混淆电路——混淆电路原理

混淆电路原理

在我们前两章讲过混淆电路的基础知识——不经意传输&转换逻辑电路以后，我们就可以将这两种技术合并在一起，用作我们的混淆电路的设置。
我们还是以百万富翁问题为例，在上一章我们已经将比较大小函数转换成逻辑电路了，然后我们还需要处理在电路运行的过程中存在的信息泄漏问题，我们需要将电路的每一条线路进行标记，如下图所示。

然后就开始我们混淆电路的过程：
我们混淆电路分成四个部分：
Step 1: Alice 生成混淆电路
Step 2: Alice 和 Bob 进行通信
Step 3: Bob evaluate 生成的混淆电路
Step 4: 分享结果

Step 1: Alice 生成混淆电路

首先，Alice 基于上述电路生成对应的混淆电路。生成过程主要分四步。
第一步，Alice对电路中的每一线路进行标注。如上图所示，Alice一共标注了七条线路，包括模块的输入输出$W_{a_0},W_{b_0},W_{c_0},W_{c_1}$，和模块内的中间结果$W_d,W_e,W_f$ 。对于每一条线路$W_i$ ，Alice生成两个长度为$k$的字符串$X_i^0,X_i^1$ 。这两个字符串分别对应逻辑上的0和1。这些生成的标注会在 Step 2 有选择性地发给Bob，但Bob并不知道$X_i^0,X_i^1$对应的逻辑值。
第二步，Alice 对电路中的每一个逻辑门的Truth Table用$X_i^0,X_i^1$进行替换，由$X_i^0$替换0，由$X_i^1$替换1。比如电路图中左上方的XOR门的输入是$a_0,c_0$，输出是$d$，对应的Truth Table可以做如下转换。

$a_0$	$c_0$	$d$
0	0	0
0	1	1
1	0	1
1	1	0

转换为

$a_0$	$c_0$	$d$
$X_{a_0}^0$	$X_{c_0}^0$	$X_d^0$
$X_{a_0}^0$	$X_{c_0}^1$	$X_d^1$
$X_{a_0}^1$	$X_{c_0}^0$	$X_d^1$
$X_{a_0}^1$	$X_{c_0}^1$	$X_d^0$

第三步，Alice对每一个替换后的 Truth Table 的输出进行两次对称加密，加密的密钥是Truth Table对应行的两个输入。比如Truth Table的第一行是$X_{a_0}^0,X_{c_0}^0,X_d^0$，我们就用$X_{a_0}^0,X_{c_0}^0$加密$X_d^0$生成$En{c}_{X_{a_0}^0,X_{c_0}^0}(X_d^0)$。
第四步，Alice 对第三步加密过后的Truth Table的行打乱得到Garbled Table。所以 Garbled Table 的内容和行号就无关了，混淆电路的混淆二字便来源于这次打乱。
表格进一步变为：

$En{c}_{X_{a_0}^0,X_{c_0}^0}(X_d^0)$
$En{c}_{X_{a_0}^0,X_{c_0}^1}(X_d^1)$
$En{c}_{X_{a_0}^1,X_{c_0}^0}(X_d^1)$
$En{c}_{X_{a_0}^1,X_{c_0}^1}(X_d^0)$

Step 2: Alice 和 Bob 通信

第一步，Alice将她的输入对应的字符串发送给Bob。比如$a_0=1$，那Alice会发送$X_{a_0}^1$给Bob。由于Bob不知道$X_{a_0}^1$对应的逻辑值，也就无从知晓Alice的秘密了。
第二步，Bob通过不经意传输协议从Alice获得他的输入对应的字符串。不经意传输保证了Bob在 { X b 0 0 , X b 0 1 } \{X_{b_0}^0,X_{b_0}^1\} {Xb0​0​,Xb0​1​}中获得一个，且Alice不知道Bob获得了哪一个。所以Alice也就无从知晓 Bob 的$b_0$了。
最后，Alice 将所有逻辑门的 Garbled Table 都发给 Bob。在这个例子中，一共有四个 Garbled Table。

Step 3: Bob evaluate 生成的混淆电路

Alice和Bob通信完成之后，Bob便开始沿着电路进行解密。
因为 Bob 拥有所有输入的标签和所有 Garbled Table，他可以逐一对每个逻辑门的输出进行解密。在这个例子中，假设 Bob 拥有的输入标签为$X_{a_0}^1,X_{b_0}^1,X_{c_0}^0$ 。他可以

1. 对于电路图左上方的XOR，用$X_{a_0}^1,X_{c_0}^0$解密获得$X_d^1$
2. 对于电路图左下方的XOR，用$X_{b_0}^1,X_{c_0}^0$解密获得$X_e^1$
3. 对于电路图中间的AND，用$X_d^1,X_e^1$解密获得$X_f^1$
4. 对于电路图右侧的XOR，用$X_{a_0}^1,X_f^1$解密获得$X_{c_1}^0$

值得注意的是，由于Garbled Table每一行的密钥都不同，所以 Bob 只能解密其中一行。而且 Bob 并不知道解密出来的$X_d^1,X_e^1,X_f^1,X_{c_1}^0$对应的逻辑值，也就无从获得更多信息了。而 Alice 全程不参与 Bob 的解密过程，所以也如法获得更多信息。
（这里在学习的时候产生了一个疑惑，Garbled Table有4行，并且都是打乱顺序，Bob怎么知道解密出来的一定是正确的呢，后来经过思考，我们可以在设置字符串$X_i^0,X_i^1$时，可以在字符串后面加入若干个0，作为解密正确的标志，所以每次在解密的时候，就可以通过这个标志知道是否解密正确。现在主流用的是Point-and-permute的方法减少时间复杂度）

Step 4: 共享结果

最后Alice和Bob共享结果。Alice分享 { X c 1 0 , X c 1 1 } \{X_{c_1}^0,X_{c_1}^1\} {Xc1​0​,Xc1​1​}或者Bob分享$X_{c_1}^0$，双方就能获得电路输出的逻辑值了。