（阅读笔记）ASTRA: High Throughput 3PC over Rings with Application to Secure Prediction

文章介绍

ASTRA是Harsh Chaudhari等人发布在CCSW’19上文章，链接为： ASTRA: High Throughput 3PC over Rings with Application to Secure Prediction
本文的主要工作是在半诚实和恶意条件下提升安全三方计算的效率，协议在${\mathcal{Z}}_{2^l}$整数环上实现。
在半诚实条件下，在线阶段每一个乘法门的总通信量是 2 ring elements，这在3PC中是首次实现的；在恶意条件下，在线阶段每一个乘法门的总通信量是 4 ring elements, 通信效率高于ABY3的 5 ring elements。
作者将提出的技术应用到了机器学习的安全推理预测任务上：linear regression, linear SVM regression, logistic regression, linear SVM regression，将输入和计算外包给不合谋的三台服务器，在半诚实和恶意条件下运行性能均是目前最优。

Definitions

考虑三方 P = { P 0 , P 1 , P 2 } \mathcal{P}=\{P_0, P_1, P_2\} P={P0​,P1​,P2​}, $f$表示包含 2 输入加法门和乘法门的电路，$D$表示乘法电路的深度，$I,O,A,M$分别表示输入线、输出线、加法门和乘法门的数量。用$g=(w_x,w_y,w_z)$表示电路的一个门，其中$w_x$表示左输入线，$w_y$表示右输入线，$w_z$表示输出线。 { P 0 } \{P_0\} {P0​}作为 “distributor”, 执行离线阶段的预处理过程， { P 1 , P 2 } \{P_1, P_2\} {P1​,P2​}作为 “evaluators”, 执行在线阶段的电路部分。“s” 表示半诚实模式， “m” 表示恶意模式。

Sharing 语义

$[\cdot ]-sharing$: 将$v$以加法秘密分享的形式分享给$P_1,P_2$, 满足 $v=v_1+v_2$。
$[[\cdot ]]-sharing$: $P_0$持有$({\lambda }_{v,1},{\lambda }_{v,2})$, $P_1$持有$(m_v,{\lambda }_{v,1})$, 其中$v=m_v-{\lambda }_v，{\lambda }_v={\lambda }_{v,1}+{\lambda }_{v,2}$.
线性关系：
$[c_{1}x+c_{2}y]=(c_1{x}_1+c_2{y}_1,c_1{x}_2+c_2{y}_2)=c_1[x]+c_2[y]$,
$[[c_{1}x+c_{2}y]]=(c_1{m}_x+c_2{m}_y,c_1[{\lambda }_x]+c_2[{\lambda }_y])=c_1[[x]]+c_2[[y]]$.

Semi-honest security

Protocol ${\Pi }_{3pc}^s$包括三个阶段: input-sharing, circuit-evaluation和output-reconstruction.

Input-shaing 阶段

Protocol ${\Pi }_{Sh}^s(P_i,x)$使得三方将输入的$x$分享为$[[x]]-sharing$。具体实现为，离线阶段采样${\lambda }_x$, 在线阶段$P_i$计算$m_x$并发送给$P_1,P_2$.
离线阶段结束后各方持有信息：

i	$P_0$	$P_1$	$P_2$
0	${\lambda }_{x,1},{\lambda }_{x,2}$	${\lambda }_{x,1}$	${\lambda }_{x,2}$
1	${\lambda }_{x,1},{\lambda }_{x,2}$	${\lambda }_{x,1},{\lambda }_{x,2}$	${\lambda }_{x,2}$
2	${\lambda }_{x,1},{\lambda }_{x,2}$	${\lambda }_{x,1}$	${\lambda }_{x,1},{\lambda }_{x,2}$

Circuit-evaluation阶段

Output-reconstruction阶段

为了重建输出$y$, 由于每一方均只缺少一个share，因此其他任意一方将确实的share发送给它，就可以计算得到$y=m_y-{\lambda }_{y,1}-{\lambda }_{y,2}$。

完整协议

Malicious security

与半诚实情况类似，也包括三个阶段。

Input-sharing和output-reconstruction 阶段

在恶意情况下，我们需要保证诚实方拥有的shares是一致的，但是如果$P_0$是腐败方，那么它发送给$P_1,P_2$的$m_x$可能不一致，为了解决这个问题，$P_1,P_2$互换$H(m_x)$, 当出现不一致时就abort。
在重建阶段，拥有share的两方分别发送share和hash给第三方用于重建，二者不一致时就abort。

Circuit-evaluation 阶段

${\Pi }_{Add}$是本地计算，所以不受影响，${\Pi }_{Mul}^s$则可能面临交互不一致的问题。当$P_0$被腐败时，离线阶段可能存在${\gamma }_{xy}\ne {\lambda }_x{\lambda }_y$的问题；当$P_1(or{P}_2)$被腐败，在线阶段交给另外一个诚实方的$m_z$的share可能是错误的，从而重构出错误的$m_z$。
假设$P_1$是诚实方，为了检查它重构的$m_z$是否正确，它向$P_0$发送$m_x,m_y$, 由于$P_0$知道${\lambda }_x,{\lambda }_y$, 它就可以重构$m_z$并发送给$P_1$用来验证，但是这样会泄露隐私，因此$P_1$发送给$P_0$时需要加上一个掩膜，即$P_1$发送$m_x^{\ast }=m_x+{\delta }_x,m_y^{\ast }=m_y+{\delta }_y$, $P_0$计算$m_z^{\ast }=-m_x^{\ast }{\lambda }_y-m_y^{\ast }{\lambda }_x+{\lambda }_z+2{\gamma }_{xy}.$
注意到：

假设$P_0$知道$\chi ={\delta }_x{\lambda }_y+{\delta }_y{\lambda }_x-{\gamma }_{xy},$它就可以计算$m_z^{\ast }+\chi$并发送给$P_1$, 从而$P_1$可以验证$m_z$的正确性。$P_2$同理。
为了使得$P_0$获得$\chi$, 如果向$P_0$公开$\chi$，那么$P_0$会根据自己的信息推测出$m_x{m}_y$, 因此我们需要给$\chi$加上一个掩码${\delta }_z$, 即计算${\delta }_x{\lambda }_y+{\delta }_y{\lambda }_x+{\delta }_z-{\gamma }_{xy}$. 让$P_1,P_2$随机采样${\delta }_x,{\delta }_y,{\delta }_z$, 计算$[\chi {]}_{P_i}={\chi }_i$并发送给$P_0$, $P_0$相加得到$\chi$. 这里引入一个新问题，如果$P_1,P_2$有一个是恶意方，那么需要保证发送的$\chi$是正确的。
总结一下，我们遗留下来两个问题：1）当$P_0$作恶时，${\gamma }_{xy}\ne {\lambda }_x{\lambda }_y$; 2) 当$P_1$或$P_2$作恶时，$\chi$的不正确发送。我们可以用三元组解决这两个问题。令$a={\delta }_x-{\lambda }_y,b={\delta }_y-{\lambda }_y,c=({\delta }_z+{\delta }_x{\delta }_y)-\chi$。

$([[a]],[[b]],[[c]])$是一个三元组 ($c=ab$) 当且仅当$P_0$正确分享了${\gamma }_{xy}$并重构了$\chi$。这是因为：

Protocol ${\Pi }_{prc}$验证(a,b,c)是否是一个乘法三元组，其中(d,e,f)是一个有效的三元组。

完整协议

ML协议

点积

给定d为向量$\overrightarrow{p},\overrightarrow{q}$, 计算其点积$\overrightarrow{p}⨀\overrightarrow{q}$, 如果直接使用乘法协议，那么其通信复杂度与d线性相关，因此在离线阶段，$P_0$直接以$[\cdot ]-sharing$的形式分享${\gamma }_{pq}=\overrightarrow{{\lambda }_p}⨀\overrightarrow{{\lambda }_q}$， 而不是对每一维分享${\lambda }_{p_i}{\lambda }_{q_i}$. 在线阶段也不是分别重构每一维$m_{p_i{q}_i}$，而是每一方在本地求和计算，直接重构$m_u,u=\overrightarrow{p}⨀\overrightarrow{q}$.

比较

给定算数分享$[[u]],[[v]]$, 要比较$u,v$的大小，通用方法是计算$a=u-v$, 然后提取$a$的最高有效位$msb(a)$。我们利用$sign(a\cdot r)=sign(a)\oplus sign(r)$, 把对a的判断转换为对$ra$和$r$的符号位的判断。