安全多方计算

安全多方计算

Lecture 1 安全多方计算（MPC）的基本概念及基础组件 —— 冯登国院士_哔哩哔哩_bilibili

安全多方计算定义与应用

安全多多方计算起源于姚启智教授于1982年在论文《Protocols for Secure computation》中以百万富翁问题(两个百万富翁A和B想知道他们两个谁更富有,但他们都不想让对方及其第三方指导自己财富的任何信息)提出。

Fairplay首个MPC实现. 实现了半诚实安全(姚启智提出的两方安全计算协议),使学术界和工业界看到MPC协议是可实现的,可用于解决实际问题,04年之后随着大数据时代的到来,数据隐私计算的驱动,大量MPC的故作致力于实际高效设计,不断提高MPC协议的性能,推动MPC协议的实际应用。

随着数据安全法和个人信息保护法的颁布，并且数据价值和企业经济利益，使数据形成一座座孤岛，数据流通难以实现。
MPC能打破数据孤岛，实现数据流通，保护数据隐私，并在诸多领域发现实际应用。

安全多方分类

MPC 协议需要满足隐私性 (privacy) 和正确性 (correctness) 两个基本安全属性.

(1) 敌手行为

半诚实敌手：按照协议描述执行，但试图从协议记录中获取信息
恶意敌手：可以执行任何攻击，发送任意的消息

(2) 腐化数量（腐化门限t）

不诚实大多数情况, 其中 n/2 ⩽ t < n (大部分 MPC 协议考虑 t = n − 1);
诚实大多数情况, 其中 t < n/2 (即允许严格少于一半数量的参与方被敌手腐化).

(3) 输出的可达性

中止安全：腐化实体获得输出后，介意阻止诚实实体获得输出
公平性: 要么腐化实体和诚实实体均获得输出,要么他们均没有输出
保证输出传送: 所有城市实体总是获得输出

(4) 计算模型

布尔电路: 由AND,XOR,NOT等逻辑门组成
算术电路: 由AND,MULT等运算组成,通常定义在域$\mathbb{F}$上或环${\mathbb{Z}}_{2^k}$(即$mod{2}^k$)上
RAM程序: 由read,wrire等指令组成的程序

[!tip] 注意
大部分MPC协议考虑布尔电路模型或算术电路模型
目前,只有少数MPC协议针对RAM计算模型设计,适合于输入为数据库的引用场景

(5) 敌手计算能力(计算资源)

概率多项式时间(PPT):任意PPT敌手不能打破协议安全性
无限性计算能力(信息论安全或无条件安全): 即使用无限计算能力的敌手也不能打破协议安全性(抵抗量子计算机攻击)

信息论安全MPC协议需要再诚实大多数模型下设计

(6) 腐化策略

静态腐化: 在协议运行前,敌手决定腐化(Corrupt)哪些实体
自适应腐化:在协议运行过程中,敌手能自适应决定腐化哪些实体

目前, 高效的 MPC 协议设计主要考 虑的是静态腐化, 而满足自适应腐化安全性的 MPC 协议通常效率较低

(7) 网络模型

同步网络模型: 同一个交互轮的信息在固定延时$\Delta$ 内一定到达
异步网络模型: 没有要求同步时钟,也没有要求预先固定的网络延时,更加现实的网络假设(通常要求$t<n/3$)

已知高效的MPC协议均考虑同步网络模型

MPC 基本设计方法

秘密分享:具有较低的通信宽带,但轮数复杂度为O(d),适用于低延迟网络(局域网),其中d代表电路深度

混淆电路:轮数复杂度为O(1),但需要较高通信带宽,适用于高延迟网络(广域网)

在恶意敌手模型下, 一系列研究工作也将秘密分享方法 融合到基于混淆电路的常数轮 MPC 协议中以获得更高效率

MPC基础组件

线性秘密分享

$(n,t)$门限线性秘密分享

LSSS主要由三个算法组成:分享算法,重构算法和打开算法
分享算法$[x]\leftarrow Share(x)$:$P_i$获得份额$x^i$,其中共有$n$个参与方$P_1,\dots ,P_n$
重构算法$[x]\leftarrow Rec(x)$:$P_i$获得秘密值$x$(要求至少$t+1$个份额)
打开算法$[x]\leftarrow Open(x)$:所有参与方获得$x$

• 给定 [x] 和 [y], 本地计算 [z] = [x] + [y] 满足 z = x + y.
• 给定 [x] 和公开已知的常数 c ∈ F, 本地计算 [y] = [x] + c 满足 y = x + c.
• 给定 [x] 和公开已知的常数 c ∈ F, 本地计算 [y] = c · [x] 满足 y = c · x.
• 应用于MPC协议设计中,加法等线性们是free(即无需通信)

加法秘密分享

主要用在不诚实大多数MPC协议中(t=n-1)
$x=x^1+x^2+\cdots +x^n,x\in \mathbb{F}$,其中$x$为秘密(secret),$x^i$为份额(share)

重复秘密分享

主要用在诚实大多数MPC协议中(t<n/2,n较小);以n=3,t=1为例
$x=x^1+x^2+\cdots +x^n,x\in \mathbb{F}$:$P_1$持有$(x^2,x^3)$,$P_2$持有$(x^1,x^3)$,$P_3$持有$(x^1,x^2)$,

复制秘密分 享主要用在参与方数量 n 比较小的情况, 因为复制秘密分享方案要求每方存储 $\left(\genfrac{}{}{0ex}{}{n-1}{t}\right)$ 个分享

Shamir秘密分享及推广

主要用在诚实大多数MPC协议中($t+1\le (n+1)/2$)
$x=f(0),x^i=f(a_i)$,其中f为次数t的随机多项式,${\alpha }_1,\dots ,{\alpha }_n{\alpha }_i\in \mathbb{F}$为不同的非零域元素
推广形式(打包秘密分享,packed secret sharing):$x_i=f({\beta }_i),x^i=f(a_i),$一个多项式分享k个秘密$x_{,}\dots ,x_n$,其中${\beta }_1,\dots ,{\beta }_k$,${\alpha }_1,\dots ,{\alpha }_n\in \mathbb{F}$为不同的域元素(更小的腐化门限$t+k\le (n+1)/2$)

三种秘密分享的共性
均满足线性性质(加法同态性),均可用于设计高效的MPC协议

三种秘密分享的区别

• 针对恶意敌手,加法秘密分享需要结合信息论消息认证码(IT-MAC)实现秘密的认证,Shamir及重复秘密分享直接保证了秘密的认证(由于大部分实体是诚实的,重构需要t+1/n个分享)
• 重复秘密分享适合于少量参与方(分享尺寸与参与方数量指标成指数关系,例如:3-9个参与方),Shamir秘密分享适合与大量参与方

秘密重构$Rec([x],i)$
$P_i$从安全通道收到$x$的分享$[x]$(记$[x]$为秘密$x$的分享)

• 加法秘密分享:$x={\sum }_{i=1}^n{x}^i$(认证性: 用IT-MAC验证)
• Shamir秘密分享:拉格朗日差值方法计算$x=f(0)$(认证性: 验证所有分享落在多项式f上)
• 重复秘密分享:$x=x^1+x^2+x^3$(认证性:验证分享的一致性)

信息论消息认证码(IT-MAC)

BDOZ[^bdoz]
SPDZ¹

零知识证明

零知识证明

混淆电路

承诺方案

承诺方案是零知识证明协议的关键组件之一。承诺协议将需要被承诺的元素x打包为承诺$C$,还有一个打开算法用于验证$C$和$x$的关系(即$C$由$x$承诺所得)。承诺通常需要具备以下两个性质
（1）隐藏性： 通过承诺C无法得知关于被承诺元素x的任何信息。根据敌手的计算能力又可分为完美隐藏性和计算隐藏性
（2）绑定性： 对与一个承诺$C$,敌手难以找到一个不同于$x$的被承诺元素$x^{\prime }$,使得打开算法也能通过验证。根据敌手的计算能力又可分为完美绑定性和计算绑定性。

投币(coin-tossing)协议

多个参与方共同生成一个随机数r
不诚实参与方(即使合谋)不能控制随机数,使其偏离既定分布

不诚实发多数MPC协议采用投币协议,诚实大多数MPC协议一般使用秘密分享方案

同态加密(HE)

当前同态加密的分类:
全同态加密(FHE):$f$为任意电路(包括乘法、加法等运算)
层级同态加密(Leveled FHE): $f$为指定深度的任意电路
类同态加密(SHE):$f$为深度浅的任意电路
加法同态加密(AHE):$f$为只包括加法等线性操作的电路

不经意传输及其算术变形

不经意传输协议作为基础密码组件,OT允许发送发$P_S$输入两个消息$m_0$和$m_1$接受方$P_R$输入一个选择比特 b ∈ { 0 , 1 } b\in\{0,1\} b∈{0,1},使得$P_R$仅能获得$m_b$而对$m_{1-b}$完全未知,同时$P_S$不能获得比特$b$的任何信息。作为OT的一类重要变形，COT要求输入消息$m_0$和$m_1$满足一个固定的相关性$\Delta$,即$m_0\oplus m_1=\Delta$。从向量角度可以这样理解：COT协议输出$(v,\Delta )$给$P_S$,输出$(w,u)$给$P_R$,满足 w = v + u ⋅ Δ ∈ { 0 , 1 } k w=v+u\cdot\Delta\in\{0,1\}^k w=v+u⋅Δ∈{0,1}k和 u ∈ { 0 , 1 } u\in\{0,1\} u∈{0,1}

OT依赖于公钥密码组件[c:IR88]
OT能基于不同困难假设构造

基于OT协议: Naor-Pinkas协议
Naor-Pinkas讲解

<span注意span> 不经意传输需要公钥密码操作,与堆成密码操作相比,计算效率低,然而MPC协议需要大量的OTs(如亿级数量),使得基于公钥操作的OT协议效率过低

提出不经意传输扩展可用于解决需要大量OTs的问题

名词扫盲

随机预言机
循环群生成元
困难问题LPN/DCR/DDH

参考文献

---

1. Multiparty computation from somewhat homomorphic encryption ↩︎