同态加密的百万富翁问题高效解决方案

合集下载

隐私集合求交算法的对比分析

隐私集合求交算法的对比分析

第31卷第2期北京电子科技学院学报2023年6月Vol.31No.2JournalofBeijingElectronicScienceandTechnologyInstituteJun.2023隐私集合求交算法的对比分析∗田文亮㊀王志强㊀张艳硕北京电子科技学院,北京市㊀100070摘㊀要:隐私集合求交(PrivateSetIntersection,PSI)属于隐私计算领域的特定应用问题,包括秘密共享㊁同态加密㊁不经意传输㊁混淆电路和Hash技术等基础知识,其兼具重要的理论意义与极强的现实应用价值㊂随着用户数据的隐私保护需求的日益提升,PSI可以在满足依赖个人信息的业务的便利性的同时最大程度保护个人信息私密性需求㊂本文首先介绍了隐私集合求交的研究现状,其次按照底层密码技术对PSI进行分类并对比分析了它们的复杂度,对其优缺点进行对比分析,同时对比分析了基于不同密码技术的PSI的使用场景,最后指出其发展方向并得出结论㊂关键词:隐私集合求交;秘密共享;同态加密;不经意传输;混淆电路;Hash技术中图分类号:TP312㊀㊀㊀文献标识码:A文章编号:1672-464X(2023)2-98-112∗㊀基金项目:2022年基本科研业务费优硕培养项目 HTTP协议的流量拟态技术研究 (项目编号:328202280); 信息安全 国家级一流本科专业建设点和2020年教育部新工科项目 新工科背景下数学课程群的教学改革与实践∗∗㊀作者简介:田文亮(1996-),男,研究生在读,计算机技术专业㊂E⁃mail:1070274287@qq.com王志强(1985-),男,副教授,博士,硕导㊂E⁃mail:wangzq@besti.edu.cn张艳硕(1979-),男,通信作者,副教授,博士,硕导,从事密码理论及其应用研究㊂E⁃mail:zhang_yanshuo@163.com1㊀引言㊀㊀隐私数据保护最早源于安全多方计算(securemultipartycomputation,MPC),由姚期智[1]借百万富翁问题提出,指各计算参与方无法得到除计算结果外的任何其他信息,解决互不信任的数据持有者如何对隐私数据进行计算的问题㊂隐私集合交集是安全多方计算中的热点问题,允许在分布式场景下各自持有隐私集合的参与方联合计算出集合交集而不泄露除交集以外的任何隐私信息㊂在隐私保护的场景中,PSI协议具有重要意义,如新冠接触者追踪[2]㊁隐私通讯录查找[3]㊁在线广告实际效果计算[4]㊁基因序列匹配检测[5]等㊂传统的PSI协议针对2个参与方设计,Meadows[6]基于公钥加密和利用Diffie⁃Hellman密钥交换的乘法同态性质提出了第1个PSI协议㊂随后,由Huberman等人[7]对Meadows[6]的方案做出了完整描述㊂2004年由Freedman等人[8]借助不经意多项式求值和同态加密构造了第1个安全PSI协议㊂2017年申立艳等人[9]对安全多方计算框架下的PSI协议进行了简要总结㊂之后涌现了大量PSI的研究成果,一大批新技术手段和构造框架被提出㊂除了传统的安全多方计算理论中的混淆电路(garbledcircuit,GC)㊁不经意传输(oblivioustransfer,OT)㊁秘密共享(secretsharing,SS)㊁同态加密(homo⁃第31卷隐私集合求交算法的对比分析㊀morphicencryption,HE)等技术外,不经意伪随机函数(obliviouspseudo⁃randomfunction,OPRF)㊁经意多项式求值(obliviouspolynomialevaluation,OPE)㊁布隆过滤器(Bloomfilter,BF)等集合元素比较技术的应用,使得PSI的效率得到了很大的提高㊂现有PSI已经非常高效,但现有很多实际应用中仍然以使用高效但存在安全隐患的解决方案为主,了解现有基于不同密码原语构建的PSI及其特定适用场景,对促进实际场景中使用安全的方案替换存在隐患的方案有很大帮助㊂在敌手模型方面,研究人员从诚实且好奇的安全模型出发,开始考虑在恶意模型下安全的PSI协议㊂随着研究人员对隐私集合交集协议的深入研究,除了传统两方PSI协议之外,已衍生出了云辅助PSI㊁阈值PSI(thresholdPSI,TPSI)㊁不平衡PSI(unbalancedPSI,UPSI)和多方PSI新型应用场景㊂本文全面的介绍了PSI研究现状,对基于不同底层密码技术的PSI算法进行了较为详尽的描述,对不同的PSI协议原理进行对比分析,同时对PSI协议的复杂度以及PSI协议的优缺点进行了对比分析,得出了基于不经意传输的PSI协议目前具有更高效率的结果㊂最后针对当前存在的问题,指出PSI协议的发展方向以及结论㊂2㊀隐私集合求交的研究现状㊀㊀隐私集合求交(PSI)协议有很多分类方法,按照底层依赖的密码技术分类主要包括:基于公钥密码的PSI方案,包括:基于密钥交换(DH:Diffie⁃Hellman)的PSI方案和RSA盲签名的PSI方案;基于不经意传输的PSI方案;基于通用MPC的PSI方案,例如基于混淆电路的PSI方案;基于同态加密的PSI方案;基于以上密码技术同时对多方PSI进行描述㊂2 1㊀基于公钥密码的PSI方案1986年,Meadows[6]提出了基于Diffie⁃Hellman问题的PSI协议,该协议类似于Diffie⁃Hellman密钥协商协议㊂双方以各自的输入集合中的元素作为Diffie⁃Hellman密钥协商中选择出的 随机数 角色,将集合元素映射到随机 会话密钥 空间,接收方在 会话密钥 空间中进行匹配,并获取到最终的交集元素;可以看出,该方案需要双方执行多次的模指数运算(这种代价很高的计算),因此所得的PSI方案效率并不高㊂与基于杂凑函数的算法类似,同样可以在签名空间进行比对㊂例如基于盲签名,发起方盲化本方输入的每个元素,向响应方的请求盲签名,获得结果并去盲后得到响应方私钥的签名㊂同时,响应方签名本方的每个元素,并将结果发送给发起方;发起方比对双方的签名结果,获得交集结果㊂DeCristofaro与Tsudik[17]在2010年提出了基于RSA盲签名的PSI协议㊂在该协议中,响应方随机产生RSA密钥;发起方对本方的每一个输入元素进行随机盲化,将结果发送给响应方;响应方使用RSA私钥对盲化结果进行签名并发送给发起方,同时将本方的输入元素用本方私钥进行签名,将结果发送给发起方;发起方对盲化的签名进行去盲,与响应方的签名进行比对,得出交集结果㊂基于公钥体制的方案除了转换匹配空间之外,将参与方输入的集合元素看作是多项式的根,多项式可以与输入集合建立映射关系,对于多项式的某些操作可以转换为集合的某些操作㊂2022年AranhaDF[35]提出了一种新的两方简洁PSI协议,该协议从理论和实践两个方面都以最小化发送方的开销为目标㊂该协议在概念上非常简单,这使得在实践中实现它不易出错:在协议执行期间,只发送两条消息,一条消息从接收方发送到发送方,另一条消息返回㊂接收者的消息的大小是单个组元素(独立于接收者的㊃99㊃北京电子科技学院学报2023年输入集合的大小),而发送者的消息大小与发送者的输入集合大小成线性关系㊂发送方的计算复杂度与接收方输入集的大小无关㊂该协议为了证明新假设的合理性,证明了它在一般群体模型中是成立的㊂还讨论了在主动攻击存在的情况下保证隐私的简单对策,并提出了一个协议,该协议提供了完全基于模拟的安全性来对抗主动攻击㊂2 2㊀基于不经意多项式计算的PSI方案不经意多项式计算的PSI协议主要是将参与方集合元素表示为多项式的根,利用多项式的数学性质来计算交集,并采用同态加密算法加密交互过程中的信息来保证协议的隐私㊂最早由Freedman等人在2004年提出的PSI协议[8]就是不经意多项式计算的PSI协议㊂其协议的主要过程为:客户端生成同态加密密钥对(pk,sk)并发送公钥给服务器端,将输入集X={x1,x2, ,xv}表示为多项式P的根P(z)=(x1-z)(x2-z) (xv-z)=ðvu=0auzu,利用插值法求得多项式系数{a1,a, ,av},将多项式系数用Paillier[13]或EIGamal[15]同态加密算法加密发送给服务器端;服务器端输入集合为Y={y1,y2, ,yw}对集合中的每一个元素y,利用同态加密性质计算Enc(r.P(y)+y),并将计算的密文混淆发送给客户端;客户端解密所有的密文,依次判断解密的结果是否和输入集合X中的某一元素x相等,相等则说明x属于集合交集㊂该协议中,多项式的次数过高,会导致同态加密运算中指数的计算代价太大㊂因此作者又采用Hash函数将集合中元素映射到B个桶中,每个桶最多M个元素,在客户端生成M个低次多项式,服务器端采用同样的Hash函数将元素进行映射,客户端将相对应的桶里的元素和多项式进行集合交集判断;为了减小M的值,作者采用了负载均衡Hash[21]方法㊂2014年Freedman等人进一步在文献[8]的基础上改进PSI协议[31],客户端和服务器端分别采用不同的Hash函数将集合元素进行映射来减少协议的计算复杂度,并将随机Hash㊁负载均衡Hash㊁布谷鸟散列[22]进行实验对比,其中应用负载均衡Hash㊁布谷鸟散列进行集合元素计算的复杂度较低㊂以上协议被证明在标准模型下对半诚实敌手是安全的㊂2 3㊀基于不经意传输的PSI方案不经意传输是密码协议体系中的一个基础协议,由Rabin于1981年提出[23]㊂与最原始的概念相比,在更标准化的定义中,发送方拥有若干个输入,接收方输入一个索引下标,该索引下标表示接收方想要得到的结果,在协议过程中这一指标并不会泄露给发送方㊂最基础的OT协议是2选1OT㊂基于OT的PSI协议需要使用的OT运行实例的数量与PSI双方输入的集合大小有关系,因此OT协议成为大集合PSI方案的主要瓶颈㊂OT扩展协议的出现[13],使得大集合PSI方案的落地成为现实㊂所谓OT扩展协议是指,OT协议在并行数量方面的扩展㊂具体来说,是用少量的OT协议实例来构造较为大数量的OT协议实例㊂文献[14-16]给出了OT扩展的相关理论结果与实现改进㊂2013年,Dong等人在文献[24]中第一次将布隆过滤器引入到PSI中,并与OT扩展结合,使得PSI协议能处理的集合数量首次突破了亿级别㊂此后,对于布隆过滤器的改进也成为优化PSI协议的一个重要方向㊂通过改进布隆过滤器,Rindal和Rosulek给出了第一个恶意模型下的PSI协议[25],这一方案也在200s时间内完成了两方百万数据量的安全求交㊂2016年,在文献[26]中,Kolesnikov等人使用OT扩展来实现不经意伪随机函数,并且将此概念运用到PSI中,这也成为后续基于不经意传输的PSI协议的主要方向㊂以上所有PSI协议的实现几乎都是在两个参与方的场景㊂对于多个参与方的场景,文献[27]中Kolesnikov等人引入㊃001㊃第31卷隐私集合求交算法的对比分析㊀了不经意的可编程伪随机函数的概念(Program⁃mableObliviousPseudorandomFunctions,OP⁃PRF),并且基于插值多项式㊁布隆过滤器等技术实现OPPRF㊂OPPRF要求只对发送者编程进去的集合元素,接收者才可以进行不经意地函数取值,未编程进去的元素,接收者返回随机值㊂各个参与方之间顺次循环扮演发送方和接收方角色,最终完成交集的结果㊂2022年,李顺[48]提出了一种基于并行化OPPRF的隐私集合交集协议㊂2022年,魏立斐等人[49]提出了基一种于云服务器的公平多方隐私集合交集协议,该协议基于该不经意伪随机函数构建了半可信云服务器辅助的隐私集合交集计算协议,将主要计算量外包给云服务器,允许半可信的云服务器参与相等性测试,又不泄露参与方任何集合信息㊂2 4㊀基于同态加密的PSI方案PSI根据参与者的数量可分为两方和多方,下面均以两方为例㊂假设参与PSI的两方为发送方S(Sender)和接受方R(Receiver),分别持有数据集X和Y㊂根据两方数据集大小的不同,分为平衡场景和非平衡场景㊂在平衡场景下,双方样本数量相差不大,适用于双方客群有较多重叠的场景,如集团子部门之间的安全求交场景;在非平衡场景下,双方样本数量相差非常大,如营销场景中筛选本机构种子用户与外部数据方海量用户群中的共有用户群,实现目标客群筛选㊂在平衡场景中,PSI的实现方式目前较为成熟的有基于RSA㊁基于Diffie⁃Hellman(DH)和基于不经意传输等㊂综合安全性㊁效率和通信量考虑,基于OT以及OTExtension[41]系列的对齐方案被广泛使用㊂在非平衡场景中,可在基于OT的PSI方案基础上,将同态加密技术结合特定的优化方法,实现高效的PSI㊂下面介绍两种高效的基于同态加密的非平衡PSI方案㊂2017年,Chen等[46]在CCS2017中将同态加密应用到非平衡PSI中,综合使用了Cuckoohash㊁Partition㊁Window和ModulusSwitch技术㊂实验表明,在数据量为NX=5000,NY=1600万时,Chen在CCS2017[28]中提出的方案的通信量为12 5MB,求交时间为36s㊂2018年,Chen等[46]改进了CCS2017方案,提出了一个能抵抗恶意攻击的非平衡PSI方案(CCS2018[29])㊂与CCS2017[28]方案相比,该方案支持更高位(512位和1024位)的Item(CCS2017方案支持32位),改进了SIMD编码,在不增加加密参数的前提下,提升了效率和安全性㊂该方案较CCS2017方案在性能上做出很大改进,在数据量为NX=224和NY=5535时,CCS2017方案需要20MB的通信量和40s的在线计算时间,CCS2018通信量为16MB,在线计算时间为22s(单线程),运行时间几乎缩短2倍和通信量节约27%㊂此外,当接受方R的数据集更小时,CCS2018方案的同态加密的参数会更小,能进行更少的密文计算,当接受方R的数据量为512或1024时,该方案运行时间分别只需9 1s和17 7s,以及8 2MB的通信量,较CCS2017方案快2 4倍,发送的数据量降低一半,同时支持任意长度的Item㊂2 5㊀其他根据底层密码学技术对传统多方PSI进行梳理,主要分为基于公钥的多方PSI和基于OT的多方PSI,由于混淆电路在预计算阶段构造复杂,且内存占用较高,并没有基于混淆电路的传统多方PSI协议的研究,但又鉴于混淆电路可以方便地计算任何功能函数的特性,其更适用于构造门限等特殊场景下的多方PSI协议㊂基于公钥的多方PSI方案主要采用同态加密技术㊂第1个基于同态加密技术的多方PSI协议方案由Freedman等人[8]提出,首先使用加法同态加密实现的OPE技术,将集合元素表示为多项式的根从而代替集合进行运算,实现了在半诚实敌手模型下的两方PSI,其次提出了针对恶意的客户端㊁恶意的服务端㊁恶意的两方以及多方的情况下的PSI协议的构造思路㊂在半诚㊃101㊃北京电子科技学院学报2023年实敌手模型中,Kissner等人[19]在2005年对加法同态加密的私钥进行秘密共享,协议的计算复杂度和通信复杂度是集合大小和参与方数目的2次方㊂2017年,Hazay等人[44]使用星型通信模型将多方PSI协议的通信轮数从O(n)降低为O(1),且加解密的操作数与参与方集合大小呈线性关系㊂其中,星型通信结构是最直观的多方通信结构,多个参与方与同一个中心参与方进行交互,此结构对中心参与方的带宽和计算能力要求较高㊂基于OT协议的多方PSI协议主要分为两种,一是使用OT协议构造OPRF㊁OPPRF㊁多点OPRF等一系列协议,而后基于OPRF系列协议构造多方PSI协议;二是多方直接使用OT协议进行数据传输㊂基于OPRF的多方PSI协议中最经典的同时也是首篇将多方PSI进行代码实现的协议为Kolesnikov等人[42]在2017年提出的方案㊂该文献首次提出了使用OPRF构造OPPRF的概念,旨在使用发送方的输入来对OPRF的密钥进行编程,其与单点OPRF的区别在于OPPRF中密钥与发送方的私有集合元素相关㊂在直接使用OT协议作为数据传输协议方面,2018年,Inbar等人[45]在半诚实敌手模型和增强的半诚实敌手模型中分别提出了两种多方PSI协议,是对Dong等人[24]两方PSI协议的扩展㊂Inbar等人的协议[45]与Kolesnikov等人的协议[42]相比的优势在于随着参与方数目的增多,协议消耗时间增长缓慢,与参与方数目呈次线性关系;而Kolesnikov等人的协议[42]的最后一个步骤中需要多次计算和比较,计算开销较大㊂由于混淆电路具有计算任何功能函数的特性,可以方便地设计多功能的安全计算协议,因此基于混淆电路的门限多方PSI也是研究方向之一㊂2021年,Chandran等人[46]提出了半诚实敌手模型下的多方PSI协议,并设计了两种变体协议,门限多方PSI便在其研究范围中㊂协议主要分两部分,首先选择一个特定参与方与其他所有参与方两两交互进行元素相等性判断,此后所有参与方交互通过电路计算结果㊂近年来涌现了很多基于云辅助器的PSI协议[49-52],由于在日常生活中数据量庞大,因此借助云辅助器的方案可能是我们以后研究的重点㊂本文对以上基于不同密码技术的PSI协议现状进行了总结,不仅对每一种PSI协议的历史发展进行描述,而且说明其特点及基本使用场景㊂3㊀PSI算法原理的对比分析㊀㊀PSI算法既可以有两方参与,又可以有多方参与,以下分别对两方㊁多方以及不经意伪随机函数等PSI原理进行对比分析㊂3 1㊀两方PSI基本原理算法参与方包括Server和Client,假设sever和client输入元素个数分别为ks和kc,server方输入元素记为yi,iɪ[1,ks],client方输入元素记为xi,iɪ[1,kc];2)基于公钥加密技术的加法同态加密算法Enc(x)㊁Dec(c)满足Enc(m1+m2)=Enc(m1)+Enc(m2)(km)=k(m)1)client方针对全部输入元素利用插值法构造如下多项式P(y)=ðkci=1(y-xi),显然该多项式的最高次数为kc,用系数表示为P(y)=ðkci=0(aiyi)㊂然后将全部系数进行加密后发送给server;2)server针对每一个yi进行如下计算:选择随机数ri计算Ci=Enc(riP(yi)+yi,并将Ci发送给client;3)client进行如下验证:对Ci进行解密得到mi=riP(yi)+yi㊂如果yi和某个xi相等,则riP(yi)为0,解密结果mi必定等于该xi,即为PSI结果之一,如果yi不等于任一xi,则解密结果mi是一个随机数㊂3 2㊀多方PSI基本原理在2方PSI算法基础上可以扩展到多方㊃201㊃第31卷隐私集合求交算法的对比分析㊀PSI㊂具体原理如下:1)假定n+1个参与方,记为Ll,lɪ[1,n+1],第Ln+1为leader;2)对前面n个参与方Ll,lɪ[1,n],生成各自的同态加密算法公私钥公钥pkl和私钥skl,公开公钥pkl;3)对前面n个参与方Ll,lɪ[1,n],针对已方全部元素xli生成自己的多项式Pl(y),并将多项式参数进行加密(使用公钥pkl)后发送给leader;4)Leader针对己方每个元素yi进行如下操作:生成n个随机数slj,lɪ[1,n],确保 ni=1slj=yj,然后针对n个参与方Ll的每一方计算密文Clj=Enc(rljP(yj)+yj),然后将全部Clj发送给Ll;5)对前面n个参与方LL,lɪ[1,n],解密Clj得到mlj,并将已方解密出来的mlj全部公开:6)对前面n个参与方Ll,针对收到的全部mlj进行计算yj= nl=1mlj,如果yj等于已方的某个元素xlj相等则表明该元素是多方交集元素㊂3 3㊀基于不经意伪随机函数的PSIPSI算法参与方包括server和client,假设sever和client输入元素个数都为n㊂OPRFPSI算法的基本思想是利用PRG函数对双方明文元素进行加密,然后server方和client方对加密后元素进行逐一比对找出共同交集元素,PRG函数设置加密密钥时通过OT协议交互使得该密钥能够确保相同交集元素的密文相同且不泄露明文元素的信息㊂OPRFPSI算法相对其他PSI算法的优势是计算量和通信量都比较小,而且对于client方来说安全性很高,能够确保server方无论是半诚实还是恶意模型下的client方安全性,这样通过OPRFPSI算法构建隐查询PIR时能够保证查询方的绝对安全性㊂(1)基本原理1)OPRF函数记为OPRFk(x)=H(q [F(x)㊃s]),㊃表示位与操作,⊕表示位异或操作,F(x)表示x作为种子的随机数生成器,H表示Hash摘要函数(具有randomoracle特性)㊂q,sɪ{0,1}λ,λ表示安全参数;2)client对己方输入元素x:先采样随机字符串r0ѳƔ{0,1}n,计算r1=r0 F(x);3)server端先采样随机字符串sѳƔ{0,1}n;4)client和server运行λ次OT协议:client发送方输入r0[i]和r1[i],server端输入选择比特s[i]㊂server通过λ次OT协议获取到的λ比特随机字符串q=rs[1][1] rs[2][2]... rs[λ][λ];5)server端设置OPRFkeyk=(q,s),对己方输入元素y计算OPRF值OPRFk(y)=H(q [F(y)㊃s]),并将改值发送给client;6)client检验:当OPRFk(y)=H(r0)时表明y=x㊂(2)OPRF算法协议公共函数及参数约定如下:λ表示计算安全参数,统计安全参数σ,协议参数m,w,l1,l2,Hash函数H1:{0,1}∗ң{0,1}l1和H2:{0,1}wң{0,1}l2,伪随机函数F:{0,1}Aˑ{0,1}lң[m]w;具体协议过程如下:1)阶段1:预处理server端采样随机字符串sѳƔ{0,1}w;client端执行:初始化个mˑω二进制矩阵D为全1,Dj表示D第j列,D1=D2= =Ds=1m;采样随机字符串kѳƔ{0,1}λ作为PRF函数F密钥;对于client端的每个元素y:计算v=Fk(H1(y)),vɪ[m]w,对矩阵D的每一列设置Di[v[i]]=0,iɪ[w]㊂2)阶段2ʒ0T传输㊃301㊃北京电子科技学院学报2023年client端随机产生一个mˑω二进制矩阵Aѳ${0,1}mˑw,计算B=A⊕D;client和server运行w次OT协议,client作为发送方,server作为接收方,每次OT,client输入消息{Ai,Bi},iɪ[w],server输入si进行选择㊂OT协议结束后server获得w㊀个m比特字符串,然后作为ω列得到一个mˑω二进制矩阵C㊂3)阶段3:OPRF值验证client端将PRF函数F密钥发送给server;server端针对每个元素xi:计算vj=Fk(H1(yj)),计算OPRF值Vi=H2(C1[vi[1]]) Cw[vi[w]);server将所有:发送给clientclient端针对己方每个元素yi:计算vj=Fk(H1(yj)),计算OPF值中,㊀ϕj=H2(A1[vj[1]] Aw[vi[w]]),然后逐个比较中ϕj和ψi,当且仅当ϕj=ψi时,㊀yj=xi㊂3 4㊀不经意的可编程伪随机函数的PSIPRF函数F跟OPRF中的定义一致㊂OPPRF协议的参与方包括Sender(记为S)和Receiver(记为R)两方㊂协议运行过程如下:1)约定安全参数Κ,公开参数PRF函数F:2)S方输入{(x1,y1),(x2,y2) (xn,yn)},xi不相等,协议生成F加密密钥k和公共参数hint;3)R方进行公q次查询,每次查询输入x,协议返回y=F(x,k,hint)㊂S方的输入可以理解为一些点坐标,协议对S方输入进行加密计算得到公共参数hint,PRF函数F加密密钥k㊂R方的输入为x,协议返回一个随机值y,当x与S方某个输入x相等时,R方获得输出即为y=yi㊂协议的安全性要求S方无法获知R方输入的查询信息,R方无法获知查询输出是否匹配到了S方的某个输入㊂也就是说R方每次查询中无论输入值是否匹配到S方的某个输入xi,输出y相对R方都是一个随机均匀分布㊂OPPRF基于多项式的实现:假设S方输入{(x1,y1),(x2,y2) (xn,yn)},令yᶄi=yi F(k,xi),S方通过对{(x1,yᶄ1),(x2,yᶄ2) (xn,yᶄn)}进行拉格朗日插值得到多项式如下:P(x)=ðni=1yᶄi(ᵑ1ɤjɤnjʂix-xjxi-xj)记上述多项式系数为hint,记R方查询输入为q,则查询输出为:F(q,k,hint)=F(k,q) P(q)正确性验证:当R查询输入q=x时,查询输出为yiF(k,xi) P(xi)=F(k,xi) yᶄi=F(k,xi) yi F(k,xi)=yi当输入q不等于任一xi时,查询输出是随机均匀分布的㊂因为yi随机均匀分布,因此P(x)系数也是随机均匀分布的㊂3 5㊀MultiPSI算法原理:算法关键是利用秘密分享技术,通过2次OPPRF找出共同元素㊂1)第一次OPPRF:step1中各参与方对本方的每个元素和其他各参与方生成多份秘密分享值si,jk,然后step2中各参与方运行OPPRF,此时如果有相同元素进行查询则会获取到对方相同元素的某一份秘密分享值㊂如果是不相同元素的查询则是获得一个随机值;2)第二次OPPRF:step3中各参与方通过本方所有秘密分享值计算一个映射Si(xik),然后step4中P1作为协议中leader(负责最终交集元素的输出),和各参与方运行第二次OPPRF.每个参与方的Si(xik)值包含了单个元素在各个参与方对应的秘密分享值㊂Step5中P1对各个参与方S(x)进行XOR计算,此时如果是该元素在㊃401㊃第31卷隐私集合求交算法的对比分析㊀各个参与方都有,则 iɪ[n]yik包含了所有参与方关于xik元素的全部秘密分享值,因此 iɪ[n]yik=0意味着元素xik在各个参与方输入中都存在㊂4㊀PSI算法复杂度的对比分析㊀㊀不同PSI协议的计算复杂度和通信复杂度在表2中有所示㊂表1为符号说明,表2中的计算复杂度是通过非对称或是对称密码原语的使用次数衡量的,通信复杂度是通过在信道上传输的比特数衡量的㊂这里的假设是每完成一次OT协议花费3次对称密码操作(对于使用布隆过滤器的花费2 5次对称密码操作)㊂计算姚氏电路中的与门使用4次对称密码操作,计算GMW电路中的与门使用6次对称加密操作㊂在同一类别中的PSI方案大多数拥有类似的复杂度㊂朴素哈希方法与服务器辅助的方法需要对每一个元素执行一次对称加密操作(哈希),基于公钥的协议需要对每一个元素执行两次公钥操作,并且需要发送两个密文和一个哈希值㊂基于电路的方法的计算复杂度与电路中与门的数量成正比,在基于布隆过滤器的协议中,计算复杂度与布隆过滤器的大小成正比㊂在基于OT的协议中,基于布隆过滤器的协议[24],通信复杂度是与安全参数κ的平方成正比的,但是在[34]中的协议,通信复杂度是与κ呈线性关系㊂表1㊀符号说明符号说明S服务端或是发送端R客户端或是接收端X,Y发送端和接收端的集合NX,NY发送端和接收端集合的大小m哈希表的大小v消息编码的长度σ集合元素的长度κ,λ计算意义的安全参数和统计意义的安全参数ρ,ϕ非对称安全参数与椭圆曲线的规模表2㊀不同PSI协议复杂度比较分类协议计算复杂度(对称或非对称密码原语的次数)通信复杂度(比特)基于公钥体系的基于有限域DH的[6]2tpktρ+NXv基于椭圆曲线上DH的[6]2tpktϕ+NXv基于RSA的[30]2tpktρ+NXv基于电路的姚氏电路使用SCS12mσlogm+3mσsym6mΚσlogm+3mσGMW使用SCS18mσlogmsym6m(Κ+2)σlogm姚氏电路使用PWCσ(4 NYmaxb+4sNX+3 NY)sym2 NYΚmaxbσ+3sNXΚσ+2 NYσGMW使用PWC6σ( NYmaxb+sNX)sym2(Κ+2)σ( NYmaxb+sNX)姚氏电路使用OPRF21760NY+3σNYsym10880NYΚ+2NYΚσ+NXvGMW使用OPRF32640NYsym10880NY(Κ+2)+NXvCiampi等人的方案M(4σlogm+3σ)symm(2σ+1)mΚ基于OT协议的使用布隆过滤器[24]3 6mΚsym1 44mΚ(Κ+λ)使用哈希表[20]3 NY+(k+s)NXsym512 NY+(k+s)NXv使用哈希表[26](s+3)m+( m+s)sym4( m+s)k+(s+3)mv使用哈希表[31]∗-6Κn+βnlogm基于FHE的[46]--1 5CσNYlog2Nx㊀㊀注:其中sym和pk分别表示对称与非对称操作的统计,t=NX+NY,m=max(NX,NY),βʈλ+2logn-1, ,k,s,maxb是哈希函数用到的参数,v是在OT扩展协议中,使用的哈希函数的输出长度,C是一个常数,表示[26]的同态操作产生的密文扩展㊂标有∗的是在恶意模型下安全的协议㊂5㊀PSI性能的对比分析㊀㊀基于公钥密码的PSI方案中,一些协议公钥加解密操作的次数与集合大小成线性关系㊂因此虽然通信复杂度是最小的,但是计算开销远不及后面叙述的基于不经意传输扩展协议的PSI㊂使用公钥加密体系的PSI有另一个优点,就是在双方集合大小相差很大的情况下,花销很大的公钥加密操作可以集中在一方进行㊂结合这种方案通信复杂度低的优点,Chen等人在文献[28]㊁㊃501㊃。

隐私计算及其相关标准介绍

隐私计算及其相关标准介绍

隐私计算及其相关标准介绍作者:蔡鸣远谢宗晓来源:《中国质量与标准导报》2022年第04期0 引言隐私计算(Privacy Computing)是在需求推动下的一类技术的统称,前提是数据被作为生产要素,需要实现其价值。

如果仅需要保护隐私,或者说实现机密性,是不需要隐私计算的。

隐私计算也称为隐私保护计算(Privacy-persevering Computing),主要是指在保护数据隐私的前提下,实现数据的流通和应用等,就是常说的“可用不可见”。

因此,从隐私的整个生命周期来看,隐私计算只是其中一个环节。

1 分类按照不同的标准,隐私计算可以划分成不同的类别。

从隐私保护的角度而言,大致分为三类:(1)基于访问控制技术的方案;(2)基于密码学的方案;(3)基于信息泛化、混淆、匿名等技术的方案[1]。

这三类保护技术各有利弊,基于访问控制技术的方案并不适合数据交换和元数据存储等环节,基于密码学的方案可以较好地解决数据交换问题,但是交换后的信息如何管理需要其他方案,基于信息泛化、混淆、匿名等技术的方案降低了数据的可用性,目前采用的逻辑是处理后的数据和原始数据同时保存。

该分类一个更重要的问题在于与实践中所用词汇不一致。

例如,在隐私计算领域,提到最多的是多方安全计算、联邦学习、差分隐私等。

本文将常见的技术按应用的层次分为技术框架和基础技术。

其中,技术框架主要包含多方安全计算、联邦学习和可信执行环境。

基础技术主要包括同态加密、差分隐私、不经意传输、秘密共享和零知识证明等较为具体,但是不能成为单独应用的技术。

2 技术框架2.1 多方安全计算多方安全计算(Secure Multi-party Computation,MPC)是指没有可信第三方的情况下,一组互不信任的参与方在不泄露隐私信息的前提下,共同计算某一函数,并获取自己的结果,这需要同时实现数据的机密性和正确性。

多方安全计算起源于姚期智在1982年提出的百万富翁问题,即两个富翁在无可信第三方的情况下,想比较谁更有钱,但是又不想暴露自己的财产。

秘密比较

秘密比较

2011,ACM,安全两方计算公平性(被引68次); 2011,安全多方计算:从百万富翁问题到匿名者(被引3次) 2011,安全多方计算排序问题(被引4次),Science China Information Sciences 2013,Yao's millionaires' problem and decoy-based public key encryption by classical physics 通过经典物理学的姚氏百万富翁问题和诱捕式公钥加密 2013,Fair Two-Party Computations via the BitCoin Deposits( 被引2次)
1
协议三:保护私有信息的较小数的比较协议 协议四:保护私有信息的任意两数的比较协议
①长度函数 ②茫然传输
协议五:基于同态加密的百万富翁问题高效解决方案 • 协议思想:对保密输入进行0编码和1编码,将自然数编码成一个
集合从而把数据比较问题转化为集合的相交问题,并利用 ElGamal同态加密算法解决了这个问题,这是一个很有创意的协 议。 C类会议,ACNS, • 0-编码和1-编码 被引64次 • GT Protocol:
1
2
2006年,Damgard等人在无条件安全环境下,利用线性秘密 分享方案设计一个保护私有信息的数据比较协议。 2008年,Jin等人提出了一个百万富翁问题的扩展问题,即 向量优势问题。这个问题可以描述为两个参与方,各自拥 有向量A=(a1,a2,……, an),B = (b1,b2,…… ,bn),问题的输出 就是想知道是否对于所有的i,都有ai > bi,并且都不向对方 泄露自己的输入。作者在半诚实模型和恶意模型下都研 究了向量优势问题,并且给出了不同轮数的协议。

姚氏百万富翁问题的高效解决方案

姚氏百万富翁问题的高效解决方案

为了方便地给出半诚实模型下的安全性定义,首先引入
下列符号。假设协议的参与方分别为 Alice 和 Bob。Alice 和
Bob 要 计 算 的 函 数 为 f :{0,1}* ×{0,1}* 6 {0,1}* ×{0,1}* 。 函 数
作者简介:查 俊(1986-),男,硕士研究生,主研方向:保密通信; 苏锦海,教授;闫少阁、闫晓芳,硕士研究生 收稿日期:2009-12-22 E-mail:chazhajun@
(解放军信息工程大学电子技术学院,郑州 450004)
摘 要:姚氏百万富翁问题是安全多方计算的典型问题,但已有解决方案多数存在效率低的问题。通过采用0编码与1编码,将百万富翁 问题转换为集合交集问题,提出一种基于可交换加密函数的百万富翁问题高效解决方案,并进行了安全性证明。该方案无需复杂的模指数 运算,加解密运算为 O(n),通信轮数为 4,整体性能优于其他方案。 关键词:百万富翁问题;编码;交集;可交换加密;安全性
f (x, y) 的第 1 个元素记为 f1(x, y) ,第 2 个记为 f2 (x, y) ,计 算函数 f 的两方协议为 π 。Alice 和 Bob 在输入为 (x, y) 的情
况下执行协议 π 得到的信息分别为 VIEW1π (x, y),VIEW2π (x, y) ,其 具体值为 {x, r1, m1, m2,", mt} ,( {y, r2 , m1, m2 ,", mt} ),其中, r1 , r2 表示 Alice 和 Bob 拥有的随机数, mi 表示所收到的第 i 条 消息。OUTPUT1π (x, y)(OUTPUT2π (x, y)) 表示 Alice(Bob)在输入 为 (x, y) 的情况下执行协议 π 时得到的输出结果,显然它隐含

fpga密码算法加速的同态算法

fpga密码算法加速的同态算法

FPGA(Field Programmable Gate Array)是一种集成电路,它可以通过编程来定制其功能。

在密码学中,同态加密是一种特殊的加密算法,它允许在加密状态下执行计算,并在解密后得到正确的结果。

FPGA可以通过并行计算和定制逻辑电路来加速同态算法的执行,从而提高安全性和效率。

在本文中,我们将探讨使用FPGA加速同态算法的相关技术和方法,包括同态加密的基本原理、FPGA的优势和应用实例等。

通过本文的阐述,读者可以更深入地了解FPGA在密码学中的应用,以及同态算法加速的实际意义和挑战。

一、同态加密的基本原理同态加密是一种允许在加密状态下执行计算的加密形式。

它具有两种基本形式:完全同态加密(Fully Homomorphic Encryption,FHE)和部分同态加密(Partially Homomorphic Encryption,PHE)。

完全同态加密允许对加密数据进行任意计算操作,而部分同态加密只能进行特定的计算操作。

同态加密的基本原理是利用数学运算的特性来实现对加密数据的计算操作,而无需解密数据。

在同态加密中,加密算法和解密算法满足以下条件:1. 对称性:加密算法和解密算法是匹配的,可以通过解密算法还原出原始数据。

2. 可计算性:加密数据可以通过一定的运算得到正确的结果,而无需解密数据。

二、FPGA在同态算法加速中的优势FPGA在同态算法加速中具有以下优势:1. 并行计算:FPGA可以通过并行计算来加速同态算法的执行。

由于其可编程性和灵活性,可以根据具体的同态算法设计定制化的并行计算逻辑电路,从而提高计算效率。

2. 低延迟:FPGA具有较低的计算延迟和高速的数据处理能力,能够在实时应用中实现同态算法的加速。

3. 灵活性:FPGA可以根据应用需求设计定制化的同态算法加速模块,具有较强的灵活性和适应性。

4. 节能性:相较于传统的通用计算机,FPGA具有较低的功耗和高能效比,能够在同态算法加速中实现节能和环保的优势。

数据隐私保护的同态加密方法

数据隐私保护的同态加密方法

数据隐私保护的同态加密方法随着互联网和数字化时代的到来,数据的价值越来越被重视,但同时也带来了数据隐私泄露的风险。

个人的敏感信息和商业机密都需要得到妥善的保护,以防止未经授权的访问和使用。

在保护数据隐私方面,同态加密方法在近年来得到了广泛的研究和应用。

同态加密是一种特殊的加密技术,它允许在密文的基础上进行特定计算操作,得到与这些操作在明文上相同的结果,而无需解密密文。

这意味着数据可以在加密状态下进行计算,并在解密后获得准确的结果,而不会泄漏数据的明文。

因此,同态加密成为了数据隐私保护的有力工具。

一种常用的同态加密方法是基于RSA算法的同态加密。

RSA 算法是一种非对称加密算法,它使用了两个密钥:公钥和私钥。

发送方使用公钥对数据进行加密,而接收方使用私钥进行解密。

在基于RSA的同态加密中,操作在密文上进行的同时,密文的形式也保持在同一加密系统中。

这种方法的优点是简单易用,并且可以对任何形式的数据进行计算。

另一种同态加密方法是基于Paillier密码系统的同态加密。

Paillier密码系统是一种概率加密方法,它是非对称加密算法的一种变体。

在Paillier密码系统中,加密是通过将明文进行加密和乘法混淆实现的。

该方法具有较高的计算效率和安全性,并且广泛应用于隐私保护领域。

同时,近年来的研究也提出了更先进的同态加密方法,如基于椭圆曲线密码系统的同态加密。

椭圆曲线密码系统是一种基于数论问题的非对称加密方法,其公钥密码学的安全性较高。

基于椭圆曲线密码系统的同态加密通过使用椭圆曲线上的点进行计算,可以实现更高级的同态加密操作。

在实际应用中,同态加密方法可以用于保护个人隐私数据。

例如,在医疗保健领域,同态加密可以用于对患者的敏感医疗数据进行加密和计算,以提供个性化的医疗建议,同时保护患者的隐私。

同样,在金融领域,同态加密可以用于进行安全的数据分析和数据共享,以促进金融机构之间的合作,同时保护客户的隐私。

尽管同态加密方法在数据隐私保护方面具有巨大潜力,但目前仍存在一些挑战和限制。

全同态加密方案

全同态加密方案

引言全同态加密是一种先进的加密技术,可以将加密数据进行计算而无需解密,在计算结果上也能保持加密状态。

这种加密方案广泛应用于云计算、数据隐私保护等领域,具有重要的研究和实际价值。

本文将介绍全同态加密的基本概念、原理和应用,并探讨其在信息安全领域的前景。

全同态加密的基本概念全同态加密是指一种加密方案,允许对密文进行计算操作,得到的结果仍然是加密后的数据。

具体来说,对于两个密文C1和C2,全同态加密方案应具备以下性质:1.加法同态性: 对于明文m1和m2,通过加密算法加密得到的密文C1和C2,满足C1+C2 = Enc(m1) + Enc(m2) = Enc(m1+m2)。

即,对密文进行加法运算的结果与对应的明文之和的加密结果相同。

2.乘法同态性: 对于明文m1和m2,通过加密算法加密得到的密文C1和C2,满足C1 * C2 = Enc(m1) * Enc(m2) = Enc(m1 * m2)。

即,对密文进行乘法运算的结果与对应的明文乘积的加密结果相同。

3.解密性: 对于密文C,通过解密算法解密得到的结果D(C),满足D(C) = m。

即,密文经过解密操作能够还原为明文。

全同态加密的实现原理主要基于数学上的复杂运算和密码学技术。

其中,主要的数学基础涉及到离散对数问题、整数分解问题等难题。

具体实现全同态加密的算法有DGHV方案、BGV方案等。

下面简要介绍DGHV方案的原理:DGHV方案是一种基于整数分解问题的全同态加密方案。

其主要思想是通过整数分解问题构建一个同态系统,并利用置换和扩展技术来实现同态性。

具体实现步骤如下:1.参数生成:选择合适的安全参数n,并生成两个大素数p和q,使得p q >n^2。

此外,还需生成一些辅助参数,如模数N=p q、生成元g。

2.密钥生成:随机选择一个秘密密钥sk,并根据参数生成公钥pk。

3.加密算法:对于明文m,根据公钥pk和参数生成一个加密密钥ek,并将明文m和加密密钥ek进行加密,得到密文C。

基于多比特全同态加密的安全多方计算

基于多比特全同态加密的安全多方计算

第44卷第4期2021年4月Vol.44Ao.4Apr.2021计算机学报CHINESE JOURNAL OF COMPUTERS基于多比特全同态加密的安全多方计算唐春明胡业周(广州大学数学与信息科学学院广州510006)摘要本文中,我们首先证明了李增鹏等人提出的多比特多密钥全同态加密方案(MFHE)满足密钥同态性质,利用此性质,可以通过门限解密得到最终解密结果•使用该方案,我们设计了一个在CRS模型下和半恶意攻击者模型下安全的三轮多方计算协议(MPR.该安全多方计算协议的安全性是基于容错学习问题(LWE)的两个变种问题Ferr-LWR和Some-are-errorless.LWR,而且,通过非交互的零知识证明,我们可以把半恶意攻击者模型下安全的三轮多方计算协议转变为在恶意模型下安全的三轮多方计算协议使关键词全同态加密;多密钥多比特;门限解密;LWE及其变种问题;安全多方计算中图法分类号TP309DOI号年.01897/SE O.1016.2020.00836Secure Multi-Party Computation Based on Multi-Bit FullyHomomorphic EncryptionTANG Chun-Ming HU Ye-Zhou(School of M-a.Lherna.Lics and InformaLion Sciences,Guangzhou UniuersiLy,Guangzhou510006)Abstrac-N this paper,we study securr multi-party computatiog based or multi-bit fully homomorphic encryptiog.N the previoue work,s lot ol researcO hae bees dons or the secure multi-parts computing protocol baseO on single-bit full homomorphie encryptiog.Although this protocol can bc naturallp extendeO to multi-bit version,it neeOs to bc encrypted repeatedly, whicU great—reducee eXiciencp.On ths othee hand,we know tha-in ths full homomorphie encryption schernes based on ring-LWS sucU ee EGV,multi-bite ca_n be encrypted simultaneouslpbp usinp the Chiness remaindee theorem,namelp SIMD operatioc.However,t those schemee,the dimension of ciphertext expants too fast,se the evaluated kep is needet to perform re-lineanzationto reduce the dimension ot ciphertext.Therefore,we choose GSW full homomorphir encryptiot scheme se ths basie to build o secure multi-partp computation protocol.M2017,Li ed dual LWE S o convert GSW full homomorphie encryption into multi-bit version,which cou IO encrypt-bite st ths same time.Based on this scheme,we construe-o three-round secure multZ partp cornputQticu.We firs-prove tha-the multi it multi kep fully homomorphie rncryption scheme(MFHS)satisfiee ths key homomorphie property,because in ths publie key generation phase,ea_ch party usee e common random matrip.With this property,ths final decryption resuitcan i obtained by threshold decryption,na_mby each participan-can use its own private kep to decrypt the evaluated ciphertext.M combination with the partial decryption ot all parties,the plaintext datt co i inp this scheme,we design o three-round secure multi-partp收稿日期:2020-01-M;在线发布日期:2020-05-11.本课题得到国家自然科学基金项目广1772年卷满十三五”家密码发展基金项目(MDJJ20170117S.广东省重大基础研究培育项目(广15A1601年)、密码科学技术国家重点实验室开放课题项目(MMKFKT201913)X州市教育局协同创新重大项目(1年161年05)、广州大学全日制研究生“基础创新”项目M—GDJCM28)资助.唐春明,博士,教授,博士生导师,主要研究领域为密码学及其应用.Wmail:ctan—.w.胡业周,硕士研究生,主要研究方向为全同态加密与安全多方计算.4期唐春明等:基于多比特全同态加密的安全多方计算837computation protocol(MPC)in the CRS model and semi-malicious adversary model.The number of rounVs of three is optimal,because nt the ciphertext generatiou stage,eacO participant neeVs th leash onr rounV to mcrypt the private messaer using the public key of all to br calculateC re thr joint public kep.Thm,in the seconV round,eacO party publishes the ciphertext thah encrypts its owe private date to calculate evaluateC ciphertext,anV in the(st round,all partiee publist thCs owe partial decryption to reconstruct the fid messare.We compare it with the misting secure multi-partp computation protocol baseC ou GSW full homomorphic encryption scheme,becausc wc can encrypt multipls bitt a_t ths sams time,so the eCiciencp is ths highest.The securitp of ths secure multi-partp computing protocol is baseV on the variante of the Learning with Errore Problec(LWE)calleV Ferr-LWE anV Vome-are-errorless.LWE problem,ths cUfficultp it ths same as solvinr ths LWE problem.Wc can usc ideat ve reat models to provs this,aamelp usinr r simulatoe to simulats ths input of ths honmt ply,rd finallp p seriee of hybrid gaem arc defined to provs that ths idS rd ths reC arc computatiop indistinguishable,whicU it hold whm therr is only onr honmt party,U so wc cad provs ths securitp againse those who corrupt ths arbitrary numbee of partiee usinr only pseudorandom functione.Od ths other ha_nd,ba_sed on non-interactivs zem knowledge proof,we cad transform the Three-round secure multipartp computatiop protocol undee the semi-malicioue adversarp modee O w the Three-rotrnd secure multipartp computation protocol undee the malicioue modeLKeywords fully homomorphic encryption;multi bit multi kep;threshold decryption;LWE a_rW its variants;secure multi-partp computation1引言随着大数据行业的兴起与云计算的发展,数据的隐私保护越来越受到人们的关心,其中安全多方计算和全同态加密在数据的隐私保护中发挥着重要的作用.安全多方计算最先由姚期智在1982年解决“百万富翁”问题时提出巴通常来说,安全多方计算协议是指在狀个不同的参与方方9狆年…狆”}之间,协同计算某一个函数M,狔,…,_y”)=/(m,狓,…狓),计算完毕后,每个参与者P,仅仅知道自己的输入心和输出”,但对于其他人的输入和输出得不到任何信息.全同态加密的概念最先由RivesS〕在1978年提出,旨在不解密的情况下,对密文进行运算,其结果和直接在明文上进行操作相同全卩decMMnc(M99,EncMi〕年,…,EncM个)))=/((9 ,犿2,……个.目前,对多比特的全同态加密以及单比特的安全多方计算做了大量的研究,但如何构造一个基于多比特GSW全同态加密方案的安全多方计算协议,而不是采用逐比特加密,仍然是个未解决问题.本文利用文献[3冲多比特全同态加密方案以及其密钥同态的性质,构造了一个基于多比特全同态加密方案的安全多方计算协议,并与近些年同类的方案做横向对比,发现其性能是最优的.本文第2节综述相关工作;第7节给出一些与本文相关的定义及定理并简要叙述文献3提出的多比特全同态加密方案和该方案的正确性及安全性;第4节证明该方案的密钥同态性;第5节利用该方案构造一个多比特的安全多方计算协议,证明其安全性并分析其性能;第6节总结全文.2相关工作1987年,GoldreicU等人提出一个安全多方计算协议,该协议可以计算任意函数,并在下一年给出了安全多方计算的安全性定义3.目前常用安全多方计算协议的构造方法有如下几类:基于混淆电路的安全多方计算协议;基于不经意传输的安全多方计算协议3.基于可验证秘密共享的安全多方计算协议3;基于混合匹配的安全多方计算协议3;基于HE的安全多方计算协议39.全同态加密的发展较为缓慢,直到2008年,才由Gentry提出了第一个基于理想格的全同态加838计算机学报2021年密方案随后,众多的全同态加密方案也应运而生.可以将其发展阶段分成三个阶段,第一阶段是基于Gentry所提的全同态加密方案,代表的方案有SV22、SS28、LMSV10等.第二阶段是Brakerski和Vaikuntanathan利用LWE和ring-LWE的假设实现了FHE.其代表方案有BGV年年、Bra年年、SV年年等.第三阶段是基于LWE假设,利用近似特征向量构造的FEE方案,其代表的方案有GSW(1年)、CM(1年)、MW(()等.对于多密钥的FEE是由LOPEZ-AltAc Tromere、Vaikuntanhanv提出,他们利用改进的NTRU方案构造了一个MFHZ方案,但该方案的复杂度太高,且复杂度随着用户的增长呈现出指数增长年.在CM(15)和MW(1年中,提出了一个多密钥的全同态加密方案和一个在CRS模型中的1轮MPC协议.将一个密文矩阵通过扩展(Expand)操作众生一个新的密文,并将密钥级联成组合密钥,用组合密钥解密扩展后的密文可以得到正确的解密结构.但是该方案的密文矩阵体积过大,且在Expand操作中,需要利用联合操作产生一个掩盖信息.在BHEE)中,提出了一个在平凡模型中基于多密钥全同态加密的MPC协议,且抵抗半恶意的敌手只需三轮通信,若想抵抗恶意敌手,只需增加一轮即可5.这些全同态加密方案都是单比特加密的方案第门限解密即每一方利用自己的私钥解密密文产生各自的部分解密,然后每一方结合其他人的部分解密可恢复出明文.上述提到的几种全同态加密方案都可以使用门限解密得到最终的结果.3多比特全同态加密(MFHE^)方案3・1记号对于自然数狀Z,且]代表{1,提…,提.对于一个自然数狓Z众众」代表最接近狓但小于北的整数•小写粗斜体字母代表向量众写粗斜体字母代表矩阵.对IA兀代示矩阵和向量的水平连接,(M提,M")表示两个向量的水平连接需•表示两个向量的内积•对于向量兀=(M,需,…,…),…二1需范数指的是II兀II严狓狆代co范数指的是II= ex(Mi丨,I|,…,I|)表范数指的是II=^\l\,仏范数指的是II£I丨1对于一1-1V个矩阵A,犪代表的是矩阵A的第2列向量小A||表示矩阵A中仏范数最大列向量,即I=ex-|—3・2定义与定理定义1.算法BhDecomp~1指输入一个n^mXq维向量兀=Ml,o2…,I I5-1,…,I ,5,…,I,第-1)输狇一]q—1出一个p维向量(M21,第…,n狓,第).其中J-2J-2I,,…,I,—i,…,x”,i,…,—1不必是{0,5}.定理I1.对于任意的p〉"「log—存在一个固定的矩阵G Z—q,和一个确定性的“原像”函数G^M),满足如下的情形:对于任意的〉,输入矩阵M^Z—P\逆函数G lM)输出一个0,1}矩阵,即G1:M)e{0,l}pXp,使得G G-}M)=m.定义2.—个基于整数上的分布O矩犖,我们称该分布是B-有界的,如果:Er狓三B[=mg/(M,其中,negl(M是一个可忽略函数.定理21.对于服从H有界分布的一系列随}犖机变量狓m犖)表则机变量狓m2狓同样也服-—5从该H有界分布.定理3〔2.对于Z"中的向量x以及c Dz〉…,当|“T・e I的值被看作成[0,…——1里的一个整数,则满足:|X1"•e H I®'•/log x+||I4〉/2,其中,D z〉”是高斯分布,/•是高斯参数.定义3.对于在有限域Q上的两个分布X与Y,X与V之间的统计距离指的是A(M,Y)操12|XM)—YM中.如果MM,只)的值是可忽略厶)z n__stair的,则写作X~Y.定理40、.对2ZZ,n Z犖,q—N,〉>n logg+ 2A.A Z犣”是一个均匀随机矩阵,是0,1}〉,以及y犚么有:△((M,只T•是,(M,n)—21定义4(Learning with Errors).对于一个秘密向量sZZZ,在犣〉上的LWE分布人…指的是均匀选取a Z Z「。

  1. 1、下载文档前请自行甄别文档内容的完整性,平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益,请联系客服反馈,我们会尽快为您处理(人工客服工作时间:9:00-18:30)。

同态加密的百万富翁问题高效解决方案
同态加密是一种重要的密码学技术,可以实现在加密状态下进行计算,保护数据隐私。

在实际应用中,同态加密可用于处理敏感数据,如医疗健康、金融交易等领域。

本文将介绍同态加密在解决百万富翁问题上的高效方案。

百万富翁问题是一个经典的数学问题,它的描述如下:公正的硬币抛掷若干次,若第一次正面朝上,甲方付给乙方一元钱;否则乙方付给甲方2的$n$次方元钱,其中$n$为正整数。

问题是什么情况下甲方能够确保比赛赢得到钱?
传统的解决方案需要进行大量的计算,特别是在$n$较大时,计算复杂度非常高。

而同态加密可以改变这种情况,将所有的计算转化为在加密状态下进行,最后解密得到结果。

下面我们介绍如何使用同态加密来解决百万富翁问题。

首先,我们需要将问题转化为一个数学公式,即:
$$
A = \left\{
\begin{aligned}
1, & \text{第1次正面朝上} \\
2^n, & \text{第1次反面朝上}
\end{aligned}
\right.
$$
其中$A$表示乙方要支付给甲方的金额。

使用同态加密,我们
可以将$A$加密后得到一个密文$E(A)$,并对$E(A)$进行加密
操作,得到$E(A^2)$。

接着,我们将$E(A^2)$发送给甲方,让甲方对其解密。

这样,甲方就能得到$A^2$的值了。

通过这种
方法,可以得出以下公式:
$$A^2 = \left\{
\begin{aligned}
1, & \text{第1次正面朝上} \\
2^{2n}, & \text{第1次反面朝上}
\end{aligned}
\right.
$$
然后我们将$A^2$加密后得到$E(A^2)$,并对其进行加密操作,得到$E(A^4)$。

按照上述方式继续操作,我们可以得到:
$$
\begin{aligned}
E(A^1) \to E(A^2) \to E(A^4) \to E(A^8) \to \cdots \to E(A^{2^{n-1}})
\end{aligned}
$$
通过这种方式,甲方就能够得到$A^{2^{n-1}}$的值了。

因此,甲方可以比乙方高出$2^{n-1}$元钱,即甲方的收益为$2^{n-
1}-1$元。

需要注意的是,同态加密方案需要选择合适的安全参数,以保证安全性和计算效率。

此外,同态加密技术还面临着信噪比问
题,即加密算法会引入一定的噪音,影响计算精度和效率。

总体来说,使用同态加密技术可以极大地提高百万富翁问题的计算效率和安全性。

随着同态加密技术的日益成熟和应用的扩大,我们相信会有更多的实际问题得到高效解决。

相关文档
最新文档