[论文解读] Secure Multi-Party Computation with a Helper

Johannes Schneider|arXiv (Cornell University)|Aug 31, 2015

Cryptography and Data Security参考文献 26被引用 3

一句话总结

本文提出了一种新型的多方安全计算（MPC）框架，通过引入专用帮助方来显著降低通信复杂度，在特定条件下实现每个与门仅需一比特通信的渐近最优性能。通过利用预先共享的随机性以及借助帮助方的秘密共享机制，该方案能够为复杂函数（如指数运算）实现常数轮次协议，在保持完美安全性的同时，通信效率优于以往工作，且仅允许单方被破坏。

ABSTRACT

A client wishes to outsource computation on confidential data to a network of parties. He does not trust a single party but believes that multiple parties do not collude. To solve this problem, we use the idea of treating one of the parties as a helper. A helper assists computation only. Often using more parties ensures confidentiality despite more corrupted parties. This does not hold for adding a helper. But a helper can in some cases lower the amount of communication asymptotically to the theoretical minimum of one bit per AND gate, improving significantly on schemes without a helper. It can also allow for very efficient computations of certain functions, as we show for the exponential function with public base.

研究动机与目标

• 探究专用帮助方是否能在不损害安全性的前提下，改善多方安全计算中的通信与轮次复杂度。
• 设计一种适用于三方计算的新MPC协议，以最小化通信开销，同时在半诚实模型下保持完美安全性。
• 通过帮助方实现复杂函数（尤其是指数函数）的高效计算，以达成常数轮次协议。
• 分析在使用帮助方时，大扇入与门的通信与轮次复杂度之间的权衡。
• 形式化定义一种“不信任攻击者”模型，其中仅被破坏的参与方可访问秘密，诚实参与方不会被影响，从而在更少被破坏的情况下提供更强的安全保证。

提出的方法

• 协议利用帮助方协助计算与门和异或门，但帮助方不持有秘密份额，通过优化通信模式实现高效计算。
• 使用线性加密（如加法共享）进行秘密分发，帮助方通过复用共享值在多个操作间减少冗余传输。
• 在计算指数函数时，该方法利用涉及两个变量的数学恒等式，仅通过两轮通信即可完成计算。
• 通过在多个门计算中复用帮助方的角色，当变量被重复使用时，实现每个与门仅需一比特通信。
• 针对大扇入与门，设计了一种权衡协议，通过调整帮助方的角色，实现通信与轮次复杂度之间的灵活调节。
• 该方法假设各方之间预先共享随机性，并定义了“不信任攻击者”模型，其中仅被破坏的参与方可访问秘密，诚实参与方不会被泄露信息。

实验结果

研究问题

• RQ1 专用帮助方是否能将MPC中的通信复杂度降低至每个与门低于理论下限的两比特？
• RQ2 在何种条件下，帮助方可实现每个与门仅需一比特通信，并具备非平凡的安全保证？
• RQ3 如何利用帮助方在常数轮次内以最小通信量计算复杂函数（如指数函数）？
• RQ4 帮助方对大扇入与门的轮次复杂度与通信复杂度之间的权衡有何影响？
• RQ5 与传统的“不信任所有”模型相比，‘不信任攻击者’模型如何影响安全保证？

主要发现

• 在变量于多个操作中重复使用的情况下，协议实现了每个与门仅需一比特通信，达到理论最小值。
• 对于具有公开底数的指数函数，协议仅用两轮即可完成计算，显著优于以往方案。
• 与以往三方MPC协议相比，该方案在多个与门计算中将通信复杂度降低了最多三倍。
• 帮助方使大扇入与门的通信与轮次复杂度之间实现可调权衡，可根据系统约束进行优化。
• 安全模型仅允许一个参与方被破坏即可导致系统泄露，优于需破坏两个参与方才能泄露机密的方案。
• 协议在保持与最先进方案相当的本地计算复杂度的同时，显著降低了通信量与轮次数。