[论文解读] Multi-Party Private Set Intersection: An Information-Theoretic Approach

Zhusheng Wang, Karim Banawan+1 more|arXiv (Cornell University)|Aug 17, 2020

Cryptography and Data Security参考文献 63被引用 6

一句话总结

本文提出了一种基于信息论的多方私有集合交集（MP-PSI）方案，适用于 M 个参与方，其中由一个领导方计算所有集合的交集，且不泄露额外信息。该方案利用共享的公共随机性，实现下载成本为 $ D = \min_{t} \sum_{i \neq t} \left\lceil \frac{|\mathcal{P}_t|N_i}{N_i - 1} \right\rceil $，尽管隐私约束更强，其下载成本仍与成对 PSI 的最优成本一致。

ABSTRACT

We investigate the problem of multi-party private set intersection (MP-PSI). In MP-PSI, there are $M$ parties, each storing a data set $\mathcal{p}_i$ over $N_i$ replicated and non-colluding databases, and we want to calculate the intersection of the data sets $\cap_{i=1}^M \mathcal{p}_i$ without leaking any information beyond the set intersection to any of the parties. We consider a specific communication protocol where one of the parties, called the leader party, initiates the MP-PSI protocol by sending queries to the remaining parties which are called client parties. The client parties are not allowed to communicate with each other. We propose an information-theoretic scheme that privately calculates the intersection $\cap_{i=1}^M \mathcal{p}_i$ with a download cost of $D = \min_{t \in \{1, \cdots, M\}} \sum_{i \in \{1, \cdots M\}\setminus {t}} \left\lceil \frac{|\mathcal{p}_t|N_i}{N_i-1} ight ceil$. Similar to the 2-party PSI problem, our scheme builds on the connection between the PSI problem and the multi-message symmetric private information retrieval (MM-SPIR) problem. Our scheme is a non-trivial generalization of the 2-party PSI scheme as it needs an intricate design of the shared common randomness. Interestingly, in terms of the download cost, our scheme does not incur any penalty due to the more stringent privacy constraints in the MP-PSI problem compared to the 2-party PSI problem.

研究动机与目标

• 解决多方私有集合交集（MP-PSI）问题，即 M 个参与方在不泄露额外信息的前提下计算其私有集合的交集。
• 设计一种在信息论隐私保护下通信高效的协议，确保仅泄露最终交集结果，不泄露其他任何信息。
• 将基于多消息对称私有信息检索（MM-SPIR）的两方 PSI 方案推广至 M 个参与方，实现对共享随机性的非平凡扩展。
• 实现下载成本与成对 PSI 的理论下限完全一致，即使在多方设置下隐私约束更严格。

提出的方法

• 协议由一个领导方发起，向 M−1 个客户端方发送查询，这些客户端方之间不相互通信。
• 通过在客户端方之间精心设计的共享公共随机性，对查询传输过程中的个体集合元素进行掩码。
• 每个客户端根据其数据和共享随机性生成编码查询，确保查询分布均匀，从而保护隐私。
• 领导方通过减去随机响应并累加所有客户端的响应来解码，从而检测出存在于所有集合中的元素。
• 该方案利用有限域算术构造相关随机性，使得响应之和仅在所有参与方均包含相同元素时为零。
• 下载成本由每个数据库的查询大小之和推导得出，其中每一项 $ \left\lceil \frac{|\mathcal{P}_t|N_i}{N_i - 1} \right\rceil $ 表示特定领导方选择 $ t $ 时的成本。

实验结果

研究问题

• RQ1 能否构建一种信息论MP-PSI协议，即使在参与方非共谋的情况下，也能在交集之外保持隐私？
• RQ2 由于隐私约束更强，MP-PSI协议的下载成本是否高于两方PSI？
• RQ3 MM-SPIR框架能否推广至M方设置，同时保持最优通信效率？
• RQ4 能否设计一种共享随机性机制，实现私有集合交集计算，而不会泄露关于单个集合的任何信息？

主要发现

• 所提方案的下载成本为 $ D = \min_{t} \sum_{i \neq t} \left\lceil \frac{|\mathcal{P}_t|N_i}{N_i - 1} \right\rceil $，与成对PSI的最优成本完全一致。
• 与两方PSI相比，该方案在更严格的MP-PSI隐私约束下，下载成本未增加任何惩罚。
• 领导方仅能获取交集 $ \cap_{i=1}^M \mathcal{P}_i $，无法获知交集之外的任何元素信息。
• 客户端保持隐私：除非所有客户端都包含某个元素，否则领导方无法推断出哪些客户端包含该元素。
• 该方案保护了领导方的隐私，因为每个查询在有限域 $ \mathbb{F}_q $ 上均匀分布。
• 在三个客户端和一个领导方的示例中，该方案正确识别出 $ \{1,4\} $ 为交集，且 $ D = 15 $，同时未泄露关于元素 5 的任何信息。