PSI相关论文笔记-Privacy-Preserving Set Operations

Privacy-Preserving Set Operations 笔记

• year: 2005
• Authors: Lea Kissner and Dawn Song
• Conference: CRYPTO

---

一、主要贡献

本文作者通过多项式性质为关于在多方数据集合进行隐私保护操作提供了一个框架，该框架可以进行高性能、安全的联合、相交、删除元素的操作。

二、预备知识

2.1 敌手模型

• Honest-But-Curious Adversaries: 在该模型中，攻击者会诚实执行协议中预定动作，但期望从计算结果中推测出其他参与方的隐私信息。
• Malicious Adversaries: 在该模型中，攻击者可能会随意输入数据、拒绝参与协议或过早终止协议。

2.2 加法同态密码系统

本文将使用具有语义安全的支持加法操作的公钥同态密码系统，令$E_{pk}(\cdot )$代表利用$pk$进行加密操作。该密码系统具有在无需私钥情况下的操作：(1)给定$a,b$的密文$E_{pk}(a),E_{pk}(b)$,可以计算两者和，即$E_{pk}(a+b)=E_{pk}(a)+E_{pk}(b)$; （2）给定密文$E_{pk}(a)$和常数$c$，支持两者相乘操作，即$E_{pk}(c\cdot a):=c{\times }_h{E}_{pk}(a)$；（3）该密码系统需要支持(n,n)-门限解密，即私钥被隔成$n$份，只有所有的分割密钥结合在一起才可进行解密操作。另外，所有操作执行时所得密文需要被重新随机化。

目前，Paillier密码方案可满足上述要求。

三、方案技术

问题设定：

• 假定参与者$i$的隐私输入数据为$S_i$，且$|S_i|=k(i\le k\le n)$，集合$i$中的第$j$个元素用符号$(S_i{)}_j$表示，所有集合所在区域为$P,(\forall i\in [n],\forall j\in [k],(S_i{)}_j\in P$
• 令$R$代表明文领域$Dom(E_{pk}(\cdot ))$(Paillier中,$R$为$Z_N$)。$R$需要足够大从而使得在$R$中随机选择的数据$a$存在可忽略的概率属于$P$，$a\in P$。一个元素$a$属于$P$需要满足以下情况$b=a||h(a)\in P$,$h(\cdot )$代表着哈希函数。

3.1 多项式环以及多项式表示集合

多项式环$R[x]$代表着系数来自$R$的所有组合的多项式令$f,g\in R[x]$。

• 即$f(x)={\sum }_{i=0}^{deg(f)}f[i]x^i$,$f[i]$代表$x^i$的对应系数。
• $f+g$代表多项式$f$和$g$相加。
• $f\ast g$代表多项式$f$和$g$相乘
• $f^{(d)}$代表多项式$f$的第$d$次求导，求导完整表达式为${\sum }_{i=0}^{deg(f)-1}(i+1)f[i+1]x^i$.

---

多项式表达集合：

给定多重集合 S = { S j } 1 ≤ j ≤ k S=\{S_j\}_{1\le j \le k} S={Sj​}1≤j≤k​，构造相应多项式$f\in R[x],f(x)={\prod }_{1\le j\le k}(x-S_j)=(x-S_1)\cdot \cdot \cdot (x-S_k)$。当给定多项式$f\in R[x]$，可以通过该多项式$f$构造多重集合$S$元素，若某满足条件(1)$f(a)=0$; (2)$a\in P$。

四、具有隐私保护的集合操作

令$f,g$为多重集合$S,T$的多项式表达方式，之后利用该多项式进行union, intersection, element reduction。

4.1 Union

联合运算用符号$S\cup T$表示元素$a$在$S$中出现的次数$b_S\ge 0$和在$T$中出现的次数$b_T\ge 0$，那么联合结果中出现的次数为$b_S+b_T$。$f\ast g$ 为$S\cup T$结果的多项式表现形式,原因如下：

• 所有$S$和$T$中元素满足$(f(a)=0)\wedge (g(b)=0)\to ((f\ast g)(a)=0)\wedge ((f\ast g)(b)=0)$
• $f(a)=0\iff (x-a)|f$，如果重复元素则满足:$(f(a)=0)\wedge (g(a)=0)\to (x-a{)}^2|(f\ast g)$

4.2 Intersection

相交运算用符号$S\cap T$表示，具体来说结果中的元素$a$ 存在$b_S>0$且$b_T>0$,在结果中呈现的次数为 m i n { b S , b T } min\{b_S,b_T\} min{bS​,bT​}。令$S,T$两个多重集合大小相同，$f,g$分别为其多项式表现形式。$f\ast r+g\ast s$为最后$S\cap T$的结果形式，其中$r,s\leftarrow R^{deg(f)}[x]$,$R^b[x]$代表着次数从$0$至$b$的所有多项式，且这些多项式系数从$R$中均匀随机选择。即$r={\sum }_{i=0}^{\beta }r[i]x^i,s={\sum }_{i=0}^{\beta }s[i]x^i$，${\forall }_{0\le i\le \beta }r[i]\leftarrow R,{\forall }_{0\le i\le \beta }s[i]\leftarrow R$.该结果可通过如下引理所得：

① 引理一：令$\hat{f},\hat{g}$为$R[x]$中多项式，$R$为环，$deg(\hat{f})=deg(\hat{g})=\alpha$且$gcd(\hat{f},\hat{g})=1$,令$r={\sum }_{i=0}^{\beta }r[i]x^i,s={\sum }_{i=0}^{\beta }s[i]x^i,,{\forall }_{0\le i\le \beta }r[i]\leftarrow R,{\forall }_{0\le i\le \beta }s[i]\leftarrow R,\beta \ge \alpha$. 令$\hat{u}=\hat{f}\ast r+\hat{g}\ast s={\sum }_{i=0}^{\alpha +\beta }u[i]x^i$,${\forall }_{0\le i\le \alpha +\beta }\hat{u}[i]$ 均匀且独立分布于$R$。

通过该引理，$f\ast r+g\ast s=gcd(f,g)\ast u$,其中$u$均匀分布于$R^{\gamma }[x],\gamma =2deg(f)-|S\cap T|$。若$a$在$S\cap T$中出现${\ell }_a$次时，那么该元素满足(1)$a$是$gcd(f,g)$的一个根;(2)$(x-q{)}^{{\ell }_a}|gcd(f,g)$.另外，由于$u$独立均匀于$R^{\gamma }[x]$,那么以忽略概率出现$u$的根属于$P$。因此，$S\cap T$的结果呈现方式便是$f\ast g+g\ast s$。

4.3 Element Reduction

减少操作用符号$R{d}_d(S)$表示：对于在$S$中出现了$b$次的元素$a$要减少$d$次，在结果多重集合中最多出现 m a x { b − d , 0 } max\{b-d,0\} max{b−d,0}次，$R{d}_d(S)$的表现形式为$f^{(d)}\ast F\ast r+f\ast s$，其中$r,s\leftarrow R^{deg(f)}[x]$，$F$是次数为$d$的任意多项式，如${\forall }_{a\in P}F(a)\ne 0$.

② 引理二： 令$f\in R[x]$，其中$R$为一个环，$d>1$

• 若$(x-a{)}^{d+1}|f$，则$(x-a)|f^{(d)}$
• 若$(x-a)|f$ 且 $(x-a{)}^{d+1}\nmid f$，则$(x-a)\nmid f^{(d)}$

通过该引理以及$gcd(F,f)=1$，当且仅当元素$a$在$R{d}_d(S)$中出现${\ell }_a$次时才满足以下情况(1)$a$为$gcd(f^{(d)},f)$的某个根；（2）$(x-a{)}^{{\ell }_a}|gcd(f^{(d)},f)$。此外，根据引理一得到，$f^{(d)}\ast F\ast r+f\ast s=gcd(f^{(d)},f)\ast u$，其中$u$独立分布于$R^{\gamma }[x],\gamma =2k-|R{d}_d(S)|$。由于$u$中的根以可忽略的概率存在于$P$，因此$f^{(d)}\ast F\ast r+f\ast s$便是$R{d}_d(S)$的多项式表达形式。

4.4 Operations with Encrypted Polynomials

下面将讨论针对加密多项式的操作，首先用符号$E_{pk}(f)$代表多项式$f$系数经过加法同态函数加密后的形式:$E_{pk}(f[]),\cdot \cdot \cdot ,E_{pk}(f[def(f)])$。令$f_1,f_2,g$代表$R[x]$中的多项式，$f_1(x)={\sum }_{i=0}^{deg(f_1)}{f}_1[i]x^i,f_2(x)={\sum }_{i=0}^{deg(f_2)}{f}_2[i]x^i,g(x)={\sum }_{i=0}^{deg(g)}g[i]x^i$。令$a,b\in R$，利用多项式性质可在无需私钥情况下对密文多项式执行以下操作：

• Sum of encrypted polynomials：给定多项式$f_1,f_2$的加密系数，可通过 E p k ( g [ i ] ) : = E p k ( f 1 [ i ] ) + h E p k ( f 2 [ i ] ) ( 0 ≤ i ≤ m a x { d e g ( f 1 ) , d e g ( f 2 ) } ) E_{pk}(g[i]):=E_{pk}(f_1[i])+_h E_{pk}(f_2[i])(0\le i \le max\{deg(f_1),deg(f_2)\}) Epk​(g[i]):=Epk​(f1​[i])+h​Epk​(f2​[i])(0≤i≤max{deg(f1​),deg(f2​)})计算$g:=f_1+f_2$。
• Product of an unencrypted polynomial and an encrypted polynomial: 给定系数非加密的多项式$f_2$以及系数加密的多项式$f_1$，可以通过$E_{pk}(g[i]):=(f_2[0]{\times }_h{E}_{pk}(f_1[i])){+}_h\cdot \cdot \cdot {+}_h(f_2[i]{\times }_h{E}_{pk}(f_1[0]))(0\le i\le deg(f_1)+deg(f_2))$来计算两者乘积，$g:=f_1\ast f_2(f_1{\ast }_h{E}_{pk}(f_1))$。
• Derivative of an encrypted polynomial:给定一个系数为密文的多项式$f_1$，可通过计算每个加密系数$E_{pk}(g[i]):=(i+1){\times }_h{E}_{pk}(f_1[i+1])(0\le i\le deg(f_1)-1)$来计算$g:=\frac{d}{dx}{f}_1$。
• Evaluation of an encrypted polynomial at an unencrypted point:给定一个系数加密的多项式$f_1$，可通过计算$E_{pk}(a)=(b^0{\times }_h{E}_{pk}(f_1[0])){+}_h\cdot \cdot \cdot {+}_h(b^{deg(f)}{\times }_h{E}_{pk}(f_1[deg(f_1)]))$求得$a:=f_1(b)$。

五、应用一：Private Set-Intersection

问题定义：假设存在n方，每一方输入数据为$S_i(1\le i\le n),|S_i|=k$。$Set-Intersectionproblem$ 定义如下：所有参与者能够获得输入数据求交后的结果但无法得到其他任何信息，即得到$S_1\cap S_2\cap \cdot \cdot \cdot \cap S_n$。

5.1 Set-Intersection Protocol for honest-but-curious Adversary

• 其中第4步中推出来好像是错误的，我认为应该是
  KaTeX parse error: Undefined control sequence: \matrix at position 5: p= \̲m̲a̲t̲r̲i̲x̲{\lambda_n=\sum…

六、应用二：Private Over-Threshold Set-Union

问题定义：假设存在每个输入数据都为$S_i(|S_i|=k)$的用户$i(1\le i\le n)$。$Over-ThresholdSet-Unionproblem$定义如下：所有用户获得在联合结果中至少出现$t$次的元素，但无法获得其他任何信息。例如：元素$a$在联合数据集中出现了15次，门限值$t=10$,那么所有参与者都将知道$a$出现了15次。该问题的计算可用符号$R{d}_{t-1}(S_1\cup \cdot \cdot \cdot \cup S_n)$表示。