）Ａｂｓｔｒａｃｔ　Ｗｉｔｈ　ｔｈｅ　ｄｅｖｅｌｏｐｍｅｎｔ　ｏｆ　ｃｏｍｍｕｎｉｃａｔｉｏｎ　ｔｅｃｈｎｏｌｏｇｉｅｓ，ｔｈｅ　ａｄｖａｎｃｅｄ　ｔｅｃｈｎｏｌｏｇｉｅｓ　ｌｉｋｅｃｌｏｕｄ　ｃｏｍｐｕｔｉｎｇ　ａｎｄ　ＩｏＴ（Ｉｎｔｅｒｎｅｔ　ｏｆ　Ｔｈｉｎｇｓ）ａｒｅ　ｅｍｅｒｇｉｎｇ，ｗｈｉｃｈ　ｂｒｉｎｇ　ｃｏｎｖｅｎｉｅｎｃｅ　ａｎｄ　ｂｅｃｏｍｅｐａｒｔ　ｏｆ　ｏｕｒ　ｄａｉｌｙ　ｌｉｆｅ．Ｕｎｆｏｒｔｕｎａｔｅｌｙ，ｗｈｅｎ　ｅｎｊｏｙｉｎｇ　ｔｈｅ　ｃｏｎｖｅｎｉｅｎｔ　ｌｉｆｅ，ｔｈｅ　ｕｓｅｒｓ’ｐｒｉｖａｃｙ　ｍａｙｄｉｓｃｌｏｓｅ　ｂｅｃａｕｓｅ　ｔｈｅｙ　ｎｅｅｄ　ｔｏ　ｐｒｏｖｉｄｅ　ｓｏｍｅ　ｉｎｄｉｖｉｄｕａｌ　ｓｅｎｓｉｔｉｖｅ　ｄａｔａ．Ｔｏ　ｐｒｏｔｅｃｔ　ｔｈｅ　ｕｓｅｒｓ’ｐｒｉｖａｃｙｅｆｆｅｃｔｉｖｅｌｙ，ｔｈｅ　ｃｒｙｐｔｏｇｒａｐｈｙ　ｐａｒｔｉｃｉｐａｔｉｎｇ　ｉｎ　ｍｕｌｔｉ－ｕｓｅｒ　ｈａｓ　ａｔｔｒａｃｔｅｄ　ｍｏｒｅ　ａｔｔｅｎｔｉｏｎ，ｅｓｐｅｃｉａｌｌｙｓｅｃｒｅｔ　ｓｈａｒｉｎｇ．Ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｉｓ　ｏｎｅ　ｏｆ　ｔｈｅ　ｍｏｓｔ　ｃｏｍｍｏｎ　ａｎｄ　ｃｌａｓｓｉｃａｌ　ｄｉｓｔｒｉｂｕｔｅｄ　ｃｒｙｐｔｏｇｒａｐｈｉｃｓｃｈｅｍｅｓ，ｗｈｉｃｈ　ａｌｌｏｗｓ　ｔｈｅ　ｃｅｒｔａｉｎ　ｎｕｍｂｅｒ　ｏｆ　ｕｓｅｒｓ　ｃａｎ　ｏｂｔａｉｎ　ｔｈｅ　ｓｅｃｒｅｔ　ｔｏｇｅｔｈｅｒ，ｂｕｔ　ａｎｙ　ｓｕｂｓｅｔｏｆ　ｕｓｅｒｓ　ｏｆ　ｓｉｚｅ　ｌｅｓｓ　ｔｈａｎ　ｔｈｅ　ｐｒｅｓｃｒｉｂｅｄ　ｎｕｍｂｅｒ　ｃａｎｎｏｔ　ｏｂｔａｉｎ　ｔｈｅ　ｓｅｃｒｅｔ　ｅｖｅｎ　ｔｈｅｙ　ｃｏｌｌｕｄｅ　ｗｉｔｈｏｔｈｅｒｓ．Ｉｎ　ｔｒａｄｉｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ，ｔｈｅ　ｕｓｅｒｓ　ａｒｅ　ｒｅｇａｒｄｅｄ　ａｓ　ｅｉｔｈｅｒ　ｈｏｎｅｓｔ　ｏｒ　ｍａｌｉｃｉｏｕｓ．Ｈｏｎｅｓｔｕｓｅｒｓ　ｆｏｌｌｏｗ　ｔｈｅ　ｐｒｅｓｃｒｉｂｅｄ　ｓｃｈｅｍｅ　ｆａｉｔｈｆｕｌｌｙ，ｗｈｅｒｅａｓ　ｍａｌｉｃｉｏｕｓ　ｕｓｅｒｓ　ｂｅｈａｖｅ　ｉｎ　ａｒｂｉｔｒａｒｙｍａｎｎｅｒｓ．Ｈｏｗｅｖｅｒ，ｉｎ　ｒｅａｌ　ａｐｐｌｉｃａｔｉｏｎｓ，ｔｈｅ　ｕｓｅｒｓ　ａｒｅ　ｓｅｌｆｉｓｈ　ａｎｄ　ａｌｗａｙｓ　ｔｒｙ　ｔｏ　ｍａｘｉｍｉｚｅ　ｔｈｅｉｒｐｒｏｆｉｔｓ，ｗｈｉｃｈ　ｃｏｉｎｃｉｄｅｓ　ｗｉｔｈ　ｔｈｅ　ｓｅｌｆｉｓｈ　ｃｈａｒａｃｔｅｒｉｓｔｉｃ　ｏｆ　ｒａｔｉｏｎａｌ　ｕｓｅｒｓ　ｉｎ　ｇａｍｅ　ｔｈｅｏｒｙ．Ｕｎｄｅｒｔｈｉｓ　ｃｉｒｃｕｍｓｔａｎｃｅ，ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｉｓ　ｐｒｏｐｏｓｅｄ　ｂｙ　ｉｎｔｒｏｄｕｃｉｎｇ　ｓｅｌｆｉｓｈ　ｕｓｅｒｓ　ｉｎｔｏ　ｔｒａｄｉｔｉｏｎａｌｓｅｃｒｅｔ　ｓｈａｒｉｎｇ，ｗｈｉｃｈ　ａｓｓｕｍｅｓ　ｔｈａｔ　ｔｈｅ　ｕｓｅｒｓ　ｐｒｅｆｅｒ　ｔｏ　ｏｂｔａｉｎ　ｔｈｅ　ｓｅｃｒｅｔ　ａｂｏｖｅ　ａｌｌ　ｅｌｓｅ，ｏｔｈｅｒｗｉｓｅｐｒｅｆｅｒ　ｔｈｅ　ｆｅｗｅｓｔ　ｎｕｍｂｅｒ　ｏｆ　ｏｔｈｅｒ　ｕｓｅｒｓ　ｔｏ　ｏｂｔａｉｎ　ｔｈｅ　ｓｅｃｒｅｔ．Ｔｈｅ　ｐｕｒｐｏｓｅ　ｉｓ　ｔｏ　ｒｅａｌｉｚｅ　ｔｈｅ　ｆａｉｒｓｅｃｒｅｔ　ｒｅｃｏｎｓｔｒｕｃｔｉｏｎ　ｉｎ　ｒｅａｌ　ａｐｐｌｉｃａｔｉｏｎｓ．Ｕｎｆｏｒｔｕｎａｔｅｌｙ，ｗｈｅｎ　ｄｉｒｅｃｔｌｙ　ａｄｏｐｔｉｎｇ　ｔｈｅ　ｅｘｉｓｔｉｎｇｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｓｃｈｅｍｅｓ，ｓｏｍｅ　ｕｎｆａｉｒ　ｓｏｌｕｔｉｏｎｓ　ａｒｉｓｅ，ｗｈｉｃｈ　ｌｅａｄ　ｔｈａｔ　ｓｏｍｅ　ｏｆ　ｔｈｅ　ｕｓｅｒｓｒｅｃｏｎｓｔｒｕｃｔ　ｔｈｅ　ｓｅｃｒｅｔ　ｂｕｔ　ｎｏｔ　ｓｅｎｄ　ｔｈｅ　ｓｈａｒｅｓ，ｗｈｅｒｅａｓ　ｔｈｅ　ｏｔｈｅｒｓ　ｃａｎｎｏｔ　ｏｂｔａｉｎ　ｔｈｅ　ｓｅｃｒｅｔ　ａｆｔｅｒｓｅｎｄｉｎｇ　ｔｈｅ　ｓｈａｒｅｓ．Ｍｏｒｅ　ｓｅｒｉｏｕｓｌｙ，ｓｏｍｅ　ｏｆ　ｔｈｅ　ｕｓｅｒｓ　ｃａｎ　ｃｈｅａｔ　ｔｈｅ　ｏｔｈｅｒ　ｕｓｅｒｓ　ｉｎｔｏ　ｖｉｅｗｉｎｇ　ａｆａｋｅ　ｓｅｃｒｅｔ　ａｓ　ｔｈｅ　ｒｅａｌ．Ｔｈｅ　ｃｒｕｃｉａｌ　ｒｅａｓｏｎ　ｉｓ　ｔｈａｔ，ｔｈｅ　ｕｓｅｒｓ’ｓｅｌｆｉｓｈ　ｂｅｈａｖｉｏｒｓ　ａｒｅ　ｎｏｔ　ｃｏｎｓｉｄｅｒｅｄｃｏｍｐｌｅｔｅｌｙ　ｉｎ　ｔｈｅ　ｅｘｉｓｔｉｎｇ　ｆａｉｒｎｅｓｓ　ｄｅｆｉｎｉｔｉｏｎ　ｏｆ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ，ａｎｄ　ｔｈｅ　ｅｘｉｓｔｉｎｇ　ｓｃｈｅｍｅｓａｒｅ　ｄｅｖｉｓｅｄ　ｕｎｄｅｒ　ｔｈｅ　ｇｕｉｄａｎｃｅ　ｏｆ　ｔｈｉｓ　ｆａｉｒｎｅｓｓ　ｄｅｆｉｎｉｔｉｏｎ．Ｔｏ　ａｄｄｒｅｓｓ　ｔｈｉｓ　ｐｒｏｂｌｅｍ，ｔｈｉｓ　ｐａｐｅｒｆｏｒｍａｌｉｚｅｓ　ｒａｔｉｏｎａｌ　ｆａｉｒｎｅｓｓ　ｏｆ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｂｙ　ｃｏｍｂｉｎｉｎｇ　ｉｔ　ｗｉｔｈ　ｔｈｅ　ｍｉｎｉｍｕｍ　ａｃｃｅｓｓ　ｓｔｒｕｃｔｕｒｅ，ａｎｄ　ｄｅｍｏｎｓｔｒａｔｅｓ　ｔｈａｔ　ｔｈｅ　ｐｒｏｐｏｓｅｄ　ｄｅｆｉｎｉｔｉｏｎ　ａｌｌｏｗｓ　ｔｈｅ　ｕｓｅｒｓ　ｔｏ　ｒｅｃｏｎｓｔｒｕｃｔ　ｔｈｅ　ｒｅａｌ　ｓｅｃｒｅｔ　ｏｎｌｙｗｈｅｎ　ｂｏｔｈ　ｏｆ　ｔｈｅｍ　ｓｅｎｄ　ｔｈｅ　ｓｈａｒｅｓ　ｈｏｎｅｓｔｌｙ．Ｆｕｒｔｈｅｒｍｏｒｅ，ｔｏ　ｓｈｏｗ　ｔｈａｔ　ｔｈｅ　ｐｒｏｐｏｓｅｄ　ｆａｉｒｎｅｓｓｄｅｆｉｎｉｔｉｏｎ　ｉｓ　ｍｅａｎｉｎｇｆｕｌ，ａｎ　ｉｎｃｅｎｔｉｖｅ　ｏｂｆｕｓｃａｔｉｏｎ　ｍｅｃｈａｎｉｓｍ　ｉｓ　ｄｅｖｉｓｅｄ　ａｎｄ　ａｎ　ａｄｖａｎｃｅｄ　ｒａｔｉｏｎａｌｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｓｃｈｅｍｅ　ｉｓ　ｐｒｅｓｅｎｔｅｄ．Ｉｎ　ｔｈｅ　ｐｒｏｐｏｓａｌ，ａｇｒｅａｔ　ｑｕａｎｔｉｔｙ　ｏｆ　ｆａｋｅ　ｓｈａｒｅｓ　ａｒｅ　ｇｅｎｅｒａｔｅｄｆｏｒ　ｒａｔｉｏｎａｌ　ｕｓｅｒｓ　ｔｏ　ｍａｋｅ　ｔｈｅｍ　ｎｏｔ　ａｂｌｅ　ｔｏ　ｉｄｅｎｔｉｆｙ　ｔｈｅ　ｒｅａｌ　ｏｎｅ，ａｎｄ　ｔｈｅ　ｕｓｅｒｓ　ａｒｅ　ｐｕｎｉｓｈｅｄ　ｂｙｎｏｔ　ｒｅｃｅｉｖｉｎｇ　ａｎｙ　ｓｈａｒｅｓ　ｉｎ　ｔｈｅ　ｆｕｔｕｒｅ　ｗｈｅｎ　ｔｈｅｙ　ｄｏ　ｎｏｔ　ｓｅｎｄ　ｔｈｅ　ｓｈａｒｅｓ　ｈｏｎｅｓｔｌｙ．Ｉｎ　ｔｈｉｓ　ｗａｙ，ｎｏｎｅ　ｏｆ　ｕｓｅｒｓ　ｄｅｖｉａｔｅｓ　ｆｒｏｍ　ｔｈｅ　ｓｃｈｅｍｅ　ｐｒｅｓｃｒｉｂｅｄ，ｔｈｅｒｅｂｙ　ｒｅａｌｉｚｉｎｇ　ｔｈｅ　ｆａｉｒ　ｓｅｃｒｅｔ　ｒｅｃｏｎｓｔｒｕｃｔｉｏｎ．Ｔｈｒｏｕｇｈ　ｔｈｅ　ｃｏｍｐａｒｉｓｏｎｓ　ｏｆ　ｔｈｅ　ｅｘｉｓｔｉｎｇ　ｓｃｈｅｍｅｓ　ｉｎ　ａｐｐｌｉｃａｂｌｅ　ｓｃｅｎａｒｉｏｓ，ｒｅｃｏｎｓｔｒｕｃｔｉｏｎ　ｒｏｕｎｄｓ，ｒｅｑｕｉｒｅｍｅｎｔｓ　ｏｎ　ｔｒｕｓｔ　ｕｓｅｒｓ，ｃｏｍｐｕｔａｔｉｏｎ　ｏｆ　ｒａｔｉｏｎａｌ　ｕｓｅｒｓ’ｐａｙｍｅｎｔｓ，ａｎｄ　ｏｔｈｅｒ　ｃｏｍｐｌｉｃａｔｅｄｃｒｙｐｔｏｇｒａｐｈｉｃ　ｔｏｏｌｓ，ｔｈｅ　ａｄｖａｎｔａｇｅｓ　ｏｆ　ｏｕｒ　ｓｃｈｅｍｅ　ａｒｅ　ａｎａｌｙｚｅｄ　ｔｏ　ｉｌｌｕｓｔｒａｔｅ　ｔｈｅ　ｕｓａｂｉｌｉｔｙ．Ａｄｄｉｔｉｏｎａｌｌｙ，ｔｈｅ　ｅｘｔｅｎｓｉｖｅ　ｅｘｐｅｒｉｍｅｎｔｓ　ｉｌｌｕｓｔｒａｔｅ　ｔｈａｔ　ｔｈｅ　ｃｏｍｐｕｔａｔｉｏｎ　ｏｖｅｒｈｅａｄ　ａｎｄ　ｃｏｍｍｕｎｉｃａｔｉｏｎｃｏｓｔ　ｏｆ　ｔｈｅ　ｐｒｅｓｅｎｔｅｄ　ｓｃｈｅｍｅ　ａｒｅ　ｌｉｍｉｔｅｄ，ｉｎｄｉｃａｔｉｎｇ　ｔｈａｔ　ｏｕｒ　ｓｃｈｅｍｅ　ｃａｎ　ｒｅａｌｉｚｅ　ｔｈｅ　ｆａｉｒ　ｓｅｃｒｅｔｒｅｃｏｎｓｔｒｕｃｔｉｏｎ　ｅｆｆｉｃｉｅｎｔｌｙ．Ｋｅｙｗｏｒｄｓ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ；ｒａｔｉｏｎａｌ　ｆａｉｒｎｅｓｓ；ｏｂｆｕｓｃａｔｉｏｎ；ａｃｃｅｓｓ　ｓｔｒｕｃｔｕｒｅ；ｉｎｃｅｎｔｉｖｅｍｅｃｈａｎｉｓｍ１　引　言随着移动通信技术的不断发展，云计算、物联网、车联网、船联网等新兴技术不断普及．这在给人们带来便捷生活的同时，对用户的隐私保护也提出了新的挑战．为了有效保护万物互联时代下用户的个人隐私，多方参与的分布式密码方案受到了国内外学者的广泛关注［１］．（ｔ，ｎ）秘密共享是多方参与的分布式密码方案的重要组成．其基本思想是：将共享秘密Ｋ 拆分成ｎ 份子秘密分发给不同的用户，使得任意不少于ｔ个的用户在一起就可恢复出共享秘密Ｋ，而任意少于ｔ个的用户即使合谋也得不到关于共享秘密Ｋ 的任何信息．它已被广泛地用于保护移动通信［２］、数据查询［３］、云存储［４］、广告推送［５］等应用中的用户隐私．在传统秘密共享的研究中，均假设用户是诚实或恶意的［６］．然而，在现实中，用户既不是诚实的，也不是恶意的，而是自利的．自利的用户总是追求自身利益最大化．因此，若在现实应用中使用传统秘密共１５１８ 计　　算　　机　　学　　报 ２０２０年享方案，当ｔ－１个用户发送自己的子秘密后，由于剩余的ｎ－ｔ＋１个用户已能重构出共享秘密，因此他们将不再发送自己的子秘密．此时，对已发送子秘密的用户来说，他们将无法重构出共享秘密．这显然是不公平的，从而极大地影响了传统秘密共享的实用性．为了设计更贴近现实的秘密共享方案，Ｈａｌｐｅｒｎ和Ｔｅａｇｕｅ［７］将博弈论的理性用户引入到传统秘密共享的研究中，通过分析自利的理性用户参与秘密共享时的偏好，首次提出理性秘密共享的概念．随后，理性秘密共享得到了国内外学者的广泛研究［８－１１］．然而，在使用现有的理性秘密共享方案时，仍不能确保所有用户都能重构出共享秘密；甚至还会出现发送子秘密的用户重构出一个虚假的秘密并将其视为真实共享秘密的极端情形．例如，某公司财务总监使用现有理性秘密共享方案将公司的财务账目作为共享秘密拆分后分发给公司的会计和出纳，当需要重构财务账单时，就可能会出现先发送自己拥有的子秘密的会计不能恢复出财务账单，而不发送自己拥有的子秘密的出纳却能恢复出财务账单的情形，使得出纳能通过修改财务账单来掩盖自己的腐败行为；又如某公司将未来的发展计划作为共享秘密拆分给产品研发和产品销售经理进行保存，当要恢复研发计划时，销售经理就可能通过发送错误的子秘密欺骗研发经理，使其将重构出的错误的发展计划视为真实的计划，影响公司发展，使得销售经理能通过上述欺骗行为非法获取来自其他竞争公司的额外收益．造成上述问题的根本原因是：由于忽略了理性用户的自利性行为，导致现有理性秘密共享的公平性定义允许出现“用户不正确地发送自己拥有的子秘密也能重构出共享秘密”的不公平情形．为解决上述问题，本文通过分析理性用户的自利性行为，结合秘密共享的存取结构，给出了适用于理性用户参与的秘密共享的理性公平性定义，并从理论上证明了该公平性定义只允许出现“用户正确地发送自己拥有的子秘密给其余用户”的情形．此外，为表明所提出的理性公平性定义具有实用性，本文通过在秘密分发阶段为每个理性用户发送大量虚假子秘密，使得理性用户难以准确猜测出正确共享子秘密，一旦理性用户不发送自己拥有的子秘密，其在未来的秘密重构轮中将不会收到任何子秘密的方法，设计了一个理性公平的理性秘密共享方案．本文的主要贡献如下：（１）证明现有的公平性定义允许出现“用户不正确地发送自己拥有的子秘密也能重构出共享秘密”的不公平情形．并结合秘密共享的存取结构，给出了理性公平性的形式化定义．（２）以提出的理性公平性定义为指导，设计了一个混淆激励机制，并构造了一个理性公平的秘密共享方案．理论证明所提方案能有效约束理性用户的自利性行为，实现公平的秘密共享．（３）大量实验表明使用本方案时，秘密分发者和理性用户所需的计算代价和通信开销较小，具有较好的实用性．２　相关工作根据理性用户在秘密重构阶段交互时使用的通信类型，现有理性秘密共享方案可分为两类：基于同步通信的理性秘密共享方案和基于异步通信的理性秘密共享方案．２．１　基于同步通信的理性秘密共享方案Ｈａｌｐｅｒｎ和Ｔｅａｇｕｅ［７］将博弈论中的理性用户引入到传统秘密共享中，提出了理性秘密共享的概念．他们通过分析理性用户参与秘密重构时的偏好，利用随机交互真实子秘密和虚假子秘密的方法设计了一个（ｔ，ｎ）理性秘密共享方案．然而，他们的方案并不适用于ｔ＝ｎ＝２的情形．为解决上述问题，Ｇｏｒｄｏｎ和Ｋａｔｚ［１２］在理性秘密重构中引入“观察员”来监视每轮通信中各理性用户的策略选择，并在后通信轮中对理性用户的选择策略进行指引，从而设计了首个（２，２）理性秘密共享方案．Ａｂｒａｈａｍ 等人［１３］指出理性用户在参与秘密重构时可能会合谋．为防止该情形的发生，他们在秘密分发阶段为每个理性用户分发多个秘密，并通过引入可信第三方来指定每轮交互的子秘密，提出防合谋的理性秘密共享方案．为不依赖可信第三方实现公平的理性秘密共享，Ｍａｌｅｋａ等人［１４］将理性秘密重构阶段的交互过程视为多轮重复博弈，设计了一个随机交互轮数的理性秘密共享方案．随后，Ｍａｌｅｋａ等人［１５］又指出在实际应用中，往往需要共享多个秘密，而重复使用上述方案将消耗理性用户大量的计算和通信资源．因此，他们在理性用户参与重复博弈时的收益函数中引入折扣因子，使得理性用户的收益随着交互轮数的增多而逐步减少，从而提出适用于多秘密共享的理性秘密共享方案．当使用上述方案时，理性用户在秘密重构阶段中需进行多轮交互．为减少交互轮数，Ｍｉｃａｌｉ和Ｓｈｅｌａｔ［１６］基于密封拍卖模型，设计了一个只需６轮交互的理性秘密共享方案．Ｔｉａｎ等人［１７］考虑理性用８期 刘　海等：理性公平的秘密共享方案 １５１９户拥有的背景知识会影响其参与理性秘密重构时的策略选择，结合不完全信息博弈模型，提出了一个仅需１轮交互的理性秘密共享方案．然而，若直接使用该方案，即使所有的理性用户均诚实地参与秘密重构，也可能会出现没有任何用户能重构出共享秘密的特殊情形．为解决上述问题，Ｚｈａｎｇ和Ｌｉｕ［１８］采用多轮重复博弈的思想，通过不断调整理性用户参与秘密重构时选择不同策略的概率，实现公平的理性秘密重构．Ａｓｈａｒｏｖ和Ｌｉｎｄｅｌｌ［１９］指出原有方案为了确保公平性，均假设秘密分发者Ｄｅａｌｅｒ能准确地获知每个理性用户的收益函数，从而降低了方案的实用性．因此，他们利用安全多方计算，提出了一个不依赖理性用户收益的理性秘密共享方案．但是该方案仅适用于ｎ３的情形．此外，Ｎｏｊｏｕｍｉａｎ等人［２０］将理性秘密共享视为一类特殊的社会活动，提出社会理性秘密共享的概念．随后，Ｎｏｊｏｕｍｉａｎ和Ｓｔｉｎｓｏｎ［２１］将信誉值作为一种特殊的货币，设计了仅需１轮交互的社会理性秘密共享方案．并且，为提高社会理性秘密共享方案的可用性，Ｎｏｊｏｕｍｉａｎ［２２］通过数据拟合的方法，给出了社会理性秘密共享中理性用户的收益函数．然而，在现实应用中，如云存储数据访问控制、基于群组的位置服务查询等，同步通信难以实现，从而导致该类理性秘密共享方案的实用性较低．２．２　基于异步通信的理性秘密共享方案Ｋｏｌ和Ｎａｏｒ［２３］利用健忘传输、安全多方计算等密码技术构造了首个适用于异步通信的理性秘密共享方案．在他们的方案中，每次交互只有一个理性用户发送子秘密，且不依赖可信第三方．但是，理性秘密分发者Ｄｅａｌｅｒ和理性用户的计算代价较大．为降低理性用户的资源消耗，Ｋｏｌ和Ｎａｏｒ［２４］采用逆向归纳方法分析了理性用户在多轮子秘密交互过程中的策略选择，设计了信息论安全的理性秘密共享方案．为降低秘密分发者Ｄｅａｌｅｒ的资源消耗，Ｆｕｃｈｓｂａｕｅｒ等人［２５］通过引入可验证的随机函数（ｖｅｒｉｆｉａｂｌｅｒａｎｄｏｍ　ｆｕｎｃｔｉｏｎ）让理性用户在秘密重构阶段中不能确定其他理性用户发送的子秘密的正确性，使得理性用户不会偏离预定方案的执行．Ｚｈａｎｇ 和Ｌｉｕ［２６］通过让理性用户只有遵从预定方案的执行，才能正确地获知子秘密交互轮数的方法来实现公平的理性秘密共享．Ｃａｉ和Ｓｈｉ［２７］通过让秘密分发者Ｄｅａｌｅｒ在秘密分发阶段对分发的子秘密进行概率加密（ｐｒｏｂａｂｉｌｉｔｙ　ｅｎｃｒｙｐｔｉｏｎ），避免后发送子秘密的理性用户能先验证重构出的共享秘密的真实性，从而确保理性秘密共享公平性．但是上述方案均要求秘密分发者Ｄｅａｌｅｒ准确地获知理性用户参与秘密重构的收益函数．除上述采用密码技术来实现公平的理性秘密共享外，Ｗａｎｇ和Ｃａｉ［２８］通过让理性用户重复交互相同子秘密的方法，不断调整理性用户的策略选择，从而确保所有理性用户均能重构出共享秘密．Ｙｕ和Ｚｈｏｕ［２９］指出需防止多个理性用户在子秘密交互中合谋．因此，他们通过分析理性用户在重复交互相同子秘密过程中的偏好变化，提出概率安全和公平的理性秘密共享方案．Ｗａｎｇ和Ｘｕ［３０］考虑理性用户在理性秘密共享中的长远收益，通过减少理性用户长远收益的方法来约束理性用户的自利性行为．Ｊｉｎ等人［３１］指出当理性用户考虑自己的长期收益时，理性用户参与秘密共享的收益函数将发生改变．因此，他们综合考虑理性用户短期收益（即是否重构出共享）和长远收益，给出理性用户的混合收益函数．为降低秘密分发者Ｄｅａｌｅｒ和理性用户的资源开销，Ｏｎｇ等人［３２］通过引入诚实的参与用户，通过将参与用户划分为不同的群组，使得每个群组中均存在诚实用户，从而提出了需２轮交互的理性秘密共享方案．Ｄａｎｉ等人［３３］通过让理性用户延迟重构共享秘密的方法，设计了仅需１个子秘密交互轮的理性秘密共享方案．Ｔｉａｎ等人［３４］分析理性用户拥有的背景知识对其策略选择的影响，将理性用户信誉的增减作为一种奖惩，构造了仅需１轮交互的理性秘密共享方案．Ｋａｗａｃｈｉ等人［３５］通过在秘密分发阶段分发不同的共享秘密，并指定理性用户在秘密重构阶段中发送子秘密的先后顺序，提出了仅需３轮子秘密交互就能实现公平的理性秘密共享．但是上述方案均要求存在可信第三方／用户．此外，Ｓｏｕｒｙａ等人［３６］对理性用户在秘密重构阶段选择“不发送任何子秘密”的策略进行分析，探讨了理性用户选择该策略时的收益．Ｚｈａｎｇ等人［３７］、Ｓｏｕｒｙａ和Ｒｕｊ［３８］分别针对理性用户通信受限特殊情形下的理性秘密共享方案进行研究．Ｌｉｕ等人［３９］将机制设计模型引入到理性秘密共享方案的设计，给出了设计理性秘密共享方案的参考模型．然而，上述所有理性秘密共享方案在设计时均使用现有理性秘密共享的公平性定义为指导．由于现有理性秘密共享的公平性定义允许“理性用户不发送子秘密也能重构出共享秘密”，因此以该公平性定义为指导而设计出的理性秘密共享方案在实际使用时，会出现“发送子密钥的理性用户无法恢复出共享密钥，而不发送子密钥的用户却能重构出共享密钥”的不公平情形；甚至还会出现“发送错误的子秘１５２０ 计　　算　　机　　学　　报 ２０２０年密欺骗其余理性用户，使其将重构出的错误秘密视为真实共享秘密”的极端情形．３　预备知识３．１　系统模型理性秘密共享由两个阶段组成，分别是秘密分发阶段和秘密重构阶段．在这两个阶段中，本文均采用无需可信第三方的分布式结构，如图１所示．图１　系统结构（１）秘密分发阶段当要在理性用户Ｐ１，Ｐ２，…，Ｐｎ间共享秘密Ｋ时，秘密分发者Ｄｅａｌｅｒ在有限域Ｆｑ上随机选择ｔ－１个元素ａ１，ａ２，…，ａｔ－１构造多项式ｆ（ｘ）＝Ｋ＋Σｔ－１ｉ＝１ａｉｘｉ，并计算ｆ（ｉ）；然后将子秘密ｋｉ＝（ｉ，ｆ（ｉ）ｍｏｄｑ）秘密地分发给理性用户Ｐｉ．当所有理性用户Ｐｉ收到子秘密ｋｉ后，秘密分发者Ｄｅａｌｅｒ销毁共享Ｋ，秘密分发结束．其中，Ｋ∈Ｆｑ；ｑ＞ｎ是大素数；１ｉｎ．（２）秘密重构阶段当要恢复共享秘密Ｋ 时，理性用户Ｐｉ将自己获得的子秘密ｋｉ发送给理性用户Ｐｊ，而理性用户Ｐｊ在收到子秘密ｋｉ后就发送自己拥有的子秘密ｋｊ．所有的理性用户交互完各自拥有的子秘密后，就可利用拉格朗日插值法计算Ｋ＝ｆ（０）＝Σｔｉ＝１ｌｉ（０）ｆ（ｉ）重构出共享秘密Ｋ．其中，ｌｉ（ｘ）＝Πｔｊ＝１，ｊ≠ｉｘ－ｉｉ－ｊ是拉格朗日插值基函数；ｉ≠ｊ且１ｉ，ｊｎ．３．２　理性秘密重构博弈在理性秘密共享中，影响其公平性的主要原因是理性用户为了追求自身利益最大化，在秘密重构阶段中可能会发送错误的子秘密或者不发送任何子秘密给其余理性用户．为更好地分析理性用户在理性秘密重构阶段中的策略选择，本文结合扩展型博弈模型，给出理性秘密重构博弈的形式化模型．定义１（理性秘密重构博弈模型）． 理性秘密重构博弈ＧＳ＝｛Ｐ，Ａ，Ｆ，Ｈ，Ｕ，Θ｝是一个六元组，具体解释如下：（１）Ｐ＝｛Ｐ１，Ｐ２，…，Ｐｎ｝是参与秘密重构的理性用户集合．其中，Ｐｉ表示第ｉ 个理性用户；Ｐ－ｉ＝｛Ｐ１，…，Ｐｉ－１，Ｐｉ＋１，…，Ｐｎ｝称为理性用户Ｐｉ的对手集合，是由理性用户Ｐｉ外的其余用户组成的集合；１ｉｎ．（２）Ａ＝｛Ａ１，Ａ２，…，Ａｎ｝是理性用户的策略集合．Ａｉ＝｛ａｈｏｎｅｓｔｉ ，ａｆａｋｅｉ ，ａｓｌｉｅｎｔｉ ｝是理性用户Ｐｉ的策略集合，其中ａｈｏｎｅｓｔｉ表示理性用户Ｐｉ将自己拥有的子秘密正确地发送给其余用户；ａｆａｋｅｉ表示理性用户Ｐｉ未将自己拥有的子秘密正确地发送给其余用户；ａｓｉｌｅｎｔｉ表示理性用户Ｐｉ不发送任何子秘密给其余用户．策略组合ａ＝（ａ１，ａ２，…，ａｎ）是由每个理性用户Ｐｉ选择一个策略ａｉ∈Ａｉ所组成的向量．（３）Ｈ 是历史序列集合．ｈ∈Ｈ，其表示在某时刻时已行动的理性用户所选择的策略组成的策略组合．在ｈ 之后的可能出现的所有策略组合记为Ａ（ｈ）＝｛ａ｜（ｈ，ａ）∈Ｈ｝．空字符ｈ－∈Ｈ，表示理性秘密重构博弈ＧＳ开始．如果某历史ｈ′∈Ｈ 使得Ａ（ｈ′）＝，则该历史ｈ′称为终止的（即表示理性秘密重构博弈ＧＳ结束），其中 是空集合．Ｚ 表示由所有终止的历史组成的集合．（４）Ｆ：（Ｈ／Ｚ）→Ｐ 是理性用户分配函数．它为未终止的历史ｈ∈Ｈ／Ｚ 指定下一个选择策略的理性用户Ｐｉ∈Ｐ．当所有用户同时进行策略选择，即采用同步信道通信时，Ｆ（ｈ－）＝Ｐ．（５）Ｕ ＝｛ｕ１，ｕ２，…，ｕｎ｝是理性用户的收益集合．ｕｉ：Ａ１×Ａ２×…×Ａｎ→｛Ｗ ＋ｉ ，Ｗｉ，Ｗ －ｉ ，Ｗ －－ｉ ｝是理性用户Ｐｉ参与理性秘密重构博弈ＧＳ所得到的收益．其中，Ｗ ＋ｉ表示理性用户Ｐｉ重构出共享秘密，而其余理性用户未能重构出共享秘密时的收益；Ｗｉ表示理性用户Ｐｉ重构出共享秘密，而其余理性用户也能重构共享秘密时的收益；Ｗ －ｉ表示理性用户Ｐｉ未能重构出共享秘密，而其余理性用户也未能重构出共享秘密时的收益；Ｗ －－ｉ表示理性用户Ｐｉ未能重构８期 刘　海等：理性公平的秘密共享方案 １５２１出共享秘密，而其余理性用户却重构出共享秘密时的收益．（６）Θ＝｛θ１，θ２，…，θｎ｝是理性用户的偏好集合．其中，θｉ＝Ｗ ＋ｉ ＷｉＷ －ｉ Ｗ －－ｉ表示理性用户Ｐｉ参与理性秘密重构博弈ＧＳ时的自利性偏好，即：理性用户Ｐｉ首先希望只有自己能重构出共享秘密；其次，在自己获得共享秘密的同时，尽可能地让其余用户不能重构出共享秘密．３．３　存取结构为更一般化地分析参与理性秘密重构的理性用户集合中的哪些子集可重构出共享秘密，下面给出存取结构的相关概念．定义２（存取结构）． 设Ｐ＝｛Ｐ１，Ｐ２，…，Ｐｎ｝是ｎ个用户组成的用户集合．对于任意给定的非空集合ＡＳ２Ｐ，如果其满足单调性，即：当Ａ∈ＡＳ 时，Ａ′∈２Ｐ 且Ａ Ａ′，有Ａ′∈ＡＳ则称集合ＡＳ 为Ｐ 上的存取结构．其中，２Ｐ 表示集合Ｐ 的全部子集构成的集合．定义３（最小存取结构）． 令集合ＡＳ 为用户集合Ｐ 上的存取结构，则称集合ＡＳｍ＝｛Ａ∈ＡＳ｜Ａ′∈２Ｐ，Ａ′ＡＡ′ＡＳ｝为存取结构ＡＳ 上的最小存取结构．基于上述定义，可给出任意用户Ｐｉ∈Ｐ 关于用户集合Ｐ 的最小存取结构，简称用户Ｐｉ的最小存取结构．定义４（用户Ｐｉ的最小存取结构）． 令集合ＡＳｍ是用户集合Ｐ 上的最小存取结构，如果集合ＡＳＰｍｉＡＳｍ满足：Ａ∈ＡＳＰｉ ｍ ，有Ｐｉ∈Ａ，则称该集合ＡＳＰｉ ｍ是用户Ｐｉ的最小存取结构．在（ｔ，ｎ）理性秘密共享中，它的存取结构是由参与秘密重构的用户数量不少于ｔ的用户集合所构成的，即ＡＳ＝｛Ｐ′Ｐ｜Ｐ′ ｔ｝；最小存取结构ＡＳｍ＝｛Ｐ″∈Ｐ｜Ｐ″ ＝ｔ｝是由ｔ个参与秘密重构的用户所组成的集合构成的；而参与者Ｐｉ的最小存取结构为ＡＳＰｉ ｍ ＝｛Ｐ∈ＡＳ｜Ｐ∈ＡＳｍ且Ｐｉ∈Ｐ｝．３．４　机制设计机制设计［４０］是微观经济学中的重要组成，其主要研究的是如何设计合理的机制，使得参与社会经济活动的用户在追求个人收益最大化的同时，实现机制设计者的期望目标．其形式化定义如下所示．定义５（机制）． 机制Ｍ ＝｛ｏ，ｐ｝是一个二元组，具体解释如下：（１）ｏ是机制Ｍ 的分配规则．即机制根据参与社会经济活动的每个用户Ｐｉ所选择的策略ａｉ，计算得到相应的输出结果ｏ（ａ）．其中，１ｉｎ；ｎ表示参与社会经济活动的用户数量；ａ＝（ａ１，ａ２，…，ａｎ）．（２）ｐ＝｛ｐ１，ｐ２，…，ｐｎ｝是机制Ｍ 的支付规则．即机制Ｍ 根据用户Ｐｉ选择的策略ａｉ，提供给用户Ｐｉ的一个转移支付ｐｉ．４　理性公平性４．１　现有理性秘密共享公平性的缺陷在现有理性秘密共享的研究中，其公平性可表述为：当理性秘密重构博弈结束时，所有的理性用户均获得共享秘密，或没有任何理性用户能获得共享秘密．为便于论述现有理性秘密共享公平性定义的缺陷，本文先给出现有理性秘密共享公平性的定义，详细内容可参考文献［１９］．定义６（现有理性秘密共享的公平性）． 假设执行某理性秘密共享方案在ｎ个理性用户Ｐ１，Ｐ２，…，Ｐｎ间共享秘密．如果对任意的理性用户Ｐｉ来说，当理性秘密重构结束时，其获得的收益ｕｉ满足：ｕｉ（ａｉ，ａＰ－ｉ）＝Ｗｉ或ｕｉ（ａｉ，ａＰ－ｉ）＝Ｗ －ｉ ．那么就称该理性秘密共享方案是公平的．其中，ａｉ∈Ａｉ表示理性用户Ｐｉ在执行理性秘密重构时选择的策略；ａＰ－ｉ＝（ａ１，…，ａｉ－１，ａｉ＋１，…，ａｎ）是由理性用户Ｐｉ的对手Ｐｊ∈Ｐ－ｉ参与理性秘密重构时选择的策略ａｊ∈Ａｊ所构成的策略组合；ｉ≠ｊ且１ｉ，ｊｎ．下面利用反证法证明上述公平性定义存在缺陷．命题１． 当理性用户均是自利时，现有理性秘密共享的公平性定义允许“理性用户不发送自己的子秘密也能获得共享秘密”或“发送错误的子秘密欺骗其余理性用户，将重构出错误的共享秘密当作真实共享秘密”．证明． 令Ｐ＝｛Ｐ１，Ｐ２，…，Ｐｎ｝表示参与理性秘密重构的用户集合；Ｐ′＝｛Ｐｊ１，Ｐｊ２，…，Ｐｊｋ｝表示参与理性秘密重构博弈ＧＳ中正确地发送子秘密的用户集合，即理性用户Ｐｊｌ∈Ｐ′参与理性秘密重构博弈ＧＳ时选择策略ａｈｏｎｅｓｔｊｌ ；珚Ｐ′＝ ｛Ｐｍ１，Ｐｍ２，…，Ｐｍｎ－ｋ－１｝表示在参与理性秘密重构博弈ＧＳ时未正确地发送子秘密的理性用户集合，即理性用户Ｐｊｌ∈珚Ｐ′参与理性秘密重构博弈ＧＳ时选择策略ａｏｔｈｅｒｍｑ ≠ａｈｏｎｅｓｔｍｑ ∈Ａｍｑ．其中，１ｌｋ；１ｋｎ－１；１ｑｎｋ－１；Ｐ′∪珚Ｐ′∪｛Ｐｉ｝＝Ｐ．（１）当ｔｋｎ－１，即至少已有ｔ个理性用户将自己拥有的子秘密正确地发送给其余理性用户时：若理性用户Ｐｉ选择策略ａｆａｋｅｉ ，即未将自己拥有的子秘密正确地发送给其余用户，那么理性用户１５２２ 计　　算　　机　　学　　报 ２０２０年Ｐｉ、Ｐｊｌ和Ｐｍｑ的收益ｕｉ、ｕｊｌ和ｕｍｑ分别为ｕｉ（ａｆａｋｅｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）＝Ｗｉ；ｕｊｌ（ａｆａｋｅｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）＝Ｗｊｌ；ｕｍｑ（ａｆａｋｅｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）＝Ｗｍｑ．故策略组合（ａｆａｋｅｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）满足现有理性秘密共享的公平性．同理，若理性用户Ｐｉ选择策略ａｓｉｌｅｎｔｉ ，即不发送任何子秘密给其余理性用户，那么理性用户Ｐｉ、Ｐｊｌ和Ｐｍｑ的收益ｕｉ、ｕｊｌ和ｕｍｑ分别为ｕｉ（ａｓｉｌｅｎｔｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）＝Ｗｉ；ｕｊｌ（ａｓｉｌｅｎｔｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）＝Ｗｊｌ；ｕｍｑ（ａｓｉｌｅｎｔｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）＝Ｗｍｑ．故策略组合（ａｓｉｌｅｎｔｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）也满足现有理性秘密共享的公平性．显然，当有ｋｔ个理性用户Ｐｊ１，Ｐｊ２，…，Ｐｊｋ已将自己的拥有的子秘密正确地发送给其余理性用户时，对于理性用户Ｐｉ来说，有ｕｉ（ａｆａｋｅｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）ｕｉ（ａｈｏｎｅｓｔｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）和ｕｉ（ａｓｉｌｅｎｔｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）ｕｉ（ａｈｏｎｅｓｔｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）．　　其中，当发送错误的子秘密能欺骗其余理性用户将重构出错误的秘密视为真实的共享秘密或考虑发送子秘密需要消耗理性用户的通信成本时，上式不等号成立．因此，理性用户Ｐｉ在参与理性秘密重构博弈ＧＳ时，不会选择策略ａｈｏｎｅｓｔｉ ．（２）当ｔ＝ｎ时，即理性用户必须要拥有ｎ 个子秘密才能重构出共享秘密．此时，对于理性用户Ｐｉ来说，若ｋ＜ｎ－１，即少于ｎ－１个理性用户将自己的拥有子秘密正确地发送给其余理性用户，则理性用户Ｐｉ、Ｐｊｌ和Ｐｍｑ的收益ｕｉ、ｕｊｌ和ｕｍｑ分别满足：ｕｉ（ａｉ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）＝Ｗｉ；ｕｊｌ（ａｉ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）＝Ｗｊｌ；ｕｍｑ（ａｉ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）＝Ｗ－ｍｑ．故策略组合（ａｉ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｅｓｔｊｋ ，ａｏｔｈｅｒｍ１ ，…，ａｏｔｈｅｒｍｎ－ｋ－１）满足现有理性秘密共享的公平性．其中，ａｉ∈Ａｉ．若ｋ＝ｎ－１，即已有ｎ－１个理性用户将自己的拥有子秘密正确地发送给其余理性用户，则理性用户Ｐｉ和Ｐｊｌ的收益ｕｉ和ｕｊｌ分别满足：ｕｉ（ａｈｏｎｅｓｔｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ）＝Ｗｉｕｊｌ（ａｈｏｎｅｓｔｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ）＝Ｗｊ烅烄烆ｌ；ｕｉ（ａｆａｋｅｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ）＝Ｗ ＋ｉｕｊｌ（ａｆａｋｅｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ）＝Ｗ －－ｊ烅烄烆ｌ；ｕｉ（ａｓｉｌｅｎｔｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ）＝Ｗ ＋ｉｕｊｌ（ａｓｉｌｅｎｔｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ）＝Ｗ －－ｊ烅烄烆ｌ．此时，只有策略组合（ａｈｏｎｅｓｔｉ ，ａｈｏｎｅｓｔｊ１ ，…，ａｈｏｎｔｅｓｔｊｋ ）满足现有理性秘密共享的公平性．综上所述，现有理性秘密共享的公平性定义允许“理性用户不发送自己的子秘密也能获得共享秘密”或“发送错误的子秘密欺骗其余理性用户，将重构出错误的共享秘密当作真实共享秘密”． 证毕．４．２　理性公平性通过上述分析发现，当ｔ＝ｎ 时，由于理性秘密共享具有特殊的最小存取结构ＡＳｍ＝｛Ｐ｝，即所有的理性用户均要将自己的拥有的子秘密正确地发送给其余用户时，可实现公平的理性秘密共享．因此，本文通过引入用户的最小存取结构，给出秘密共享的理性公平性定义，其形式化描述如下所示．定义７（理性公平性）． 一个（ｔ，ｎ）理性秘密共享方案被称为是理性公平的，当且仅当对于任意理性用户Ｐｉ（１ｉｎ）来说，当理性秘密重构结束时，Ｐ′＝｛Ｐｅ１，Ｐｅ２，…，Ｐｅｔ－１，Ｐｉ｝∈ＡＳＰｍｉ，其选择策略ａｉ的收益ｕｉ满足：（１）ｕｉ（ａｉ，ａＰ′－ｉ）ｕｉ（ａ′ｉ，ａＰ′－ｉ）；（２）ｕｉ（ａｉ，ａＰ′－ｉ）＝Ｗｉ或ｕｉ（ａｉ，ａＰ′－ｉ）＝Ｗ －ｉ ．其中，ａｉ，ａ′ｉ∈Ａｉ是理性用户Ｐｉ参加理性秘密重构时所选择的策略且ａｉ≠ａ′ｉ；Ｐ′＝｛Ｐｅ１，Ｐｅ２，…，Ｐｅｔ－１，Ｐｉ｝是理性用户Ｐｉ的关于理性秘密共享的最小存取结构；Ｐ－ｉ＝｛Ｐｅ１，Ｐｅ２，…，Ｐｅｔ－１｝；ａＰ′－ｉ＝（ａｅ１，ａｅ２，…，ａｅｔ－１）表示用户集合Ｐ′中其余理性用户Ｐｅｊ参加博弈ＧＳ选择的策略ａｅｊ组成的策略组合；１ｊｔ－１且ｅｊ≠ｉ．在上述理性公平性的形式化定义中，条件（１）是为了说明当理性用户Ｐｉ在秘密重构阶段中可选择策略ａｉ和ａ′ｉ时，会根据自利性原则，选择策略ａｉ来追求自身收益最大化；条件（２）是为了确保理性秘密重构的公平性，对执行过程进行约束，即当任意ｔ个理性用户进行理性秘密重构时，他们均能重构出真实的共享秘密或均未重构出真实的共享秘密．下面证明本文给出的理性公平性定义不允许出现任何不公平的情形．命题２． 当理性用户均是自利时，本文提出的理性公平性定义仅允许“理性用户将自己拥有的子秘密正确地发送给其余用户”．证明． 与命题１证明相似，令集合Ｐ′＝｛Ｐｅ１，８期 刘　海等：理性公平的秘密共享方案 １５２３Ｐｅ２，…，Ｐｅｔ－１，Ｐｉ｝是任意一个包含理性用户Ｐｉ的用户集合，且Ｐ ＾ ＝ｔ．假设理性用户在秘密重构阶段未正确地将自己拥有的子秘密发送给其余理性用户，即选择策略ａ′ｉ≠ａｈｏｎｅｓｔｉ ．此时，若其余ｔ－１个用户Ｐｅ１，Ｐｅ２，…，Ｐｅｔ－１将自己拥有的子秘密正确地发送给其余用户时，理性用户选择策略ａ′ｉ的收益为ｕｉ（ａ′ｉ，ａｈｏｎｅｓｔＰ ＾－ｉ ）＝Ｗ ＋ｉ ．　　而对于理性用户Ｐｅｊ来说，其收益为ｕｅｊ（ａｈｏｎｅｓｔｅ１ ，…，ａｈｏｎｅｓｔｅｊ－１，ａｈｏｎｅｓｔｅｊ ，ａｈｏｎｅｓｔｅｊ＋１，…，ａｈｏｎｅｓｔｅｔ－１，ａ′ｉ）＝Ｗ －－ｅｊ ．其中，１ｊｔ－１．显然，ｕｉ（ａ′ｉ，ａｈｏｎｅｓｔＰ ＾－ｉ ）≠ｕｅｊ（ａ′ｉ，ａｈｏｎｅｓｔＰ ＾－ｉ ）．故当理性用户选择策略ａ′ｉ≠ａｈｏｎｅｓｔｉ时，并不满足理性公平性．因此，当理性用户均是自利的时，本文提出的理性公平性定义中仅允许“理性用户将自己拥有的子秘密正确地发送给其余用户”． 证毕．５　理性公平的秘密共享方案为进一步表明本文所提的理性公平性定义具有实用性，本节基于混淆思想，设计一个理性公平的秘密共享方案．５．１　混淆激励机制本文基于机制设计模型，设计一个混淆激励机制来约束理性用户在理性秘密重构阶段的自利性行为．基本思想如下：通过让秘密分发者Ｄｅａｌｅｒ为每个理性用户分发包含多个虚假子秘密的子秘密集合，使得理性用户在秘密重构阶段的交互完成前难以确认重构出的哪个秘密是真实的共享秘密；一旦理性用户在秘密重构阶段中未将自己拥有的子秘密正确地发送给其余用户或不发送任何子秘密，则该用户在随后的子秘密交互过程中将受到惩罚，不会收到其余理性用户发送的任何子秘密．令策略ａ（ｋ）ｉ表示理性用户Ｐｉ发送其拥有的第ｋ（１ｋＮ）个子秘密所选择的策略，其中Ｎ 是正整数．本文设计的混淆激励机制如下所示．定义８（混淆激励机制）． 针对基于异步通信的理性秘密共享，混淆激励机制Ｍｏｂｆ＝｛ｏ（ｋ），ｐ（ｋ）ｉ ｝是个二元组，其中：（１）ｏ（ｋ）＝（ａ（ｋ）１ ，ａ（ｋ）２ ，…，ａ（ｋ）ｎ ）是在理性秘密重构阶段的第ｋ轮交互中，每个理性用户Ｐｉ在混淆激励机制Ｍｏｂｆ下选择策略ａ（ｋ）ｉ所构成的策略组合．（２）ｐ（ｋ）ｉ是理性用户Ｐｉ在混淆激励机制下选择策略ａ（ｋ）ｉ后所获得的转移支付，其满足：ｐ（ｋ）ｉ （ａ（ｋ）ｉ ）＝ａ（ｋ）－ｈｏｎｅｓｔｊ→ｉ ，ａ（ｋ）ｉ ＝ａ（ｋ）－ｈｏｎｅｓｔｉａ（ｋ）－ｓｉｌｅｎｔｊ→ｉ ，ａ（ｋ）ｉ ∈｛ａ（ｋ）－ｆａｋｅｉ ，ａ（ｋ）－ｓｉｌｅｎｔｉ烅烄烆｝，其中，ｊ≠ｉ且理性用户Ｐｊ在秘密重构阶段的第ｋ 轮交互中比理性用户Ｐｉ后进行策略的选择；ａ（ｋ）－ｈｏｎｅｓｔｉ表示理性用户Ｐｉ在第ｋ 轮交互中将自己拥有的子秘密正确地发送给其余用户；ａ（ｋ）－ｆａｋｅｉ表示理性用户Ｐｉ在第ｋ 轮交互中未将自己拥有的子秘密正确地发送给其余用户；ａ（ｋ）－ｓｉｌｅｎｔｉ表示理性用户Ｐｉ在第ｋ 轮交互中不发送任何子秘密给其余用户；ａ（ｋ）－ｈｏｎｅｓｔｊ→ｉ表示理性用户Ｐｊ在第ｋ 轮交互中将自己拥有的子秘密正确地发送给用户Ｐｉ；ａ（ｋ）－ｓｉｌｅｎｔｊ→ｉ表示理性用户Ｐｊ在第ｋ 轮交互中不发送任何子秘密给用户Ｐｉ．当理性用户在秘密重构阶段中同步发送自己拥有的子秘密时（即所有用户同时选择自己的策略），我们只需将上述混淆激励机制中的ｐ（ｋ）ｉ修改为ｐ（ｋ）ｉ （ａ（ｋ）ｉ ）＝ａ（ｋ＋１）－ｈｏｎｅｓｔｊ→ｉ ，ａ（ｋ）ｉ ＝ａ（ｋ）－ｈｏｎｅｓｔｉａ（ｋ＋１）－ｓｉｌｅｎｔｊ→ｉ ，ａ（ｋ）ｉ ∈｛ａ（ｋ）－ｆａｋｅｉ ，ａ（ｋ）－ｓｉｌｅｎｔｉ烅烄烆｝，也就是说，混淆机制将根据理性用户Ｐｉ在第ｋ 轮交互中选择的策略ａ（ｋ）ｉ ，在第ｋ＋１轮交互中给予转移支付．５．２　我们的方案下面基于上述混淆激励机制，构造一个理性公平的秘密共享方案．该方案由理性秘密分发协议和理性秘密重构协议组成．５．２．１　理性秘密分发协议为防止理性用户在秘密重构阶段中猜测出真实的共享秘密Ｋｒｅａｌ，在秘密分发阶段，秘密分发者Ｄｅａｌｅｒ首先生成虚假秘密Ｋ１－ｆａｋｅ，Ｋ２－ｆａｋｅ，…，ＫＮ′－ｆａｋｅ，并利用这Ｎ′个虚假秘密和真实的共享秘密Ｋｒｅａｌ为每个理性用户Ｐｉ生成子秘密集合ｋ＿ｓｅｔｉ．确保理性用户在秘密重构阶段中至少能重构出一个虚假秘密Ｋｆａｋｅ∈｛Ｋ１－ｆａｋｅ，Ｋ２－ｆａｋｅ，…，ＫＮ′－ｆａｋｅ｝，使得重构出该虚假秘密Ｋｆａｋｅ的次数仅比重构出的真实秘密Ｋｒｅａｌ的次数少１次．其中，具体协议如下所示．Ｓｔｅｐ　１．秘密分发者Ｄｅａｌｅｒ根据真实共享秘密Ｋｒｅａｌ生成Ｎ′个虚假秘密Ｋ１－ｆａｋｅ，Ｋ２－ｆａｋｅ，…，ＫＮ′－ｆａｋｅ，并利用Ｋ１－ｆａｋｅ，Ｋ２－ｆａｋｅ，…，ＫＮ′－ｆａｋｅ，Ｋｒｅａｌ生成分发秘密集合Ｋ＝｛Ｋ１，Ｋ２，…，ＫＮ｝．其中，Ｎ′２且是正整数；Ｋ１，Ｋ２，…，ＫＮ是重复使用Ｎ′＋１个共享秘密Ｋ１－ｆａｋｅ，Ｋ２－ｆａｋｅ，…，ＫＮ′－ｆａｋｅ，Ｋｒｅａｌ而构成的一个共享秘密排列，其满足：（１）Ｋｉ′１－ｆａｋｅ，Ｋｉ′２－ｆａｋｅ，…，Ｋｉ′Ｎ″－ｆａｋｅ∈Ｋ，有｜Ｋｉ′１－ｆａｋｅ｜＝｜Ｋｉ′２－ｆａｋｅ｜＝…＝｜Ｋｉ′Ｎ″－ｆａｋｅ｜＝｜Ｋｒｅａｌ｜－１；　　（２）ＫＮ －ｋ，ＫＮ －ｋ＋１，…，ＫＮ∈Ｋ，有｜ＫＮ －ｋ｜＝｜ＫＮ －ｋ＋１｜＝…＝｜ＫＮ｜＜｜Ｋｒｅａｌ｜－１；１５２４ 计　　算　　机　　学　　报 ２０２０年　　（３）Ｎ′和ｋ 是两个随机正整数且１ｋＮ．Ｓｔｅｐ　２．秘密分发者Ｄｅａｌｅｒ构造Ｎ 个ｔ－１阶多项式ｆ１（ｘ），ｆ２（ｘ），…，ｆＮ（ｘ），使得ｆｍ（ｘ）≠ｆｍ′（ｘ）， ｍ ≠ｍ′，ｆｌ（ｘ）＝Ｋｍ ＋Σｔ－１ｒ＝１ａｒｘｒ，１ｍ 烅烄烆Ｎ并利用这些多项式将分发秘密Ｋｍ∈Ｋ 拆分成ｎ 份子秘密ｋｍ１，ｋｍ２，…，ｋｍｎ ．其中，ｋｍｉ ＝ｆｍ（ｉ）；１ｉｎ．Ｓｔｅｐ　３．秘密分发者Ｄｅａｌｅｒ选择安全的签名函数ｓｉｇｎ（·），并利用自己的私钥ＤｅａｌｅｒＳＫ为子秘密ｋｍｉ计算承诺信息ｃ　ｍｉ ＝ｓｉｇｎＤｅａｌｅｒＳＫ （ｋｍｉ ‖ＩＤｉ‖ｍ）．其中，ＩＤｉ是理性用户Ｐｉ的身份；“‖”是连接符．Ｓｔｅｐ　４．秘密分发者Ｄｅａｌｅｒ为理性用户生成子秘密集合ｋ＿ｓｅｔｉ＝｛ｋ１ｉ，ｋ２ｉ，…，ｋＮｉ ｝和承诺信息集合ｃ＿ｓｅｔｉ＝｛ｃ１ｉ，ｃ２ｉ，…，ｃＮｉ ｝．然后将子秘密集合ｋ＿ｓｅｔｉ发送给理性用户Ｐｉ；将承诺信息集合ｃ＿ｓｅｔｉ和签名验证函数ｖｅｒｆ（·）发送给所有的理性用户．５．２．２　理性秘密重构协议当要重构共享秘密时，所有的理性用户根据收到的子秘密集合进行交互，即在第ｍ 轮交互中，每个理性用户Ｐｉ发送其子秘密集合ｋ＿ｓｅｔｉ中的第ｍ个子秘密ｋｍｉ ．其余理性用户收到Ｐｉ发送的子秘密后，利用验证函数ｖｅｒｆ（·）和秘密分发者的公钥ＤｅａｌｅｒＰＫ验证子秘密的正确性．若发现理性用户Ｐｉ未正确地发送子秘密ｋｍｉ ，则在之后的第ｍ＋１轮至第ｎ轮交互中，其余理性用户均不再发送任何子秘密给理性用户Ｐｉ．若确认理性用户Ｐｉ正确地发送子秘密ｋｍｉ ，则继续进行交互，直至将所有的子秘密都交互完毕后，从重构出的诸多秘密中挑选重复数量最多的作为真实的共享秘密．具体协议如下所示．Ｓｔｅｐ　１．在任意第ｍ 轮子秘密交互中，当轮到理性用户Ｐｉ发送子秘密时，（１）对于已行动过的理性用户Ｐｉ′，①若收到理性用户Ｐｉ′发送的子秘密ｋｍｉ′，且确认该子秘密的正确性，则将ｋｍｉ发送给理性用户Ｐｉ′．②若收到理性用户Ｐｉ′发送的子秘密ｋｍｉ′，但确认该子秘密不是秘密分发者Ｄｅａｌｅｒ指定发送的子秘密，则不发送任何子秘密给理性用户Ｐｉ′．③若未收到理性用户Ｐｉ′发送的子秘密ｋｍｉ′，则不发送任何子秘密给理性用户Ｐｉ′．（２）对于还未行动过的理性用户Ｐｊ，则发送自己拥有的子秘密ｋｍｉ ．Ｓｔｅｐ　２．理性用户Ｐｊ∈Ｐ－ｉ收到子秘密ｋｍｉ后，利用秘密分发者Ｄｅａｌｅｒ的公钥ＤｅａｌｅｒＰＫ、验证函数ｖｅｒｆ（·）以及承诺信息ｃｍｉ验证该子秘密的正确性，即Ｐｉ发送的子秘密ｋｍｉ是否就是秘密分发者Ｄｅａｌｅｒ指定的在第ｍ 轮中发送的子秘密：（１）若ｖｅｒｆＤｅａｌｅｒＰＫ （ｃｍｉ ，ＩＤｉ，ｍ）＝ｋｍｉ ，则表示理性用户Ｐｉ在第ｍ 轮交互中，正确地发送了自己拥有的子秘密，则广播消息“Ｈｏｎｅｓｔ”；（２）若ｖｅｒｆＤｅａｌｅｒＰＫ （ｃｍｉ ，ＩＤｉ，ｍ）≠ｋｍｉ ，则表示理性用户Ｐｉ在第ｍ 轮交互中，未正确地发送自己拥有的子秘密，则广播消息“Ｆａｋｅ”．若理性用户Ｐｊ未收到任何子秘密，则广播消息“ｓｉｌｅｎｔ”．Ｓｔｅｐ　３．理性用户发送完自己拥有的子秘密ｋｍｉ后，则轮到下一位未行动的理性用户Ｐｉ＋１发送自己拥有的子秘密．Ｓｔｅｐ　４．当在第ｍ 轮交互中收到子其余理性用户发送的子秘密ｋｍｉ１，ｋｍｉ２，…，ｋｍｉｎ′后：（１）若ｔ－１ｎ′ｎ－１，即至少有ｔ－１个其余理性用户正确地发送自己拥有的子秘密，则利用朗格朗日插值法恢复共享秘密Ｋｍ．（２）若ｎ′＜ｔ－１，即仅有不多于ｔ－２个其余理性用户正确地发送自己拥有的子秘密，此时无法恢复出共享秘密Ｋｍ，交互终止．Ｓｔｅｐ　５．若在交互过程中所有理性用户均已能正确地识别出真实的共享秘密，则协议终止．否则，重构出所有的秘密Ｋ１，Ｋ２，…，ＫＮ后，若Ｋ′，Ｋ″∈｛Ｋ１，Ｋ２，…，ＫＮ｝，有｜Ｋ′｜＞｜Ｋ″｜，则将Ｋ′视为真实的共享秘密Ｋｒｅａｌ．值得注意的是，通过修改理性用户发送子秘密的先后顺序，本方案也可适用于同步通信情形．６　方案分析本方案采用ｔ－１阶多项式对分发的秘密Ｋｍ（１ｉＮ）进行拆分．此时，根据方程组解的性质，当且仅当理性用户Ｐｉ拥有ｔ个子秘密，才能重构出Ｋｍ，否则不能得到关于秘密Ｋｍ的任何信息．此外，当理性用户Ｐｉ分发子秘密ｋｍｉ时，如果其不交互秘密分发者指定交互的子秘密ｋｍｉ （无论是自己伪造的子秘密，或者分发应在其余轮交互的子秘密ｋｍ′ｉ ，或者分发其余理性用户发送的子秘密ｋｍｊ ），由于存在承诺信息ｃｍｉ ＝ｓｉｇｎＤｅａｌｅｒＳＫ （ｋｍｉ‖ＩＤｉ‖ｍ），其余理性用户均可正确地识别出Ｐｉ的欺骗行为．而当收到不少于ｔ－１个其余理性用户发送的关于Ｋｍ的子秘密后，就可利用拉格朗日插值法重构出秘密Ｋｍ．因此，本方案是安全的和正确的．下面，详细给８期 刘　海等：理性公平的秘密共享方案 １５２５出本方案的公平性证明．６．１　公平性定理１． 当理性用户的自利性偏好满足：Ｗ ＋ｉ ＷｉＷ －ｉ Ｗ －－ｉ时，若Ｎ 足够大，那么本方案是理性公平的．证明． 不妨设任意ｔ个用户Ｐｉ１，Ｐｉ２，…，Ｐｉｔ参与理性秘密重构．其中，理性用户Ｐｉｇ在秘密分发阶段获得的子秘密集合为ｋ＿ｓｅｔｉｇ｛ｋ１ｉｇ，ｋ２ｉｇ，…，ｋＮｉｇ｝，１ｇｔ．下面证明在任意第ｍ 轮中，理性用户Ｐｉｇ均会选择策略ａ（ｍ）－ｈｏｎｅｓｔｉｇ ，即将子秘密ｋｍｉｇ发送给其余理性用户．由于在秘密分发者构造的分发秘密集合Ｋ 中，生成的虚假秘密Ｋｉ′１－ｆａｋｅ，Ｋｉ′２－ｆａｋｅ，…，Ｋｉ′Ｎ″－ｆａｋｅ和真实的秘密Ｋｒｅａｌ间满足：｜Ｋｉ′１－ｆａｋｅ｜＝｜Ｋｉ′２－ｆａｋｅ｜＝…＝｜Ｋｉ′Ｎ″－ｆａｋｅ｜＝｜Ｋｒｅａｌ｜－１，即虚假秘密Ｋｉ′１－ｆａｋｅ，Ｋｉ′２－ｆａｋｅ，…，Ｋｉ′Ｎ″－ｆａｋｅ和真实秘密Ｋｒｅａｌ的数量只相差１个．此外，在分发秘密集合Ｋ 中，ＫＮ －ｋ，ＫＮ －ｋ＋１，…，ＫＮ≠Ｋｒｅａｌ．其中，ｋ是一个随机数．因此，不失一般性地，在任意第ｍ（ｍ≠Ｎ）轮交互中，每个理性用户Ｐｉｇ都不能正确地识别出真实的共享秘密Ｋｒｅａｌ，即Ｐｒｉｇ［Ｋｍ′＝Ｋｒｅａｌ｜Ｋｍ′∈｛Ｋ１，Ｋ２，…，Ｋｍ｝］＝ε，其中，ε是可忽略的．而一旦理性用户Ｐｉ在第ｍ 轮中不发送子秘密ｋｍｉ给其余理性用户，在之后的交互中将不会有任何理性用户给其发送子秘密．那么，对理性用户Ｐｉｇ来说，在第ｍ 轮中，分别选择策略ａ（ｍ）－ｈｏｎｅｓｔｉｇ 、ａ（ｍ）－ｆａｋｅｉｇ和ａ（ｍ）－ｓｉｌｅｎｔｉｇ的收益满足：ｕｉｇ（ａ（ｍ）－ｈｏｎｅｓｔｉｇ ）Ｗｉｇｕｉｇ（ａ（ｍ）－ｆａｋｅｉｇ ）＝ｕｉｇ（ａ（ｍ）－ｓｉｌｅｎｔｉｇ ）．因此，在第ｍ 轮中，理性用户Ｐｉｇ只会选择策略ａ（ｍ）－ｈｏｎｅｓｔｉｇ ．在进行第Ｎ 轮交互时，由于｜Ｋｉ′１－ｆａｋｅ｜＝｜Ｋｉ′２－ｆａｋｅ｜＝…＝｜Ｋｉ′Ｎ″－ｆａｋｅ｜＝｜Ｋｒｅａｌ｜－１ＫＮ －ｋ，ＫＮ －ｋ＋１，…，ＫＮ≠Ｋ 烅烄烆ｒｅａｌ ，则在之前重构出的秘密Ｋ１，Ｋ２，…，ＫＮ －１中，一定存在一个Ｋｍ″使得其重复的数量最多，即Ｋｍ″∈｛Ｋ１，Ｋ２，…，ＫＮ －１｝，有｜Ｋｍ″｜＝ ｍａｘ １珦ｍ Ｎ－１｜Ｋ珦ｍ｜．此时，理性用户Ｐｉｇ已识别出真实的共享秘密Ｋｒｅａｌ．因此，理性用户Ｐｉｇ分别选择策略ａ（Ｎ）－ｈｏｎｅｓｔｉｇ 、ａ（Ｎ）－ｆａｋｅｉｇ和ａ（Ｎ）－ｓｉｌｅｎｔｉｇ的收益满足：ｕｉｇ（ａ（Ｎ）－ｈｏｎｅｓｔｉｇ ）＝ｕｉｇ（ａ（Ｎ）－ｆａｋｅｉｇ ）＝ｕｉｇ（ａ（Ｎ）－ｓｉｌｅｎｔｉｇ ）＝Ｗｉｇ．所以，在第Ｎ 轮交互中，理性用户没有动机偏离预定的理性秘密重构协议，故会选择策略ａ（Ｎ）－ｈｏｎｅｓｔｉｇ ．综上所述，当理性用户的自利性偏好满足：Ｗ ＋ｉ ＷｉＷ －ｉ Ｗ －－ｉ时，若Ｎ 足够大，那么本方案是理性公平的． 证毕．６．２　时间复杂性本文将承诺信息的验证视为计算承诺信息的一个逆计算，故它们具有相同的时间复杂性，用ＯＴｉｍｅ（ｓｉｇｎ）表示．在分发阶段中，秘密分发者Ｄｅａｌｅｒ首先需要生成分发秘密集合Ｋ＝｛Ｋ１，Ｋ２，…，ＫＮ｝，并利用ｔ－１阶多项式将秘密Ｋｍ拆分成ｋｍ１，ｋｍ２，…，ｋｍｎ ．因此，每拆分一个秘密Ｋｍ需要ＯＴｉｍｅ（ｎ）次计算．那么，拆分秘密分发秘密集合Ｋ 中的Ｎ 个秘密所需的计算复杂性为ＯＴｉｍｅ（ｎ·Ｎ）．随后，为防止理性用户在秘密重构阶段中进行欺骗，秘密分发者Ｄｅａｌｅｒ还需要为每个子秘密ｋｍｉ （１ｉｎ，１ｍＮ）计算承诺信息ｃｍｉ ＝ｓｉｇｎＤｅａｌｅｒＳＫ （ｋｍｉ ‖ＩＤｉ‖ｍ）．因此计算承诺信息所需的计算复杂性为ＯＴｉｍｅ（ｎ·Ｎ·ｓｉｇｎ）．在重构阶段中，当理性用户Ｐｉ收到其余理性用户Ｐｊ∈Ｐ－ｉ发送的子秘密ｋｍｊ后，需利用验证函数ｖｅｒｆ（·）和秘密分发者的公钥ＤｅａｌｅｒＰＫ验证子秘密的正确性，即计算ｖｅｒｆｙＤｅａｌｅｒＰＫ （ｃｍｊ ，ＩＤｊ，ｍ）＝ｋｍｊ ，故每验证一个子秘密就需ＯＴｉｍｅ（ｓｉｇｎ）计算复杂性．而每个理性用户Ｐｊ需发送Ｎ 个子秘密ｋ１ｊ，ｋ２ｊ，…，ｋＮｊ ．因此，为验证其余理性用户发送的子秘密的正确性，理性用户Ｐｉ共需ＯＴｉｍｅ（（ｎ－１）·Ｎ·ｓｉｇｎ）＝ＯＴｉｍｅ（ｎ·Ｎ·ｓｉｇｎ）次计算．当在任意第ｍ 轮交互完成后，理性用户Ｐｉ需利用收到的子秘密ｋｍ１，ｋｍ２，…，ｋｍｎ重构出分发秘密Ｋｍ，至多需要ＯＴｉｍｅ（ｎ）次计算．因此，重构出所有分发秘密Ｋ１，Ｋ２，…，ＫＮ所需的计算复杂性为ＯＴｉｍｅ（ｎ·Ｎ）．此外，从重构出的分发秘密Ｋ１，Ｋ２，…，ＫＮ中统计每个秘密重复出现的次数，并通过查找出现次数最多的秘密得到真实的共享秘密Ｋｒｅａｌ，故从重构出的分发秘密Ｋ１，Ｋ２，…，ＫＮ中识别出共享秘密Ｋｒｅａｌ所需的计算复杂性为ＯＴｉｍｅ（Ｎ）．综上所述，当使用本方案在ｎ 个理性用户间共享秘密时，（１）对于秘密分发者来说，其所需的计算复杂性为ＯＴｉｍｅＤｅａｌｅｒ＝ＯＴｉｍｅ（ｎ·Ｎ）＋ＯＴｉｍｅ（ｎ·Ｎ·ｓｉｇｎ）＝ＯＴｉｍｅ（ｎ·Ｎ·ｓｉｇｎ）．　　（２）对于理性用户来说，其所需的计算复杂性为ＯＴｉｍｅＵｓｅｒ＝ＯＴｉｍｅ（ｎ·Ｎ·ｓｉｇｎ）＋ＯＴｉｍｅ（ｎ·Ｎ）＋ＯＴｉｍｅ（Ｎ）＝ＯＴｉｍｅ（ｎ·Ｎ·ｓｉｇｎ）．６．３　通信复杂性令｜ｋｍｉ｜和｜ｃｍｉ｜分别表示发送的子秘密ｋｍｉ和承诺信息ｃ　ｍｉ的长度，其中１ｉｎ 且１ｍＮ．不妨设，ｉ≠ｊ和ｍ≠ｍ′，下式１５２６ 计　　算　　机　　学　　报 ２０２０年｜ｋｍｉ ｜＝｜ｋｍｊ ｜＝｜ｋｍ′ｉ ｜＝｜ｋ｜｜ｃｍｉ ｜＝｜ｃｍｊ ｜＝｜ｃｍ′ｉ ｜＝｜ｓｉｇｎ烅烄烆｜成立，即秘密分发者Ｄｅａｌｅｒ为每个用户分发在子秘密的长度以及承诺信息长度均相等．下面简要分析本方案的通信复杂性．在分发阶段中，秘密分发者Ｄｅａｌｅｒ在将子秘密集合ｋ＿ｓｅｔｉ＝｛ｋ１ｉ，ｋ２ｉ，…，ｋＮｉ ｝分发给每个理性用户Ｐｉ后，还需将承诺信息集合ｃ＿ｓｅｔｉ＝｛ｃ１ｉ，ｃ２ｉ，…，ｃＮｉ ｝和签名验证函数ｖｅｒｆ（·）发送给所有的理性用户．因此，秘密分发者Ｄｅａｌｅｒ的通信复杂性为ＯＣｏｍｍＤｅａｌｅｒ＝ＯＣｏｍｍ（ｎ·Ｎ·｜ｋ｜）＋ＯＣｏｍｍ（ｎ·Ｎ·ｓｉｇｎ ）＋ＯＣｏｍｍ（ｖｅｒｆｙ ）＝ＯＣｏｍｍ（ｎ·Ｎ·｜ｍａｘ｜）＋ＯＣｏｍｍ（｜ｖｅｒｆｙ｜），其中，｜ｍａｘ｜＝ｍａｘ｛｜ｋ｜，｜ｓｉｇｎ｜｝；ＯＣｏｍｍ（ｎ·Ｎ·｜ｋ｜）表示分发子秘密时的通信复杂性；ＯＣｏｍｍ（ｎ·Ｎ·｜ｓｉｇｎ｜）表示发送承诺信息所需要的通信复杂性；ＯＣｏｍｍ（｜ｖｅｒｆｙ｜）表示发送验证函数ｖｅｒｆｙ（·）所需的复杂性；｜ｖｅｒｆｙ｜表示发送的验证函数ｖｅｒｆｙ（·）长度．在重构阶段中，每个理性用户Ｐｉ仅需将自己拥有的子秘密ｋ１ｉ，ｋ２ｉ，…，ｋｍｉ发送给其余理性用户，因此理性用户Ｐｉ的通信复杂性为ＯＣｏｍｍＵｓｅｒ ＝ＯＣｏｍｍ（Ｎ·｜ｋ｜）．６．４　方案对比下面通过与现有适用于异步通信的理性秘密共享方案进行对比，进一步说明本方案在实现理性公平性的同时还具有较好的可用性．具体对比如表１所示．表１　方案对比理性公平性可信用户重构阶段中的交互轮数重构交互轮数依赖关于理性用户收益的计算使用其它密码技术实用情形方案［２３］ × × Ｎ √ 安全多方计算、健忘传输、零知识证明ｔ，ｎ２方案［２５］ × × Ｎ √ 可验证随机函数ｔ，ｎ２方案［２６］ × × Ｎ √ — ｔ，ｎ２方案［３２］ × × ２ √ — ｔ，ｎ２方案［３５］ × × ３ √ — ｔ＝ｎ３本方案× × Ｎ √ — ｔ，ｎ２　　方案［２３］是首个适用于异步通信的理性秘密共享方案，但是该方案由于使用安全多方计算协议、健忘传输协议和零知识证明来约束理性用户在秘密重构阶段的自利性行为，导致其计算复杂性较高．为降低理性用户的计算代价，方案［２５］通过构造可验证随机函数（Ｖｅｒｉｆｉａｂｌｅ　Ｒａｎｄｏｍ　Ｆｕｎｃｔｉｏｎ，ＶＲＦ）使得理性用户直至交互完成才能确定其他理性用户发送的子秘密的正确性，从而确保每个理性用户均不会偏离预定方案的执行．随后，方案［２６］为了避免使用可验证随机函数，进一步降低秘密分发者Ｄｅａｌｅｒ的计算代价，通过让秘密分发者Ｄｅａｌｅｒ将为每个理性用户分发的子秘密再次进行拆分，使得理性用户只有在交互结束后才能获知如何正确地重构出子秘密，从而确保每个用户均能重构出共享秘密．然而，当使用上述三个方案时，在秘密分发阶段中，Ｄｅａｌｅｒ需要根据每个理性用户的收益函数来确定他们在秘密重构阶段中的交互轮数，即交互轮数Ｎ 满足：Ｎ＝ｍａｘ｛Ｎ１，Ｎ２，…，Ｎｎ｝．其中，１ｉｎ 且Ｎｉ ＝Ｗ ＋ｉ －Ｗ －ｉＷｉ－Ｗ －ｉ．但是，在现实应用中，准确地掌握每个理性用户Ｐｉ的收益（即Ｗ ＋ｉ 、Ｗｉ和Ｗ －ｉ ）是较为困难的．一旦不能准确地设定交互轮数Ｎ，那么在秘密重构阶段中就可能会出现“正确发送子秘密的理性用户未能重构出真实的共享秘密，而未正确发送子秘密的用户却能重构出真实共享秘密”的不公平情形．为降低理性用户在秘密重构阶段中的交互轮数，方案［３２］通过将参与秘密重构的理性用户划分成不同群组的方式来进行交互，提出了一个仅需两轮交互的理性秘密共享方案．但是，在实际应用中，完全可信的用户较难找到．此外，在使用该方案时，还可能会出现“正确发送子秘密和不正确发送子秘密的用户均不能重构出共享秘密”的极端情形，从而导致“空威胁（ｅｍｐｔｙ　ｔｈｒｅａｔ）”情形的出现，即没有理性用户发送自己拥有的子秘密给其余理性用户．方案［３５］通过让秘密分发者Ｄｅａｌｅｒ在秘密分发阶段指定理性用户在秘密重构阶段中发送子秘密先后顺序的方法，提出了一个无需可信用户参与且仅需３轮交互的理性秘密共享方案．然而，该方案在使用时，依然可能会出现“不发送子密钥的用户仍能重构出共享密钥”的不公平情形．此外，该方案仅适用于ｔ＝ｎ＞２的特殊情形．本方案通过在秘密分发阶段为每个理性用户发送大量虚假子秘密，使得理性用户难以准确猜测出真实共享子秘密的方法，在无需可信用户参与且不依赖其他密码技术（如安全多方计算、可验证随机函数等）的情形下实现了理性公平的秘密重构．此外，８期 刘　海等：理性公平的秘密共享方案 １５２７在使用本方案时，秘密分发者Ｄｅａｌｅｒ也无需准确地知道每个理性用户的收益函数，即可通过生成随机数的方式确定秘密重构阶段的交互轮数．综上所述，本方案具有较好的可用性．７　实　验为说明上述提出的理性公平的秘密共享方案具有较好的实用性，本文利用Ｍｉｒａｃｌ密码学软件开发包对该方案进行模拟实验．该密码学软件开发包是目前最常采用的一种密码学开发包，其定义了大量与密码学相关的基础函数，如大整数的生成、素数的判断等．本实验首先在有限域Ｆｑ上随机构造ｔ－１阶多项式ｆｍ（ｘ）＝Σｔ－１ｊ＝０ａｊ＿ｍｘｊ，使得ｆｍ（０）＝Ｋｍ；并利用该多项式通过计算ｋｍｉ ＝（ｉ，ｆｍ（ｉ）ｍｏｄｑ），将分发秘密Ｋｍ拆分成ｎ份子秘密ｋｍ１，ｋｍ２，…，ｋｍｎ ．其中，ｑ是大素数；多项式系数ａ０，ａ１，…，ａｔ－１∈Ｆｑ；１ｉｎ．此外，还选用国家密码管理局公布的ＳＭ２椭圆曲线公钥密码算法为每个子秘密ｋｍｉ进行签名生成承诺信息ｃ　ｍｉ ＝ｓｉｇｎＤｅａｌｅｒＳＫ （ｋｍｉ‖ＩＤｉ‖ｍ），并通过计算ｖｅｒｆＤｅａｌｅｒＰＫ （ｃｍｉ′，ＩＤｉ′，ｍ）来验证理性用户发送的子秘密的正确性．本实验设定秘密分发者的密钥长度为２５６ｂｉｔ；理性用户Ｐｉ的身份信息ＩＤｉ长度为８ｂｉｔ；当前重构轮数ｍ的表示长度为８ｂｉｔ．针对不同长度的ｑ 值，即｜ｑ｜＝２５６和｜ｑ｜＝５１２，通过变化门限值ｔ、理性用户数量ｎ和重构交互轮数Ｎ，分别进行１００次实验．实验所用算法均采用Ｃ＋＋编程语言实现，实验环境为ＩｎｔｅｌＣｏｒｅ　ｉ５－４５９０　３．３０ＧＨｚ　ＣＰＵ，８ＧＢ　ＤＤＲ４－２４００ＲＡＭ，操作系统为Ｗｉｎｄｏｗｓ　７－６４ｂｉｔ．７．１　本方案所需的计算代价和通信开销我们通过与方案［２６］进行对比，表明本方案在无需准确地知道理性用户的收益函数且能实现理性公平的秘密重构的同时，并未增加秘密分发者Ｄｅａｌｅｒ和理性用户Ｐｉ的计算代价和通信开销，从而进一步说明本方案具有较好的实用性．如表１所示，方案［２６］是现有最好的理性秘密共享方案之一．该方案无需可信用户参与，也无需使用其他复杂的秘密技术（如安全多方计算、可验证随机函数），且适用于异步通信情形．在该部分实验中，设置２ｔ＝ｎ２０；秘密重构交互轮数Ｎ＝２０．在本方案中，秘密分发者Ｄｅａｌｅｒ生成Ｎ 个共享秘密Ｋ１，Ｋ２，…，ＫＮ，然后将每个秘密Ｋｍ拆分成ｎ份ｋｍ１，ｋｍ２，…，ｋｍｎ并计算每个子秘密ｋｍｉ对应的承诺信息ｃｍｉ ，共拆分ｎ·Ｎ 次；随后，秘密分发者Ｄｅａｌｅｒ通过点对点通信方式将子秘密ｋｍｉ发送给理性用户Ｐｉ，然后广播所有的承诺信息．而在方案［２６］中，秘密分发者首先将共享秘密Ｋｒｅａｌ拆分成ｎ 份ｋｒｅａｌ１ ，ｋｒｅａｌ２ ，…，ｋｒｅａｌｎ ，然后再将每个子秘密ｋｒｅａｌｉ拆分成Ｎ 份子秘密ｋ１－ｒｅａｌｉ ，ｋ２－ｒｅａｌｉ ，…，ｋＮ－ｒｅａｌｉ并计算其相应的承诺信息，共拆分ｎ·Ｎ＋１次；随后，秘密分发者Ｄｅａｌｅｒ将子秘密ｋｍｉ以及相应的承诺信息ｃ　ｍｉ通过点对点通信的方式发送给理性用户Ｐｉ．其中，１ｉｎ；１ｍＮ．因此，秘密分发者Ｄｅａｌｅｒ使用本方案时，由于拆分共享秘密的次数比使用方案［２６］时少１次，其所需的平均计算代价较低；而由于需要发送的子秘密和承诺信息数量与使用方案［２６］时相同，故其所需的通信开销也相同．如图２（ａ）所示．例如，当ｎ＝２０且｜ｑ｜＝５１２时，若使用本方案，秘密分发者Ｄｅａｌｅｒ所需的平均计算代价和通信开销分别为６．７９５ｓ和２１４．１５６Ｋｂ；若使用方案［２６］，其所需的平均计算代价和通信开销分别为７．１２８ｓ和２１６．７６３Ｋｂ．如图２（ｂ）所示．由此可见，对于秘密分发者Ｄｅａｌｅｒ来说，不仅无需准确地知道每个理性用户的收益函数，其所需的计算代价和通信开销也未增加．图２　秘密分发者的平均计算代价和通信开销此外，如图３所示，使用本方案和方案［２６］时，理性用户所需的平均计算代价基本相同；而使用本方案时理性用户所需的平均通信开销低于使用方案［２６］时所需的通信开销．造成上述现象的原因是：当使用本方案时，由于秘密分发者将所有子秘密的承诺信息进行广播，因此在秘密重构阶段中，理性用１５２８ 计　　算　　机　　学　　报 ２０２０年户Ｐｉ仅需发送自己拥有的子秘密ｋｍｉ给其余用户；而使用方案［２６］时，由于秘密分发者仅将子秘密ｋｍｉ对应的承诺信息ｃｍｉ发送给理性用户Ｐｉ，故理性用户Ｐｉ需在秘密重构阶段中将自己拥有的子秘密ｋｍｉ和ｃ　ｍｉ发送给其余用户来表明自己的诚实行为．此外，无论使用本方案还是方案［２６］，在验证其余理性用户发送的子秘密ｋｍ１，…，ｋｍｉ－１，ｋｍｉ ，…，ｋｍｎ的正确性后，理性用户Ｐｉ均采用插值法恢复出共享秘密Ｋｍ．例如，当ｎ＝２０且｜ｑ｜＝５１２时，若使用本方案，理性用户所需的平均计算代价和通信开销分别为１．１２２ｓ和５．７１９Ｋｂ；若使用方案［２６］，其所需的平均计算代价和通信开销分别为１．１３１ｓ和１０．７０８Ｋｂ．因此，本方案也未增加理性用户的平均计算代价和通信开销．图３　理性用户的平均计算代价和通信开销综上所述，与方案［２６］相比，本方案在实现理性公平性且不要求秘密分发者Ｄｅａｌｅｒ准确获知理性用户的收益函数的同时，还未增加秘密分发者Ｄｅａｌｅｒ和理性用户的平均计算代价和通信开销．这表明本方案具有较好的实用性．７．２　门限值ｔ对本方案的影响下面分析门限值ｔ对本方案所需平均计算代价和通信开销的影响．在该部分实验中，设定ｎ＝Ｎ＝２０．对于秘密分发者Ｄｅａｌｅｒ来说，当要将秘密Ｋｍ拆分成子秘密ｋｍ１，ｋｍ２，…，ｋｍｉ进行分发时，首先需要从有限域Ｆｑ中挑选ｔ－１个系数ａ１＿ｍ，ａ２＿ｍ，…，ａｔ－１＿ｍ构造ｔ－１阶多项式ｆｍ（ｘ）＝Ｋｍ＋Σｔ－１ｊ＝１ａｊ＿ｍｘｊ，并计算子秘密ｋｍｉ ＝（ｉ，ｆｍ（ｉ）ｍｏｄｑ）．其中Ｋｍ∈Ｆｑ；１ｉｎ；１ｍＮ．因此，随着门限值ｔ的增加，秘密分发者Ｄｅａｌｅｒ构造ｔ－１阶多项式以及计算ｋｍｉ所需的计算代价也随之增加．但是，无论门限值ｔ如何变化，秘密分发者Ｄｅａｌｅｒ需要发送的子秘密数量以及承诺信息数量均不会发生变化，故秘密分发者Ｄｅａｌｅｒ所需的平均通信开销并不随着门限值ｔ的变化而变化．例如，当阈值ｔ从２变化到２０且｜ｑ｜分别为２５６和５１２时，其平均计算代价分别从０．７５９ｓ和０．９７７ｓ提升至２．３９７ｓ和６．７９５ｓ，如图４（ａ）所示；而所需平均通信开销则保持不变，分别为１５０．０４５Ｋｂ和２２０．１３６Ｋｂ，如图４（ｂ）所示．图４　阈值ｔ对秘密分发者的影响对于理性用户Ｐｉ来说，随着阈值ｔ的变化，其在收到其余理性用户发送的子秘密后，利用拉格朗日插值法计算ｆ（ｘ）＝Σｔｉ＝１ｌｉ（ｘ）ｆｍ（ｉ）恢复出秘密Ｋｍ所需要的加法运算、乘法运算以及乘法运算的逆运算次数也在增多，从而导致理性用户Ｐｉ所需的计算代价也随之增大．其中，ｌｉ（ｘ）＝Πｔｊ＝１，ｊ≠ｉｘ－ｉｉ－ｊ；１ｍＮ．但是，理性用户需要发送的子秘密数量并不随着阈值ｔ的变化而改变．综上所述，理性用户的平均计算代价随着阈值ｔ的增大而增加，而其平均通信开销随着阈值ｔ的增大而保持不变．如图５所示．值得强调的是，在本实验中，秘密分发者Ｄｅａｌｅｒ和理性用户的平均通信开销出现波动的原因是：针对不同的阈值ｔ，随机生成的多项式系统不同，使得８期 刘　海等：理性公平的秘密共享方案 １５２９图５　阈值ｔ对理性用户的影响计算出的子秘密的长度发生改变，从而导致秘密分发者Ｄｅａｌｅｒ和理性用户发送子秘密所需的平均通信开销也随之波动．７．３　理性用户数量ｎ对本方案的影响本部分实验用于分析当使用本方案实现公平的秘密共享时，理性用户数量ｎ 对秘密分发者Ｄｅａｌｅｒ和理性用户所需计算代价的影响．其中，设定ｔ＝２和Ｎ＝２０．如图６所示，当参与秘密共享的理性用户数量增多，即阈值ｎ 变大时，秘密分发者Ｄｅａｌｅｒ在秘密分发阶段中需将共享秘密Ｋｍ（１ｍＮ）拆分并发送的子秘密ｋｍｉ （１ｉｍ）的数量也随之增多．同时，为了防止理性用户在秘密分发阶段发送错误的子秘密给其余用户，秘密分发者Ｄｅａｌｅｒ还要为每个子秘密ｋｍｉ计算相应的承诺信息ｃ　ｍｉ ＝ｓｉｇｎＤｅａｌｅｒＳＫ （ｋｍｉ‖ＩＤｉ‖ｍ）．因此，随着拆分的子秘密数量的不断增多，秘密分发者Ｄｅａｌｅｒ需要计算和发送的承诺信息的数量也在不断增加．这就造成了秘密分发者Ｄｅａｌｅｒ所需的计算代价和通信开销随着ｎ的变大而增加．在秘密重构阶段的任意第ｍ 轮交互中，随着理性用户数量ｎ的增加，理性用户Ｐｉ需要接收到其余理性用户发送的子秘密数量也随之增多．每当理性用户Ｐｉ收到一个其余理性用户Ｐｊ发送来的子秘密ｋｍｊ ，其都要计算ｖｅｒｆＤｅａｌｅｒＰＫ （ｃｍｊ ，ＩＤｊ，ｍ）来验证该子秘密的正确性．因此，理性用户所需的平均计算代价随着理性用户数量ｎ 的增加而不断提高．如图７所图６　阈值ｎ对秘密分发者的影响图７　阈值ｎ对理性用户平均计算代价的影响示．但是，在本方案中，理性用户Ｐｉ是通过广播通信将自己拥有的子秘密发送给其余用户，其需要发送的子秘密数量仅受分发秘密数量Ｎ 的影响．因此，当理性用户数量ｎ 增多时，理性用户的平均通信开销的变化趋势与图５（ｂ）所示相同，保持不变．７．４　分发秘密数量Ｎ 对本方案的影响最后简要分析分发的秘密数量Ｎ 对本方案所需平均计算代价和通信开销的影响．设定ｔ＝ｎ＝２．对于秘密分发者Ｄｅａｌｅｒ来说，随着分发秘密数量Ｎ 的增多，其需要拆分和发送的子秘密数量以及关于这些子秘密的承诺信息数量也随之增加．因此，随之阈值Ｎ 的增大，秘密分发者Ｄｅａｌｅｒ的平均计算代价和通信开销也在不断提高．如图８所示．而对于理性用户来说，随着分发秘密数量Ｎ 的增多，其在秘密重构阶段中需要交互的子秘密数量也不断增加．这就使得理性用户在秘密重构阶段收到其余理性用户发送的子秘密数量也随之增多，从而提高了理性用户验证其余用户发送子秘密的正确性所需１５３０ 计　　算　　机　　学　　报 ２０２０年的计算代价．综上所述，理性用户的平均计算代价和通信开销随着阈值Ｎ 的增大而提高．如图９所示．图８　阈值Ｎ 对秘密分发者的影响图９　阈值Ｎ 对理性用户的影响８　总　结现有理性秘密共享的公平性定义未能充分考虑理性用户的自利性行为，从而导致该公平性定义允许出现“发送子密钥的理性用户无法恢复出共享密钥，而不发送子密钥的用户却能重构出共享密钥”的不公平情形；甚至还会出现“发送错误的子秘密欺骗其余理性用户，使其将重构出的错误秘密视为真实共享秘密”的极端情形．因此，以该公平性定义为指导所设计出的方案在实际使用时，并不能实现公平的秘密共享．为了解决该问题，本文通过分析理性用户的自利性行为，将最小存取结构引入到理性秘密重构中，形式化地定义了秘密共享的理性公平性．为表明所提出的理性公平性的实用性，本文以理性公平性定义为指导，通过在秘密分发阶段为每个理性用户发送大量虚假子秘密，使得理性用户难以准确猜测出真实共享子秘密的方法，设计一个混淆激励机制，并构造了理性公平的秘密共享方案．理论分析和大量实验表明，本方案能有效地约束理性用户在秘密重构阶段中的自利性行为，确保所有用户均能重构出真实的共享密钥，高效地实现公平的秘密共享．参考文献［１］ Ｃａｏ　Ｚ　Ｆ．Ｎｅｗ　Ｄｉｒｅｃｔｉｏｎｓ　ｏｆ　Ｍｏｄｅｒｎ　Ｃｒｙｐｔｏｇｒａｐｈｙ．Ｆｌｏｒｉｄａ：ＣＲＣ　Ｐｒｅｓｓ，２０１２［２］ Ｆｕ　Ａ，Ｑｉｎ　Ｎ，Ｗａｎｇ　Ｙ，ｅｔ　ａｌ．Ｎｆｒａｍｅ：Ａ　ｐｒｉｖａｃｙ－ｐｒｅｓｅｒｖｉｎｇｗｉｔｈ　ｎｏｎ－ｆｒａｍｅａｂｉｌｉｔｙ　ｈａｎｄｏｖｅｒ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ｐｒｏｔｏｃｏｌ　ｂａｓｅｄｏｎ（ｔ，ｎ）ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｆｏｒ　ＬＴＥ／ＬＴＥ—Ａ　ｎｅｔｗｏｒｋｓ．ＷｉｒｅｌｅｓｓＮｅｔｗｏｒｋｓ，２０１７，２３（７）：２１６５－２１７６［３］ Ｍａｉｔｒａｙｅ　Ｄ，Ｎｕｓｒａｔ　Ｊ　Ｍ，Ｓｈａｒｍｉｎ　Ａ，ｅｔ　ａｌ．Ａ　ｎｏｖｅｌ　ｓｅｃｒｅｔｓｈａｒｉｎｇ　ａｐｐｒｏａｃｈ　ｆｏｒ　ｐｒｉｖａｃｙ－ｐｒｅｓｅｒｖｉｎｇ　ａｕｔｈｅｎｔｉｃａｔｅｄ　ｄｉｓｅａｓｅｒｉｓｋ　ｑｕｅｒｉｅｓ　ｉｎ　ｇｅｎｏｍｉｃ　ｄａｔａｂａｓｅｓ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　４２ｎｄＡｎｎｕａｌ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｃｏｍｐｕｔｅｒ　Ｓｏｆｔｗａｒｅ　ａｎｄＡｐｐｌｉｃａｔｉｏｎｓ（ＣＯＭＰＳＡＣ　２０１８）．Ｔｏｋｙｏ，Ｊａｐａｎ，２０１８：６４５－６５４［４］ Ｌｉｕ　Ｈ，Ｌｉ　Ｘ　Ｈ，Ｘｕ　Ｍ　Ｆ，ｅｔ　ａｌ．Ａ　ｆａｉｒ　ｄａｔａ　ａｃｃｅｓｓ　ｃｏｎｔｒｏｌｔｏｗａｒｄｓ　ｒａｔｉｏｎａｌ　ｕｓｅｒｓ　ｉｎ　ｃｌｏｕｄ　ｓｔｏｒａｇｅ．Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｃｉｅｎｃｅｓ，２０１７，４１８：２５８－２７１［５］ Ｌｅｏｎ　Ｊ　Ｈ，Ｇａｍｚｅ　Ｔ，Ｚｅｋｅｒｉｙａ　Ｅ．ＢＡｄＡＳＳ：Ｐｒｅｓｅｒｖｉｎｇｐｒｉｖａｃｙ　ｉｎ　ｂｅｈａｖｉｏｕｒａｌ　ａｄｖｅｒｔｉｓｉｎｇ　ｗｉｔｈ　ａｐｐｌｉｅｄ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　１２ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　ＰｒｏｖａｂｌｅＳｅｃｕｒｉｔｙ（ＰｒｏｖＳｅｃ　２０１８）．Ｊｅｊｕ，Ｓｏｕｔｈ　Ｋｏｒｅａ，２０１８：３９７－４０５［６］ Ｍａｈｄｉ　Ｃ．Ｎｅａｒｌｙ　ｏｐｔｉｍａｌ　ｒｏｂｕｓｔ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ．Ｄｅｓｉｇｎｓ，Ｃｏｄｅｓ　ａｎｄ　Ｃｒｙｐｔｏｇｒａｐｈｙ，２０１９，８７（８）：１７７７－１７９６［７］ Ｈａｌｐｅｒｎ　Ｊ，Ｔｅａｇｕｅ　Ｖ．Ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ａｎｄ　ｍｕｌｔｉｐａｒｔｙｃｏｍｐｕｔａｔｉｏｎ：Ｅｘｔｅｎｄｅｄ　ａｂｓｔｒａｃｔ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　３６ｔｈＡｎｎｕａｌ　ＡＣＭ　Ｓｙｍｐｏｓｉｕｍ　ｏｎ　Ｔｈｅｏｒｙ　ｏｆ　Ｃｏｍｐｕｔｉｎｇ （ＳＴＯＣ２００４）．Ｃｈｉｃａｇｏ，ＵＳＡ，２００４：６２３－６３２［８］ Ｄｏｄｉｓ　Ｙ， Ｒａｂｉｎ　Ｔ． Ｃｒｙｐｔｏｇｒａｐｈｙ　ａｎｄ　Ｇａｍｅ　Ｔｈｅｏｒｙ．Ｃａｍｂｒｉｄｇｅ：Ｃａｍｂｒｉｄｇｅ　Ｕｎｉｖｅｒｓｉｔｙ　Ｐｒｅｓｓ，２００７［９］ Ｋａｔｚ　Ｊ．Ｂｒｉｄｇｉｎｇ　ｇａｍｅ　ｔｈｅｏｒｙ　ａｎｄ　ｃｒｙｐｔｏｇｒａｐｈｙ：Ｒｅｃｅｎｔ　ｒｅｓｕｌｔｓａｎｄ　ｆｕｔｕｒｅ　ｄｉｒｅｃｔｉｏｎｓ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　５ｔｈ　ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｔｈｅｏｒｙ　ｏｆ　Ｃｒｙｐｔｏｇｒａｐｈｙ （ＴＣＣ　２００８）．ＮｅｗＹｏｒｋ，ＵＳＡ，２００８：２５１－２７２８期 刘　海等：理性公平的秘密共享方案 １５３１［１０］ Ｎａｎａｖａｔｉ　Ｎ　Ｒ，Ｊｉｎｗａｌａ　Ｄ　Ｃ．Ａ　ｇａｍｅ　ｔｈｅｏｒｙ　ｂａｓｅｄ　ｒｅｐｅａｔｅｄｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｓｃｈｅｍｅ　ｆｏｒ　ｐｒｉｖａｃｙ　ｐｒｅｓｅｒｖｉｎｇ　ｄｉｓｔｒｉｂｕｔｅｄｄａｔａ　ｍｉｎｉｎｇ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　１０ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅｏｎ　Ｓｅｃｕｒｉｔｙ　ａｎｄ　Ｃｒｙｐｔｏｇｒａｐｈｙ（ＳＥＣＲＹＰＴ　２０１３）．Ｒｅｙｋｊａｖíｋ，Ｉｃｅｌａｎｄ，２０１３：５１２－５１７［１１］ Ｎａｎａｖａｔｉ　Ｎ　Ｒ，Ｌａｌｗａｎｉ　Ｐ，Ｊｉｎｗａｌａ　Ｄ　Ｃ．Ｇａｍｅ－ｔｈｅｏｒｅｔｉｃｐｒｉｖａｃｙ　ｐｒｅｓｅｒｖｉｎｇ　ｃｏｎｓｔｒｕｃｔｉｏｎｓ　ｆｏｒ　ｒａｔｉｏｎａｌ　ａｎｄ　ｍａｌｉｃｉｏｕｓｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｍｏｄｅｌｓ　ｆｏｒ　ｃｏｌｌａｂｏｒａｔｉｖｅ　ｆｒｅｑｕｅｎｔ　ｉｔｅｍｓｅｔｍｉｎｉｎｇ．Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｊｏｕｒｎａｌ　ｏｆ　Ｋｎｏｗｌｅｄｇｅ　Ｅｎｇｉｎｅｅｒｉｎｇ　ａｎｄＤａｔａ　Ｍｉｎｉｎｇ，２０１７，４（３／４）：３２０－３４６［１２］ Ｇｏｒｄｏｎ　Ｓ　Ｄ，Ｋａｔｚ　Ｊ．Ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ，ｒｅｖｉｓｉｔｅｄ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　５ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｓｅｃｕｒｉｔｙａｎｄ　Ｃｒｙｐｔｏｇｒａｐｈｙ　ｆｏｒ　Ｎｅｔｗｏｒｋｓ（ＳＣＮ　２００６）．Ｍａｉｏｒｉ，Ｉｔａｌｙ，２００６：２２９－２４１［１３］ Ａｂｒａｈａｍ　Ｉ，Ｄｏｌｅｖ　Ｄ，Ｇｏｎｅｎ　Ｒ，ｅｔ　ａｌ．Ｄｉｓｔｒｉｂｕｔｅｄ　ｃｏｍｐｕｔｉｎｇｍｅｅｔｓ　ｇａｍｅ　ｔｈｅｏｒｙ：Ｒｏｂｕｓｔ　ｍｅｃｈａｎｉｓｍｓ　ｆｏｒ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔｓｈａｒｉｎｇ　ａｎｄ　ｍｕｌｔｉｐａｒｔｙ　ｃｏｍｐｕｔａｔｉｏｎ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　２５ｔｈＡｎｎｕａｌ　ＡＣＭ　Ｓｙｍｐｏｓｉｕｍ　ｏｎ　Ｐｒｉｎｃｉｐｌｅｓ　ｏｆ　ＤｉｓｔｒｉｂｕｔｅｄＣｏｍｐｕｔｉｎｇ（ＰＯＤＣ　２００６）．Ｄｅｎｖｅｒ，ＵＳＡ，２００６：５３－６２［１４］ Ｍａｌｅｋａ　Ｓ，Ａｍｊｅｄ　Ｓ，Ｒａｎｇａｎ　Ｃ　Ｐ．Ｔｈｅ　ｄｅｔｅｒｍｉｎｉｓｔｉｃ　ｐｒｏｔｏｃｏｌｆｏｒ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　２２ｎｄ　ＩＥＥＥＩｎｔｅｒｎａｔｉｏｎａｌ　Ｓｙｍｐｏｓｉｕｍ　ｏｎ　ｔｈｅ　Ｐａｒａｌｌｅｌ　ａｎｄ　ＤｉｓｔｒｉｂｕｔｅｄＰｒｏｃｅｓｓｉｎｇ（ＩＰＤＰＳ　２００８）．Ｍｉａｍｉ，ＵＳＡ，２００８：１－７［１５］ Ｍａｌｅｋａ　Ｓ，Ｓｈａｒｅｅｆ　Ａ，Ｒａｎｇａｎ　Ｃ　Ｐ．Ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇｗｉｔｈ　ｒｅｐｅａｔｅｄ　ｇａｍｅｓ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　４ｔｈ　ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　Ｐｒａｃｔｉｃｅ　ａｎｄ　Ｅｘｐｅｒｉｅｎｃｅ（ＩＳＰＥＣ　２００８）．Ｓｙｄｎｅｙ，Ａｕｓｔｒａｌｉａ，２００８：３３４－３４６［１６］ Ｍｉｃａｌｉ　Ｓ，Ｓｈｅｌａｔ　Ａ．Ｐｕｒｅｌｙ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ（ｅｘｔｅｎｄｅｄａｂｓｔｒａｃｔ）／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　６ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅｏｎ　Ｔｈｅｏｒｙ　ｏｆ　Ｃｒｙｐｔｏｇｒａｐｈｙ （ＴＣＣ　２００９）．Ｓａｎ　Ｆｒａｎｃｉｓｃｏ，ＵＳＡ，２００９：５４－７１［１７］ Ｔｉａｎ　Ｙ　Ｌ，Ｍａ　Ｊ　Ｆ，Ｐｅｎｇ　Ｃ　Ｇ，ｅｔ　ａｌ．Ｏｎｅ－ｔｉｍｅ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔｓｈａｒｉｎｇ　ｓｃｈｅｍｅ　ｂａｓｅｄ　ｏｎ　Ｂａｙｅｓｉａｎ　ｇａｍｅ．Ｗｕｈａｎ　ＵｎｉｖｅｒｓｉｔｙＪｏｕｒｎａｌ　ｏｆ　Ｎａｔｕｒａｌ　Ｓｃｉｅｎｃｅｓ，２０１１，１６（５）：４３０－４３４［１８］ Ｚｈａｎｇ　Ｚ　Ｆ，Ｌｉｕ　Ｍ　Ｌ．Ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ａｓ　ｅｘｔｅｎｓｉｖｅｇａｍｅｓ．Ｓｃｉｅｎｃｅ　Ｃｈｉｎａ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｃｉｅｎｃｅｓ，２０１３，５６（３）：１－１３［１９］ Ａｓｈａｒｏｖ　Ｇ，Ｌｉｎｄｅｌｌ　Ｙ．Ｕｔｉｌｉｔｙ　ｄｅｐｅｎｄｅｎｃｅ　ｉｎ　ｃｏｒｒｅｃｔ　ａｎｄ　ｆａｉｒｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ．Ｊｏｕｒｎａｌ　ｏｆ　Ｃｒｙｐｔｏｌｏｇｙ，２０１１，２４（１）：１５７－２０２［２０］ Ｎｏｊｏｕｍｉａｎ　Ｍ，Ｓｔｉｎｓｏｎ　Ｄ　Ｒ，Ｇｒａｉｎｇｅｒ　Ｍ．Ｕｎｃｏｎｄｉｔｉｏｎａｌｌｙｓｅｃｕｒｅ　ｓｏｃｉａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｓｃｈｅｍｅ．ＩＥＴ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ，２０１０，４（４）：２０２－２１１［２１］ Ｎｏｊｏｕｍｉａｎ　Ｍ，Ｓｔｉｎｓｏｎ　Ｄ　Ｒ．Ｓｏｃｉｏ－ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ａｓａ　ｎｅｗ　ｄｉｒｅｃｔｉｏｎ　ｉｎ　ｒａｔｉｏｎａｌ　ｃｒｙｐｔｏｇｒａｐｈｙ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ３ｒｄ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｄｅｃｉｓｉｏｎ　ａｎｄ　Ｇａｍｅ　Ｔｈｅｏｒｙｆｏｒ　Ｓｅｃｕｒｉｔｙ （ＧａｍｅＳｅｃ　２０１２）．Ｂｕｄａｐｅｓｔ，Ｈｕｎｇａｒｙ，２０１２：１８－３７［２２］ Ｎｏｊｏｕｍｉａｎ　Ｍ．Ｇｅｎｅｒａｌｉｚａｔｉｏｎ　ｏｆ　ｓｏｃｉｏ－ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇｗｉｔｈ　ａ　ｎｅｗ　ｕｔｉｌｉｔｙ　ｆｕｎｃｔｉｏｎ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　２０ｔｈ　ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｐｒｉｖａｃｙ，Ｓｅｃｕｒｉｔｙ　ａｎｄ　Ｔｒｕｓｔ（ＰＳＴ　２０１４）．Ｔｏｒｏｎｔｏ，Ｃａｎａｄａ，２０１４：３３８－３４１［２３］ Ｋｏｌ　Ｇ，Ｎａｏｒ　Ｍ．Ｃｒｙｐｔｏｇｒａｐｈｙ　ａｎｄ　ｇａｍｅ　ｔｈｅｏｒｙ：Ｄｅｓｉｇｎｐｒｏｔｏｃｏｌｓ　ｆｏｒ　ｅｘｃｈａｎｇｉｎｇ　ｉｎｆｏｒｍａｔｉｏｎ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　５ｔｈＩｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｔｈｅｏｒｙ　ｏｆ　Ｃｒｙｐｔｏｇｒａｐｈｙ（ＴＣＣ’０８）．Ｎｅｗ　Ｙｏｒｋ，ＵＳＡ，２００８：３２０－３３９［２４］ Ｋｏｌ　Ｇ， Ｎａｏｒ　Ｍ．Ｇａｍｅｓ　ｆｏｒ　ｅｘｃｈａｎｇｉｎｇ　ｉｎｆｏｒｍａｔｉｏｎ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　４０ｔｈ　Ａｎｎｕａｌ　ＡＣＭ　Ｓｙｍｐｏｓｉｕｍ　ｏｎ　Ｔｈｅｏｒｙｏｆ　Ｃｏｍｐｕｔｉｎｇ（ＳＴＯＣ’０８）．Ｎｅｗ　Ｙｏｒｋ，ＵＳＡ，２００８：４２３－４３２［２５］ Ｆｕｃｈｓｂａｕｅｒ　Ｇ，Ｋａｔｚ　Ｊ，Ｎａｃｃａｃｈｅ　Ｄ．Ｅｆｆｉｃｉｅｎｔ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔｓｈａｒｉｎｇ　ｉｎ　ｓｔａｎｄａｒｄ　ｃｏｍｍｕｎｉｃａｔｉｏｎ　ｎｅｔｗｏｒｋｓ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆｔｈｅ　７ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｔｈｅｏｒｙ　ｏｆ　Ｃｒｙｐｔｏｇｒａｐｈｙ（ＴＣＣ　２０１０）．Ｚｕｒｉｃｈ，Ｓｗｉｔｚｅｒｌａｎｄ，２０１０：４１９－４３６［２６］ Ｚｈａｎｇ　Ｚ　Ｆ，Ｌｉｕ　Ｍ　Ｌ．Ｕｎｃｏｎｄｉｔｉｏｎａｌｌｙ　ｓｅｃｕｒｅ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔｓｈａｒｉｎｇ　ｉｎ　ｓｔａｎｄａｒｄ　ｃｏｍｍｕｎｉｃａｔｉｏｎ　ｎｅｔｗｏｒｋｓ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆｔｈｅ　１３ｔｈ　Ａｎｎｕａｌ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　ＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙ　ａｎｄ　Ｃｒｙｐｔｏｌｏｇｙ（ＩＣＩＳＣ　２０１０）．Ｓｅｏｕｌ，Ｋｏｒｅａ，２０１０：３５５－３６９［２７］ Ｃａｉ　Ｙ　Ｑ，Ｓｈｉ　Ｈ　Ｌ．Ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｓｃｈｅｍｅ　ｂａｓｅｄ　ｏｎｐｒｏｂａｂｉｌｉｔｙ　ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈｏｕｔ　ｔｒｕｓｔｅｄ　ｃｅｎｔｅｒ．Ｊｏｕｒｎａｌ　ｏｆＮｅｔｗｏｒｋｓ，２０１１，６（６）：８９９－９０３［２８］ Ｗａｎｇ　Ｊ，Ｃａｉ　Ｙ　Ｑ．Ａ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｓｃｈｅｍｅ　ｂａｓｅｄ　ｏｎｒｅｐｅａｔｅｄ　ｇａｍｅ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　７ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅｏｎ　Ｃｏｍｐｕｔａｔｉｏｎａｌ　Ｉｎｔｅｌｌｉｇｅｎｃｅ　ａｎｄ　Ｓｅｃｕｒｉｔｙ （ＣＩＳ　２０１１）．Ｓａｎｙａ，Ｃｈｉｎａ，２０１１：６１５－６１９［２９］ Ｙｕ　Ｙ，Ｚｈｏｕ　Ｚ　Ｆ．Ａｎ　ｅｆｆｉｃｉｅｎｔ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｐｒｏｔｏｃｏｌｒｅｓｉｓｔｉｎｇ　ａｇａｉｎｓｔ　ｍａｌｉｃｉｏｕｓ　ａｄｖｅｒｓａｒｉｅｓ　ｏｖｅｒ　ｓｙｎｃｈｒｏｎｏｕｓｃｈａｎｎｅｌｓ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　８ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅｏｎ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　ａｎｄ　Ｃｒｙｐｔｏｌｏｇｙ （Ｉｎｓｃｒｙｐｔ　２０１２）．Ｂｅｉｊｉｎｇ，Ｃｈｉｎａ，２０１２：６９－８９［３０］ Ｗａｎｇ　Ｙ　Ｌ，Ｘｕ　Ｑ　Ｌ．２－ｏｕｔ－ｏｆ－２ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｉｎｅｘｔｅｎｓｉｖｅ　ｆｏｒｍ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　７ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅｏｎ　Ｃｏｍｐｕｔａｔｉｏｎａｌ　Ｉｎｔｅｌｌｉｇｅｎｃｅ　ａｎｄ　Ｓｅｃｕｒｉｔｙ（ＣＩＳ　２０１１）．Ｓａｎｙａ，Ｃｈｉｎａ，２０１１：８４７－８５１［３１］ Ｊｉｎ　Ｊ　Ｈ，Ｚｈｏｕ　Ｘ，Ｍａ　Ｃ　Ｇ，ｅｔ　ａｌ．Ａ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇｒｅｌｙｉｎｇ　ｏｎ　ｒｅｐｕｔａｔｉｏｎ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　２０１６ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｉｎｔｅｌｌｉｇｅｎｔ　Ｎｅｔｗｏｒｋｉｎｇ　ａｎｄ　ＣｏｌｌａｂｏｒａｔｉｖｅＳｙｓｔｅｍｓ（ＩＮＣｏＳ　２０１６）．Ｏｓｔｒａｗｖａ，Ｃｚｅｃｈ　Ｒｅｐｕｂｌｉｃ，２０１６：３８４－３８７［３２］ Ｏｎｇ　Ｓ　Ｊ，Ｐａｒｋｅｓ　Ｄ　Ｃ，Ｒｏｓｅｎ　Ａ，ｅｔ　ａｌ．Ｆａｉｒｎｅｓｓ　ｗｉｔｈ　ａｎｈｏｎｅｓｔ　ｍｉｎｏｒｉｔｙ　ａｎｄ　ａ　ｒａｔｉｏｎａｌ　ｍａｊｏｒｉｔｙ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ６ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｔｈｅｏｒｙ　ｏｆ　Ｃｒｙｐｔｏｇｒａｐｈｙ（ＴＣＣ　２００９）．Ｓａｎ　Ｆｒａｎｃｉｓｃｏ，ＵＳＡ，２００９：３６－５３［３３］ Ｄａｎｉ　Ｖ，Ｍｏｖａｈｅｄｉ　Ｍ，Ｒｏｄｒｉｇｕｅｚ　Ｙ，ｅｔ　ａｌ．Ｓｃａｌａｂｌｅ　ｍｅｃｈａｎｉｓｍｆｏｒ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ．Ｄｉｓｔｒｉｂｕｔｅｄ　Ｃｏｍｐｕｔｉｎｇ，２０１５，２８（３）：１７１－１８７［３４］ Ｔｉａｎ　Ｙ　Ｌ，Ｐｅｎｇ　Ｃ　Ｇ，Ｌｉｎ　Ｄ　Ｄ，ｅｔ　ａｌ．Ｂａｙｅｓｉａｎ　ｍｅｃｈａｎｉｓｍｆｏｒ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｓｃｈｅｍｅ．Ｓｃｉｅｎｃｅ　Ｃｈｉｎａ　ＩｎｆｏｒｍａｔｉｏｎＳｃｉｅｎｃｅｓ，２０１５，５８（５）：１－１３［３５］ Ｋａｗａｃｈｉ　Ａ，Ｏｋａｍｏｔｏ　Ｙ，Ｔａｎａｋａ　Ｋ，ｅｔ　ａｌ．Ｇｅｎｅｒａｌ　ｃｏｎｓｔｒｕｃｔｉｏｎｓｏｆ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｗｉｔｈ　ｅｘｐｅｃｔｅｄ　ｃｏｎｓｔａｎｔ－ｒｏｕｎｄｒｅｃｏｎｓｔｒｕｃｔｉｏｎ．Ｔｈｅ　Ｃｏｍｐｕｔｅｒ　Ｊｏｕｒｎａｌ，２０１７，６０（５）：７１１－７２８［３６］ Ｓｏｕｒｙａ　Ｊ　Ｄ，Ｒｕｊ　Ｓ，Ｐａｌ　Ａ　Ｋ．Ｓｈｏｕｌｄ　ｓｉｌｅｎｃｅ　ｂｅ　ｈｅａｒｄ？Ｆａｉｒｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｗｉｔｈ　ｓｉｌｅｎｔ　ａｎｄ　ｎｏｎ－ｓｉｌｅｎｔ　ｐｌａｙｅｒｓ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　１３ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｃｒｙｐｔｏｌｏｇｙａｎｄ　Ｎｅｔｗｏｒｋ　Ｓｅｃｕｒｉｔｙ （ＣＡＮＳ　２０１４）．Ｈｅｒａｋｌｉｏｎ，Ｇｒｅｅｃｅ，２０１４：２４０－２５５１５３２ 计　　算　　机　　学　　报 ２０２０年［３７］ Ｚｈａｎｇ　Ｅｎ，Ｙｕａｎ　Ｐ　Ｙ，Ｄｕ　Ｊ．Ｖｅｒｉｆｉａｂｌｅ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇｓｃｈｅｍｅ　ｉｎ　ｍｏｂｉｌｅ　ｎｅｔｗｏｒｋｓ．Ｍｏｂｉｌｅ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｙｓｔｅｍｓ，２０１５，４６２３４５：１－７［３８］ Ｓｏｕｒｙａ　Ｊ　Ｄ，Ｒｕｊ　Ｓ．Ｆａｉｌｕｒｅ　ｔｏｌｅｒａｎｔ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　３０ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　ＡｄｖａｎｃｅｄＩｎｆｏｒｍａｔｉｏｎ　Ｎｅｔｗｏｒｋｉｎｇ　ａｎｄ　Ａｐｐｌｉｃａｔｉｏｎｓ （ＡＩＮＡ　２０１６）．Ｍｏｎｔａｎａ，Ｓｗｉｔｚｅｒｌａｎｄ，２０１６：９２５－９３２［３９］ Ｌｉｕ　Ｈ，Ｌｉ　Ｘ　Ｈ，Ｍａ　Ｊ　Ｆ，ｅｔ　ａｌ．Ｒｅｃｏｎｓｔｒｕｃｔｉｏｎ　ｍｅｔｈｏｄｏｌｏｇｙｆｏｒ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｂａｓｅｄ　ｏｎ　ｍｅｃｈａｎｉｓｍ　ｄｅｓｉｇｎ．Ｓｃｉｅｎｃｅ　Ｃｈｉｎａ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｃｉｅｎｃｅｓ，２０１７，６０（８）：１－３［４０］ Ｎｉｓａｎ　Ｎ．Ａｌｇｏｒｉｔｈｍｉｃ　ｍｅｃｈａｎｉｓｍ　ｄｅｓｉｇｎ．Ｇａｍｅｓ　ａｎｄ　ＥｃｏｎｏｍｉｃＢｅｈａｖｉｏｒ，２００１，３５：１６６－１９６ＬＩＵ　Ｈａｉ， Ｐｈ．Ｄ． Ｈｉｓ　ｒｅｓｅａｒｃｈｉｎｔｅｒｅｓｔｓ　ｉｎｃｌｕｄｅ　ｐｒｉｖａｃｙ　ｐｒｏｔｅｃｔｉｏｎ　ａｎｄｓｅｃｕｒｉｔｙ　ｐｒｏｔｏｃｏｌ　ｄｅｓｉｇｎ．ＬＩ　Ｘｉｎｇ－Ｈｕａ，Ｐｈ．Ｄ．，ｐｒｏｆｅｓｓｏｒ．Ｈｉｓ　ｒｅｓｅａｒｃｈ　ｉｎｔｅｒｅｓｔｓｉｎｃｌｕｄｅ　ｎｅｔｗｏｒｋ　ａｎｄ　ｉｎｆｏｒｍａｔｉｏｎ　ｓｅｃｕｒｉｔｙ，ｐｒｉｖａｃｙ　ｐｒｏｔｅｃｔｉｏｎａｎｄ　ｃｒｙｐｔｏｇｒａｐｈｙ．ＴＩＡＮ　Ｙｏｕ－Ｌｉａｎｇ，Ｐｈ．Ｄ．，ｐｒｏｆｅｓｓｏｒ．Ｈｉｓ　ｒｅｓｅａｒｃｈ　ｉｎｔｅｒｅｓｔｓｉｎｃｌｕｄｅ　ｇａｍｅ　ｔｈｅｏｒｙ，ｃｒｙｐｔｏｇｒａｐｈｙ　ａｎｄ　ｓｅｃｕｒｉｔｙ　ｐｒｏｔｏｃｏｌｓ．ＬＵＯ　Ｂｉｎ，Ｐｈ．Ｄ．ｃａｎｄｉｄａｔｅ．Ｈｅｒ　ｒｅｓｅａｒｃｈ　ｉｎｔｅｒｅｓｔｓｉｎｃｌｕｄｅ　ｐｒｉｖａｃｙ　ｐｒｏｔｅｃｔｉｏｎ　ａｎｄ　ｔｒｕｓｔ　ｅｖａｌｕａｔｉｏｎ．ＭＡ　Ｊｉａｎ－Ｆｅｎｇ，Ｐｈ．Ｄ．，Ｙａｎｇｔｚｅ　ｒｉｖｅｒ　ｓｃｈｏｌａｒ　ｐｒｏｆｅｓｓｏｒ．Ｈｉｓ　ｒｅｓｅａｒｃｈ　ｉｎｔｅｒｅｓｔｓ　ｉｎｃｌｕｄｅ　ｎｅｔｗｏｒｋ　ａｎｄ　ｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙ，ｃｏｄｉｎｇ　ｔｈｅｏｒｙ　ａｎｄ　ｃｒｙｐｔｏｇｒａｐｈｙ．ＰＥＮＧ　Ｃｈａｎｇ－Ｇｅｎ，Ｐｈ．Ｄ．，ｐｒｏｆｅｓｓｏｒ． Ｈｉｓ　ｒｅｓｅａｒｃｈｉｎｔｅｒｅｓｔ　ｉｓ　ｄａｔａ　ｐｒｉｖａｃｙ　ｐｒｏｔｅｃｔｉｏｎ．Ｂａｃｋｇｒｏｕｎｄ　　Ｗｉｔｈ　ｔｈｅ　ｄｅｖｅｌｏｐｍｅｎｔ　ｏｆ　ｃｏｍｍｕｎｉｃａｔｉｏｎ　ｔｅｃｈｎｏｌｏｇｉｅｓ，ｅｍｅｒｇｉｎｇ　ｔｅｃｈｎｏｌｏｇｉｅｓ　ｌｉｋｅ　ｃｌｏｕｄ　ｃｏｍｐｕｔｉｎｇ　ａｎｄ　ＩｏＴ（Ｉｎｔｅｒｎｅｔｏｆ　Ｔｈｉｎｇｓ）ａｒｉｓｅ，ｗｈｉｃｈ　ｂｒｉｎｇ　ｃｏｎｖｅｎｉｅｎｃｅ　ａｎｄ　ｂｅｃｏｍｅ　ｐａｒｔｏｆ　ｏｕｒ　ｄａｉｌｙ　ｌｉｆｅ．Ｈｏｗｅｖｅｒ，ｗｈｅｎ　ｅｎｊｏｙｉｎｇ　ｔｈｅ　ｃｏｎｖｅｎｉｅｎｔｌｉｆｅ，ｔｈｅ　ｕｓｅｒｓ’ｐｒｉｖａｃｙ　ｍａｙ　ｄｉｓｃｌｏｓｅ　ｂｅｃａｕｓｅ　ｔｈｅｙ　ｎｅｅｄ　ｔｏｐｒｏｖｉｄｅ　ｓｏｍｅ　ｉｎｄｉｖｉｄｕａｌ　ｄａｔａ．Ｔｏ　ｐｒｏｔｅｃｔ　ｔｈｅ　ｕｓｅｒｓ’ｐｒｉｖａｃｙｅｆｆｅｃｔｉｖｅｌｙ，ｔｈｅ　ｃｒｙｐｔｏｇｒａｐｈｙ　ｐａｒｔｉｃｉｐａｔｉｎｇ　ｉｎ　ｍｕｌｔｉ－ｐｌａｙｅｒ　ｈａｓａｔｔｒａｃｔｅｄ　ｍｏｒｅ　ａｔｔｅｎｔｉｏｎ，ｅｓｐｅｃｉａｌｌｙ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ．Ｉｎ　ｔｒａｄｉｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ，ｔｈｅ　ｕｓｅｒｓ　ａｒｅ　ｒｅｇａｒｄｅｄ　ａｓｅｉｔｈｅｒ　ｈｏｎｅｓｔ　ｏｒ　ｍａｌｉｃｉｏｕｓ．Ｈｏｎｅｓｔ　ｕｓｅｒｓ　ｆｏｌｌｏｗ　ｔｈｅ　ｐｒｅｓｃｒｉｂｅｄｐｒｏｔｏｃｏｌ　ｆａｉｔｈｆｕｌｌｙ， ｗｈｅｒｅａｓ　ｍａｌｉｃｉｏｕｓ　ｕｓｅｒｓ　ｂｅｈａｖｅ　ｉｎａｒｂｉｔｒａｒｙ　ｍａｎｎｅｒｓ．Ｈｏｗｅｖｅｒ，ｉｎ　ｒｅａｌ　ａｐｐｌｉｃａｔｉｏｎｓ，ｔｈｅ　ｕｓｅｒｓａｒｅ　ｓｅｌｆｉｓｈ　ａｎｄ　ａｌｗａｙｓ　ｔｒｙ　ｔｏ　ｍａｘｉｍｉｚｅ　ｔｈｅｉｒ　ｐｒｏｆｉｔｓ，ｗｈｉｃｈｃｏｉｎｃｉｄｅｓ　ｗｉｔｈ　ｔｈｅ　ｓｅｌｆｉｓｈ　ｃｈａｒａｃｔｅｒｉｓｔｉｃ　ｏｆ　ｒａｔｉｏｎａｌ　ｕｓｅｒｓ　ｉｎｇａｍｅ　ｔｈｅｏｒｙ．Ｕｎｄｅｒ　ｔｈｉｓ　ｃｉｒｃｕｍｓｔａｎｃｅ，ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇｉｓ　ｐｒｏｐｏｓｅｄ　ａｔ　ｔｈｅ　ｉｎｔｅｒｓｅｃｔｉｏｎ　ｏｆ　ｇａｍｅ　ｔｈｅｏｒｙ　ａｎｄ　ｔｒａｄｉｔｉｏｎａｌｓｅｃｒｅｔ　ｓｈａｒｉｎｇ，ｗｈｉｃｈ　ｈａｓ　ｂｅｅｎ　ｕｓｅｄ　ｗｉｄｅｌｙ，ｓｕｃｈ　ａｓ　ｉｎ　ｔｈｅｆｉｅｌｄ　ｏｆ　ｌｏｃａｔｉｏｎ　ｐｒｉｖａｃｙ　ｐｒｏｔｅｃｔｉｏｎ　ａｎｄ　ｄａｔａ　ａｃｃｅｓｓ　ｃｏｎｔｒｏｌ　ｏｆｃｌｏｕｄ　ｓｔｏｒａｇｅ．Ｕｎｆｏｒｔｕｎａｔｅｌｙ，ｄｕｅ　ｔｏ　ｔｈｅ　ｌａｃｋ　ｏｆ　ａｄｅｑｕａｔｅ　ｃｏｎｓｉｄｅｒａｔｉｏｎａｂｏｕｔ　ｔｈｅ　ｕｓｅｒｓ’ｓｅｌｆｉｓｈ　ｂｅｈａｖｉｏｒｓ，ｔｈｅ　ｅｘｉｓｔｉｎｇ　ｆａｉｒｎｅｓｓｄｅｆｉｎｉｔｉｏｎ　ｏｆ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｉｍｐｌｉｅｓ　ｓｏｍｅ　ｕｎｆａｉｒｓｏｌｕｔｉｏｎｓ，ｗｈｉｃｈ　ａｌｌｏｗｓ　ｓｏｍｅ　ｏｆ　ｔｈｅ　ｕｓｅｒｓ　ｔｏ　ｒｅｃｏｎｓｔｒｕｃｔ　ｔｈｅｓｅｃｒｅｔ　ｂｕｔ　ｎｏｔ　ｓｅｎｄ　ｔｈｅ　ｓｈａｒｅｓ，ｗｈｅｒｅａｓ　ｔｈｅ　ｏｔｈｅｒｓ　ｃａｎｎｏｔｏｂｔａｉｎ　ｔｈｅ　ｓｅｃｒｅｔ　ａｆｔｅｒ　ｓｅｎｄｉｎｇ　ｔｈｅ　ｓｈａｒｅｓ．Ｍｏｒｅ　ｓｅｒｉｏｕｓｌｙ，ｓｏｍｅ　ｏｆ　ｔｈｅ　ｕｓｅｒｓ　ｃａｎ　ｃｈｅａｔ，ｍａｋｉｎｇ　ｔｈｅ　ｏｔｈｅｒ　ｕｓｅｒｓ　ｖｉｅｗ　ａｆａｋｅ　ｓｅｃｒｅｔ　ａｓ　ｔｈｅ　ｒｅａｌ．Ｔｈｅｒｅｆｏｒｅ，ｔｈｅ　ｅｘｉｓｔｉｎｇ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔｓｈａｒｉｎｇ　ｓｃｈｅｍｅｓ　ｃａｎｎｏｔ　ｒｅａｌｉｚｅ　ｔｈｅ　ｆａｉｒ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ．Ｔｏａｄｄｒｅｓｓ　ｔｈｉｓ　ｐｒｏｂｌｅｍ，ｔｈｉｓ　ｐａｐｅｒ　ｆｏｒｍａｌｉｚｅｓ　ｒａｔｉｏｎａｌ　ｆａｉｒｎｅｓｓｏｆ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｂｙ　ｉｎｔｒｏｄｕｃｉｎｇ　ｉｎｔｏ　ｔｈｅ　ａｃｃｅｓｓ　ｓｔｒｕｃｔｕｒｅ．Ｂａｓｅｄ　ｏｎ　ｔｈｅ　ｐｒｏｐｏｓｅｄ　ｄｅｆｉｎｉｔｉｏｎ　ｏｆ　ｒａｔｉｏｎａｌ　ｆａｉｒｎｅｓｓ　ａｓｇｕｉｄａｎｃｅ，ｔｈｒｏｕｇｈ　ｔｈｅ　ｇｅｎｅｒａｔｉｏｎ　ｏｆ　ａ　ｇｒｅａｔ　ｑｕａｎｔｉｔｙ　ｏｆ　ｆａｋｅｓｈａｒｅｓ　ｆｏｒ　ｒａｔｉｏｎａｌ　ｕｓｅｒｓ　ｔｏ　ｍａｋｅ　ｔｈｅｍ　ｎｏｔ　ａｂｌｅ　ｔｏ　ｉｄｅｎｔｉｆｙ　ｔｈｅｒｅａｌ　ｏｎｅ，ａｎ　ｉｎｃｅｎｔｉｖｅ　ｏｂｆｕｓｃａｔｉｏｎ　ｍｅｃｈａｎｉｓｍ　ｉｓ　ｄｅｖｉｓｅｄ　ａｎｄ　ａｎｏｖｅｌ　ｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ｓｃｈｅｍｅ　ｉｓ　ｐｒｅｓｅｎｔｅｄ．Ｔｈｅｏｒｅｔｉｃａｌａｎａｌｙｓｉｓ　ｄｅｍｏｎｓｔｒａｔｅｓ　ｔｈａｔ　ｏｕｒ　ｓｃｈｅｍｅ　ｃａｎ　ｍｏｔｉｖａｔｅ　ｔｈｅｕｓｅｒｓ　ｔｏ　ｓｅｎｄ　ｔｈｅｉｒ　ｓｈａｒｅｓ　ｈｏｎｅｓｔｌｙ　ａｎｄ　ｍａｋｅ　ｂｏｔｈ　ｏｆ　ｔｈｅｍｒｅｃｏｎｓｔｒｕｃｔ　ｔｈｅ　ｒｅａｌ　ｓｅｃｒｅｔ，ｔｈｅｒｅｂｙ　ｇｕａｒａｎｔｅｅ　ｔｈｅ　ｆａｉｒｎｅｓｓ　ｏｆｒａｔｉｏｎａｌ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ．Ａｄｄｉｔｉｏｎａｌｌｙ，ｔｈｅ　ｅｘｔｅｎｓｉｖｅ　ｅｘｐｅｒｉｍｅｎｔｓｉｌｌｕｓｔｒａｔｅ　ｔｈａｔ　ｔｈｅ　ｃｏｍｐｕｔａｔｉｏｎ　ｏｖｅｒｈｅａｄ　ａｎｄ　ｃｏｍｍｕｎｉｃａｔｉｏｎｃｏｓｔ　ｏｆ　ｔｈｅ　ｐｒｏｐｏｓａｌ　ａｒｅ　ｌｉｍｉｔｅｄ，ｗｈｉｃｈ　ｓｈｏｗｓ　ｔｈａｔ　ｔｈｅｐｒｅｓｅｎｔｅｄ　ｓｃｈｅｍｅ　ｉｓ　ａｐｐｌｉｃａｂｌｅ．Ｔｈｉｓ　ｗｏｒｋ　ｗａｓ　ｓｐｏｎｓｏｒｅｄ　ｉｎ　ｐａｒｔｙ　ｂｙ　ｔｈｅ　Ｎａｔｉｏｎａｌ　ＮａｔｕｒａｌＳｃｉｅｎｃｅ　Ｆｏｕｎｄａｔｉｏｎ　ｏｆ　Ｃｈｉｎａ　ｕｎｄｅｒ　Ｇｒａｎｔ（Ｎｏｓ．Ｕ１７０８２６２，Ｕ１７３６２０３， Ｕ１８３６２０５， ６１７７２００８），ｔｈｅ　Ｎａｔｉｏｎａｌ　ＫｅｙＲｅｓｅａｒｃｈ　ａｎｄ　Ｄｅｖｅｌｏｐｍｅｎｔ　Ｐｒｏｇｒａｍ　ｏｆ　Ｃｈｉｎａ　ｕｎｄｅｒ　Ｇｒａｎｔ（Ｎｏ．２０１７ＹＦＢ０８０１８０５），ｔｈｅ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ　Ｐｒｏｇｒａｍｏｆ　Ｇｕｉｚｈｏｕ　Ｐｒｏｖｉｎｃｅ　ｕｎｄｅｒ　Ｇｒａｎｔ （Ｎｏ．［２０２０］１Ｙ２６５），ｔｈｅＲｅｓｅａｒｃｈ　Ｆｏｕｎｄａｔｉｏｎ　ｏｆ　Ｇｕｉｚｈｏｕ　Ｕｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｆｉｎａｎｃｅ　ａｎｄＥｃｏｎｏｍｉｃｓ　ｕｎｄｅｒ　Ｇｒａｎｔ（Ｎｏ．２０１９ＸＹＢ１７）．８期 刘　海等：理性公平的秘密共享方案 １５３３