Partilha de segredo de Shamir

Como dividir um segredo

1. Escreve ou cola o texto a proteger em Segredo (texto): uma frase de recuperação, uma palavra-passe mestra, uma chave de encriptação…
2. Define o Número de partes (N) e as Partes necessárias para reconstruir (M). Por exemplo, N = 5 e M = 3 significa que quaisquer 3 das 5 partes reconstroem o segredo, e que 2 partes não revelam nada.
3. Clica em Dividir segredo. Cada parte aparece numa linha própria com um botão Copiar; também podes usar Copiar todas as partes ou Transferir partes (.txt).
4. Clica em Teste: combinar as primeiras M partes para confirmares que as partes funcionam antes de as distribuíres.
5. Entrega cada parte a uma pessoa diferente ou guarda-a num local diferente. Não as guardes todas juntas, ou a divisão perde o sentido.

Como reconstruir o segredo

1. Cola pelo menos M partes em Partes, uma por linha, por qualquer ordem. As linhas em branco são ignoradas.
2. Clica em Combinar partes. O texto aparece em Segredo recuperado e a mensagem de estado indica que números de parte foram usados.
3. Se uma parte tiver um erro de cópia, vier de outra divisão ou aparecer duas vezes com conteúdo diferente, a ferramenta diz qual é e porquê, em vez de devolver lixo.

Como funciona a partilha de segredo de Shamir

Adi Shamir publicou o esquema em 1979. Para partilhar um byte s com limiar M, escolhe-se um polinómio aleatório de grau M − 1 cujo termo constante é s: f(x) = s + a₁x + … + a₍M−1₎x^(M−1). A parte número x é o valor f(x). Quaisquer M pontos determinam o polinómio, por isso a interpolação de Lagrange em x = 0 devolve s; com menos de M pontos, todos os valores de s são igualmente prováveis, e as partes não revelam nada sobre o segredo.

Esta ferramenta trabalha no corpo finito GF(256) (o mesmo usado pelo AES, com o polinómio de redução x⁸ + x⁴ + x³ + x + 1), por isso cada byte do segredo em UTF-8 tem o seu próprio polinómio e as partes têm exatamente o mesmo comprimento que o segredo. Os coeficientes aleatórios vêm de crypto.getRandomValues, o gerador aleatório criptográfico do navegador. Tudo corre localmente: o segredo e as partes nunca saem do teu dispositivo.

Formato das partes

Uma parte tem este aspeto: 3-2-5f1c…. Primeiro vem o limiar M, depois o número da parte X (1 a 255) e por fim os dados em hexadecimal. Os dados contêm os valores do polinómio para o segredo seguidos de um CRC-32 de 4 bytes do segredo, e terminam com uma soma de verificação CRC-32 de 4 bytes da própria parte. A soma de verificação deteta erros de cópia; o CRC interno mostra quando foram misturadas partes de segredos diferentes. As partes criadas por outras ferramentas Shamir usam outros formatos e não podem ser combinadas aqui.