[论文解读] Secure Computation of the kth-Ranked Element in a Star Network

Anselme Tueno, Florian Kerschbaum+3 more|arXiv (Cornell University)|Sep 18, 2019

Cryptography and Data Security参考文献 34被引用 4

一句话总结

本论文提出了一套安全且高效的协议，用于在星型网络中计算k阶统计量（如中位数或最小/最大值），其中n个客户端持有私有整数，单个不可信服务器执行计算。通过使用混淆电路或门限同态加密，这些方案实现了常数轮次计算和低通信开销，其中一种变体（Kre-Ygc）在广域网环境下处理100个客户端时仅耗时197秒，实现了可扩展且实用的隐私保护基准测试，适用于现实世界场景。

ABSTRACT

We consider the problem of securely computing the kth-ranked element in a sequence of n private integers distributed among n parties. The kth-ranked element (e.g., minimum, maximum, median) is of particular interest in benchmarking, which allows a company to compare its own key performance indicator to the statistics of its peer group. The individual integers are sensitive data, yet the kth-ranked element is of mutual interest to the parties. Previous secure computation protocols for the kth-ranked element require a communication channel between each pair of parties. They do not scale to a large number of parties as they are highly interactive resulting in longer delays. Moreover, they are difficult to deploy as special arrangements are required between each pair of parties to establish a secure connection. A server model naturally fits with the client-server architecture of Internet applications in which clients are connected to the server and not to other clients. It can simplify secure computation by reducing the number of rounds, and as a result, improve its performance and scalability. In this model, there are communication channels only between each client and the server, while only clients provide inputs to the computation. Hence, it is a centralized communication pattern, i.e., a star network. We propose different approaches for privately computing the kth-ranked element in the server model, using either garbled circuits or threshold homomorphic encryption. Our schemes have a constant number of rounds and can compute the kth-ranked element within seconds for up to 50 clients in a WAN.

研究动机与目标

• 解决现有安全多方计算协议在k阶统计量（KRE）计算中的可扩展性和部署挑战，这些协议需要点对点通信，在n较大时变得不可行。
• 设计一种安全计算模型，利用单个服务器作为协调者，降低通信复杂度，并支持在标准客户端-服务器架构中的部署。
• 通过确保服务器无法获取客户端输入的任何信息，同时仍能准确计算出KRE输出，来保障隐私。
• 在真实网络环境和安全约束下，评估并比较基于混淆电路和门限同态加密的多种协议实现。
• 为金融和制造等行业中的关键绩效指标（KPI）安全基准测试等现实应用场景，提供实用且高效的解决方案。

提出的方法

• 协议采用星型网络拓扑，仅客户端与服务器通信，消除客户端之间的直接通信，从而降低协议复杂度。
• 核心方法包括通过安全比较协议对输入进行排序，计算每个输入的排名，并利用排名信息识别出第k个排名的元素。
• 提出了三种主要方案：Kre-Ygc（基于混淆电路）、Kre-Ahe1和Kre-Ahe2（基于门限同态加密），每种方案在安全性和效率之间有不同权衡。
• 对于门限同态加密，方案采用门限t的秘密共享机制，要求t个客户端联合解密最终结果，以确保防合谋攻击和容错能力。
• 协议使用标准密码学库实现并评估，性能指标包括计算时间、通信成本以及在广域网环境下100个客户端的可扩展性。
• 优化措施包括批量比较操作，以及使用高效加密方案（如椭圆曲线ElGamal，secp256r1）以减少通信和计算开销。

实验结果

研究问题

• RQ1 是否能在星型网络中实现k阶统计量的隐私计算，且通信轮次为常数，从而在可扩展性上优于传统点对点通信模型？
• RQ2 在客户端-服务器模型中，混淆电路与门限同态加密等不同密码技术如何影响KRE协议的性能和安全特性？
• RQ3 在安全KRE计算中，效率、防合谋攻击能力与容错能力之间的权衡是什么？如何针对现实世界部署进行优化？
• RQ4 所提出的协议是否能在广域网（WAN）环境下实现100个客户端的子分钟级执行时间，使其适用于工业基准测试应用？
• RQ5 在非合谋服务器和非故障客户端假设下，最高效方案（Kre-Ygc）的渐近性能和实际性能如何？

主要发现

• 基于混淆电路的Kre-Ygc是效率最高的方案，在广域网环境下处理100个客户端的k阶统计量安全计算仅耗时197秒，每个客户端通信量仅0.31 MB，服务器端通信量为5.42 MB。
• 基于门限同态加密的Kre-Ahe2在效率与安全性之间取得良好平衡，处理100个客户端耗时336秒（t=2），服务器端通信量为56.12 MB，同时支持防合谋攻击和容错能力。
• Kre-Ahe1虽然效率较低，但支持完全容错和防合谋攻击，但处理100个客户端耗时1749秒（t=2），服务器端通信量达222.67 MB，因此在大规模应用中不切实际。
• 基于部分同态加密的Kre-She具有最佳渐近复杂度，但目前因计算开销过高而不实用，不过随着同态加密技术的发展，未来具有广阔前景。
• Kre-Ahe2中的门限解密机制具有高效可扩展性，n选n解密耗时不足0.15秒（最多40个客户端），在容错场景下表现出色。
• 评估结果证实，星型网络模型相比标准多方计算模型显著降低了协议复杂度和通信开销，使其实现了在现实世界基准测试系统中的实用部署。