百万富翁问题高效算法

E 的规模,可以增大 m 的值.通过 m 的值的增大,服务器推测出用户的输入 的优势将被变得更小. 对于所有的 m f m0 ,存在一个多项式函数 poly ( m )
使得
( server sA dv ) =
,
1 p4m
≤
1 poly ( m )
因此服务器推测出用户输入的机会是可以忽略的.
定理4.2 在SDP协议中服务器几乎在信息理论上是安全的,用户猜出服务器输入的 次数在(1, S ),S * ⊂ F p ,且 S * = p ( n − 2 ) . 证明: 在协议中,用户收到了{T (YU ), T (YV )} ,用户可以利用迹函数的反函数,可以 得到 Y ,迹函数是 F p n 到 F p 的线性映射.我们用 Fpn 来表示 F p n 的规 模,在 F p n 中就有 F p 个元素乘以U 后的迹函数的值与 T ( Y U ) 是相等的. , . p 这些元素的集合用 S 来表示.
SDP协议
问题:
r u r 用户有 x = ( x1, x 2,..., xn ) , 服务器有 y = ( y1, y2,..., yn)
A = {α 1,..., α n} 是 Fp n 的基, B = {β 1, β 2,..., β n} 是 A 的对偶基, r u r 把 x 和 y 映射到 X ∈ F p n 和 Y ∈ Fpn得到: .
运用迹函数的安全点积协议
纪美敬
目录
SDP问题的概述 预备知识—迹函数 SDP协议 SDP的安全分析 SDP的应用
SDP问题的概述
SDP问题:拥有私有输入向量的两方想在自己的输入上进行 点积计算,但是点积计算的结果只能被一方拥有,且双方都 不想泄露自己的私有输入给对方.
A方
w
r x=(x1,x2,…xn)
Y = y1β 1 + y 2 β 2 + ... + ynβ n
的对偶基,
对于任意的 X , Y 有
其中xi, yi ∈ Fp ,有
r u r T ( X Y ) = x.y
证明:
T ( XY ) = T (( x1α 1 + ... + xnα n)( y1β 1 + ... + ynβ n)) = T ( x1α 1( y1β 1 + ... + ynβ n) + .... + xnα n( y1β 1 +... + ynβ n))
SDP的安全分析
定理4.1 在上面的协议中,用户在信息理论上是安全,服务器随机推测出用户的输入 的次数范围是(1, E ), E = ( p 2 − 1)( p 2 − p ) ,E ∈ F p n . 证明: 用户在信息理论上是安全的,通过适当的 随 机 选 择 γ 和 a , b , c , d . 能够找到多个 X 利用
S * = {Y * | YY * ∈ S , T (Y *V ) = T (YV )}
迹函数是双向单射. S *的规模是:
S
*
=
S p
=
p
( n − 2 )
通过改变 n 的取值可以把用户推测出服务器的优势变得任意小,如果 n=km 可以增大 m 的值来达到需求的安全.对于所有的
poly ( m ) 函数,使得:
m f m0
1 poly ( m )
,存在一个多项式
(user , sAdv) =
p
( km−2
1
≤ )
SDP的应用
SDP 可以被应用在安全求解函数中,以及其他的方面.
谢谢
X = x1α 1 + x 2α 2 + ... + xnα n
Y = y1β1 + y2β 2 +... + ynβ n
用户和服务器可以安全计算T ( XY ) , 只有用户得到点积结果,用户和服务 器不能推测出彼此的输入.
SDP协议
u r r 输入:用户有一个向量 x = ( x1, x 2,..., xn ) ,服务器有一个向量 y = ( y1, y2,..., yn) ;
= x1 y1T (α1β 1) + ... + x1 ynT (α1β n) + ...... + xny1T (α nβ 1) +...... + xnynT ( xnβ n)
= x1y
1
+ x
2
y
2
+ ... + x ny
n
定理2.1表明可以直接用迹函数来计算点积.但是这定理在密码学中是 没有用的,它仅仅是安全计算SDP的方法.SDP协议的定义必须转化成 安全计算迹函数上.
在 Fp n 中基的个数为:
( p n − 1)( p n − p)( p n − p 2 )...( p n − p n −1 )
定理2.1
A = {α 1,..., α n}是
Fp n 的基, B = {β 1, β 2,..., β n} 是 A
X = x1α 1 + x 2α 2 + ... + xnα n
T (α p ) = T (α ), α ∈ Fpn 假设 A = {α 1,..., α n} B = {β 1, β 2,..., β n}是 F n , p
的基,如果对于
1 ≤ i, j ≤ : n
0 T (α i β j ) = 1
就把
i≠ j
i
=
j
等式(3)
A
称做为 B 的对偶基 .
*
n
n
S = {Y ' | Y ' ∈ Fpn , T (Y 'U ) = T (YU )}
Y ' 根据T
(Y U )
得到的 Y
的可能取值. S 的规模用 S
来表示.
S =
F pn
p
=
pn p
= p ( n −1)
用户可以根据 T(YV) ,可以进一步减少 Y 的可能取值.因为同时满足 Y ' 乘以 V 的迹函数的值与 T (YV )的值相等. Y 的可能取值集合用 S * 来表示.
α = x1α 1 + x 2α 2 + .... + xnα n
其中 xi 属于Fp, i = 1, 2,..., n
定义1:迹函数是 F n到 Fpm的线性映射, 其中
p
n = km
让α∈F
pn
=F ,
F K
Fp m = K
,在
p
F 上α 的迹,被定义为:
p2
F
T
(α ) = α + α + α
a b X U = c d γ V
等式(6) 计算出相同的 U , V .
假设 E 是利用等式(6)得到相同结果的 X 的集合.服务器成功推测出用户输入 1 的机会是 E . 得到正确的输入,首先要找到在 Fp上的所有的2*2的距阵.然后 2 4 )( 2 在寻找合适的 X 和 γ .在 Fp 上的2*2的距阵的数目为 (p −1 p − p) ≈ p ,那 么2*2的距阵的数目就是 E 的规模. 通过提高 E 的规模,可以使服务器推测出用户输入的机会变得更小.现在假设用 E 户的输入是从 F p m 选择的,那么 E 的规模被扩大到 ( p 2 m − 1)( p 2 m − p) .为了提高
r u r W= x .y
u r y=(y1,y2,…,yn)
B方
u r ru r r A方拥有x . y 的计算结果W,W和 x不能让B方,B方的 y 也不能让A方知道.
预备知识---迹函数
具有p个属性的有限域用F 来表示,它的n维扩展用 p Fp n来表示.让 (α 1, α 2,..., α n) 做为在Fp 上Fp n的一个基. 任何一个在 Fp n 中的 α 都可以表示为:
+ ... + α
p m−1
等式(2)
当 K =1,就用 T 表示迹函数,迹函数是 F p n 到 面的性质: 1) T(α+β) =T(α)+T(β) , α , β ∈ F n
p
Fp
的线性映射,它具有下
2)
T (cα ) = cT (α )
, ∈ Fpn ,c ∈ Fp α
3) 4)
T (a ) = na, a ∈ F p
输出:用户得到 T ( X Y ) ; Step1: 用户随机选择 γ ∈ Fpn , a , b , c , d ∈ F p ,且 (ad −bc) ≠ 0 .用户计 算:
U = aX + bγபைடு நூலகம்
用户发送 {U ,V } 给服务器;
V = cX + d γ
等式(4)
Step2 : 服务器计算:
YU = Y (aX + bγ )
YV = Y(cX + dγ )
再利用定理2.1,计算出 T (YU ) ,T (YV ) ,把 {T (YU ), T (YV )} 发送给用户; Step3: 用户计算:
ru r x. y = T ( XY ) mod p
= ( ad − bc) ( dT (YU ) − bT (YV ))
−1