安全多方计算新突破！阿里首次实现“公开可验证” 的安全方案

阿里妹导读：近日，阿里安全双子座实验室与马里兰大学等高校合作的论文《Covert  Security  with  Public  Verifiability:  Faster,  Leaner,  and  Simpler 》【1】被欧洲密码年会(Eurocrypt)2019接收。这是国内公司在安全多方计算领域的第一篇顶会论文（Eurocrypt2018只有3篇大陆作者论文，难度可见一斑）。

今天，我们邀请阿里高级安全专家鸿程，深入解读业界首个“公开可验证(PVC)” 的安全两方计算方案。

安全多方计算介绍

安全多方计算（  Secure  Multi-Party  Computation，MPC）于1986  年由姚期智院士提出【2】。安全多方计算协议允许多个数据所有者在互不信任的情况下进行协同计算，输出计算结果，并保证任何一方均无法得到除应得的计算结果之外的其他任何信息。换句话说，MPC技术可以获取数据使用价值，却不泄露原始数据内容。

互联网已经完成了从IT时代向DT时代的转变，数据已经成为DT时代企业的核心竞争力。数据作为一种新能源，只有流动起来才能产生价值。不过，大多数企业考虑到数据安全和个人隐私等问题，对数据共享都非常谨慎。而MPC对打破数据孤岛，实现数据的可控共享，具有重要的理论和现实意义。

MPC方案主要可分为基于混淆电路(Garbled  Circuit，GC)和基于秘密共享两种。本文主要关注GC类方案。

不经意传输(Oblivious  Transfer)

我们首先介绍一种基础的安全多方计算协议：不经意传输(Oblivious  Transfer,  OT)。    

来看一个例子：假设某旅行社拥有N个景点的旅游资料，小淘想去其中的A景点游玩，希望向旅行社购买相关资料做好出游功课。但是小淘非常在意自己的隐私，不希望向旅行社泄露自己的目的地是哪里。因此双方希望这笔交易能够满足以下隐私条件：

1.  小淘不希望向旅行社泄露“我准备去A景点”这一信息；
2.  旅行社只希望出售小淘出钱购买的那份资料，而不泄露小淘未购买的N-1份资料；

粗看起来这种隐私条件似乎是无法满足的：旅行社只要把景点A的资料给到小淘，就必然了解了“小淘正在关注A景点”这一信息；除非旅行社把所有N份资料都给出，但是这又违背了旅行社的利益；

但是神奇的OT可以让交易在这种“不可能的条件”下达成。简而言之，在OT协议中，旅行社把他拥有的N份资料使用某种双方协商同意的加密算法和参数进行加密，然后发送给小淘；小淘可以从密文中解密出A的资料，而无法解密出其他N-1份资料。

以下以N=2为例，基于Diffie-Hellman密钥交换协议，给出一种1  of  2  OT实现方法的非正式描述；其中S（Sender）=旅行社，R（Receiver）=小淘，S拥有两份资料，R希望取得其中的；

1.  S秘密生成随机数a;  R秘密生成随机数b；
2.  S将发送给R;  R将