非交互 OT 协议

参考文献：

1. Bellare M, Micali S. Non-interactive oblivious transfer and applications[C]//Conference on the Theory and Application of Cryptology. Springer, New York, NY, 1989: 547-557.
2. Mu Y, Zhang J, Varadharajan V, et al. Robust non-interactive oblivious transfer[J]. IEEE Communications Letters, 2003, 7(4): 153-155.

Non-Interactive Oblivious Transfer

Blum, Feldman, Micali 最先提出了 non-interactive zero-knowledge，然后 Kian 证明可以将 theorem 编码后利用 OT 来实现 ZKP。在1989年，Bellare 和 Micali 给出了第一个实用的基于公钥加密的非交互 OT 协议。

DH-Based

非交互 OT 是两方协议。Alice 是发送方，Bob 是接收方。

确定一个$k$比特的素数$p$，令$g\in {\mathbb{Z}}_p^{\ast }$是生成元，再令$C\in {\mathbb{Z}}_p^{\ast }$是一个每个参与者都不知道它的 $Dlog$ 的群元素。

• 初始化阶段：

  1. Bob 随机选择 i ∈ { 0 , 1 } i \in \{0,1\} i∈{0,1}，再随机选择 x i ∈ { 0 , ⋯   , p − 2 } x_i \in \{0,\cdots,p-2\} xi​∈{0,⋯,p−2}

  2. 计算
     $${\beta }_i=g^{x_i},{\beta }_{1-i}=C\cdot {\beta }_i^{-1}$$

  3. 公钥是$({\beta }_0,{\beta }_1)$，私钥是$(i,x_i)$

  4. Alice 可以检查${\beta }_0\cdot {\beta }_1=C$，那么确信 Bob 至多掌握$1$个$Dlog$，但不知道他掌握哪个$i$

• 发送阶段：

  1. Alice 拥有两个秘密比特， b 0 , b 1 ∈ { 0 , 1 } b_0,b_1 \in \{0,1\} b0​,b1​∈{0,1}

  2. Alice 挑选两个随机数 y 0 , y 1 ∈ { 0 , ⋯   , p − 2 } y_0,y_1 \in \{0,\cdots,p-2\} y0​,y1​∈{0,⋯,p−2}，计算
     $${\gamma }_0={\beta }_0^{y_0},{\gamma }_1={\beta }_1^{y_1}$$

     以及
     $${\alpha }_0=g^{y_0},{\alpha }_1=g^{y_1}$$

  3. Alice 生成随机数 r 0 , r 1 ∈ { 0 , 1 } k r_0,r_1 \in \{0,1\}^k r0​,r1​∈{0,1}k，它们满足内积约束
     $$inner({\gamma }_0,r_0)=b_0,inner({\gamma }_1,r_1)=b_1$$
     这其实是 Goldreich-Levin theorem 中的 Hard-core 谓词。

  4. Alice 将$({\alpha }_0,{\alpha }_1,r_0,r_1)$发送给 Bob

• 接收阶段：

  1. Bob 接收到$({\alpha }_0,{\alpha }_1,r_0,r_1)$，利用$(i,x_i)$计算
     $${\gamma }_i={\alpha }_i^{x_i}$$

  2. Bob 计算 Hard-core
     $$b_i=inner({\gamma }_i,r_i)$$

Generalize

不经意电路的定义如下：

我们定义一个电路$F$，
F ( s k , p k , r , s , i ) = ( { f 0 , f 1 } : σ ,   f i − 1 ) F(sk,pk,r,s,i) = (\{f_0,f_1\}:\sigma,\, f_i^{-1}) F(sk,pk,r,s,i)=({f0​,f1​}:σ,fi−1​)

1. 输入：
   1. Center 的公私钥$(sk,pk)$，$r$是随机串
   2. Bob 的随机串$s$，选择$i$
2. 输出：
   1. $F$根据掷硬币$s\oplus r$，生成随机的两个 trapdoor PRP $(f_0,f_0^{-1}),(f_1,f_1^{-1})$
   2. $F$计算$(f_0,f_1)$的签名$\sigma$，将 ( { f 0 , f 1 } : σ ,   f i − 1 ) (\{f_0,f_1\}:\sigma,\, f_i^{-1}) ({f0​,f1​}:σ,fi−1​)发送给 Bob
   3. Bob 验签，将$(f_0,f_1)$作为公钥，将$f_i^{-1}$作为私钥
   4. Alice 获取 { f 0 , f 1 } : σ \{f_0,f_1\}:\sigma {f0​,f1​}:σ，然后验签（这无法抵抗 Center 和 Bob 的串通）

这样，Bob 就获得了两个 PRP，且他恰好知道其中一个的陷门。而 Alice 不知道 Bob 的$i$的信息。

非交互 OT 协议的一般化：

• 发送阶段：

  1. Alice 拥有两个秘密比特， b 0 , b 1 ∈ { 0 , 1 } b_0,b_1 \in \{0,1\} b0​,b1​∈{0,1}

  2. Alice 挑选两个随机数 γ 0 , γ 1 ∈ { 0 , 1 } k \gamma_0,\gamma_1 \in \{0,1\}^k γ0​,γ1​∈{0,1}k，计算
     $${\alpha }_0=f_0(y_0),{\alpha }_1=f_1(y_1)$$

  3. Alice 生成随机数 r 0 , r 1 ∈ { 0 , 1 } k r_0,r_1 \in \{0,1\}^k r0​,r1​∈{0,1}k，它们满足内积约束
     $$inner({\gamma }_0,r_0)=b_0,inner({\gamma }_1,r_1)=b_1$$

  4. Alice 将$({\alpha }_0,{\alpha }_1,r_0,r_1)$发送给 Bob

• 接收阶段：

  1. Bob 接收到$({\alpha }_0,{\alpha }_1,r_0,r_1)$，利用$(i,x_i)$计算
     $${\gamma }_i=f_i^{-1}({\alpha }_i)$$

  2. Bob 计算 Hard-core
     $$b_i=inner({\gamma }_i,r_i)$$

OT Channel

实际中，我们需要利用 OT 协议传输大量比特信息。

现在我们可以用非交互 OT 来搭建 OT 信道：

1. Alice 调用$k$次非交互 OT，向 Bob 发送一对随机串 ( s 0 , s 1 ) ∈ { 0 , 1 } k (s_0,s_1) \in \{0,1\}^k (s0​,s1​)∈{0,1}k
2. Bob 根据陷门$(i,f_i^{-1})$，接收到$s_i$，同时 Alice 不知道 Bob 得到了哪个随机串
3. Alice 在信道$C_0$上传输比特流 c 0 = m 0 ⊕ G ( s 0 ) ∈ { 0 , 1 } ∗ c_0 = m_0 \oplus G(s_0) \in \{0,1\}^* c0​=m0​⊕G(s0​)∈{0,1}∗，在信道$C_1$上传输比特流 c 1 = m 1 ⊕ G ( s 1 ) ∈ { 0 , 1 } ∗ c_1 = m_1 \oplus G(s_1) \in \{0,1\}^* c1​=m1​⊕G(s1​)∈{0,1}∗，其中$G$是 PRG
4. Bob 对信道$C_i$的比特流解密，得到 m i = b i ⊕ G ( s i ) ∈ { 0 , 1 } ∗ m_i = b_i \oplus G(s_i) \in \{0,1\}^* mi​=bi​⊕G(si​)∈{0,1}∗

Non-Interactive ZKP

Hamiltonian cycle 问题是 NPC，因此任意的 NP statement $T$ 对应的 witness 都可以转化为图$G=(V,E)$上的哈密顿回路$\{(u_i,v_i){\}}_1^n$

协议如下：

1. Alice 和 Bob 搭建起 OT Channels $C=(C_0,C_1)$
2. Alice 随机选择一个点集$V$的随机置换$\pi$，使得图同构$G^{\prime }=\pi (G)\cong G$，令$A^{\prime }$是$G^{\prime }$的邻接矩阵。然后执行
   1. 随机选择密钥$r$，计算密文$y=E(r,\pi )$
   2. 随机选择密钥$r_{ij}$，计算密文$y_{ij}=E(r,A_{ij}^{\prime })$
   3. 利用普通信道发送这些密文 ( y , { y i j } ) (y,\{y_{ij}\}) (y,{yij​})
   4. 随机掷硬币 b ∈ { 0 , 1 } b \in \{0,1\} b∈{0,1}，
      1. 当$b=0$，将 ( r , { r i j } ) (r,\{r_{ij}\}) (r,{rij​})用$C_0$发送，将 { r π ( u i ) π ( v i ) } 1 n \{r_{\pi{(u_i)}\pi{(v_i)}}\}_1^n {rπ(ui​)π(vi​)​}1n​用$C_1$发送
      2. 当$b=1$，将 ( r , { r i j } ) (r,\{r_{ij}\}) (r,{rij​})用$C_1$发送，将 { r π ( u i ) π ( v i ) } 1 n \{r_{\pi{(u_i)}\pi{(v_i)}}\}_1^n {rπ(ui​)π(vi​)​}1n​用$C_0$发送
3. Bob 从信道$C_i$中，要么得到$G\cong G^{\prime }$，要么得到$G^{\prime }$中的一条哈密顿回路
4. Alice 和 Bob 搭建起（安全参数）$k$个独立的 OT Channels，重复上述过程$k$次