【隐私计算笔谈】MPC系列专题（三）：不经意传输与混淆电路

【隐私计算笔谈】MPC系列专题（三）：不经意传输与混淆电路

不经意传输

不经意传输（ Oblivious transfer，OT，也有翻译是茫然传输 ）是在构建安全多方计算时经常需要使用的一个模块。

在双方参与的不经意传输中，一方“Bob”输入一组数据，另一方“Alice”输入一个选择，从Bob输入的数据中选取一个。Alice只获得其所选择的数据，无法得知 Bob输入的其他数据。Bob无法知道Alice选择获得了哪个数据。如有一个2选1的不经意传输协议，Bob输入{𝑎₀,𝑎₁}，Alice输入𝑟∈{0,1} 计算结束后Alice获得𝑎_𝑟，但是无法获得𝑎_1-𝑟，Bob无法得知Alice输入的𝑟的值。若Alice输入的𝑟=0，则Alice获得𝑎₀，无法获得𝑎₁；若Alice输入的𝑟=1，则Alice获得𝑎₁，无法获得𝑎₀。Bob无法得知Alice具体获得的是𝑎₀还是𝑎₁。

不经意传输协议还有N选1，N选M等。将2选1不经意传输协议写作$$\left(\begin{array}{c}2\\ 1\end{array}\right)OT$$
N选1不经意传输协议写作$$\left(\begin{array}{c}N\\ 1\end{array}\right)OT$$
将重复调用k次不经意传输协议写作
，如Bob输入
，Alice输入{𝑟₁,𝑟₂,…,𝑟_𝑘},𝑟_𝑖∈ {0,1},1≤𝑖≤𝑘，在协议计算结束后，Alice获得

Naor-Pinkas不经意传输协议是经典的OT协议，其基于离散对数困难问题，通过三次公钥密码学操作实现了
$$\left(\begin{array}{c}2\\ 1\end{array}\right)OT$$
Naor-Pinkas不经意传输协议中的公共参数有：𝑞阶有限域的𝑍_𝑞、有限域𝑍_𝑝、𝑍_𝑝的生成元𝑔和𝑍_𝑝的𝑞阶子群𝐺_𝑞 。其中𝑝和𝑞的关系是𝑞|𝑝−1，即𝑝−1能够被𝑞除尽。

发送者输入两个长度为𝑙比特的数据(𝑥₀,𝑥₁)，接收者输入一个选择比特𝑟。

1. 发送者生成一个随机数𝐶，并将𝐶进行公开，接着发送者生成一个随机数𝑎，计算 g^a 和 C^a 。

2. 接收者生成一个随机数𝑘，1≤𝑘≤𝑞。再生成两个公钥𝑝𝑘_𝑟和𝑝𝑘_1-𝑟，𝑝𝑘_𝑟= g^k, 𝑝𝑘_1-𝑟= $\frac{c}{g^k}$，接收者将𝑝𝑘₀发送给发送者。

3. 发送者计算 (pk₀)^a ，(pk₁)^a = C a p k 0 a \frac{C^a}{ pk_0^a } pk