1703865842
1703865843
举个例子，我们设定N=2，K=2，意味着我们把想要加密的密钥（原密钥）转换成两个子密钥，只有同时获得这两个子密钥才能拼出原密钥。我们把原密钥称为S，S是一个很大的数字（比如128位）。然后，我们可以随机产生另一个128位的数字R，让R作为其中的一个子密钥，那么另外一个子密钥就是S⊕R（⊕代表逻辑算符互斥，exclusive OR，或缩写成XOR，也叫异或），我们把S⊕R称为“密文”。然后，我们把子密钥R和密文S⊕R保存在两个不同的地方。单独根据子密钥R或密文都无法知晓原来密钥的任何信息，但如果我们同时得到R和S⊕R，我们可以通过异或逻辑运算得到原来的密钥。[2]
1703865844
1703865845
N和K相等时，我们总是可以这样做：对于之前的K-1个子密钥，我们可以生成N-1不同的随机数，最后一个子密钥就是原密钥与所有其他N-1个子密钥的异或。但如果N大于K的话，这个技巧就行不通了。我们需要借助其他代数方法。
1703865846
1703865847
图4.4中，我们是如何生成子密钥的呢？首先，我们把S标记在Y轴上（0，S），然后经过该点画一条直线，斜率随机，接下来，我们就可以在这条线上挑一些点，要多少有多少。这样，我们就得到N个子密钥，并且K=2。
1703865848
1703865849
1703865850
1703865851
1703865852
图4.4 密钥分存的几何示例（N=2）
1703865853
1703865854
注：S代表原密钥，被编码成一个大的整数，图中斜线的斜率随机。斜线上的点（主要是它们的Y坐标S+R，S+2R，…）代表子密钥。连接任何两个点，都可以得到S[两点连线，延长，与Y轴的交点就是S（黑点）]。若是只有一个点，又无法确定斜率（斜率随机），就无法得到S。
1703865855
1703865856
为什么我们得到两个点就可以还原原密钥呢？首先，连接两个点可以得到一条直线，这条直线和Y轴的交点就是S。然而，如果只有一个点，将得不到任何信息，由于直线斜率是随机的，所以，通过该点的任何直线都有可能是我们生成子密钥所采用的那条直线，但所有直线和Y轴的交点都不同。
1703865857
1703865858
上述方法中，有一点很精妙：要让这个方法在数学上行得通，我们需要找一个足够大的素数P取模。P不需要和原密钥有任何关系，只需要足够大就可以。S的值在0和P-1之间（含0和P-1）。上文中，我们说通过S画直线并在直线上挑选一些点，实际操作时，我们其实是生成一个介于0到P-1的随机数R，并生成下列点：
1703865859
1703865860
x=1,y=(S+R)mod P
1703865861
1703865862
x=2,y=(S+2R)mod P
1703865863
1703865864
x=3,y=(S+3R)mod P
1703865865
1703865866
原密钥对应的坐标为x=0，y=(S+0×R) mod P，其实就x=0，y=S。
1703865867
1703865868
上述方法在K=2，N为任意数字的情况下都有效，例如，如果N=4，就是生成4个子密钥，并保存在4个不同的设备里。万一有人偷了其中的一个，他对密钥仍一无所知。即使丢了两个子密钥，你也仍然可以通过另外两个子密钥来得到原密钥。
1703865869
1703865870
上述方法可以进一步扩展：我们可以用任何的K和N（只要保证K
1703865871
1703865872
表4.1 密钥分存的数学原理
1703865873
1703865874
1703865875
1703865876
1703865877
注意，如果使用自由度为k-1的曲线上的若干点来进行密钥分存，那么，为了还原原密钥，至少需要得到K个点的数据。
1703865878
1703865879
数学上，拉格朗日公式表明，如果要回归一条自由度为k-1的曲线，需要获得至少K个点。最简单的例子就是，用尺子连接两个点，就可以得到一条直线。因此，如果我们将原密钥转换成N个子密钥，除非黑客获得了K-1个子密钥，否则原密钥就是安全的，换个说法，我们最多可以承受N-K个子密钥被泄露。
1703865880
1703865881
当然，密钥分存并不是比特币的专用技术。你可以将你的密码进行密钥分存，然后把子密钥告诉你的朋友，或把它们放在不同的地方。但是，实际上并不会有人真的这么做。一方面这么做不太方便，另一方面，目前市场上也有其他的安全机制，例如使用短信进行双重验证。但对于比特币而言，如果你选择本地保存密钥，那么双重验证等安全机制就不适用了，我们无法通过短信验证码的方式来控制比特币账户。当然，在线钱包则不同，我们会在下一节讨论。不过，在线钱包和本地储存的区别不大，类似的问题总是存在，只不过换了一种方式。毕竟，在线钱包的服务商在保存密钥的时候也不能只使用一种安全措施。
1703865882
1703865883
门限密码（threshold cryptography）
1703865884
1703865885
密钥分存还是有一个问题：密钥分存之后，如果我们后面要用原密钥来签名，那就需要取得子密钥，还原成原密钥，然后才能签名。这个过程有可能被黑客乘虚而入，盗取密钥。
1703865886
1703865887
密码学可以解决这个问题。如果子密钥储存在不同的设备中，可以以去中心化的方式还原原密钥，而不是在某台设备上完成。这种技术叫“门限签名”（threshold signature）技术。典型的例子就是使用双重安全机制的电子钱包（N=2且K=2），如果两个子密钥分别保存在个人电脑和手机上，你可以在电脑上发起付款，这时，电脑会生成一个签名片段，并发送到你的手机上，然后，手机会提示你付款信息（包括收款人、金额等），然后等待你确认。如果你确认了付款信息，这时，手机会利用它的子密钥完成整个签名，然后广播到区块链上。万一黑客控制了你的电脑，试图把比特币转到他的账户，你根据手机上的付款信息就知道有问题了，从而不会确认这笔交易。门限密码涉及的数学细节比较复杂，此处我们不展开讨论。
1703865888
1703865889
1703865890
门限签名
1703865891