【隐私计算】算术秘密分享的加法和乘法运算（Beaver Triple预处理）

Mr.zwX

已于 2023-12-05 22:44:16 修改

阅读量1.6k

点赞数 27

分类专栏：隐私计算及密码学基础文章标签：密码学机器学习

于 2023-11-29 22:55:51 首次发布

本文链接：https://blog.csdn.net/qq_16763983/article/details/134699295

版权

隐私计算及密码学基础专栏收录该内容

15 篇文章 12 订阅

订阅专栏

在安全多方计算中（MPC）中，算术秘密分享是最基础的机制。一直有在接触，但是一直没有整理清楚最基础的加法和乘法计算流程。该笔记主要来源于ABY中的内容，写得非常清晰。

算术秘密分享

概念： 一个位宽为 $l$ -bit的数 $x$ ，被拆分为两个在 $\mathbb{Z}_{2^l}$ 环上的数之和。
形式化描述： 对于一个位宽为 $l$ -bit的数 $x$ ，其算术秘密分享是 $\langle x\rangle^A$ ，则满足 $\equiv \langle x\rangle^A_0+\langle x\rangle^A_1~\mathrm{mod}~2^l$ ，其中， $\langle x\rangle^A_0, \langle x\rangle^A_1 \in \mathbb{Z}_{2^l}$ 。
Share（分享）算法
$P_i$ 生成随机数 $r\in_R\mathbb{Z}_{2^l}$ ，令 $\langle x \rangle^A_i=x-r$ 作为自己的share，并将随机数 $r$ 发给另一方 $P_{1-i}$ ，即 $\langle x \rangle^A_{1-i}=r$ 。
Reconstruct（重构）算法
$P_{1-i}$ 将自己的share发给 $P_i$ ，然后 $P_i$ 计算 $x=\langle x\rangle^A_0+\langle x\rangle^A_1$ 重构真实的 $x$ 值。

算术秘密分享的加法

加法非常简单，两方在本地直接计算share的加法，即满足真实值的加法。
当计算 $z = x + y$ 时， $P_i$ 在本地计算 $\langle z\rangle^A_i=\langle x\rangle^A_i+\langle y\rangle^A_i$ 。
本地可加性很好证明， $P_0$ 计算 $\langle z\rangle^A_0=\langle x\rangle^A_0+\langle y\rangle^A_0$ ，同时 $P_1$ 计算 $\langle z\rangle^A_1=\langle x\rangle^A_1+\langle y\rangle^A_1$ ，于是， $\langle z\rangle^A_0+\langle z\rangle^A_1=\langle x\rangle^A_0+\langle y\rangle^A_0+\langle x\rangle^A_1+\langle y\rangle^A_1=x+y$ ，因此成立。
因此，在MPC中，秘密分享的加法只需简单的本地加法，不会引入任何通信开销。

算术秘密分享的乘法

相比于加法，乘法则复杂很多，需要依靠双方的通信来实现。
当计算 $z=x\cdot y$ 时，需要依赖预处理阶段生成的乘法三元组（Beaver Triple）： $c=a\cdot b$ ，注意 $a, b, c$ 均与真实的输入 $x, y$ 无关。
下面是基于Beaver Triple计算秘密分享乘法的流程：

$P_i$ 本地计算 $\langle e\rangle^A_i=\langle x\rangle^A_i-\langle a\rangle^A_i$ 和 $\langle f\rangle^A_i=\langle y\rangle^A_i-\langle b\rangle^A_i$ ；
双方共同计算（重构）出 $e=\langle e\rangle^A_0+\langle e\rangle^A_1=x-a$ 和 $f=\langle f\rangle^A_0+\langle f\rangle^A_1=y-b$ ；
$P_i$ 本地计算 $\langle z\rangle^A_i=i\cdot e\cdot f+f\cdot \langle a\rangle^A_i+e\cdot \langle b\rangle^A_i+\langle c\rangle^A_i$ ；
最后，重构输出 $z=\langle z\rangle^A_0+\langle z\rangle^A_1$ 。

证明：
$\langle z\rangle^A_0=f\cdot \langle a\rangle^A_0+e\cdot \langle b\rangle^A_0+\langle c\rangle^A_0$
$\langle z\rangle^A_1=e\cdot f+f\cdot \langle a\rangle^A_1+e\cdot \langle b\rangle^A_1+\langle c\rangle^A_1$
$z=\langle z\rangle^A_0+\langle z\rangle^A_1\\~~~=e\cdot f+a\cdot f+e\cdot b+c\\~~~=(x-a)(y-b)+a(y-b)+(x-a)b+c\\~~~=xy-bx-ay+ab+ay-ab+bx-ab+ab\\~~~=xy$ ，
故成立。

Beaver Triple的生成

上面已经介绍了基于Beaver Triple计算乘法的流程，但是需要注意， $c = ab$ 也是秘密分享的形式：
$c=ab\\~~~=(\langle a\rangle^A_0+\langle a\rangle^A_1)(\langle b\rangle^A_0+\langle b\rangle^A_1)\\~~~=\langle a\rangle^A_0 \langle b\rangle^A_0+\langle a\rangle^A_1 \langle b\rangle^A_1+\langle a\rangle^A_0\langle b\rangle^A_1+\langle a\rangle^A_1\langle b\rangle^A_0$
可以看到，第一项 $\langle a\rangle^A_0 \langle b\rangle^A_0$ 和第二项 $\langle a\rangle^A_1 \langle b\rangle^A_1$ 均可以在 $P_0, P_1$ 本地计算，因此无需通信。而重点就在于后两项 $\langle a\rangle^A_0\langle b\rangle^A_1, \langle a\rangle^A_1\langle b\rangle^A_0$ ，两个share分别在两方，因此必然引入通信，通常我们将这两项称作“交叉项”或CrossTerm。
那么，Beaver Triple的生成，本质上也就是解决交叉项计算的问题。下面介绍两种常用的计算方式：

基于同态加密（HE）的Beaver Triple生成
流程如下：

$P_0$ 将 $Enc(\langle a\rangle^A_0)$ 和 $Enc(\langle b\rangle^A_0)$ 发给 $P_1$ ；
$P_1$ 生成一个随机数 $r$ ，计算 $d=Enc(\langle a\rangle^A_0)^{\langle b\rangle^A_1} \times Enc(\langle b\rangle^A_0)^{\langle a\rangle^A_1} \times Enc(r)$ ，然后将 $d$ 发给 $P_0$ ；
$P_0$ 计算 $\langle c\rangle^A_0=\langle a\rangle^A_0+\langle b\rangle^A_0+Dec(d)=\langle a\rangle^A_0\langle b\rangle^A_0+\langle a\rangle^A_0 \langle b\rangle^A_1+\langle a\rangle^A_1 \langle b\rangle^A_0+r$ ；
$P_1$ 计算 $\langle c\rangle^A_1=\langle a\rangle^A_1\langle b\rangle^A_1-r$ 。

证明：
$c=\langle c\rangle^A_0+\langle c\rangle^A_1\\~~~=\langle a\rangle^A_0 \langle b\rangle^A_0+\langle a\rangle^A_1 \langle b\rangle^A_1+\langle a\rangle^A_0\langle b\rangle^A_1+\langle a\rangle^A_1\langle b\rangle^A_0\\~~~=ab$ ，
故成立。

如上采用的加密算法Enc是Pailler同态加密算法，其同态性如下：

明文加法 <=> 密文乘法；
明文乘法 <=> 密文指数幂

因此在上面流程的第3步中Dec(d)时才会将乘法转成加法，指数幂转成乘法。关于背后的原理参考我的另一篇博客：【密码学基础】半/全同态加密算法基础学习笔记

基于不经意传输（OT）的Beaver Triple生成
另一种常用的方式是基于COT（相关性不经意传输）的方式。
下面是计算交叉项 $\langle a\rangle^A_0\langle b\rangle^A_1$ 的流程：

在 $P_0, P_1$ 之间建立COT协议通信，其中 $P_0$ 作为发送方， $P_1$ 作为接收方；
在第 $i$ 轮的COT通信中：
- $P_1$ 输入 $\langle b\rangle^A_1[i]$ 作为自己的选择比特， $P_0$ 输入相关性函数 $f_{\Delta_i}(x)=(\langle a\rangle^A_0 \cdot 2^i - x)~\mathrm{mod}~2^l$
- $P_0$ 获得消息对 $s_{i, 0}, s_{i, 1})$ ，其中， $s_{i, 0}\in _R\mathbb{Z}_{2^l}$ ， $s_{i, 1}=f_{\Delta_i}(s_{i, 0})=(\langle a\rangle^A_0 \cdot 2^i - s_{i, 0})~\mathrm{mod}~2^l$ ； $P_1$ 获得 $s_{i, \langle b\rangle^A_1[i]}=(\langle b\rangle^A_1[i]\cdot \langle a\rangle^A_0 \cdot 2^i - s_{i, 0})~\mathrm{mod}~2^l$ ；
- $\langle u\rangle^A_0=(\sum_{i=0}^{l-1}s_{i, 0})~\mathrm{mod}~2^l$ , $\langle u\rangle^A_1=(\sum_{i=0}^{l-1} s_{i, \langle b\rangle^A_1[i]})~\mathrm{mod}~2^l$

证明：
$\langle a\rangle^A_0 \langle b\rangle^A_1=\langle u\rangle^A_0+\langle u\rangle^A_1\\~~~~~~~~~~~~~~~~=\sum_{i=0}^{l-1}s_{i, 0}+\sum_{i=0}^{l-1} s_{i, \langle b\rangle^A_1[i]}\\~~~~~~~~~~~~~~~~=\sum_{i=0}^{l-1}(s_{i, 0}+\langle b\rangle^A_1[i]\cdot \langle a\rangle^A_0 \cdot 2^i - s_{i, 0})\\~~~~~~~~~~~~~~~~=\sum_{i=0}^{l-1}(\langle b\rangle^A_1[i]\cdot \langle a\rangle^A_0 \cdot 2^i)$
注：到这一步已经非常直观了，其实就是在二进制中做乘法，一个数的每一位去乘另一个数，然后移位（乘上对应位的2的幂次）累加（对每一位的乘法结果求和）。

举例：
假设 $\langle a\rangle^A_0=3, \langle b\rangle^A_1=5=(101)_2$ ，于是：

$\langle a\rangle^A_0 \langle b\rangle^A_1=\langle u\rangle^A_0+\langle u\rangle^A_1\\~~~~~~~~~~~~~~~~=\sum_{i=1}^{l-1} (s_{i, 0}+s_{i, \langle b\rangle^A_1[i]})\\~~~~~~~~~~~~~~~~=\sum_{i=1}^{l-1} (s_{i, 0}+\langle b\rangle^A_1[i]\cdot \langle a\rangle^A_0 \cdot 2^i - s_{i, 0})\\~~~~~~~~~~~~~~~~=\sum_{i=1}^{l-1}(\langle b\rangle^A_1[i]\cdot \langle a\rangle^A_0 \cdot 2^i)\\~~~~~~~~~~~~~~~~=1\cdot 3 \cdot 2^0+0 \cdot 3\cdot 2^1+1\cdot 3\cdot 2^2\\~~~~~~~~~~~~~~~~=3+0+12\\~~~~~~~~~~~~~~~~=15$ ，
故计算正确。