[論文レビュー] A New Approach to Practical Active-Secure Two-Party Computation

Jesper Buus Nielsen, Peter Sebastian Nordholt+2 more|arXiv (Cornell University)|Feb 14, 2012

Cryptography and Data Security参考文献 10被引用数 28

ひとこと要約

本論文は、ランダムオракルモデルにおけるOT拡張を用いたOTベースのプロトコルにより、実用的でアクティブセキュアな2パーティ計算を実現する新しい手法を提示する。高い性能を達成しており、1秒間に20,000以上のブールゲートを処理し、3秒未満で27回のオblivious AES暗号化をアモアタイズドで実行する。情報理論的タグを用いた認証OTおよび入出力バインディングの新技術を活用することで、ヤウベースの実装を凌駕する。

ABSTRACT

We propose a new approach to practical two-party computation secure against an active adversary. All prior practical protocols were based on Yao's garbled circuits. We use an OT-based approach and get efficiency via OT extension in the random oracle model. To get a practical protocol we introduce a number of novel techniques for relating the outputs and inputs of OTs in a larger construction. We also report on an implementation of this approach, that shows that our protocol is more efficient than any previous one: For big enough circuits, we can evaluate more than 20000 Boolean gates per second. As an example, evaluating one oblivious AES encryption (~34000 gates) takes 64 seconds, but when repeating the task 27 times it only takes less than 3 seconds per instance.

研究の動機と目的

• ヤウのガーベルドサーキットに依存しない実用的でアクティブセキュアな2パーティ計算プロトコルの開発。
• オブlivious transfer（OT）をコアプリミティブとして用いる、効率的でスケーラブルな安全計算の実現。
• 情報理論的タグを用いて、大規模な構成におけるOTの入出力を安全かつ効率的にバインディングする新技術の設計および実装。
• OTベースの2PCが実世界の展開においてヤウベースのアプローチを上回る効率性を示せることの実証。
• アクティブセキュアなOT拡張およびOTベースの2PCの実装を初めて提供し、実用的 viability を示す。

提案手法

• ランダムオラクルモデルにおいてOT拡張を用い、少数のシードOTから多数のOTを効率的に生成する。
• 複数のOTに跨る入出力をバインディングするため、情報理論的タグを用いた新しい認証OT構成を導入する。これにより、安全な合成が可能になる。
• 部分的な漏洩を許容しながらもセキュリティを維持する、新しい技術「Leaking Bitsを用いたビット認証（LaBit）」を採用する。
• 高価な計算を事前計算するプレプロセッシングモデルを採用し、繰り返し実行時のオンライン遅延を低減する。
• 統計的セキュリティを管理するためのバケツ化メカニズムを用い、セキュリティレベルはゲート数およびバケツサイズに依存する。
• 初期設定後はすべての操作に対称的プリミティブ（例：ハッシュ関数）を用いることで、高価な公開鍵暗号に依存するのを最小限に抑える。

実験結果

リサーチクエスチョン

• RQ1 OTベースの2パーティ計算は、実世界の応用において実用的であり、ヤウのガーベルドサーキットを効率性で凌駆できるか？
• RQ2 高価な公開鍵演算に依存せずに、OTベースの2PCで効率的なアクティブセキュリティを実現できるか？
• RQ3 複数のOTに跨る入出力を安全かつ効率的にバインディングするための新技術は何か？
• RQ4 アクティブセキュアなOT拡張を実用的に実装でき、パッシブセキュアなバージョンに近い性能を達成できるか？
• RQ5 標準ハードウェア上での完全にアクティブセキュアなOTベース2PCプロトコルの実用的性能はどの程度か？

主な発見

• プロトコルは1秒間に20,000以上のブールゲートを処理し、アクティブセキュア2PCにおける高い効率性を示している。
• オブlivious AES暗号化（34,000ゲート）は1回の実行で64秒かかるが、27回にわたるアモアタイズドでは1回あたり3秒未満に低下する。
• 2,048個のAESブロックにわたるアモアタイズドでは、オンラインフェーズで1秒間に108万ゲートを処理し、強力なスケーラビリティを示している。
• 実装は1秒間に50万OTを生成でき、アクティブセキュアなOT拡張の実用性を裏付けている。
• ヤウベースの実装と比較して、特にアモアタイズド設定において優れたパフォーマンスを達成している。
• 統計的セキュリティレベルは、ゲート数およびバケツサイズに応じて動的に調整され、最大不確実性は$2^{- ho}$で表され、$ ho$は回路サイズおよび構成に依存する。