[论文解读] Some Efficient Solutions to Yao's Millionaire Problem

Ashish Kumar, Anupam Gupta|arXiv (Cornell University)|Oct 30, 2013

Cryptography and Data Security参考文献 14被引用 5

一句话总结

本文提出了三种高效且安全的两方协议，用于解决姚氏百万富翁问题，使爱丽丝和鲍勃能够在不泄露私有整数的情况下进行比较。第一种协议使用部分同态加密，实现四轮通信、低复杂度的解决方案；第二种协议利用不可信第三方和保序函数，实现线性通信复杂度；第三种协议使用不经意传输和伪随机函数，通信复杂度为二次方，但具有高度简洁性。主要贡献在于在通信、计算和信任假设之间实现不同权衡的实用、安全比较协议。

ABSTRACT

We present three simple and efficient protocol constructions to solve Yao's Millionaire Problem when the parties involved are non-colluding and semi-honest. The first construction uses a partially homomorphic Encryption Scheme and is a 4-round scheme using 2 encryptions, 2 homomorphic circuit evaluations (subtraction and XOR) and a single decryption. The second construction uses an untrusted third party and achieves a communication overhead linear in input bit-size with the help of an order preserving function.Moreover, the second construction does not require an apriori input bound and can work on inputs of different bit-sizes. The third construction does not use a third party and, even though, it has a quadratic communication overhead, it is a fairly simple construction.

研究动机与目标

• 设计高效且安全的两方计算协议，用于在不泄露私有整数的情况下比较整数。
• 在半诚实、非共谋参与方的假设下，降低解决百万富翁问题的通信和计算开销。
• 探讨通信复杂度、对第三方的依赖性以及协议简洁性之间的权衡。
• 为现有指数时间或高开销解决方案提供实用替代方案。
• 为安全函数评估复杂度的下界分析奠定基础。

提出的方法

• 协议A使用支持加法和异或运算的部分同态加密方案，同态计算 (a - b) ⊕ R，由鲍勃解密后仅将结果的最高有效位发送给爱丽丝。
• 协议B引入一个不可信第三方，并构建一个保序函数F，使得F(x) < F(y) 当且仅当 x < y，从而在输入位数上实现线性通信复杂度。
• 协议C使用1选2不经意传输，安全地传输爱丽丝输入每位的函数值f_i(a_i)，F(a)作为这些值的和进行计算。
• 通过单个种子使用伪随机生成器（PRG）生成随机值f_i，确保参数选择的安全性和效率。
• 所有协议均针对半诚实、非共谋的参与方设计，依赖于标准密码学假设：同态加密、PRG安全性和1选2不经意传输的安全性。
• 这些构造避免了先前的指数时间解法，通过高效操作和最少轮次实现实用性。

实验结果

研究问题

• RQ1 能否通过使用不可信第三方，以线性通信开销解决百万富翁问题？
• RQ2 能否设计一种无需第三方的保密比较协议，同时保持简洁性和正确性？
• RQ3 在安全两方比较中，通信复杂度、计算成本与对可信组件的依赖性之间存在何种权衡？
• RQ4 如何结合同态加密与不经意传输，构建高效且安全的比较协议？
• RQ5 能否设计一种协议，使其在输入位数不同的情况下仍能工作，而无需预先设定输入大小的边界？

主要发现

• 协议A通过使用具有加法和异或性质的部分同态加密，实现四轮通信、两次加密、两次同态运算和一次解密，达到高效解决方案。
• 协议B通过使用保序函数和不可信第三方，在输入位数上实现O(n)的线性通信复杂度，且无需输入大小的边界限制。
• 协议C具有O(n²)的二次通信开销，但协议简洁，无需第三方参与，依赖于1选2不经意传输和基于PRG的伪随机函数生成。
• 所有协议在标准假设下均保持安全：底层加密方案、PRG和OT协议的安全性，且除比较结果外无任何信息泄露。
• 这些协议在计算成本较低的情况下展现出实际可行性，尤其在使用高效的同态加密方案和伪随机生成器时更为显著。
• 本文为未来在安全函数评估复杂度下界分析方面的工作奠定了基础，特别是针对比较和通用函数。