[论文解读] A New Approach to Practical Active-Secure Two-Party Computation

Jesper Buus Nielsen, Peter Sebastian Nordholt+2 more|arXiv (Cornell University)|Feb 14, 2012

Cryptography and Data Security参考文献 10被引用 28

一句话总结

本文提出一种基于OT的新型实用化主动安全两方计算协议，在随机预言模型下利用高效的OT扩展技术，实现了高性能——每秒超过20,000个布尔门电路，并在3秒内完成27次不经意AES加密的 amortized 执行，优于基于Yao电路的实现，其优势源于对认证OT和基于信息论标签的输入输出绑定所采用的新技术。

ABSTRACT

We propose a new approach to practical two-party computation secure against an active adversary. All prior practical protocols were based on Yao's garbled circuits. We use an OT-based approach and get efficiency via OT extension in the random oracle model. To get a practical protocol we introduce a number of novel techniques for relating the outputs and inputs of OTs in a larger construction. We also report on an implementation of this approach, that shows that our protocol is more efficient than any previous one: For big enough circuits, we can evaluate more than 20000 Boolean gates per second. As an example, evaluating one oblivious AES encryption (~34000 gates) takes 64 seconds, but when repeating the task 27 times it only takes less than 3 seconds per instance.

研究动机与目标

• 开发一种实用的主动安全两方计算协议，避免依赖Yao混淆电路。
• 利用不经意传输（OT）作为核心原 primitive，实现高效可扩展的安全计算。
• 设计并实现新颖技术，利用信息论标签在大型构造中安全高效地绑定OT的输入与输出。
• 证明在实际部署中，基于OT的2PC比基于Yao的方法更具效率。
• 首次实现主动安全的OT扩展与基于OT的2PC协议，验证其实际可行性。

提出的方法

• 在随机预言模型下使用OT扩展技术，从少量种子OT高效生成大量OT。
• 提出一种新型认证OT构造，利用信息论标签绑定多个OT中的输入与输出，支持安全组合。
• 采用一种名为“带泄漏比特的位认证”（LaBit）的新技术，容忍OT组件中的部分信息泄漏，同时保持安全性。
• 采用预处理模型，将计算开销大的操作预先计算，从而在重复执行时实现低在线延迟。
• 利用分桶机制管理统计安全性，安全级别取决于门电路数量与分桶大小。
• 实现中所有操作（初始设置后）均使用对称密码原 primitive（如哈希函数），最大限度减少对昂贵公钥密码学的依赖。

实验结果

研究问题

• RQ1 基于OT的两方计算能否在实际应用中实现高效化，超越Yao混淆电路的效率？
• RQ2 在基于OT的2PC中，能否在不依赖昂贵公钥操作的前提下高效实现主动安全？
• RQ3 有哪些新颖技术可安全高效地绑定多个OT中的输入与输出？
• RQ4 能否在实践中实现主动安全的OT扩展，使其性能接近被动安全变体？
• RQ5 在标准硬件上，完全主动安全的基于OT的2PC协议的实际性能如何？

主要发现

• 协议每秒可评估超过20,000个布尔门电路，证明了主动安全2PC的高效率。
• 单次不经意AES加密（34,000个门电路）耗时64秒，但若对27个实例进行 amortized 处理，每实例时间降至3秒以内。
• 当对2,048个AES块进行 amortized 处理时，线上阶段性能达到每秒108万个门电路，展现出强大的可扩展性。
• 实现每秒生成500,000个OT，证实了主动安全OT扩展的实用性。
• 与基于Yao的实现相比，该协议在 amortized 场景下表现出更优的性能。
• 统计安全级别根据门电路数量与分桶大小动态调整，最大不安全性为 $2^{- ho}$，其中 $ ho$ 取决于电路大小与配置。