【隐私计算笔谈】MPC系列专题（四）：GMW协议和BGW协议

【隐私计算笔谈】MPC系列专题（四）：GMW协议和BGW协议

GMW协议

GMW协议由Goldreich等人提出，基于混淆电路（ Garbled Circuit ），支持多方的半诚实的安全计算协议。和之前所述的姚氏混淆电路估值方案的不同之处在于，GMW混淆电路估值方案不需要使用混淆真值表，因此没用混淆真值表带来的查表和加解密操作，节省了非常大的计算量和通信量。

混淆电路在上次的科普已经介绍过了，在将安全多方计算的目标函数转换为布尔电路后，通过对电路进行混淆（加密）操作来得到混淆电路。

混淆电路通过对电路进行混淆（加密）操作来掩盖电路的输入和电路的结构，以此来实现对各个参与者的隐私信息的保密，再通过电路计算来实现安全多方计算的目标函数的计算。

GMW协议的目标函数由异或门和与门、非门组成。非门的输出值是输入值的反，输入为1则输出为0，反之输入为0则输出为1。与门的真值表如下图所示：

异或门及其真值表

异或门及其真值表如下图所示：

与门及其真值表

首先介绍GMW协议的两方情况。首先假设参与者为 Alice和 Bob，Alice和Bob的输入均为长为n的比特串，其中 Alice输入为比特串𝑎，Bob的输入为比特串b。

对于比特串𝑎中的每个比特𝑎_𝑖，Alice都产生一个随机的比特𝑟_1𝑖∈ {0,1},1≤𝑖≤𝑛，并将这n个随机产生的比特𝑟_1𝑖,1≤𝑖≤𝑛发送给Bob。

对于比特串𝑏中的每个比特𝑏_𝑖，Bob也都产生一个随机的比特𝑟_2𝑖∈ {0,1},1≤𝑖≤𝑛，并将这n个随机产生的比特发送给Alice。Alice和Bob分别将𝑎_𝑖⨁𝑟_1𝑖和𝑏_𝑖⨁𝑟_2𝑖、𝑟_1𝑖、𝑟_2𝑖作为协议输入𝑎和b的子秘密。

即Alice掌握了𝑎和b的子秘密𝑎_Alice和𝑏_Alice，𝑎_Alice=𝑎⨁𝑟_1𝑖，𝑏_Alice=𝑟_2𝑖，Bob掌握了𝑎和b的子秘密a_Bob和𝑏_Bob，a_Bob=𝑟_1𝑖，𝑏_Bob= 𝑏⨁𝑟_2𝑖。

若Alice公开其所掌握的𝑎⨁𝑟_1𝑖和𝑟_2𝑖，Bob公开其所掌握的𝑟_1𝑖和𝑏⨁𝑟_2𝑖，那么Alice和Bob可以共同计算出𝑎=𝑎⨁𝑟_1𝑖⨁𝑟_1𝑖，𝑏=𝑏⨁𝑟_2𝑖⨁𝑟_2𝑖。