三方相关随机数的分布式生成

相关随机数

在安全多方计算中，我们通常需要生成一些具有相关性的随机数，比如Beaver三元组。本文介绍如何在不借助第三方的情况下，快速生成三个随机数$x_1,x_2,x_3$满足$x_1+x_2+x_3=0$，每一方拥有一个随机数，但是除了关系外，不知道其他人的随机数的任何信息。

布尔相关随机数

我们首先讨论布尔随机数的生成，也就是$x_i\in 0,1$。生成的随机数满足$x_1\oplus x_2\oplus x_3=0$.

假设三个参与者分别为$P_1,P_2,P_3$.下面介绍两种方法。

方法一：信息论安全的相关随机数生成

1、$P_1,P_2,P_3$分别在本地随机采样3个随机数$r_1,r_2,r_3$；
2、$P_1$将$r_1$发送给$P_2$；$P_2$将$r_2$发送给$P_3$；$P_3$将$r_3$发送给$P_1$；
3、$P_1$计算$x_1=r_3\oplus r_1$；$P_2$计算$x_2=r_1\oplus r_2$；$P_3$计算$x_3=r_2\oplus r_3$.

证明：
$x_1\oplus x_2\oplus x_3=(r_3\oplus r_1)\oplus (r_1\oplus r_2)\oplus (r_2\oplus r_3)=0$.

方法二：计算安全的快速生成

方法一虽然是信息论安全的，但是每次生成都需要传输一个元素。方法二通过伪随机数生成器，使得在初始化后，每次生成都不在需要传输信息，减少了协议的通信开销。

假设使用的伪随机数生成器用$F(k,i)$来表示。其中$k$表示密钥，$i$表示计数（第几次调用）。由于一般的伪随机生成器只需要一个随机种子作为输入，可以使用hash函数将$k,i$映射为随机种子。

初始化：
1、$P_1$生成$k_1$；$P_2$生成$k_2$；$P_3$生成$k_3$；
2、 $P_1$将$k_1$发送给$P_2$；$P_2$将$k_2$发送给$P_3$；$P_3$将$k_3$发送给$P_1$。
也就是说$P_1$拥有$k_3,k_1$，$P_2$拥有$k_1,k_2$，$P_3$拥有$k_2,k_3$.

生成相关随机数：
1、$P_1$计算$x_1=F(k_3,i)\oplus K(k_1,i)$；
2、$P_2$计算$x_2=F(k_1,i)\oplus K(k_2,i)$；
3、$P_3$计算$x_3=F(k_2,i)\oplus K(k_3,i)$;
当输入相同的时候，伪随机数的输出也相同，所以显然$x_1\oplus x_2\oplus x_3=0$.

算术相关随机数

有时候，我们需要的随机数并不是布尔值，而是一个整数，这时候我们需要将上面的方法推广到整数上。

方法一：信息论安全

1、$P_1,P_2,P_3$分别在本地随机采样3个随机数$r_1,r_2,r_3$；
2、$P_1$将$r_1$发送给$P_2$；$P_2$将$r_2$发送给$P_3$；$P_3$将$r_3$发送给$P_1$；
3、$P_1$计算$x_1=r_3-r_1$；$P_2$计算$x_2=r_1-r_2$；$P_3$计算$x_3=r_2-r_3$.

方法二：计算安全

初始化：
1、$P_1$生成$k_1$；$P_2$生成$k_2$；$P_3$生成$k_3$；
2、 $P_1$将$k_1$发送给$P_2$；$P_2$将$k_2$发送给$P_3$；$P_3$将$k_3$发送给$P_1$。
也就是说$P_1$拥有$k_3,k_1$，$P_2$拥有$k_1,k_2$，$P_3$拥有$k_2,k_3$.

生成相关随机数：
1、$P_1$计算$x_1=F(k_3,i)-K(k_1,i)$；
2、$P_2$计算$x_2=F(k_1,i)-K(k_2,i)$；
3、$P_3$计算$x_3=F(k_2,i)-K(k_3,i)$;

容易验证上面两种方法生成的随机数满足$x_1+x_2+x_3=0$.

多方推广：n>3

有时候参与计算的参与者很多，所以我们在这里将上面的方法推广到多方的时候。

假设参与者为$P_0,P_1,\cdots P_{n-1}$.布尔随机数只需要将$-,+$换成$\oplus$即可。下标的加法和减法是在环${\mathbb{Z}}_n$中，也就是，如果大于等于$n$，那么就减去$n$，例如$P_n=P_0,P_{n+1}=P_1$；小于0则加上$n$，例如$P_{-1}=P_{n-1},P_{-2}=P_{n-2}$.

方法一的推广

1、$P_0,P_1,\cdots ,P_{n-1}$分别在本地随机生成一个随机数$r_0,r_1,\cdots ,r_{n-1}$；
2、对于$P_j$，将$r_j$发送给$P_{j+1}$；
3、$P_j$计算$x_j=r_{j-1}-r_j$；

证明：
${\sum }_{j=0}^{n-1}{x}_j={\sum }_{j=0}^{n-1}(r_{j-1}-r_j)={\sum }_{j=0}^{n-1}{r}_{j-1}-{\sum }_{j=0}^{n-1}{r}_j=0$.

方法二的推广

初始化：
1、$P_0,P_1,\cdots ,P_{n-1}$分别在本地随机生成一个随机数$k_0,k_1,\cdots ,k_{n-1}$；
2、对于$P_j$，将$k_j$发送给$P_{j+1}$；

生成相关随机数：
$P_j$计算$x_j=F(k_{j-1},i)-F(k_j,i)$.

参考文献

[1] Araki, Toshinori, et al. “High-throughput semi-honest secure three-party computation with an honest majority.” Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security. 2016.