安全多方计算 同态密文计算 零知识证明 是什么、对比、优缺点

基于计算困难性理论的安全多方计算可以进一步细分为基于混淆电路的方案或者基于秘密分享的方案。

基于混淆电路的方案将所需计算的函数表达成一个巨型的布尔电路，例如，目前表达一次 SHA-256 计算至少需要使用 13 万个布尔门。尽管学术界已经提供了大量优化方案，通用 电路转化的过程依旧很复杂。由于需要使用不经意传输技术来安全地提供电路输入，即便 在有硬件加速的条件下，这类方案的处理吞吐量和计算效率依旧很低。

基于秘密分享的方案采用了数据分片的设计理念，将每一份数据按照计算参与方的总数分 成多个分片，运算直接在数据分片上进行，最终汇总之后的运算效果等同于使用原始数据 直接进行计算得到的效果。数据分片通常使用加和分片算法，计算效率大幅提高，但由于 需要广播分发与回收数据分片，支持乘法还需额外数据交互，网络通讯的代价很高，处理 海量数据时势必会遇到性能瓶颈。

除了上述性能问题，无论选用哪一类方案，在计算参与方数量增加时，方案的整体性能代价 往往会超线性增长。大量的两方安全计算方案在需要引入第三个计算参与方时便无法扩展 使用，然而，如果只能支持两方安全计算，应用场景非常受限。

同态密文计算的理念是数据属主各自将自己数据加密，然后把所有密文上传，在密文的基 础上直接计算，然后解密最后的结果密文获得计算结果。

由于需要进行最后解密才能完成计 算，对于多方参与且缺乏中心信任方的应用场景，这将带来如何指派中心化的信任方来管理 数据密钥的难题。除去这一中心化的隐患，全同态密文计算算法，即支持加减乘除完整算术 运算，依旧有着显著的性能问题。在 2016 年，IBM 首次发布 HELib 的 C++ 开源类库时，全 同态运算比对应的明文运算慢一百万亿倍。尽管后来对算法实现进行了大量优化，学界甚至 提议使用专用硬件进行进一步加速，全同态密文计算效率依旧是一个未决的挑战。相比之下， 半同态密文计算算法，如仅支持加减算术运算，已经可以达到商业可用的性能，但是由于其 并不具备图灵完备性，使用场景有限。

零知识证明的理念是通过将约束关系关联到计算困难性理论，在证明者不透露被证明数据明文的前提下，向验证者证明约束关系的正确性，被证明数据有极大概率满足验证者指定的 约束关系，例如证明转账金额不是一个非法的负数。

根据选用不同计算困难性理论，零知识 证明可以有多样化的构造方式，在不同安全假设下实现高效的数据验证。需要注意的是，由 于约束关系必须由验证者预先指定，零知识证明不能直接用来进行结果未知的算术运算。所 以，零知识证明不能解决密文计算、安全哈希等需要计算的问题。

来自《微众银行区块链WeDPR隐私保护白皮书》