[论文解读] Fair coin flipping: tighter analysis and the many-party case

Niv Buchbinder, Iftach Haitner+2 more|arXiv (Cornell University)|Jan 16, 2017

Cryptography and Data Security被引用 10

一句话总结

该论文提出了一种新的 t 方面、m 轮的抛硬币协议，对于常数 t，其偏差为 O(1/m^{1/2 + Θ(1)})，优于 [9] 的 O(1/m^{1/2}) 偏差和 [32] 对于三方面的 O(log³m/m) 偏差。该工作引入了一种新颖的线性规划对偶性框架来分析对抗性策略，从而在存在不诚实多数的情况下，对多方公平抛硬币协议的偏差实现了更紧的上界。

ABSTRACT

In a multi-party fair coin-flipping protocol, the parties output a common (close to) unbiased bit, even when some corrupted parties try to bias the output. In this work we focus on the case of dishonest majority, ie at least half of the parties can be corrupted. [19] [STOC 1986] has shown that in any m-round coin-flipping protocol the corrupted parties can bias the honest parties' common output bit by Θ(1/m). For more than two decades the best known coin-flipping against majority was the protocol of [9] [Manuscript 1985], who presented a t-party, m-round protocol with bias [EQUATION]. This was changed by the breakthrough result of [42] [TCC 2009], who constructed an m-round, two-party coin-flipping protocol with optimal bias Θ(1/m). Recently, [32] [STOC 14] constructed an m-round, three-party coin-flipping protocol with bias O(log3m/m). Still for the case of more than three parties, against arbitrary number of corruptions, the best known protocol remained the [EQUATION]-bias protocol of [9].We make a step towards eliminating the above gap, presenting a t-party, m-round coin-flipping protocol, with bias [EQUATION]. This improves upon the [EQUATION]-bias protocol of [9] for any t ≤ 1/2 · log log m, and in particular for t ∈ O(1), this yields an 1/m1/2+Θ(1)-bias protocol. For the three-party case, this yields an [EQUATION]-bias protocol, improving over the the O(log3m/m)-bias protocol of [32]. Our protocol generalizes that of [32], by presenting an appropriate protocols for the remaining parties to interact in, in the case that some parties abort or caught cheating ([32] only presented a two-party defense protocol, which limits their final protocol to handle three parties).We analyze our new by presenting a new paradigm for analyzing fairness of coin-flipping protocols. We map the set of adversarial strategies that try to bias the honest parties outcome in the protocol to the set of the feasible solutions of a linear program. The gain each strategy achieves is the value of the corresponding solution. We then bound the the optimal value of the linear program by constructing a feasible solution to its dual.

研究动机与目标

• 为在不诚实多数下的多方公平抛硬币协议缩小偏差界限的差距，特别是针对 t > 3 个参与方的情况。
• 改进 [9] 长期以来的 O(1/m^{1/2}) 偏差协议，适用于 t ≤ 1/2 · log log m 的情况。
• 将 [32] 的三方协议推广至更多参与方，通过泛化对作弊或中止参与方的防御机制。
• 开发一种基于线性规划对偶性的新分析范式，用于抛硬币协议中的公平性。

提出的方法

• 将能够偏置输出的对抗性策略映射为线性规划的可行解，其中策略的收益对应于解的目标函数值。
• 构建对偶线性规划，并通过展示对偶问题的一个可行解来界定原始问题最优值的上界。
• 将 [32] 的两方防御协议推广至支持 t 方面交互，从而在更大群体中具备抵御中止或作弊的能力。
• 利用原始解与对偶解之间的对偶间隙，推导出最大可实现偏差的紧致上界。
• 将该框架应用于分析任意数量被污染参与方的协议，重点关注 m 轮设置。
• 利用对抗行为的结构，将策略空间建模为凸集，从而支持基于优化的分析。

实验结果

研究问题

• RQ1 在不诚实多数下，对于 t > 3 个参与方，多方抛硬币的偏差能否低于 O(1/m^{1/2})？
• RQ2 如何将 [32] 的两方防御机制扩展至支持超过三个参与方的 t 方面协议？
• RQ3 能否开发一个统一的分析框架，利用线性规划对偶性来界定抛硬币协议中最大偏差的上界？
• RQ4 当 t 随 m 增长时，m 轮、t 方面抛硬币协议中可实现的最紧偏差是多少？
• RQ5 对偶线性规划方法是否能为对抗性策略评估提供比先前分析技术更紧的上界？

主要发现

• 所提出的协议对任意常数 t 实现了 O(1/m^{1/2 + Θ(1)}) 的偏差，优于 [9] 对于 t ≤ 1/2 · log log m 的 O(1/m^{1/2}) 偏差。
• 在三方情况下，协议实现了 O(1/m^{1/2 + Θ(1)}) 的偏差，优于 [32] 的 O(log³m/m) 偏差。
• 新的线性规划对偶性框架为对抗性偏差提供了比先前方法更紧的上界。
• 对偶解的构造有效界定了原始策略空间的最优值，从而实现了精确的偏差分析。
• 广义的防御机制使得协议能够处理超过三方的 t 方面环境中作弊或中止的参与方。
• 该框架可扩展至任意 t 和 m，为分析多方抛硬币协议中的公平性提供了一种可扩展的方法。