[论文解读] Communication Complexity and Secure Function Evaluation

Moni Naor, Kobbi Nissim|ArXiv.org|Sep 9, 2001

Cryptography and Data Security参考文献 35被引用 31

一句话总结

本文通过利用通信复杂度和基于RAM的计算模型，提出了两种新颖的方法，用于构建高效的安全函数计算（SFE）协议。证明了任意通信复杂度为c的函数，均可通过与c和安全参数k的多项式关系的通信复杂度实现安全计算，相较于基于电路的方法显著提升了效率，尤其适用于通信复杂度为次线性的函数（如中位数或百万富翁问题）。

ABSTRACT

We suggest two new methodologies for the design of efficient secure protocols, that differ with respect to their underlying computational models. In one methodology we utilize the communication complexity tree (or branching for f and transform it into a secure protocol. In other words, "any function f that can be computed using communication complexity c can be can be computed securely using communication complexity that is polynomial in c and a security parameter". The second methodology uses the circuit computing f, enhanced with look-up tables as its underlying computational model. It is possible to simulate any RAM machine in this model with polylogarithmic blowup. Hence it is possible to start with a computation of f on a RAM machine and transform it into a secure protocol. We show many applications of these new methodologies resulting in protocols efficient either in communication or in computation. In particular, we exemplify a protocol for the "millionaires problem", where two participants want to compare their values but reveal no other information. Our protocol is more efficient than previously known ones in either communication or computation.

研究动机与目标

• 开发通信高效的秘密函数计算协议，以保留原函数的通信复杂度。
• 克服传统混淆电路方法效率低下的问题，后者会造成高昂的通信和计算开销。
• 实现对通信复杂度为次线性的函数（如中位数或比较函数）的安全计算。
• 提供一种框架，将任意低通信量的协议转换为安全协议，且通信和计算的膨胀为多项式级别。

提出的方法

• 使用通信复杂度树（分支程序）作为计算模型，将任意低通信量的非安全协议转换为安全协议。
• 应用间接索引和知识论证的零知识证明，以在不泄露输入的情况下安全模拟交互。
• 采用基于PCP的零知识证明，通信复杂度为多对数级别，以实现NP见证人的高效论证系统。
• 结合承诺方案和基于随机块的证明，实现对PCP磁带的零知识验证，且通信量最小。
• 将该方法扩展至多方计算场景，其中通信模式与输入无关。
• 利用PCP定理和纠错码，将高接受率的证明转换为完美接受率的证明，以实现知识提取。

实验结果

研究问题

• RQ1 能否实现通信复杂度为原函数通信复杂度多项式级别的安全函数计算？
• RQ2 能否以低开销安全地编译通信复杂度为次线性的协议（如中位数或比较问题）？
• RQ3 能否为NP见证人构造通信复杂度为多对数级别的高效零知识论证？
• RQ4 能否设计出同时保持通信和计算效率的保密协议？
• RQ5 如何以低通信和计算成本安全地编译基于RAM的计算？

主要发现

• 任何通信复杂度为c的函数，均可通过通信复杂度为poly(c, k)的方式实现安全计算，其中k为安全参数。
• 百万富翁问题的协议在通信或计算效率方面优于以往的构造。
• 通信复杂度为次线性的函数（如中位数）可实现安全计算，且通信开销为次线性。
• 为NP见证人构造的零知识论证可实现通信复杂度为polylog(n) · poly(k)。
• 将非安全协议转换为安全协议时，通信和计算的膨胀仅为原协议通信成本的多项式级别。
• 该框架支持多方安全计算，当通信模式与输入无关时。