Shamir 秘密分享：把私钥拆成 n 份，任意 k 份就能还原

全文分三层：

1. 通俗理解：两点确定一条直线
2. 实际用处：钱包备份、MPC 钱包、门限签名、DNSSEC 根密钥
3. 数学原理：有限域上的多项式、拉格朗日插值、完美安全性，附手算例子

第一层：通俗理解

1.1 为什么要"拆"私钥

一把比特币私钥如果只存一份：

• 丢了，钱就永远没了；
• 被偷了，钱也没了。

多存几份能防丢，却让被偷的风险翻倍。我们想要的是：拆成 5 份，分给 5 个人（或 5 个地方），任意 3 份凑在一起才能还原；任意 2 份凑在一起一点用都没有。这叫 $(3, 5)$ 门限方案。

1.2 两点确定一条直线

先看最简单的 $(2, n)$ 方案：

1. 把秘密 $S$ 画在 $y$ 轴上，即点 $(0, S)$；
2. 过这个点随便画一条（随机斜率的）直线；
3. 在直线上取 $x = 1, 2, \dots, n$ 处的点，每人发一个。

任意两个人把点拿出来，两点确定一条直线，延长到 $y$ 轴就看到了 $S$。但只有一个点的人，过这个点的直线有无数条，与 $y$ 轴的交点可以是任何值，所以完全猜不到 $S$。

要门限为 3，就把直线换成抛物线（三点确定一条抛物线）；门限为 $k$，就用 $k-1$ 次多项式。

1.3 和 RS 纠错码是一回事

Reed–Solomon 纠错码的做法是：把数据当作多项式系数，发送多项式在多个点上的值，丢掉一些点也能插值还原。Shamir 秘密分享用的是同一个代值映射，只是关注点不同：纠错码关心"丢了能补回来"，秘密分享还额外关心"点不够时什么都看不出"。

第二层：实际用处

第三层：数学原理

3.1 在有限域里做

实数上的多项式会泄露信息（比如份额的大小能暗示秘密的范围），所以一律在有限域 $\mathbb{F}_p$ 上做，$p$ 是一个比秘密大的素数。

分发：秘密 $S \in \mathbb{F}_p$，门限 $k$。随机选 $a_1, \dots, a_{k-1} \in \mathbb{F}_p$，令

$$f(x) = S + a_1 x + a_2 x^2 + \cdots + a_{k-1} x^{k-1},$$

第 $i$ 个人拿到份额 $(i, f(i))$，$i = 1, \dots, n$。

3.2 为什么 $k$ 个点能唯一确定多项式

域上一个非零的、次数不超过 $k-1$ 的多项式最多有 $k-1$ 个根（抽象代数：$F[x]$ 是整环，因式定理）。如果两个次数 $\le k-1$ 的多项式在 $k$ 个点上取值相同，它们的差有 $k$ 个根，只能是零多项式。所以唯一。

3.3 拉格朗日插值

给定 $k$ 个点 $(x_j, y_j)$，构造

$$L_j(x) = \prod_{m \ne j} \frac{x - x_m}{x_j - x_m},$$

它在 $x_j$ 处等于 $1$，在其他 $x_m$ 处等于 $0$。于是 $f(x) = \sum_j y_j L_j(x)$。我们只需要常数项：

$$S = f(0) = \sum_j y_j \, L_j(0),\qquad L_j(0) = \prod_{m \ne j} \frac{-x_m}{x_j - x_m}.$$

注意 $S$ 是份额的线性组合。这一点很关键：门限签名里，各方不用交出份额，只要各自算出"份额 $\times L_j(0)$"这一部分，再在指数或椭圆曲线点上相加即可。

3.4 为什么 $k-1$ 个份额毫无信息

固定任意 $k-1$ 个份额。对秘密的每一个候选值 $S' \in \mathbb{F}_p$，加上点 $(0, S')$ 一共 $k$ 个点，恰好唯一确定一个多项式。所以每个 $S'$ 都对应同样多（恰好一种）的系数选法，而系数是均匀随机选的，于是每个 $S'$ 的概率都是 $1/p$。

这叫信息论安全（完美安全）：不依赖任何计算难题，算力再强、有量子计算机也没用。和一次一密的道理相同。

3.5 手算例子

总结