【隐私计算笔谈】MPC系列专题（十七）：三方复制秘密共享（三）

作者 | 胡震恺 等

【隐私计算笔谈】MPC系列专题（十七）：三方复制秘密共享（三）

三方复制秘密共享（二）

上次科普介绍了在布尔电路下的三方复制秘密共享方案，这次科普介绍把它扩展到环2ⁿ下的方式。

首先是在环2ⁿ下生成三个随机数𝑎₁,𝑎₂,𝑎₃，并且满足𝑎₁+𝑎₂+𝑎₃=0。上次科普已经介绍过满足条件𝑎₁⊕𝑎₂⊕𝑎₃=0的随机数生成方式，满足条件满足𝑎₁+𝑎₂+𝑎₃=0的只需对上次的方式进行一些小更改：

Alice、Bob、Candy分别生成随机数𝜌₁,𝜌₂,𝜌₃，Alice将𝜌₁发送给Bob，Bob将𝜌₂发送给Candy，Candy将𝜌₃发送给Alice。接着Alice计算𝑎₁=𝜌₁−𝜌₃，Bob计算𝑎₂=𝜌₂−𝜌₁，Candy计算𝑎₃=𝜌₃−𝜌₂。

显然，𝑎₁+𝑎₂+𝑎₃= 𝜌₁−𝜌₃+𝜌₂−𝜌₁+𝜌₃−𝜌₂=0。

三方产生满足𝑎1+𝑎2+𝑎3=0的随机数

假设秘密为𝑥, 𝑦，则𝑥₁=𝑎₃−𝑥，𝑥₂=𝑎₁−𝑥，𝑥₃=𝑎₂−𝑥；𝑦₁=𝑏₃−𝑦，𝑦₂=𝑏₁−𝑦，𝑦₃=𝑏₂−𝑦。Alice持有(𝑥₁,𝑎₁), (𝑦₁,𝑏₁)，Bob持有(𝑥₂,𝑎₂), (𝑦₂,𝑏₂)，Candy持有(𝑥₃, 𝑎₃), (𝑦₃, 𝑏₃)。

加法的实现方式为：布尔电路上的加法原理相同，Alice、Bob和Candy在模2ⁿ下直接本地计算𝑥_𝑖+𝑦_𝑖即可。如Alice计算𝑧₁=𝑥₁+𝑦₁=𝑎₃−𝑥+𝑏₃−𝑦=(𝑎₃+𝑏₃)−(𝑥+𝑦)，𝑐₁=𝑎₁+𝑏₁。同理Bob计算𝑧₂=𝑥₂+𝑦₂=𝑎₁−𝑥+𝑏₁−𝑦=(𝑎₁+𝑏₁)−(𝑥+𝑦)，𝑐₂=𝑎₂+𝑏₂；Candy计算𝑧₃=(𝑥₃+𝑦₃)=𝑎₂−𝑥+𝑏₂−𝑦=(𝑎₂+𝑏₂)−(𝑥+𝑦)，𝑐₃=𝑎₃+𝑏₃。可以验证：
𝑐₁+ 𝑐₂ + 𝑐₃ = − ( a 1 + a 2 +