参考文献：
- [ABY] Demmler D, Schneider T, Zohner M. ABY-A framework for efficient mixed-protocol secure two-party computation[C]//NDSS. 2015.
- [ABY3] Mohassel P, Rindal P. ABY3: A mixed protocol framework for machine learning[C]//Proceedings of the 2018 ACM SIGSAC conference on computer and communications security. 2018: 35-52.
- [ABY2.0] Patra A, Schneider T, Suresh A, et al. {ABY2. 0}: Improved {Mixed-Protocol} Secure {Two-Party} Computation[C]//30th USENIX Security Symposium (USENIX Security 21). 2021: 2165-2182.
- [Beaver91] D. Beaver. Effificient multiparty protocols using circuit randomization. In CRYPTO, 1991.
- [ALSM13] Asharov G, Lindell Y, Schneider T, et al. More efficient oblivious transfer and extensions for faster secure computation[C]//Proceedings of the 2013 ACM SIGSAC conference on Computer & communications security. 2013: 535-548.
- [RSS19] Rathee D, Schneider T, Shukla K K. Improved multiplication triple generation over rings via RLWE-based AHE[C]//International Conference on Cryptology and Network Security. Cham: Springer International Publishing, 2019: 347-359.
文章目录
- 混合 MPC
- 乘法协议
- ABY 转换
混合 MPC
首先汇总下以 Arithmetic - Boolean - Yao 为名的三种混合协议：
- 著名的 ABY 是第一个混合多种 MPC 协议的安全多方计算协议。不过由于 Yao’s GC 的限制，它仅仅是个半诚实安全的 2PC 协议。
- 之后的 ABY3 是一种恶意安全的 3PC 协议。它使用了 Yao’s GC 的三方扩展，两个 Garbler，一个 Evaluator。由于三方协议计算 AND 门不需要 Beaver Triple，因此计算速度比 ABY 快很多。
- 而 ABY2.0 则是对 ABY 的通信性能做了改进，它也是半诚实安全的 2PC 协议。
它们的基本流程都是：
- 利用 Sharing protocol，将输入值分享给各方
- 利用 SS 的 Linear Homomorphic 性质，以及 Multiplication protocol，计算给定的函数（期间做 A-B-Y 之间的 shares 转换）
- 使用 Reconstruction protocol，从 shares 恢复出输出值
乘法协议
使用 Beaver Triple 计算乘法门，给定元组
(
δ
a
,
δ
b
,
δ
a
b
=
δ
a
δ
b
)
(\delta_a,\delta_b,\delta_{ab}=\delta_a\delta_b)
(δa,δb,δab=δaδb)，满足关系
a
b
=
(
a
+
δ
a
−
δ
a
)
(
b
+
δ
b
−
δ
b
)
=
(
a
+
δ
a
)
(
b
+
δ
b
)
−
(
a
+
δ
a
)
δ
b
−
(
b
+
δ
b
)
δ
a
+
δ
a
b
\begin{aligned} ab &= (a+\delta_a-\delta_a)(b+\delta_b-\delta_b)\\ &= (a+\delta_a)(b+\delta_b) - (a+\delta_a)\delta_b - (b+\delta_b)\delta_a + \delta_{ab} \end{aligned}
ab=(a+δa−δa)(b+δb−δb)=(a+δa)(b+δb)−(a+δa)δb−(b+δb)δa+δab
简记 Δ a = a + δ a , Δ b = b + δ b \Delta_a=a+\delta_a, \Delta_b=b+\delta_b Δa=a+δa,Δb=b+δb。参与方 P i , i ∈ { 0 , 1 } P_i,i\in \{0,1\} Pi,i∈{0,1} 持有 ( [ a ] i , [ δ a ] i ) , ( [ b ] i , [ δ b ] i ) , [ δ a b ] i ([a]_i, [\delta_a]_i),([b]_i, [\delta_b]_i), [\delta_{ab}]_i ([a]i,[δa]i),([b]i,[δb]i),[δab]i 这些 shares，为了计算 c = a b c=ab c=ab 的 shares，使用 Beaver 乘法协议：
- P i P_i Pi 计算 [ Δ a ] i = [ a ] i + [ δ a ] i [\Delta_a]_i = [a]_i+[\delta_a]_i [Δa]i=[a]i+[δa]i 以及 [ Δ b ] i = [ b ] i + [ δ b ] i [\Delta_b]_i = [b]_i+[\delta_b]_i [Δb]i=[b]i+[δb]i
- P i P_i Pi 互相发送 [ Δ a ] i [\Delta_a]_i [Δa]i 和 [ Δ b ] i [\Delta_b]_i [Δb]i 给对方（四个元素）
- P i P_i Pi 重构出 Δ a = [ Δ a ] 0 + [ Δ a ] 1 \Delta_a=[\Delta_a]_0+[\Delta_a]_1 Δa=[Δa]0+[Δa]1 和 Δ a = [ Δ a ] 0 + [ Δ a ] 1 \Delta_a=[\Delta_a]_0+[\Delta_a]_1 Δa=[Δa]0+[Δa]1
- P i P_i Pi 计算 [ c ] i = i ⋅ Δ a Δ b − Δ a [ δ b ] i − Δ b [ δ a ] i + [ δ a b ] i [c]_i = i \cdot \Delta_a\Delta_b - \Delta_a[\delta_b]_i - \Delta_b[\delta_a]_i + [\delta_{ab}]_i [c]i=i⋅ΔaΔb−Δa[δb]i−Δb[δa]i+[δab]i
- P i P_i Pi 持有了 [ c ] i [c]_i [c]i，容易验证 [ c ] 0 + [ c ] 1 = a b = c [c]_0+[c]_1=ab=c [c]0+[c]1=ab=c
ABY2.0 观察到
Δ
a
,
Δ
b
\Delta_a,\Delta_b
Δa,Δb 最终是明文信息，因此修改 shares 的格式，从原本的
(
[
a
]
i
,
[
δ
a
]
i
)
([a]_i, [\delta_a]_i)
([a]i,[δa]i) 变为了
(
Δ
a
,
[
δ
a
]
i
)
(\Delta_a,[\delta_a]_i)
(Δa,[δa]i)。容易验证：
a
=
Δ
a
−
[
δ
a
]
0
−
[
δ
a
]
1
c
1
⋅
(
Δ
a
,
[
δ
a
]
i
)
+
c
2
⋅
(
Δ
b
,
[
δ
b
]
i
)
=
(
Δ
c
1
a
+
c
2
b
,
[
δ
c
1
a
+
c
2
b
]
i
)
a = \Delta_a - [\delta_a]_0 - [\delta_a]_1\\ c_1 \cdot (\Delta_a,[\delta_a]_i) + c_2 \cdot (\Delta_b,[\delta_b]_i) = (\Delta_{c_1a+c_2b}, [\delta_{c_1a+c_2b}]_i)
a=Δa−[δa]0−[δa]1c1⋅(Δa,[δa]i)+c2⋅(Δb,[δb]i)=(Δc1a+c2b,[δc1a+c2b]i)
因此定义 ⟨ a ⟩ i : = ( Δ a , [ δ a ] i ) \langle a\rangle_i := (\Delta_a,[\delta_a]_i) ⟨a⟩i:=(Δa,[δa]i) 是新的 shares 格式，它依然是线性同态的。它对应的 Sharing Protocol 为， P i P_i Pi 随机采样 [ δ a ] 0 , [ δ a ] 1 [\delta_a]_0,[\delta_a]_1 [δa]0,[δa]1，计算 Δ a = a + [ δ a ] 0 + [ δ a ] 1 \Delta_a=a+[\delta_a]_0+[\delta_a]_1 Δa=a+[δa]0+[δa]1，自己持有 ⟨ a ⟩ i = ( Δ a , [ δ a ] i ) \langle a\rangle_i = (\Delta_a,[\delta_a]_i) ⟨a⟩i=(Δa,[δa]i)，将 ⟨ a ⟩ 1 − i = ( Δ a , [ δ a ] 1 − i ) \langle a\rangle_{1-i} = (\Delta_a,[\delta_a]_{1-i}) ⟨a⟩1−i=(Δa,[δa]1−i) 发送给对方。
参与方 P i , i ∈ { 0 , 1 } P_i,i\in \{0,1\} Pi,i∈{0,1} 持有 ( Δ a , [ δ a ] i ) , ( Δ b , [ δ b ] i ) , [ δ a b ] i (\Delta_a, [\delta_a]_i),(\Delta_b, [\delta_b]_i), [\delta_{ab}]_i (Δa,[δa]i),(Δb,[δb]i),[δab]i 这些 shares，为了计算 c = a b c=ab c=ab 的 shares，使用 ABY2.0 乘法协议：
- P i P_i Pi 独立生成随机数 [ δ c ] i [\delta_c]_i [δc]i（作为 Sharing 协议的一部分）
- P i P_i Pi 计算 [ Δ c ] i = i ⋅ Δ a Δ b − Δ a [ δ b ] i − Δ b [ δ a ] i + [ δ a b ] i + [ δ c ] i [\Delta_c]_i = i \cdot \Delta_a\Delta_b - \Delta_a[\delta_b]_i - \Delta_b[\delta_a]_i + [\delta_{ab}]_i + [\delta_c]_i [Δc]i=i⋅ΔaΔb−Δa[δb]i−Δb[δa]i+[δab]i+[δc]i
- P i P_i Pi 互相发送 [ Δ c ] i [\Delta_c]_i [Δc]i 给对方（两个元素）
- P i P_i Pi 重构出 Δ c = [ Δ c ] 0 + [ Δ c ] 1 \Delta_c = [\Delta_c]_0 + [\Delta_c]_1 Δc=[Δc]0+[Δc]1
- P i P_i Pi 持有了 ⟨ c ⟩ i = ( Δ c , [ δ c ] i ) \langle c \rangle_i = (\Delta_c, [\delta_c]_i) ⟨c⟩i=(Δc,[δc]i)，容易验证 Δ c − [ δ c ] 0 − [ δ c ] 1 = a b = c \Delta_c-[\delta_c]_0-[\delta_c]_1=ab=c Δc−[δc]0−[δc]1=ab=c
Beaver 和 ABY2.0 对比如下：
上述的乘法协议在算术电路和布尔电路中都奏效，假设消息空间是 Z 2 l \mathbb Z_{2^l} Z2l，那么在 Online 阶段，ABY2.0 乘法门的通信开销仅为 2 l 2l 2l 比特，对比 Beaver 的开销为 4 l 4l 4l 比特。
对于 Setup 阶段，ABY2.0 的开销没变，因为它依然要生成 Beaver Triple。这可以通过 C-OT 或者 AHE 实现。
- 由于 δ a b = ( [ δ a ] 0 + [ δ a ] 1 ) ( [ δ b ] 0 + [ δ b ] 1 ) \delta_{ab} = ([\delta_a]_0+[\delta_a]_1)([\delta_b]_0+[\delta_b]_1) δab=([δa]0+[δa]1)([δb]0+[δb]1) 可以拆分出四项加和，其中两项 [ δ a ] i [ δ b ] i [\delta_a]_i[\delta_b]_i [δa]i[δb]i 可以本地计算，因此我们只需实现交叉项 [ δ a ] i [ δ b ] 1 − i [\delta_a]_i[\delta_b]_{1-i} [δa]i[δb]1−i 的 shares 计算。
- C-OT based [ALSM13]，
- P i P_i Pi 作为发送方，定义相关函数 f j ( x ) = x + 2 j [ δ a ] i f_j(x)=x+2^j[\delta_a]_i fj(x)=x+2j[δa]i，输入 ( m j , 0 = r j , m j , 1 = f ( r j ) ) (m_{j,0}=r_j, m_{j,1}=f(r_j)) (mj,0=rj,mj,1=f(rj))，
- P 1 − i P_{1-i} P1−i 作为接收方，根据 [ δ b ] 1 − i [\delta_b]_{1-i} [δb]1−i 的第 j j j 比特 b j b_j bj 做出选择， 获得 m j , b j m_{j,b_j} mj,bj
- P i P_i Pi 持有 [ d ] i = − ∑ j r j [d]_i = -\sum_jr_j [d]i=−∑jrj， P 1 − i P_{1-i} P1−i 持有 [ d ] 1 − i = ∑ j m j , b j [d]_{1-i} = \sum_j m_{j,b_j} [d]1−i=∑jmj,bj，容易验证 [ d ] i + [ d ] 1 − i = [ δ a ] i [ δ b ] 1 − i [d]_i+[d]_{1-i} = [\delta_a]_i[\delta_b]_{1-i} [d]i+[d]1−i=[δa]i[δb]1−i
- AHE based [RSS19]，
- P 0 P_0 P0 生成公钥 p k pk pk，将 [ δ a ] 0 , [ δ b ] 0 [\delta_a]_0, [\delta_b]_0 [δa]0,[δb]0 加密后发送给 P 1 P_1 P1
- P 1 P_1 P1 生成随机数 r r r，同态计算线性函数 v = [ δ a ] 0 [ δ b ] 1 + [ δ a ] 1 [ δ b ] 0 − r v = [\delta_a]_0[\delta_b]_1 + [\delta_a]_1[\delta_b]_0 - r v=[δa]0[δb]1+[δa]1[δb]0−r
- P 1 P_1 P1 发送密文 E ( v ) E(v) E(v)， P 0 P_0 P0 解密得到 v v v
- P 0 P_0 P0 持有 [ d ] 0 = v [d]_0=v [d]0=v， P 1 P_1 P1 持有 [ d ] 1 = r [d]_1=r [d]1=r，容易验证 [ d ] 0 + [ d ] 1 = [ δ a ] 0 [ δ b ] 1 + [ δ a ] 1 [ δ b ] 0 [d]_0+[d]_1=[\delta_a]_0[\delta_b]_1 + [\delta_a]_1[\delta_b]_0 [d]0+[d]1=[δa]0[δb]1+[δa]1[δb]0
ABY 转换
ABY2.0 同时使用了 [ a ] i [a]_i [a]i 和 ⟨ a ⟩ i \langle a \rangle_i ⟨a⟩i 两种格式的 SS，因此 A-B-Y 之间的转换与 ABY 略有不同。不过基本思路是一样的，这里不再详细描述。
除了 Y2B，其他的转换 ABY2.0 的通信量更小。除了 A2B，其他的转换 ABY2.0 的通信轮数仅为 1 1 1。不过 ABY2.0 的初始化阶段通信开销会更大。
